Vertrag zur Auftragsverarbeitung gemäß Art. 28 DS-GVO

zwischen

Der Auftraggeber

das Unternehmen, für das der Zugang im CommsOS-Portal registriert ist. Firma und Anschrift

ergeben sich aus der Registrierung, die vertretende Person und der Zeitpunkt aus dem

Annahmebeleg, den das Portal zu jeder Annahme führt.

• Verantwortlicher - nachstehend Auftraggeber genannt –

und der

Comms Connect GmbH

Vertreten durch: Rainer Roloff (Geschäftsführer)

Tal 30

80331 München

Handelsregister: HRB 295951, Amtsgericht München

USt-IdNr.: DE451966748

Telefon: +49 89 4522 1556

E-Mail (allgemein): info@comms-connect.de

Produkt-Support: support@commsos.de

Datenschutz: privacy@commsos.de

„Comms OS“ ist eine Marke und ein Produkt der Comms Connect GmbH.

• Auftragsverarbeiter - nachstehend Auftragnehmer genannt –

---

1. Gegenstand und Dauer der Verarbeitung

1.1 Gegenstand

Die Verarbeitung beruht auf dem zwischen den Parteien bestehenden Vertrag (im Folgenden „Hauptvertrag“) über die Nutzung der SaaS-Plattform „Comms OS“ der Comms Connect GmbH zur Analyse und Optimierung von Telekommunikations- und IT-Verträgen, zur Durchführung von Ausschreibungs- und Beschaffungsprozessen sowie zur Verwaltung der zugehörigen Assets und Anbieter. Alle Verarbeitungstätigkeiten sind in der Anlage 1 – Datenverarbeitung beschrieben.

1.2 Dauer

Die Verarbeitung beginnt nach Zeichnung des Hauptvertrages und des Auftragsverarbeitungsvertrags. Die Verarbeitung erfolgt auf unbestimmte Zeit bis zur Kündigung dieses Vertrags oder des Hauptvertrags durch eine Partei.

---

2. Art, Zweck und Betroffene der Datenverarbeitung

Art und Zweck der Verarbeitungen, Art der Daten, Kategorien betroffener Personen und Aufbewahrungsdauer sind in Anlage 1 beschrieben. Die tatsächlich für den Auftraggeber ausgeführten Auftragsverarbeitungen sind im Hauptvertrag benannt.

---

3. Pflichten des Auftragnehmers

(1) Der Auftragnehmer verarbeitet personenbezogene Daten ausschließlich wie vertraglich vereinbart oder wie vom Auftraggeber angewiesen, es sei denn, der Auftragnehmer ist gesetzlich zu einer bestimmten Verarbeitung verpflichtet. Sofern solche Verpflichtungen für ihn bestehen, teilt der Auftragnehmer diese dem Auftraggeber vor der Verarbeitung mit, es sei denn, die Mitteilung ist ihm gesetzlich verboten. Der Auftragnehmer verwendet darüber hinaus die zur Verarbeitung überlassenen Daten für keine anderen, insbesondere nicht für eigene Zwecke.

(2) Der Auftragnehmer bestätigt, dass ihm die einschlägigen, allgemeinen datenschutzrechtlichen Vorschriften bekannt sind. Er beachtet die Grundsätze ordnungsgemäßer Datenverarbeitung.

(3) Der Auftragnehmer verpflichtet sich, bei der Verarbeitung die Vertraulichkeit streng zu wahren.

(4) Personen, die Kenntnis von den im Auftrag verarbeiteten Daten erhalten können, haben sich schriftlich zur Vertraulichkeit zu verpflichten, soweit sie nicht bereits gesetzlich einer einschlägigen Geheimhaltungspflicht unterliegen.

(5) Der Auftragnehmer sichert zu, dass die bei ihm zur Verarbeitung eingesetzten Personen vor Beginn der Verarbeitung mit den relevanten Bestimmungen des Datenschutzes und dieses Vertrags vertraut gemacht wurden.

(6) Im Zusammenhang mit der beauftragten Verarbeitung unterstützt der Auftragnehmer den Auftraggeber soweit erforderlich bei der Erfüllung seiner datenschutzrechtlichen Pflichten, insbesondere bei Erstellung und Fortschreibung des Verzeichnisses der Verarbeitungstätigkeiten sowie bei Durchführung der Datenschutzfolgeabschätzung. Die erforderlichen Angaben und Dokumentationen sind vorzuhalten und dem Auftraggeber auf Anforderung unverzüglich zuzuleiten.

(7) Wird der Auftraggeber durch Aufsichtsbehörden oder andere Stellen einer Kontrolle unterzogen oder machen betroffene Personen ihm gegenüber Rechte geltend, verpflichtet sich der Auftragnehmer den Auftraggeber im erforderlichen Umfang zu unterstützen, soweit die Verarbeitung im Auftrag betroffen ist.

(8) Auskünfte an Dritte oder den Betroffenen darf der Auftragnehmer nur nach vorheriger Zustimmung durch den Auftraggeber erteilen. Direkt an ihn gerichtete Anfragen wird er unverzüglich an den Auftraggeber weiterleiten.

(9) Die Auftragsverarbeitung erfolgt grundsätzlich innerhalb der EU oder des EWR. Jegliche Verlagerung in ein Drittland darf nur mit Zustimmung des Auftraggebers und unter den in Kapitel V der Datenschutz-Grundverordnung enthaltenen Bedingungen erfolgen.

---

4. Sicherheit der Verarbeitung

(1) Die in Anlage 3 beschriebenen Datensicherheitsmaßnahmen werden als verbindlich festgelegt. Sie definieren das vom Auftragnehmer geschuldete Minimum.

(2) Die Datensicherheitsmaßnahmen können der technischen und organisatorischen Weiterentwicklung entsprechend angepasst werden, solange das hier vereinbarte Niveau nicht unterschritten wird. Wesentliche Änderungen sind dem Auftraggeber unverzüglich mitzuteilen.

(3) Soweit die getroffenen Sicherheitsmaßnahmen den Anforderungen des Auftraggebers nicht oder nicht mehr genügen, benachrichtigt der Auftragnehmer den Auftraggeber unverzüglich.

(4) Der Auftragnehmer sichert zu, dass die im Auftrag verarbeiteten Daten von sonstigen Datenbeständen strikt getrennt werden.

---

5. Regelungen zur Berichtigung, Einschränkung und Löschung von Daten

(1) Im Rahmen des Auftrags verarbeitete Daten wird der Auftragnehmer nur entsprechend der getroffenen vertraglichen Vereinbarung oder nach Weisung des Auftraggebers berichtigen, löschen oder sperren.

(2) Den entsprechenden Weisungen des Auftraggebers wird der Auftragnehmer jederzeit und auch über die Beendigung dieses Vertrages hinaus Folge leisten.

(3) Weisungen des Auftraggebers haben schriftlich an die in Anlage 4 – Kontaktpersonen benannten Personen zu erfolgen.

---

6. Unterauftragsverhältnisse

(1) Der Auftraggeber gestattet die Beauftragung der in Anlage 2 genannten Subunternehmen. Der Auftragnehmer informiert den Auftraggeber mindestens vier Wochen vorab schriftlich oder per E-Mail über jede beabsichtigte Beauftragung weiterer Subunternehmer oder die Änderung bestehender Beauftragungen.

(2) Der Auftraggeber hat gegen die Beauftragung neuer Subunternehmer ein Recht zum Einspruch, welches er innerhalb von vier Wochen nach Erhalt der Information wahrnehmen kann. Legt der Auftraggeber innerhalb der genannten Frist keinen Einspruch ein, gilt die Genehmigung als erteilt.

(2a) Macht der Auftraggeber innerhalb der Frist nach Abs. 2 berechtigt Einspruch geltend (insbesondere wegen Drittland-Bedenken, unzureichender Schutzmaßnahmen oder regulatorischer Vorgaben), sind die Parteien verpflichtet, innerhalb von 30 Tagen nach Eingang des Einspruchs gemeinsam und ernsthaft eine einvernehmliche Lösung zu suchen (z. B. alternativer Subunternehmer, ergänzende Schutzmaßnahmen). Wird innerhalb dieser Frist keine Einigung erzielt, ist jede Partei berechtigt, den Hauptvertrag und diese Vereinbarung mit einer Frist von 60 Tagen außerordentlich zu kündigen, ohne dass eine Partei Schadensersatz aus diesem Sachverhalt schuldet.

(3) Die Rechte des Auftraggebers müssen auch gegenüber dem Subunternehmer wirksam ausgeübt werden können.

(4) Kommt der Subunternehmer seinen Datenschutzpflichten nicht nach, so haftet hierfür der Auftragnehmer gegenüber dem Auftraggeber.

---

7. Rechte und Pflichten des Auftraggebers

(1) Für die Beurteilung der Zulässigkeit der beauftragten Verarbeitung sowie für die Wahrung der Rechte von Betroffenen ist allein der Auftraggeber verantwortlich.

(2) Der Auftraggeber erteilt alle Aufträge, Teilaufträge oder Weisungen dokumentiert. In Eilfällen können Weisungen mündlich erteilt werden. Solche Weisungen wird der Auftraggeber unverzüglich dokumentiert bestätigen.

(3) Der Auftraggeber informiert den Auftragnehmer unverzüglich, wenn er Fehler oder Unregelmäßigkeiten bei der Prüfung der Auftragsergebnisse feststellt.

(4) Der Auftraggeber ist berechtigt, die Einhaltung der Vorschriften über den Datenschutz und der vertraglichen Vereinbarungen beim Auftragnehmer in angemessenem Umfang zu kontrollieren. Folgende Kontrollformen sind möglich:

a. Fernaudit (jederzeit, auch anlassbezogen): Übermittlung eines schriftlichen Fragebogens an datenschutz@commsos.de. Der Auftragnehmer beantwortet diesen innerhalb von 10 Werktagen. Daneben kann der Auftraggeber Einsicht in aktuelle SOC 2 Type II- oder ISO 27001-Berichte der eingesetzten Subunternehmer verlangen, soweit diese dem Auftragnehmer zur Verfügung stehen.

b. Vor-Ort-Audit: Höchstens einmal pro Kalenderjahr nach mindestens 4 Wochen Vorankündigung zu Geschäftszeiten des Auftragnehmers. Anlassbezogene Vor-Ort-Audits (z. B. nach einem Datenschutzvorfall) sind ohne diese Häufigkeits-Beschränkung zulässig, aber ebenfalls vorzukündigen.

c. Drittprüfer: Der Auftraggeber kann sich für jede Kontrollform durch unabhängige, qualifizierte Dritte (z. B. einen externen Datenschutzbeauftragten oder eine Prüfgesellschaft) vertreten lassen, die zuvor eine Vertraulichkeitsverpflichtung gegenüber dem Auftragnehmer eingegangen sind.

(5) Die durch Kontrollen entstehenden Kosten trägt grundsätzlich der Auftraggeber, es sei denn, die Kontrolle deckt eine wesentliche Verletzung dieser Vereinbarung durch den Auftragnehmer auf.

---

8. Mitteilungspflichten

(1) Der Auftragnehmer teilt dem Auftraggeber Verletzungen des Schutzes im Auftrag verarbeiteter personenbezogener Daten unverzüglich mit. Die Mitteilung hat spätestens innerhalb von 72 Stunden ab Kenntnis des Auftragnehmers vom relevanten Ereignis zu erfolgen. Sie muss mindestens folgende Angaben enthalten:

a. eine Beschreibung der Art der Verletzung des Schutzes personenbezogener Daten, soweit möglich mit Angabe der Kategorien und der ungefähren Zahl der betroffenen Personen und Datensätze;

b. den Namen und die Kontaktdaten einer Anlaufstelle für weitere Informationen;

c. eine Beschreibung der wahrscheinlichen Folgen der Verletzung;

d. eine Beschreibung der ergriffenen oder vorgeschlagenen Maßnahmen zur Behebung.

(2) Ebenfalls unverzüglich mitzuteilen sind erhebliche Störungen bei der Auftragserledigung sowie Verstöße gegen datenschutzrechtliche Bestimmungen.

(3) Der Auftragnehmer sichert zu, den Auftraggeber bei dessen Pflichten nach Art. 33 und 34 Datenschutz-Grundverordnung im erforderlichen Umfang zu unterstützen.

---

9. Umfang der Weisungsbefugnisse

(1) Der Auftraggeber behält sich hinsichtlich der Verarbeitung im Auftrag ein umfassendes Weisungsrecht vor.

(2) Der Auftragnehmer wird den Auftraggeber unverzüglich darauf aufmerksam machen, wenn eine vom Auftraggeber erteilte Weisung seiner Meinung nach gegen gesetzliche Vorschriften verstößt. Der Auftragnehmer ist berechtigt, die Durchführung der entsprechenden Weisung solange auszusetzen, bis sie durch den Auftraggeber bestätigt oder geändert wird.

(3) Der Auftragnehmer hat ihm erteilte Weisungen und deren Umsetzung zu dokumentieren.

---

10. Beendigung des Auftrags

(1) Befinden sich bei Beendigung des Auftragsverhältnisses im Auftrag verarbeitete Daten noch in der Verfügungsgewalt des Auftragnehmers, hat dieser nach Wahl des Auftraggebers die Daten entweder zu vernichten oder an den Auftraggeber zu übergeben. Die Wahl hat der Auftraggeber innerhalb von 2 Wochen nach Aufforderung zu treffen.

(2) Der Auftragnehmer ist verpflichtet, die unverzügliche Vernichtung bzw. Rückgabe auch bei Subunternehmern herbeizuführen.

(3) Der Auftragnehmer hat den Nachweis der ordnungsgemäßen Vernichtung zu führen und dem Auftraggeber unverzüglich vorzulegen.

(4) Dokumentationen, die dem Nachweis der ordnungsgemäßen Datenverarbeitung dienen, sind durch den Auftragnehmer mindestens bis zum Ablauf des dritten Kalenderjahres nach Vertragsende aufzubewahren.

---

11. Haftung

(1) Für den Ersatz von Schäden, die eine Person wegen einer unzulässigen oder unrichtigen Datenverarbeitung im Rahmen des Auftragsverhältnisses erleidet, haften Auftraggeber und Auftragnehmer als Gesamtschuldner gemäß Art. 82 DS-GVO.

(2) Der Auftragnehmer trägt die Beweislast dafür, dass ein Schaden nicht Folge eines von ihm zu vertretenden Umstandes ist, soweit die relevanten Daten von ihm unter dieser Vereinbarung verarbeitet wurden.

(3) Die Haftung des Auftragnehmers gegenüber dem Auftraggeber aus oder im Zusammenhang mit dieser Vereinbarung ist – vorbehaltlich Abs. 4 – der Höhe nach summenmäßig begrenzt auf das Zwölffache (12-fache) des durchschnittlichen monatlichen Netto-Entgelts, das der Auftraggeber unter dem Hauptvertrag in den zwölf Monaten vor dem schadensauslösenden Ereignis entrichtet hat, mindestens EUR 25.000 und höchstens EUR 500.000 je Schadenereignis und Kalenderjahr. Mehrere Schadenereignisse aus zusammenhängender Ursache gelten als ein Schadenereignis.

(4) Die Haftungsbegrenzung nach Abs. 3 gilt nicht für Schäden aus (i) der Verletzung von Leben, Körper oder Gesundheit, (ii) Vorsatz oder grober Fahrlässigkeit, (iii) der Verletzung wesentlicher Vertragspflichten (Kardinalpflichten) — letztere allerdings begrenzt auf den nach Art des Geschäfts vorhersehbaren, vertragstypischen Schaden — sowie (iv) Ansprüchen aus zwingendem Recht (insbesondere unmittelbarer Aufsichtsbehörden- oder Betroffenenansprüche nach Art. 82 DS-GVO).

(5) Der Auftragnehmer unterhält für die Dauer dieser Vereinbarung eine angemessene Cyber- und Vermögensschadenhaftpflicht-Versicherung und legt auf Anforderung des Auftraggebers eine entsprechende Versicherungsbestätigung vor.

---

12. Sonderkündigungsrecht

(1) Der Auftraggeber kann den Hauptvertrag und diese Vereinbarung jederzeit ohne Einhaltung einer Frist außerordentlich kündigen, wenn ein schwerwiegender Verstoß des Auftragnehmers gegen Datenschutzvorschriften oder die Bestimmungen dieser Vereinbarung vorliegt. Schwerwiegende Verstöße sind insbesondere:

a. unbefugte Weitergabe oder Offenlegung personenbezogener Daten an Dritte ohne Rechtsgrundlage oder Weisung,

b. dauerhafte Verweigerung einer berechtigten Kontrolle nach Ziff. 7 Abs. 4 oder einer Weisung nach Ziff. 9,

c. illegale oder unangekündigte Einschaltung eines Sub-Auftragsverarbeiters unter Verstoß gegen Ziff. 6,

d. vorsätzliche oder grob fahrlässige Herbeiführung eines meldepflichtigen Datenschutzvorfalls,

e. wiederholte (mindestens dreifache) Verletzung dieser Vereinbarung innerhalb von 12 Monaten, sofern diese vom Auftraggeber jeweils gerügt und nicht abgestellt wurden.

(2) Bei unerheblichen oder erstmaligen Verstößen setzt der Auftraggeber dem Auftragnehmer eine angemessene Abhilfefrist von mindestens 10 Werktagen. Erfolgt die Abhilfe nicht rechtzeitig, so ist der Auftraggeber zur außerordentlichen Kündigung berechtigt.

(3) Eine außerordentliche Kündigung ist schriftlich (oder per E-Mail in Textform) zu erklären und zu begründen.

---

13. Sonstiges

(1) Beide Parteien sind verpflichtet, alle im Rahmen des Vertragsverhältnisses erlangten Kenntnisse von Geschäftsgeheimnissen und Datensicherheitsmaßnahmen der jeweils anderen Partei auch über die Beendigung des Vertrages vertraulich zu behandeln.

(2) Für Nebenabreden ist die Schriftform erforderlich. Textform per E-Mail genügt, soweit gesetzlich nicht zwingend Schriftform verlangt wird.

(3) Die Einrede des Zurückbehaltungsrechts i. S. v. § 273 BGB wird hinsichtlich der im Auftrag verarbeiteten Daten und der zugehörigen Datenträger ausgeschlossen.

(4) Sollten einzelne Teile dieser Vereinbarung unwirksam sein, so berührt dies die Wirksamkeit der Vereinbarung im Übrigen nicht. An die Stelle der unwirksamen Bestimmung tritt die gesetzlich zulässige Regelung, die dem wirtschaftlichen Zweck der unwirksamen Bestimmung am nächsten kommt.

(5) Im Falle von Widersprüchen zwischen dieser Auftragsverarbeitungsvereinbarung und dem Hauptvertrag gehen die Regelungen dieser Auftragsverarbeitungsvereinbarung in datenschutzrechtlichen Fragen vor.

---

14. Anwendbares Recht und Gerichtsstand

(1) Diese Vereinbarung unterliegt dem Recht der Bundesrepublik Deutschland unter Ausschluss des UN-Kaufrechts (CISG) und des internationalen Privatrechts, soweit dessen Verweisungsnormen abdingbar sind.

(2) Ausschließlicher Gerichtsstand für sämtliche Streitigkeiten aus oder im Zusammenhang mit dieser Vereinbarung ist München, soweit der Auftraggeber Kaufmann, juristische Person des öffentlichen Rechts oder öffentlich-rechtliches Sondervermögen ist (§ 38 ZPO). Der Auftragnehmer ist daneben berechtigt, am allgemeinen Gerichtsstand des Auftraggebers zu klagen.

---

Unterschriften

Ort, Datum	München, 13.09.2026
_________________________	_________________________
Auftraggeber	Auftragnehmer (Comms Connect GmbH)
[Name]	Rainer Roloff (Geschäftsführer)

---

Anlage 1 – Datenverarbeitung

Verarbeitungstätigkeit: TK-Kostenanalyse und Vertragsoptimierung

Prozess: Rechnungsanalyse

Analyse und Optimierung von Telekommunikationsrechnungen und -verträgen des Auftraggebers:

• Upload und Verarbeitung von TK-Rechnungen (Mobilfunk, Festnetz, Internet)
• Analyse von Tarifstrukturen, Optionen und Verbräuchen
• Erstellung von Optimierungsempfehlungen
• Erstellung von Berichten und Dashboards
• Umsetzung vereinbarter Vertragsänderungen bei TK-Providern

Kategorien betroffener Personen	Art der Daten	Dauer der Verarbeitung	Ort der Verarbeitung
Mitarbeiter des Auftraggebers, die geschäftliche TK-Verträge nutzen	Personalstammdaten (Name, Abteilung, Kostenstelle), Kommunikationsdaten (Rufnummern, E-Mail), Vertragsinformationen (Tarife, Optionen, Laufzeiten), Rechnungsdaten (Kosten, Verbräuche)	Vertragslaufzeit + 10 Jahre Aufbewahrungspflicht für Rechnungsdaten (§257 HGB), danach Löschung innerhalb von 6 Monaten	EU (Supabase EU-Region Frankfurt)

Prozess: Asset-Verwaltung

Erfassung und Verwaltung von TK-Assets (SIM-Karten, Endgeräte, Verträge):

• Zuordnung von SIM-Karten und Endgeräten zu Mitarbeitern
• Übersicht über Vertragslaufzeiten und Kündigungsfristen
• Bestandsberichte

Kategorien betroffener Personen	Art der Daten	Dauer der Verarbeitung	Ort der Verarbeitung
Mitarbeiter des Auftraggebers, die geschäftliche TK-Verträge oder Endgeräte nutzen	Personalstammdaten (Name, Abteilung), Gerätedaten (IMEI, Seriennummer), SIM-Daten (Rufnummer, SIM-Nr.), Vertragszuordnungen	Vertragslaufzeit + 3 Jahre (Verjährung), danach Löschung innerhalb von 6 Monaten	EU (Supabase EU-Region Frankfurt)

Prozess: Kundenportal & Team-Verwaltung (SaaS)

Bereitstellung eines mandantenexklusiven, webbasierten Kundenportals (eigene Subdomain je Auftraggeber, z. B. „kunde.commsos.de“) zur Selbstverwaltung:

• Login und Authentifizierung (Login per 8-stelligem Einmal-Code (OTP) per E-Mail)
• Einladung und Verwaltung eigener Team-Mitglieder durch den Auftraggeber, inklusive Rollen-/Rechte-Zuweisung
• Einsicht in Analysen, Dashboards und Berichte
• Upload von Dokumenten
• Kommunikation mit dem Auftragnehmer (Aufgaben, Hinweise, interne Notizen)
• Audit-Trail aller administrativen Aktionen

Kategorien betroffener Personen	Art der Daten	Dauer der Verarbeitung	Ort der Verarbeitung
Ansprechpartner, Administratoren und eingeladene Team-Mitglieder des Auftraggebers	Kontaktdaten (Name, E-Mail, Telefon), Authentifizierungsdaten (E-Mail-Adresse zur Zustellung des Einmal-Codes, OTP), Rollen-/Berechtigungsinformationen, Einladungs- und Annahme-Zeitstempel, Nutzungsdaten (Login-Zeitpunkte, IP-Adressen, User-Agent)	Vertragslaufzeit, Löschung innerhalb von 3 Monaten nach Vertragsende; Audit-Logs bis zu 3 Jahre	EU (Supabase EU-Region Frankfurt, Vercel EU Edge)

Prozess: Ausschreibungs- und Beschaffungsmanagement (RFP / Procurement)

Vorbereitung, Durchführung und Auswertung von Beschaffungs- und Ausschreibungsprozessen für den Auftraggeber:

• Anlage von Beschaffungsprojekten und Ausschreibungen (RFP) auf Basis des Bedarfs des Auftraggebers
• Einladung ausgewählter Anbieter in ein separates, mandantengetrenntes Bieter-Portal
• Erfassung von Angeboten, Preisen, technischen und kommerziellen Konditionen
• Verhandlungsrunden, Punkte- und Scoring-Auswertung, Vergabe-Empfehlung
• Dokumentation der Vergabe-Entscheidung und Übergang in das Vertrags- und Asset-Management

Kategorien betroffener Personen	Art der Daten	Dauer der Verarbeitung	Ort der Verarbeitung
Auf Käufer-Seite: Entscheider und fachliche Ansprechpartner des Auftraggebers	Name, dienstliche Kontaktdaten, Rolle/Funktion, Aktivitäten im Vergabeprozess	Projektlaufzeit + Vergabe-Dokumentationsfrist (i. d. R. 3 Jahre nach Vergabe-Entscheidung)	EU (Supabase EU-Region Frankfurt)
Auf Anbieter-Seite: benannte Ansprechpartner der eingeladenen Anbieter	Name, dienstliche E-Mail, Telefon, Funktion, abgegebene Angebote, Verhandlungsbeiträge, Bieter-Portal-Login	Projektlaufzeit + Vergabe-Dokumentationsfrist (i. d. R. 3 Jahre nach Vergabe-Entscheidung); danach Anonymisierung der Bieter-Statistik möglich	EU (Supabase EU-Region Frankfurt)

*Hinweis zur Anbieter-Seite:* Die Verarbeitung von Anbieter-Personendaten erfolgt im Auftrag und im rechtlichen Verantwortungsbereich des Auftraggebers als Vergabestelle. Die Anbieter werden durch den Auftraggeber im Rahmen seines Beschaffungsprozesses zur Teilnahme eingeladen; der Auftragnehmer stellt hierfür ausschließlich die technische Plattform bereit.

---

Anlage 2 – Unterauftragnehmer

Die personenbezogenen Daten des Auftraggebers werden ausschließlich in der Europäischen Union (Region Frankfurt am Main) verarbeitet und gespeichert. Der Auftragnehmer hat mit allen unten genannten Subunternehmern verbindliche Data Processing Agreements (DPA) sowie – soweit der Vertragspartner seinen Sitz außerhalb der EU/des EWR hat – die EU-Standardvertragsklauseln (SCC, Modul 3 „Processor-to-Processor“) gemäß Durchführungsbeschluss (EU) 2021/914 in der jeweils aktuellen Fassung wirksam abgeschlossen. Ergänzende technische und organisatorische Schutzmaßnahmen (Verschlüsselung, Region-Pinning, Need-to-know) sind dokumentiert und kompensieren etwaige Restrisiken eines Drittlandtransfers gemäß den Vorgaben des EDSA.

Nr.	Unternehmen	Sitz	Zweck	Verarbeitungs- und Speicherort	Daten	Schutzmaßnahmen
1	Supabase Inc.	970 Toa Payoh North #07-04, Singapore 318992	Datenbank (Postgres), Authentifizierung, Object-Storage für hochgeladene Dokumente	**EU – Frankfurt am Main (AWS Region eu-central-1)**; technisch erzwungenes Region-Pinning, kein Transfer in andere Regionen	Alle in Anlage 1 genannten Daten	DPA + SCC abgeschlossen; Verschlüsselung at-rest (AES-256) und in-transit (TLS 1.2+); RLS-basierte Mandantentrennung; Zugriff Supabase-Personal nur auf Anforderung des Auftragnehmers und protokolliert (SOC 2 Type II)
2	Vercel Inc.	440 N Barranca Ave #4133, Covina, CA 91723, USA	Auslieferung des Web-Frontends (statische Assets, Edge-Routing)	**EU Edge Region (Frankfurt)** für Endkunden-Requests; keine persistente Speicherung personenbezogener Inhaltsdaten, ausschließlich flüchtige Request-Durchleitung; Logs (IP, User-Agent, Pfad) gepinnt auf EU-Region	Verbindungsmetadaten, keine fachlichen Inhaltsdaten	DPA + SCC abgeschlossen; HTTPS-Erzwingung; Logs auf 30 Tage TTL begrenzt; kein Zugriff auf Datenbank- oder Storage-Inhalte
3	Resend (Resend, Inc.)	2261 Market St #4667, San Francisco, CA 94114, USA	Transaktionaler E-Mail-Versand (Login-Codes, System-Benachrichtigungen)	**EU-Sending-Region (Frankfurt)**	Empfänger-E-Mail, Anzeigename, Inhalt der jeweiligen System-E-Mail	DPA + SCC abgeschlossen; Logs auf EU-Region begrenzt; Bounce-Daten 30 Tage

Region-Pinning: Der Auftragnehmer prüft mindestens jährlich die korrekte Konfiguration der EU-Region-Bindung bei allen Subunternehmern und dokumentiert das Ergebnis.

Drittlandtransfer: Ein Zugriff auf Klartextdaten aus Drittländern ist nach derzeitigem Setup nicht vorgesehen. Bei behördlich angeordneten Zugriffsversuchen aus Drittländern verpflichten sich Auftragnehmer und Subunternehmer zur Geltendmachung aller verfügbaren Rechtsbehelfe und zur unverzüglichen Information des Auftraggebers, soweit gesetzlich zulässig.

Transfer Impact Assessment (TIA): Der Auftragnehmer hat für jeden der oben genannten Sub-Auftragsverarbeiter ein dokumentiertes Transfer Impact Assessment gemäß EDSA-Empfehlung 01/2020 durchgeführt (Schrems II-konform). Die TIAs bewerten Verarbeitung, Drittlandsrecht, zusätzliche technische, organisatorische und vertragliche Schutzmaßnahmen sowie das Restrisiko und werden mindestens jährlich sowie anlassbezogen aktualisiert. Auf schriftliche Anforderung des Auftraggebers werden die aktuellen TIAs innerhalb von 10 Werktagen zur Verfügung gestellt.

---

Anlage 3 – Technisch-Organisatorische Maßnahmen (TOMs)

Stand der hier dokumentierten Maßnahmen: Vertragsabschlussdatum. Der Auftragnehmer überprüft die TOMs mindestens jährlich sowie anlassbezogen (Incidents, neue Verarbeitungen, Änderungen bei Subunternehmern) und dokumentiert das Ergebnis intern.

Vertraulichkeit (Art. 32 Abs. 1 lit. b DS-GVO)

Zutrittskontrolle (physische Räumlichkeiten)

Technische Maßnahmen	Organisatorische Maßnahmen
Zutritt zu Geschäftsräumen über elektronisches Schließsystem	Besucher werden registriert und begleitet
Keine Vor-Ort-Datenverarbeitung auf eigenen Servern – Produktivsysteme ausschließlich beim Subunternehmer (Anlage 2)	Clean-Desk-Policy in Räumen mit Kundendaten

Zugangskontrolle (Systemzugang)

Technische Maßnahmen	Organisatorische Maßnahmen
Login der Endnutzer ausschließlich über kurzlebige 8-stellige Einmal-Codes (OTP) per E-Mail; keine dauerhaften Passwörter	Dokumentierte Authentifizierungsrichtlinie für Endnutzer (OTP-Lebensdauer, Sperrung nach Fehlversuchen)
Multi-Faktor-Authentifizierung (MFA) für alle administrativen Zugänge (Supabase, Vercel, Cloudflare, GitHub)	Dokumentierte Passwort- und Authentifizierungsrichtlinie für administrative Zugänge (Mindestlänge, Wiederverwendungsverbot, Passwortmanager-Pflicht)
Verschlüsselte Speicherung administrativer Authentifizierungsdaten (Argon2 via Supabase Auth)	Vertraulichkeitsverpflichtung (NDA) aller Mitarbeiter und externen Mitwirkenden vor Aufnahme der Tätigkeit, schriftlich dokumentiert
Automatische Session-Timeouts und Re-Authentifizierung bei sensiblen Aktionen	Verpflichtende Datenschutz- und Informationssicherheits-Schulung bei Eintritt sowie jährliche Auffrischung; Schulungsnachweise werden vorgehalten
Festplattenverschlüsselung auf allen Endgeräten (FileVault / BitLocker)	Dokumentierter Onboarding- und Offboarding-Prozess (Zugriffsentzug innerhalb von 24 h nach Austritt, Geräterückgabe, Schlüssel- und Token-Rotation)
Zentrale Geräteverwaltung mit erzwungener Bildschirmsperre und automatischen Sicherheitsupdates

Zugriffskontrolle (Berechtigungsmanagement)

Technische Maßnahmen	Organisatorische Maßnahmen
Row Level Security (RLS) auf allen Datenbanktabellen mit personenbezogenen Daten	Need-to-know- und Least-Privilege-Prinzip
Mandantentrennung: jeder Kunde sieht ausschließlich eigene Daten (technisch erzwungen)	Dokumentiertes Rollen- und Berechtigungskonzept
Strikte Trennung von Admin- und Kundenrollen	**Regelmäßige Rezertifizierung der Zugriffsrechte (mindestens halbjährlich)**, Ergebnis wird dokumentiert
Service-Keys ausschließlich serverseitig, niemals im Frontend	Privilegierte Konten (Owner / Admin) werden gesondert geführt und jährlich überprüft
Audit-Logging aller administrativen Datenzugriffe

Trennungskontrolle

Technische Maßnahmen	Organisatorische Maßnahmen
Logische Mandantentrennung durch Row Level Security (RLS) auf Datenbankebene	Dokumentiertes Mandantenkonzept
Zusätzliche Mandantenisolation auf URL-/Subdomain-Ebene: jedem Auftraggeber wird eine eigene Subdomain (z. B. „kunde.commsos.de") zugewiesen
Server-seitiger TenantGuard erzwingt bei jeder authentifizierten Anfrage, dass der angemeldete Nutzer zur Subdomain berechtigt ist (Auth-Tenant-Match)
Vollständig getrennte Supabase-Projekte für Produktion, Staging und Entwicklung	Striktes Verbot der Verarbeitung produktiver Kundendaten in Test-/Entwicklungsumgebungen
Kundenspezifische Storage-Buckets mit eigenen Zugriffsregeln
Strikte Trennung des Bieter-/Anbieter-Portals (separate Auth-Rolle, eigene RLS-Policies, kein Zugriff auf Käufer-/Mandantendaten)

Integrität (Art. 32 Abs. 1 lit. b DS-GVO)

Weitergabekontrolle

Technische Maßnahmen	Organisatorische Maßnahmen
TLS 1.2+ / HTTPS-Erzwingung für alle Datenübertragungen (HSTS)	Dokumentierte Verschlüsselungsrichtlinie
Verschlüsselung at-rest (AES-256 via Supabase / AWS KMS)	Dokumentierte Datenexport-Prozesse (nur für berechtigte Kunden-Admins)
Private Storage-Buckets mit signierten Kurzzeit-URLs	Verbot des Versands personenbezogener Daten über unverschlüsselte Kanäle

Eingabekontrolle

Technische Maßnahmen	Organisatorische Maßnahmen
Automatische Zeitstempel (created_at, updated_at, geänderter Nutzer) auf allen Tabellen mit personenbezogenen Daten	Dokumentierte Änderungs- und Freigabeprozesse
Audit-Logs (Supabase + Anwendungs-Layer) für administrative Aktionen	Nachvollziehbarkeit aller Datenänderungen durch eindeutige Nutzer-Identifikation

Verfügbarkeit und Belastbarkeit (Art. 32 Abs. 1 lit. b DS-GVO)

Technische Maßnahmen	Organisatorische Maßnahmen
Tägliche automatische Sicherungen durch den Datenbank-Dienstleister (Supabase managed Backups)	Dokumentierter Backup- und Wiederanlaufplan
**Zusätzlich stündliche vollständige Datenbank-Sicherungen** in einer vom Cloud-Konto des Auftragnehmers unabhängigen Ablage; vorgehalten werden die jeweils letzten 14 Stände je Verarbeitungssystem	Zweite, vom Cloud-Anbieter unabhängige Sicherungskopie — schützt auch gegen Konto-Verlust oder versehentliche Löschung auf Anbieterseite
**Mindestens jährliche dokumentierte Restore-Tests** zur Verifikation der Wiederherstellbarkeit	Definierte Wiederherstellungs- und Reaktionszeiten je Verarbeitungstätigkeit
Geo-redundante Auslieferung über Vercel Edge Network	Eskalationspfade bei Ausfall (Alerting → Geschäftsführung → Kunde)
Automatische Skalierung und Health-Monitoring

Wiederherstellungs-Soll-Werte (RTO / RPO):

Kategorie	RPO (max. tolerierbarer Datenverlust)	RTO (max. tolerierbare Ausfallzeit)
Produktive Kernfunktionen (Auth, Analyse-Dashboard, Datenabruf)	**≤ 24 Stunden**	**≤ 8 Stunden**
Datei-Uploads / Berichte / Dokumente	≤ 24 Stunden	≤ 24 Stunden
Audit-Logs und historische Reports	≤ 24 Stunden	≤ 72 Stunden

Die Einhaltung dieser Werte wird im Rahmen der mindestens jährlichen Restore-Tests verifiziert und dokumentiert.

Verfahren zur regelmäßigen Überprüfung (Art. 32 Abs. 1 lit. d DS-GVO)

Technische Maßnahmen	Organisatorische Maßnahmen
Automatisierte Sicherheitsupdates und Dependency-Scanning (z. B. Dependabot, Aikido)	Jährliche Überprüfung dieses TOM-Katalogs und der Wirksamkeit der Maßnahmen
Code-Review-Pflicht vor Produktiv-Deployment	Datenschutz und Informationssicherheit sind feste Bestandteile des Entwicklungs- und Release-Prozesses (Privacy by Design / by Default)
Quartalsweise Compliance-Scan (Aikido, Supabase Advisors, Prowler)	Anlassbezogene Überprüfungen nach Sicherheitsvorfällen oder Änderungen bei Subunternehmern

Incident- und Datenschutzvorfall-Management

Maßnahme	Beschreibung
**Dokumentierter Incident-Response-Plan**	Definierte Rollen (Incident Lead, Kommunikation, Forensik), Eskalationsstufen und Reaktionszeiten
**Meldekette**	Erstanalyse innerhalb von 24 h nach Kenntnis; Meldung an den Auftraggeber gemäß Ziff. 8 dieses Vertrags innerhalb von 72 h
Zentrale Vorfall-Mailbox	privacy@commsos.de (Betreff „SECURITY INCIDENT") + Telefon-Eskalation
Lessons-Learned-Pflicht	Nach jedem meldepflichtigen Vorfall werden Ursachen, Maßnahmen und Verbesserungen dokumentiert und in die TOMs zurückgeführt
Externe Unterstützung	Bei Bedarf Hinzuziehung von externem Datenschutzberater und IT-Forensik-Dienstleister

Auftragskontrolle (gegenüber Subunternehmern)

Maßnahme	Beschreibung
Schriftlicher Auftragsverarbeitungsvertrag mit jedem Subunternehmer aus Anlage 2	inklusive SCC bei Drittlandbezug
Jährliche Prüfung der Subunternehmer	Auswertung von Audit-Berichten (z. B. SOC 2, ISO 27001) bzw. Selbstauskünften
Region-Pinning-Verifikation	Mindestens jährliche Kontrolle der EU-Region-Konfiguration

---

Anlage 4 – Kontaktpersonen

Auftragnehmer (Comms Connect GmbH)

Verantwortlicher Ansprechpartner (Geschäftsführung):

Rainer Roloff (Geschäftsführer)

E-Mail: info@comms-connect.de

Telefon: +49 89 4522 1556

Operativer Produkt-Kontakt (Weisungen, technische und vertragsbezogene Anfragen zum laufenden Betrieb von „Comms OS“):

support@commsos.de

(werktägliche Bearbeitung, Reaktion in der Regel innerhalb von zwei Werktagen)

Datenschutz-Anfragen (Art. 13/14, 15–22, 33 DS-GVO):

privacy@commsos.de

(monitorisierte Mailbox, Eingang wird werktäglich bearbeitet)

Meldungen bei Datenschutzvorfällen (24/7):

privacy@commsos.de mit Betreff „SECURITY INCIDENT“ sowie telefonisch unter +49 89 4522 1556

Auftraggeber

Verantwortlicher Ansprechpartner:

[Name]

E-Mail: [E-Mail-Adresse]

Telefon: [Telefonnummer]