Brandakte

AV-Vertrag für
Brandakte.

Dieser Auftragsverarbeitungsvertrag regelt die Verarbeitung personenbezogener Daten im Auftrag, wenn Kunden Brandakte für digitale Brandschutzdokumentation nutzen.

Stand 30.07.2026 Version 1.1
Auftragnehmer Brandakte.de Markus Müller / Pixel33 Software · An den Gleisen 5 · 92224 Amberg
Kurzfassung

Brandakte verarbeitet personenbezogene Daten ausschließlich im Auftrag und auf dokumentierte Weisung des Kunden. Die Verarbeitung erfolgt nur, soweit sie für Betrieb, Sicherheit, Support, Speicherung, Synchronisation und Bereitstellung der digitalen Brandschutzdokumentation erforderlich ist oder gesetzliche Pflichten bestehen.

Auftragsverarbeitungsvertrag

Version 1.1 · Stand 30.07.2026

Vertragspartner

Auftragnehmer

Markus Müller / Pixel33 Software
Brandakte
An den Gleisen 5
92224 Amberg
Deutschland
E-Mail: info@brandakte.de
Website: www.brandakte.de

Auftraggeber

Der jeweilige Kunde, der Brandakte nutzt und diesen Auftragsverarbeitungsvertrag im Rahmen der Registrierung, des Vertragsschlusses, des Checkouts oder im Kundenkonto akzeptiert.

Inhaltsübersicht

1 Vertragsschluss und Einbeziehung 2 Abgrenzung der Verantwortlichkeiten 3 Gegenstand und Dauer der Verarbeitung 4 Art und Zweck der Verarbeitung 5 Arten personenbezogener Daten 6 Kategorien betroffener Personen 7 Weisungsrecht des Auftraggebers 8 Vertraulichkeit 9 Technische und organisatorische Maßnahmen 10 Unterauftragsverarbeiter 11 Unterstützungspflichten 12 Datenschutzverletzungen und Störungen 13 Kontrollrechte und Nachweise 14 Löschung und Rückgabe nach Vertragsende 15 Mobile App, Offline-Speicherung und Synchronisation 16 Datenschutzbeauftragter und Kontakt 17 Schlussbestimmungen A1 Technische und organisatorische Maßnahmen A2 Unterauftragsverarbeiter

Art der Verarbeitung

Erheben Erfassen Speichern Auslesen Anzeigen Bearbeiten Übermitteln Synchronisieren Exportieren Löschen
1

Vertragsschluss und Einbeziehung

Dieser Auftragsverarbeitungsvertrag wird Bestandteil des Vertragsverhältnisses zwischen Auftraggeber und Auftragnehmer, sobald der Auftraggeber diesen Vertrag elektronisch akzeptiert.

Die Annahme wird durch den Auftragnehmer protokolliert. Dabei können insbesondere Nutzer-ID, Kundenkonto, Zeitpunkt, IP-Adresse, User-Agent, Dokumenten-Hash und akzeptierte AVV-Version gespeichert werden.

Der Auftragnehmer stellt dem Auftraggeber die jeweils akzeptierte Version dieses Auftragsverarbeitungsvertrags dauerhaft abrufbar oder auf Anfrage in Textform zur Verfügung.

2

Abgrenzung der Verantwortlichkeiten

Der Auftraggeber ist Verantwortlicher im Sinne der DSGVO, soweit er personenbezogene Daten in Brandakte eingibt, hochlädt, verwaltet oder durch Brandakte verarbeiten lässt.

Der Auftragnehmer verarbeitet diese Daten im Auftrag des Auftraggebers.

Zur Auftragsverarbeitung gehören insbesondere projektbezogene Inhalte wie Projekte, Ebenen, Räume, Durchbrüche, Fotos, Pläne, Markierungen, Dokumentationen, Projektbeteiligte und Rollen innerhalb von Projekten.

Nicht Gegenstand dieses Auftragsverarbeitungsvertrags sind Datenverarbeitungen, bei denen Brandakte selbst Verantwortlicher ist. Dazu gehören insbesondere Accountverwaltung, Registrierung, Login, Abrechnung, Rechnungen, Zahlungsabwicklung, Vertragskommunikation, Support zur Vertragsdurchführung, Missbrauchsschutz, Sicherheit der Website, gesetzliche Aufbewahrungspflichten und eigene Server- oder Zugriffsprotokolle. Diese eigenen Verarbeitungen werden in der Datenschutzerklärung von Brandakte beschrieben.

3

Gegenstand und Dauer der Verarbeitung

Gegenstand der Verarbeitung ist die Bereitstellung von Brandakte als digitale Plattform zur Brandschutzdokumentation.

Die Verarbeitung umfasst insbesondere das Speichern, Anzeigen, Bearbeiten, Übertragen, Synchronisieren, Sichern, Exportieren und Löschen von Daten, die der Auftraggeber oder von ihm berechtigte Nutzer in Brandakte verarbeiten.

Die Dauer der Verarbeitung richtet sich nach der Laufzeit des Hauptvertrags zwischen Auftraggeber und Auftragnehmer.

Nach Ende des Vertrags werden die im Auftrag verarbeiteten personenbezogenen Daten nach Wahl des Auftraggebers gelöscht oder zurückgegeben, sofern keine gesetzliche Pflicht zur Speicherung besteht.

4

Art und Zweck der Verarbeitung

Die Verarbeitung erfolgt zum Zweck der digitalen Verwaltung und Dokumentation von brandschutzrelevanten Projektdaten.

Dazu gehören insbesondere die Verwaltung von Projekten, Ebenen, Räumen und Durchbrüchen, der Upload und die Verwaltung von Plänen, Fotos und Dokumenten, die Markierung von Durchbrüchen auf Plänen, die Verwaltung von Produkten, Zulassungen und Nachweisen, die Erstellung von Dokumentationen und Exporten, die Synchronisation zwischen WebApp, mobiler App und Server sowie die projektbezogene Rechte- und Rollenverwaltung.

5

Arten personenbezogener Daten

Es können insbesondere die nachfolgend genannten personenbezogenen Daten verarbeitet werden. Vertragsabrechnungs- und Zahlungsdaten gehören grundsätzlich nicht zur Auftragsverarbeitung, sondern werden von Brandakte als eigener Verantwortlicher verarbeitet, soweit dies für Vertrag, Abrechnung und gesetzliche Pflichten erforderlich ist.

  • Namen
  • E-Mail-Adressen
  • Benutzer-IDs
  • Rollen und Berechtigungen
  • Firmen- und Kontaktdaten
  • projektbezogene Ansprechpartner
  • technische Nutzungs- und Synchronisationsdaten
  • Fotos, Pläne oder Dokumente, soweit diese Personen oder personenbezogene Informationen enthalten
  • Protokolldaten, soweit diese im Rahmen der Projekt- oder Zugriffsdokumentation entstehen
  • Support- und Kommunikationsinhalte, soweit sie projektbezogene personenbezogene Daten des Auftraggebers enthalten
6

Kategorien betroffener Personen

Betroffene Personen können insbesondere sein:

  • Nutzer des Auftraggebers
  • Mitarbeiter des Auftraggebers
  • Projektbeteiligte
  • Auftragnehmer und Nachunternehmer
  • Ansprechpartner von Kunden, Auftraggebern, Behörden oder sonstigen Stellen
  • Personen, die auf Fotos, Plänen oder Dokumenten erkennbar sind
7

Weisungsrecht des Auftraggebers

Der Auftragnehmer verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Auftraggebers, sofern keine gesetzliche Verpflichtung zu einer abweichenden Verarbeitung besteht.

Weisungen ergeben sich insbesondere aus dem Hauptvertrag, diesen AVV-Regelungen, den Einstellungen innerhalb von Brandakte und den Handlungen berechtigter Nutzer innerhalb der Plattform.

Zusätzliche Weisungen können in Textform oder in einem dokumentierten elektronischen Format erteilt werden, soweit sie technisch und organisatorisch umsetzbar sowie rechtlich zulässig sind.

Hält der Auftragnehmer eine Weisung für rechtswidrig, informiert er den Auftraggeber unverzüglich. Der Auftragnehmer ist berechtigt, die Durchführung der betreffenden Weisung auszusetzen, bis sie durch den Auftraggeber bestätigt oder geändert wurde.

8

Vertraulichkeit

Der Auftragnehmer stellt sicher, dass Personen, die Zugriff auf personenbezogene Daten des Auftraggebers haben, zur Vertraulichkeit verpflichtet sind oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen.

Zugriffe auf Kundendaten erfolgen nur, soweit dies für Betrieb, Wartung, Sicherheit, Support, Fehlerbehebung oder gesetzliche Pflichten erforderlich ist.

Auftraggeber und Auftragnehmer verpflichten sich, alle im Rahmen des Vertragsverhältnisses erlangten Kenntnisse von Geschäftsgeheimnissen, Bauplänen, Brandschutzdokumentationen und Datensicherheitsmaßnahmen vertraulich zu behandeln. Diese Pflicht gilt auch nach Beendigung des Vertrags fort.

9

Technische und organisatorische Maßnahmen

Der Auftragnehmer trifft geeignete technische und organisatorische Maßnahmen gemäß Art. 32 DSGVO, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten.

Die aktuellen technischen und organisatorischen Maßnahmen ergeben sich aus Anlage 1 dieses Vertrags.

Der Auftragnehmer darf Maßnahmen technisch weiterentwickeln oder durch gleichwertige oder bessere Maßnahmen ersetzen, sofern das Sicherheitsniveau nicht wesentlich reduziert wird.

10

Unterauftragsverarbeiter

Der Auftragnehmer darf Unterauftragsverarbeiter einsetzen, soweit dies für Betrieb, Hosting, Sicherheit, Zahlungsabwicklung, E-Mail-Versand oder technische Bereitstellung von Brandakte erforderlich ist.

Die jeweils eingesetzten Unterauftragsverarbeiter ergeben sich aus Anlage 2 dieses Vertrags.

Der Auftraggeber erteilt eine allgemeine Genehmigung zum Einsatz der in Anlage 2 genannten Unterauftragsverarbeiter.

Der Auftragnehmer informiert den Auftraggeber über wesentliche Änderungen bei Unterauftragsverarbeitern mindestens vier Wochen vor der geplanten Änderung in Textform oder über einen geeigneten elektronischen Informationsweg. Der Auftraggeber kann aus wichtigem datenschutzrechtlichem Grund innerhalb von 14 Tagen ab Zugang der Mitteilung widersprechen.

Der Auftragnehmer verpflichtet Unterauftragsverarbeiter vertraglich auf ein angemessenes Datenschutzniveau.

11

Unterstützungspflichten

Der Auftragnehmer unterstützt den Auftraggeber im Rahmen des Zumutbaren bei der Erfüllung datenschutzrechtlicher Pflichten.

Dies betrifft insbesondere Auskunftsersuchen betroffener Personen, Berichtigung, Löschung, Einschränkung der Verarbeitung, Datenübertragbarkeit, Meldung von Datenschutzverletzungen, Datenschutz-Folgenabschätzungen sowie Konsultationen mit Aufsichtsbehörden, soweit Brandakte und die Verarbeitung im Auftrag betroffen sind.

Der Auftraggeber bleibt für die Prüfung und Beantwortung von Betroffenenanfragen verantwortlich. Direkt an den Auftragnehmer gerichtete Anfragen betroffener Personen, die Kundendaten betreffen, werden unverzüglich an den Auftraggeber weitergeleitet, soweit eine Zuordnung möglich ist.

12

Datenschutzverletzungen und Störungen

Der Auftragnehmer informiert den Auftraggeber unverzüglich, spätestens jedoch innerhalb von 24 Stunden nach Bekanntwerden, über Datenschutzverletzungen, soweit personenbezogene Daten betroffen sind, die im Auftrag verarbeitet werden.

Die Meldung erfolgt an die im Kundenkonto hinterlegte E-Mail-Adresse oder an eine vom Auftraggeber benannte Datenschutzkontaktadresse.

Die Meldung enthält, soweit zum Zeitpunkt der Meldung bekannt: Art der Datenschutzverletzung, betroffene Datenarten, betroffene Personen oder Personengruppen, wahrscheinliche Folgen, bereits getroffene oder vorgeschlagene Maßnahmen, Zeitpunkt der Feststellung und Ansprechpartner für Rückfragen.

Der Auftragnehmer unterstützt den Auftraggeber im Rahmen des Zumutbaren bei der Bewertung des Vorfalls sowie bei etwaigen Melde- und Benachrichtigungspflichten gegenüber Aufsichtsbehörden oder betroffenen Personen.

Erhebliche Störungen der Auftragsverarbeitung sowie angekündigte oder bereits stattgefundene Kontrollen oder Maßnahmen von Aufsichtsbehörden oder anderen Dritten teilt der Auftragnehmer dem Auftraggeber unverzüglich mit, soweit ein Bezug zur Auftragsverarbeitung besteht.

13

Kontrollrechte und Nachweise

Der Auftragnehmer stellt dem Auftraggeber auf Anfrage geeignete Informationen zum Nachweis der Einhaltung dieses Vertrags bereit. Hierzu können insbesondere Beschreibungen der technischen und organisatorischen Maßnahmen, Informationen zu Unterauftragsverarbeitern, Informationen zu Lösch- und Sicherungsprozessen sowie geeignete Selbstauskünfte oder Dokumentationsnachweise gehören.

Vor-Ort-Prüfungen sind nur nach angemessener Vorankündigung, während üblicher Geschäftszeiten und nur dann möglich, wenn Dokumentennachweise nicht ausreichen.

Prüfungen dürfen den Betrieb, die Sicherheit der Systeme, Geschäftsgeheimnisse und Rechte anderer Kunden nicht gefährden. Kontrollen durch Dritte können abgelehnt werden, wenn diese mit dem Auftragnehmer in einem Wettbewerbsverhältnis stehen oder ähnlich gewichtige Gründe vorliegen.

Ein etwaiger Kostenersatz für Sonderprüfungen wird vor Durchführung der Prüfung in Textform vereinbart.

14

Löschung und Rückgabe nach Vertragsende

Nach Ende des Hauptvertrags löscht oder exportiert der Auftragnehmer die im Auftrag verarbeiteten personenbezogenen Daten nach Wahl des Auftraggebers, soweit dies technisch möglich und rechtlich zulässig ist.

Der Auftraggeber kann verfügbare Exportfunktionen vor Vertragsende nutzen. Nach Aufforderung durch den Auftragnehmer soll der Auftraggeber innerhalb von zwei Wochen mitteilen, ob die Daten gelöscht oder zurückgegeben bzw. exportiert werden sollen.

Gesetzliche Aufbewahrungspflichten des Auftragnehmers, insbesondere für eigene Vertrags-, Rechnungs- und Zahlungsdaten, bleiben unberührt. Diese Daten sind nicht Teil der Auftragsverarbeitung.

Zur Löschung bestimmte Daten werden aus den produktiven Systemen gelöscht. Bereits vorhandene Sicherungskopien werden bis zu ihrer planmäßigen Überschreibung gesperrt, nicht wieder produktiv verwendet und spätestens innerhalb von 30 Tagen überschrieben oder gelöscht, sofern keine längere gesetzliche Pflicht oder ein sicherheitsrelevanter Ausnahmefall besteht.

15

Mobile App, Offline-Speicherung und Synchronisation

Soweit Brandakte über eine mobile App genutzt wird, können Projektdaten lokal auf dem jeweiligen Endgerät gespeichert werden.

Der Auftraggeber ist dafür verantwortlich, Endgeräte angemessen zu schützen und nur berechtigten Personen Zugriff auf lokale App-Daten zu ermöglichen.

Der Auftragnehmer stellt technische Funktionen zur Synchronisation bereit. Der Auftraggeber ist dafür verantwortlich, lokale Daten regelmäßig zu synchronisieren und vor Gerätewechsel, Zurücksetzen oder Löschung der App relevante Daten zu sichern oder zu übertragen.

Bei Entzug einer Projektberechtigung kann die App lokale Projektdaten ausblenden oder löschen, sobald eine Synchronisation mit dem Server erfolgt.

16

Datenschutzbeauftragter und Kontakt

Soweit der Auftragnehmer gesetzlich verpflichtet ist, einen Datenschutzbeauftragten zu bestellen, teilt er dem Auftraggeber die entsprechenden Kontaktdaten mit.

Besteht keine gesetzliche Pflicht zur Bestellung eines Datenschutzbeauftragten, kann der Auftragnehmer dem Auftraggeber dies auf Anfrage mitteilen.

Anfragen zu Datenschutzverletzungen und zur Auftragsverarbeitung können an info@brandakte.de gerichtet werden.

17

Schlussbestimmungen

Eine physische Rückgabe von Datenträgern findet nicht statt, sofern nicht ausdrücklich etwas anderes vereinbart wurde. Die Rückgabe erfolgt grundsätzlich durch digitale Exportfunktionen oder durch Bereitstellung in einem geeigneten elektronischen Format.

Sollten die im Auftrag verarbeiteten Daten beim Auftragnehmer durch Pfändung, Beschlagnahme, Insolvenzverfahren oder sonstige Ereignisse oder Maßnahmen Dritter gefährdet werden, informiert der Auftragnehmer den Auftraggeber unverzüglich, soweit Kundendaten betroffen sind.

Die Haftung richtet sich nach den Regelungen des Hauptvertrags, soweit gesetzlich zulässig. Die gesetzlichen Regelungen der DSGVO bleiben unberührt.

Sollten einzelne Regelungen dieses Vertrags unwirksam sein oder werden, bleibt die Wirksamkeit der übrigen Regelungen unberührt. Änderungen und Ergänzungen dieses Vertrags bedürfen mindestens der Textform. Es gilt deutsches Recht, soweit keine zwingenden gesetzlichen Vorschriften entgegenstehen.

Anlage 1

Technische und organisatorische Maßnahmen

Maßnahmen zum Schutz von Projektdaten, Fotos, Plänen, Uploads, App-Sync und geschützten Kundendaten.

Zugriffskontrolle

  • Zugriff auf Brandakte nur über registrierte Benutzerkonten.
  • Passwortgeschützte Anmeldung.
  • Speicherung von Passwörtern ausschließlich als kryptografischer Hash.
  • Rollen- und Rechtekonzept mit Projekteigentümer, Projektverwalter, Projektbearbeiter und Projektbetrachter.
  • Projektbezogene Zugriffstrennung.
  • Zugriff auf Projektdaten nur für berechtigte Nutzer.
  • Serverseitige Rechteprüfung bei jedem Zugriff auf geschützte Projekt-, Datei-, Foto-, Plan- und API-Daten.
  • Administrative Zugriffe nur für technisch berechtigte Personen.
  • Löschung oder Deaktivierung von Tokens bei Logout, Accountlöschung oder sicherheitsrelevanten Änderungen, soweit technisch vorgesehen.

Zugangskontrolle

  • Serverseitige Zugriffsbeschränkungen.
  • Schutz administrativer Bereiche.
  • Trennung öffentlicher und geschützter Bereiche.
  • Keine öffentliche Verzeichnisauflistung für Uploadbereiche.
  • Schutz von Uploads, Fotos, Plänen und PDF-Dateien vor unberechtigtem Direktzugriff durch serverseitige Zugriffskontrollen.
  • Keine direkte Auslieferung geschützter Uploads ohne vorherige Authentifizierung und Berechtigungsprüfung.

Übertragungskontrolle

  • Verschlüsselte Übertragung per HTTPS/TLS.
  • Sichere Übertragung von Login- und Sitzungsdaten.
  • Schutz von API-Endpunkten durch Authentifizierung.
  • Tokenbasierte App-Kommunikation für mobile App-Funktionen.
  • Schutz vor unbefugtem Zugriff auf Synchronisations- und Datei-Endpunkte.

Eingabekontrolle und Protokollierung

  • Protokollierung sicherheitsrelevanter Ereignisse.
  • Protokollierung von API- und Sync-Ereignissen, soweit für Betrieb, Sicherheit und Fehleranalyse erforderlich.
  • Nachvollziehbarkeit bestimmter Änderungen über Zeitstempel und Benutzerbezug, soweit technisch vorgesehen.
  • Schutz vor SQL-Injection durch vorbereitete Datenbankabfragen, Parametrisierung oder vergleichbare serverseitige Schutzmaßnahmen.
  • Schutz vor unberechtigter Manipulation durch serverseitige Rechteprüfung.

Trennungskontrolle

  • Projektbezogene Trennung von Kundendaten.
  • Rechteprüfung anhand von Projektmitgliedschaft und Rolle.
  • Mandantentrennung innerhalb der Anwendung.
  • Keine projektübergreifende Anzeige von Daten ohne Berechtigung.
  • Getrennte Behandlung von öffentlichen Website-Dateien und geschützten Kundendateien.

Verfügbarkeitskontrolle

  • Regelmäßige technische Sicherungen im Rahmen der Hostingumgebung.
  • Wiederherstellungsmöglichkeiten im Rahmen vorhandener Backups.
  • Schutz vor versehentlicher Löschung durch geeignete Datenbank- und Anwendungskonzepte, soweit technisch vorgesehen.
  • Backups werden spätestens nach 30 Tagen überschrieben oder gelöscht, sofern keine längere gesetzliche Pflicht oder ein sicherheitsrelevanter Ausnahmefall besteht.

Löschkonzept

  • Löschung von Nutzer- und Projektdaten nach Vertragsende oder auf berechtigte Weisung.
  • Rückgabe oder Export von Projektdaten nach Wahl des Auftraggebers, soweit technisch verfügbar.
  • Soft-Delete-Funktionen können eingesetzt werden, wenn dies zur Wiederherstellung, Nachvollziehbarkeit oder technischen Stabilität erforderlich ist.
  • Endgültige Löschung erfolgt nach Ablauf technischer Sicherungs- und Backupfristen.
  • Eigene Vertrags-, Rechnungs- und Zahlungsdaten des Auftragnehmers bleiben nach gesetzlichen Aufbewahrungspflichten gespeichert und sind nicht Teil der Auftragsverarbeitung.

Schutz von Fotos, Plänen und Dokumenten

  • Uploads werden projektbezogen gespeichert und verarbeitet.
  • Zugriff auf Fotos, Pläne und Dokumente nur für berechtigte Nutzer.
  • Keine absichtliche öffentliche Indexierung von geschützten Projektdateien.
  • Keine Weitergabe an Dritte außer an erforderliche Unterauftragsverarbeiter oder aufgrund gesetzlicher Verpflichtung.
  • Schutz von Bauplänen, Fotos und brandschutzbezogenen Dokumentationen als vertrauliche Projektinformationen.

Mobile App und lokale Daten

  • Lokale Speicherung von Projektdaten zur Offline-Nutzung möglich.
  • Synchronisation mit dem Server nach Anmeldung und Berechtigungsprüfung.
  • Lokale Daten können auf dem Endgerät des Nutzers verbleiben, bis sie durch App-Funktionen, Abmeldung, Löschung oder Geräteeinstellungen entfernt werden.
  • Bei Entzug einer Projektberechtigung können lokale Projektdaten nach der nächsten Synchronisation ausgeblendet oder gelöscht werden.
  • Schutz des Endgeräts liegt im Verantwortungsbereich des Auftraggebers bzw. Nutzers.

Wartung und Aktualisierung

  • Regelmäßige Aktualisierung eingesetzter Software, soweit technisch möglich und für den sicheren Betrieb erforderlich.
  • Fehlerbehebung bei sicherheitsrelevanten Schwachstellen nach Bekanntwerden.
  • Regelmäßige Prüfung der Angemessenheit der technischen und organisatorischen Maßnahmen.
Anlage 2

Unterauftragsverarbeiter

Eingesetzte Dienstleister für Hosting, Zahlungsabwicklung und E-Mail-Versand.

STRATO GmbH

Sitz/Land
Deutschland
Zweck
Hosting, Serverbetrieb, Datenbankbetrieb, Speicherplatz, technische Infrastruktur, Serverlogs sowie Versand von System-E-Mails, Registrierungs-E-Mails, Passwort-Reset-E-Mails, E-Mail-Änderungen, Benachrichtigungen und Support-Kommunikation
Betroffene Daten
Accountdaten, Projektdaten, Fotos, Pläne, Dokumente, technische Logs, IP-Adressen, E-Mail-Adressen, Namen, technische Versanddaten sowie Inhalte von Systemnachrichten und Support-Kommunikation, soweit diese über STRATO verarbeitet werden
Drittlandtransfer
Nach aktuellem Stand nein, soweit Hosting, E-Mail-Versand und sonstige Verarbeitung über STRATO-Infrastruktur in Deutschland bzw. der EU erfolgen.
STRATO AVV-Informationen →
Der Auftragnehmer informiert den Auftraggeber über wesentliche Änderungen bei Unterauftragsverarbeitern. Der Auftraggeber kann aus wichtigem datenschutzrechtlichem Grund innerhalb der mitgeteilten Frist widersprechen. Der Auftragnehmer verpflichtet Unterauftragsverarbeiter vertraglich auf ein angemessenes Datenschutzniveau.