Auftragsverarbeitung
Stand: 17. August 2026 · Fassung 2026-08-17
§ 1 Gegenstand und Dauer
(1) Der Auftragnehmer stellt dem Auftraggeber die Software „Maklora“ bereit. Dabei verarbeitet er personenbezogene Daten im Auftrag des Auftraggebers.
(2) Die Dauer entspricht der Laufzeit des Hauptvertrages.
§ 2 Art, Umfang und Zweck
Verarbeitet werden personenbezogene Daten ausschließlich, soweit dies zur Erbringung der vertraglich vereinbarten Leistungen erforderlich ist: Speicherung, Anzeige, Änderung, Übermittlung an vom Auftraggeber bestimmte Empfänger und Löschung.
Kategorien betroffener Personen: Interessenten und Kunden des Auftraggebers sowie dessen Mitarbeitende.
| Kategorie | Beispiele |
|---|---|
| Stammdaten | Name, Anschrift, Geburtsdatum |
| Kontaktdaten | E-Mail-Adresse, Telefonnummer |
| Vertragsdaten | Verträge, Policen, Laufzeiten, Beiträge |
| Dokumente | Renteninformationen, Vertragsunterlagen, Vollmachten |
| Nutzungsdaten | Anmeldezeitpunkte, Gerätekennungen für Benachrichtigungen |
§ 2a Besondere Kategorien personenbezogener Daten
(1) Die Software ist nicht darauf angelegt, besondere Kategorien personenbezogener Daten im Sinne des Art. 9 Abs. 1 DSGVO (insbesondere Gesundheitsdaten) zu verarbeiten. Stellt der Auftraggeber gleichwohl solche Daten ein — etwa in Dokumenten zur Kranken- oder Berufsunfähigkeitsversicherung —, geschieht dies auf seine Weisung.
(2) Der Auftraggeber stellt vor dem Einstellen solcher Daten sicher, dass eine Rechtsgrundlage nach Art. 9 Abs. 2 DSGVO vorliegt, in der Regel die ausdrückliche Einwilligung der betroffenen Person, und dass eine erforderliche Entbindung von der Schweigepflicht erteilt ist.
(3) Der Auftragnehmer wendet auf sämtliche Daten die Maßnahmen nach § 5 an; eine inhaltliche Prüfung der eingestellten Dokumente findet nicht statt.
§ 3 Weisungsrecht
(1) Der Auftragnehmer verarbeitet Daten ausschließlich auf dokumentierte Weisung des Auftraggebers, es sei denn, er ist gesetzlich zur Verarbeitung verpflichtet.
(2) Weisungen erfolgen in Textform. Der Auftragnehmer informiert den Auftraggeber unverzüglich, wenn eine Weisung nach seiner Auffassung gegen datenschutzrechtliche Vorschriften verstößt.
§ 4 Vertraulichkeit
Der Auftragnehmer setzt zur Verarbeitung nur Personen ein, die zur Vertraulichkeit verpflichtet sind oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen.
§ 4a Verpflichtung als mitwirkende Person (§ 203 StGB)
(1) Die Parteien gehen davon aus, dass der Auftraggeber als Versicherungsvermittler einer Schweigepflicht nach § 203 Abs. 1 Nr. 6 StGB unterliegen kann und dass der Auftragnehmer bei der Erbringung seiner Leistungen als mitwirkende Person im Sinne des § 203 Abs. 3 Satz 2 StGB tätig wird.
(2) Der Auftragnehmer verpflichtet sich, fremde Geheimnisse, die ihm bei der Erbringung der Leistungen bekannt werden, nicht unbefugt zu offenbaren. Diese Verpflichtung besteht über das Vertragsende hinaus fort.
(3) Der Auftragnehmer verpflichtet die von ihm eingesetzten Beschäftigten und weiteren mitwirkenden Personen entsprechend und weist sie auf die Strafbarkeit nach § 203 Abs. 4 StGB hin.
(4) Der Auftragnehmer offenbart Geheimnisse gegenüber weiteren mitwirkenden Personen nur, soweit dies für die Leistungserbringung erforderlich ist und die betreffende Person entsprechend verpflichtet wurde.
§ 5 Technische und organisatorische Maßnahmen (Art. 32 DSGVO)
| Bereich | Maßnahme |
|---|---|
| Verschlüsselung Transport | TLS für alle Verbindungen, HSTS |
| Verschlüsselung Speicherung | Verschlüsselung der Datenbank und Datei-Ablage beim Hoster |
| Zugriffskontrolle | Row Level Security auf Datenbankebene; jeder Mandant kann technisch ausschließlich eigene Daten lesen |
| Zugangskontrolle | Anmeldung über Supabase Auth, Passwortanforderungen, Begrenzung von Anmeldeversuchen |
| Trennungskontrolle | Mandantentrennung über eine Mandantenkennung auf jedem Datensatz, durchgesetzt per Datenbank-Policy |
| Eingabekontrolle | Jeder Datensatz trägt Zeitstempel von Anlage und letzter Änderung. Unterschriftsvorgänge werden serverseitig mit Zeitpunkt, kryptografischem Fingerabdruck des Wortlauts, gekürzter Netzkennung und verwendetem Programm festgehalten und sind nachträglich durch keine Vertragspartei veränderbar. |
| Übertragungskontrolle | Dokumentenabruf über zeitlich begrenzte, signierte Links statt dauerhafter Adressen; keine öffentlich lesbare Datei-Ablage |
| Verfügbarkeit | Automatische Sicherungen durch den Hoster |
| Belastbarkeit | Sicherheits-Header einschließlich Content-Security-Policy, Schutz vor automatisierten Anfragen |
| Ort der Verarbeitung | Datenbank und Dateien in Frankfurt am Main |
§ 6 Unterauftragsverarbeiter
(1) Der Auftraggeber stimmt dem Einsatz folgender Unterauftragsverarbeiter zu:
| Unternehmen | Leistung | Ort |
|---|---|---|
| Supabase Inc. | Datenbank, Datei-Ablage, Anmeldung | EU (Frankfurt am Main) |
| Vercel Inc. | Hosting der Anwendung | EU / USA |
| Resend (Plus Five Five, Inc.) | Versand von System-E-Mails | USA |
(2) Weitere Unterauftragsverarbeiter teilt der Auftragnehmer mindestens vier Wochen vorher in Textform mit. Der Auftraggeber kann innerhalb von zwei Wochen aus wichtigem Grund widersprechen.
(3) Bei Übermittlungen in Drittländer stellt der Auftragnehmer ein angemessenes Schutzniveau sicher, insbesondere über die Standardvertragsklauseln der EU-Kommission.
§ 7 Unterstützungspflichten
Der Auftragnehmer unterstützt den Auftraggeber bei der Beantwortung von Betroffenenanfragen, bei Datenschutz-Folgenabschätzungen und bei Meldungen nach Art. 33, 34 DSGVO. Von einer Verletzung des Schutzes personenbezogener Daten unterrichtet er den Auftraggeber unverzüglich, spätestens innerhalb von 24 Stunden nach Kenntnis.
§ 8 Löschung und Rückgabe
Nach Beendigung des Hauptvertrages stellt der Auftragnehmer die Daten 30 Tage zum Export bereit und löscht sie anschließend einschließlich der Sicherungskopien, soweit keine gesetzliche Aufbewahrungspflicht besteht.
§ 9 Nachweise und Kontrolle
Der Auftragnehmer weist die Einhaltung der Pflichten auf Anforderung nach. Vor-Ort-Kontrollen sind nach angemessener Vorankündigung während der üblichen Geschäftszeiten zulässig und dürfen den Betrieb nicht unangemessen beeinträchtigen.