Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO

Version 1.0, Stand 25.08.2026

zwischen

[Name der Schule / des Schulträgers]
[Anschrift]
vertreten durch: [Schulleitung / vertretungsberechtigte Person]
(nachfolgend „Verantwortlicher“)

und

veridu UG (haftungsbeschränkt)
Strübelhorn 3, 22559 Hamburg, Deutschland
vertreten durch die Geschäftsführung: Bendix Behn & Sanna Meyer-Nixdorf
Handelsregister: HRB 194849, Amtsgericht Hamburg
(nachfolgend „Auftragsverarbeiter“)

Präambel

Die Parteien haben einen Vertrag über die Nutzung der veridu-Lernplattform geschlossen (Online-Bestellung unter Einbeziehung der AGB oder Bestellschein, nachfolgend „Hauptvertrag“). Im Rahmen der Leistungserbringung verarbeitet der Auftragsverarbeiter personenbezogene Daten im Auftrag des Verantwortlichen. Dieser Vertrag konkretisiert die datenschutzrechtlichen Pflichten der Parteien nach Art. 28 der Verordnung (EU) 2016/679 (DSGVO).

§ 1 Gegenstand und Dauer

1. Gegenstand der Auftragsverarbeitung ist die Bereitstellung der veridu-Lernplattform zur Förderung sozial-emotionaler Kompetenzen im Unterricht. Art, Umfang und Zweck der Verarbeitung, die Datenarten und die Kategorien betroffener Personen ergeben sich aus Anlage 1.
2. Dieser Vertrag beginnt mit Abschluss des Hauptvertrags und endet mit dessen Beendigung. Eine gesonderte Kündigung dieses Vertrags ist ausgeschlossen; § 12 bleibt unberührt.
3. Die §§ 6 (Vertraulichkeit), 12 (Löschung und Rückgabe nach Vertragsende) und 13 (Nachweise und Kontrollen) gelten über die Beendigung dieses Vertrags nach Abs. 2 hinaus fort, bis die dort geregelten Pflichten vollständig erfüllt sind, längstens für die in § 12 genannten Fristen.

§ 2 Anwendungsbereich und Rollenabgrenzung

1. Dieser Vertrag gilt für alle Verarbeitungen personenbezogener Daten, die der Auftragsverarbeiter im Auftrag des Verantwortlichen gemäß Anlage 1 vornimmt („Auftragsdaten“).
2. Nicht Gegenstand dieses Vertrags sind Verarbeitungen, für die der Auftragsverarbeiter eigenständig Verantwortlicher im Sinne von Art. 4 Nr. 7 DSGVO ist: a) Anbahnung, Abschluss und Abwicklung des Hauptvertrags einschließlich Zahlungsabwicklung und Rechnungsstellung; b) einwilligungsbasierte Produkt- und Nutzungsanalysen bei Lehrkräften (Opt-in, jederzeit widerruflich); c) Verwaltung des Empfehlungsprogramms (Empfehlungscodes und daraus abgeleitete Rabatte) als Teil der Vertragsanbahnung und -abwicklung. Über diese Verarbeitungen informiert der Auftragsverarbeiter in seiner Datenschutzerklärung.
3. Kirchliche Träger: Unterliegt der Verantwortliche dem Gesetz über den Kirchlichen Datenschutz (KDG) oder dem EKD-Datenschutzgesetz (DSG-EKD), gelten die Regelungen dieses Vertrags entsprechend; Verweise auf Vorschriften der DSGVO gelten als Verweise auf die jeweiligen Parallelnormen (insbesondere § 29 KDG bzw. § 30 DSG-EKD).

§ 3 Weisungsrecht des Verantwortlichen

1. Der Auftragsverarbeiter verarbeitet Auftragsdaten ausschließlich auf dokumentierte Weisung des Verantwortlichen, sofern er nicht durch Unionsrecht oder das Recht eines Mitgliedstaats zur Verarbeitung verpflichtet ist; in einem solchen Fall teilt er dem Verantwortlichen diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht eine solche Mitteilung nicht verbietet (Art. 28 Abs. 3 lit. a DSGVO).
2. Der Hauptvertrag und dieser Vertrag einschließlich der Anlagen sind die Generalweisung. Einzelweisungen bedürfen der Textform (E-Mail genügt) und sind an info@veridu.app zu richten. Weisungsberechtigt ist die Schulleitung sowie von ihr benannte Personen.
3. Der Auftragsverarbeiter informiert den Verantwortlichen unverzüglich, wenn er der Auffassung ist, dass eine Weisung gegen die DSGVO oder andere Datenschutzbestimmungen verstößt. Er darf die Ausführung insoweit aussetzen, bis die Weisung bestätigt oder geändert wird.
4. Führt eine Weisung über den vertraglich vereinbarten Leistungsumfang hinaus, können hierfür angemessene Kosten nach vorheriger Ankündigung berechnet werden.

§ 4 Rechte und Pflichten des Verantwortlichen

1. Der Verantwortliche ist für die Rechtmäßigkeit der Verarbeitung der Auftragsdaten und für die Wahrung der Rechte betroffener Personen verantwortlich (Art. 24, Art. 5 Abs. 2 DSGVO). Er prüft insbesondere die schulrechtliche und datenschutzrechtliche Zulässigkeit des Einsatzes der Plattform nach dem Recht des jeweiligen Landes.
2. Der Verantwortliche erteilt Weisungen nach § 3, benennt die weisungsberechtigten Personen und teilt dem Auftragsverarbeiter eine Kontaktadresse für datenschutzbezogene Mitteilungen mit, insbesondere für Mitteilungen nach § 8 Abs. 2 (Wechsel von Subunternehmern). Änderungen teilt er unverzüglich in Textform mit.
3. Der Verantwortliche informiert die betroffenen Personen, insbesondere Lehrkräfte, Schüler:innen und deren Erziehungsberechtigte, nach Art. 12 bis 14 DSGVO über die Verarbeitung. Die hierfür erforderlichen Angaben zur Verarbeitung ergeben sich aus Anlage 1 dieses Vertrages.
4. Der Verantwortliche entscheidet über die Erforderlichkeit einer Datenschutz-Folgenabschätzung (Art. 35 DSGVO) und führt sie durch; der Auftragsverarbeiter unterstützt nach § 10 Abs. 3.
5. Soweit Lehrkräfte das Auswahlfeld zu bekannten psychischen Belastungen in einer Klasse (Anlage 1 Nr. 3, Kategorie „Angaben zu Kontraindikationen“) nutzen, verantwortet der Verantwortliche die Zulässigkeit dieser Verarbeitung nach dem für ihn geltenden Schul- und Datenschutzrecht und informiert die betroffenen Personen nach Art. 12 bis 14 DSGVO. Die Erfassung ist in der Anwendung freiwillig, erfolgt ohne Zuordnung zu einzelnen Schüler:innen und ist keine Voraussetzung für die Nutzung der Plattform.
6. Meldungen nach Art. 33 DSGVO an die zuständige Aufsichtsbehörde und Benachrichtigungen betroffener Personen nach Art. 34 DSGVO obliegen dem Verantwortlichen.
7. Der Verantwortliche stellt sicher, dass die von ihm zum Zugriff auf die Plattform berechtigten Personen zur Vertraulichkeit verpflichtet sind und ihre Zugangsdaten nicht weitergeben.
8. Der Verantwortliche ist berechtigt, die Einhaltung dieses Vertrags nach Maßgabe des § 13 zu überprüfen.

§ 5 Besondere Zusicherungen

Der Auftragsverarbeiter sichert für die gesamte Vertragslaufzeit zu:

1. Verarbeitungsort: Auftragsdaten werden ausschließlich in Rechenzentren in Deutschland bzw. der Europäischen Union verarbeitet und gespeichert; eine Speicherung in einem Drittland findet nicht statt. Soweit ein in Anlage 3 aufgeführter Subunternehmer seinen Sitz in einem Drittland hat, erfolgt die Verarbeitung ausschließlich mit Datenhaltung in der Europäischen Union; für einen etwaigen Zugriff aus dem Drittland bestehen geeignete Garantien nach Kapitel V DSGVO (EU-Standardvertragsklauseln, ergänzt um eine Zertifizierung nach dem EU-US Data Privacy Framework). Änderungen sind nur unter den Voraussetzungen des § 8 und bei Vorliegen geeigneter Garantien nach Kapitel V DSGVO zulässig.
2. Keine Eigennutzung: Auftragsdaten werden nicht für eigene Zwecke des Auftragsverarbeiters genutzt, insbesondere nicht für Werbung, Profilbildung oder die Entwicklung eigener Produkte. Unberührt bleibt die Erstellung anonymisierter, nicht auf Personen oder einzelne Klassen rückführbarer Statistiken zur Produktverbesserung und Abrechnung.
3. Kein KI-Einsatz auf Auftragsdaten: Auftragsdaten werden nicht durch Systeme der künstlichen Intelligenz (insbesondere Large Language Models) verarbeitet und nicht zum Training solcher Systeme verwendet. Die Auswertungslogik der Plattform (Kompetenzübersichten, Übungsempfehlungen) ist deterministisch und regelbasiert.
4. Datenminimierung bei Schüler:innen: Die Plattform erhebt keine identifizierenden Daten von Schüler:innen (keine Namen, keine Accounts, keine Kontaktdaten). Check-in-Antworten werden ohne Schülerbezug erhoben und ausschließlich auf Klassenebene aggregiert ausgewertet. Auswertungen erfolgen erst ab fünf abgegebenen Antworten. Anwendungs-Logs, die im Rahmen dieser Verarbeitung entstehen, protokollieren keine IP-Adressen.
5. Besondere Kategorien (Art. 9 DSGVO): Die von Lehrkräften optional erfassten Angaben zu bekannten psychischen Belastungen in einer Klasse (Anlage 1 Nr. 3) werden ausschließlich zu dem Zweck verarbeitet, für die Klasse kontraindizierte Übungsinhalte von der Empfehlung auszuschließen. Eine darüber hinausgehende Auswertung, Statistik, Weitergabe oder Zusammenführung mit anderen Daten findet nicht statt. Die Angaben werden ohne Bezug zu einzelnen Schüler:innen erhoben und gespeichert: Erfasst wird ausschließlich, dass eine Belastung in der Klasse bekannt ist, nicht, wen sie betrifft. Der Zugriff ist technisch auf diejenigen Lehrkräfte beschränkt, die für die betreffende Klasse die Rolle „Eigentümer:in“ oder „Klassen-Administration“ innehaben; allen übrigen Zugriffsberechtigten werden die Angaben nicht ausgeliefert. Die Erfassung ist freiwillig und keine Voraussetzung für die Nutzung der Plattform.
6. Schutz Minderjähriger: Es erfolgt keinerlei werbliche Ansprache von Schüler:innen und keine Bildung individueller Schülerprofile.

§ 6 Vertraulichkeit

Der Auftragsverarbeiter setzt für die Verarbeitung von Auftragsdaten nur Personen ein, die zur Vertraulichkeit verpflichtet wurden oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen (Art. 28 Abs. 3 lit. b DSGVO). Die Verpflichtung besteht über das Ende der jeweiligen Tätigkeit und dieses Vertrags hinaus fort.

§ 7 Technische und organisatorische Maßnahmen

1. Der Auftragsverarbeiter trifft alle gemäß Art. 32 DSGVO erforderlichen Maßnahmen. Die zum Zeitpunkt des Vertragsschlusses implementierten Maßnahmen sind in Anlage 2 beschrieben.
2. Anlage 2 ist das Dokument „Technische und organisatorische Maßnahmen (TOM)“ der veridu UG (haftungsbeschränkt) in der Fassung Version 1.0, Stand 25.08.2026. Das Dokument wird dem Verantwortlichen mit diesem Vertrag übergeben und ist Bestandteil dieses Vertrages.
3. Die Maßnahmen dürfen an den Stand der Technik angepasst werden, sofern das Schutzniveau dabei nicht unterschritten wird. Wesentliche Änderungen werden dokumentiert. Die jeweils aktuelle Fassung des TOM-Dokuments stellt der Auftragsverarbeiter dem Verantwortlichen auf Anfrage zur Verfügung.

§ 8 Subunternehmer (weitere Auftragsverarbeiter)

1. Der Verantwortliche erteilt die allgemeine Genehmigung zur Einschaltung der in Anlage 3 aufgeführten Subunternehmer (Art. 28 Abs. 2 DSGVO).
2. Der Auftragsverarbeiter informiert den Verantwortlichen über beabsichtigte Änderungen (Hinzuziehung oder Ersetzung) mindestens vier Wochen vor deren Wirksamwerden in Textform. Der Verantwortliche kann aus wichtigem datenschutzrechtlichem Grund widersprechen. Wird für einen Widerspruch keine einvernehmliche Lösung gefunden, steht beiden Parteien ein Sonderkündigungsrecht für den Hauptvertrag zu; bereits gezahlte Entgelte für nicht erbrachte Leistungszeiträume werden anteilig erstattet.
3. Der Auftragsverarbeiter erlegt jedem Subunternehmer durch Vertrag dieselben Datenschutzpflichten auf, die in diesem Vertrag festgelegt sind (Art. 28 Abs. 4 DSGVO), insbesondere hinreichende Garantien für geeignete technische und organisatorische Maßnahmen.
4. Kommt ein Subunternehmer seinen Datenschutzpflichten nicht nach, haftet der Auftragsverarbeiter gegenüber dem Verantwortlichen für dessen Pflichterfüllung.
5. Nicht als Unterauftragsverhältnisse gelten Nebenleistungen Dritter ohne Zugriff auf Auftragsdaten (z. B. Post-, Telekommunikations-, Wartungsleistungen ohne Datenbezug).

§ 9 Unterstützung bei Betroffenenrechten

1. Der Auftragsverarbeiter unterstützt den Verantwortlichen mit geeigneten technischen und organisatorischen Maßnahmen bei dessen Pflicht zur Beantwortung von Anträgen betroffener Personen nach Kapitel III DSGVO (Art. 28 Abs. 3 lit. e DSGVO), insbesondere durch Auskunfts-, Export-, Berichtigungs- und Löschfunktionen.
2. Wendet sich eine betroffene Person unmittelbar an den Auftragsverarbeiter, leitet dieser den Antrag unverzüglich an den Verantwortlichen weiter und beantwortet ihn nicht selbst, sofern keine entsprechende Weisung vorliegt.

§ 10 Meldepflichten und weitere Unterstützungspflichten

1. Der Auftragsverarbeiter meldet dem Verantwortlichen jede Verletzung des Schutzes personenbezogener Daten, die Auftragsdaten betrifft, unverzüglich, spätestens innerhalb von 24 Stunden nach Kenntniserlangung. Die Meldung enthält mindestens die Angaben nach Art. 33 Abs. 3 DSGVO, soweit verfügbar; Informationen können schrittweise nachgereicht werden.
2. Der Auftragsverarbeiter unterstützt den Verantwortlichen unter Berücksichtigung der Art der Verarbeitung und der ihm zur Verfügung stehenden Informationen bei der Einhaltung der Pflichten aus Art. 32 bis 36 DSGVO (Art. 28 Abs. 3 lit. f DSGVO), insbesondere bei Meldungen an die Aufsichtsbehörde (Art. 33), der Benachrichtigung betroffener Personen (Art. 34), der Datenschutz-Folgenabschätzung (Art. 35) und der vorherigen Konsultation (Art. 36).
3. Zur Unterstützung einer Datenschutz-Folgenabschätzung stellt der Auftragsverarbeiter ein aktuelles Informationspaket (Beschreibung der Verarbeitung, Risikoanalyse aus Auftragsverarbeiter-Sicht, Anlagen dieses Vertrags) unentgeltlich bereit.

§ 11 Ansprechpartner

• Datenschutz beim Auftragsverarbeiter: Bendix Behn, info@veridu.app, +49 151 70669892
• Weisungsberechtigte des Verantwortlichen: [Name(n) eintragen; im Regelfall die Schulleitung]

Wechsel der Ansprechpartner werden der jeweils anderen Partei unverzüglich in Textform mitgeteilt und erfordern keine Vertragsänderung.

§ 12 Löschung und Rückgabe nach Vertragsende

1. Nach Beendigung des Hauptvertrags löscht der Auftragsverarbeiter nach Wahl des Verantwortlichen alle Auftragsdaten oder gibt sie in einem gängigen, maschinenlesbaren Format zurück und löscht sie anschließend (Art. 28 Abs. 3 lit. g DSGVO). Der Auftragsverarbeiter fordert den Verantwortlichen nach Vertragsende in Textform zur Ausübung des Wahlrechts auf. Übt der Verantwortliche sein Wahlrecht nicht innerhalb von 90 Tagen nach Zugang dieser Aufforderung aus, erfolgt die Löschung. Bis zur Löschung werden die Auftragsdaten nicht aktiv verarbeitet und ausschließlich zum Zweck der Rückgabe vorgehalten.
2. Die operative Löschung erfolgt innerhalb von 30 Tagen nach Ausübung des Wahlrechts, nach erfolgter Rückgabe oder nach fruchtlosem Ablauf der Frist nach Abs. 1. In Sicherungskopien enthaltene Auftragsdaten werden durch die Backup-Rotation spätestens nach sechs Monaten überschrieben; eine Wiederherstellung gelöschter Daten aus Backups wird durch ein automatisiertes Lösch-Audit-Verfahren verhindert (erneute Löschung nach jedem Restore). Bis zur endgültigen Überschreibung werden die Daten nicht aktiv verarbeitet.
3. Gesetzliche Aufbewahrungspflichten des Auftragsverarbeiters bleiben unberührt; betroffene Daten werden für die weitere Verarbeitung gesperrt.
4. Die Dokumentation, die dem Nachweis der ordnungsgemäßen Verarbeitung dient, darf der Auftragsverarbeiter über das Vertragsende hinaus aufbewahren.

§ 13 Nachweise und Kontrollen

1. Der Auftragsverarbeiter stellt dem Verantwortlichen alle erforderlichen Informationen zum Nachweis der Einhaltung der Pflichten aus Art. 28 DSGVO zur Verfügung (Art. 28 Abs. 3 lit. h DSGVO). Der Nachweis wird gestuft erbracht: a) durch aktuelle Dokumentation (dieser Vertrag mit Anlagen, TOM-Dokumentation, Löschkonzept, Sicherheits-Selbstauskunft) sowie einschlägige Testate und Zertifikate der Subunternehmer (u. a. ISO-27001-Zertifizierung der Rechenzentren); b) auf Anfrage durch schriftliche Auskünfte oder ein Remote-Audit (Videokonferenz, Einsichtnahme in relevante Konfigurationen); c) durch eine Kontrolle in den Geschäftsräumen des Auftragsverarbeiters: höchstens einmal pro Kalenderjahr, mit mindestens 30 Tagen Vorankündigung, während der üblichen Geschäftszeiten, ohne Störung des Betriebsablaufs, soweit der Auftragsverarbeiter eigene Räumlichkeiten unterhält, in denen Auftragsdaten verarbeitet werden. Im Übrigen tritt an die Stelle der Kontrolle vor Ort die Kontrolle nach lit. b. Kontrollen in den Rechenzentren der Subunternehmer richten sich nach deren Auditregelungen; der Auftragsverarbeiter legt hierfür die ihm vorliegenden Zertifikate und Prüfberichte vor.
2. Kontrollen nach Abs. 1 lit. c können durch einen zur Verschwiegenheit verpflichteten, nicht im Wettbewerb stehenden Dritten durchgeführt werden. Die Kosten einer Kontrolle nach Abs. 1 lit. c trägt der Verantwortliche; sie trägt der Auftragsverarbeiter, wenn die Kontrolle aus einem konkreten, von ihm zu vertretenden Anlass erfolgt.
3. Kontrollrechte der Aufsichtsbehörden bleiben unberührt.

§ 14 Haftung

1. Für die Haftung gelten Art. 82 DSGVO sowie die gesetzlichen Bestimmungen. Im Innenverhältnis haften die Parteien einander entsprechend ihrem Anteil an der Verantwortung für einen Schaden (Art. 82 Abs. 5 DSGVO).
2. Im Übrigen gelten die Haftungsregelungen des Hauptvertrags. Vertragsstrafen sind nicht vereinbart.

§ 15 Schlussbestimmungen

1. Die Anlagen 1 bis 3 sind Bestandteil dieses Vertrages. Bei Widersprüchen zwischen dem Vertragstext und einer Anlage gehen die Regelungen des Vertragstextes vor.
2. Bei Widersprüchen zwischen diesem Vertrag und dem Hauptvertrag gehen hinsichtlich der Verarbeitung personenbezogener Daten die Regelungen dieses Vertrags vor.
3. Änderungen und Ergänzungen bedürfen der Textform. Der Vertrag kann elektronisch geschlossen werden (Art. 28 Abs. 9 DSGVO).
4. Es gilt deutsches Recht. Sollten einzelne Bestimmungen unwirksam sein, bleibt die Wirksamkeit des Vertrags im Übrigen unberührt; an die Stelle der unwirksamen Bestimmung tritt die gesetzliche Regelung.

Anlage 1: Beschreibung der Verarbeitung

1. Gegenstand und Zwecke

Bereitstellung der veridu-Lernplattform: Durchführung von Klassen-Check-ins zu sozial-emotionalen Kompetenzen, aggregierte Kompetenzübersichten auf Klassenebene, regelbasierte Übungsempfehlungen, Planung und Dokumentation von Unterrichtseinheiten, Anmeldung von Lehrkräften (optional per Eduplaces-SSO), Klassen- und Schulverwaltung.

2. Kategorien betroffener Personen

• Lehrkräfte und pädagogisches Personal des Verantwortlichen
• Schulleitung / Administrationspersonal
• Schüler:innen, und zwar ohne Accounts, Namen oder Kontaktdaten, über zwei Datenpfade: (a) nicht direkt identifizierende Check-in-Antworten (vorsorglich als pseudonym behandelt) und (b) klassenbezogene Angaben zu bekannten psychischen Belastungen, die eine Lehrkraft optional erfassen kann (Nr. 3, Kategorie „Angaben zu Kontraindikationen“). Auch letztere werden ohne Zuordnung zu einzelnen Schüler:innen gespeichert; da die eintragende Lehrkraft den Bezug jedoch kennt, behandelt der Auftragsverarbeiter sie vorsorglich als personenbezogene Daten besonderer Kategorien i. S. v. Art. 9 DSGVO.

3. Arten personenbezogener Daten

4. Negativliste: Daten, die nicht verarbeitet werden

Die Plattform erhebt und verarbeitet nicht: Klarnamen, Accounts, Fotos oder Kontaktdaten von Schüler:innen; Kontaktdaten von Eltern; Noten oder Leistungsbewertungen; biometrische oder genetische Daten; Diagnosen, Befunde, Medikationen oder sonstige Behandlungsdaten. Check-in-Antworten werden bewusst ohne Identifikatoren erhoben und nur aggregiert (ab fünf Antworten) ausgewertet.

Die Anwendung sieht an keiner Stelle ein Feld zur Erfassung von Schüler:innen als Person vor. Zwei Felder erlauben jedoch Freitexteingaben der Lehrkraft (Nr. 3). Die Anwendung weist dort darauf hin, keine Namen von Schüler:innen einzutragen; der Auftragsverarbeiter wertet diese Felder nicht aus und verarbeitet sie ausschließlich zur Anzeige gegenüber der eingebenden Lehrkraft.

Besondere Kategorien personenbezogener Daten i. S. v. Art. 9 DSGVO werden ausschließlich in dem in Nr. 3 beschriebenen, eng begrenzten Umfang verarbeitet: als optionale, klassenbezogene und personenungebundene Auswahl aus einer festen Liste, allein zum Ausschluss kontraindizierter Übungsinhalte. Die Zusicherungen des § 5 Nr. 5 und die Pflichten des Verantwortlichen nach § 4 Abs. 5 gelten hierfür.

5. Datenquellen

Eingaben der Lehrkräfte; anonym abgegebene Schülerantworten über einen Session-Code; Eduplaces-Synchronisation nach expliziter Freigabe durch die Lehrkraft auf Eduplaces-Seite. Eduplaces ist dabei eigenständiger Auftragsverarbeiter des Verantwortlichen, nicht Subunternehmer des Auftragsverarbeiters.

6. Dauer der Verarbeitung und Löschfristen

Für die Dauer des Hauptvertrags. Im laufenden Betrieb gelten für die in Nr. 3 genannten Datenarten folgende Löschfristen:

Backups: Tägliche Backups werden 7 Tage, wöchentliche 4 Wochen und monatliche 6 Monate vorgehalten und danach automatisch per Retention-Rotation gelöscht; über ein internes Lösch-Audit-Verfahren sind gelöschte Daten spätestens nach 6 Monaten auch aus alten Backup-Ständen entfernt, selbst wenn diese zwischenzeitlich zur Wiederherstellung eingespielt werden.

Einzelheiten regelt das Löschkonzept des Auftragsverarbeiters (auf Anfrage verfügbar). Nach Vertragsende gilt § 12.

Anlage 2: Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

Anlage 2 dieses Vertrages ist das gesonderte Dokument

Technische und organisatorische Maßnahmen (TOM)
veridu UG (haftungsbeschränkt)
Version 1.0, Stand 25.08.2026

in der vorstehend bezeichneten Fassung. Es wird dem Verantwortlichen gemeinsam mit diesem Vertrag übergeben und ist gemäß § 7 Abs. 2 Bestandteil dieses Vertrages. Die jeweils aktuelle Fassung ist unter https://veridu.org/tom abrufbar.

Das Dokument beschreibt die zum Zeitpunkt des Vertragsschlusses implementierten Maßnahmen nach Art. 32 DSGVO, gegliedert nach den Kontrollzielen Vertraulichkeit, Integrität sowie Verfügbarkeit und Belastbarkeit, den Verfahren zur regelmäßigen Überprüfung, Bewertung und Evaluierung (Art. 32 Abs. 1 lit. d DSGVO) und den organisatorischen Maßnahmen. Es enthält darüber hinaus eine Übersicht der eingesetzten Systeme und Betriebsmodelle sowie die Darstellung der Datenschutzmaßnahmen auf Architekturebene.

Für die Fortschreibung der Maßnahmen gilt § 7 Abs. 3.

Anlage 3: Genehmigte Subunternehmer

Zur Klarstellung: Die folgenden Dienste sind keine Subunternehmer für Auftragsdaten.