Vertrag zur Auftragsverarbeitung

§ 1 Gegenstand und Dauer

Der Anbieter verarbeitet personenbezogene Daten im Auftrag des Kunden, um ProAuditMap nach dem Hauptvertrag bereitzustellen. Dieser Vertrag gilt ab der Registrierung und so lange, wie der Anbieter solche Daten verarbeitet: im Konto ohne Tarif und in der Lesezeit danach, während eines kostenpflichtigen Vertrags, in der schreibgeschützten Zeit nach Vertragsende oder Zahlungsausfall und während eines Archivtarifs.

§ 2 Art und Zweck der Verarbeitung, Datenarten, betroffene Personen

Art: Speichern, Ordnen, Anzeigen, Verändern auf Anweisung der Nutzer, Entgegennehmen hochgeladener Dateien und deren automatisierte Prüfung auf Schadsoftware, Ziehen von Stichproben, Übermitteln zur automatisierten Erzeugung von Entwürfen und Formulierungsvorschlägen, Einrichten von Zugängen für vom Kunden eingeladene Personen, Versand von Benachrichtigungen per E-Mail, Erzeugen von Berichten als PDF, Einlesen hochgeladener Tabellen zur Übernahme von Prüfobjekten, Berechnen von Risikobewertungen, Planvorschlägen und Kennzahlen nach festen, nachvollziehbaren Regeln, Erzeugen von Gremienberichten als PDF und Excel, Exportieren, Sichern und Löschen. Zweck: Erstellung, Bearbeitung, Freigabe, Export und Archivierung von Prüfpaketen, Durchführung von Prüfungen mit Arbeitspapieren, Nachweisen, Stichproben, Review und Abschluss, Erfassung und Nachverfolgung von Feststellungen und Maßnahmen, Organisation laufender Prüfungen mit Zuweisungen, Terminen und Erinnerungen, risikobasierte Planung der Internen Revision mit Verzeichnis der Prüfobjekte, Risikobewertung, Jahresplan, Vorlage an ein Gremium und Kennzahlen, Berichterstattung an Geschäftsleitung und Aufsichtsgremien, Anforderung von Unterlagen, Einholung von Stellungnahmen der geprüften Stellen, Erstellung und Verteilung von Prüfungsberichten, Verwaltung der Nutzer und Support.

• Datenarten: Stammdaten der Nutzer (Name, geschäftliche E-Mail-Adresse, Rolle, Mitgliedschaft), Anmeldedaten (Hash des Passworts, Geheimnis für Einmalcodes, Sitzungsdaten), Protokolldaten (wer wann welche Änderung vorgenommen hat, bei Nachweisen mit Prüfsumme und Ergebnis der Virenprüfung, ohne Dateiinhalt und Dateinamen), Inhaltsdaten (Eingaben im Assistenten, Prüfpakete, Interviewleitfäden, Organisationsplanung, Kommunikationsentwürfe mit Namen, Funktionen und Kontaktdaten, die der Kunde einträgt), Durchführungsdaten (Arbeitspapiere mit Testergebnis, Notizen und Begründungen, Reviews und Abschluss), Nachweise (vom Kunden hochgeladene Dateien beliebigen Inhalts mit Dateiname, Medientyp, Größe und Prüfsumme) sowie Grundgesamtheiten und Stichproben (vom Kunden hochgeladene Listen aus Systemen der geprüften Stelle, etwa Benutzer-, Berechtigungs- oder Änderungslisten, die daraus erzeugte Zeilenliste und die gezogenen Elemente mit ihrem Ergebnis), Feststellungsdaten (Feststellungen mit Versionen, Risiko und Review, Maßnahmen mit Verantwortlichen und Terminen, Anträge auf Terminverschiebung, Meldungen zur Umsetzung, Nachprüfungen und Risikoakzeptanzen mit der Funktion der entscheidenden Stelle), Daten geprüfter Stellen (Vorname, Nachname, E-Mail-Adresse und Organisationseinheit der vom Kunden eingeladenen Personen, ihre Anmeldedaten einschließlich des Geheimnisses für Einmalcodes, die Kenntnisnahme des Datenschutzhinweises mit Zeitpunkt und Textversion, Zuweisungen, Stellungnahmen, gelieferte Unterlagen und Protokolldaten zu Abruf und Download von Unterlagen und Berichten), Benachrichtigungsdaten (E-Mail-Adresse, Art der Nachricht und Zeitpunkt des Versands; Nachrichten an geprüfte Stellen enthalten nur den Namen des Kundenzugangs, Anzahlen und einen Link; Erinnerungen an Nutzer des Kunden nennen zusätzlich je Aufgabe die Art, die Prüfungsnummer, bei eigenen Aufgaben die Zeilen- oder Feststellungsnummer, und die Fälligkeit, ohne Titel, Texte oder Namen anderer Personen, soweit der Kunde nicht nach Anlage 1 die Anzeige von Titeln anweist), Berichtsdaten (Berichtsversionen, Endberichte als PDF mit Prüfsumme und Freigaben je Person), Aufgabendaten (Prüfungsleitung je Prüfung, Zuweisungen von Prüfprogrammzeilen und Reviews an einzelne Nutzer mit optionalem Termin, Meilensteine mit Termin und zuständiger Person, jeweils mit Zeitpunkt und zuweisender Person sowie Zeitpunkt und Grund des Endes), Erinnerungsdaten (je Aufgabe, Stufe und Empfänger ein Eintrag mit Zeitpunkt; je Empfänger und Tag ein Vermerk über die Sammelmail), Anzeigename und Rolle der Nutzer in der Auswahl für Zuweisungen sowie Benachrichtigungseinstellungen der Nutzer (Abbestellen der täglichen Sammelmail mit Zeitpunkt und Weg) und der Nachweis einer Abmeldung über den Link in der E-Mail ohne E-Mail-Adresse, Hinweise auf Zuweisungen (je neuer Zuweisung oder Terminänderung ein Eintrag mit Empfänger, Art und Kennung der Zuweisung und Zeitpunkt), Planungsdaten (Prüfobjekte mit Kürzel, Name, Beschreibung, verantwortlicher Funktion, Einordnung, Organisationseinheit, Aufwandsschätzung und Pflichtturnus in unveränderlichen Fassungen; Risikobewertungen mit Stufe je Faktor, Kommentar und Ergebnis; Übersteuerungen der Risikoklasse mit Begründung; das Risikomodell des Kunden; Jahrespläne in unveränderlichen Fassungen mit nummerierten Planpositionen, Kapazität als Summe von Prüfertagen ohne Personenbezug und Begründungen; Vorlage an ein Gremium, Beschluss oder Ablehnung mit Funktion des Gremiums, Datum und Referenz; Kenntnisnahmen durch Mitglieder der Leitungssicht; Ist-Aufwand je Prüfung in Prüfertagen; Gremienberichte als eingefrorener Stand mit den erzeugten PDF- und Excel-Dateien; jeweils mit handelnder Person und Zeitpunkt) sowie Importdaten (Prüfsumme einer hochgeladenen Tabelle und die daraus gelesenen Zeilen; die Datei selbst wird nicht gespeichert).
• Betroffene Personen: Nutzer des Kunden; Beschäftigte und Ansprechpersonen geprüfter Bereiche und Dienstleister; Personen, die der Kunde als geprüfte Stelle in das Portal einlädt, auch wenn sie nicht bei ihm beschäftigt sind (etwa Beschäftigte verbundener Unternehmen, von Dienstleistern oder Lieferanten); Personen, deren Daten in Nachweisen, gelieferten Unterlagen, Grundgesamtheiten, Stichproben, Feststellungen, Stellungnahmen oder Berichten enthalten sind (vor allem Beschäftigte der geprüften Stelle, daneben etwa deren Kunden, Lieferanten oder Geschäftspartner); sowie weitere Personen, die der Kunde in Inhalten nennt; Mitglieder der Geschäftsleitung und von Aufsichtsgremien des Kunden, denen der Kunde einen lesenden Zugang zur Leitungssicht einrichtet, auch wenn sie nicht bei ihm beschäftigt sind; Personen, die in Prüfobjekten, Planungstexten oder hochgeladenen Tabellen genannt werden, etwa Verantwortliche geprüfter Bereiche oder Ansprechpersonen von Dienstleistern.
• Besondere Kategorien personenbezogener Daten (Art. 9 und 10 DSGVO) sind nicht vorgesehen. Der Kunde gibt sie nicht ein und lädt sie nicht hoch. Enthält eine Datei, die für den Prüfzweck benötigt wird, solche Daten, entfernt oder schwärzt der Kunde sie vor dem Hochladen.
• Datenminimierung: Der Kunde entscheidet allein, welche Dateien er hochlädt und welche Texte er einträgt. Er stellt sicher, dass dafür eine Rechtsgrundlage besteht und nur die für den Prüfzweck erforderlichen personenbezogenen Daten enthalten sind (Art. 5 Abs. 1 lit. c DSGVO), etwa durch Auszüge, Filter oder Schwärzungen vor dem Hochladen. Der Anbieter prüft Dateien nur automatisiert auf Schadsoftware und nimmt von ihrem Inhalt keine Kenntnis, es sei denn, der Kunde weist ihn im Einzelfall an, etwa für Support oder eine Wiederherstellung.
• Geprüfte Stellen: Der Kunde kann Personen als geprüfte Stelle in einen eigenen, von den übrigen Bereichen getrennten Teil der Anwendung (Portal) einladen. Er entscheidet allein, wen er einlädt, welche Feststellungen und Unterlagenanforderungen er zuweist, welche Nachweise und Endberichte er für wen freigibt und wann er den Zugang beendet. Für diese Personen ist der Kunde Verantwortlicher; der Anbieter verarbeitet ihre Daten nur in seinem Auftrag und tritt ihnen gegenüber nicht als Verantwortlicher auf. Der Kunde stellt sicher, dass für die Einladung und die Verarbeitung eine Rechtsgrundlage besteht und die Personen nach Art. 13 und 14 DSGVO informiert werden. Der Anbieter stellt dafür einen Datenschutzhinweis als Vorlage bereit, zeigt ihn im Auftrag des Kunden beim ersten Aufruf des Portals mit den vom Kunden hinterlegten Kontaktangaben an und protokolliert die Kenntnisnahme; den Inhalt verantwortet der Kunde. Geprüfte Stellen nehmen die AGB nicht an und sind nicht Vertragspartner des Anbieters.
• Aufgaben und Erinnerungen: Der Kunde kann je Prüfung eine Prüfungsleitung bestimmen und Prüfprogrammzeilen, Reviews und Meilensteine einzelnen Nutzern mit Termin zuweisen. Die Anwendung benachrichtigt die zugewiesenen Nutzer bei der Zuweisung per E-Mail, erinnert die zuständigen Nutzer per E-Mail an Termine und meldet überfällige Aufgaben nach der Einstellung des Kunden an die Prüfungsleitung, an die Revisionsleitung oder an niemanden weiter; ist keine Prüfungsleitung bestimmt oder ist sie selbst zuständig, geht die Weitermeldung an die Revisionsleitung. Die Anwendung bietet keine Auswertung je Person an: keine Zahlen je Nutzer, keine Rangfolgen, keine Exporte je Person, keine Liste verspäteter Erledigungen. Die prüfungsübergreifende Übersicht zeigt nur Zahlen je Prüfung und nur, wenn mindestens zwei Personen betroffen sind, wobei die aufrufende Person nicht mitzählt. Ob der Einsatz beim Kunden der Mitbestimmung unterliegt, prüft der Kunde; der Anbieter stellt dafür eine Beschreibung und einen Formulierungsvorschlag bereit. Für neue und bestehende Kundenzugänge sind die Erinnerungen ausgeschaltet, bis der Kunde sie einschaltet.
• Planung, Kennzahlen und Leitungssicht: Der Kunde kann ein Verzeichnis seiner Prüfobjekte führen, es von Hand oder durch Hochladen von Tabellen füllen, die Objekte nach einem eigenen Risikomodell bewerten, daraus einen Jahresplan ableiten, ihn einem Gremium vorlegen und dessen Beschluss erfassen. Die Anwendung ruft dafür keine anderen Systeme ab und nutzt kein Sprachmodell; Bewertung und Planvorschlag folgen festen Regeln. Kennzahlen, Leitungssicht und Gremienberichte werten nicht nach Personen aus und nennen keine Namen von Beschäftigten der Revision; Einzelheiten regelt Anlage 1. Der Kunde entscheidet, wem er die Leitungssicht einrichtet, ob er die Anzeige des Aufwands je Prüfung einschaltet und an wen er Gremienberichte weitergibt. Er trägt in Freitexte der Planung, insbesondere in Titel von Planpositionen und Bezeichnungen von Kapazitätszeilen, Funktionen statt Namen ein. Ob der Einsatz bei seinen Beschäftigten der Mitbestimmung unterliegt, prüft der Kunde; der Anbieter stellt dafür eine Beschreibung und einen Formulierungsvorschlag bereit.
• Rollen: Der Anbieter ist Verantwortlicher für die Daten der Registrierung, die Kontaktdaten für Vertrag und Abrechnung und das erste Administratorkonto. Das Kundenunternehmen ist Verantwortlicher für alle weiteren Nutzerkonten in seinem Zugang und für alle Inhalte; diese verarbeitet der Anbieter in seinem Auftrag. Die Daten, für die der Anbieter selbst verantwortlich ist, fallen nicht unter diesen Vertrag; für sie gilt die Datenschutzerklärung.

§ 3 Weisungen

(1) Der Anbieter verarbeitet die Daten nur auf dokumentierte Weisung des Kunden, auch bei einer Übermittlung in ein Drittland, es sei denn, er ist nach Unionsrecht oder dem Recht eines Mitgliedstaats dazu verpflichtet; dann teilt er dem Kunden diese Pflicht vorher mit, soweit das Recht dies nicht verbietet. Die Weisungen ergeben sich aus dem Hauptvertrag, diesem Vertrag und der Nutzung der Funktionen der Anwendung, etwa der eingestellten Aufbewahrungsfristen, dem Hochladen und Zurückziehen von Nachweisen und dem Ziehen von Stichproben; weitere Weisungen, etwa zur Löschung einzelner Nachweise nach § 7 Abs. 4, erteilt der Kunde in Textform. Als Weisung gelten insbesondere auch das Einladen und Entfernen geprüfter Stellen, das Zuweisen von Feststellungen und Unterlagenanforderungen, das Freigeben von Nachweisen und Endberichten für einzelne Personen und die Einstellungen zu Erinnerungen an geprüfte Stellen; mit der Einladung weist der Kunde den Anbieter an, der eingeladenen Person einen Zugang einzurichten und ihr die in Anlage 1 beschriebenen Benachrichtigungen zu senden. Als Weisung gelten auch die Einstellungen zu Aufgaben und Erinnerungen, insbesondere das Ein- und Ausschalten der Erinnerungen, Vorlaufzeit, Zeitpunkt und Ziel der Weitermeldung, die Anzeige von Titeln in E-Mails und die Antwortadresse. Das Abbestellen der täglichen Sammelmail durch einen Nutzer setzt der Anbieter auch dann um, wenn der Kunde es nicht wünscht, und zwar auch für bereits vorbereitete, noch nicht versandte Mails; Hinweise auf überfällige Aufgaben bleiben davon unberührt. Als Weisung gelten auch das Einrichten und Beenden von Zugängen zur Leitungssicht, das Hochladen, Übernehmen, Verwerfen und Rückgängigmachen eines Imports, das Erzeugen von Gremienberichten, der Plan-Export, der Gesamtexport der Planung und der Export des Verzeichnisses der Prüfobjekte sowie das Einschalten der Anzeige des Aufwands je Prüfung, das die Anwendung erst nach Bestätigung eines Hinweises zur Mitbestimmung zulässt. Die Löschung einzelner Freitexte der Planung nach § 7 Abs. 6 weist der Kunde in Textform an.

(2) Hält der Anbieter eine Weisung für rechtswidrig, informiert er den Kunden unverzüglich und darf die Ausführung bis zur Bestätigung aussetzen.

§ 4 Vertraulichkeit und Sicherheit

(1) Der Anbieter setzt nur Personen ein, die zur Vertraulichkeit verpflichtet sind oder einer gesetzlichen Verschwiegenheitspflicht unterliegen.

(2) Der Anbieter trifft die technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO, die in Anlage 1 beschrieben sind. Er darf sie weiterentwickeln, solange das Schutzniveau nicht sinkt.

§ 5 Unterauftragsverarbeiter

(1) Der Kunde genehmigt allgemein den Einsatz von Unterauftragsverarbeitern. Die bei Vertragsschluss eingesetzten nennt Anlage 2.

(2) Der Anbieter informiert den Kunden mindestens 14 Tage vor jeder Hinzuziehung oder Ersetzung in Textform. Der Kunde kann innerhalb dieser Frist aus wichtigem datenschutzrechtlichem Grund widersprechen. Finden die Parteien keine Lösung, kann der Kunde den Hauptvertrag zum Zeitpunkt des Wechsels kündigen.

(3) Der Anbieter legt jedem Unterauftragsverarbeiter vertraglich dieselben Datenschutzpflichten auf, die dieser Vertrag vorsieht (Art. 28 Abs. 4 DSGVO), und haftet für ihn wie für eigenes Handeln.

(4) Eine Verarbeitung außerhalb der EU und des EWR findet nur statt, wenn die Voraussetzungen der Art. 44 bis 49 DSGVO erfüllt sind. Vertragspartner des Anbieters ist Anthropic Ireland, Limited; der Vertrag zur Auftragsverarbeitung mit Anthropic enthält die Standardvertragsklauseln der EU-Kommission (Module 2 und 3) mit Nachträgen für die Schweiz und das Vereinigte Königreich. Die Weitergabe an Anthropic, PBC in den USA sichert Anthropic nach eigenen Angaben ebenfalls mit Standardvertragsklauseln ab.

(5) Wir verwenden Inhalte, die Sie in ProAuditMap verarbeiten, nicht zum Training von Modellen. Unsere Unterauftragsverarbeiter verwenden sie nach ihren vertraglichen Zusagen ebenfalls nicht zum Training von Modellen.

§ 6 Unterstützung des Kunden

(1) Der Anbieter unterstützt den Kunden mit geeigneten Maßnahmen bei der Beantwortung von Anträgen betroffener Personen (Art. 12 bis 22 DSGVO). Nutzer des Kunden können Inhalte nach ihren Rollen selbst einsehen und berichtigen, Administratoren Nutzer entfernen; nach der ersten Zahlung kann der Kunde auch selbst exportieren. Nachweise sind unveränderlich: Nutzer mit dem entsprechenden Recht können sie zurückziehen, sie bleiben dann aber bis zum Ablauf der Aufbewahrungsfrist gespeichert. Stellungnahmen geprüfter Stellen, Meldungen und Berichtsversionen sind unveränderlich; eine Berichtigung erfolgt durch einen ergänzenden Eintrag. Endberichte sind nicht einzeln löschbar, sie werden mit der Prüfung gelöscht. Der Kunde kann geprüfte Stellen jederzeit selbst entfernen; ihre Zuweisungen und Berichtsfreigaben enden damit sofort. Einzelne Nachweise löscht der Anbieter auf Weisung nach § 7 Abs. 4. Im Übrigen gilt § 7 Abs. 2. Anträge, die beim Anbieter eingehen, auch solche geprüfter Stellen, leitet er unverzüglich an den Kunden weiter und beantwortet sie nicht selbst. Fassungen von Prüfobjekten, Risikobewertungen und Jahresplänen sind unveränderlich; eine Berichtigung erfolgt durch eine neue Fassung, die frühere bleibt lesbar. Einzelne Freitexte der Planung, die eine Person nennen, löscht der Anbieter auf Weisung nach § 7 Abs. 6.

(2) Der Anbieter meldet dem Kunden eine Verletzung des Schutzes personenbezogener Daten unverzüglich, spätestens innerhalb von 48 Stunden nach Kenntnis, mit den Angaben nach Art. 33 Abs. 3 DSGVO, soweit sie vorliegen. Er unterstützt den Kunden bei Meldungen, Benachrichtigungen, einer Datenschutz-Folgenabschätzung und einer vorherigen Konsultation (Art. 32 bis 36 DSGVO).

§ 7 Löschung und Rückgabe

(1) Nach dem Ende der Leistung bleibt der Zugang für die Fristen der AGB lesbar: 30 Tage nach Ablauf der Nutzungszeit ohne Tarif, 90 Tage nach Vertragsende und bei Zahlungsausfall höchstens 90 Tage ab der Umstellung auf Schreibschutz. Kunden, die mindestens einmal gezahlt haben, können ihre Daten in dieser Zeit selbst exportieren. Die Daten der Planung (Prüfobjekte mit allen Fassungen, Risikobewertungen, Risikomodelle, Jahrespläne mit allen Fassungen, Vorlagen, Beschlüssen und Kenntnisnahmen sowie Gremienberichte) kann die Revisionsleitung außerhalb des Tests jederzeit, auch in der schreibgeschützten Zeit, als Gesamtexport der Planung selbst herunterladen.

(2) Jedes Kundenunternehmen kann bis zur Löschung, auch im Test und ohne vorherige Zahlung, in Textform einen vollständigen Export seiner Daten verlangen. Der Anbieter stellt ihn innerhalb von 30 Tagen kostenlos bereit und schiebt die Löschung bis dahin auf. Das ist die Rückgabe nach Art. 28 Abs. 3 lit. g DSGVO; der Kunde wählt damit zwischen Rückgabe und Löschung.

(3) Nach Ablauf der Frist löscht der Anbieter alle Daten des Kunden, einschließlich der Kopien, soweit nicht nach Unionsrecht oder dem Recht eines Mitgliedstaats eine Pflicht zur Speicherung besteht. Auf Weisung des Kunden in Textform löscht der Anbieter die Daten auch vor Ablauf dieser Fristen. Aus den Datensicherungen und den verschlüsselten Kopien verschwinden die Daten spätestens 40 Tage nach der Löschung (für verschlüsselte Kopien von Nachweisdateien vorbehaltlich der Prüfung einer Massenlöschung nach Absatz 5); Einzelheiten zu Nachweisdateien regelt Absatz 5. Bucht der Kunde einen Archivtarif, gilt dies als Weisung, die Daten für dessen Dauer weiter zu speichern. Auf Anfrage bestätigt der Anbieter die Löschung in Textform. Stellungnahmen, gelieferte Unterlagen, Berichte und Endberichte löscht der Löschlauf zusammen mit der Prüfung, zu der sie gehören. Einträge im Postausgang der Anwendung, einschließlich der E-Mail-Adressen geprüfter Stellen, löscht der Anbieter spätestens 30 Tage nach dem Versand. Entfernt der Kunde eine geprüfte Stelle oder endet ihr Zugang und hat sie keine weitere Mitgliedschaft oder offene Einladung, löscht der Anbieter die Anmeldedaten und Sitzungen des Kontos, das er für die Einladung angelegt hat; Name und E-Mail-Adresse bleiben, solange Prüfungsunterlagen auf die Person verweisen, und werden danach durch ein Pseudonym ersetzt. Zugänge geprüfter Stellen enden automatisch, wenn eine Einladung 14 Tage ohne Kenntnisnahme bleibt oder 180 Tage keine Zuweisung oder Freigabe besteht. Beendete Zuweisungen, die Bestimmung der Prüfungsleitung und erledigte oder beendete Meilensteine löscht die Anwendung 90 Tage nach Abschluss oder Archivierung der Prüfung, spätestens aber 12 Monate nach ihrem Ende, auch wenn die Prüfung nie abgeschlossen wird; Erinnerungsdaten löscht sie 180 Tage nach ihrer Entstehung, sobald die Aufgabe erledigt oder entfallen ist; spätestens löscht der Löschlauf alle diese Daten mit der Prüfung. Hinweise auf Zuweisungen löscht sie 180 Tage nach Anlage, sobald die Mail versandt ist, nicht versandte nach 30 Tagen. Mit dem Abschluss oder der Archivierung einer Prüfung enden alle Zuweisungen und offenen Meilensteine dieser Prüfung. Benachrichtigungseinstellungen eines Nutzers löscht die Anwendung, wenn er nicht mehr Mitglied des Kundenzugangs ist. Das Prüfungsarchiv enthält keine Termine je Person; Zuweisungen enthält es nur als Protokollzeilen ohne die zugewiesene Person, mit Hashwerten zur Prüfung der Kette. Einträge im Protokoll nach Anlage 1 bleiben nach den Regeln des Protokolls erhalten. Daten der Planung (Prüfobjekte, Risikobewertungen, Risikomodell, Jahrespläne, Ist-Aufwand, Gremienberichte) gehören zu keiner einzelnen Prüfung. Sie unterliegen nicht den Aufbewahrungsfristen und dem Löschlauf der Prüfungen und bleiben bis zur Löschung des Kundenzugangs gespeichert. Wird eine Prüfung gelöscht, bleiben in der Planung nur ihre Kennung, Datumswerte und Zahlen stehen, damit Planerfüllung und Prüfungsabstand früherer Jahre nachvollziehbar bleiben; die Anwendung zeigt die Prüfung dann als gelöscht an. Die aus einer hochgeladenen Tabelle gelesenen Zeilen löscht die Anwendung 30 Tage nach der Entscheidung über den Import (Übernahme, Verwerfen oder Verfall); ein Import, über den nicht innerhalb von sieben Tagen entschieden wird, verfällt. Prüfsummen und Zahlen des Imports bleiben.

(4) Auf Weisung des Kunden in Textform löscht der Anbieter auch einzelne Nachweise vor Ablauf der Aufbewahrungsfrist, etwa wenn eine Datei versehentlich hochgeladen wurde oder mehr personenbezogene Daten enthält als für den Prüfzweck erforderlich. Die Weisung kommt von einer vertretungsberechtigten Person oder einem Administrator des Kunden und bezeichnet den Nachweis eindeutig. Der Anbieter löscht die Datei unverzüglich, spätestens innerhalb von fünf Arbeitstagen, auf dem Server und veranlasst die Löschung in der verschlüsselten Kopie; er bestätigt die Löschung in Textform. Im manipulationsgeschützten Protokoll des Kunden bleiben Zeitpunkt, Kennung und Prüfsumme des Nachweises sowie die Kategorie des Löschgrunds (eine feste Auswahl, kein Freitext) vermerkt, damit frühere Prüfungsstände nachvollziehbar bleiben; der Inhalt der Datei ist danach nicht mehr vorhanden, und der Dateiname wird durch einen neutralen Platzhalter ersetzt (nur auf ausdrückliche Weisung bleibt er stehen). Gehört der Nachweis zu einer Grundgesamtheit (Quelldatei oder daraus erstellte Zeilenliste), löscht der Anbieter beide gemeinsam und ersetzt die daraus abgeleiteten Zeilenwerte der Stichprobenelemente und die Spaltenüberschriften durch Platzhalter; Ergebnisse, Notizen und Prüfsummen der Auswahl bleiben. Die Prüfsumme der gelöschten Datei verbleibt im unveränderlichen Protokoll (sie erlaubt keinen Rückschluss auf den Inhalt, belegt aber, dass die Datei bestand). Exporte und Archiv-Exporte weisen den Nachweis als gelöscht aus. Die Ersetzung des Dateinamens ändert die Prüfsumme der betroffenen Arbeitspapier-Version; ein darauf gestütztes Review wird dadurch ungültig, ein Abschluss verlangt ein neues Review. Der Kunde beurteilt die Folgen für seine Prüfungsdokumentation.

(5) Nachweisdateien speichert der Anbieter auf dem Server und überträgt sie stündlich mit age verschlüsselt in eine Kopie auf der Storage Box (Anlage 2). Wird ein Nachweis gelöscht, durch den Löschlauf, nach Vertragsende oder auf Weisung, entfernt der Anbieter die Datei sofort auf dem Server und in der Regel beim nächsten stündlichen Abgleich aus der Kopie; liegen Kopien gelöschter Nachweise danach noch vor, entfernt sie der wöchentliche Abgleich. Bei einer Massenlöschung (mehr als 200 gelöschte Dateien oder mehr als 5 % des Bestands in einem Lauf) führt der Anbieter die Löschung der Kopien erst nach eigener Prüfung aus, um Fehler auszuschließen; die Zeiten verlängern sich dann um die Prüfung. Bricht eine Löschung nach dem Entfernen der Datenbankeinträge ab, entfernt der nächste Löschlauf noch vorhandene Dateien nach. In den täglichen Momentaufnahmen (Snapshots) der Storage Box bleibt die verschlüsselte Datei danach in der Regel bis zu zehn Tage erhalten. Angaben zu Nachweisen in der Datenbank (etwa Dateiname, Größe und Prüfsumme) verschwinden mit den übrigen Datenbankinhalten nach Absatz 3 spätestens 40 Tage nach der Löschung aus den Datensicherungen. Sicherungen, Kopien und Momentaufnahmen nutzt der Anbieter bis dahin nur zur Wiederherstellung nach einem Ausfall. Nach einer Wiederherstellung der Datenbank bleiben Nachweisdateien, die nach dem Stand der Sicherung gelöscht wurden, gelöscht: Löschmarker, die lokal und in der verschlüsselten Kopie liegen, verhindern, dass die Datei zurückgeholt wird. Die Löschvermerke (Kategorie, Ersetzung des Dateinamens) stehen zusätzlich im Löschmarker und in einem Journal der Mandantenlöschungen außerhalb der Datenbank; der Anbieter wendet sie nach jeder Wiederherstellung erneut an: Einzellöschungen auf Weisung werden wiederholt (einschließlich Ersetzung des Dateinamens und der abgeleiteten Zeilenwerte), ein wiederhergestellter, bereits gelöschter Mandant wird erneut gelöscht, und die Einträge gelöschter Prüfungen entfernt der nächste Löschlauf erneut.

(6) Auf Weisung des Kunden in Textform ersetzt der Anbieter einzelne Freitexte der Planung durch einen Löschvermerk, etwa wenn ein Text den Namen einer beschäftigten Person enthält. Erfasst sind Name, Beschreibung und verantwortliche Funktion einer Fassung eines Prüfobjekts, Kommentare zu Risikobewertungen, Begründungen von Übersteuerungen, Stilllegungen, Planfassungen, Rücknahmen, Abweichungen und dem Verwerfen eines Planjahres, Titel von Planpositionen, Bezeichnungen von Kapazitätszeilen sowie Funktion des Gremiums und Referenz eines Beschlusses. Die Weisung kommt von einer vertretungsberechtigten Person oder der Revisionsleitung des Kunden und bezeichnet den Text eindeutig. Der Anbieter führt die Löschung unverzüglich, spätestens innerhalb von fünf Arbeitstagen, mit einem eigenen, protokollierten Betriebskommando aus und bestätigt sie in Textform. Im manipulationsgeschützten Protokoll des Kunden bleiben Zeitpunkt, Tabelle, Kennung der Zeile, betroffenes Feld, die Kategorie des Löschgrunds (eine feste Auswahl, kein Freitext) und die Prüfsumme des gelöschten Textes vermerkt, damit frühere Planstände nachvollziehbar bleiben; der Text selbst ist danach nicht mehr vorhanden. Gremienberichte und Plan-Export enthalten keinen dieser Freitexte: Sie nennen Planpositionen nur mit Positionsnummer und Kürzel des Prüfobjekts und Begründungen nur mit dem Hinweis, dass eine vorliegt; die Löschung muss sie deshalb nicht erfassen. Das Vorlage-PDF „Jahresplan“ nennt Objektnamen aus der jüngsten Fassung des Objekts und Titel manueller Positionen; es wird nicht gespeichert, sondern bei jedem Abruf aus dem aktuellen Stand erzeugt. Texte des Risikomodells (Bezeichnungen und Erläuterungen von Faktoren und Stufen) sind Konfiguration des Kunden, nicht von dieser Löschung erfasst und sollen keine Personennamen enthalten. Die Prüfsumme einer Planfassung bezieht Freitexte nur über deren eigene Prüfsumme ein und bleibt nach einer Löschung gültig. Plan-Exporte, Gesamtexporte, Vorlage-PDFs und Gremienberichte, die vor der Löschung erzeugt oder heruntergeladen wurden, sind nicht betroffen. Aus den Datensicherungen verschwindet der gelöschte Text innerhalb der Frist nach Absatz 3. Jede Löschung vermerkt der Anbieter zusätzlich ohne den Text in einem Journal außerhalb der Datenbank, das er 90 Tage aufbewahrt; nach einer Wiederherstellung der Datenbank aus einer älteren Sicherung wiederholt er damit die Löschung.

§ 8 Nachweise und Kontrollen

(1) Der Anbieter stellt dem Kunden alle erforderlichen Informationen zum Nachweis der Pflichten aus Art. 28 DSGVO zur Verfügung.

(2) Der Kunde oder ein von ihm beauftragter, zur Verschwiegenheit verpflichteter Prüfer, der kein Wettbewerber des Anbieters ist, darf die Einhaltung nach Anmeldung mit einer Frist von vier Wochen während der üblichen Geschäftszeiten prüfen, in der Regel einmal im Jahr und darüber hinaus aus konkretem Anlass. Die Prüfung darf den Betrieb nicht unverhältnismäßig stören. Für Rechenzentren und Unterauftragsverarbeiter kann der Anbieter aktuelle Prüfberichte oder Zertifikate vorlegen.

§ 9 Schlussbestimmungen

Bei Widersprüchen zwischen diesem Vertrag und dem Hauptvertrag geht dieser Vertrag in Fragen des Datenschutzes vor. Die Haftung richtet sich nach Art. 82 DSGVO und im Übrigen nach dem Hauptvertrag. Es gilt deutsches Recht. Enterprise-Kunden können einen gesondert unterzeichneten Vertrag schließen.

Anlage 1: Technische und organisatorische Maßnahmen

Ergänzend beschreibt die Seite Revisionssicherheit die Versionierung, die Hash-Kette, die Prüfsummen der Nachweise, die Freigabe und die Aufbewahrung.

• Zutritt: Betrieb in Rechenzentren der Hetzner Online GmbH in Falkenstein (Vogtland), Deutschland, und für verschlüsselte Datensicherungen und Kopien der Nachweise im Rechenzentrum der Hetzner Finland Oy in Helsinki, Finnland, jeweils mit Zutrittskontrolle; beide Standorte liegen im Geltungsbereich der Zertifizierung des Rechenzentrumsbetreibers nach ISO/IEC 27001.
• Zugang: Anmeldung der Nutzer nur mit Passwort und Einmalcode aus einer Authenticator-App; Zurücksetzen des Passworts nur mit gültigem Einmalcode. Die Verwaltung des Anmeldedienstes ist aus dem Internet nicht erreichbar, nur über einen verschlüsselten Tunnel. Die Storage Box ist nur per SSH mit Schlüssel erreichbar; Sicherungen und Kopien der Nachweise nutzen einen eigenen Unterzugang, getrennt vom Spiegel der Zeitstempel; die Betriebsskripte verweigern das Schreiben und Löschen von Nachweiskopien über den Hauptzugang. Für geprüfte Stellen gilt dieselbe Anmeldung mit Passwort und Einmalcode; die Einladung setzt die Einrichtung beider Faktoren als Pflicht. Anfragen ohne zweiten Faktor weist die Anwendung ab.
• Zugriff und Trennung: eigenes Datenbankschema je Kunde, Rollen je Nutzer, Prüfung der Mitgliedschaft und der Berechtigung bei jeder Anfrage; ein fremder Zugang ist von außen nicht als vorhanden erkennbar. Nachweisdateien liegen in einem eigenen Verzeichnis je Kunde und tragen als Namen nur eine zufällige Kennung; der ursprüngliche Dateiname steht nur in der Datenbank. Nachweise und ihre Dateinamen sehen nur Nutzer mit dem Recht zum Lesen von Nachweisen. Die Rolle geprüfte Stelle ist ausschließlich: Sie lässt sich mit keiner anderen Rolle verbinden, und eine bestehende Mitgliedschaft kann nie zwischen geprüfter Stelle und interner Rolle wechseln; ein Wechsel ist nur durch Entfernen und Neueinladung möglich. Eine Neueinladung derselben Adresse erbt keine früheren Zuweisungen oder Freigaben. Wird eine geprüfte Stelle entfernt, enden alle Zuweisungen und Berichtsfreigaben in derselben Transaktion. Zuständige und Termine in einer Prüfung sehen nur Nutzer mit fachlichem Zugriff auf Prüfungen; die Teamansicht sieht nur die Prüfungsleitung der jeweiligen Prüfung, die Namen der Zuständigen darin nur, wenn sie sie für diese Prüfung eingeschaltet hat (Vorgabe aus); die Rolle Administration sieht keine Zuständigen und Termine. Die Auswahl für Zuweisungen zeigt Nutzern, die zuweisen dürfen, nur Anzeigename und Rolle der fachlichen Mitglieder, keine E-Mail-Adressen. Im Protokoll sieht die Administration bei Zuweisungen, Prüfungsleitungen und Meilensteinen weder die zugewiesene Person noch die Zeile noch den Zeilenhash, und Abbestellungen anderer Nutzer gar nicht. Den Archivexport einer Prüfung kann nur die Revisionsleitung auslösen. Lesezugriffe auf eigene Aufgaben erfolgen über Datenbankfunktionen, denen die Anwendung die Person ausschließlich aus der Anmeldung übergibt; automatische Tests verhindern, dass Auswertungen mit Personenbezug in die Übersicht gelangen. Mitglieder der Leitungssicht melden sich wie alle Nutzer mit Passwort und Einmalcode an; der zweite Faktor ist für alle Rollen Pflicht. Sie sehen nur Kennzahlen, beschlossene und vorgelegte Planfassungen, Prüfungen mit Nummer, Status, Kennung der Planposition, Quartal des Abschlusses, Zahl der Feststellungen je Risiko und dem Kennzeichen, ob die Prüfung gelöscht ist, offene Feststellungen mit Nummer, Prüfungsnummer, Risiko, Organisationseinheit, Altersspanne, Status und dem Kennzeichen „überfällig“ sowie Gremienberichte; Prüfungen selbst, Titel von Prüfungen und Feststellungen, Arbeitspapiere, Nachweise, Aufgaben und Namen von Prüferinnen und Prüfern sehen sie nicht. Die Leitungssicht liest ausschließlich über festgelegte Datenbankfunktionen ohne Personenfelder. Mitglieder der Leitungssicht erhalten keine Erinnerungen und keine Weitermeldungen. Ein Zugang zur Leitungssicht lässt sich nicht mit der Rolle geprüfte Stelle verbinden. Die Rolle Administration sieht Prüfobjekte, Jahresplan, das Vorlage-PDF „Jahresplan“ und die Einstellungen der Planung (damit auch, ob die Anzeige des Aufwands je Prüfung eingeschaltet ist) nur lesend und keine Kennzahlen.
• Keine Auswertung je Person: Kennzahlen, Leitungssicht und Gremienberichte fassen Daten nicht nach Personen zusammen und filtern nicht nach ihnen; automatische Tests weisen jede solche Abfrage zurück. Planpositionen haben keine zuständige Person, die Kapazität ist eine Summe ohne Personenbezug. Kennzahlen zu Aufwand, Sonderprüfungen und Durchlaufzeiten zeigen ein Feld erst ab drei Prüfungen; kleinere Felder werden zusammengefasst oder ausgeblendet, eine Zusammenfassung erscheint selbst erst ab drei Prüfungen, und Summen und Anteile rechnen nur über angezeigte Felder; Planpositionen ohne Quartal blendet die Kennzahl zum Aufwand immer aus. Hat der Kunde weniger als drei Mitgliedschaften mit der Rolle Prüfer oder Qualitätssicherung, wobei eine Mitgliedschaft mit der Rolle Revisionsleitung nie mitzählt und jede bestehende Mitgliedschaft zählt, auch die einer eingeladenen Person, die sich noch nicht angemeldet hat (einen Sperrstatus gibt es nicht), zeigen Leitungssicht und Gremienbericht diese Kennzahlen und die Planerfüllung nach Prüfertagen nicht. Leitungssicht und Gremienbericht nennen Prüfungen nur mit Nummer, Planpositionen nur mit Positionsnummer und Kürzel des Prüfobjekts, Abschlüsse nur als Quartal und das Alter offener Feststellungen nur in Spannen. Den Ist-Aufwand einer einzelnen Prüfung zeigt die Anwendung nur in der Erfassungsmaske der Revisionsleitung (Recht zum Bearbeiten der Planung, kein eigenes Recht), im Gesamtexport der Planung und, wenn der Kunde es nach Bestätigung eines Hinweises zur Mitbestimmung einschaltet, in einer Kennzahl nur für die Revisionsleitung; das Ein- und Ausschalten steht im Protokoll. Summiert sehen ihn auch Prüfer und Qualitätssicherung: Soll und Ist je Quartal und Risikoklasse sowie das Ist der Sonderprüfungen, jeweils erst ab drei Prüfungen je Feld.
• Weitergabe: Übertragung nur verschlüsselt über TLS; Sicherheitskopfzeilen und Inhaltsrichtlinie im Browser; an Unterauftragsverarbeiter nur die für den Zweck nötigen Inhalte. Nachweisdateien verlassen den Server nur als mit age verschlüsselte Kopie; der Schlüssel zum Entschlüsseln liegt nicht auf dem Server und nicht beim Speicheranbieter. Nachweise, Grundgesamtheiten und Stichproben werden nicht an das Sprachmodell übermittelt. Stellungnahmen und von geprüften Stellen gelieferte Unterlagen werden nicht an das Sprachmodell übermittelt. Geprüfte Stellen haben keine Formulierungshilfe. Prüfobjekte, Risikobewertungen, Planungsdaten, Kennzahlen und Gremienberichte werden nicht an das Sprachmodell übermittelt. Gremienberichte und Plan-Export enthalten keine Namen von Beschäftigten der Revision, keine Titel von Prüfungen, Feststellungen oder Planpositionen, keine Namen von Prüfobjekten und keine Begründungen; Planpositionen erscheinen mit Positionsnummer und Kürzel des Prüfobjekts, Begründungen nur als Hinweis, dass eine vorliegt. Gremium und Beschlussreferenz nennt der Gremienbericht nicht; als Freitexte enthält er die Namen der Organisationseinheiten bei offenen Feststellungen mit hohem Risiko und die Bezeichnungen der Faktoren des Risikomodells. Das Vorlage-PDF „Jahresplan“, das Prüfer, Qualitätssicherung, Revisionsleitung und Administration abrufen können, nennt dagegen Objektnamen und Titel manueller Positionen; es wird bei jedem Abruf aus dem aktuellen Stand erzeugt. Erzeugen und Herunterladen eines Gremienberichts stehen mit Prüfsumme im Protokoll; was mit heruntergeladenen Berichten und Exporten geschieht, verantwortet der Kunde.
• Eingabe und Integrität: unveränderliche Versionen, Protokoll aller Änderungen als SHA-256-Hash-Kette, geschrieben von der Datenbank selbst und täglich geprüft; Freigaben mit eingefrorener Grundlage. Zusätzlich wird der Kettenstand täglich außerhalb der Datenbank mit einem Zeitstempel nach RFC 3161 versehen (Zeitstempeldienste DigiCert und FreeTSA; übermittelt wird nur ein Hashwert, keine Inhalte) und auf einer Storage Box gespiegelt, die nur ergänzt wird. Der Zeitstempel belegt, wann der Stand vorlag; eine Aufbewahrungssperre im technischen Sinn gibt es nicht. Jeder Nachweis erhält beim Hochladen eine SHA-256-Prüfsumme der gespeicherten Datei; sie wird beim Herunterladen und beim Archiv-Export erneut geprüft. Hochladen, Zurückziehen, Abweisung durch die Virenprüfung und Löschung auf Weisung stehen in der Hash-Kette, ohne Dateiinhalt und ohne Dateinamen. Zuweisungen, die Bestimmung der Prüfungsleitung, Meilensteine, Änderungen der Einstellungen und das Abbestellen stehen in der Hash-Kette mit Kennungen und Codes, ohne Freitext; Termine stehen nicht darin, bei Meilensteinen auch nicht die zuständige Person, eine Antwortadresse nur als Hashwert. Der Qualitätsnachweis enthält von Zuweisungszeilen und Abbestellungen keinen Inhalt. Risikobewertungen und Kennzahlen rechnet die Datenbank selbst nach festen Regeln mit ganzen Zahlen, den Planvorschlag die Anwendung nach festen Regeln ohne Zufall, ebenfalls mit ganzen Zahlen; ein externer Dienst ist nicht beteiligt; Fassungen sind unveränderlich, ihre Prüfsummen stehen in der Hash-Kette. Bewertungen, Übersteuerungen, Planfassungen, Vorlage, Beschluss, Kenntnisnahme, Änderungen der Einstellungen, Importe und Gremienberichte stehen in der Hash-Kette mit Kennungen, Codes, Zahlen und Prüfsummen, ohne Freitext: Begründungen nur als Prüfsumme, die an Tabelle, Feld und Zeile gebunden ist, Kommentare zu Bewertungen gar nicht, der Ist-Aufwand je Prüfung nur als Prüfsumme ohne Zahlenwert. Freitexte gehen in die Prüfsumme einer Planfassung nur über ihre eigene, zeilengebundene Prüfsumme ein. Der Plan-Export enthält keine Freitexte und ein Prüfskript, mit dem der Kunde Planfassungen und Protokoll ohne die Anwendung nachrechnen kann.
• Schutz vor Schadsoftware: Jede hochgeladene Datei wird vor der Speicherung mit ClamAV geprüft. Der Scanner läuft in einem eigenen Container auf demselben Server in einem internen Netz, das nur die Anwendung erreicht; Dateien und Prüfergebnisse werden nicht an Dritte übermittelt. Aus dem Internet lädt der Container nur Signaturupdates über eine ausgehende Verbindung; eingehende Verbindungen gibt es nicht. Die Prüfung ist im Zweifel abweisend: Ist der Scanner nicht erreichbar oder sind seine Signaturen älter als sieben Tage, nimmt die Anwendung keine Dateien an. Befallene, verschlüsselte oder passwortgeschützte und ausführbare Dateien weist sie ab und löscht sie sofort. Signaturen, die älter als 48 Stunden sind, lösen einen Alarm aus.
• Import aus Dateien: Prüfobjekte lassen sich nur aus Tabellen übernehmen, die ein Nutzer hochlädt; Verbindungen zu anderen Systemen und Zugangsdaten dafür gibt es nicht. Je Datei gelten höchstens 5 MiB und 5 000 Zeilen. Jede Datei wird vor dem Lesen mit demselben Virenscanner geprüft wie Nachweise, und die Prüfung ist im Zweifel abweisend: Ist der Scanner nicht erreichbar, antwortet er nicht rechtzeitig oder sind seine Signaturen zu alt, nimmt die Anwendung die Datei nicht an. Befallene Dateien und Office-Dateien mit Makros weist sie ab: Makros in älteren Office-Dateien erkennt der Virenscanner, Makros in Excel-Dateien (xlsx) die Prüfung auf unzulässige Bestandteile, die jede Excel-Datei vor dem Lesen durchläuft; das Lesen läuft in einem eigenen, begrenzten Prozess. Die hochgeladene Datei wird nur für die Dauer des Lesens zwischengespeichert und danach gelöscht, auch bei einem Abbruch; dauerhaft bleibt nur ihre Prüfsumme. Die gelesenen Zeilen löscht ein täglicher Lauf 30 Tage nach der Entscheidung über den Import; das Löschen ist nur der Eigentümerrolle der Datenbank mit eigener Marke erlaubt. Die Übernahme eines Imports legt keine Prüfobjekte still und reaktiviert keine stillgelegten; wird ein Import rückgängig gemacht, legt die Anwendung die von ihm neu angelegten Objekte still. Protokolle der Anwendung enthalten zu Importen keine Inhalte; sie nennen Mandantenkennung, Dauer, Zahlen und Fehlercodes. Exporte neutralisieren Formelzeichen in Zellen.
• Portal für geprüfte Stellen: eigener Bereich der Anwendung mit eigenen Schnittstellen, die nur mit dem Recht der Rolle geprüfte Stelle erreichbar sind; Lesezugriffe ausschließlich über festgelegte Datenbankfunktionen, die nur Gegenstände mit aktiver Zuweisung der anfragenden Person liefern. Geprüfte Stellen sehen keine Entwürfe, Arbeitspapiere, Reviews oder internen Notizen, keine Nachweise ohne ausdrückliche Freigabe und statt der Namen der Prüferinnen und Prüfer nur „Revision“. Endberichte erhalten sie nur nach Freigabe je Person. Fremde Gegenstände und fremde Kundenzugänge sind nicht als vorhanden erkennbar. Uploads geprüfter Stellen durchlaufen dieselbe Virenprüfung, Endungs- und Makrosperre und zählen zum Speicherkontingent des Kunden. Eingaben geprüfter Stellen werden in der Oberfläche und im PDF nur als Text dargestellt. Je Kundenzugang gelten Obergrenzen für die Zahl geprüfter Stellen und für Einladungen je Tag sowie eigene Ratenbegrenzungen für Schreibzugriffe im Portal. Abruf und Download von Unterlagen und Endberichten, die Kenntnisnahme des Datenschutzhinweises, Zuweisungen und Freigaben stehen in der Hash-Kette, ohne Texte, Dateinamen oder Adressen. Endberichte werden reproduzierbar erzeugt; ihre Prüfsumme steht in der Hash-Kette.
• Benachrichtigungen: E-Mails der Anwendung werden aus einem Postfach des Anbieters versandt, nie aus Postfächern des Kunden. Nachrichten an geprüfte Stellen enthalten nur den Namen des Kundenzugangs, Anzahlen und einen Link. Erinnerungen an Nutzer des Kunden nennen je Aufgabe die Art, die Prüfungsnummer, bei eigenen Aufgaben die Zeilen- oder Feststellungsnummer, die Fälligkeit und einen Link; Zeilennummern nur, wenn sie die Form einer Kennung haben. Sie enthalten keine Texte oder Namen anderer Personen, und Weitermeldungen nennen weder die zuständige Person noch die Zeile, die Feststellung oder einen Titel, auch nicht bei eingeschalteter Titelanzeige. Weitermeldungen gehen nur an Nutzer, die beim Versand noch Revisionsleitung oder aktive Prüfungsleitung der Prüfung sind. Inhalte in E-Mails gibt es nur auf ausdrückliche Weisung des Kunden: Schaltet die Revisionsleitung nach einem Hinweis auf die Risiken die Anzeige von Titeln ein, nennen Erinnerungen an Nutzer des Kunden zusätzlich den Prüfungstitel und bei eigenen Aufgaben den Feststellungstitel, auf 60 Zeichen gekürzt und bereinigt; an geprüfte Stellen gehen nie Titel. Links in E-Mails enthalten keinen Zugangsschlüssel; den Inhalt sieht die empfangende Person erst nach Anmeldung mit zweitem Faktor, und die Anwendung prüft dabei Mitgliedschaft und Berechtigung erneut. Die Anwendung erzeugt den Text erst beim Versand, prüft dabei erneut, ob die Mitgliedschaft noch aktiv und die Aufgabe noch offen ist, und unterlässt sonst den Versand; der Postausgang enthält nur Vorlage, Verweis und Empfänger, keine Inhalte. Erinnerungen werden je Person und Kundenzugang höchstens einmal am Tag gebündelt versandt, mit höchstens 25 Einträgen; je Kundenzugang gilt eine Obergrenze von 300 Empfängern je Tag. Hinweise zu neu zugewiesenen Gegenständen und Mails bei Zuweisung werden je Person gebündelt und höchstens einmal je Stunde versandt; Mails bei Zuweisung je Kundenzugang höchstens bis 20 Prozent des Tagesbudgets. Plattformweit gilt ein Tagesbudget: Sammelmails werden nur bis 70 Prozent, andere Benachrichtigungen bis 80 Prozent und Pflichtmails bis 90 Prozent des Budgets begonnen; der Rest bleibt Mails des Anmeldedienstes vorbehalten. Zurückgehaltene Mails werden später neu erzeugt oder entfallen, wenn ihr Anlass weggefallen ist. Der Anzeigename des Absenders nennt das Produkt vor dem Namen des Kundenzugangs; Steuer- und Formatzeichen, Adressen und Links werden aus dem Namen entfernt. Protokolle der Anwendung enthalten keine E-Mail-Adressen, keine Namen von Kundenzugängen und keine Titel.
• Abmeldung und Antwortadresse: Jede tägliche Sammelmail, die nicht nur Weitermeldungen überfälliger Aufgaben enthält, trägt einen Abmeldelink und die Kopfzeilen für die Abmeldung mit einem Klick nach RFC 8058. Der Link trägt einen zweckgebundenen Wert, der mit einem geheimen Schlüssel signiert ist (HMAC-SHA-256, auf 128 Bit gekürzt, mit Kennung des Schlüssels, 90 Tage gültig); der Wert öffnet keine Daten und wirkt nur auf die Einstellung der betroffenen Person in diesem Kundenzugang. Das Aufrufen des Links ändert nichts; wirksam ist erst das Absenden des Formulars oder die Abmeldung durch den Mailanbieter. Die Schlüssel liegen nur in der Konfiguration von Anwendung und Hintergrunddienst, haben mindestens 32 Byte und werden durch Voranstellen eines neuen Schlüssels gewechselt; ein alter Schlüssel bleibt 90 Tage nur zur Prüfung gültig. Eine Antwortadresse des Kunden wirkt erst, nachdem die Revisionsleitung sie über einen Link bestätigt hat, der an genau diese Adresse geht; der Bestätigungswert hat mindestens 128 Bit Zufall, wird nur als Hashwert gespeichert, ist sieben Tage gültig und einmal einlösbar, und die Bestätigung verlangt eine Anmeldung als Revisionsleitung des Kundenzugangs. Eine geänderte Adresse muss erneut bestätigt werden; bis dahin verwendet die Anwendung keine Antwortadresse. Je Kundenzugang gehen höchstens drei Bestätigungsmails am Tag. Für Abmeldung, Bestätigung der Antwortadresse und das Schreiben von Zuweisungen gelten eigene Ratenbegrenzungen (Abmeldung je IP-Adresse, Bestätigung je Nutzer, Zuweisungen je Nutzer und Kundenzugang). Protokolle enthalten von Abmelde- und Bestätigungswerten höchstens die Kennung des Schlüssels und die ersten acht Zeichen; der vorgeschaltete Server protokolliert Aufrufe des Abmeldepfads nicht, die übrigen Zugriffsprotokolle enthalten keine Abfrageparameter.
• Verfügbarkeit und Belastbarkeit: tägliche verschlüsselte Datensicherung der Datenbank mit Sicherungsständen der letzten 29 Tage auf der Storage Box (maßgeblich ist die Altersgrenze, nicht eine Anzahl; Ausnahme: ist der jüngste Stand älter als 29 Tage oder liegt er in der Zukunft, wird zum Schutz vor Totalverlust nichts gelöscht, die 40-Tage-Frist kann dann während eines Sicherungsausfalls überschritten werden, der Betreiber wird alarmiert) und in der Regel bis zu zehn Tagen Snapshots (gelöschte Daten spätestens nach 40 Tagen auch aus den Sicherungen entfernt); stündliche verschlüsselte Kopie neuer Nachweisdateien auf die Storage Box. Wiederherstellungspunkt (RPO): höchstens 24 Stunden. Nachweisdateien liegen zwar spätestens nach einer Stunde in der Kopie, nach einer Wiederherstellung ist aber der Stand der Datenbank maßgeblich; für nutzbare Nachweise gilt deshalb ebenfalls höchstens 24 Stunden. Dateien, zu denen die wiederhergestellte Datenbank keinen Nachweis kennt, werden 30 Tage gesperrt aufbewahrt, auf Weisung des Kunden bereitgestellt und danach gelöscht. Monatliche Wiederherstellungsprobe einschließlich Nachweisen, Überwachung alle fünf Minuten, Ratenbegrenzung, Speicherkontingente je Tarif und Upload-Sperre bei knappem Speicherplatz. Gremienberichte liegen als Teil der Datenbank vor und sind damit in Datensicherung, Wiederherstellung und Löschung des Kundenzugangs eingeschlossen; je Kundenzugang lassen sich höchstens zehn Gremienberichte am Tag erzeugen.
• Löschung: Aufbewahrungsfristen je Kunde, Löschung erst nach Bestätigung durch den Kunden, automatische Löschung nach Ablauf der Nutzungszeit ohne Tarif, eines Tests und nach Vertragsende mit Protokoll. Der Löschlauf erfasst Nachweisdateien einschließlich zurückgezogener Nachweise und Zeilenlisten auf dem Server und in der verschlüsselten Kopie. Einzelne Nachweise löscht der Anbieter auf Weisung des Kunden mit einem eigenen, protokollierten Betriebskommando (AVV § 7 Abs. 4). Restbestände: verschlüsselte Nachweisdateien in Snapshots in der Regel bis zu zehn Tage, Datenbankinhalte in Sicherungen bis zu 40 Tage. Eine Massenlöschung wird erst nach Prüfung durch den Anbieter in der Kopie ausgeführt (Schutz vor Fehlern); ein stündlicher Alarm erinnert daran, und die Freigabe gilt 24 Stunden. Planungsdaten und Gremienberichte löscht die Anwendung mit dem Kundenzugang; der Löschlauf der Prüfungen erfasst sie nicht (AVV § 7 Abs. 3). Importzeilen werden 30 Tage nach der Entscheidung über den Import gelöscht. Einzelne Freitexte der Planung ersetzt der Anbieter auf Weisung des Kunden mit einem eigenen, protokollierten Betriebskommando durch einen Löschvermerk (AVV § 7 Abs. 6); das Kommando arbeitet nur mit der Eigentümerrolle der Datenbank und nur auf einer festen Liste zulässiger Felder, Protokolle und das Löschjournal enthalten den gelöschten Text nicht; das Journal liegt außerhalb der Datenbank, wird 90 Tage aufbewahrt und dient nur dazu, Löschungen nach einer Wiederherstellung zu wiederholen. Protokolle des Gesamtexports der Planung enthalten keine Inhalte; sie nennen Mandantenkennung, Zahlen und Fehlercodes.
• Überprüfung: tägliche Kettenprüfung, Abgleich der Kopie der Nachweise per Prüfsumme bei jeder Übertragung, wöchentlicher Abgleich der Kopien mit der Datenbank und den Löschmarkern, Überwachung des Signaturalters der Virenprüfung, der Belegung der Speicher und des Rückstands der Kopie, monatliche Wiederherstellungsprobe einschließlich Nachweisen (ohne Klartext auf der Platte), Prüfung der Maßnahmen bei jeder wesentlichen Änderung.

Anlage 2: Unterauftragsverarbeiter

• Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, Deutschland: Hosting von Anwendung, Datenbank, Anmeldedienst, Virenprüfung und Nachweisdateien im Rechenzentrum in Falkenstein (Vogtland), Deutschland; verschlüsselte Datensicherungen und verschlüsselte Kopien der Nachweisdateien auf einer Storage Box in einem Rechenzentrum in Helsinki, Finnland (EU). Den Schlüssel zu diesen Sicherungen und Kopien hat Hetzner nicht.
• Hostinger International Ltd., 61 Lordou Vironos str., 6023 Larnaca, Zypern: Versand der E-Mails der Anwendung und des Anmeldedienstes an Nutzer des Kunden und an vom Kunden eingeladene geprüfte Stellen (Einladungen, Einrichtung des Zugangs, Hinweise zu zugewiesenen Gegenständen, Erinnerungen an Termine und Weitermeldungen überfälliger Aufgaben, Freigabe eines Endberichts, Bestätigung einer Antwortadresse) mit Name und E-Mail-Adresse der Empfänger, dem Namen des Kundenzugangs und bei Erinnerungen an Nutzer des Kunden mit Art, Prüfungsnummer, Zeilen- oder Feststellungsnummer und Fälligkeit der Aufgaben sowie der Zahl offener und überfälliger Aufgaben im Betreff; Titel nur auf Weisung des Kunden nach Anlage 1. Hostinger setzt für den Mailversand nach seinem Auftragsverarbeitungsvertrag (Anhang 3) weitere Unterauftragsverarbeiter ein, darunter MailChannels Corporation und Proofpoint, Inc.; Versandprotokolle mit Empfängeradresse und Betreff können dort nach deren Vorgaben gespeichert werden. Kundendaten löscht Hostinger 30 Tage nach Vertragsende (Abschnitt 11 des Vertrags).
• Anthropic Ireland, Limited, Irland, mit Anthropic, PBC, USA: automatisierte Erzeugung von Entwürfen und Formulierungsvorschlägen mit einem Sprachmodell aus den Eingaben im Assistenten, bei Teiländerungen aus dem betroffenen Paketinhalt und bei der Formulierungshilfe aus dem Text des jeweiligen Feldes, etwa der Notiz oder Begründung eines Arbeitspapiers, eines Feldes einer Feststellung oder eines Berichtsabschnitts. Nachweise, Grundgesamtheiten, Stichproben, Stellungnahmen und von geprüften Stellen gelieferte Unterlagen werden nicht übermittelt. Verarbeitung in den USA auf Grundlage von Standardvertragsklauseln (siehe § 5 Abs. 4); keine Nutzung zum Training; Löschung der Ein- und Ausgaben nach Angaben von Anthropic innerhalb von 30 Tagen, bei Markierung wegen eines möglichen Verstoßes gegen die Nutzungsrichtlinien bis zu zwei Jahre.

Stripe Payments Europe, Limited verarbeitet Vertrags- und Zahlungsdaten des Kunden in der Verantwortung des Anbieters oder in eigener Verantwortung, nicht im Auftrag des Kunden, und ist deshalb hier nicht aufgeführt; siehe Datenschutzerklärung.