Vertrag zur Auftragsverarbeitung

Stand: 5. November 2026 · Version 2026-11-05 · nach Art. 28 DSGVO

Vertragsparteien

Auftragsverarbeiter: LSN-Studios – Leon Schneider, c/o Postflex #7697, Emsdettener Str. 10, 48268 Greven, Deutschland, E-Mail: privacy [at] eolaro.com (nachfolgend „Auftragsverarbeiter“).

Verantwortlicher: das Unternehmen bzw. die Organisation, die in EOLARO eine Organisation unterhält, mit den dort hinterlegten Angaben (nachfolgend „Verantwortlicher“).

Der Verantwortliche bestimmt die Zwecke und Mittel der Verarbeitung der Daten, die er in EOLARO verarbeitet. Der Auftragsverarbeiter verarbeitet diese Daten ausschließlich in seinem Auftrag und nach Maßgabe dieses Vertrags.

§ 1 Gegenstand, Dauer und Abschluss

(1) Gegenstand dieses Vertrags ist die Verarbeitung personenbezogener Daten durch den Auftragsverarbeiter bei der Bereitstellung und dem Betrieb der Software-as-a-Service-Anwendung EOLARO. Art, Umfang, Zweck und Kategorien der Verarbeitung ergeben sich aus diesem Vertrag und seinen Anlagen 1 bis 5.

(2) Dieser Vertrag ist Bestandteil der Nutzungsbedingungen von EOLARO. Er wird mit der Annahme der Nutzungsbedingungen beim Anlegen der Organisation geschlossen; eines gesonderten Abschlusses oder einer Unterschrift bedarf es nicht. Der Auftragsverarbeiter speichert Fassung, Zeitpunkt und annehmende Person.

(3) Der Vertrag gilt für die Dauer des Nutzungsvertrags und darüber hinaus, solange der Auftragsverarbeiter Daten des Verantwortlichen verarbeitet.

§ 2 Weisungen

(1) Der Auftragsverarbeiter verarbeitet personenbezogene Daten nur auf dokumentierte Weisung des Verantwortlichen, sofern er nicht durch das Recht der Union oder eines Mitgliedstaats zur Verarbeitung verpflichtet ist. In diesem Fall teilt er dem Verantwortlichen diese Verpflichtung vor der Verarbeitung mit, sofern das betreffende Recht dies nicht verbietet.

(2) Die Nutzungsbedingungen, dieser Vertrag und die Einstellungen und Handlungen des Verantwortlichen in EOLARO bilden die Weisungen. Dazu gehören insbesondere das Anlegen, Ändern und Löschen von Inhalten, die Vergabe von Rollen, die Einrichtung von Webhooks und des automatischen Abgleichs sowie das Löschen der Organisation.

(3) Weitere Weisungen erteilt der Verantwortliche in Textform an privacy [at] eolaro.com. Weisungen, die über die vereinbarte Leistung hinausgehen, werden nach vorheriger Abstimmung über Umsetzbarkeit und angemessene Kosten ausgeführt.

(4) Ist der Auftragsverarbeiter der Ansicht, dass eine Weisung gegen Datenschutzvorschriften verstößt, informiert er den Verantwortlichen unverzüglich. Er darf die Ausführung bis zur Bestätigung oder Änderung der Weisung aussetzen.

(5) Der Auftragsverarbeiter verarbeitet die Daten nicht zu eigenen Zwecken. Er wertet sie nicht aus, bildet keine Profile, verkauft sie nicht, nutzt sie nicht für Werbung und nicht zum Training von KI-Modellen. Verarbeitungen zur Bereitstellung, Sicherheit, Fehleranalyse und Missbrauchsabwehr bleiben auf das hierfür Erforderliche beschränkt.

§ 3 Pflichten des Verantwortlichen

(1) Der Verantwortliche ist für die Rechtmäßigkeit der Verarbeitung verantwortlich, insbesondere dafür, dass eine Rechtsgrundlage besteht und betroffene Personen – etwa seine Mitglieder – informiert werden.

(2) Der Verantwortliche verarbeitet in EOLARO nur Daten, die für die Überwachung seiner Technologien erforderlich sind. Besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO und Daten nach Art. 10 DSGVO verarbeitet er in EOLARO nicht.

(3) Der Verantwortliche überwacht mit EOLARO nur Systeme, für die er berechtigt ist. Hinterlegt er Zugangsdaten für Endpunkte oder Webhook-Ziele, ist er für deren Rechtmäßigkeit verantwortlich.

(4) Verarbeitet der Verantwortliche in EOLARO Daten im Auftrag eines Dritten – etwa als Agentur für eigene Kunden –, ist er gegenüber diesem Dritten selbst Auftragsverarbeiter. Er stellt sicher, dass er den Auftragsverarbeiter als weiteren Auftragsverarbeiter einsetzen darf und die Pflichten aus seinem Vertrag mit dem Dritten an diesen Vertrag weitergegeben sind. Der Auftragsverarbeiter unterstützt ihn dabei im Rahmen dieses Vertrags.

(5) Der Verantwortliche informiert den Auftragsverarbeiter unverzüglich, wenn er Fehler oder Unregelmäßigkeiten bei der Verarbeitung feststellt.

§ 4 Vertraulichkeit

(1) Der Auftragsverarbeiter setzt nur Personen ein, die zur Vertraulichkeit verpflichtet sind oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen und mit den Datenschutzanforderungen vertraut sind. Die Verpflichtung gilt über das Ende der Tätigkeit hinaus.

(2) Administrativer Zugriff auf die Infrastruktur erfolgt nur, soweit er für Betrieb, Wartung, Sicherheit oder Support erforderlich ist. Inhalte des Verantwortlichen werden dabei nur eingesehen, soweit dies für den jeweiligen Zweck, etwa eine vom Verantwortlichen gewünschte Fehleranalyse, unvermeidbar ist.

§ 5 Technische und organisatorische Maßnahmen

(1) Der Auftragsverarbeiter trifft die in Anlage 5 beschriebenen Maßnahmen nach Art. 32 DSGVO.

(2) Die Maßnahmen werden unter Berücksichtigung des Stands der Technik, der Kosten und der Risiken weiterentwickelt. Änderungen sind zulässig, soweit das Schutzniveau nicht unterschritten wird. Wesentliche Änderungen teilt der Auftragsverarbeiter dem Verantwortlichen mit.

§ 6 Unterstützung des Verantwortlichen

(1) Der Auftragsverarbeiter unterstützt den Verantwortlichen mit geeigneten technischen und organisatorischen Maßnahmen bei der Beantwortung von Anträgen betroffener Personen nach Kapitel III DSGVO. Mitglieder können ihren Namen und ihre E-Mail-Adresse selbst ändern; Inhalte kann der Verantwortliche in EOLARO selbst berichtigen und löschen.

(2) Wendet sich eine betroffene Person mit einem Anliegen zu Daten des Verantwortlichen an den Auftragsverarbeiter, leitet dieser die Anfrage unverzüglich an den Verantwortlichen weiter.

(3) Der Auftragsverarbeiter unterstützt den Verantwortlichen bei der Einhaltung der Pflichten nach Art. 32 bis 36 DSGVO unter Berücksichtigung der Art der Verarbeitung und der ihm zur Verfügung stehenden Informationen.

§ 7 Meldung von Datenschutzverletzungen

(1) Der Auftragsverarbeiter meldet dem Verantwortlichen eine Verletzung des Schutzes personenbezogener Daten unverzüglich, spätestens innerhalb von 72 Stunden nach Kenntniserlangung, in Textform an die E-Mail-Adressen der Admins der Organisation.

(2) Die Meldung enthält, soweit bekannt, die Art der Verletzung, die Kategorien und ungefähre Zahl der betroffenen Personen und Datensätze, eine Ansprechperson, die wahrscheinlichen Folgen sowie die ergriffenen oder vorgeschlagenen Maßnahmen. Fehlende Informationen werden unverzüglich nachgereicht.

(3) Der Auftragsverarbeiter dokumentiert Verletzungen und unterstützt den Verantwortlichen bei dessen Melde- und Benachrichtigungspflichten nach Art. 33 und 34 DSGVO.

§ 8 Nachweise und Kontrollen

(1) Der Auftragsverarbeiter stellt dem Verantwortlichen auf Anfrage die Informationen zur Verfügung, die zum Nachweis der Einhaltung seiner Pflichten erforderlich sind, insbesondere eine aktuelle Beschreibung der Maßnahmen nach Anlage 5 und die Nachweise zu den Unterauftragnehmern.

(2) Der Verantwortliche kann die Einhaltung selbst oder durch einen zur Verschwiegenheit verpflichteten Prüfer kontrollieren. Kontrollen erfolgen vorrangig anhand von Unterlagen und Auskünften. Eine Vor-Ort-Kontrolle ist mit einer Frist von mindestens zehn Werktagen anzukündigen und während üblicher Geschäftszeiten durchzuführen; bei einem konkreten Anlass kann die Frist angemessen verkürzt werden. Rechte und Daten anderer Kunden sowie Geschäftsgeheimnisse sind zu wahren.

(3) Angemessene Kosten einer vom Verantwortlichen veranlassten Kontrolle trägt der Verantwortliche, sofern kein erheblicher Verstoß des Auftragsverarbeiters festgestellt wird. Rechte der Aufsichtsbehörden bleiben unberührt.

§ 9 Unterauftragsverarbeiter

(1) Der Verantwortliche genehmigt die in Anlage 4 genannten Unterauftragsverarbeiter für die dort beschriebenen Leistungen und Orte.

(2) Der Auftragsverarbeiter informiert den Verantwortlichen mindestens vier Wochen vor der Hinzuziehung oder Ersetzung eines Unterauftragsverarbeiters in Textform, mit Name, Anschrift, Leistung und Ort der Verarbeitung. Der Verantwortliche kann innerhalb dieser Frist aus wichtigem datenschutzrechtlichem Grund in Textform widersprechen.

(3) Die Parteien suchen bei einem Widerspruch nach einer einvernehmlichen Lösung. Gelingt dies nicht innerhalb von vier Wochen, kann der Verantwortliche den Nutzungsvertrag mit einer Frist von zwei Wochen außerordentlich kündigen; für bereits bezahlte Zeiträume danach erhält er eine anteilige Erstattung.

(4) Der Auftragsverarbeiter verpflichtet jeden Unterauftragsverarbeiter vertraglich auf Datenschutzpflichten, die denen dieses Vertrags entsprechen. Er haftet gegenüber dem Verantwortlichen für die Einhaltung dieser Pflichten durch den Unterauftragsverarbeiter.

(5) Keine Unterauftragsverarbeitung sind Leistungen, bei denen der Auftragsverarbeiter keine personenbezogenen Daten des Verantwortlichen übermittelt oder die der Verantwortliche selbst als Empfänger bestimmt; Anlage 4 Nr. 2 nennt diese.

§ 10 Übermittlung in Drittländer

(1) Die Verarbeitung findet in der Europäischen Union statt. Eine Übermittlung in ein Drittland oder an eine internationale Organisation erfolgt nur, wenn die Voraussetzungen von Kapitel V DSGVO erfüllt sind und Anlage 4 dies vorsieht.

(2) Der Auftragsverarbeiter informiert den Verantwortlichen, soweit rechtlich zulässig, über Anfragen von Behörden oder Gerichten aus Drittländern, die Daten des Verantwortlichen betreffen.

§ 11 Löschung und Rückgabe

(1) Der Verantwortliche kann Inhalte jederzeit in EOLARO selbst löschen. Mit dem Löschen der Organisation werden alle Inhalte, Mitgliedschaften und – soweit sie keiner anderen Organisation angehören – die Konten der Mitglieder gelöscht.

(2) Nach Ende des Nutzungsvertrags löscht der Auftragsverarbeiter die Daten des Verantwortlichen innerhalb von 30 Tagen, soweit nicht eine gesetzliche Pflicht zur Aufbewahrung besteht. Auf Verlangen des Verantwortlichen, das vor der Löschung in Textform zu stellen ist, stellt er die Daten zuvor in einem gängigen, maschinenlesbaren Format (JSON) bereit.

(3) Datensicherungen werden nach einem festen Schema spätestens nach sechs Monaten gelöscht. Bis dahin bleiben gelöschte Daten nur in diesen verschlüsselten Sicherungen erhalten und werden ausschließlich zur Wiederherstellung nach einem Störfall verwendet. Wird eine Sicherung wiederhergestellt, löscht der Auftragsverarbeiter bereits gelöschte Daten erneut.

(4) Auf Anfrage bestätigt der Auftragsverarbeiter die Löschung in Textform.

§ 12 Haftung

Für die Haftung gegenüber betroffenen Personen gilt Art. 82 DSGVO. Im Verhältnis der Parteien gelten die Haftungsregelungen der Nutzungsbedingungen, soweit dieser Vertrag nichts anderes bestimmt.

§ 13 Schlussbestimmungen

(1) Bei Widersprüchen zwischen diesem Vertrag und den Nutzungsbedingungen geht dieser Vertrag für die Verarbeitung personenbezogener Daten vor.

(2) Änderungen dieses Vertrags teilt der Auftragsverarbeiter nach dem in den Nutzungsbedingungen vorgesehenen Verfahren mit; § 9 bleibt unberührt.

(3) Es gilt deutsches Recht. Ausschließlicher Gerichtsstand ist Mainz, sofern der Verantwortliche Kaufmann, juristische Person des öffentlichen Rechts oder öffentlich-rechtliches Sondervermögen ist.

(4) Dieser Vertrag liegt auf Deutsch und Englisch vor; bei Abweichungen geht die deutsche Fassung vor. Sollte eine Bestimmung unwirksam sein, bleibt der Vertrag im Übrigen wirksam.

Anlage 1 – Gegenstand, Art und Zweck der Verarbeitung

Gegenstand: Bereitstellung und Betrieb von EOLARO zur Erfassung der Technologien des Verantwortlichen und zum automatischen Abgleich mit öffentlichen Quellen auf Schwachstellen, End of Life und Updates.

Art der Verarbeitung:

• Speichern, Anzeigen, Ändern und Löschen der Inhalte der Organisation
• Verwalten von Mitgliedschaften, Rollen und Zuweisungen
• Entgegennehmen und Abrufen von Versionsangaben (Lockfiles, Versionslisten, Versions-Endpunkte) und deren Auswertung
• Abgleich mit öffentlichen Quellen anhand von Paket- und Produktnamen sowie Versionen
• Versand von Benachrichtigungen per E-Mail und an vom Verantwortlichen eingerichtete Webhooks
• Erstellen von Berichten
• automatisches Löschen nach den in Anlage 3 genannten Fristen
• Sichern und Wiederherstellen im Rahmen des Betriebs

Zweck: Erbringung der Leistungen nach den Nutzungsbedingungen, einschließlich sicherem und stabilem Betrieb.

Anlage 2 – Kategorien betroffener Personen

• Mitglieder der Organisation (Beschäftigte und Beauftragte des Verantwortlichen)
• Personen, die in Inhalten der Organisation genannt sind, etwa als Ansprechpartner in Kundenbezeichnungen oder als Inhaber einer Domain
• Personen, deren Daten in vom Verantwortlichen bestimmten Webhook-Nachrichten oder Integrationen enthalten sind

Anlage 3 – Kategorien personenbezogener Daten und Speicherdauer

Mitglieder: Name, E-Mail-Adresse, Rolle, Mitgliedschaft, Zuordnung zu Projekten, Zuweisung von Findings, auslösende Person und Zeitpunkt von Statusänderungen. Gespeichert, solange die Mitgliedschaft besteht; beim Austritt werden Zuordnungen und Zuweisungen entfernt.

Inhalte der Organisation: Name der Organisation, Bezeichnungen von Kunden, Projekte mit Name und Domain, Technologien mit Name, Version, Paket- oder Produktkennung und Quelle, Findings mit Status und Zeitpunkten, Ergebnis und Fehlermeldung des letzten Abgleichs. Gespeichert, bis der Verantwortliche sie löscht. Erledigte Findings werden automatisch gelöscht: Update-Hinweise 90 Tage, Schwachstellen und End-of-Life-Hinweise 24 Monate nach Erledigung.

Integrations- und Zugangsdaten: Webhook-Adressen, Format, Signaturschlüssel und optionale Zugangsdaten für das Ziel; Abgleich-Token (nur als Hashwert), Abruf-Adresse; Zugangsdaten für geschützte Versions-Endpunkte (verschlüsselt, nur für den Server lesbar). Gespeichert, bis der Verantwortliche sie ändert oder löscht.

Übermittelte Versionsangaben: Inhalte von Lockfiles und Versionslisten. Lockfiles können neben Paketnamen und Versionen weitere Angaben enthalten, etwa Adressen privater Paket-Registries oder Repositories. Die Dateien werden nur im Arbeitsspeicher ausgewertet; gespeichert werden ausschließlich die erkannten Paketnamen und Versionen, nicht die Dateien und keine weiteren Angaben daraus.

Benachrichtigungen: Inhalte der E-Mails (Angaben zu Technologien, Findings und Projekten) und Empfänger. Kopien versendeter E-Mails werden nach 30 Tagen gelöscht. Webhook-Nachrichten werden nicht gespeichert.

Die Verarbeitung besonderer Kategorien personenbezogener Daten (Art. 9 DSGVO) und von Daten nach Art. 10 DSGVO ist nicht vorgesehen und nach § 3 Abs. 2 ausgeschlossen.

Anlage 4 – Unterauftragsverarbeiter und sonstige Empfänger

1. Genehmigte Unterauftragsverarbeiter

Öffentlich abrufbare Unterlagen der Unterauftragsverarbeiter: netcup Datenschutzerklärung; Hetzner Datenschutzerklärung und Muster des Vertrags zur Auftragsverarbeitung; ALL-INKL.COM Datenschutzinformationen; Brevo Datenschutzerklärung und Nutzungsbedingungen mit Vertrag zur Auftragsverarbeitung; Sentry Datenschutzerklärung, Data Processing Addendum und Liste der Unterauftragsverarbeiter. Die Verträge mit netcup und ALL-INKL.COM sind nicht öffentlich; sie werden dem Verantwortlichen nach § 8 auf Anfrage nachgewiesen.

2. Keine Unterauftragsverarbeiter

• Öffentliche Datenquellen (u. a. OSV.dev, GitHub Advisory Database, deps.dev, endoflife.date, CISA KEV, VulnCheck KEV und NVD++, FIRST EPSS, Paket-Verzeichnisse): Der Server fragt sie nur mit Paket- und Produktnamen und Versionen ab, ohne personenbezogene Daten und ohne Zuordnung zum Verantwortlichen.
• Stripe Payments Europe, Limited (Link): Stripe verkauft die Tarife über Stripe Managed Payments als Händler (Merchant of Record) und verarbeitet die dafür nötigen Daten als eigener Verantwortlicher. Daten des Verantwortlichen aus EOLARO erhält Stripe nicht.
• Vom Verantwortlichen bestimmte Empfänger: Webhook-Ziele (z. B. Slack, Microsoft Teams, Discord) und Adressen für den automatischen Abgleich wählt der Verantwortliche selbst; die Übermittlung erfolgt auf seine Weisung.
• Software-Hersteller: Server- und Datenbanksoftware betreibt der Auftragsverarbeiter selbst; an deren Hersteller werden keine Daten übermittelt.

Anlage 5 – Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

Die Maßnahmen beschreiben das Schutzniveau zum Stand dieses Vertrags. Sie werden risikoorientiert weiterentwickelt, ohne das Schutzniveau zu unterschreiten.

1. Zutrittskontrolle

Der Server steht in einem Rechenzentrum der netcup GmbH in Wien, die Datensicherungen liegen in Rechenzentren der Hetzner Online GmbH in der Europäischen Union. Die physische Sicherung (Zutrittsregelung, Videoüberwachung, Brandschutz, unterbrechungsfreie Stromversorgung) gewährleisten die Rechenzentrumsbetreiber; sie ist vertraglich abgesichert. Der Auftragsverarbeiter hat keinen physischen Zugang zu den Systemen.

2. Zugangskontrolle

• Administration des Servers nur per SSH mit Schlüssel; keine Anmeldung mit Passwort
• Zugang zur Verwaltung der Datenbank und zu den Kundenbereichen der Dienstleister nur für den Auftragsverarbeiter, geschützt durch starke, einmalige Passwörter und, soweit verfügbar, Zwei-Faktor-Authentifizierung
• vollständige Verschlüsselung der Datenträger des Servers (Verschlüsselung ruhender Daten)
• Anmeldung in EOLARO ohne Passwort über einen sechsstelligen, 15 Minuten gültigen Einmal-Code per E-Mail
• Begrenzung der Anfragen je Konto und Aktion zur Abwehr automatisierter Angriffe

3. Zugriffskontrolle

• Rollenmodell innerhalb der Organisation (Admin, Kundenbetreuung, Developer) mit abgestuften Rechten
• Zugriffsrechte auf Datenbankebene je Organisation; ein organisationsübergreifender Zugriff ist über die Anwendung nicht möglich
• Zugangsdaten für Versions-Endpunkte liegen in einer verschlüsselten Spalte ohne Lese- oder Schreibrechte für Nutzer; nur der Server kann sie verwenden
• Abgleich-Tokens werden nur als Hashwert gespeichert
• Schlüssel für Zahlungsdienste und Signaturen liegen nur als geschützte Variablen auf dem Server, nicht in der App

4. Trennungskontrolle

Die Daten verschiedener Organisationen werden logisch getrennt; jede Zeile trägt die Kennung ihrer Organisation und die Rechte werden je Organisation vergeben. Der gemeinsame Zwischenspeicher für Antworten öffentlicher Quellen enthält keine Kundendaten.

5. Weitergabekontrolle

• Übertragung ausschließlich verschlüsselt über HTTPS (TLS)
• Webhooks im JSON-Format sind mit HMAC-SHA256 über Zeitstempel und Inhalt signiert
• Übermittlungen an EOLARO im automatischen Abgleich nur über HTTPS mit dem Token des Projekts (gespeichert nur als Hashwert), mit Größen- und Ratenbegrenzung; ausgewertet werden nur bekannte Formate, Fehlermeldungen enthalten keine Inhalte der Datei
• Abrufe im automatischen Abgleich sind doppelt signiert (HMAC mit dem Secret der Website und Ed25519 mit dem Schlüssel des Auftragsverarbeiters) und an Adresse und Zeit gebunden
• Ausgehende Anfragen an vom Verantwortlichen angegebene Adressen nur über HTTPS und nur an öffentliche Adressen (Schutz vor Zugriffen auf interne Netze), ohne Weiterleitungen und mit begrenzter Antwortgröße
• keine Einbindung von Drittanbieter-Ressourcen in die App; Schriften werden selbst ausgeliefert

6. Eingabekontrolle

Statusänderungen an Findings werden mit Zeitpunkt und auslösender Person gespeichert. Ergebnis und Fehler des automatischen Abgleichs werden je Projekt festgehalten. Kontobezogene Sicherheitsereignisse werden 14 Tage protokolliert.

7. Verfügbarkeitskontrolle und Belastbarkeit

• Server in einem professionellen Rechenzentrum mit redundanter Strom- und Netzanbindung
• regelmäßige Sicherheitsupdates von Betriebssystem, Datenbank und Anwendung
• Überwachung der Auslastung mit automatischer Warnung an den Auftragsverarbeiter
• tägliche Datensicherung an einen getrennten Speicherort bei einem anderen Anbieter; die Sicherungen werden vor der Übertragung verschlüsselt und nach einem festen Schema (7 tägliche, 4 wöchentliche, 6 monatliche Stände) nach höchstens sechs Monaten gelöscht
• Prüfungen und Benachrichtigungen laufen entkoppelt in Warteschlangen; Fehler einzelner Quellen beeinträchtigen den übrigen Betrieb nicht

8. Datenminimierung und Löschung

• automatische Löschung erledigter Findings, abgelaufener Zähler und alter Betriebsdaten durch einen täglichen Wartungslauf
• Kopien versendeter E-Mails werden nach 30 Tagen gelöscht
• übermittelte Lockfiles werden nur ausgewertet, nicht gespeichert
• Fehlerüberwachung ohne Namen, E-Mail-Adressen und Inhalte; IP-Adressen werden nicht gespeichert

9. Organisatorische Maßnahmen

• Verpflichtung aller eingesetzten Personen auf Vertraulichkeit
• dokumentiertes Vorgehen bei Sicherheits- und Datenschutzvorfällen (Erkennen, Bewerten, Eindämmen, Melden, Dokumentieren)
• Verzeichnis der Verarbeitungstätigkeiten, Löschkonzept und Nachweise zu den Unterauftragsverarbeitern werden geführt
• Prüfung der Wirksamkeit der Maßnahmen jährlich, anlassbezogen und bei wesentlichen Änderungen der Anwendung
• Auswahl von Unterauftragsverarbeitern nach ihren Datenschutz- und Sicherheitsgarantien