nach Art. 32 DSGVO für License Insights – Anlage 2 zum Auftragsverarbeitungsvertrag
Stand: 30. September 2026Version: 1.1Verantwortlich für die Umsetzung: Bechtle-Comsoft GmbH
Der technische Betrieb erfolgt durch die Bauer365 GmbH als Unterauftragsverarbeiterin auf einem virtuellen Server der dogado GmbH in Deutschland.
1. Grundsätze
Erhebung beim Kunden: Die Erhebung im Microsoft-365-Tenant läuft ausschließlich in der Umgebung des Kunden. Der Server hat keinen Zugang zum Tenant des Kunden.
Datenminimierung: Für Empfehlungsberechnung, Executive-Summary-Report und Auswertungen werden nur die benötigten Merkmale ohne Namen, Anmeldenamen und E-Mail-Adressen übertragen.
Entschlüsselung im Browser: Identifikationsdaten werden im Browser des Nutzers entschlüsselt; der Server prüft nur die Berechtigung. Ausnahme ist die vom Inhaber der License-Insights-Lizenz aktivierte interne Freigabe ohne Schlüssel.
Keine dauerhafte Speicherung von Tenant-Daten: Berechnungen erfolgen im Arbeitsspeicher. Ausnahmen und Speicherfristen sind in Anlage 1 zum AVV abschließend aufgeführt.
2. Vertraulichkeit (Art. 32 Abs. 1 lit. b DSGVO)
Bereich
Maßnahmen
Zutrittskontrolle
Betrieb ausschließlich in einem Rechenzentrum der dogado GmbH in Deutschland nach deren Zutrittskonzept; keine eigene Server-Hardware.
Zugangskontrolle
Anmeldung nur mit zwei Faktoren (Passkey oder Passwort und Einmalcode); Passwörter ausschließlich als Hash-Wert nach dem Stand der Technik; Sperre bei wiederholten Fehlversuchen; kurzlebige, signierte und widerrufbare Sitzungen; Serverzugang nur für namentlich bestimmte Administratoren der Bauer365 GmbH.
Zugriffskontrolle
Rollenkonzept mit serverseitiger Prüfung jeder Anfrage; Entschlüsselung personenbezogener Daten im Browser des Nutzers, freigegeben erst nach serverseitiger Prüfung von Sitzung und License-Insights-Lizenz; gespeicherte Geheimnisse verschlüsselt (AES-256-GCM); Sicherheits-Header und Content-Security-Policy; keine Einbindung externer Ressourcen.
Trennungskontrolle
Mandantentrennung in Datenbank und Dateisystem; Sitzungen sind an den Mandanten gebunden.
Pseudonymisierung
Berechnungsdaten ohne Identifikationsmerkmale; Verknüpfung mit Anzeigedaten nur über eine laufende Nummer.
3. Integrität (Art. 32 Abs. 1 lit. b DSGVO)
Bereich
Maßnahmen
Weitergabekontrolle
Übertragung ausschließlich verschlüsselt (HTTPS/TLS, HSTS); Datenbank nicht aus dem Internet erreichbar; keine Übermittlung personenbezogener Daten an Dritte oder in Drittländer.
Eingabekontrolle
Protokollierung sicherheitsrelevanter Ereignisse mit Zeitpunkt, handelnder Person und IP-Adresse; Kennwörter und Geheimnisse werden in Protokollen nicht gespeichert.
4. Verfügbarkeit, Belastbarkeit und Wiederherstellbarkeit (Art. 32 Abs. 1 lit. b und c DSGVO)
Containerbetrieb mit Zustandsüberwachung und automatischem Neustart; schreibgeschütztes Anwendungsdateisystem.
Begrenzung von Anfragen und Anfragegrößen zum Schutz vor Überlastung.
Datensicherung vor jeder Änderung an Software oder Datenbank; Rückkehr zu früheren Softwareständen über versionierte Container-Images.
Die Ergebnisdateien der Erhebung verbleiben beim Kunden; ein Serverausfall führt nicht zum Verlust der Erhebungsdaten.
5. Löschung
Automatische, zeitgesteuerte Löschroutinen setzen die Fristen um, die in der Datenschutzerklärung (Abschnitt 5) und in Anlage 1 zum AVV festgelegt sind.
6. Überprüfung, Bewertung und Evaluierung (Art. 32 Abs. 1 lit. d DSGVO)
Überprüfung der Maßnahmen bei sicherheitsrelevanten Änderungen, mindestens jährlich.
Prüfung der eingesetzten Softwarebibliotheken auf bekannte Schwachstellen; automatisierte Funktionsprüfungen nach Bereitstellungen.
Sicherheitsrelevante Fehler werden auch im Auslaufbetrieb vorrangig behoben.
7. Organisatorische Maßnahmen
Alle Personen mit Zugriff auf den Dienst oder den Server sind schriftlich zur Vertraulichkeit verpflichtet; der Kreis der Administratoren ist auf das erforderliche Minimum beschränkt.
Unterauftragsverarbeiter werden nur mit einem Vertrag nach Art. 28 DSGVO eingesetzt.
Anfragen und Meldungen laufen ausschließlich über Bechtle; Datenschutzverletzungen werden intern unverzüglich an Bechtle gemeldet (§ 8 AVV).
8. Maßnahmen in der Verantwortung des Kunden
Schutz des Geräts, auf dem das PS1 ausgeführt wird, und der dort erzeugten Dateien (Ergebnis-, Konfigurations- und Zertifikatsdatei),
Prüfung, Freigabe und spätere Entfernung der im Tenant angelegten App-Registrierung, Berechtigungen und Rollen,
Geheimhaltung von License-Insights-Lizenzschlüssel und Zugangsdaten.