Auftragsverarbeitungsvertrag, Fassung vom 12. Oktober 2026

Auftragsverarbeitungsvertrag (AVV)

Nexagen GmbH · Version 1.1 | Gültig ab 12.10.2026

Dieser Vertrag regelt die Auftragsverarbeitung personenbezogener Daten zwischen dem Kunden (nachfolgend „Verantwortlicher" im Sinne des Art. 4 Nr. 7 DSGVO) und der Nexagen GmbH, Kolonnenstraße 8, 10827 Berlin (nachfolgend „Nexagen" oder „Auftragsverarbeiter" im Sinne des Art. 4 Nr. 8 DSGVO), gemäß Art. 28 DSGVO im Zusammenhang mit dem zwischen den Parteien bestehenden Nutzungsvertrag über die Softwarelösung „Nexagen".

§ 1 Gegenstand, Dauer, Art und Zweck der Verarbeitung

(1) Nexagen verarbeitet personenbezogene Daten ausschließlich auf Weisung des Verantwortlichen zur Bereitstellung der cloudbasierten Softwarelösung „Nexagen".

(2) Die Verarbeitung dient insbesondere:

• a) der Synchronisation, Kategorisierung und automatisierten Beantwortung von E-Mails,
• b) der Automatisierung von Geschäftsprozessen einschließlich der Integration mit vom Verantwortlichen angebundenen ERP-Systemen,
• c) der automatisierten Terminplanung und Adressgeokodierung,
• d) der KI-gestützten Extraktion strukturierter Daten aus E-Mails sowie der Analyse von Anhängen,
• e) der Verwaltung von Benutzerkonten und Organisationen sowie
• f) der Verwaltung kostenpflichtiger Abonnements.

(3) Eine Nutzung der verarbeiteten Daten zum Training oder zur Feinabstimmung von KI-Modellen erfolgt nicht.

(4) Die Verarbeitung erfolgt für die Dauer des zwischen den Parteien bestehenden Nutzungsvertrags über die Softwarelösung „Nexagen".

(5) Gegenstand, Art der Daten und betroffene Personen im Einzelnen ergeben sich aus Anlage 1.

§ 2 Art der personenbezogenen Daten und Kategorien betroffener Personen

(1) Die Verarbeitung betrifft insbesondere folgende Kategorien personenbezogener Daten:

• a) Identifikations- und Kontaktdaten (Name, E-Mail-Adresse, Telefonnummer, Adresse),
• b) Kommunikationsdaten (vollständige E-Mail-Inhalte, Metadaten, Anhänge),
• c) Geschäftsdaten (Rechnungen, Dokumente, Serviceaufträge, Projekt- und Kundendaten),
• d) Authentifizierungsdaten (Zugangsdaten, Zugriffstoken),
• e) technische Nutzungsdaten (Protokolldaten, pseudonymisierte Geräte- und Sitzungskennungen).

(2) Betroffene Personen sind insbesondere:

• a) die Nutzer der Plattform und ihrer Organisation,
• b) Kontakte des Verantwortlichen in dessen E-Mail-Kommunikation (z. B. Kunden, Interessenten, Lieferanten),
• c) Endkunden und Beschäftigte, deren Daten über angebundene ERP-Systeme synchronisiert werden.

(3) Eine gezielte Verarbeitung besonderer Kategorien personenbezogener Daten im Sinne des Art. 9 DSGVO erfolgt nicht. Der Verantwortliche ist dafur verantwortlich, dass in den über die Plattform verarbeiteten E-Mails und Anhängen enthaltene besondere Kategorien personenbezogener Daten nur im gesetzlich zulässigen Umfang verarbeitet werden.

§ 3 Pflichten des Auftragsverarbeiters

(1) Nexagen verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen, es sei denn, Nexagen ist durch das Recht der Europäischen Union oder eines Mitgliedstaats zu einer abweichenden Verarbeitung verpflichtet; in einem solchen Fall teilt Nexagen dem Verantwortlichen diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht eine solche Mitteilung nicht wegen eines wichtigen öffentlichen Interesses verbietet.

(2) Hält Nexagen eine Weisung des Verantwortlichen für rechtswidrig, informiert Nexagen den Verantwortlichen hierüber unverzüglich und ist berechtigt, die Ausführung der Weisung bis zu deren Bestätigung oder Änderung durch den Verantwortlichen auszusetzen.

(3) Nexagen verpflichtet alle Personen, die Zugang zu den Daten haben, vor Aufnahme der Tätigkeit zur Vertraulichkeit, soweit diese nicht bereits einer gesetzlichen Verschwiegenheitspflicht unterliegen.

(4) Nexagen trifft die in Anlage 3 beschriebenen technischen und organisatorischen Maßnahmen.

(5) Eine Nutzung der verarbeiteten Daten zu eigenen Zwecken von Nexagen findet nicht statt, mit Ausnahme der Nutzung anonymisierter und aggregierter Daten nach Maßgabe von § 11 Abs. 4 der Allgemeinen Geschäftsbedingungen.

§ 4 Pflichten und Rechte des Verantwortlichen

(1) Der Verantwortliche ist für die Rechtmäßigkeit der Verarbeitung der personenbezogenen Daten sowie für die Wahrung der Rechte der betroffenen Personen im Sinne der DSGVO verantwortlich.

(2) Der Verantwortliche stellt sicher, dass die von ihm bereitgestellten Daten zutreffend und aktuell sind, und informiert Nexagen unverzüglich über Fehler oder Unregelmäßigkeiten bei der Verarbeitung.

(3) Soweit Nexagen die für ein Verzeichnis von Verarbeitungstätigkeiten nach Art. 30 Abs. 2 DSGVO erforderlichen Angaben nicht aus eigener Kenntnis vorhält, stellt der Verantwortliche diese auf Anfrage zur Verfügung.

(4) Der Verantwortliche unterstützt Nexagen auf Anfrage bei der Beantwortung von Anfragen betroffener Personen sowie von Aufsichtsbehörden, soweit dies zur Erfüllung der jeweiligen Pflichten erforderlich ist.

(5) Der Verantwortliche stellt Nexagen von Ansprüchen Dritter frei, die auf einem Verstoß des Verantwortlichen gegen seine Pflichten als Verantwortlicher im Sinne der DSGVO beruhen, insbesondere auf einer fehlenden Rechtsgrundlage für die verarbeiteten Daten. Dies gilt nicht, soweit der Anspruch auf einer Pflichtverletzung von Nexagen beruht.

§ 5 Unterauftragsverarbeiter

(1) Nexagen ist berechtigt, weitere Unterauftragsverarbeiter einzusetzen oder bestehende auszutauschen. Die aktuelle Liste der eingesetzten Unterauftragsverarbeiter mit Firma, Sitz, Verarbeitungszweck und Verarbeitungsort ist in Anlage 2 zu diesem Vertrag benannt.

(2) Nexagen informiert den Verantwortlichen über die geplante Hinzuziehung oder den Austausch eines Unterauftragsverarbeiters mit einer Frist von zwei Wochen vor der geplanten Änderung in Textform. Widerspricht der Verantwortliche nicht innerhalb dieser Frist in Textform aus wichtigem Grund, gilt die Änderung als genehmigt.

(2a) Ist eine vorherige Ankündigung mit der Frist nach Absatz 2 aus dringenden Gründen nicht zumutbar, insbesondere weil der Einsatz eines Unterauftragsverarbeiters aus Sicherheits-, Verfügbarkeits- oder rechtlichen Gründen unaufschiebbar ist, ist Nexagen berechtigt, den Unterauftragsverarbeiter mit sofortiger Wirkung einzusetzen und den Verantwortlichen unverzüglich danach zu informieren. Das Widerspruchsrecht des Verantwortlichen nach Absatz 2 bleibt in diesem Fall nachträglich bestehen; Absatz 3 gilt entsprechend.

(3) Widerspricht der Verantwortliche fristgerecht aus wichtigem Grund, ist Nexagen berechtigt, den Vertrag zum Zeitpunkt der geplanten Änderung außerordentlich zu kündigen.

(4) Nexagen verpflichtet eingesetzte Unterauftragsverarbeiter zu den in diesem Vertrag vorgesehenen Datenschutzpflichten in vergleichbarem Umfang und bleibt für deren Einhaltung verantwortlich.

§ 6 Meldung von Datenschutzverletzungen

(1) Nexagen meldet dem Verantwortlichen eine Verletzung des Schutzes personenbezogener Daten gemäß Art. 33 Abs. 2 DSGVO unverzüglich, nachdem Nexagen hiervon Kenntnis erlangt hat.

(2) Die Meldung enthält, soweit zum Zeitpunkt der Meldung bekannt, die in Art. 33 Abs. 3 DSGVO genannten Angaben, insbesondere die Art der Verletzung, die Kategorien und ungefähre Anzahl der betroffenen Personen und Datensätze sowie die von Nexagen ergriffenen oder vorgeschlagenen Abhilfemaßnahmen. Nachträglich bekannt werdende Angaben werden unverzüglich nachgereicht.

(3) Nexagen unterstützt den Verantwortlichen auf Anfrage bei der Erfüllung von dessen eigenen Melde- und Benachrichtigungspflichten nach Art. 33 und 34 DSGVO.

§ 7 Unterstützung bei der Wahrnehmung von Betroffenenrechten

(1) Nexagen unterstützt den Verantwortlichen im Rahmen des technisch und organisatorisch Möglichen bei der Erfüllung von dessen Pflichten aus Art. 12 bis 22 DSGVO.

(2) Wendet sich eine betroffene Person unmittelbar an Nexagen, um Rechte nach Art. 12 bis 22 DSGVO geltend zu machen, leitet Nexagen diese Anfrage unverzüglich an den Verantwortlichen weiter, ohne selbst inhaltlich über die Anfrage zu entscheiden.

(3) Unterstützungsleistungen nach Absatz 1, die über den im Rahmen einer ordnungsgemäßen Vertragsdurchführung üblichen und angemessenen Umfang hinausgehen, insbesondere bei einer ungewöhnlich hohen Zahl von Anfragen oder einem ungewöhnlich hohen Bearbeitungsaufwand im Einzelfall, kann Nexagen dem Verantwortlichen nach den jeweils gültigen Stundensätzen in Rechnung stellen.

§ 8 Unterstützung bei Datenschutz-Folgenabschätzungen

(1) Nexagen unterstützt den Verantwortlichen auf Anfrage bei der Erstellung von Datenschutz-Folgenabschätzungen nach Art. 35 DSGVO sowie bei etwaigen vorherigen Konsultationen der Aufsichtsbehörde nach Art. 36 DSGVO, soweit dies unter Berücksichtigung der Art der Verarbeitung und der Nexagen vorliegenden Informationen erforderlich ist.

(2) § 7 Abs. 3 gilt entsprechend.

§ 9 Kontrollrechte des Verantwortlichen

(1) Der Verantwortliche ist berechtigt, sich in angemessenem Umfang von der Einhaltung der in dieser Vereinbarung getroffenen Regelungen zu überzeugen.

(2) Nexagen weist die Einhaltung insbesondere durch geeignete Nachweise nach, etwa durch aktuelle Bescheinigungen, Berichte oder Auszüge unabhängiger Stellen (z. B. Wirtschaftsprüfer, Datenschutzbeauftragte, IT-Sicherheitsauditoren) oder durch geeignete Zertifizierungen. Für die bei Unterauftragsverarbeitern eingesetzten Maßnahmen weist Nexagen die Einhaltung durch die von den jeweiligen Unterauftragsverarbeitern bereitgestellten Nachweise und Zertifizierungen nach, soweit Nexagen diese vorliegen.

(3) Reichen die von Nexagen vorgelegten Nachweise nach pflichtgemäßem Ermessen des Verantwortlichen nicht aus, kann der Verantwortliche nach vorheriger Ankündigung mit einer Frist von mindestens vier Wochen, unter Angabe des konkreten Prüfungsgegenstands, während der üblichen Geschäftszeiten und ohne Störung des Geschäftsbetriebs von Nexagen weitere Nachweise verlangen oder eine Vor-Ort-Prüfung durchführen. Der Kontrollumfang beschränkt sich auf höchstens eine Prüfung pro Kalenderjahr, sofern nicht ein konkreter, dokumentierter Anlass weitere Prüfungen rechtfertigt.

(3a) Der Kontrollumfang nach den Absätzen 1 bis 3 umfasst nicht die Einsicht in Quellcode, interne technische Implementierungsdetails, Geschäftsgeheimnisse oder die in § 10 Abs. 3 der Allgemeinen Geschäftsbedingungen genannten Prozess- und Prompt-Vorlagen von Nexagen, soweit die Einhaltung der in dieser Vereinbarung getroffenen Regelungen auch anderweitig, insbesondere durch die in Absatz 2 genannten Nachweise oder durch Erläuterung der eingesetzten Maßnahmen, nachgewiesen werden kann.

(4) Zieht der Verantwortliche einen Dritten zur Ausübung der Kontrolle hinzu, verpflichtet er diesen zuvor schriftlich zu Vertraulichkeit in vergleichbarem Umfang wie in dieser Vereinbarung vorgesehen. Der Dritte darf kein Wettbewerber von Nexagen sein.

(5) Die Kosten einer Kontrolle nach diesem Paragraphen trägt der Verantwortliche. Dazu gehören der interne Personalaufwand von Nexagen nach tatsächlich angefallenen Stunden, Reise- und Aufenthaltskosten sowie Kosten, die Unterauftragsverarbeiter Nexagen für ihre Mitwirkung in Rechnung stellen. Der interne Personalaufwand wird nach den zum Zeitpunkt der Kontrolle geltenden Stundensätzen von Nexagen berechnet. Das gilt nicht, wenn die Kontrolle einen Verstoß von Nexagen gegen diese Vereinbarung aufdeckt. Nexagen ist nicht verpflichtet, Vor-Ort-Prüfungen bei Unterauftragsverarbeitern zu organisieren, zu vermitteln oder zu finanzieren.

§ 10 Anbindung kundeneigener Systeme

(1) Zur Bereitstellung des Dienstes kann der Verantwortliche (a) ein von ihm genutztes E-Mail-Postfach (z. B. Google Gmail, Microsoft Outlook/Microsoft 365, oder ein sonstiges IMAP-fähiges Postfach) über eine vom Verantwortlichen autorisierte OAuth- oder IMAP-Verbindung sowie (b) ein von ihm genutztes ERP-System (z. B. Hero, PDS, KWP oder MFR) über eine vom Verantwortlichen autorisierte Schnittstelle mit der Plattform verbinden.

(2) Der Verantwortliche ist dafur verantwortlich, dass er über die erforderliche Rechtsgrundlage und vertragliche Berechtigung zur Nutzung dieser Systeme sowie zu deren Verbindung mit der Plattform verfügt.

(3) Die in Absatz 1 genannten E-Mail- und ERP-Anbieter des Verantwortlichen sind nicht Unterauftragsverarbeiter von Nexagen, sondern eigenständige, vom Verantwortlichen selbst beauftragte Dienstleister. Nexagen greift auf diese Systeme ausschließlich im Rahmen der vom Verantwortlichen erteilten Berechtigung und im zur Leistungserbringung erforderlichen Umfang zu.

(4) Nexagen übernimmt keine Verantwortung für die Verfügbarkeit, Sicherheit oder Rechtmäßigkeit der vom Verantwortlichen selbst gewählten und angebundenen Systeme.

§ 11 Löschung und Rückgabe von Daten

(1) Nach Beendigung der Erbringung der vertragsgegenständlichen Leistungen löscht Nexagen sämtliche im Rahmen dieser Vereinbarung verarbeiteten personenbezogenen Daten oder gibt sie nach Wahl des Verantwortlichen zurück, soweit der Verantwortliche dies verlangt und keine gesetzliche Pflicht zur weiteren Aufbewahrung besteht.

(1a) Die Rückgabe erfolgt in einem strukturierten, gängigen und maschinenlesbaren Format, soweit die jeweilige Datenkategorie dies zulässt, das von Nexagen im Rahmen der Plattform standardmäßig bereitgestellt wird. Ein darüber hinausgehender, individueller Aufbereitungsaufwand kann von Nexagen nach den jeweils gültigen Stundensätzen in Rechnung gestellt werden.

(2) Trifft der Verantwortliche keine Wahl, löscht oder anonymisiert Nexagen die produktiv genutzten Daten unverzüglich nach Beendigung der Leistungserbringung. Bei den von Nexagen eingesetzten Infrastruktur-Unterauftragsverarbeitern (Anlage 2), insbesondere dem Hosting-Unterauftragsverarbeiter, fortbestehende Restkopien, etwa in Backups, werden im Rahmen von deren eigenen Löschzyklen spätestens 90 Tage nach Beendigung der jeweiligen Hosting-Leistung entfernt; bei dem in Anlage 2 genannten Unterauftragsverarbeiter für den Azure OpenAI Service beträgt diese Frist bis zu 180 Tage.

(3) Gesetzliche Aufbewahrungspflichten, insbesondere nach § 147 AO und § 257 HGB, bleiben unberührt. Nexagen ist berechtigt, Daten, für die eine solche Pflicht besteht, für die Dauer der jeweiligen Aufbewahrungsfrist zu speichern; die Pflichten aus dieser Vereinbarung, insbesondere zur Vertraulichkeit, gelten insoweit fort.

(4) Nexagen ist berechtigt, Nachweise über die vertrags- und ordnungsgemäße Verarbeitung im Rahmen dieser Vereinbarung über das Vertragsende hinaus im gesetzlich zulässigen Umfang aufzubewahren.

(5) Ein Zurückbehaltungsrecht an den Daten steht Nexagen nicht zu. Auf Anfrage bestätigt Nexagen die erfolgte Löschung in Textform.

§ 12 Haftung

(1) Für die Haftung im Rahmen dieser Vereinbarung gelten die in § 16 der Allgemeinen Geschäftsbedingungen vereinbarten Haftungsbeschränkungen entsprechend.

(2) Nexagen haftet für das Verschulden von Unterauftragsverarbeitern wie für eigenes Verschulden.

(3) Wird Nexagen von einem Dritten, insbesondere einer betroffenen Person oder einer Aufsichtsbehörde, wegen eines Verstoßes in Anspruch genommen, der auf einer Pflichtverletzung des Verantwortlichen beruht, gilt die Freistellungsregelung in § 4 Abs. 5 entsprechend.

(4) Absatz 1 betrifft ausschließlich das Innenverhältnis zwischen den Parteien; die gesetzliche Außenhaftung von Nexagen gegenüber betroffenen Personen oder Aufsichtsbehörden nach Art. 82 DSGVO bleibt hiervon unberührt. Wird Nexagen nach Art. 82 Abs. 4 DSGVO für den gesamten Schaden in Anspruch genommen, obwohl der Verantwortliche für den Verstoß mitverantwortlich ist, kann Nexagen im Innenverhältnis nach Maßgabe von § 4 Abs. 5 sowie nach dem jeweiligen Verursachungs- und Verschuldensanteil Ausgleich vom Verantwortlichen verlangen (Art. 82 Abs. 5 DSGVO).

§ 13 Schlussbestimmungen

(1) Es gilt deutsches Recht.

(2) Änderungen und Ergänzungen dieser Vereinbarung bedürfen der Textform, soweit nicht ausdrücklich etwas anderes vereinbart ist. Dies gilt auch für die Änderung dieses Schriftformerfordernisses.

(3) Diese Vereinbarung ist Bestandteil des Nutzungsvertrags zwischen den Parteien und wird mit der Registrierung zur Nutzung der Nexagen-Software durch Zustimmung des Verantwortlichen wirksam.

(4) Sollten einzelne Bestimmungen dieser Vereinbarung unwirksam sein oder werden, bleibt die Wirksamkeit der übrigen Bestimmungen hiervon unberührt.

(5) Die Anlagen 1 bis 3 sind Bestandteil dieses Vertrags. Anlage 4 beschreibt Zielvorgaben nach Maßgabe des dortigen Vorbehalts.

Anlage 1: Verarbeitungstätigkeiten

Die folgenden Verarbeitungstätigkeiten konkretisieren beispielhaft die in § 1 Abs. 2 genannten Zwecke zum Zeitpunkt des Vertragsschlusses. Die Aufzählung ist nicht abschließend; gleichartige Verarbeitungstätigkeiten im Rahmen der in § 1 Abs. 2 genannten Zwecke bedürfen keiner gesonderten Aufnahme in diese Anlage.

1. E-Mail-Synchronisation und -Speicherung

• Zweck: Abruf und Speicherung von E-Mails des Verantwortlichen zur Automatisierung.
• Daten: E-Mail-Inhalte, Metadaten, Anhänge.
• Betroffene: Nutzer, deren E-Mail-Kontakte.

2. KI-gestützte E-Mail-Klassifizierung und Datenextraktion

• Zweck: Automatisierte Kategorisierung von E-Mails und Extraktion strukturierter Geschäftsdaten.
• Daten: E-Mail-Inhalte und -Metadaten, Geschäftsprofil-Informationen.
• Betroffene: Nutzer, deren E-Mail-Kontakte.

3. Automatisierte E-Mail-Antwort-Generierung

• Zweck: KI-gestützte Erstellung von Antwortentwürfen.
• Daten: E-Mail-Inhalte und -Metadaten.
• Betroffene: Nutzer, deren E-Mail-Kontakte.

4. Automatisierte Anhang-Analyse

• Zweck: Beschreibung und Text-Extraktion aus Bild- und PDF-Anhängen.
• Daten: Anhangsinhalte.
• Betroffene: Nutzer, deren E-Mail-Kontakte.

5. ERP-System-Synchronisation

• Zweck: Abgleich von Rechnungen, Dokumenten, Serviceaufträgen mit vom Verantwortlichen angebundenen ERP-Systemen.
• Daten: Geschäftsdaten, Kontaktdaten von Endkunden und Mitarbeitenden des Verantwortlichen.
• Betroffene: Endkunden und Beschäftigte des Verantwortlichen.

6. Workflow-Ausführung und -Protokollierung

• Zweck: Automatisierung von Geschäftsprozessen, Nachvollziehbarkeit der Ausführung.
• Daten: Ein- und Ausgabedaten der Automatisierungen.
• Betroffene: Nutzer, Endkunden, Kontakte.

7. Terminplanung und Geokodierung

• Zweck: Automatisierte Terminplanung, Routenoptimierung.
• Daten: Adressdaten, geokodierte Koordinaten.
• Betroffene: Endkunden des Verantwortlichen.

8. Benutzerverwaltung und Authentifizierung

• Zweck: Kontoerstellung, Anmeldung, Sitzungsverwaltung.
• Daten: Zugangsdaten, Authentifizierungstoken, Sitzungsdaten.
• Betroffene: Nutzer.

Anlage 2: Unterauftragsverarbeiter

Die Übermittlung an Tigris Data, Inc. (USA) erfolgt im Rahmen des mit Fly.io, Inc. bestehenden Unterauftragsverhältnisses; Tigris ist bei Fly.io als eigener Unterauftragsverarbeiter auf der von Fly.io geführten öffentlichen Liste erfasst und über die dort vereinbarten EU-Standardvertragsklauseln (Beschluss (EU) 2021/914) abgesichert. Die Verarbeitung durch Microsoft Ireland Operations Limited erfolgt im Rahmen der von Microsoft zugesagten EU-Datengrenze; soweit im Einzelfall dennoch eine Übermittlung außerhalb der EU/des EWR erfolgen sollte, stützt sich diese hilfsweise auf die EU-Standardvertragsklauseln (Beschluss (EU) 2021/914) bzw. die Selbstzertifizierung von Microsoft unter dem EU-US Data Privacy Framework, soweit einschlägig.

Anlage 3: Technische und Organisatorische Maßnahmen (Art. 32 DSGVO)

(1) Der Auftragsverarbeiter verpflichtet sich, geeignete technische und organisatorische Maßnahmen gemäß Art. 32 DSGVO umzusetzen und aufrechtzuerhalten.

(2) Die einzelnen Maßnahmen sind in einem gesonderten Dokument beschrieben. Es ist unter hilfe.nexagen.io/article/technische-und-organisatorische-massnahmen für den Verantwortlichen über die Plattform abrufbar. Frühere Fassungen bleiben dort abrufbar. Bestandteil dieses Vertrags ist das Dokument in seiner jeweils geltenden Fassung. Ausgangsfassung ist Version 1.1 vom 12.10.2026. Ihr Schutzniveau darf bei Anpassungen nach Absatz 3 nicht unterschritten werden. Auf Anfrage stellt der Auftragsverarbeiter die geltende sowie frühere Fassungen in Textform zur Verfügung.

(3) Der Auftragsverarbeiter darf die Maßnahmen an den technischen Fortschritt und an veränderte Anforderungen anpassen. Einer Vertragsänderung nach § 13 Abs. 2 bedarf es hierfür nicht. Jede Anpassung wird in einer neuen Fassung mit Versionsnummer und Gültigkeitsdatum dokumentiert, die die bisherige Fassung ab diesem Datum ersetzt. Wesentliche Anpassungen teilt der Auftragsverarbeiter dem Verantwortlichen vorab in Textform mit, dringende sicherheitsrelevante Anpassungen unverzüglich danach.

Anlage 4: Aufbewahrung während der Vertragslaufzeit

Über die in § 11 geregelte Löschung nach Vertragsende hinaus gelten für die in Anlage 1 genannten Verarbeitungstätigkeiten während der laufenden Vertragslaufzeit folgende Zielfristen:

• E-Mail-Inhalte, Anhänge, generierte Antwortentwürfe: Aufbewahrung für die Dauer der Nutzung der jeweiligen Automatisierung. Wird eine Automatisierung deaktiviert, richtet sich die weitere Aufbewahrung nach § 11.
• Aus ERP-Systemen gespiegelte Daten (Rechnungen, Dokumente, Serviceaufträge): ebenfalls für die Dauer der Nutzung der jeweiligen Automatisierung. Etwaige eigene handels- oder steuerrechtliche Aufbewahrungspflichten des Verantwortlichen bleiben hiervon unberührt und sind von ihm im führenden System (in der Regel dem angebundenen ERP-System) zu erfüllen.
• Workflow-Ausführungsprotokolle: Zielfrist von 2 Jahren nach der jeweiligen Ausführung, orientiert an der technischen Notwendigkeit für Nachvollziehbarkeit und Fehleranalyse.

Eine vorzeitige, gesonderte Löschung einzelner Daten auf Weisung des Verantwortlichen bleibt unberührt.

Nexagen GmbH

Kolonnenstraße 8, 10827 Berlin

Handelsregister: HRB 274476 B, Amtsgericht Charlottenburg

Vertreten durch die Geschäftsführer Richard Sander, Jasin Islami und Arne Stolle