Deutsch

Vertrag zur Auftragsverarbeitung

gemäß Art. 28 DSGVO ("AVV")

Version 1.0 - gültig ab 31. Juli 2026

Hinweis zur Vertragssprache: Dieser AVV besteht in einer englischen und einer deutschen Fassung. Beide sind unter https://pyloapp.com/dpa veröffentlicht. Bei Abweichungen zwischen den Fassungen geht die englische Fassung vor, sofern die Parteien nicht in einer Individualvereinbarung in Textform etwas anderes vereinbart haben.

zwischen

dem im Pylo-Konto oder in der jeweiligen Bestellung bezeichneten Kunden

• nachfolgend "Verantwortlicher" oder "Kunde" -

und

Okeano GmbH
Wiedenbrücker Straße 53
59555 Lippstadt
Deutschland
Handelsregister: HRB 15217, Amtsgericht Paderborn
Vertreten durch die Geschäftsführer Valentin Rentzsch und Leon Schubert
E-Mail: mail@okeano.de

• nachfolgend "Auftragsverarbeiter" oder "Okeano" -

• einzeln "Partei", gemeinsam "Parteien" -

Präambel

Die Parteien haben auf Grundlage der Allgemeinen Geschäftsbedingungen für Pylo einen Vertrag über die Nutzung der Plattform Pylo geschlossen ("Hauptvertrag"). Bei der Durchführung des Hauptvertrages verarbeitet Okeano personenbezogene Daten im Auftrag des Kunden. Dieser AVV konkretisiert die datenschutzrechtlichen Pflichten der Parteien nach Art. 28 DSGVO. Er ist Bestandteil des Hauptvertrages.

Dieser AVV wird gemeinsam mit dem Hauptvertrag geschlossen und bedarf keiner gesonderten Unterzeichnung. Okeano stellt auf Anforderung kostenfrei ein unterzeichnetes Exemplar zur Verfügung.

1. Gegenstand, Umfang und Dauer

1.1 Okeano verarbeitet personenbezogene Daten im Auftrag und nach den dokumentierten Weisungen des Kunden, ausschließlich zum Zweck der Erbringung der nach dem Hauptvertrag geschuldeten Leistungen.

1.2 Gegenstand, Art und Zweck der Verarbeitung, die Arten personenbezogener Daten sowie die Kategorien betroffener Personen ergeben sich aus Anlage 1.

1.3 Die Verarbeitung findet ausschließlich im Gebiet der Europäischen Union oder des Europäischen Wirtschaftsraums statt; Ziffer 8 bleibt unberührt.

1.4 Dieser AVV tritt mit Abschluss des Hauptvertrages in Kraft und endet mit dessen Beendigung. Pflichten, die ihrer Natur nach fortgelten sollen - insbesondere die Ziffern 6, 7 und 10 -, bestehen über das Vertragsende hinaus fort.

1.5 Der Kunde kann diesen AVV jederzeit fristlos kündigen, wenn ein schwerwiegender Verstoß von Okeano gegen datenschutzrechtliche Vorschriften oder gegen diesen AVV vorliegt, wenn Okeano eine rechtmäßige Weisung nicht ausführen kann oder will oder wenn Okeano Kontrollrechte des Kunden vertragswidrig verweigert.

2. Verantwortlichkeit des Kunden

2.1 Der Kunde ist Verantwortlicher im Sinne des Art. 4 Nr. 7 DSGVO für die innerhalb von Pylo verarbeiteten personenbezogenen Daten. Der Kunde ist allein verantwortlich für die Beurteilung der Zulässigkeit der Verarbeitung, für die Rechtsgrundlagen, für die Erfüllung der Informationspflichten sowie für die Wahrung der Betroffenenrechte.

2.2 Ist der Kunde seinerseits Auftragsverarbeiter für einen Dritten (etwa eine Agentur für ihren eigenen Auftraggeber), sichert der Kunde zu, dass er von diesem Dritten zur Beauftragung von Okeano als Unterauftragsverarbeiter berechtigt ist. Okeano wird in diesem Fall als Unterauftragsverarbeiter tätig; die Regelungen dieses AVV gelten für das Verhältnis in der Verarbeitungskette entsprechend.

2.3 Der Kunde bestimmt durch die Konfiguration seines Workspace, welche Kategorien personenbezogener Daten verarbeitet werden. Okeano hat auf diese Festlegung keinen Einfluss.

2.4 Der Kunde informiert Okeano unverzüglich, wenn er Fehler oder Unregelmäßigkeiten im Hinblick auf datenschutzrechtliche Vorschriften bei den Arbeitsergebnissen von Okeano feststellt.

2.5 Der Kunde ist für die Führung seines eigenen Verzeichnisses von Verarbeitungstätigkeiten nach Art. 30 Abs. 1 DSGVO sowie gegebenenfalls für die Durchführung einer Datenschutz-Folgenabschätzung nach Art. 35 DSGVO verantwortlich. Okeano unterstützt den Kunden nach Ziffer 6.

3. Weisungen

3.1 Okeano verarbeitet personenbezogene Daten ausschließlich im Rahmen des Hauptvertrages und nach den dokumentierten Weisungen des Kunden, es sei denn, Okeano ist nach dem Recht der Union oder eines Mitgliedstaats, dem Okeano unterliegt, zur Verarbeitung verpflichtet. In einem solchen Fall teilt Okeano dem Kunden diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht eine solche Mitteilung nicht wegen eines wichtigen öffentlichen Interesses verbietet.

3.2 Der Hauptvertrag, dieser AVV nebst Anlagen sowie die Konfiguration des Workspace durch den Kunden bilden die vollständige Erstweisung des Kunden.

3.3 Darüber hinausgehende Einzelweisungen sind in Textform an mail@okeano.de zu richten. Mündliche Weisungen sind unverzüglich in Textform zu bestätigen.

3.4 Hält Okeano eine Weisung für datenschutzrechtlich unzulässig, informiert Okeano den Kunden unverzüglich. Okeano ist berechtigt, die Ausführung der betreffenden Weisung auszusetzen, bis der Kunde sie bestätigt oder abändert.

3.5 Okeano nutzt die im Auftrag verarbeiteten personenbezogenen Daten nicht für eigene Zwecke. Ziffer 9.6 des Hauptvertrages (aggregierte Daten) bleibt unberührt; die dort genannten Daten werden so aggregiert und anonymisiert, dass ein Personen- oder Kundenbezug nicht wiederherstellbar ist.

3.6 Weisungsberechtigte Personen. Weisungsberechtigt auf Seiten des Kunden sind die im Workspace hinterlegten administrativen Kontakte sowie die zusätzlich in Textform benannten Personen.

3.7 Künstliche Intelligenz. Okeano nutzt im Auftrag verarbeitete personenbezogene Daten nicht zum Training, zum Fine-Tuning oder zur sonstigen Verbesserung von Modellen künstlicher Intelligenz oder maschinellen Lernens und gestattet dies auch keinem Dritten. Im Auftrag verarbeitete personenbezogene Daten werden nicht an Anbieter von KI-Diensten übermittelt, es sei denn, der Kunde hat eine entsprechende Funktion ausdrücklich aktiviert; die betreffenden Anbieter werden in diesem Fall in der Dokumentation offengelegt und, soweit sie als Unterauftragsverarbeiter tätig werden, in Anlage 3 geführt. Bindet der Kunde selbst KI-Dienste in seinen Workspace ein, ist er für diese Verarbeitung und für die erforderlichen vertraglichen Regelungen verantwortlich.

4. Vertraulichkeit der Beschäftigten

4.1 Okeano setzt ausschließlich Personal ein, das zur Vertraulichkeit verpflichtet und mit den einschlägigen datenschutzrechtlichen Vorschriften vertraut gemacht wurde. Die Verpflichtung zur Vertraulichkeit besteht auch nach Beendigung der Tätigkeit fort.

4.2 Den Beschäftigten und sonstigen für Okeano tätigen Personen ist die weisungsfreie Verarbeitung personenbezogener Daten untersagt.

4.3 Die Beschäftigten von Okeano werden in angemessenen Abständen, mindestens jährlich, im Datenschutz und in der Informationssicherheit geschult.

4.4 Ein Datenschutzbeauftragter ist nicht bestellt. Okeano hat geprüft, dass die Voraussetzungen des Art. 37 DSGVO sowie des § 38 Abs. 1 BDSG nicht vorliegen, weil weniger als zwanzig Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind und die Kerntätigkeit nicht in bestellungspflichtigen Verarbeitungsvorgängen besteht. Ansprechpartner für Datenschutzfragen ist mail@okeano.de. Okeano informiert den Kunden unverzüglich, sobald die Voraussetzungen für eine Bestellung eintreten.

5. Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

5.1 Okeano hat die in Anlage 2 aufgeführten technischen und organisatorischen Maßnahmen umgesetzt und hält sie für die Dauer der Verarbeitung aufrecht.

5.2 Die Maßnahmen unterliegen dem technischen Fortschritt und der Weiterentwicklung. Okeano darf sie anpassen, sofern das vereinbarte Schutzniveau nicht unterschritten wird. Wesentliche Änderungen dokumentiert Okeano und teilt sie dem Kunden auf Anfrage mit.

5.3 Okeano stellt dem Kunden auf Anfrage eine aktuelle Beschreibung der technischen und organisatorischen Maßnahmen zur Verfügung.

5.4 Der Kunde ist für die Sicherheit seiner eigenen Systeme, seiner Clientanwendungen, seiner Zugangsdaten sowie für die Berechtigungskonfiguration innerhalb seines Workspace verantwortlich. Okeano stellt die hierfür erforderlichen Funktionen bereit (insbesondere Rollen- und Rechteverwaltung, optionales Single Sign-on, verschlüsselte Übertragung); deren Nutzung obliegt dem Kunden.

6. Unterstützungspflichten von Okeano

6.1 Betroffenenrechte. Okeano unterstützt den Kunden mit geeigneten technischen und organisatorischen Maßnahmen und unter Berücksichtigung der Art der Verarbeitung bei der Erfüllung von Anträgen betroffener Personen nach Kapitel III DSGVO. Wendet sich eine betroffene Person hinsichtlich der im Auftrag verarbeiteten Daten unmittelbar an Okeano, leitet Okeano den Antrag unverzüglich an den Kunden weiter und beantwortet ihn nicht selbst in der Sache.

6.2 Der Dienst stellt dem Kunden die technischen Funktionen bereit, die zum Auskunfterteilen, Berichtigen, Einschränken, Löschen und Exportieren personenbezogener Daten innerhalb seines Workspace erforderlich sind.

6.3 Unterstützung nach Art. 32 bis 36 DSGVO. Okeano unterstützt den Kunden unter Berücksichtigung der Art der Verarbeitung und der ihm zur Verfügung stehenden Informationen bei der Einhaltung der Pflichten aus Art. 32 bis 36 DSGVO, insbesondere bei der Sicherheit der Verarbeitung, bei der Meldung von Verletzungen des Schutzes personenbezogener Daten sowie bei Datenschutz-Folgenabschätzungen und vorherigen Konsultationen.

6.4 Okeano stellt dem Kunden die für dessen Verzeichnis von Verarbeitungstätigkeiten erforderlichen Angaben zur Verfügung.

6.5 Unterstützungsleistungen nach dieser Ziffer erbringt Okeano unentgeltlich, soweit sie sich aus gesetzlichen Pflichten von Okeano als Auftragsverarbeiter ergeben. Verlangt der Kunde darüber hinausgehende Unterstützung, die einen erheblichen Aufwand verursacht, und hat Okeano den zugrunde liegenden Umstand nicht zu vertreten, kann Okeano den Aufwand nach vorheriger Ankündigung und Bestätigung durch den Kunden in Textform zu den üblichen Sätzen berechnen.

7. Verletzungen des Schutzes personenbezogener Daten

7.1 Okeano informiert den Kunden über jede Verletzung des Schutzes personenbezogener Daten, die die im Auftrag verarbeiteten Daten betrifft, unverzüglich, spätestens jedoch innerhalb von 48 Stunden nach Kenntniserlangung.

7.2 Die Meldung enthält mindestens: eine Beschreibung der Art der Verletzung einschließlich, soweit möglich, der Kategorien und der ungefähren Zahl der betroffenen Personen und Datensätze; die wahrscheinlichen Folgen; die ergriffenen oder vorgeschlagenen Maßnahmen; sowie eine Kontaktstelle für weitere Informationen. Können die Angaben nicht zugleich vollständig bereitgestellt werden, erfolgt die Bereitstellung unverzüglich in Teilschritten.

7.3 Okeano ergreift unverzüglich geeignete Abhilfemaßnahmen und unterstützt den Kunden bei der Erfüllung seiner Pflichten nach Art. 33 und 34 DSGVO.

7.4 Meldungen an die Aufsichtsbehörde und Benachrichtigungen betroffener Personen nimmt der Kunde vor. Okeano nimmt solche Meldungen nicht aus eigenem Antrieb vor, es sei denn, Okeano ist hierzu in eigener Verantwortlichkeit gesetzlich verpflichtet.

7.5 Okeano dokumentiert Verletzungen des Schutzes personenbezogener Daten und stellt die Dokumentation dem Kunden auf Anfrage zur Verfügung.

8. Unterauftragsverarbeiter

8.1 Der Kunde erteilt Okeano die allgemeine Genehmigung im Sinne des Art. 28 Abs. 2 Satz 2 DSGVO zur Beauftragung von Unterauftragsverarbeitern.

8.2 Die bei Abschluss dieses AVV eingesetzten Unterauftragsverarbeiter sind in Anlage 3 aufgeführt. Die jeweils aktuelle Liste ist unter https://pyloapp.com/subprocessors veröffentlicht und in ihrer jeweils gültigen Fassung Bestandteil dieses AVV.

8.3 Okeano informiert den Kunden über jede beabsichtigte Änderung in Bezug auf die Hinzuziehung oder Ersetzung von Unterauftragsverarbeitern mindestens 30 Tage im Voraus per E-Mail an den administrativen Kontakt sowie durch Aktualisierung der Unterauftragsverarbeiterseite.

8.4 Der Kunde kann der Änderung innerhalb von 30 Tagen nach Zugang der Information aus sachlich gerechtfertigten datenschutzrechtlichen Gründen in Textform widersprechen. Widerspricht der Kunde, suchen die Parteien eine einvernehmliche Lösung. Wird innerhalb von 30 Tagen nach dem Widerspruch keine für beide Parteien annehmbare Lösung erreicht, kann der Kunde den betroffenen Teil des Hauptvertrages zum Zeitpunkt des Wirksamwerdens der Änderung kündigen, ohne dass hierfür ein Entgelt für die vorzeitige Beendigung anfällt. Bereits gezahlte Entgelte für Zeiträume nach der Beendigung werden anteilig erstattet.

8.5 Okeano verpflichtet jeden Unterauftragsverarbeiter vertraglich auf Datenschutzpflichten, die den Pflichten dieses AVV gleichwertig sind, insbesondere auf hinreichende Garantien hinsichtlich der technischen und organisatorischen Maßnahmen. Okeano prüft deren Einhaltung vor der Beauftragung und danach in angemessenen Abständen.

8.6 Okeano haftet dem Kunden gegenüber uneingeschränkt für die Erfüllung der Pflichten des Unterauftragsverarbeiters.

8.7 Nebenleistungen, die Okeano als reine Unterstützungsleistung bei Dritten bezieht (insbesondere Telekommunikationsdienstleistungen, Post- und Transportdienstleistungen, Wartungs- und Benutzerservice, Reinigungsdienstleistungen, Prüfer), sind keine Unterauftragsverarbeitung im Sinne dieser Ziffer. Okeano trifft gleichwohl geeignete Vereinbarungen, um den Schutz personenbezogener Daten zu gewährleisten.

8.8 Dienste Dritter, die der Kunde selbst in seinen Workspace einbindet (etwa über Flows, Webhooks oder eigene Clientanwendungen), sind keine Unterauftragsverarbeiter von Okeano. Der Kunde ist für deren datenschutzrechtliche Bewertung und vertragliche Ausgestaltung allein verantwortlich.

9. Drittlandübermittlungen

9.1 Die Verarbeitung personenbezogener Daten erfolgt innerhalb der Europäischen Union beziehungsweise des Europäischen Wirtschaftsraums.

9.2 Einzelne der in Anlage 3 aufgeführten Unterauftragsverarbeiter sind Unternehmen mit Sitz in einem Drittland (insbesondere den Vereinigten Staaten von Amerika), die die Daten jedoch ausschließlich in EU-Regionen speichern und verarbeiten. Ein Zugriffsrisiko nach drittstaatlichem Recht lässt sich insoweit nicht mit Sicherheit ausschließen.

9.3 Für diese Unterauftragsverarbeiter hat Okeano die Standardvertragsklauseln der Europäischen Kommission (Durchführungsbeschluss (EU) 2021/914), Modul 3 (Auftragsverarbeiter an Auftragsverarbeiter), abgeschlossen und ergänzende technische und organisatorische Maßnahmen vereinbart, insbesondere die ausschließliche Wahl von EU-Regionen, Transport- und Speicherverschlüsselung sowie Datenminimierung.

9.4 Der für den jeweiligen Unterauftragsverarbeiter geltende Übermittlungsmechanismus ist in Anlage 3 angegeben.

9.5 Okeano informiert den Kunden unverzüglich, wenn Okeano Kenntnis von einer rechtsverbindlichen Anordnung einer Behörde eines Drittlands zur Herausgabe der im Auftrag verarbeiteten personenbezogenen Daten erlangt, sofern dies nicht gesetzlich untersagt ist. Okeano prüft eine solche Anordnung auf ihre rechtliche Zulässigkeit, legt verfügbare Rechtsmittel ein und gibt nur das erforderliche Mindestmaß heraus.

10. Löschung und Rückgabe

10.1 Nach Beendigung des Hauptvertrages gibt Okeano die im Auftrag verarbeiteten personenbezogenen Daten nach Wahl des Kunden zurück oder löscht sie, sofern nicht nach dem Recht der Union oder eines Mitgliedstaats eine Verpflichtung zur Speicherung besteht.

10.2 Der Kunde kann seine Daten während der Vertragslaufzeit sowie für einen Zeitraum von 30 Tagen nach Beendigung des Hauptvertrages über die Exportfunktionen des Dienstes exportieren. Nach Ablauf dieser Frist werden die Daten aus den Produktivsystemen gelöscht.

10.3 Sicherungskopien, die die Daten enthalten, werden im Rahmen der regulären Backup-Rotation innerhalb weiterer 14 Tage nach der Löschung aus den Produktivsystemen überschrieben. Bis dahin sind die Daten in den Sicherungskopien durch Verschlüsselung und Zugriffskontrollen vor einem Zugriff geschützt und werden außerhalb eines tatsächlichen Wiederherstellungsfalls nicht eingespielt.

10.4 Daten, die Okeano aufgrund gesetzlicher Aufbewahrungspflichten, insbesondere nach § 147 AO und § 257 HGB, aufbewahren muss, sind hiervon ausgenommen. Diese Daten werden für die weitere Verarbeitung gesperrt und nach Ablauf der Aufbewahrungsfrist gelöscht.

10.5 Okeano bestätigt dem Kunden die Löschung auf Anfrage in Textform.

10.6 Ziffer 8 des Hauptvertrages (Löschung nach Zahlungsverzug) bleibt unberührt.

11. Kontroll- und Überprüfungsrechte

11.1 Der Kunde hat das Recht, sich von der Einhaltung der Pflichten aus diesem AVV durch Okeano zu überzeugen.

11.2 Die Überprüfung erfolgt vorrangig im Wege der Selbstauskunft: Okeano stellt auf Anfrage kostenfrei eine aktuelle Beschreibung der technischen und organisatorischen Maßnahmen, die Beantwortung eines schriftlichen Sicherheitsfragebogens sowie vorhandene Zertifikate, Prüfberichte oder Testergebnisse zur Verfügung.

11.3 Reichen die Angaben nach Ziffer 11.2 im Einzelfall nicht aus, kann der Kunde oder ein von ihm beauftragter, nicht mit Okeano im Wettbewerb stehender Prüfer einmal je Kalenderjahr nach Ankündigung mit einer Frist von mindestens 30 Tagen während der üblichen Geschäftszeiten von Okeano und ohne Betriebsstörung eine Kontrolle vor Ort auf eigene Kosten durchführen. Zusätzliche Kontrollen sind zulässig, wenn konkrete Anhaltspunkte für einen Verstoß vorliegen oder nach einer Verletzung des Schutzes personenbezogener Daten.

11.4 Der Prüfer ist zur Vertraulichkeit zu verpflichten. Okeano kann den Zugang zu Daten anderer Kunden, zu Geschäftsgeheimnissen und zu sicherheitsrelevanten Informationen ausschließen, deren Offenlegung selbst ein Risiko begründen würde.

11.5 Der Zugang zu den Rechenzentren der Hetzner Online GmbH richtet sich nach den Regelungen dieses Unterauftragsverarbeiters. Okeano stellt Prüfberichte und Zertifikate seiner Unterauftragsverarbeiter zur Verfügung, soweit Okeano hierzu berechtigt ist.

11.6 Die Ergebnisse einer Kontrolle sind vertrauliche Informationen beider Parteien.

12. Haftung

12.1 Die Haftung nach Art. 82 DSGVO bleibt unberührt.

12.2 Im Innenverhältnis der Parteien gelten die Haftungsregelungen des Hauptvertrages, vorbehaltlich Ziffer 12.1.

13. Schlussbestimmungen

13.1 Bei Widersprüchen zwischen diesem AVV und dem Hauptvertrag geht dieser AVV in datenschutzrechtlichen Fragen vor.

13.2 Bei Widersprüchen zwischen diesem AVV und den Standardvertragsklauseln gehen die Standardvertragsklauseln vor.

13.3 Änderungen und Ergänzungen dieses AVV bedürfen der Textform.

13.4 Für diesen AVV gilt das Recht der Bundesrepublik Deutschland. Gerichtsstand ist Lippstadt, entsprechend Ziffer 17.6 des Hauptvertrages.

13.5 Sollten einzelne Bestimmungen dieses AVV unwirksam sein, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt.

13.6 Dieser AVV besteht in einer englischen und einer deutschen Fassung. Beide sind unter https://pyloapp.com/dpa veröffentlicht. Bei Abweichungen zwischen den Fassungen geht die englische Fassung vor, sofern die Parteien nicht in einer Individualvereinbarung in Textform etwas anderes vereinbart haben.

Anlage 1 - Einzelheiten der Verarbeitung

1.1 Gegenstand der Verarbeitung

Bereitstellung und Betrieb der Backend-as-a-Service-Plattform Pylo, umfassend insbesondere: Hosting der vom Kunden konfigurierten Datenmodelle und Datenbanken, Bereitstellung einer GraphQL-API, Ausführung automatisierter Flows, Authentifizierung und Rechteverwaltung für die Endnutzer des Kunden, Dateispeicherung und -auslieferung, Sicherungskopien sowie technischer Support.

1.2 Art der Verarbeitung

Erheben, Erfassen, Organisieren, Ordnen, Speichern, Anpassen, Auslesen, Verwenden, Übermitteln, Einschränken, Löschen und Vernichten - jeweils ausgelöst durch die Konfiguration des Kunden oder durch die vom Kunden auf der Plattform erstellten Anwendungen.

1.3 Zweck der Verarbeitung

Erfüllung des Hauptvertrages. Eine Verarbeitung zu eigenen Zwecken von Okeano findet nicht statt.

1.4 Dauer der Verarbeitung

Für die Dauer des Hauptvertrages zuzüglich der in Ziffer 10 geregelten Löschfristen.

1.5 Kategorien betroffener Personen

Werden vom Kunden durch die Konfiguration seines Workspace bestimmt. Typischerweise:

• Beschäftigte des Kunden und interne Nutzer des Workspace,

• Endnutzer der vom Kunden auf Pylo erstellten Anwendungen (Kunden, Mitglieder, Bewerber, Patienten, Lieferanten - je nach Anwendungsfall),

• Geschäftspartner und Ansprechpartner des Kunden,

• weitere vom Kunden eingeführte Kategorien betroffener Personen.

1.6 Arten personenbezogener Daten

Werden vom Kunden durch die Konfiguration seines Workspace bestimmt. Typischerweise:

1.7 Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO)

Der Kunde darf besondere Kategorien personenbezogener Daten (insbesondere Gesundheitsdaten) in Pylo verarbeiten. Tut er dies, so wird der Kunde:

(a) Okeano vor Aufnahme einer solchen Verarbeitung in Textform informieren, damit Okeano prüfen kann, ob zusätzliche Maßnahmen erforderlich sind;
(b) sicherstellen, dass eine Rechtsgrundlage nach Art. 9 Abs. 2 DSGVO vorliegt;
(c) in seinem eigenen Verantwortungsbereich die nach Art. 32 DSGVO erforderlichen zusätzlichen Maßnahmen treffen, insbesondere eine restriktive Rechtekonfiguration und gegebenenfalls eine Verschlüsselung der betroffenen Felder auf Anwendungsebene.

Verarbeitet der Kunde besondere Kategorien personenbezogener Daten, ohne Okeano zu informieren, und kann Okeano deshalb keine zusätzlichen Maßnahmen treffen, hat Okeano das Fehlen dieser zusätzlichen Maßnahmen nicht zu vertreten.

Daten über strafrechtliche Verurteilungen und Straftaten (Art. 10 DSGVO) dürfen nur nach gesonderter Vereinbarung in Textform verarbeitet werden.

1.8 Ort der Verarbeitung

Anlage 2 - Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

Stand: 31. Juli 2026. Okeano stellt auf Anfrage eine aktualisierte Fassung zur Verfügung.

2.1 Pseudonymisierung und Verschlüsselung (Art. 32 Abs. 1 lit. a DSGVO)

• Transportverschlüsselung: Sämtliche Verbindungen zum Dienst sind ausschließlich über TLS verschlüsselt. Unverschlüsselte Verbindungen werden abgewiesen. HSTS ist aktiviert.

• Backup-Verschlüsselung: Sicherungskopien werden von Okeano mit einem selbst verwalteten Schlüssel verschlüsselt, bevor sie auf das Sicherungsziel übertragen werden. Der Schlüssel wird auf einem vom Sicherungsziel getrennten System vorgehalten. Weder der Speicheranbieter noch ein sonstiger Dritter kann die Sicherungskopien entschlüsseln.

• Zugangsdaten: Passwörter werden ausschließlich als gesalzene Hashes nach dem Stand der Technik gespeichert. Klartextpasswörter werden weder gespeichert noch protokolliert.

• Secrets-Verwaltung: Anwendungsgeheimnisse und Zugriffsschlüssel werden in einem verwalteten Secrets-Store vorgehalten und nicht im Quellcode gespeichert.

• Pseudonymisierung: Soweit technisch möglich und angemessen, werden in Logs und Metriken Kennungen anstelle unmittelbar identifizierender Daten verwendet.

2.2 Vertraulichkeit - Zutrittskontrolle

Die Produktivsysteme werden ausschließlich in den Rechenzentren der Hetzner Online GmbH in Falkenstein und Nürnberg, Deutschland, betrieben. Diese Standorte sind nach ISO/IEC 27001 zertifiziert und unter anderem durch Perimeterschutz, Videoüberwachung, Zutrittskontrolle mit elektronischer Zutrittsberechtigung und eine Besetzung rund um die Uhr gesichert. Okeano betreibt keine eigene Serverhardware.

Die Arbeitsplätze in den Räumen von Okeano befinden sich in zutrittsgeschützten Büroräumen. Die Geräte sind mit Festplattenvollverschlüsselung und automatischer Bildschirmsperre ausgestattet.

2.3 Vertraulichkeit - Zugangskontrolle

• Der Zugang zu Produktivsystemen ist auf einen namentlich benannten, dokumentierten Personenkreis aus Entwicklungsteam und Geschäftsführung beschränkt. Zugangsberechtigungen werden mindestens jährlich überprüft und bei Wegfall der Rolle unverzüglich entzogen.

• Für sämtliche administrativen Zugänge zu Produktivsystemen, zum Verwaltungsbereich des Infrastrukturanbieters, zum Quellcode-Repository und zum Secrets-Store ist Multi-Faktor-Authentifizierung verpflichtend.

• Es werden individuelle Konten verwendet; Sammelkonten sind unzulässig.

• Zugangsdaten werden in einem Passwortmanager (Bitwarden) verwaltet; eine Weitergabe außerhalb dieses Systems ist unzulässig.

• Administrative Zugriffe erfolgen über SSH mit schlüsselbasierter Authentifizierung; die Passwortauthentifizierung ist deaktiviert.

• Produktiv- und Staging-Umgebungen sind strikt getrennt - getrennte Systeme, getrennte Zugangsdaten, getrennte Daten. Produktivdaten werden nicht in Staging-Umgebungen kopiert.

• Der Kunde kann für seinen eigenen Workspace Single Sign-on (SSO) aktivieren und damit eigene Authentifizierungsrichtlinien durchsetzen.

2.4 Vertraulichkeit - Zugriffskontrolle

• Innerhalb des Dienstes wird der Zugriff auf die Daten des Kunden über ein vom Kunden konfiguriertes Rollen- und Rechtemodell gesteuert.

• Ein Supportzugriff auf Kundendaten erfolgt ausschließlich nach ausdrücklicher Freigabe durch den Kunden im Einzelfall, ist zeitlich befristet und wird in einem Audit-Log protokolliert (wer, wann, wie lange, auf Grundlage welcher Freigabe). Okeano stellt dieses Protokoll dem Kunden auf Anfrage zur Verfügung.

• Beschäftigte von Okeano haben außerhalb einer solchen Freigabe keinen dauerhaften Zugriff auf Inhaltsdaten des Kunden. Zugriffe auf Infrastrukturebene (zu Betriebs-, Überwachungs- und Störungsbeseitigungszwecken) sind auf den in Ziffer 2.3 beschriebenen Personenkreis beschränkt und auf das für den Plattformbetrieb erforderliche Maß begrenzt.

• Mandantentrennung: Jeder Workspace ist logisch getrennt. Ein workspaceübergreifender Zugriff ist auf API-Ebene technisch ausgeschlossen; jede Anfrage wird gegen den Workspace-Kontext validiert.

• Zugriffe auf Produktivdaten erfolgen ausschließlich zu Betriebs-, Sicherheits- und Supportzwecken.

2.5 Vertraulichkeit - Trennungskontrolle

• Trennung der Kundendaten nach Workspace auf Ebene des Datenmodells, der API und des Dateispeichers.

• Trennung von Produktiv-, Staging- und Entwicklungsumgebungen.

• Systemseitige Trennung der eigenen Daten von Okeano (Vertrag, Abrechnung, Marketing) von den im Auftrag verarbeiteten Daten.

2.6 Integrität - Weitergabekontrolle

• Sämtliche Datenübertragungen zum und vom Dienst sind TLS-verschlüsselt.

• Sicherungskopien werden verschlüsselt auf das Sicherungsziel übertragen (Ziffer 2.1).

• Ein physischer Transport von Datenträgern findet nicht statt. Die Außerbetriebnahme von Hardware obliegt dem Rechenzentrumsbetreiber nach dessen zertifizierten Verfahren.

• Eine Übermittlung von Kundendaten per E-Mail ist nicht Teil des regulären Prozesses. Soweit sie in Einzelfällen im Support unvermeidbar ist, erfolgt sie ausschließlich nach Freigabe durch den Kunden und über einen angemessen geschützten Weg.

2.7 Integrität - Eingabekontrolle

• Sicherheitsrelevante Ereignisse (Anmeldungen, Rechteänderungen, administrative Eingriffe, Supportzugriffe) werden mit Zeitstempel und Nutzerbezug protokolliert.

• Änderungen an Datenmodellen und Flow-Definitionen des Kunden werden versioniert und sind innerhalb des Workspace nachvollziehbar.

• Protokolle sind gegen unbefugte Veränderung geschützt und werden nach einer festgelegten Aufbewahrungsfrist vorgehalten.

• Änderungen am Quellcode der Plattform werden im Vier-Augen-Prinzip geprüft und sind über die Versionsverwaltung personenbezogen nachvollziehbar.

2.8 Verfügbarkeit und Belastbarkeit (Art. 32 Abs. 1 lit. b und c DSGVO)

• Sicherungskopien alle 6 Stunden, Aufbewahrung 14 Tage, verschlüsselt, an einem vom Produktivsystem verschiedenen deutschen Standort.

• RPO maximal 6 Stunden, RTO maximal 24 Stunden.

• Wiederherstellungstests werden in regelmäßigen Abständen durchgeführt; die Wiederherstellbarkeit wird überprüft.

• Überwachung von Verfügbarkeit, Fehlerraten und Systemmetriken über eine eigene Grafana-Installation und Axiom; Alarmierung der Rufbereitschaft.

• Redundante Stromversorgung, Klimatisierung, Brandschutz und Netzanbindung auf Rechenzentrumsebene entsprechend der ISO/IEC-27001-Zertifizierung des Betreibers.

• Schutz vor Angriffen durch Rate Limiting, vorgelagerten Netzschutz des Infrastrukturanbieters und Kontingentmechanismen.

• Dokumentierter Notfall- und Wiederanlaufplan einschließlich Wiederherstellungsverfahren, Zuständigkeiten und Eskalationswegen.

2.9 Verfahren zur regelmäßigen Überprüfung, Bewertung und Evaluierung

• Dokumentiertes Löschkonzept mit festgelegten Aufbewahrungsfristen je Datenkategorie.

• Interne Sicherheitstests / Penetrationstests in regelmäßigen Abständen; externe Tests erfolgen im Rahmen einzelner Kundenprojekte und auf Anforderung von Enterprise-Kunden.

• Abhängigkeiten werden laufend auf bekannte Schwachstellen überwacht; Sicherheitsaktualisierungen werden risikopriorisiert eingespielt.

• Datenschutz durch Technikgestaltung und datenschutzfreundliche Voreinstellungen (Art. 25 DSGVO): Neue Funktionen werden vor der Freigabe auf datenschutzrechtliche Relevanz geprüft; Voreinstellungen sind restriktiv gesetzt.

• Überprüfung der technischen und organisatorischen Maßnahmen mindestens jährlich sowie anlassbezogen bei wesentlichen Änderungen.

• Die Beschäftigten sind schriftlich zur Vertraulichkeit verpflichtet und werden mindestens jährlich geschult.

2.10 Auftragskontrolle

• Unterauftragsverarbeiter werden anhand ihrer technischen und organisatorischen Maßnahmen ausgewählt und auf Grundlage eines Art. 28 DSGVO entsprechenden Vertrages beauftragt.

• Die Unterauftragsverarbeiterliste ist veröffentlicht und versioniert; Änderungen werden 30 Tage im Voraus mitgeteilt.

• Weisungen werden in Textform erteilt und dokumentiert.

Anlage 3 - Unterauftragsverarbeiter

Stand: 31. Juli 2026. Die jeweils aktuelle Fassung ist unter https://pyloapp.com/subprocessors veröffentlicht.

3.1 Unterauftragsverarbeiter mit Zugriff auf im Auftrag verarbeitete personenbezogene Daten

Transaktionale E-Mails (Registrierung, Passwortzurücksetzung, Systembenachrichtigungen) versendet Okeano selbst über eine eigene Mailinfrastruktur auf den vorgenannten Servern. Ein externer E-Mail-Dienstleister wird hierfür nicht eingesetzt.

3.2 Dienste, die keine Unterauftragsverarbeiter im Sinne dieses AVV sind

Die folgenden Dienste setzt Okeano für eigene Geschäftszwecke ein. Sie verarbeiten keine personenbezogenen Daten der betroffenen Personen des Kunden im Auftrag des Kunden. Sie werden hier aus Transparenzgründen aufgeführt und sind in der Datenschutzerklärung unter https://pyloapp.com/privacy beschrieben:

3.3 Mitteilung von Änderungen

Okeano teilt dem Kunden die Hinzuziehung oder Ersetzung eines Unterauftragsverarbeiters mindestens 30 Tage im Voraus per E-Mail an den administrativen Kontakt sowie durch Aktualisierung der vorgenannten Seite mit. Das Widerspruchsrecht des Kunden richtet sich nach Ziffer 8.4 dieses AVV.

Unterschriften (optional - dieser AVV wird gemeinsam mit dem Hauptvertrag geschlossen)

Verantwortlicher / Kunde

Name: _______________________________

Unternehmen: ________________________

Ort, Datum: _________________________

Unterschrift: _______________________

Auftragsverarbeiter

Okeano GmbH

Name: _______________________________

Ort, Datum: _________________________

Unterschrift: _______________________