Auftragsverarbeitung · Art. 28 DSGVO

AVV-Anlagen

Stand: 01.07.2026 DSGVO-konform

Diese Seite enthält die aktuellen Anlagen zur Vereinbarung über Auftragsverarbeitung (AVV) der engel&engel gmbh gemäß Art. 28 DSGVO. Sie ist verbindlicher Bestandteil des AVV-Vertrags und wird bei Änderungen mit 4-Wochen-Vorankündigung aktualisiert.

Hinweis für Vertragspartner: Änderungen an diesen Anlagen werden per E-Mail mit einer Frist von mindestens 4 Wochen vor Wirksamwerden angekündigt. Ohne fristgerechten Widerspruch gelten Änderungen gemäß §8 und §14 des AVV als genehmigt.

Inhalt

Anlage 1 – Technische und organisatorische Maßnahmen (TOMs) Anlage 2 – Datensicherung und Fernwartung Anlage 3 – Unterauftragsverarbeiter

Anlage 1

Technische und organisatorische Maßnahmen (TOMs)

Stand: 01.07.2026

Der Auftragnehmer trifft geeignete technische und organisatorische Maßnahmen gemäß Art. 32 DSGVO. Diese umfassen insbesondere:

Zutrittskontrolle

Abgesicherter Zugang zu Büro- und Serverräumen
Besucherregelung und Protokollierung von Fremdzutritten

Zugangskontrolle

Passwortschutz auf allen Systemen; Mindestanforderungen an Passwortkomplexität
Mehr-Faktor-Authentifizierung (MFA) für Fernzugriffe und privilegierte Konten
Automatische Bildschirmsperre bei Inaktivität
Zentrale Verwaltung und sofortige Sperrmöglichkeit von Benutzerkonten

Zugriffskontrolle / Berechtigungskonzept

Rollenbasiertes Berechtigungskonzept nach dem Least-Privilege-Prinzip
Regelmäßige Überprüfung und Bereinigung von Zugriffsrechten
Protokollierung administrativer Zugriffe (Datum, Zeit, Person, Aktion)
Protokollierung von Fernwartungszugriffen (Datum, Dauer, Person, Zweck, System)
Aufbewahrung der Zugriffsprotokolle mindestens 12 Monate

Verschlüsselung

Verschlüsselung von Datensicherungen (AES-256 oder gleichwertig)
Verschlüsselung übertragener Daten (TLS 1.2 oder höher)
Festplattenverschlüsselung auf mobilen Endgeräten und Wechseldatenträgern

Integrität

Firewall- und UTM-Schutz
Managed Antivirus / EDR auf Endgeräten und Servern
Regelmäßige Sicherheitsupdates und Patchmanagement
Schutz vor unbefugter Veränderung von Daten

Verfügbarkeit

Automatisierte, verschlüsselte Datensicherungen
Regelmäßige Kontrolle der Sicherungsvorgänge
Dokumentierte Notfall- und Wiederherstellungsverfahren
USV-Absicherung kritischer Systeme soweit vorhanden

Incident Response

Internes Meldeverfahren bei Sicherheitsvorfällen
Benachrichtigung des Auftraggebers unverzüglich, spätestens innerhalb von 24 Stunden
Dokumentation von Sicherheitsvorfällen und ergriffenen Maßnahmen

Organisatorische Maßnahmen

Schriftliche Verpflichtung aller Mitarbeitenden auf Vertraulichkeit, Datenschutz und ggf. § 203 StGB
Regelmäßige Datenschutzschulungen
Datenschutz- und Berechtigungskonzepte
Regelmäßige Überprüfung der Maßnahmen

Anlage 2

Datensicherung und Fernwartung

Stand: 01.07.2026

Soweit entsprechende Leistungen beauftragt wurden, gelten ergänzend folgende Regelungen:

Datensicherung

Bereitstellung und Überwachung verschlüsselter Cloud- und Online-Backup-Lösungen
Durchführung automatisierter Online-Datensicherungen
Überwachung und Kontrolle von Sicherungsvorgängen soweit technisch vorgesehen
Unterstützung bei Wiederherstellungsmaßnahmen im Fehlerfall
Speicherung von Datensicherungen in Rechenzentrumsumgebungen innerhalb der EU soweit technisch vorgesehen

Online-Backup

Soweit Online-Backup-Leistungen erbracht werden, erfolgt die Speicherung ausschließlich verschlüsselt in Rechenzentren innerhalb der EU.

Fernwartung

Zugriffe ausschließlich durch autorisierte Mitarbeitende, zweckgebunden und protokolliert
Protokollierung: Datum, Uhrzeit, Dauer, ausführende Person, betroffenes System, Zweck
Protokollaufbewahrung mindestens 12 Monate; auf Anfrage dem Auftraggeber verfügbar
Fernwartung über Splashtop (EU-Server; SCCs 2021 + TIA vorhanden) oder vergleichbare Lösungen
Monitoring und RMM über Atera (EU-Server; SCCs vorhanden) oder vergleichbare Plattformen
Cloud-Backup und Hosting über Wortmann terra cloud (Deutschland) oder vergleichbare Anbieter

Anlage 3

Unterauftragsverarbeiter

Stand: 01.07.2026

Der Auftragnehmer setzt – soweit für die jeweilige Leistung erforderlich – folgende Unterauftragnehmer, Cloudanbieter und technische Dienstleister ein. Reine Warenlieferanten ohne Zugriff auf personenbezogene Daten im Auftrag des Auftraggebers sind nicht aufgeführt.

Unternehmen / Anschrift	Zweck	Verarbeitungsort	Schutzinstrument	Verarbeitete Daten
medatixx GmbH & Co. KG, Waldstraße 36, 64546 Mörfelden-Walldorf	Praxissoftware, Support, TI, Updates	EU / Deutschland	—	Adresse, Kommunikationsdaten, Ansprechpartner, Vertragsdaten, ggf. Patientenstammdaten
Wortmann AG / terra cloud GmbH, Hüttruper Heide 90, 48268 Greven	Cloudbackup, Hosting, IaaS, virtuelle Server	EU / Deutschland	—	Adresse, Ansprechpartner, Infrastruktur-, System- und Serverdaten
Microsoft Ireland Operations Ltd., One Microsoft Place, Dublin, Irland	Microsoft 365, Exchange Online, Cloudservices, Microsoft Forms	EU / Irland	SCCs für etwaige US-Transfers	Adresse, Kommunikationsdaten, Benutzerdaten, Umfrageantworten
Atera Networks Ltd., HaArba 30, Tel Aviv, Israel	Monitoring, RMM, Fernverwaltung	EU-Server	SCCs + TIA vorhanden	Infrastruktur-, System- und Gerätedaten
Bitdefender SRL, Lake View Business Park, Bukarest, Rumänien	Managed Antivirus / EDR	EU / Rumänien	—	Infrastruktur-, System- und Gerätedaten
Securepoint GmbH, Jade 1, 21337 Lüneburg	Firewall-, UTM- und Mailsecurity-Lösungen	EU / Deutschland	—	Netzwerk-, Firewall- und Zugangsdaten
Splashtop Inc., 1054 S. De Anza Blvd., San Jose, CA, USA	Fernwartung	EU-Server	SCCs 2021 + TIA vorhanden	Verbindungs- und Systemdaten
Placetel / BroadSoft Germany GmbH, Nymphenburger Str. 4, 80335 München	Cloudtelefonie	EU / Deutschland	—	Kommunikations- und Vertragsdaten
Brevo (Sendinblue SAS), 7 rue de Madrid, 75008 Paris, Frankreich	Versand von Kunden-E-Mails (Newsletter, Kampagnen, Servicemitteilungen)	EU / Frankreich	—	Name, E-Mail-Adresse

Der Einsatz der jeweiligen Unterauftragnehmer erfolgt ausschließlich, soweit dies für die beauftragte Leistung erforderlich ist. Der Auftragnehmer stellt sicher, dass alle Unterauftragnehmer gemäß Art. 28 DSGVO verpflichtet werden. Unterauftragnehmer mit möglichem Zugang zu Gesundheitsdaten oder dem ärztlichen Berufsgeheimnis unterliegenden Informationen werden zusätzlich auf § 203 StGB verpflichtet. Änderungen dieser Liste werden gemäß §8 AVV mit 4-Wochen-Frist angekündigt.