Auftragsverarbeitungsvertrag (AVV)

zwischen Consenter und dem Kunden (Website-Anbieter) Juni 2026

Die Law & Innovation Technology GmbH (wie folgt L&I) betreibt einen Vertrauensdienst, über den datenschutzrelevante Entscheidungen angefragt bzw. getroffen, insb. eine informierte Einwilligung eingeholt bzw. abgegeben werden kann (im Folgenden Consenter genannt).

Consenter wurde auf Basis eines interdisziplinären Forschungs- und Entwicklungsprozesses entwickelt, dessen Ziel die Berücksichtigung und Weiterentwicklung des Stands der Technik für die wirksame Umsetzung informierter Einwilligungen gemäß Art. 25 und 32 DSGVO ist. Soweit technisch möglich und wirtschaftlich zumutbar, orientiert sich die Ausgestaltung von Consenter an empirisch nachgewiesenen Verfahren zur Erhöhung der Wirksamkeit von Transparenz-, Einwilligungs- und Kontrollmechanismen.

Consenter umfasst das Consenter Cookie Banner, das Kunden über den Consenter Manager konfigurieren können und das über eine technische API sowie die sogenannte Übergabemitteilung mit dem Consenter Einwilligungsagenten kommunizieren kann, und das Risk Assessment Centre (siehe die einzelnen Komponenten des Dienstes auf der Website www.consenter.eu/de). Zu diesem Zweck verarbeitet Consenter im Auftrag des Kunden (im Folgenden „Verantwortlicher") personenbezogene Daten dessen Endnutzer. Der vorliegende Auftragsverarbeitungsvertrag legt die Bedingungen fest, unter denen Consenter personenbezogene Daten für den Kunden verarbeiten darf.

---

Teil I: EU-Standardvertragsklauseln (2021/915)

ABSCHNITT I

Klausel 1 — Zweck und Anwendungsbereich

a) Mit diesen Standardvertragsklauseln (im Folgenden „Klauseln") soll die Einhaltung von Artikel 28 Absätze 3 und 4 der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung) bzw. Artikel 29 Absätze 3 und 4 der Verordnung (EU) 2018/1725 des Europäischen Parlaments und des Rates vom 23. Oktober 2018 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten durch die Organe, Einrichtungen und sonstigen Stellen der Union, zum freien Datenverkehr und zur Aufhebung der Verordnung (EG) Nr. 45/2001 und des Beschlusses Nr. 1247/2002/EG sichergestellt werden.

b) Die in Anhang I aufgeführten Verantwortlichen und Auftragsverarbeiter haben diesen Klauseln zugestimmt, um die Einhaltung von Artikel 28 Absätze 3 und 4 der Verordnung (EU) 2016/679 und/oder Artikel 29 Absätze 3 und 4 der Verordnung (EU) 2018/1725 zu gewährleisten.

c) Diese Klauseln gelten für die Verarbeitung personenbezogener Daten gemäß Anhang II.

d) Die Anhänge I bis IV sind Bestandteil der Klauseln.

e) Diese Klauseln gelten unbeschadet der Verpflichtungen, denen der Verantwortliche gemäß der Verordnung (EU) 2016/679 und/oder der Verordnung (EU) 2018/1725 unterliegt.

f) Diese Klauseln stellen für sich allein genommen nicht sicher, dass die Verpflichtungen im Zusammenhang mit internationalen Datenübermittlungen gemäß Kapitel V der Verordnung (EU) 2016/679 und/oder der Verordnung (EU) 2018/1725 erfüllt werden.

Klausel 2 — Unabänderbarkeit der Klauseln

a) Die Parteien verpflichten sich, die Klauseln nicht zu ändern, es sei denn, zur Ergänzung oder Aktualisierung der in den Anhängen angegebenen Informationen.

b) Dies hindert die Parteien nicht daran die in diesen Klauseln festgelegten Standardvertragsklauseln in einen umfangreicheren Vertrag aufzunehmen und weitere Klauseln oder zusätzliche Garantien hinzuzufügen, sofern diese weder unmittelbar noch mittelbar im Widerspruch zu den Klauseln stehen oder die Grundrechte oder Grundfreiheiten der betroffenen Personen beschneiden.

Klausel 3 — Auslegung

a) Werden in diesen Klauseln die in der Verordnung (EU) 2016/679 bzw. der Verordnung (EU) 2018/1725 definierten Begriffe verwendet, so haben diese Begriffe dieselbe Bedeutung wie in der betreffenden Verordnung.

b) Diese Klauseln sind im Lichte der Bestimmungen der Verordnung (EU) 2016/679 bzw. der Verordnung (EU) 2018/1725 auszulegen.

c) Diese Klauseln dürfen nicht in einer Weise ausgelegt werden, die den in der Verordnung (EU) 2016/679 oder der Verordnung (EU) 2018/1725 vorgesehenen Rechten und Pflichten zuwiderläuft oder die Grundrechte oder Grundfreiheiten der betroffenen Personen beschneidet.

Klausel 4 — Vorrang

Im Falle eines Widerspruchs zwischen diesen Klauseln und den Bestimmungen damit zusammenhängender Vereinbarungen, die zwischen den Parteien bestehen oder später eingegangen oder geschlossen werden, haben diese Klauseln Vorrang.

Klausel 5 — Kopplungsklausel

a) Eine Einrichtung, die nicht Partei dieser Klauseln ist, kann diesen Klauseln mit Zustimmung aller Parteien jederzeit als Verantwortlicher oder als Auftragsverarbeiter beitreten, indem sie die Anhänge ausfüllt und Anhang I unterzeichnet.

b) Nach Ausfüllen und Unterzeichnen der unter Buchstabe a genannten Anhänge wird die beitretende Einrichtung als Partei dieser Klauseln behandelt und hat die Rechte und Pflichten eines Verantwortlichen oder eines Auftragsverarbeiters entsprechend ihrer Bezeichnung in Anhang I.

c) Für die beitretende Einrichtung gelten für den Zeitraum vor ihrem Beitritt als Partei keine aus diesen Klauseln resultierenden Rechte oder Pflichten.

---

ABSCHNITT II — PFLICHTEN DER PARTEIEN

Klausel 6 — Beschreibung der Verarbeitung

Die Einzelheiten der Verarbeitungsvorgänge, insbesondere die Kategorien personenbezogener Daten und die Zwecke, für die die personenbezogenen Daten im Auftrag des Verantwortlichen verarbeitet werden, sind in Anhang II aufgeführt.

Klausel 7 — Pflichten der Parteien

7.1. Weisungen

a) Der Auftragsverarbeiter verarbeitet personenbezogene Daten nur auf dokumentierte Weisung des Verantwortlichen, es sei denn, er ist nach Unionsrecht oder nach dem Recht eines Mitgliedstaats, dem er unterliegt, zur Verarbeitung verpflichtet. In einem solchen Fall teilt der Auftragsverarbeiter dem Verantwortlichen diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht dies nicht wegen eines wichtigen öffentlichen Interesses verbietet. Der Verantwortliche kann während der gesamten Dauer der Verarbeitung personenbezogener Daten weitere Weisungen erteilen. Diese Weisungen sind stets zu dokumentieren.

b) Der Auftragsverarbeiter informiert den Verantwortlichen unverzüglich, wenn er der Auffassung ist, dass vom Verantwortlichen erteilte Weisungen gegen die Verordnung (EU) 2016/679, die Verordnung (EU) 2018/1725 oder geltende Datenschutzbestimmungen der Union oder der Mitgliedstaaten verstoßen.

7.2. Zweckbindung

Der Auftragsverarbeiter verarbeitet die personenbezogenen Daten nur für den/die in Anhang II genannten spezifischen Zweck(e), sofern er keine weiteren Weisungen des Verantwortlichen erhält.

7.3. Dauer der Verarbeitung personenbezogener Daten

Die Daten werden vom Auftragsverarbeiter nur für die in Anhang II angegebene Dauer verarbeitet.

7.4. Sicherheit der Verarbeitung

a) Der Auftragsverarbeiter ergreift mindestens die in Anhang III aufgeführten technischen und organisatorischen Maßnahmen, um die Sicherheit der personenbezogenen Daten zu gewährleisten. Dies umfasst den Schutz der Daten vor einer Verletzung der Sicherheit, die, ob unbeabsichtigt oder unrechtmäßig, zur Vernichtung, zum Verlust, zur Veränderung oder zur unbefugten Offenlegung von beziehungsweise zum unbefugten Zugang zu den Daten führt (im Folgenden „Verletzung des Schutzes personenbezogener Daten"). Bei der Beurteilung des angemessenen Schutzniveaus tragen die Parteien dem Stand der Technik, den Implementierungskosten, der Art, dem Umfang, den Umständen und den Zwecken der Verarbeitung sowie den für die betroffenen Personen verbundenen Risiken gebührend Rechnung.

b) Der Auftragsverarbeiter gewährt seinem Personal nur insoweit Zugang zu den personenbezogenen Daten, die Gegenstand der Verarbeitung sind, als dies für die Durchführung, Verwaltung und Überwachung des Vertrags unbedingt erforderlich ist. Der Auftragsverarbeiter gewährleistet, dass sich die zur Verarbeitung der erhaltenen personenbezogenen Daten befugten Personen zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen.

7.5. Sensible Daten

Falls die Verarbeitung personenbezogene Daten betrifft, aus denen die rassische oder ethnische Herkunft, politische Meinungen, religiöse oder weltanschauliche Überzeugungen oder die Gewerkschaftszugehörigkeit hervorgehen, oder die genetische Daten oder biometrische Daten zum Zweck der eindeutigen Identifizierung einer natürlichen Person, Daten über die Gesundheit, das Sexualleben oder die sexuelle Ausrichtung einer Person oder Daten über strafrechtliche Verurteilungen und Straftaten enthalten (im Folgenden „sensible Daten"), wendet der Auftragsverarbeiter spezielle Beschränkungen und/oder zusätzlichen Garantien an.

7.6. Dokumentation und Einhaltung der Klauseln

a) Die Parteien müssen die Einhaltung dieser Klauseln nachweisen können.

b) Der Auftragsverarbeiter bearbeitet Anfragen des Verantwortlichen bezüglich der Verarbeitung von Daten gemäß diesen Klauseln umgehend und in angemessener Weise.

c) Der Auftragsverarbeiter stellt dem Verantwortlichen alle Informationen zur Verfügung, die für den Nachweis der Einhaltung der in diesen Klauseln festgelegten und unmittelbar aus der Verordnung (EU) 2016/679 und/oder der Verordnung (EU) 2018/1725 hervorgehenden Pflichten erforderlich sind. Auf Verlangen des Verantwortlichen gestattet der Auftragsverarbeiter ebenfalls die Prüfung der unter diese Klauseln fallenden Verarbeitungstätigkeiten in angemessenen Abständen oder bei Anzeichen für eine Nichteinhaltung und trägt zu einer solchen Prüfung bei. Bei der Entscheidung über eine Überprüfung oder Prüfung kann der Verantwortliche einschlägige Zertifizierungen des Auftragsverarbeiters berücksichtigen.

d) Der Verantwortliche kann die Prüfung selbst durchführen oder einen unabhängigen Prüfer beauftragen. Die Prüfungen können auch Inspektionen in den Räumlichkeiten oder physischen Einrichtungen des Auftragsverarbeiters umfassen und werden gegebenenfalls mit angemessener Vorankündigung durchgeführt.

e) Die Parteien stellen der/den zuständigen Aufsichtsbehörde(n) die in dieser Klausel genannten Informationen, einschließlich der Ergebnisse von Prüfungen, auf Anfrage zur Verfügung.

7.7. Einsatz von Unterauftragsverarbeitern

a) Der Auftragsverarbeiter besitzt die allgemeine Genehmigung des Verantwortlichen für die Beauftragung von Unterauftragsverarbeitern, die in einer vereinbarten Liste aufgeführt sind. Der Auftragsverarbeiter unterrichtet den Verantwortlichen mindestens 2 Wochen im Voraus ausdrücklich in schriftlicher Form über alle beabsichtigten Änderungen dieser Liste durch Hinzufügen oder Ersetzen von Unterauftragsverarbeitern und räumt dem Verantwortlichen damit ausreichend Zeit ein, um vor der Beauftragung des/der betreffenden Unterauftragsverarbeiter/s Einwände gegen diese Änderungen erheben zu können. Der Auftragsverarbeiter stellt dem Verantwortlichen die erforderlichen Informationen zur Verfügung, damit dieser sein Widerspruchsrecht ausüben kann.

b) Beauftragt der Auftragsverarbeiter einen Unterauftragsverarbeiter mit der Durchführung bestimmter Verarbeitungstätigkeiten (im Auftrag des Verantwortlichen), so muss diese Beauftragung im Wege eines Vertrags erfolgen, der dem Unterauftragsverarbeiter im Wesentlichen dieselben Datenschutzpflichten auferlegt wie diejenigen, die für den Auftragsverarbeiter gemäß diesen Klauseln gelten. Der Auftragsverarbeiter stellt sicher, dass der Unterauftragsverarbeiter die Pflichten erfüllt, denen der Auftragsverarbeiter entsprechend diesen Klauseln und gemäß der Verordnung (EU) 2016/679 und/oder der Verordnung (EU) 2018/1725 unterliegt.

c) Der Auftragsverarbeiter stellt dem Verantwortlichen auf dessen Verlangen eine Kopie einer solchen Untervergabevereinbarung und etwaiger späterer Änderungen zur Verfügung. Soweit es zum Schutz von Geschäftsgeheimnissen oder anderen vertraulichen Informationen, einschließlich personenbezogener Daten notwendig ist, kann der Auftragsverarbeiter den Wortlaut der Vereinbarung vor der Weitergabe einer Kopie unkenntlich machen.

d) Der Auftragsverarbeiter haftet gegenüber dem Verantwortlichen in vollem Umfang dafür, dass der Unterauftragsverarbeiter seinen Pflichten gemäß dem mit dem Auftragsverarbeiter geschlossenen Vertrag nachkommt. Der Auftragsverarbeiter benachrichtigt den Verantwortlichen, wenn der Unterauftragsverarbeiter seine vertraglichen Pflichten nicht erfüllt.

e) Der Auftragsverarbeiter vereinbart mit dem Unterauftragsverarbeiter eine Drittbegünstigtenklausel, wonach der Verantwortliche – im Falle, dass der Auftragsverarbeiter faktisch oder rechtlich nicht mehr besteht oder zahlungsunfähig ist – das Recht hat, den Untervergabevertrag zu kündigen und den Unterauftragsverarbeiter anzuweisen, die personenbezogenen Daten zu löschen oder zurückzugeben.

7.8. Internationale Datenübermittlungen

a) Jede Übermittlung von Daten durch den Auftragsverarbeiter an ein Drittland oder eine internationale Organisation erfolgt ausschließlich auf der Grundlage dokumentierter Weisungen des Verantwortlichen oder zur Einhaltung einer speziellen Bestimmung nach dem Unionsrecht oder dem Recht eines Mitgliedstaats, dem der Auftragsverarbeiter unterliegt, und muss mit Kapitel V der Verordnung (EU) 2016/679 oder der Verordnung (EU) 2018/1725 im Einklang stehen.

b) Der Verantwortliche erklärt sich damit einverstanden, dass in Fällen, in denen der Auftragsverarbeiter einen Unterauftragsverarbeiter gemäß Klausel 7.7 für die Durchführung bestimmter Verarbeitungstätigkeiten (im Auftrag des Verantwortlichen) in Anspruch nimmt und diese Verarbeitungstätigkeiten eine Übermittlung personenbezogener Daten im Sinne von Kapitel V der Verordnung (EU) 2016/679 beinhalten, der Auftragsverarbeiter und der Unterauftragsverarbeiter die Einhaltung von Kapitel V der Verordnung (EU) 2016/679 sicherstellen können, indem sie Standardvertragsklauseln verwenden, die von der Kommission gemäß Artikel 46 Absatz 2 der Verordnung (EU) 2016/679 erlassen wurden, sofern die Voraussetzungen für die Anwendung dieser Standardvertragsklauseln erfüllt sind.

Klausel 8 — Unterstützung des Verantwortlichen

a) Der Auftragsverarbeiter unterrichtet den Verantwortlichen unverzüglich über jeden Antrag, den er von der betroffenen Person erhalten hat. Er beantwortet den Antrag nicht selbst, es sei denn, er wurde vom Verantwortlichen dazu ermächtigt.

b) Unter Berücksichtigung der Art der Verarbeitung unterstützt der Auftragsverarbeiter den Verantwortlichen bei der Erfüllung von dessen Pflicht, Anträge betroffener Personen auf Ausübung ihrer Rechte zu beantworten. Bei der Erfüllung seiner Pflichten gemäß den Buchstaben a und b befolgt der Auftragsverarbeiter die Weisungen des Verantwortlichen.

c) Abgesehen von der Pflicht des Auftragsverarbeiters, den Verantwortlichen gemäß Klausel 8 Buchstabe b zu unterstützen, unterstützt der Auftragsverarbeiter unter Berücksichtigung der Art der Datenverarbeitung und der ihm zur Verfügung stehenden Informationen den Verantwortlichen zudem bei der Einhaltung der folgenden Pflichten:

1. Pflicht zur Durchführung einer Abschätzung der Folgen der vorgesehenen Verarbeitungsvorgänge für den Schutz personenbezogener Daten (im Folgenden „Datenschutz-Folgenabschätzung"), wenn eine Form der Verarbeitung voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen zur Folge hat;
2. Pflicht zur Konsultation der zuständigen Aufsichtsbehörde(n) vor der Verarbeitung, wenn aus einer Datenschutz-Folgenabschätzung hervorgeht, dass die Verarbeitung ein hohes Risiko zur Folge hätte, sofern der Verantwortliche keine Maßnahmen zur Eindämmung des Risikos trifft;
3. Pflicht zur Gewährleistung, dass die personenbezogenen Daten sachlich richtig und auf dem neuesten Stand sind, indem der Auftragsverarbeiter den Verantwortlichen unverzüglich unterrichtet, wenn er feststellt, dass die von ihm verarbeiteten personenbezogenen Daten unrichtig oder veraltet sind;
4. Verpflichtungen gemäß Artikel 32 der Verordnung (EU) 2016/679 bzw. Artikel 33 und Artikel 36 bis 38 der Verordnung (EU) 2018/1725.

d) Die Parteien legen in Anhang III die geeigneten technischen und organisatorischen Maßnahmen zur Unterstützung des Verantwortlichen durch den Auftragsverarbeiter bei der Anwendung dieser Klausel sowie den Anwendungsbereich und den Umfang der erforderlichen Unterstützung fest.

Klausel 9 — Meldung von Verletzungen des Schutzes personenbezogener Daten

Im Falle einer Verletzung des Schutzes personenbezogener Daten arbeitet der Auftragsverarbeiter mit dem Verantwortlichen zusammen und unterstützt ihn entsprechend, damit der Verantwortliche seinen Verpflichtungen gemäß den Artikeln 33 und 34 der Verordnung (EU) 2016/679 oder gegebenenfalls den Artikeln 34 und 35 der Verordnung (EU) 2018/1725 nachkommen kann, wobei der Auftragsverarbeiter die Art der Verarbeitung und die ihm zur Verfügung stehenden Informationen berücksichtigt.

9.1. Verletzung des Schutzes der vom Verantwortlichen verarbeiteten Daten

Im Falle einer Verletzung des Schutzes personenbezogener Daten im Zusammenhang mit den vom Verantwortlichen verarbeiteten Daten unterstützt der Auftragsverarbeiter den Verantwortlichen wie folgt:

a) bei der unverzüglichen Meldung der Verletzung des Schutzes personenbezogener Daten an die zuständige(n) Aufsichtsbehörde(n), nachdem dem Verantwortlichen die Verletzung bekannt wurde, sofern relevant (es sei denn, die Verletzung des Schutzes personenbezogener Daten führt voraussichtlich nicht zu einem Risiko für die persönlichen Rechte und Freiheiten natürlicher Personen);

b) bei der Einholung der folgenden Informationen, die gemäß Artikel 33 Absatz 3 der Verordnung (EU) 2016/679 bzw. Artikel 34 Absatz 3 der Verordnung (EU) 2018/1725 in der Meldung des Verantwortlichen anzugeben sind, wobei diese Informationen mindestens Folgendes umfassen müssen:

1. die Art der personenbezogenen Daten, soweit möglich, mit Angabe der Kategorien und der ungefähren Zahl der betroffenen Personen sowie der Kategorien und der ungefähren Zahl der betroffenen personenbezogenen Datensätze;
2. die wahrscheinlichen Folgen der Verletzung des Schutzes personenbezogener Daten;
3. die vom Verantwortlichen ergriffenen oder vorgeschlagenen Maßnahmen zur Behebung der Verletzung des Schutzes personenbezogener Daten und gegebenenfalls Maßnahmen zur Abmilderung ihrer möglichen nachteiligen Auswirkungen.

Wenn und soweit nicht alle diese Informationen zur gleichen Zeit bereitgestellt werden können, enthält die ursprüngliche Meldung die zu jenem Zeitpunkt verfügbaren Informationen, und weitere Informationen werden, sobald sie verfügbar sind, anschließend ohne unangemessene Verzögerung bereitgestellt;

c) bei der Einhaltung der Pflicht gemäß Artikel 34 der Verordnung (EU) 2016/679 bzw. Artikel 35 der Verordnung (EU) 2018/1725, die betroffene Person unverzüglich von der Verletzung des Schutzes personenbezogener Daten zu benachrichtigen, wenn diese Verletzung voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen zur Folge hat.

9.2. Verletzung des Schutzes der vom Auftragsverarbeiter verarbeiteten Daten

Im Falle einer Verletzung des Schutzes personenbezogener Daten im Zusammenhang mit den vom Auftragsverarbeiter verarbeiteten Daten meldet der Auftragsverarbeiter diese dem Verantwortlichen unverzüglich, nachdem ihm die Verletzung bekannt wurde. Diese Meldung muss zumindest folgende Informationen enthalten:

a) eine Beschreibung der Art der Verletzung (möglichst unter Angabe der Kategorien und der ungefähren Zahl der betroffenen Personen und der ungefähren Zahl der betroffenen Datensätze);

b) Kontaktdaten einer Anlaufstelle, bei der weitere Informationen über die Verletzung des Schutzes personenbezogener Daten eingeholt werden können;

c) die voraussichtlichen Folgen und die ergriffenen oder vorgeschlagenen Maßnahmen zur Behebung der Verletzung des Schutzes personenbezogener Daten, einschließlich Maßnahmen zur Abmilderung ihrer möglichen nachteiligen Auswirkungen.

Wenn und soweit nicht alle diese Informationen zur gleichen Zeit bereitgestellt werden können, enthält die ursprüngliche Meldung die zu jenem Zeitpunkt verfügbaren Informationen, und weitere Informationen werden, sobald sie verfügbar sind, anschließend ohne unangemessene Verzögerung bereitgestellt.

Die Parteien legen in Anhang III alle sonstigen Angaben fest, die der Auftragsverarbeiter zur Verfügung zu stellen hat, um den Verantwortlichen bei der Erfüllung von dessen Pflichten gemäß Artikel 33 und 34 der Verordnung (EU) 2016/679 bzw. Artikel 34 und 35 der Verordnung (EU) 2018/1725 zu unterstützen.

---

ABSCHNITT III — SCHLUSSBESTIMMUNGEN

Klausel 10 — Verstöße gegen die Klauseln und Beendigung des Vertrags

a) Falls der Auftragsverarbeiter seinen Pflichten gemäß diesen Klauseln nicht nachkommt, kann der Verantwortliche – unbeschadet der Bestimmungen der Verordnung (EU) 2016/679 und/oder der Verordnung (EU) 2018/1725 – den Auftragsverarbeiter anweisen, die Verarbeitung personenbezogener Daten auszusetzen, bis er diese Klauseln einhält oder der Vertrag beendet ist. Der Auftragsverarbeiter unterrichtet den Verantwortlichen unverzüglich, wenn er aus welchen Gründen auch immer nicht in der Lage ist, diese Klauseln einzuhalten.

b) Der Verantwortliche ist berechtigt, den Vertrag zu kündigen, soweit er die Verarbeitung personenbezogener Daten gemäß diesen Klauseln betrifft, wenn

1. der Verantwortliche die Verarbeitung personenbezogener Daten durch den Auftragsverarbeiter gemäß Buchstabe a ausgesetzt hat und die Einhaltung dieser Klauseln nicht innerhalb einer angemessenen Frist, in jedem Fall aber innerhalb eines Monats nach der Aussetzung, wiederhergestellt wurde;
2. der Auftragsverarbeiter in erheblichem Umfang oder fortdauernd gegen diese Klauseln verstößt oder seine Verpflichtungen gemäß der Verordnung (EU) 2016/679 und/oder der Verordnung (EU) 2018/1725 nicht erfüllt;
3. der Auftragsverarbeiter einer bindenden Entscheidung eines zuständigen Gerichts oder der zuständigen Aufsichtsbehörde(n), die seine Pflichten gemäß diesen Klauseln, der Verordnung (EU) 2016/679 und/oder der Verordnung (EU) 2018/1725 zum Gegenstand hat, nicht nachkommt.

c) Der Auftragsverarbeiter ist berechtigt, den Vertrag zu kündigen, soweit er die Verarbeitung personenbezogener Daten gemäß diesen Klauseln betrifft, wenn der Verantwortliche auf der Erfüllung seiner Anweisungen besteht, nachdem er vom Auftragsverarbeiter darüber in Kenntnis gesetzt wurde, dass seine Anweisungen gegen geltende rechtliche Anforderungen gemäß Klausel 7.1 Buchstabe b verstoßen.

d) Nach Beendigung des Vertrags löscht der Auftragsverarbeiter nach Wahl des Verantwortlichen alle im Auftrag des Verantwortlichen verarbeiteten personenbezogenen Daten und bescheinigt dem Verantwortlichen, dass dies erfolgt ist, oder er gibt alle personenbezogenen Daten an den Verantwortlichen zurück und löscht bestehende Kopien, sofern nicht nach dem Unionsrecht oder dem Recht der Mitgliedstaaten eine Verpflichtung zur Speicherung der personenbezogenen Daten besteht. Bis zur Löschung oder Rückgabe der Daten gewährleistet der Auftragsverarbeiter weiterhin die Einhaltung dieser Klauseln.

---

Teil II: Besondere Regelungen für Consenter

(siehe Teil 1 Klausel 2b) und 3a) der Standardvertragsklauseln)

1. Konkretisierung des Gegenstands, Zwecks und Ziels der Auftragsverarbeitung

1.1. Gegenstand der Auftragsverarbeitung ist die Ausführung der nachstehend beschriebenen Aufgaben durch den Auftragsverarbeiter gemäß der Leistungsbeschreibung in den Nutzungsbedingungen für den Consenter Manager und das Consenter Cookie Banner (im Folgenden „Hauptvertrag"):

1.2. Consenter bietet eine vertrauenswürdige Consent Management Platform (CMP) als Software-as-a-Service-Lösung (SaaS) an. Die CMP ermöglicht es dem Verantwortlichen:

• eigene Technologien sowie solche von Drittanbietern entsprechend den von ihnen ausgehenden Datenschutzrisiken auszuwählen und zu konfigurieren sowie das Consenter Cookie Banner entsprechend einzurichten (siehe hierzu auch Teil 1 Klausel 8 lit. c) Abs. 1);
• Einwilligungsentscheidungen sowohl von Besuchern seiner Website, die keinen Consenter Einwilligungsagenten nutzen, als auch von Besuchern seiner Website, die den Consenter Einwilligungsagenten nutzen, anzufragen, zu empfangen, zu verwalten, zu übermitteln und zu dokumentieren;
• Änderungen seines technisch-organisatorischen Systems, insb. der eingesetzten Drittanbieter in Bezug auf dadurch möglicherweise eingetretene Änderungen der Datenschutzrisiken fortlaufend zu evaluieren, ihren Nutzern bei nachfolgenden Besuchen zu kommunizieren und für diese angemessene Kontrollmöglichkeiten anzubieten ("again consent", "re-consent" und "notice & withdrawal").

Die Verarbeitungsvorgänge sind in Anhang 1 im Detail beschrieben.

Die angebotenen Funktionen dienen insbesondere der Unterstützung des Verantwortlichen bei der Umsetzung datenschutzfreundlicher Technikgestaltung (Art. 25 DSGVO) sowie der Vertraulichkeit und Sicherheit der Verarbeitung (Art. 32 DSGVO) durch geeignete technische und organisatorische Maßnahmen.

Hierzu berücksichtigt Consenter den jeweils verfügbaren Stand der Technik für informierte Einwilligungsmechanismen und entwickelt diesen ständig fort. Der Stand der Technik wird insbesondere in den folgenden Bereichen umgesetzt:

• Informiertheit und Unmissverständlichkeit der zweckspezifischen Einwilligung
• Datenminimierung bei der Implementierung von Drittanbietertools
• Kontrollmöglichkeiten der Website-Besucher im Wege der Einwilligung
• Umsetzung der Dokumentationspflichten und Signalintegrität der Einwilligung

Zu den Details des aktuellen Stands der Technik gem. Art. 25 und 32 in Verbindung mit Art. 6 und 7 sowie Art. 5 Abs. 1 lit. a, b, c, f und Abs. 2 DSGVO, siehe Annex III.

1.3. Durch die Nutzung der CMP und die Einbindung der hierfür bereitgestellten Codes werden die Skripte der individuell implementierten Technologien beim Öffnen der Website blockiert. Eine ordnungsgemäße Integration der Technologien durch den Verantwortlichen vorausgesetzt, werden diese Technologien erst nach Erteilung der Einwilligung ausgeführt; bis zur Erteilung der Einwilligung werden keine Daten erhoben. Datenverarbeitungen durch Technologien, die nicht auf Basis einer Einwilligung, sondern einer anderen Rechtsgrundlage erfolgen, werden nicht blockiert und automatisch bereitgestellt.

1.4. Dabei verarbeitet der Auftragsverarbeiter personenbezogene Daten für den Verantwortlichen im Sinne von Art. 4 Nr. 2 und Art. 28 DSGVO auf der Grundlage des Hauptvertrags.

1.5. Die Laufzeit dieser Vereinbarung entspricht der Laufzeit des Hauptvertrags.

2. Technisch-organisatorische Maßnahmen gem. Art. 28 Abs. 1 und 3 i.V.m. Art. 25 und 32 DSGVO

2.1. Der Auftragsverarbeiter entwickelt und betreibt den vertragsgegenständlichen Dienst so, dass er den Verantwortlichen gemäß Art. 28 Abs. 1 i.V.m. Art. 25 DSGVO bei der Umsetzung datenschutzfreundlicher Technikgestaltung und datenschutzfreundlicher Voreinstellungen unterstützt. Hierzu berücksichtigt der Auftragsverarbeiter den jeweils aktuellen Stand der Technik. Annex III (Abschnitt 1) erläutert das dieser Vereinbarung zugrunde liegende Verständnis des Stands der Technik und konkretisiert die Maßnahmen, mit denen der Auftragsverarbeiter den Verantwortlichen bei der Berücksichtigung des Stands der Technik gemäß Art. 25 DSGVO unterstützt (Abschnitt 2). Die Verantwortung für die datenschutzkonforme Auswahl, Konfiguration und Nutzung des bereitgestellten Dienstes bleibt beim Verantwortlichen.

2.2. Der Auftragsverarbeiter trifft darüber hinaus geeignete technisch-organisatorische Maßnahmen gemäß Art. 28 Abs. 3 lit. c) und e) sowie Art. 32 DSGVO. Dabei sind insbesondere die technischen und organisatorischen Maßnahmen so auszugestalten, dass die Vertraulichkeit, Integrität, Verfügbarkeit und Ausfallsicherheit der Systeme und Dienste im Zusammenhang mit der Datenverarbeitung dauerhaft gewährleistet sind. Diese technischen und organisatorischen Maßnahmen sind ebenfalls in Annex III (Abschnitt 3) dieser Vereinbarung beschrieben. Der Verantwortliche hat Kenntnis von diesen technischen und organisatorischen Maßnahmen und ist dafür verantwortlich, sicherzustellen, dass sie ein angemessenes Schutzniveau für die Risiken der zu verarbeitenden Daten bieten. Der Verantwortliche hat Kenntnis von diesen Maßnahmen und ist dafür verantwortlich, zu beurteilen, ob sie für die beabsichtigte Verarbeitung ein angemessenes Schutzniveau gewährleisten.

2.3. Die Maßnahmen nach vorstehenden Ziffern 2.1. und 2.2 unterliegen dem technischen Fortschritt sowie der Weiterentwicklung des Stands der Technik. Der Auftragsverarbeiter ist berechtigt, die in den Anhängen beschriebenen Maßnahmen durch gleichwertige oder weiterentwickelte Maßnahmen zu ersetzen oder zu ergänzen, sofern

• das Schutzniveau nicht unterschritten wird,
• die vertragsgemäßen Funktionen erhalten bleiben und
• die Unterstützung des Verantwortlichen bei der Umsetzung der Anforderungen der Art. 25 und 32 DSGVO hierdurch nicht vermindert wird.

Der Auftragsverarbeiter hat wesentliche Änderungen der Maßnahmen zu dokumentieren und dem Verantwortlichen auf Anfrage zur Verfügung zu stellen.

3. Fortlaufende Weiterentwicklung des Stands der Technik durch Consenter als Forschungsdemonstrator

Der Auftragsverarbeiter arbeitet fortlaufend an der Entwicklung zunehmend wirksamer technisch-organisatorischer Maßnahmen. Allerdings unterliegt die Entwicklung Änderungen gesetzlicher Anforderungen, höchstrichterlicher Rechtsprechung, verbindlicher Leitlinien zuständiger Datenschutzaufsichtsbehörden sowie des Stands der Technik, der auch von anderen Akteuren weiterentwickelt werden kann. In diesem Zusammenhang wird auf die Einschränkung der Gewährleistung in Punkt 4.1 lit. g) des Hauptvertrags hingewiesen.

---

Annex I: Liste der Parteien

Verantwortliche(r): Vertragspartei des Website-Providers als Verantwortlicher im Sinne von Art. 4 Nr. 7 DSGVO ist jeweils die natürliche oder juristische Person, die den betreffenden Account im Consenter Manager eingerichtet hat und als Vertragspartner in den zugehörigen Registrierungs- bzw. Bestelldaten ausgewiesen ist, soweit in dieser Vereinbarung oder den Hauptvertragsunterlagen nicht ausdrücklich etwas anderes bestimmt ist.

Auftragsverarbeiter nach Art. 4 Nr. 8 DSGVO und im Sinne dieser Vereinbarung ist die:

Law & Innovation Technology GmbH Jungstr. 29 10247 Berlin

Name, Funktion und Kontaktdaten der Kontaktperson: Prof. Dr. Max von Grafenstein, Geschäftsführer max.grafenstein@law-innovation.tech Mobil: 0175/9992389

---

Annex II: Beschreibung der Verarbeitung

Dieses Dokument beschreibt, wie L&I im Auftrag des Verantwortlichen personenbezogene Daten der Mitarbeiter des Verantwortlichen bei der Konfiguration des Consenter Cookie Banners im Consenter Manager sowie der Endnutzer bei der Nutzung des Consenter Cookie Banners verarbeitet. Die Datenverarbeitung erfolgt in Übereinstimmung mit der Datenschutz-Grundverordnung (DSGVO), dem deutschen Telekommunikations- und Digitaldienstleistungs-Datenschutzgesetz (TDDDG) sowie unter anderem den Leitlinien der Datenschutzkonferenz (DSK) sowie der französischen Datenschutzbehörde CNIL.

1. Wie Konfigurationsdaten im Consenter Manager verarbeitet werden

Im Consenter Manager können Verantwortliche ein Konto anlegen und das Consenter Cookie Banner konfigurieren. Dabei werden personenbezogene Daten erhoben, die ausschließlich zum Zweck der Erfüllung der geschuldeten Leistung verarbeitet werden.

1.1 Erfasste personenbezogene Daten

L&I verarbeitet die im Account vorgenommenen Konfigurationsdaten des Consenter Managers im Auftrag des Verantwortlichen.

Darüber hinaus werden die folgenden Datenkategorien zur Bereitstellung des Dienstes verarbeitet. Für diese Datenverarbeitungen tritt L&I als Verantwortlicher im Sinne von Art. 4 Nr. 7 DSGVO auf. Weitergehende Informationen zu dieser Verarbeitung finden Sie in der Datenschutzerklärung für den Consenter Manager.

• Kontaktdaten: E-Mail-Adresse sowie gegebenenfalls Postanschrift und Telefonnummer.

• Zugangs-/Anmeldedaten: Kontoinformationen wie Anmelde-ID, Passwort (in verschlüsselter Form gespeichert), Datum und Uhrzeit der Registrierung und der Anmeldungen.

• Vertrags- und Kontodaten: Informationen zum Benutzerkonto (z. B. Rollen, Einstellungen, abonnierte Dienste).

• Kommunikationsdaten: Inhalt von Supportanfragen oder sonstiger Korrespondenz im Zusammenhang mit der Registrierung oder Nutzung des Kontos.

• Nutzungs- und Metadaten (falls zutreffend): Technische Protokolldaten wie IP-Adresse, Zeitstempel sowie Informationen zu den bei der Registrierung verwendeten Geräten und Browsern.

• Zahlungsdaten (über Stripe): Stripe fungiert als unabhängiger Zahlungsabwickler für Transaktionen auf unserer Plattform. Wenn Nutzer Zahlungsdaten über die sicheren Schnittstellen von Stripe übermitteln, tokenisiert und verarbeitet Stripe diese Daten direkt, ohne vollständige Kartennummern, CVVs oder andere sensible Informationen an uns weiterzugeben.

  Stripe erhebt erforderliche personenbezogene Daten wie Name, E-Mail-Adresse, Rechnungsadresse und Transaktionsmetadaten ausschließlich zur Autorisierung von Zahlungen, zur Betrugsbekämpfung (über Radar) und zur Abwicklung von Zahlungen. Stripe kann in begrenztem Umfang Analysedaten an uns weitergeben, darunter nicht sensible Transaktionsmetadaten wie Zahlungsbeträge, Statusangaben, Zeitstempel und aggregierte Erkenntnisse (z. B. Gesamtumsatz, Erfolgsraten).

  Die Nutzer behalten ihre Rechte an ihren von Stripe verarbeiteten Daten, einschließlich des Rechts auf Auskunft und Löschung. Ausführliche Informationen finden Sie in der Datenschutzerklärung von Stripe.

  Soweit Stripe personenbezogene Daten zur Zahlungsabwicklung, Betrugsprävention oder zur Erfüllung eigener gesetzlicher Verpflichtungen verarbeitet, erfolgt diese Verarbeitung in eigener datenschutzrechtlicher Verantwortlichkeit von Stripe.

1.2 Wie die Daten verarbeitet und gespeichert werden

Die Daten werden von AWS gespeichert und verarbeitet. Zahlungsdaten des Verantwortlichen werden über den Zahlungsdienstleister Stripe verarbeitet.

1.3 Wie lange die Daten aufbewahrt werden

Die Daten werden so lange gespeichert, bis der Verantwortliche sie ändert oder sein Konto löscht, es sei denn, gesetzliche Vorschriften verlangen eine längere Speicherung der Daten.

2. Wie Einwilligungsdaten im Browser-Storage des Endnutzers verarbeitet werden

Die Speicherung von Einwilligungsdaten im Browser-Storage des Endnutzers dient dem Zweck, zuvor erteilte und verweigerte Einwilligungen automatisch zu übertragen und anzuwenden, wenn der Endnutzer die Website des Verantwortlichen erneut besucht.

2.1 Erfasste personenbezogene Daten

Consent Records sind personenbezogene Daten, soweit sie die Einwilligung eines Endnutzers dokumentieren.

• Enthält eine eindeutige Einwilligungs-ID für den Consent Record (KEINE Benutzer-ID!).
• Enthält einen Zeitstempel, der angibt, wann der Consent Record erstellt wurde.
• Wird eine bestehende Einwilligung geändert, wird ein neuer Consent Record erstellt, der dann die ID eines nun veralteten früheren Consent Recordss enthält.
• Sie sind schwach identifizierend, da die zweimalige Vorlage desselben Consent Recordss (Einwilligungs-ID oder Zeitstempel) es ermöglicht, einen Endnutzer zwischen zwei Besuchen einer Website wiederzuerkennen; die Consent Records selbst geben jedoch nur sehr geringe Einblicke in das Privatleben des Endnutzers.
• Wurden alle Zwecke abgelehnt, enthält der Consent Record (Browser Storage) weder eine Einwilligungs-ID noch einen Zeitstempel. In diesem Fall ist der Consent Record (Browser Storage) nicht identifizierend. Aus technischen Gründen wird er jedoch genauso geschützt wie die schwach identifizierenden Versionen.

2.2 Wie die Daten verarbeitet und gespeichert werden

• Consent Records (Browser Storage) werden im Browser eines Endnutzers gespeichert.

• Sie werden in verschlüsselter Form zwischen dem Consent Banner und der Website übertragen.

• SameSite=strict, d. h., der Consent Record wird nicht automatisch an Websites von Drittanbietern gesendet.

• Der Consent Record ist origin-gebunden, sodass nur die Webseite des Dienstanbieters auf den Consent Record zugreifen kann.

• Der Consent Record kann zwar direkt aus dem JavaScript ausgelesen werden, dies ist allerdings technisch notwendig für den Dienst. JavaScript hat außerhalb der Dienstanbieter-Webseite keinen Zugriff auf den Consent Record. Nur die Dienstanbieter-Webseite kann auf den Consent Record zugreifen.

2.3 Wie lange die Daten gespeichert werden

Das Cookie wird mit der maximal möglichen browser-spezifischen Dauer gespeichert (bei Chrome und Firefox z.B. 400 Tage, bei Safari kürzer). Ein Nutzer kann sein Einwilligungs-Cookie jederzeit löschen, indem er den Cache seines Browsers leert.

3. Wie die Einwilligungsaufzeichnung eines Endnutzers im Einwilligungsspeicher des Verantwortlichen verarbeitet wird

Der Verantwortliche benötigt zudem Zugriff auf die Einwilligungen eines Endnutzers, um die Rechtmäßigkeit der Verarbeitung seiner personenbezogenen Daten nachweisen zu können. Zu diesem Zweck erfasst L&I alle Consent Records (Hinweis: Diese Einwilligungen enthalten ausschließlich Einwilligungs-IDs, KEINE Nutzer-IDs, und können nicht miteinander verknüpft werden).

3.1 Erfasste personenbezogene Daten

Informationen zur Art der Consent Records als personenbezogene Daten finden Sie im vorangegangenen Punkt. Bitte beachten Sie zudem die folgenden Besonderheiten:

Es ist nicht möglich, die Consent Records (Kundenspeicher) zu Nutzerprofilen zu verbinden, da KEINE Nutzer-IDs oder Quasi-Identifier gespeichert werden, die eine solche Verknüpfung erlauben. Aus Gründen der Datenminimierung werden auch KEINE Verweigerungen der Einwilligung gespeichert.

3.2 Wie die Daten verarbeitet und gespeichert werden

Consent Records (Kundenspeicher) werden derzeit zentral in der Cloud bei L&I als Teil des Consent Recordspeichers (Kundenspeicher) gespeichert und sind technisch und organisatorisch vor unbefugtem Zugriff geschützt, wodurch das Risiko eines Missbrauchs minimiert wird. Zu diesem Zweck wird derzeit Amazon Web Services (AWS) als Unterauftragsverarbeiter eingesetzt.

3.3 Wie lange die Daten aufbewahrt werden

Die Consent Records werden so lange gespeichert, wie der Verantwortliche sie benötigt, um die Rechtmäßigkeit der Verarbeitung der personenbezogenen Daten seiner Endnutzer nachweisen zu können.

4. Wie die Voreinstellungen und Einwilligungen des Endnutzers verarbeitet werden, wenn dieser ein Nutzer des Consenter Einwilligungsagenten ist

Ist der Endnutzer des Verantwortlichen ein Nutzer des Consenter Einwilligungsagenten, kann er in seinem Consenter Einwilligungsagenten die Zwecke voreinstellen, für die er die Verarbeitung seiner Daten beim Besuch der Website des Verantwortlichen oder einer anderen Website zulässt. Wenn ein Endnutzer die Website des Verantwortlichen mit seinem Consenter Einwilligungsagenten besucht, bietet ihm sein Agent die Möglichkeit, seine Einstellungen an das Datenschutzniveau der Website des Verantwortlichen anzupassen; unternimmt der Endnutzer nichts, sendet sein Agent seine Einstellungen nach einer kurzen Wartezeit an die Website des Verantwortlichen. Erteilt oder ändert ein Endnutzer seine Einwilligung im Consent Banner des Verantwortlichen, wird diese Einstellung an den Einwilligungsagenten des Endnutzers zurückgesendet. Wenn ein Endnutzer die Website des Verantwortlichen erneut besucht, sendet der Agent des Endnutzers dessen vorherige Einwilligung erneut an das Consent Banner des Verantwortlichen, um einen Abgleich mit den bisherigen Entscheidungen des Nutzers zu ermöglichen.

4.1 Erfasste personenbezogene Daten

Die Voreinstellungen zur Einwilligung eines Endnutzers enthalten insofern Informationen über den Endnutzer, als sie dessen Präferenzen hinsichtlich der Einwilligung enthalten.

Nach aktueller Einschätzung werden sie jedoch nicht als identifizierend (auch nicht schwach identifizierend) eingeschätzt, da die Voreinstellung zur Einwilligung keine eindeutige Kennung enthält und auch nicht genügend charakteristische Merkmale enthält, die als Quasi-Identifier fungieren könnten.

Wenn ein Endnutzer im Consent Banner seine Einwilligung erteilt oder ändert, wird diese Einstellung an seinen Einwilligungsagenten zurückgesendet. Wenn ein Endnutzer die Website des Verantwortlichen erneut besucht, sendet sein Einwilligungsagent seine vorherige Einwilligung erneut an das Consent Banner des Verantwortlichen.

4.2 Wie die Daten verarbeitet und gespeichert werden

Die voreingestellten Einwilligungsoptionen eines Nutzers werden datenschutzrechtlich ähnlich behandelt wie das „Fotografieren verboten"-Schild, das sich Teilnehmer auf einer Konferenz ans Revers ihrer Jacke heften können:

• Die voreingestellten Einwilligungsoptionen sind de facto öffentlich, aber das liegt im Interesse des Endnutzers. Ein Nutzer des Consenter Einwilligungsagenten möchte zum Beispiel jeder Website, die er besucht, mitteilen, dass er mit ihr keine Daten teilen möchte oder dass er personalisierte Werbung anstelle kontextueller Bannerwerbung sehen möchte.
• Sobald der Verantwortliche die Einstellungen eines Endnutzers erhält, behandelt er alle Einstellungen wie in den Punkten 2 und 3 oben beschrieben.

5. Wie Fehlerprotokolle verarbeitet werden

Um die Funktionalität aufrechtzuerhalten und das CMP-System zu stabilisieren, werden Fehlerprotokolle erfasst und analysiert.

5.1 Erfasste personenbezogene Daten

• Fehlertyp
• Fehlerbeschreibung
• Softwarekomponente, Version und Umgebung
• Domain-Kennung
• Datum und Uhrzeit
• Seiten-URL

5.2 Wie die Daten verarbeitet und gespeichert werden

Die Daten werden in der AWS-Cloud gespeichert und analysiert.

5.3 Wie lange die Daten aufbewahrt werden

Die Daten werden so lange gespeichert, bis die Analyse möglicher Funktionsfehler, die Wiederherstellung der Funktionalität und die Stabilisierung des Systems abgeschlossen sind; anschließend werden sie unverzüglich gelöscht.

6. Wie anonymisierte Daten für Analysezwecke verarbeitet werden

L&I verarbeitet anonymisierte Daten zur kontinuierlichen Verbesserung und Weiterentwicklung des Dienstes sowie zu wissenschaftlichen Forschungszwecken im Bereich effektiver Einwilligungsprozesse und der Rechte betroffener Personen. Zu diesem Zweck nutzt L&I Matomo und wendet die von der französischen Datenschutzbehörde CNIL veröffentlichten Richtlinien an (Ausnahmeregelung zur Messung der Besucherzahlen – Konfigurationsleitfaden für Matomo Analytics). Identifikatoren werden ausschließlich in aggregierter und anonymisierter Form erhoben.

6.1 Erfasste Daten (aggregiert und anonymisiert)

• Browsertyp und -version
• Bildschirmgröße und -ausrichtung
• Domain und Domain-Kennung
• Ereignistyp (z. B. Einwilligung erteilt, Banner initialisiert, übersprungen)
• Agent-Status (d. h., ob ein Website-Besucher einen Einwilligungs-Agenten verwendet oder nicht – keine Kennung)
• Einwilligungsentscheidungen nach Zweck (z. B. Serviceverbesserung, zusätzliche Funktionen, Personalisierung der Website, Anpassung von Werbung)
• Frühere Einwilligungsentscheidungen nach Zweck
• Zwecke, für die die Einwilligung widerrufen wurde
• Version des Consent Banners
• Zeitstempel des Ereignisses

6.2 Wie die Daten verarbeitet werden

Um den Implementierungsleitfaden der CNIL zu befolgen, ist Matomo wie folgt konfiguriert:

• Datenexporte sind deaktiviert.
• Es werden ausschließlich anonymisierte IP-Adressen verarbeitet.
• Es werden keine Cookies von Drittanbietern oder domänenübergreifende Cookies verwendet.
• Es wird keine auf Benutzer-IDs basierende Messung verwendet.
• Es wird kein E-Commerce-Tracking verwendet.
• Heatmaps und Sitzungsaufzeichnungen sind deaktiviert.
• Im Consent Banner wurde zusätzlich eine Opt-Out-Option implementiert.

6.3 Wie lange werden die Daten aufbewahrt?

Identifikatoren werden unmittelbar mit ihrer Erhebung anonymisiert. Andere Daten sind nicht identifizierend.

---

Annex III: Technische und organisatorische Maßnahmen, einschließlich zur Gewährleistung der Sicherheit der Daten

Klarstellung zur Funktion und Bedeutung des Begriffs Stand der Technik (siehe Teil 1 Klausel 3 a))

Gem. Art. 25 und 32 DSGVO müssen verantwortliche Stellen bei der Umsetzung der datenschutzrechtlichen Vorschriften den Stand der Technik berücksichtigen. In Bezug auf die informierte Einwilligung gelten dabei folgende rechtliche Vorgaben.

1. Rechtliche Anforderungen an die informierte Einwilligung

Art. 6 Abs. 1 lit. a DSGVO verlangt als eine der möglichen Rechtsgrundlagen für die Verarbeitung personenbezogener Daten die informierte Einwilligung. Gem. Art. 4 Nr. 11 DSGVO ist eine Einwilligung „jede freiwillig für den bestimmten Fall, in informierter Weise und unmissverständlich abgegebene Willensbekundung in Form einer Erklärung oder einer sonstigen eindeutigen bestätigenden Handlung, mit der die betroffene Person zu verstehen gibt, dass sie mit der Verarbeitung der sie betreffenden personenbezogenen Daten einverstanden ist".

Art. 25 DSGVO stellt für die Implementierung der informierten Einwilligung weitere Anforderungen auf. Insbesondere muss ein Website-Betreiber die informierte Einwilligung so technisch-organisatorisch umsetzen, dass der Schutz gegen die Risiken, die die Datenverarbeitung für die Grundrechte der Betroffenen verursacht, wirksam ist.

2. Nachweis der Wirksamkeit und Berücksichtigung des Stands der Technik

Dabei ist der Stand der Technik zu beachten, das heißt, die jeweils auf dem Markt verfügbare, wirksamste Umsetzung der informierten Einwilligung ("best available technology"). Der Stand der Technik stellt eine sogenannte dynamische Verweisung auf den jeweiligen Entwicklungsstand dar. Begrifflich fordert der Stand der Technik einerseits mehr als die sogenannten anerkannten Regeln der Technik (Best Practice), weil der Stand der Technik einen wissenschaftlichen Nachweis erfordert, dass es sich tatsächlich um die wirksamste Umsetzung handelt. Andererseits fordert der Stand der Technik weniger als der sogenannte Stand der Wissenschaft, weil er nicht die Umsetzung jedes Konzepts fordert, das wissenschaftlich erwiesen das wirksamere ist, sondern nur ein solches, das bereits auf dem Markt verfügbar ist. Bei der Umsetzung des Stands der Technik darf die verantwortliche Stelle die Implementierungskosten berücksichtigen. Das bedeutet, dass sie den Stand der Technik nicht implementieren muss, wenn die Kosten hierfür unverhältnismäßig sind.

Die Feststellung des Stands der Technik setzt geeignete Methoden voraus, mit denen sich die Wirksamkeit der Umsetzung der informierten Einwilligung und damit auch die wirksamste Umsetzung messen und nachweisen lassen. Der Europäische Datenschutzausschuss (EDSA) stellt in seinen Guidelines 4/2019 on Article 25 Data Protection by Design and by Default klar, dass der Wirksamkeitsnachweis das zentrale Element von Art. 25 DSGVO darstellt. Er führt hierzu aus:

„Zu diesem Zweck kann der Verantwortliche geeignete Leistungskennzahlen (KPI) festlegen, um die Wirksamkeit nachzuweisen. Eine Leistungskennzahl ist ein vom Verantwortlichen gewählter messbarer Wert, der aufzeigt, wie effektiv der Verantwortliche sein Datenschutzziel erreicht. Leistungskennzahlen können quantitativer Natur sein, wie beispielsweise der Prozentsatz von Fehlalarmen oder Falschnegativen, die Verringerung von Beschwerden oder die Verkürzung der Reaktionszeit, wenn betroffene Personen ihre Rechte ausüben; oder sie können qualitativer Natur sein, wie beispielsweise Leistungsbewertungen, die Verwendung von Bewertungsskalen oder Expertengutachten. Alternativ zu KPIs können Verantwortliche die wirksame Umsetzung der Grundsätze nachweisen, indem sie die Gründe für ihre Bewertung der Wirksamkeit der gewählten Maßnahmen und Garantien darlegen."

In den letzten 10 Jahren hat die Wissenschaft mit jeweils unterschiedlichen disziplinären Schwerpunkten – von User Experience und User Interface Design bis hin zu Forschung im Bereich Mensch-Computer-Interaktion, Psychologie, Verhaltensökonomie und Innovationsökonomie – ein vielfältiges Methodenset entwickelt, mit dem sich die Wirksamkeit bei der Umsetzung der informierten Einwilligung messen und nachweisen lässt.

3. Praxisproblem der mangelnden Informiertheit

In der Praxis stellt die größte Herausforderung bei der Umsetzung einer wirksamen Einwilligung aktuell die Informiertheit der Einwilligung sowie die Unmissverständlichkeit der abgegebenen Willensbekundung dar. Ein Wirksamkeitsnachweis wird in der Praxis bisher kaum erbracht. Im Gegenteil gibt es zahlreiche empirische Studien, die belegen, dass herkömmliche Cookie Banner Internetnutzer nicht ausreichend informieren und nicht ausreichend befähigen, auf Basis dieser Information eine informierte und unmissverständliche Entscheidung zu den jeweiligen Verarbeitungszwecken zu treffen. Diesen Studien zufolge ziehen Verbraucher:innen zwar datenschutzfreundliche Dienste solchen mit höheren Risiken vor. Sie können diese aber nicht erkennen und sich deswegen auch nicht für sie entscheiden. Zudem werden aktuelle Cookie Banner aufgrund der Einwilligungsmüdigkeit so reflexhaft weggeklickt, dass man kaum von einer „unmissverständlich abgegebenen Willensbekundung" für die einzelnen Verarbeitungszwecke ausgehen kann.

Damit bilden aktuelle Cookie Banner in aller Regel nicht den Stand der Technik i.S.v. Art. 25 und 32 DSGVO ab, sondern höchstens anerkannte Regeln der Technik (sog. Best Practice). Diese Best Practice-Regeln unterscheiden sich vom Stand der Technik dadurch, dass die verantwortliche Stelle keinen empirischen Wirksamkeitsnachweis erbringen muss. Best Practice entspricht jedoch nicht dem in Art. 25 DSGVO geforderten Niveau, das einen Wirksamkeitsnachweis verlangt.

Es gibt zahlreiche Beiträge aus Wissenschaft und Praxis, wie Einwilligungsprozesse nicht gestaltet werden sollten. Selbst wo positive Vorgaben gemacht werden, stellen diese nur Best Practice-Regeln dar, aber keinen empirischen Nachweis, dass diese wirksame Entscheidungsprozesse ermöglichen. Eine quantitative Studie hat beispielsweise gegenteilig erwiesen, dass Internetnutzer:innen selbst nach Best Practice-Regeln gestaltete Cookie-Banner so uninformiert wegklicken, dass man kaum von einer „informierten" Einwilligung im Sinne des Gesetzes sprechen kann.

4. Etablierung und Fortentwicklung des Stands der Technik durch den Forschungsdemonstrator Consenter

Der Forschungsdemonstrator Consenter verfolgt das Ziel, die in der Wissenschaft erwiesenen wirksamsten Techniken für die Umsetzung der informierten Einwilligung auf dem Markt verfügbar, so dass diese als Stand der Technik gem. Art. 25 und 32 DSGVO gelten können.

Das folgende Unterkapitel fassen den aktuellen Entwicklungsstand zusammen, mit dem die jeweils wirksamste Technik nachgewiesen wurde. Da ihre Anwendung kostengünstig möglich ist, stehen ihrer Anwendung in der Regel keine unverhältnismäßigen Aufwände entgegen.

5. Open Access: Umsetzung und Weiterentwicklung des Stand der Technik unabhängig von Consenter

Auch wenn Consenter maßgeblich an der Entwicklung des Stands der Technik beteiligt ist, können verantwortliche Stellen den jeweiligen Stand der Technik unabhängig von Consenter anwenden und selbst weiterentwickeln. Hierfür stellt die Forschungsgruppe um Consenter alle Konzepte, Methoden, Spezifikationen und Vorlagen zur freien Verfügung. Hierfür wird auf folgende Unterlagen mit jeweils weiterführenden Quellen verwiesen:

• UX Design- und Methoden-Toolbox verfügbar unter www.hiig.de/
• technische Spezifikation für einen universellen Consent Standard (ConStand) verfügbar unter www.tinyurl.com/ConStand (fortlaufend in Bearbeitung entsprechend des Feedbacks aus Praxis, Forschung sowie Gesetzgebung und -vollzug)

Technisch-organisatorische Maßnahmen unter Berücksichtigung des Stands der Technik gem. Art. 25 DSGVO i.V.m. Art. 28 Abs. 1

(siehe Teil 1 Klausel 8 c) Abs. 1 sowie Teil 2 AVV)

1. Informiertheit der Einwilligung, Art. 5, 6, 7 i.V.m. Art. 25 DSGVO

Bisherige, nach Best Practice-Regeln gestaltete Cookie Banner sind nicht ausreichend informierend. Mit den folgenden Techniken lassen sich Einwilligungsmechanismen erheblich informativer als nach den aktuellen Best Practice-Regeln ausgestalten. Die folgenden Techniken stellen den neuen Stand der Technik dar:

• Zweckspezifizierung: Website-Betreiber müssen ihre Verarbeitungszwecke so spezifizieren, dass Besucher ihrer Website die Vorteile und Risiken der Datenverarbeitung für ihre Grundrechte erkennen können (denn Internetnutzer wägen bei Entscheidungen stets Vorteile gegen Risiken ab).
• Konfiguration der Technologien: Da die konkrete Konfiguration des Dienstes unmittelbare Auswirkungen auf die Grundrechtsrisiken der Besucher einer Website hat, muss der Betreiber der Website die spezifischen Risiken kommunizieren, die sich aus der Konfiguration ergeben (siehe unten).
• Informationsverteilung, Layout und Visualisierungen: Website-Betreiber müssen die Informationen entsprechend ihrer Relevanz für die Nutzer auf mehrere Ebenen verteilen, um die Besucher ihrer Website nicht zu überfordern; die wichtigsten Informationen – vor allem Zwecke, Vorteile und Risiken – zuerst, in absteigender Reihenfolge. Dabei sind Privacy Icons und sonstige Visualisierungen zu nutzen.
• Einbindung von Einwilligungsagenten: Website-Betreiber müssen die Signale von Einwilligungsagenten einbinden, da deren Integration die Informiertheit der Einwilligung erheblich anhebt. Die Einholung bzw. Übergabe einer informierten Einwilligung mithilfe eines Agenten ist deutlich informierter und daher wirksamer als ohne Agent.

Randnotiz: Die Einbindung von Einwilligungsagenten ist in § 26 TDDDG vorgesehen und wird aktuell auch auf EU-Ebene vorgeschlagen. Da Einwilligungsmechanismen, die Agenten einbinden, deutlich informierter sind als Einwilligungsmechanismen ohne Agent, und agenten-gestützte Mechanismen mittlerweile auf dem Markt verfügbar sind, stellen agenten-basierte Einwilligungen den neuen Stand der Technik dar. Eine Pflicht zur Einbindung von Agenten ergibt sich deshalb bereits aus Art. 25 DSGVO.

2. Datenminimierung, Art. 5 i.V.m. Art. 25 DSGVO

Viele Website-Betreiber greifen für die Verarbeitung der personenbezogenen Daten ihrer Besucher auf Technologien von Drittanbietern zurück. Dabei wählen sie häufig die bekanntesten Technologien und verwenden sie in ihrer Standardeinstellung. Das stellt oftmals einen Verstoß gegen den Grundsatz der Datenminimierung dar, weil im Wege der Standardeinstellungen mehr Daten umfänglicher verarbeitet werden, als Website-Betreiber tatsächlich brauchen. Website-Betreiber müssen stattdessen prüfen, was die eingesetzte Technologie tatsächlich macht und ob sich die Verarbeitung einschränken lässt ("Know Your Tools"). Da sich das unmittelbar aus Artikel 5 DSGVO ergibt, dienen die folgenden Punkte mehr der Klarstellung der rechtlichen Anforderungen als der Darstellung des neuen Stands der Technik. Da sie aber die notwendige Voraussetzung für den Stand der Technik bei der Informiertheit darstellen (siehe vorheriger Punkt), werden sie hier explizit herausgestellt:

• Anpassung der Konfiguration: Wenn Website-Betreiber Technologien von Drittanbietern nutzen, müssen sie die Standardkonfiguration die Einstellungen an ihre tatsächlichen Bedürfnisse anpassen. Die Standardkonfiguration ist oft sehr weit gefasst und verarbeitet mehr Daten als Website-Betreiber in der Regel brauchen. Die richtige Konfiguration stellt die Grundlage für eine wirksame Kommunikation der Grundrechtsrisiken dar (siehe oben).
• Werbezwecke des Technologieanbieters: Manche Drittanbieter verarbeiten die Daten auch für eigene Werbezwecke. In diesem Fall müssen Website-Betreiber ihre Besucher darüber informieren und für diesen Zweck eine entsprechend informierte Einwilligung einholen. Ein pauschaler Verweis auf die Datenschutzerklärung des Drittanbieters, ohne auf dessen Verarbeitungszwecke hinzuweisen, ist nicht ausreichend.
• Alternative Technologien: Website-Betreiber müssen prüfen, ob sie eine Technologie verwenden können, die weniger Risiken für ihre Besucher verursacht, sofern die datenschutzriskantere Technologie nicht erforderlich ist. Die Tatsache, dass eine datenschutzriskantere Technologie die maktgängigste Technologie ist, begründet keine Erforderlichkeit.

Randnotiz: Abgesehen von der wirksamen Umsetzung des Datenminierungsprinzips können Website-Betreiber durch die Wahl einer datenschutzfreundlicheren Technologie und ihrer datenschutzkonformen Konfiguration nicht nur ein höheres Vertrauen bei ihren Besuchern, sondern auch höhere Einwilligungsraten erzielen.

3. Kontrollmöglichkeit, Art. 5, 6, 7 i.V.m. Art. 25 DSGVO

Agenten-gestützte Einwilligungsmechanismen erhöhen nicht nur die Informiertheit der Einwilligung deutlich, sondern auch die Kontrollierbarkeit der Risiken durch die Betroffenen. Die folgenden Techniken stellen insofern den neuen Stand der Technik dar:

• Granulare Entscheidungen: Mithilfe eines Einwilligungsagenten können Website-Besucher deutlich bewusstere bzw. unmissverständlichere Entscheidungen über die Preisgabe ihrer Daten treffen.
• Anpassung an Systemänderungen: Treffen Besucher einer Website eine Entscheidung, ist diese bei wiederkehrenden Besuchen zu respektieren; sie dürfen nicht mit einer erneuten Anzeige eines Banners in ihrer Aufnahmefähigkeit gestört werden, da dies die Einwilligungsmüdigkeit erhöht und damit zu weniger bewussten Entscheidungen führt.

Die Einbindung von Einwilligungsagenten ist der Verwendung von Cookies insofern überlegen, weil erstere persistent sind und sich die Entscheidungen von Website-Besuchern „merken", solange diese den Agenten nutzen. Cookies, die die Entscheidungen der Nutzer speichern, werden dagegen regelmäßig gelöscht mit der Folge, dass das Cookie Banner bei einem erneuten Besuch erscheint, obwohl der Nutzer bereits eine Entscheidung getroffen hat.

Wiederkehrende Besucher müssen und dürfen nur über Änderungen im System des Website-Betreibers informiert werden, die das Datenschutzrisiko verändern, da das Datenschutzrisiko für Betroffene entscheidungsrelevant ist. Mit Änderung der Entscheidungsgrundlage sind die Kontrollmöglichkeiten an diese Änderungen entsprechend anzupassen:

• Wurde eine Einwilligung bereits erteilt und erhöht sich danach das Risiko für dieselben Grundrechte, ist zumindest ein Hinweis auf das erhöhte Risiko erforderlich, verbunden mit der unmittelbaren Möglichkeit, die Einwilligung zu widerrufen.

• Hat der Nutzer bei der letzten Anfrage für einen bestimmten Zweck keine Einwilligung erteilt und konnte der Website-Betreiber seither das Risiko reduzieren, darf er andersherum bei einem erneuten Besuch für diesen noch einmal nach der Einwilligung fragen, da nun auch hier eine neue Entscheidungsgrundlage vorliegt.

• Nachweis der Einwilligung: Website-Betreiber müssen Besuchern einen Nachweis zur Verfügung stellen, ob und für welche Zwecke sie eine Einwilligung erhalten haben. Dafür bietet sich die Einbindung eines Einwilligungsagenten an, da durch diesen die Nutzer des Agenten einen zentralisierten und automatisierten Überblick erhalten, wem sie welche Einwilligungen erteilt haben. Gleich wirksame Alternativen sind genauso zulässig (vgl. etwa ISO/IEC TS 27560:2023 – Consent Records and Receipts).

Randnotiz: Mit diesen Techniken können Website-Betreiber nicht nur kurzfristig, sondern auch langfristig über mehrere wiederkehrende Besuche hinweg ein höheres Vertrauen und damit höhere Einwilligungsraten erzielen.

4. Dokumentationspflichten und Signalintegrität der Einwilligung, Art. 5, 6, 7 i.V.m. Art. 32 DSGVO

Website-Betreiber müssen nachweisen können, dass Einwilligungen wirksam eingeholt wurden und gesetzliche Anforderungen erfüllt sind. Zum neuen Stand der Technik gehören insofern die Nachvollziehbarkeit der gewählten Konfiguration sowie die bereitgestellten Informationen inkl. der angegebenen Vorteile und Risiken.

Eine weitere Fortentwicklung des Stands der Technik ist außerdem die Sicherstellung der Signalintegrität: Website-Betreiber müssen Einwilligungen so abspeichern, dass sie nachweislich nicht mehr abgeändert werden können. In der Regel hat dies über ein Signaturverfahren zu erfolgen. Verwenden Website-Besucher einen Einwilligungsagenten, sind alle Kopien der Einwilligung mit dem selben Signaturverfahren zu sichern. Die gemeinsame Signatur stellt den Gleichlauf der an den verschiedenen Speicherorten abgespeicherten Einwilligungen sicher (das heißt auf Seite des Website-Betreibers sowie des Website-Besuchers).

Technisch-organisatorische Maßnahmen unter Berücksichtigung des Stands der Technik gem. Art. 28 Abs. 3 sowie Art. 32 DSGVO

(siehe Teil 1 Klausel 7.4 und 8 AVV)

1. Gewährleistung der Vertraulichkeit (Art. 32 Abs. 1 Buchstabe b DSGVO)

Law & Innovation ergreift Maßnahmen zur Umsetzung der Vertraulichkeitsanforderung. Dazu gehören unter anderem Maßnahmen zur physischen Zugangskontrolle, zur elektronischen Zugangskontrolle und zur internen Zugangskontrolle. Die in diesem Zusammenhang getroffenen technischen und organisatorischen Maßnahmen sollen eine angemessene Sicherheit der personenbezogenen Daten gewährleisten, einschließlich des Schutzes vor unbefugter oder unrechtmäßiger Verarbeitung sowie vor versehentlichem Verlust, Zerstörung oder Beschädigung.

Physische Zugangskontrolle

• Soweit personenbezogene Daten verarbeitet werden, werden diese in sicheren Systemen gespeichert.
• Alle Systeme und Geräte werden in regelmäßigen Abständen aktualisiert (Software-Update).
• Alle Systeme werden regelmäßig auf Schwachstellen überprüft.
• In den Räumlichkeiten von Law & Innovation befindet sich keine kritische IT-Infrastruktur (Serversysteme).
• Dennoch wird der physische Zugang zu den Büroräumen so weit wie möglich durch Sicherheitsmaßnahmen geschützt. Dazu gehören:
  • Der Zugang zum Büro ist nur für Mitarbeiter und Dienstleister (z. B. Reinigungsdienst) mit personalisierten Türtranspondern/Schließzylindern sowie einer protokollierten Ausgabe und Rückgabe von Schlüsseln/Transpondern möglich.
  • Besucher müssen klingeln, sich persönlich anmelden, sich ausweisen und dürfen sich nicht frei auf dem Gelände bewegen.

Elektronische Zugangskontrolle

• Der Zugriff auf personenbezogene Daten ist auf einen begrenzten Mitarbeiterkreis beschränkt, erfordert die Verwendung der zugewiesenen Anmeldedaten (Benutzername und Passwort) und erfolgt ausschließlich über verschlüsselte Kanäle (HTTPS, TLS/SSL).
• Gruppenkonten/System-Logins nur für bestimmte Anwendungen.
• Separate Benutzerkennungen für privilegierte Berechtigungen.
• Benutzernamen werden sofort deaktiviert bzw. gelöscht, wenn Mitarbeiter das Unternehmen verlassen.
• Passwörter werden nicht im Klartext gespeichert oder unverschlüsselt übertragen.
• Für die Benutzerauthentifizierung gelten folgende Passwortanforderungen: mindestens 12 Zeichen; 3–4 Zeichenarten müssen verwendet werden; Groß- und Kleinbuchstaben; keine gängigen Begriffe; das Passwort muss sofort geändert werden, wenn ein Grund oder Anzeichen für Missbrauch vorliegt; temporäre Passwörter müssen vom Benutzer unmittelbar nach der Kontoaktivierung aktualisiert werden.
• Wo immer möglich, wird eine Zwei-Faktor-Authentifizierung verwendet.
• Sitzungsverwaltung.
• Interne IT-Sicherheitsrichtlinien.
• Automatische Sperrung von Clients (z. B. Mitarbeiter-Arbeitsplätzen) nach einer festgelegten Zeitspanne ohne Benutzeraktivität (auch passwortgeschützter Bildschirmschoner oder automatische Pause).

Interne Zugriffskontrolle

• Der Zugriff erfolgt gemäß einem Berechtigungskonzept und einem Kryptokonzept.
• Einsatz eines Benutzer- und Benutzergruppenmanagementsystems sowie einer Zugriffsrechteverwaltung.
• SSH ist, wo immer möglich, deaktiviert.
• Je nach Tätigkeitsbereich des Mitarbeiters werden abgestufte Berechtigungen vergeben. Dabei gilt stets das Prinzip der minimalen Berechtigung.

Weitere Maßnahmen

• Strenge Trennungskontrolle: Bei unterschiedlichen Verarbeitungszwecken werden Daten nicht gemeinsam verarbeitet. Dabei wird eine (logische oder physische) Mandantentrennung bzw. Funktionstrennung unterstützt.
• Wenn der jeweilige Zweck der Datenverarbeitung wegfällt, werden die Daten gelöscht. Dies erfolgt gemäß dem Löschkonzept.
• Verschlüsselung ruhender Daten.

2. Gewährleistung der Integrität (Art. 32 Abs. 1 Buchstabe b DSGVO)

Es werden Maßnahmen ergriffen, die der Anforderung der Integrität dienen. Dazu gehören unter anderem Maßnahmen zur Eingabekontrolle, aber auch solche, die allgemein zum Schutz vor unbefugter oder unrechtmäßiger Verarbeitung, Vernichtung oder unbeabsichtigter Beschädigung beitragen.

Übertragungskontrolle

Maßnahmen, die sicherstellen, dass personenbezogene Daten bei der elektronischen Übermittlung oder beim Transport bzw. bei der Speicherung auf Datenträgern nicht von Unbefugten gelesen, kopiert, verändert oder entfernt werden können und dass überprüft und festgestellt werden kann, an welche Stellen personenbezogene Daten mittels Datenübertragungseinrichtungen übermittelt werden sollen:

• Die Datenübertragung erfolgt verschlüsselt.
• Bei der Datenübertragung über das Internet wird stets eine Datenverschlüsselung verwendet.
• Es werden ausschließlich sichere drahtlose Netzwerke (WLAN) verwendet, die alle mit WPA-2 verschlüsselt sind.
• Bei Bedarf wird VPN-Technologie eingesetzt.
• Werden Datenträger, Daten und Ausdrucke nicht mehr benötigt, werden sie sicher gelöscht oder vernichtet. Dadurch wird so weit wie möglich sichergestellt, dass die Daten nicht wiederhergestellt werden können.
• Falls erforderlich, wird die Datenübertragung protokolliert.

Eingabekontrolle

Maßnahmen, die sicherstellen, dass nachträglich überprüft und festgestellt werden kann, ob, wann und von wem personenbezogene Daten in Datenverarbeitungssystemen eingegeben, geändert oder gelöscht wurden:

• Hohe Standards bei der rechtskonformen Ausgestaltung von Verträgen über die Verarbeitung personenbezogener Daten mit Auftragsverarbeitern, die Bestimmungen zu Kontrollmöglichkeiten enthalten.
• Einsatz von Protokollierungs- und Protokollauswertungssystemen zur Dokumentation von Benutzereingaben. Werden Anpassungen an Systemen vorgenommen, die personenbezogene Daten verarbeiten, wird dies aufgezeichnet und vorschriftsmäßig aufbewahrt (z. B. in Form von Protokolldateien).
• Die Logik der Dateneingabe und -ausgabe wird überprüft (Überprüfung von Dateipfaden usw.).
• Einholung von Informationen bei Dienstleistern über die zur Umsetzung der Datenschutzanforderungen getroffenen Maßnahmen.
• Mündliche Anweisungen werden schriftlich bestätigt.

Integrität von Einwilligungsdaten (neuer Stand der Technik – siehe zu Art. 25 DSGVO 4)

Maßnahmen, die sicherstellen, dass Consent Records nicht unbemerkt verändert werden können und dass ihre Echtheit nachträglich überprüft werden kann:

• Jeder Consent Record wird zum Zeitpunkt seiner Erstellung mit einer kryptografischen digitalen Signatur (ECDSA, SHA-384) gesichert, wobei ein asymmetrischer Schlüssel verwendet wird, der in einem Hardware-Sicherheitsmodul gespeichert ist, aus dem der private Schlüssel nicht extrahiert werden kann. Die Signatur umfasst den gesamten Datensatz, sodass jede spätere Änderung – sei es des Zeitpunkts, der Domain oder der Einwilligungsentscheidung – diesen ungültig macht und somit nachweisbar ist. Die Signatur jedes Datensatzes kann jederzeit erneut überprüft werden; ein Datensatz, dessen Signatur nicht verifiziert werden kann, wird als ungültig behandelt.

3. Gewährleistung der Verfügbarkeit (Art. 32 Abs. 1 Buchstabe b DSGVO)

Maßnahmen zur Gewährleistung, dass personenbezogene Daten vor versehentlicher Zerstörung oder Verlust geschützt sind.

Spezifische Maßnahmen für unsere Produktionsumgebung und zugehörige Systeme

Law & Innovation betreibt keine eigenen Serverressourcen in eigenen Rechenzentren. Wird die Verarbeitung durch Auftragsverarbeiter durchgeführt, gelten unter anderem vor und während der Datenverarbeitung folgende Maßnahmen:

• Überwachung/Kontrolle der Systemaktivitäten durch unsere Mitarbeiter.
• Unsere Produktionsumgebung wird in regelmäßigen Abständen gesichert oder es werden Datenspiegelungsverfahren eingesetzt.
• Hardware (insbesondere Server) wird nach einer Überprüfung der darin verwendeten Datenträger und, falls erforderlich, nach der Sicherung der entsprechenden Datensätze außer Betrieb genommen.
• Die Systeme sind durch eine unterbrechungsfreie Stromversorgung (USV) geschützt.
• Es wird eine mehrschichtige Virenschutz- und Firewall-Architektur eingesetzt.
• Die genutzten Rechenzentren verfügen über Brand-/Wasser- und Temperatur-Frühwarnsysteme in den Serverräumen sowie über Brandschutztüren.
• Regelmäßiges Patch-Management.
• Lastenausgleich.
• Die Datenspeicherung erfolgt im Rahmen dynamischer Prozesse.
• Es werden regelmäßig Penetrations- und Lasttests durchgeführt.
• Die Auslastungsgrenze für jedes Datenverarbeitungssystem wird vor Beginn der Datenverarbeitung über dem erforderlichen Minimum festgelegt.
• Regelmäßige Schulung des eingesetzten Personals. Für das Produktionssystem und die zugehörigen Systeme werden AWS-Ressourcen genutzt.

Weitere Maßnahmen

• Werden Unternehmen mit der Verarbeitung personenbezogener Daten beauftragt, so erfolgt dies stets unter der Voraussetzung eines bestehenden Auftragsverarbeitungsvertrags, der den Anforderungen von Artikel 28 der DSGVO entspricht. Zu diesem Zweck werden entsprechende Musterverträge zur Verfügung gestellt. Diese stellen zudem sicher, dass Law & Innovation frühzeitig über mögliche Verfügbarkeitsbedrohungen informiert wird.
• Einsatz von Antivirensoftware auf den Computern der Mitarbeiter.
• Die Speicherung von Daten auf den Computern der Mitarbeiter wird so weit wie möglich reduziert. Daten werden auf sicheren Cloud-Systemen gespeichert.
• Verwendete Standardsoftware wird einer Vorabprüfung unterzogen und darf nur aus begrenzten, sicheren Quellen bezogen werden.
• Für Sicherheits- und Datenschutzvorfälle wurden Notfallpläne mit konkreten Handlungsanweisungen erstellt.

4. Gewährleistung der Wiederherstellbarkeit (Art. 32 Abs. 1 Buchstabe b DSGVO)

Im Falle eines physischen oder technischen Vorfalls sind Maßnahmen vorhanden, die eine schnelle Wiederherstellung gewährleisten und im Rahmen eines Aktionsplans über eine reine Datensicherung hinausgehen. Um den laufenden Betrieb in diesen Katastrophenszenarien wiederherstellen zu können, werden folgende Maßnahmen ergriffen:

Spezifische Maßnahmen für unsere Produktionsumgebung (CMP) und zugehörige Systeme

• Tägliche Sicherung aller Serverressourcen durch den Hosting-Anbieter (AWS).
• Notfallwiederherstellung.
• Abschluss von Service Level Agreements (SLAs) mit Dienstleistern.
• Mehrstufige Sicherungsverfahren.
• Redundante Speicherung (Cluster-Konfigurationen / Georedundanz) von Daten (z. B. Festplattenspiegelung).
• Einsatz von Firewall, IDS/IPS.
• Brand- und Löschwasserschutz.
• Alarmüberwachung.
• Ausfall-, Notfall- und Wiederherstellungspläne sowie -szenarien.

5. Maßnahmen zur Pseudonymisierung personenbezogener Daten

Pseudonymisierung ist die Verarbeitung personenbezogener Daten in einer Weise, dass die personenbezogenen Daten ohne den Einsatz zusätzlicher Informationen nicht mehr einer bestimmten betroffenen Person zugeordnet werden können, sofern diese zusätzlichen Informationen getrennt aufbewahrt werden und technischen und organisatorischen Maßnahmen unterliegen, die gewährleisten, dass die personenbezogenen Daten keiner identifizierten oder identifizierbaren natürlichen Person zugeordnet werden. Zu diesem Zweck werden folgende Maßnahmen ergriffen:

• Einführung eines strikten „Data Protection-by-Design"-Ansatzes.
• Erstellung eines Pseudonymisierungskonzepts (einschließlich Definition der zu ersetzenden Daten, Pseudonymisierungsregeln und Beschreibung des Verfahrens).

6. Verfahren zur regelmäßigen Überprüfung, Beurteilung und Bewertung der Wirksamkeit der technischen und organisatorischen Maßnahmen

Eine regelmäßige Überprüfung, Beurteilung und Bewertung der Wirksamkeit der technischen und organisatorischen Maßnahmen zur Gewährleistung der sicheren Verarbeitung personenbezogener Daten erfolgt durch folgende Maßnahmen:

• Datenschutz-Managementsystem: Alle Verfahren, behördlichen Anfragen, Verträge und Verzeichnisse werden zu Dokumentations- und Transparenzzwecken aufbewahrt. Änderungen werden ebenfalls dokumentiert.
• Informationssicherheits-Managementsystem: Alle Konzepte, Prozesse und Risikoanalysen werden in einem internen ISMS aufbewahrt.
• Datenverarbeitung im Auftrag von Law & Innovation oder durch Auftragsverarbeiter: Der Beauftragung geht stets ein umfassender Auswahlprozess und eine Vorprüfung voraus. Wir prüfen insbesondere, ob unsere hier beschriebenen hohen Standards auch von potenziellen Auftragsverarbeitern erfüllt werden. Erst wenn dies geschehen ist und ein Auftragsverarbeitungsvertrag abgeschlossen wurde, der den Anforderungen von Artikel 28 DSGVO entspricht, darf die Verarbeitung stattfinden. Zusätzlich zur Vorprüfung führen wir wiederkehrende Audits durch, um das erforderliche Niveau dauerhaft aufrechtzuerhalten. Die vereinbarten Leistungen werden in den Auftragsverarbeitungsverträgen konkret festgelegt, um den Umfang des Auftrags klar abzugrenzen.
• Schulungen und Sensibilisierung der Mitarbeiter: Zu Beginn ihres Arbeitsverhältnisses bei Law & Innovation erhalten alle Mitarbeiter alle wichtigen Informationen zum Thema Datenschutz und Informationssicherheit und sind zur Vertraulichkeit verpflichtet. Durch regelmäßige (Auffrischungs-)Schulungen und gezielte Informationsbereitstellung (Artikel, Fallbeispiele usw.) stellen wir ein konstant hohes Maß an Sensibilisierung der Mitarbeiter sicher.
• Aktualität des Sicherheitskonzepts: Das Sicherheitskonzept wird regelmäßig überprüft und bei Bedarf angepasst.
• Verantwortlichkeiten: Die Verantwortung für die Umsetzung der hier beschriebenen Maßnahmen und Prozesse liegt bei den zuständigen Abteilungen oder Fachbereichen. Die regelmäßige Überwachung erfolgt zum Teil durch den Datenschutzbeauftragten und den Informationssicherheitsbeauftragten.
• Weitere Maßnahmen: Überprüfung von Informationen zu neu auftretenden Schwachstellen und anderen Risikofaktoren, einschließlich einer Überarbeitung der Risikoanalyse und -bewertung, falls erforderlich.

---

Annex IV: Eingebundene Empfänger der Daten

Genehmigte Unterauftragsverarbeiter

Eigenständig Verantwortliche Drittanbieter

Stripe verarbeitet personenbezogene Daten im Rahmen der Zahlungsabwicklung als eigenständiger Verantwortlicher gemäß Art. 4 Nr. 7 DSGVO. Die Datenschutzinformationen von Stripe finden sich unter: https://stripe.com/privacy