Vertrag zur Auftragsverarbeitung (Art. 28 DSGVO)

§ 1 Gegenstand, Dauer, Art und Zweck

Corholt — Noel Brockob (Auftragsverarbeiter) betreibt für den Betrieb (Verantwortlicher) die Software Corholt. Gegenstand ist das Speichern, Ordnen, Auswerten und Übermitteln (E-Mail, Export) der Daten, die der Betrieb in Corholt führt.

Die Verarbeitung dauert so lange wie der Hauptvertrag, dazu 30 Tage für Export und Löschung.

Kategorien der Betroffenen: Beschäftigte des Betriebs, Kunden, Ansprechpartner, Lieferanten, Gäste von Besprechungen, Personen in Dokumenten. Kategorien der Daten: Stamm- und Kontaktdaten, Vertrags- und Abrechnungsdaten, Arbeitszeit, Abwesenheiten einschließlich Gesundheitsdaten (Art. 9), Kommunikation, Dokumente.

Corholt trifft keine automatisierten Entscheidungen über Beschäftigte oder andere Betroffene (Art. 22 DSGVO).

§ 2 Weisungen (Art. 28 Abs. 3 lit. a)

Der Auftragsverarbeiter verarbeitet die Daten nur auf dokumentierte Weisung des Betriebs. Weisungen sind die Einstellungen in Corholt und Erklärungen in Textform an datenschutz@corholt.com. Hält der Auftragsverarbeiter eine Weisung für rechtswidrig, sagt er es unverzüglich.

§ 3 Vertraulichkeit (lit. b)

Alle Personen mit Zugang zu den Daten sind zur Vertraulichkeit verpflichtet. Die Betreiberkonsole zeigt keine Inhalte der Betriebe; jeder Zugriff ist protokolliert.

§ 4 Sicherheit der Verarbeitung (lit. c, Art. 32)

Die technischen und organisatorischen Maßnahmen stehen in Anlage 2 (öffentlich unter /tom). Sie werden dem Stand der Technik angepasst; ihr Schutzniveau sinkt nicht.

§ 5 Unterauftragsverarbeiter (lit. d, Art. 28 Abs. 2, 4)

Der Betrieb genehmigt die Unterauftragsverarbeiter in Anlage 3 (öffentlich unter /unterauftragsverarbeiter). Anthropic gilt nur, wenn der Betrieb den KI-Baustein gesondert genehmigt.

Neue oder geänderte Unterauftragsverarbeiter kündigt der Auftragsverarbeiter mindestens 30 Tage vorher per E-Mail und in der Anwendung an. Der Betrieb kann in dieser Frist aus wichtigem datenschutzrechtlichem Grund widersprechen. Kommt keine Einigung zustande, kann er den Hauptvertrag zum Zeitpunkt der Änderung kündigen (Sonderkündigung).

Unterauftragsverarbeiter werden vertraglich auf dieselben Pflichten verpflichtet.

§ 6 Rechte der Betroffenen (lit. e)

Corholt stellt Werkzeuge bereit: Auskunft je Person und für Externe mit Deckblatt, Berichtigung in der Oberfläche, Löschung nach Fristen. Anfragen, die beim Auftragsverarbeiter eingehen, leitet er binnen zwei Werktagen an den Betrieb weiter und beantwortet sie nicht selbst.

§ 7 Unterstützung, Verletzungen (lit. f, Art. 32–36)

Der Auftragsverarbeiter meldet Verletzungen des Schutzes personenbezogener Daten unverzüglich, spätestens binnen 24 Stunden nach Kenntnis, mit den Angaben nach Art. 33 Abs. 3, soweit bekannt.

Er unterstützt bei Datenschutz-Folgenabschätzungen — Entwürfe stehen in Corholt unter Datenschutz-Unterlagen.

§ 8 Löschung und Rückgabe (lit. g)

Nach Vertragsende kann der Betrieb 30 Tage lang alle Daten exportieren (Vollexport mit GoBD-Paket). Danach löscht der Auftragsverarbeiter alle Daten des Betriebs. Sicherungen rollieren nach 14 Tagen, Server-Abbilder nach 7 Tagen; ein Löschprotokoll stellt sicher, dass Gelöschtes nach einer Wiederherstellung nicht zurückkommt.

Gesetzliche Aufbewahrungspflichten trägt der Betrieb; deshalb geht der Export dem Löschen voraus.

§ 9 Nachweise und Kontrollen (lit. h)

Der Auftragsverarbeiter stellt die nötigen Informationen bereit (dieses Dokument, Anlagen, Verzeichnis, Prüfberichte). Der Betrieb kann Kontrollen nach Anmeldung mit 14 Tagen Vorlauf durchführen, einmal jährlich ohne Anlass; bei Anlass jederzeit. Kosten trägt jede Seite selbst; Prüfungen vor Ort über einen Arbeitstag hinaus vergütet der Betrieb nach Aufwand.

§ 10 Schluss

Diese Fassung gilt ab ihrer Annahme in der Anwendung. Eine neue Fassung zeigt Corholt an; bis zu ihrer Annahme gilt die angenommene. Es gilt deutsches Recht.

Anlage 2 — Technische und organisatorische Maßnahmen

• Vertraulichkeit — Mandantentrennung: Row-Level Security auf jeder Tabelle mit Mandant; die Anwendung verbindet ohne Rechte, sie zu umgehen. Jeder Zugriff läuft im Kontext genau eines Betriebs; Tests prüfen das gegen eine echte Datenbank.
• Vertraulichkeit — Zugriff: Rollen und Rechte bis auf einzelne Felder; Gesundheitsdaten und Gehälter mit eigenen Rechten. Anmeldung mit scrypt-Passwörtern, Sperre nach Fehlversuchen, Drosselung je Adresse und IP, widerrufbare Sitzungen. Mitbestimmungs-Schalter für überwachungsgeeignete Funktionen; befristete Zugänge.
• Verschlüsselung: TLS 1.2+ auf jedem Weg, HSTS. Zugangsdaten von Kunden mit AES-256-GCM, Schlüssel außerhalb der Datenbank; Sitzungen und Codes nur als Hash. Anrufe Ende-zu-Ende (DTLS-SRTP) über einen eigenen TURN-Server ohne Aufzeichnung.
• Integrität: Änderungsprotokoll mit Person, Zeit, Vorher und Nachher. Festgeschriebene Rechnungen und empfangene E-Rechnungen in der Datenbank unveränderbar; Arbeitszeit-Korrekturen mit unveränderlicher Spur.
• Verfügbarkeit und Belastbarkeit: Tägliche Sicherung (14 Tage) und Server-Abbilder (7 Tage); Wiederherstellung geprobt, danach quartalsweise. Löschungen werden nach einer Wiederherstellung über das Löschprotokoll nachgeholt. Überwachung von Fehlern, geplanten Läufen und Speicher mit Alarm an den Betreiber.
• Betrieb: Server in Deutschland; SSH nur mit Schlüssel, Firewall, Datenbank nur lokal, automatische Sicherheitsupdates. Betreiberkonsole ohne Zugriff auf Inhalte, jeder Zugriff protokolliert. Content-Security-Policy, Abhängigkeiten im Prüftor.
• Verfahren zur Überprüfung: Sicherheitsdurchgänge vor jeder größeren Änderung; externer Penetrationstest vor dem Start und jährlich. Meldung von Verletzungen an die Betriebe binnen 24 Stunden; Pannenregister.

Anlage 3 — Unterauftragsverarbeiter

KI-Baustein: Genehmigung für Corholt AI

Der Betrieb genehmigt gesondert, dass für Corholt AI Anthropic als Unterauftragsverarbeiter in den USA eingesetzt wird. Ohne diese Genehmigung bleibt Corholt AI aus.

Übermittelt werden nur die Frage, Name und Rolle der fragenden Person und Ausschnitte aus Daten, die sie selbst sehen darf. Nie: Gesundheitsdaten, Gehälter, Zugangsdaten. Grundlage sind die Standardvertragsklauseln 2021 (Modul 3) und ein Transfer Impact Assessment; Anthropic verwendet die Daten nicht zum Training.

Corholt AI trifft keine Entscheidungen über Beschäftigte und bewertet keine Personen. Fragen zu einzelnen Personen lassen sich unter Einstellungen → Mitbestimmung abschalten.

Die Genehmigung lässt sich jederzeit widerrufen, indem der Betrieb das Modul Corholt AI abschaltet.