Rahmenvertrag

der werkbank://digital GmbH, Kantstraße 127, 10625 Berlin — nachfolgend „Dienstleister”

Stand: Juni 2026

Dieser Rahmenvertrag gilt in der jeweils hier veröffentlichten Fassung für die Zusammenarbeit zwischen der werkbank://digital GmbH und dem im jeweiligen Projektangebot bezeichneten Auftraggeber — nachfolgend „Kunde”. Er wird Vertragsbestandteil, indem das jeweilige Projektangebot auf ihn verweist.

Dienstleister und Kunde gemeinsam „Parteien”. Beide Parteien sind Unternehmer im Sinne von § 14 BGB und Kaufleute im Sinne von § 1 HGB.

§ 1 Vertragsgegenstand und Phasenmodell

(1) Der Dienstleister erbringt für den Kunden Leistungen im Bereich der digitalen Prozessoptimierung, Digitalisierungslösungen und technischen Implementierung. Die Zusammenarbeit erfolgt typischerweise in drei aufeinander aufbauenden Phasen:

(2) Dieser Rahmenvertrag regelt ausschließlich die allgemeinen Bedingungen der Zusammenarbeit. Eine Leistungspflicht des Dienstleisters und eine Zahlungspflicht des Kunden entstehen nicht aus dem Rahmenvertrag selbst, sondern erst mit der Annahme einer schriftlichen Einzelbeauftragung (Projektangebot) durch den Kunden.

(3) Jede Phase wird durch ein eigenständiges Projektangebot beauftragt. Die Phasen können einzeln oder mehrfach beauftragt werden. Eine Verpflichtung zur Beauftragung weiterer Phasen besteht nicht. Mündliche oder informelle Wünsche sind nicht verbindlich.

(4) Dieser Vertrag begründet ein reines B2B-Geschäft. Verbraucherrechtliche Schutzvorschriften gelten nicht.

§ 2 Einzelbeauftragungen (Projektangebote)

(1) Jede konkrete Leistung des Dienstleisters wird über eine Einzelbeauftragung in Form eines vom Kunden in Textform angenommenen Projektangebots vereinbart. Das Projektangebot konkretisiert insbesondere:

(2) Mehrere Einzelbeauftragungen unter diesem Rahmenvertrag sind zulässig und können parallel oder zeitlich versetzt laufen. Jede Einzelbeauftragung gilt als eigenständige vertragliche Vereinbarung, auf die die Bestimmungen dieses Rahmenvertrags Anwendung finden.

(3) Leistungen außerhalb des im Projektangebot beauftragten Umfangs gelten als nicht beauftragt und bedürfen eines Change Requests gemäß § 6.

§ 3 Tools und Infrastruktur

(1) Tool-Whitelist. Es kommen ausschließlich die in Anlage 1 (Tool-Whitelist) aufgeführten Software- und Cloud-Tools zum Einsatz. Der Einsatz darüber hinausgehender Tools bedarf der vorherigen schriftlichen Zustimmung beider Parteien. Für Tools, die nicht auf der Whitelist stehen, übernimmt der Dienstleister keine Gewährleistung oder SLA-Zusagen.

(2) Kunden-Accounts und Zugänge. Der Kunde stellt dem Dienstleister rechtzeitig alle für die Leistungserbringung erforderlichen Zugänge, Benutzerkonten und Lizenzen zu seinen Systemen zur Verfügung. Werden für die Umsetzung neue SaaS-Tools oder Cloud-Dienste benötigt, erfolgt die Einrichtung, wo immer technisch möglich, auf Namen und Konto des Kunden. Der Kunde bleibt Eigentümer und Abrechnungskontoinhaber sämtlicher neu eingerichteter SaaS-Tenants. Der Dienstleister erhält für die Dauer der jeweiligen Einzelbeauftragung Administratorzugänge zu diesen Systemen.

(3) Infrastruktur. Der Kunde stellt eine angemessene IT-Infrastruktur (Hardware, Netzwerk, Internetanbindung) bereit, die für den Betrieb der vorgesehenen Lösungen erforderlich ist. Der Dienstleister stimmt erforderliche technische Maßnahmen wie DNS-Einträge oder Firewall-Freischaltungen rechtzeitig mit den IT-Verantwortlichen des Kunden ab.

(4) Leistungen externer Anbieter. Soweit der Dienstleister im Auftrag des Kunden externe Software oder Cloud-Dienste einführt oder konfiguriert, beschränkt sich seine Leistungspflicht auf die fachgerechte Einrichtung und Konfiguration dieser Systeme. Für die Verfügbarkeit und Funktionsfähigkeit der Fremdsoftware selbst übernimmt der Dienstleister keine Gewähr, da diese im Verantwortungsbereich des jeweiligen Anbieters liegt.

§ 4 Service Level Agreement (SLA)

(1) Für alle im Rahmen einer Einzelbeauftragung erbrachten Leistungen gelten die Reaktions- und Bearbeitungszeiten gemäß Anlage 2 (Service Level Agreement).

(2) Der SLA gilt insbesondere für die Umsetzungsphase sowie, soweit gesondert beauftragt, für die Wartung und Nachbetreuung nach Projektende (§ 11). Für die Analyse- und Entwurfsphase gelten die SLA-Reaktionszeiten nicht; in diesen Phasen werden keine Betriebsleistungen erbracht.

(3) Detaillierte Bestimmungen zu Prioritäten, Servicezeiten, Kommunikationswegen und Eskalationsstufen sind in Anlage 2 geregelt.

§ 5 Datenschutz und Auftragsverarbeitung

Die Parteien werden sämtliche datenschutzrechtlichen Bestimmungen, insbesondere der EU-Datenschutz-Grundverordnung (DSGVO) und des Bundesdatenschutzgesetzes (BDSG), einhalten. Soweit der Dienstleister im Auftrag des Kunden personenbezogene Daten verarbeitet, schließen die Parteien einen Auftragsverarbeitungsvertrag (AVV) gemäß Art. 28 DSGVO. Der AVV ist als Anlage 3 zu diesem Rahmenvertrag vereinbart und wird mit Unterzeichnung dieses Vertrags ebenfalls wirksam. Bei Widersprüchen zwischen diesem Rahmenvertrag und Anlage 3 (AVV) gehen die Regelungen des AVV für alle Datenschutzfragen vor. Die Verarbeitung personenbezogener Daten durch den Dienstleister erfolgt ausschließlich für Zwecke der Vertragserfüllung und gemäß den Weisungen des Kunden.

§ 6 Change Requests und Leistungsänderungen

(1) Abweichungen oder Erweiterungen gegenüber dem jeweiligen Projektangebot werden ausschließlich nach folgendem Verfahren behandelt:

(2) Arbeiten an Änderungen beginnen erst nach Freigabe. Soweit durch einen Change Request zusätzliche Leistungen vereinbart werden, erhöht sich die Vergütung entsprechend der angebotenen Aufwandsschätzung oder einer gesondert vereinbarten Zusatzpauschale. Vereinbarte Zwischenfristen oder Endtermine verlängern sich angemessen, mindestens jedoch um den Zeitraum eines üblichen Umsetzungssprints (2 Wochen), sofern die Änderung Einfluss auf den Zeitplan hat.

(3) Leistungen Dritter. Bindet der Kunde Drittanbieter oder eigene IT-Dienstleister in das Projekt ein, stellt er sicher, dass diese kooperieren. Verzögerungen, Ausfälle oder Mängel, die durch das Verhalten von Dritten verursacht werden, liegen im Verantwortungsbereich des Kunden. Erforderliche Mehrkosten, beispielsweise zusätzliche Aufwände des Dienstleisters zur Fehlersuche, trägt der Kunde.

§ 7 Feedbackschleifen und Abnahmen

(1) Maximale Feedbackrunden. Die Umsetzung der einzelnen Leistungsbausteine erfolgt iterativ. Pro Leistungsbaustein bzw. Projektergebnis sind maximal drei (3) Feedback-Schleifen durch den Kunden vorgesehen.

(2) Umsetzung und Reviews. Der Dienstleister setzt die Änderungswünsche aus jeder Feedbackrunde in der Regel innerhalb von 14 Kalendertagen um und präsentiert anschließend die überarbeitete Lösung. Pro Feedbackrunde sind ca. 90 Minuten Reviewzeit vorgesehen. In diesem Termin gibt der Kunde sein nächstes Feedback oder, nach der letzten Runde, die finale Abnahme.

(3) Änderungsstopp nach drei Runden. Nach drei Feedbackschleifen gilt der jeweilige Leistungsbaustein als abgenommen, sofern nicht ausdrücklich etwas anderes vereinbart wird. Weitere Änderungs- oder Erweiterungswünsche nach Ausschöpfung der drei Runden sind durch den ursprünglich vereinbarten Festpreis nicht abgedeckt und werden über das Change-Request-Verfahren (§ 6) mit entsprechender Zusatzvergütung umgesetzt.

(4) Eine endgültige Abnahme (Go-Live-Freigabe) wird schriftlich dokumentiert. Änderungen nach finaler Abnahme erfolgen nur gegen zusätzliche Vergütung.

§ 8 Mitwirkungspflichten des Kunden

(1) Zugänge und Informationen. Der Kunde stellt sicher, dass alle für die Leistungserbringung wesentlichen Unterlagen, Informationen und Zugänge rechtzeitig zur Verfügung gestellt werden. Konkrete Auskünfte oder Materialien, die der Dienstleister vom Kunden anfordert, sollten spätestens innerhalb von 3 Werktagen bereitgestellt werden.

(2) Ansprechpersonen. Der Kunde benennt einen fachlichen und einen technischen Ansprechpartner, die für Rückfragen und Entscheidungen zur Verfügung stehen und befugt sind, verbindliche Aussagen zu treffen oder kurzfristig intern abzustimmen.

(3) Feedback und Tests. Der Kunde prüft Zwischenergebnisse, Prototypen und Tests des Dienstleisters zeitnah und erteilt nach Erhalt innerhalb von etwa 5 Werktagen Feedback bzw. Freigaben, sofern nicht anders im Projektangebot festgelegt.

(4) Folgen von Verzögerungen. Kommt der Kunde seinen Mitwirkungspflichten nicht oder nicht rechtzeitig nach, verlängern sich Leistungsfristen entsprechend der Verzögerung; eine Reduzierung der Vergütung ist in diesem Fall nicht vorgesehen. Der Dienstleister kann bei erheblichen vom Kunden verursachten Verzögerungen die Projektplanung neu terminieren; in der Regel verschiebt sich die Projekt-Pipeline mindestens um einen vollen Sprint (2 Wochen). Bleiben erforderliche Mitwirkungshandlungen trotz Eskalation an das Management des Kunden aus, kann der Dienstleister dem Kunden eine angemessene Nachfrist setzen und nach erfolglosem Ablauf der Frist vom Vertrag bzw. der jeweiligen Einzelbeauftragung zurücktreten. Gesetzliche Ansprüche des Dienstleisters bleiben unberührt.

(5) Eigenmächtige Änderungen des Kunden. Der Kunde wird ohne vorherige Abstimmung mit dem Dienstleister keine Änderungen an den durch den Dienstleister implementierten Systemen, Konfigurationen und Automatisierungen vornehmen. Andernfalls entfallen insoweit etwaige Gewährleistungsansprüche. Erforderliche Nacharbeiten des Dienstleisters zur Wiederherstellung des vertragsgemäßen Zustands gelten als Zusatzleistung und werden nach Aufwand vergütet.

§ 9 Vergütung und Zahlungsbedingungen

(1) Die Höhe der Vergütung, die Vergütungsstruktur, die Zahlungstermine, etwaige Reisekostenregelungen sowie sämtliche weiteren Vergütungsbestandteile einer Einzelbeauftragung ergeben sich ausschließlich aus dem jeweiligen Projektangebot. Alle dort genannten Beträge verstehen sich zuzüglich der gesetzlichen Umsatzsteuer.

(2) SEPA-Mandat. Der Kunde erteilt vor Beginn der Leistungserbringung der jeweiligen Einzelbeauftragung ein SEPA-Lastschriftmandat über den vom Dienstleister bereitgestellten Link. Ohne wirksames SEPA-Mandat ist der Dienstleister zur Leistungsaussetzung berechtigt. Monatlich wiederkehrende Beträge werden ausschließlich per SEPA-Lastschrift eingezogen; Einmal- oder Setup-Zahlungen sind mittels Überweisung zahlbar, soweit das Projektangebot nichts Abweichendes vorsieht.

(3) Zahlungsverzug. Kommt der Kunde in Zahlungsverzug, gelten die gesetzlichen Regeln. Der Dienstleister ist insbesondere berechtigt, Verzugszinsen in gesetzlicher Höhe zu verlangen (§ 288 Abs. 2 BGB, derzeit 9 Prozentpunkte über dem Basiszinssatz), und seine Leistungen bis zum Ausgleich rückständiger Beträge zurückzuhalten. Weitere Rechte bleiben vorbehalten.

§ 10 Beendigung, Datenrückgabe und Übergabe

(1) Ende der dienstleisterseitigen Zugänge. Mit Abschluss der jeweiligen Umsetzungsphase (Go-Live) und ohne anschließend gesondert beauftragten Wartungsvertrag (§ 11) enden sämtliche im Rahmen der Leistungserbringung bereitgestellten internen Zugriffe und Lizenzen des Dienstleisters. Hierzu zählen insbesondere:

(2) Übergabe von Inhalten. Sämtliche im Auftrag des Kunden in dessen eigenen SaaS-Tenants erstellten Konfigurationen, Dokumentationen und System-Artefakte verbleiben beim Kunden. Eine Übergabe oder Migration weiterer Inhalte, insbesondere der Export von Dokumentationen aus den in Absatz 1 genannten dienstleister-eigenen Arbeitsumgebungen, ist nicht im Projektpreis enthalten und wird nach Aufwand zusätzlich berechnet. Zeitpunkt und Umfang der Übergabe sind mit dem Dienstleister abzustimmen.

(3) Datenschutzgerechte Löschung. Nach Beendigung der Zusammenarbeit gibt der Dienstleister sämtliche Unterlagen, Dateien, Konfigurationen und sonstige System-Artefakte, die dem Kunden gehören oder ihn betreffen, an den Kunden heraus oder löscht diese, nach Wahl des Kunden, datenschutzgerecht. Die Rückgabe bzw. Löschung erfolgt spätestens innerhalb von 3 Monaten nach Ende der Zusammenarbeit. Der Dienstleister wird dem Kunden auf Verlangen die vollständige Durchführung der Datenlöschung schriftlich bestätigen. Gesetzliche Aufbewahrungspflichten bleiben unberührt; in einem solchen Fall tritt an die Stelle der Löschung die Sperrung der betreffenden Daten bis zum Ablauf der Aufbewahrungsfrist.

§ 11 Wartung und Nachbetreuung

(1) Nach Abschluss der Umsetzungsphase (Go-Live) endet die Leistungspflicht des Dienstleisters aus der jeweiligen Einzelbeauftragung. Wartung, Support, Monitoring sowie die Weiterentwicklung der implementierten Lösungen sind nicht Bestandteil dieses Rahmenvertrags oder einer Einzelbeauftragung der Umsetzungsphase.

(2) Der Kunde kann optional einen separaten Wartungsvertrag mit dem Dienstleister abschließen (Anlage 4: Wartungsvertrag, Muster). Erst durch beidseitige Unterzeichnung des Wartungsvertrags entstehen für den Dienstleister Verpflichtungen zu Wartung, Support oder Bereitstellung von Kommunikations- und Dokumentationszugängen über das Projektende hinaus.

(3) Wird kein Wartungsvertrag geschlossen, erfolgt nach Projektende die geordnete Beendigung gemäß § 10. Eine spätere Aufnahme von Wartungs- oder Supportleistungen bedarf einer erneuten schriftlichen Vereinbarung.

§ 12 Haftung

(1) Haftungsumfang. Der Dienstleister haftet dem Kunden gegenüber, gleich aus welchem Rechtsgrund, nur für Vorsatz und grobe Fahrlässigkeit. Für einfache Fahrlässigkeit haftet der Dienstleister nur bei Verletzung wesentlicher Vertragspflichten (Kardinalpflichten). In diesen Fällen ist die Haftung der Höhe nach begrenzt auf den typischerweise vorhersehbaren Schaden.

(2) Ausnahmen. Die vorstehenden Haftungsbeschränkungen gelten nicht bei der Verletzung von Leben, Körper oder Gesundheit einer Person. Ebenfalls unbeschränkt bleibt eine etwaige zwingende Haftung nach dem Produkthaftungsgesetz. Die Haftungsbeschränkungen dieses Vertrags gelten zudem nicht, soweit dem Dienstleister Arglist zur Last fällt oder eine Garantie übernommen wurde. Die Vorschrift des § 276 Abs. 3 BGB bleibt unberührt.

(3) Ausschluss bestimmter Schäden. Soweit gesetzlich zulässig, ist die Haftung des Dienstleisters für mittelbare Schäden und Folgeschäden, insbesondere entgangenen Gewinn, Betriebsunterbrechungsschäden, Datenverluste oder Zinsverluste, ausgeschlossen. Dieser Haftungsausschluss gilt nicht, sofern einer der in Absatz 2 genannten Ausnahmefälle vorliegt.

(4) Erfüllungsgehilfen. Die vorstehenden Haftungsregelungen gelten in gleichem Umfang zugunsten der Organe, leitenden Angestellten, Mitarbeiter und sonstigen Erfüllungsgehilfen des Dienstleisters.

(5) Verjährung. Ansprüche des Kunden auf Schadensersatz verjähren in zwei Jahren ab dem gesetzlichen Verjährungsbeginn, außer in den in Absatz 2 genannten Fällen; dort gelten die gesetzlichen Verjährungsfristen.

§ 13 Schlussbestimmungen

(1) Schriftformklausel. Sämtliche Änderungen oder Ergänzungen dieses Vertrags und seiner Anlagen bedürfen zu ihrer Wirksamkeit der Schriftform. Eine einfache elektronische Mitteilung wie etwa per E-Mail genügt nicht. Dies gilt auch für eine Änderung dieses Schriftformerfordernisses selbst.

(2) Vertragsbestandteile. Folgende Anlagen sind Bestandteil dieses Rahmenvertrags:

(3) Vertragsrangfolge. Bei Widersprüchen zwischen den Regelungen gilt folgende Reihenfolge (spätere schriftliche Nachträge schlagen frühere): 1. das vom Kunden angenommene Projektangebot (Einzelbeauftragung), vorrangig für den jeweiligen Leistungsumfang, die Vergütung und die Laufzeit, 2. Anlage 3 (AVV) einschließlich Anlage 3A (TOMs), vorrangig für sämtliche Datenschutzthemen, 3. dieser Rahmenvertrag, 4. Anlage 2 (Service Level Agreement), 5. Anlage 1 (Tool-Whitelist). Anlage 4 (Wartungsvertrag) entfaltet ihre Wirkung erst, wenn sie zwischen den Parteien gesondert unterzeichnet wurde, und geht für den dort geregelten Leistungsbereich diesem Rahmenvertrag vor.

(4) Gerichtsstand und Recht. Ausschließlicher Gerichtsstand für alle Streitigkeiten aus oder im Zusammenhang mit diesem Vertrag ist, soweit gesetzlich zulässig, Berlin. Es gilt das Recht der Bundesrepublik Deutschland unter Ausschluss des UN-Kaufrechts (CISG).

(5) Salvatorische Klausel. Sollte eine Bestimmung dieses Vertrags unwirksam oder undurchführbar sein oder werden, bleibt der Vertrag im Übrigen wirksam. Die Parteien werden die unwirksame Bestimmung einvernehmlich durch eine solche rechtswirksame Bestimmung ersetzen, die dem wirtschaftlichen Sinn und Zweck der unwirksamen Klausel am nächsten kommt. Entsprechendes gilt für das Schließen etwaiger Vertragslücken.

(6) Vertragssprache. Die Vertragssprache ist Deutsch.

Anlage 1: Tool-Whitelist

zum Rahmenvertrag zwischen werkbank://digital GmbH (Dienstleister) und dem Kunden. Diese Liste enthält alle zugelassenen Software- und Cloud-Lösungen, die im Rahmen der Zusammenarbeit zwischen Dienstleister und Kunde zum Einsatz kommen dürfen. Der Einsatz weiterer Tools bedarf der schriftlichen Zustimmung beider Parteien.

Google Workspace

Microsoft 365

Asana

HubSpot

Close

Notion

Slack

TimeTac

Fireflies

Make

smartTransfer (DATEV-Unternehmen-Online-Add-on)

reebuild

offpaper

Lager im Griff (LiG)

Hinweis

Änderungen oder Erweiterungen dieser Tool-Liste erfolgen nur nach schriftlicher Vereinbarung. Für Tools, die nicht auf dieser Whitelist stehen, übernimmt der Dienstleister keine Gewährleistung oder SLA-Verpflichtung.

Anlage 2: Service Level Agreement (SLA)

zum Rahmenvertrag zwischen werkbank://digital GmbH (Dienstleister) und dem Kunden.

§ 1 Ziel und Geltungsbereich

(1) Dieses Service Level Agreement (SLA) definiert die Service- und Leistungsstandards, die der Dienstleister im Rahmen der laufenden Zusammenarbeit mit dem Kunden einhält.

(2) Das SLA gilt, unabhängig vom Inhalt der jeweiligen Einzelbeauftragung, für die Umsetzungsphase nach § 1 des Rahmenvertrags sowie für eine etwaige Nachbetreuungsphase auf Grundlage eines gesondert geschlossenen Wartungsvertrags (Anlage 4 zum Rahmenvertrag). Für die Analysephase und die Entwurfsphase gelten die Reaktions- und Lösungszeiten dieses SLA nicht; in diesen Phasen werden keine Betriebsleistungen erbracht.

(3) Geltungsbereich nach Systemverantwortung. Dieses SLA gilt ausschließlich für die in Anlage 1 zum Rahmenvertrag (Tool-Whitelist) aufgeführten Systeme, sofern diese vom Dienstleister im Rahmen einer Einzelbeauftragung eingeführt, konfiguriert oder betrieben werden. Vom Kunden selbst eingeführte oder konfigurierte Tools gelten als Fremdsysteme; hierfür gelten die SLA-Zusagen nicht, es sei denn, abweichend schriftlich vereinbart.

§ 2 Prioritätsstufen

Störungsmeldungen des Kunden werden vom Dienstleister nach ihrer Dringlichkeit in Prioritätsstufen eingeteilt. Den Prioritäten 1 bis 3 sind jeweils verbindliche Reaktions- und Lösungszeiten zugeordnet. Maßgeblich sind dabei ausschließlich die Servicezeiten gemäß § 3.

§ 3 Servicezeiten

(1) Der Dienstleister erbringt Supportleistungen ausschließlich während der vereinbarten Servicezeiten: Montag bis Freitag, jeweils von 09:00 Uhr bis 17:00 Uhr. Gesetzliche Feiertage am Sitz des Dienstleisters (Berlin) sind von den Servicezeiten ausgenommen.

(2) Eingehende Störungsmeldungen außerhalb der Servicezeiten gelten als am nächsten Werktag eingegangen und werden erst zu diesem Zeitpunkt bearbeitet. Eine Notfall-Bereitschaft außerhalb der genannten Servicezeiten besteht nicht, sofern nicht ausdrücklich abweichend vereinbart.

§ 4 Kommunikations- und Eskalationswege

(1) Support- und Störungsmeldungen des Kunden sind ausschließlich über die vereinbarten Kommunikationskanäle an den Dienstleister zu richten. Hierfür steht standardmäßig der dedizierte Slack-Support-Channel (für schriftliche Anfragen) zur Verfügung; bei kritischen Fehlern kann zur Live-Diagnose ein Google Meet-Call mit dem Dienstleister vereinbart werden.

(2) Jede Meldung sollte eine möglichst genaue Fehlerbeschreibung enthalten (einschließlich relevanter Screenshots, Fehlermeldungen, betroffener Nutzer etc.), um eine effiziente Bearbeitung zu ermöglichen.

(3) Bei Störungen der Priorität 1 wird dem Kunden empfohlen, zusätzlich zur Meldung via Slack den Dienstleister telefonisch zu benachrichtigen, vorausgesetzt, es wurde für dringende Fälle eine entsprechende Rufnummer benannt.

(4) Werden die in § 2 festgelegten Reaktions- oder Lösungszeiten überschritten, erfolgt eine Eskalation des Vorgangs. Zunächst wird der zuständige Projektleiter des Dienstleisters intern informiert. Sollte daraufhin keine zeitnahe Abhilfe erfolgen, kann der Kunde die Geschäftsführung des Dienstleisters einschalten.

§ 5 Mitwirkungspflichten des Kunden

Damit der Dienstleister die in diesem SLA zugesagten Fristen und Leistungsstandards einhalten kann, muss der Kunde folgende Mitwirkungspflichten erfüllen:

§ 6 Ausschlüsse

Von den Verpflichtungen und Zusagen dieses SLA ausgenommen sind insbesondere die folgenden Fälle:

§ 7 Messung und Berichterstattung

(1) Der Dienstleister führt über alle eingehenden Supportfälle und deren Bearbeitung eine interne Dokumentation.

(2) Auf Anfrage des Kunden stellt der Dienstleister eine Auswertung der SLA-Performance zur Verfügung (z. B. Anzahl der Tickets pro Prioritätsstufe sowie durchschnittliche Reaktions- und Lösungszeiten).

(3) Eine regelmäßige proaktive Berichterstattung (etwa in Form eines monatlichen SLA-Reports) ist nicht Teil des standardmäßigen Leistungsumfangs, kann aber bei Bedarf als zusätzliche Leistung vertraglich vereinbart werden.

§ 8 Rangfolge

Dieses SLA ist Bestandteil des Rahmenvertrags und gilt ergänzend zu dessen Bestimmungen. Bei Widersprüchen zwischen den Regelungen dieses SLA und den Bestimmungen des Rahmenvertrags gehen die Bestimmungen des Rahmenvertrags vor. Spezielle Regelungen in einem einzelnen Projektangebot oder im Wartungsvertrag (Anlage 4) gehen diesem SLA für die jeweilige Einzelbeauftragung vor, soweit sie ausdrücklich als Abweichung gekennzeichnet sind.

Anlage 3: Vertrag über die Verarbeitung personenbezogener Daten im Auftrag

zwischen der werkbank://digital GmbH, Kantstraße 127, 10625 Berlin — nachfolgend „Dienstleister” — und dem im jeweiligen Projektangebot bezeichneten Kunden — nachfolgend „Kunde”. Dienstleister und Kunde gemeinsam „Parteien”. Beide Parteien sind Unternehmer im Sinne von § 14 BGB und Kaufleute im Sinne von § 1 HGB.

§ 1 Vertragsgegenstand

Dieser AVV ist Anlage 3 des zwischen den Parteien geschlossenen Rahmenvertrags. Im Rahmen der Leistungserbringung nach dem Rahmenvertrag und den auf seiner Grundlage abgeschlossenen Einzelbeauftragungen (Projektangeboten) ist es erforderlich, dass der Dienstleister personenbezogene Daten im Auftrag des Kunden verarbeitet, für die der Kunde die verantwortliche Stelle im Sinne des Datenschutzrechts ist (nachfolgend „Kundendaten”). Dieser AVV konkretisiert die datenschutzrechtlichen Rechte und Pflichten der Parteien im Zusammenhang mit dem Umgang des Dienstleisters mit Kundendaten zur Durchführung des Rahmenvertrags und der jeweiligen Einzelbeauftragungen.

§ 2 Umfang, Art und Zweck der Beauftragung

(1) Gegenstand und Dauer. Der Dienstleister verarbeitet die Daten des Kunden im Auftrag und nach Weisung des Kunden im Sinne von Art. 28 DSGVO (Auftragsverarbeitung). Der Kunde bleibt Verantwortlicher im datenschutzrechtlichen Sinne. Die Dauer der Verarbeitung entspricht der Laufzeit des Rahmenvertrags bzw. der jeweiligen Einzelbeauftragung.

(2) Art und Zweck der Verarbeitung. Die konkreten Verarbeitungstätigkeiten ergeben sich jeweils aus dem Verarbeitungsvorgang zugrunde liegenden Projektangebot. Typischerweise umfasst dies folgende Datenverarbeitungen durch den Dienstleister im Auftrag des Kunden:

(3) Kategorien von Daten und betroffenen Personen. Die Verarbeitung betrifft die personenbezogenen Daten, die sich aus dem jeweiligen Projektangebot ergeben (typischerweise Kontaktdaten, Vertrags- und Abrechnungsdaten, projektspezifische Daten, Zugangsdaten zu Systemen) sowie die Kategorien betroffener Personen, die das Projektangebot benennt (typischerweise Beschäftigte und Geschäftspartner des Kunden).

(4) Anonymisierung und Aggregation. Der Dienstleister ist berechtigt, die Kundendaten nach Beendigung des Rahmenvertrags oder auf Weisung des Kunden hin zu anonymisieren oder zu aggregieren, so dass eine Identifizierung einzelner Betroffener nicht mehr möglich ist. In dieser Form darf der Dienstleister die Daten für eigene Zwecke nutzen. Die Parteien sind sich einig, dass solche anonymisierten oder aggregierten Daten nicht mehr als personenbezogene Kundendaten im Sinne dieses Vertrags gelten.

(5) Verarbeitung außerhalb des EWR. Die Verarbeitung der Kundendaten durch den Dienstleister erfolgt grundsätzlich innerhalb der Europäischen Union oder eines anderen Vertragsstaates des Europäischen Wirtschaftsraums (EWR). Der Dienstleister ist jedoch berechtigt, Kundendaten unter Einhaltung der Bestimmungen dieses Vertrags auch außerhalb des EWR zu verarbeiten, sofern er den Kunden vorab über den Ort der Datenverarbeitung informiert und die Voraussetzungen der Art. 44 bis 48 DSGVO erfüllt sind oder eine Ausnahme nach Art. 49 DSGVO vorliegt.

§ 3 Weisungen des Kunden

(1) Weisungsgebundenheit. Der Dienstleister verarbeitet die Kundendaten ausschließlich gemäß den Weisungen des Kunden, sofern er nicht aufgrund des Unionsrechts oder Rechts eines Mitgliedstaats zu einer abweichenden Verarbeitung verpflichtet ist. In einem solchen Fall teilt der Dienstleister dem Kunden diese gesetzlichen Anforderungen vor der Verarbeitung mit, soweit das betreffende Gesetz eine Mitteilung nicht wegen eines wichtigen öffentlichen Interesses verbietet. Weisungsbefugt auf Seiten des Kunden sind der gesetzliche Vertreter bzw. die im Rahmenvertrag benannten Ansprechpartner. Falls ein Datenschutzbeauftragter beim Kunden bestellt ist, ist auch dieser weisungsbefugt.

(2) Form der Weisungen. Die Weisungen des Kunden sind grundsätzlich in diesem AVV sowie im Rahmenvertrag und den jeweiligen Projektangeboten abschließend dokumentiert. Einzelweisungen, die hiervon abweichen oder zusätzliche Anforderungen stellen, bedürfen der Textform (z. B. E-Mail) und der vorherigen Zustimmung des Dienstleisters, sofern sie einen Aufwand oder Risiken mit sich bringen, die im Rahmenvertrag oder Projektangebot nicht abgedeckt sind. Solche zusätzlichen Weisungen werden nach dem im Rahmenvertrag festgelegten Change-Request-Verfahren behandelt.

(3) Unzulässige Weisungen. Führt eine Weisung des Kunden nach Auffassung des Dienstleisters zu einer Verarbeitung, die mit diesem AVV oder den geltenden Datenschutzvorschriften nicht im Einklang steht, wird der Dienstleister den Kunden hierauf hinweisen. Der Dienstleister ist in einem solchen Fall berechtigt, die Ausführung der betreffenden Weisung solange auszusetzen, bis sie durch den Kunden bestätigt oder angepasst wurde. Die Verantwortung für die Rechtmäßigkeit der Verarbeitung und für die Beurteilung der Zulässigkeit von Weisungen liegt beim Kunden.

§ 4 Pflichten des Dienstleisters

Der Dienstleister verpflichtet sich als Auftragsverarbeiter des Kunden zu folgenden Maßnahmen (gemäß Art. 28 Abs. 3 DSGVO):

(1) Verarbeitung nur nach Weisung. Der Dienstleister verarbeitet personenbezogene Daten des Kunden ausschließlich gemäß den dokumentierten Weisungen des Kunden (vgl. § 3 Abs. 1).

(2) Vertraulichkeit. Der Dienstleister stellt sicher, dass alle Personen, die bei ihm Zugriff auf Kundendaten haben (Mitarbeiter sowie ggf. Subunternehmer), zur Vertraulichkeit verpflichtet wurden oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen. Personenbezogene Daten dürfen nicht unbefugt an Dritte weitergegeben oder für eigene Zwecke verwendet werden.

(3) Sicherheit der Verarbeitung. Der Dienstleister ergreift alle geeigneten technischen und organisatorischen Maßnahmen (TOMs) gemäß Art. 32 DSGVO, um ein dem Risiko angemessenes Schutzniveau der personenbezogenen Daten zu gewährleisten. Details ergeben sich aus Anlage 3A (Technische und organisatorische Maßnahmen).

(4) Unterstützung des Kunden. Der Dienstleister unterstützt den Kunden, unter Berücksichtigung der Art der Verarbeitung und der ihm zur Verfügung stehenden Informationen, bei der Einhaltung der Pflichten des Kunden nach Art. 32 bis 36 DSGVO. Dies betrifft insbesondere die Sicherstellung der Datensicherheit (Art. 32), die Meldung von Datenschutzverletzungen (Art. 33, 34), die Datenschutz-Folgenabschätzung (Art. 35) und die Konsultation der Aufsichtsbehörde (Art. 36).

(5) Anfragen Betroffener. Soweit eine betroffene Person sich mit Forderungen auf Berichtigung, Löschung oder Auskunft (Art. 15 bis 17 DSGVO) direkt an den Dienstleister wendet, wird der Dienstleister dieses Ersuchen unverzüglich an den Kunden weiterleiten. Der Dienstleister wird den Kunden im Rahmen des Zumutbaren unterstützen, sofern dieser Anfragen betroffener Personen zu erfüllen hat (z. B. durch Bereitstellung von Informationen oder direkte Umsetzung im System).

(6) Löschung nach Auftragsende. Der Dienstleister wird nach Abschluss der vertraglichen Leistungen und auf Anweisung des Kunden alle im Auftrag verarbeiteten personenbezogenen Daten entweder löschen oder an den Kunden zurückgeben. Die Löschung bzw. Rückgabe hat spätestens innerhalb von 3 Monaten nach Beendigung des Rahmenvertrags zu erfolgen, sofern keine gesetzliche Aufbewahrungspflicht entgegensteht. Die Löschung hat datenschutzgerecht zu erfolgen; auf Verlangen ist sie vom Dienstleister nachzuweisen. Einzelheiten (Format der Rückgabe, Zeitpunkt) werden bei Bedarf zwischen den Parteien abgestimmt.

(7) Nachweispflichten. Der Dienstleister weist dem Kunden auf Anfrage die Einhaltung der in diesem AVV niedergelegten Pflichten durch geeignete Nachweise nach.

§ 5 Unterauftragsverarbeiter (Subunternehmer)

(1) Einbindung von Subunternehmern. Der Dienstleister darf Unterauftragsverarbeiter (weitere Auftragsverarbeiter) nur mit vorheriger schriftlicher Zustimmung des Kunden einsetzen. Der Kunde darf die Zustimmung nicht unbillig verweigern, wird aber insbesondere keine Zustimmung erteilen, wenn berechtigte datenschutzrechtliche Interessen entgegenstehen.

(2) Bestehende Subunternehmer. Zum Zeitpunkt des Vertragsschlusses setzt der Dienstleister keine Subunternehmer ein.

(3) Wechsel und Neubeauftragung. Beabsichtigt der Dienstleister, einen neuen Subunternehmer zu beauftragen oder einen bestehenden zu ersetzen, wird er den Kunden mindestens 1 Monat im Voraus in Kenntnis setzen. Der Kunde kann aus wichtigem Grund der Änderung widersprechen. Im Falle des Widerspruchs wird der Dienstleister entweder auf den Einsatz des betreffenden Subunternehmers verzichten oder, falls das für die Vertragserfüllung nicht möglich ist, dem Kunden eine Vertragsbeendigung anbieten.

(4) Pflichten der Subunternehmer. Der Dienstleister stellt sicher, dass Subunternehmer vor Beginn der Datenverarbeitung vertraglich in gleicher Weise auf den Datenschutz verpflichtet werden, wie es in diesem Vertrag zwischen Kunde und Dienstleister festgelegt ist (insbesondere hinsichtlich Zweckbeschränkung, Datensicherheit und Löschung). Der Dienstleister bleibt dem Kunden gegenüber voll verantwortlich für die Einhaltung der Datenschutzpflichten durch die Subunternehmer. Befindet sich ein Subunternehmer außerhalb des EWR, stellt der Dienstleister sicher, dass ein angemessenes Datenschutzniveau gemäß Art. 44 ff. DSGVO gewährleistet ist (z. B. durch Abschluss der EU-Standardvertragsklauseln mit dem Subunternehmer).

§ 6 Technische und organisatorische Maßnahmen (TOMs)

(1) Allgemeine Sicherheitsmaßnahmen. Der Dienstleister hat bereits vor Beginn der Verarbeitung der Kundendaten geeignete technische und organisatorische Maßnahmen getroffen, um ein dem Risiko für die Rechte und Freiheiten der Betroffenen angemessenes Schutzniveau zu gewährleisten (Art. 32 DSGVO). Diese Maßnahmen unterliegen dem technischen Fortschritt und werden bei Bedarf aktualisiert. Der Dienstleister gewährleistet insbesondere Folgendes (Details siehe Anlage 3A): Zutrittskontrolle, Zugangskontrolle, Zugriffskontrolle, Weitergabekontrolle, Eingabekontrolle, Auftragskontrolle, Verfügbarkeitskontrolle, Datenträgervernichtung etc., jeweils nach dem Stand der Technik.

(2) Dokumentation der TOMs. Eine detaillierte Beschreibung der implementierten technischen und organisatorischen Maßnahmen ist in Anlage 3A (TOMs) festgehalten und kann darüber hinaus beim Dienstleister angefordert werden (z. B. in Form eines Sicherheitskonzepts). Der Dienstleister stellt dem Kunden auf Verlangen alle Informationen zur Verfügung, die zur Bewertung der Einhaltung von Art. 32 DSGVO erforderlich sind.

§ 7 Informationspflichten und Vorfallmanagement

(1) Meldung von Datenschutzverletzungen. Der Dienstleister wird den Kunden unverzüglich informieren, sobald ihm Verstöße gegen den Schutz personenbezogener Daten im Zusammenhang mit der Verarbeitung für den Kunden bekannt werden. Dies betrifft insbesondere Vorfälle, die dem Kunden nach Art. 33 DSGVO meldepflichtig sein könnten. Die Meldung des Dienstleisters an den Kunden hat unter Darstellung aller bekannten Details zu erfolgen, insbesondere der Art des Vorfalls, der betroffenen Daten und Personen, der möglichen Folgen sowie der vom Dienstleister ergriffenen oder vorgeschlagenen Gegenmaßnahmen.

(2) Unterstützung bei Meldungspflichten. Der Dienstleister wird in Abstimmung mit dem Kunden angemessene Maßnahmen ergreifen, um eine weitere Eskalation des Sicherheitsvorfalls zu verhindern oder einzudämmen. Er unterstützt den Kunden bei dessen Meldepflichten an die Aufsichtsbehörde und ggf. Benachrichtigung der betroffenen Personen (Art. 33, 34 DSGVO), z. B. durch Bereitstellung noch fehlender Informationen.

(3) Kommunikation mit Dritten. Eine Kommunikation gegenüber Dritten (betroffenen Personen, Behörden) zu einem Vorfall, der diese Vereinbarung betrifft, darf der Dienstleister nur nach Abstimmung mit dem Kunden durchführen. Ausnahme: Der Dienstleister ist selbst gesetzlich zu einer Mitteilung verpflichtet; in diesem Fall wird er den Kunden vorab informieren.

§ 8 Rechte und Pflichten des Kunden

(1) Gesamtverantwortung. Der Kunde bleibt für die Beurteilung der Zulässigkeit der Datenverarbeitung und für die Wahrung der Rechte der betroffenen Personen verantwortlich. Ihm obliegt es insbesondere, die erforderlichen Einwilligungen (sofern erforderlich) einzuholen oder gesetzliche Erlaubnistatbestände für die Verarbeitung nachzuweisen.

(2) Weisungsrecht. Der Kunde hat ein umfassendes Weisungsrecht hinsichtlich der Verarbeitung der Kundendaten (siehe § 3). Weisungen und Freigaben (z. B. im Rahmen von Tests oder Abnahmen) sollen möglichst schriftlich oder in Textform erteilt und dokumentiert werden.

(3) Kontrollrechte. Der Kunde ist berechtigt, die Einhaltung der in diesem AVV festgelegten Regeln beim Dienstleister zu kontrollieren. Dies kann durch Einholen von Auskünften, Vorlage von Zertifikaten oder Nachweisen oder durch Audits vor Ort erfolgen. Audits vor Ort beim Dienstleister oder dessen Subunternehmern sollen spätestens 2 Wochen vorher angekündigt werden und während der üblichen Geschäftszeiten stattfinden; dabei ist auf die Betriebsabläufe Rücksicht zu nehmen. Der Dienstleister darf diese Audits von einer angemessenen Vertraulichkeitserklärung abhängig machen und wird bei der Durchführung des Audits unterstützen, soweit erforderlich.

(4) Mitteilungspflichten des Kunden. Sollte der Kunde in den bei der Verarbeitung eingesetzten Systemen Fehler oder Unregelmäßigkeiten feststellen, die auf Datenschutzverletzungen hindeuten, wird er den Dienstleister unverzüglich informieren. Gleiches gilt, wenn Aufsichtsbehörden den Kunden kontaktieren und dabei die Auftragsverarbeitung durch den Dienstleister betroffen ist.

(5) Vergütung bei Mehraufwand. Unterstützungsleistungen des Dienstleisters, die nicht ausdrücklich im Rahmenvertrag oder einem Projektangebot als inklusive definiert sind (z. B. umfangreiche Mitwirkung bei Datenschutz-Folgenabschätzungen, häufige Audits, über das übliche Maß hinausgehende Unterstützung bei Betroffenenanfragen), können vom Dienstleister in Absprache mit dem Kunden aufwandsbasiert vergütet werden.

§ 9 Haftung und Schadensersatz

(1) Anwendbarkeit der Haftungsregeln. Die im Rahmenvertrag vereinbarten Haftungsregelungen gelten für die Verarbeitungstätigkeiten im Rahmen dieses AVV entsprechend zwischen den Parteien.

(2) DSGVO-Haftung und Innenverhältnis. Zwischen Kunde und Dienstleister ist vereinbart, dass etwaige Haftungsbeschränkungen aus dem Rahmenvertrag auch für Ansprüche nach Art. 82 DSGVO gelten, soweit sie sich auf Verstöße beziehen, die im Verantwortungsbereich des Dienstleisters entstanden sind. Eine etwaige weitergehende Haftung des Dienstleisters gegenüber betroffenen Personen bleibt unberührt; im Innenverhältnis stellt der Kunde den Dienstleister insoweit von Haftungsansprüchen frei, wenn der Dienstleister nachweislich keinen Umstand zu vertreten hat, der zu der Haftung geführt hat.

§ 10 Sonstige Bestimmungen und Schlussklauseln

(1) Unterlagen und Kopien. Alle vom Dienstleister im Auftrag verarbeiteten personenbezogenen Daten, Datenträger sowie sämtliche erstellten Auswertungen, Listen und Auszüge verbleiben im Eigentum des Kunden. Der Dienstleister hat kein Zurückbehaltungsrecht an Unterlagen oder Daten.

(2) Vertraulichkeit. Die im Rahmen dieses AVV verarbeiteten Daten sind vertraulich. Die Parteien verpflichten sich, alle im Rahmen der Auftragsverarbeitung erlangten Informationen über die jeweils andere Partei und deren Kunden geheim zu halten und nur für die vertraglich vorgesehenen Zwecke zu nutzen. Diese Verpflichtung besteht über das Vertragsende hinaus fort.

(3) Laufzeit. Dieser AVV beginnt mit Unterzeichnung durch beide Parteien und läuft so lange, wie der Dienstleister Kundendaten im Auftrag verarbeitet, also bis zur vollständigen Beendigung des Rahmenvertrags und Löschung bzw. Rückgabe aller Kundendaten durch den Dienstleister (vgl. § 4 Abs. 6).

(4) Kündigung. Eine isolierte Kündigung dieses AVV ist nicht möglich, sondern nur im Zusammenhang mit einer Kündigung des Rahmenvertrags. Im Falle eines erheblichen Verstoßes des Dienstleisters gegen diesen AVV kann der Kunde jedoch die weitere Verarbeitung seiner Daten durch den Dienstleister bis zur Klärung aussetzen (bis hin zur außerordentlichen Kündigung des Rahmenvertrags aus wichtigem Grund).

(5) Schriftform und Vorrang. Änderungen und Ergänzungen dieses AVV bedürfen der Schriftform und müssen als solche ausdrücklich gekennzeichnet sein. Im Falle von Widersprüchen zwischen diesem AVV und dem Rahmenvertrag gehen die Bestimmungen dieses AVV denjenigen des Rahmenvertrags in Bezug auf Datenschutz und Datenverarbeitung vor.

(6) Salvatorische Klausel. Sollten einzelne Bestimmungen dieses AVV unwirksam oder undurchführbar sein oder werden, so bleibt die Wirksamkeit der übrigen Bestimmungen hiervon unberührt. Die Parteien werden in einem solchen Fall die unwirksame Bestimmung durch eine datenschutzrechtlich zulässige Regelung ersetzen, die dem wirtschaftlichen Gehalt der unwirksamen Klausel möglichst nahekommt.

Anlage 3A: Technische und organisatorische Maßnahmen

zum Auftragsverarbeitungsvertrag (Anlage 3 zum Rahmenvertrag) zwischen werkbank://digital GmbH (Auftragsverarbeiter) und dem Kunden (Auftraggeber). Der Auftragsverarbeiter hat die folgenden technischen und organisatorischen Maßnahmen implementiert, um ein dem Risiko angemessenes Schutzniveau für die vom Auftraggeber überlassenen personenbezogenen Daten zu gewährleisten. Diese Maßnahmen orientieren sich an den Schutzzielen Vertraulichkeit, Integrität und Verfügbarkeit sowie am Stand der Technik und den Empfehlungen der Datenschutz-Aufsichtsbehörden. Die Wirksamkeit der TOMs wird regelmäßig überprüft und bei Bedarf angepasst.

Zutrittskontrolle

Gesicherte Büros und Serverstandorte. Unbefugten ist der Zutritt zu unseren Büroräumen und IT-Systemstandorten verwehrt. Türen sind mit Schließsystemen gesichert (Schlüssel nur für berechtigte Mitarbeiter; außerhalb der Geschäftszeiten sind alle Zugänge verschlossen). Eine Alarmanlage überwacht die Büros außerhalb der Arbeitszeiten. Besucher werden nur in Begleitung eingelassen und in einem Besucherprotokoll registriert. Professionelle Rechenzentren. Soweit wir Cloud-Infrastrukturen nutzen, erfolgen Hosting und Datenspeicherung in zertifizierten Rechenzentren innerhalb der EU mit strengen physischen Sicherheitsmaßnahmen (24/7 Zugangskontrollen, Wachpersonal, Videoüberwachung, biometrische Zutrittskontrollen etc.). Damit ist ein hoher Schutz vor unbefugtem physischen Zugang zu Servern gewährleistet.

Zugangskontrolle

Benutzer-Authentifizierung. Der Zugriff auf IT-Systeme ist nur autorisierten Nutzern mit individuellen Accounts möglich. Alle Benutzer erhalten persönliche Login-Daten; es gibt keine Nutzung von gemeinsamen Benutzerkonten. Starke Passwortrichtlinien. Es gelten verbindliche Regeln für sichere Passwörter (Mindestlänge, Komplexitätsanforderungen, regelmäßige Passwortwechsel bei Verdacht auf Kompromittierung). Fehlgeschlagene Login-Versuche führen nach wenigen Wiederholungen zur temporären Sperrung des Accounts, um Brute-Force-Angriffe zu verhindern. 2-Faktor-Authentifizierung. Wo immer verfügbar, ist der Login durch einen zweiten Faktor (z. B. Code über Authenticator-App oder Hardware-Token) abgesichert. Insbesondere alle externen Zugänge und administrativen Konten sind mit 2-Faktor-Authentifizierung (2FA) geschützt, um das Risiko von Kontoübernahmen zu minimieren. Netzwerk- und Endgerätesicherheit. Zum Schutz vor unbefugtem Zugriff aus dem Netz sind geeignete Firewall-Systeme und Malware-Schutz im Einsatz. Alle Server und Arbeitsplatzrechner werden regelmäßig mit Sicherheitsupdates versorgt. Nicht benötigte Schnittstellen (z. B. USB-Ports oder offene WLAN-Netze) sind deaktiviert oder durch Richtlinien eingeschränkt, um Missbrauch zu verhindern.

Zugriffskontrolle

Rechte- und Rollenkonzept. Wir haben ein dokumentiertes Berechtigungskonzept implementiert. Jeder Mitarbeiter erhält nur die minimal erforderlichen Zugriffsrechte nach dem Need-to-know-Prinzip. Rollen und Benutzerrechte sind klar definiert; administrative Berechtigungen sind auf ein absolut notwendiges Minimum beschränkt. Benutzer- und Rechteverwaltung. Die Vergabe von Zugriffsrechten erfolgt zentralisiert durch die Systemadministration auf Grundlage der definierten Rollen. Änderungen von Berechtigungen (z. B. bei Stellenwechsel oder Austritt eines Mitarbeiters) unterliegen einem geregelten Prozess und werden zeitnah umgesetzt. Ausgeschiedene Mitarbeiter erhalten sofort Entzug aller Zugänge. Regelmäßige Überprüfung. Alle bestehenden Zugriffsberechtigungen werden regelmäßig (mindestens jährlich) geprüft und aktualisiert. Dabei wird sichergestellt, dass niemand überberechtigten Zugang zu personenbezogenen Daten hat. Nicht mehr erforderliche Accounts oder Rechte werden umgehend gelöscht bzw. entzogen.

Weitergabekontrolle

Verschlüsselung bei Übertragung. Personenbezogene Daten werden bei der elektronischen Übermittlung ausschließlich verschlüsselt übertragen. Insbesondere erfolgt E-Mail-Versand nur über TLS-gesicherte Verbindungen; Web-Anwendungen und Schnittstellen nutzen durchgehend HTTPS (TLS). So wird gewährleistet, dass Daten auf dem Transportweg nicht von Unbefugten mitgelesen oder manipuliert werden können. Speichermedien und Cloud-Speicherung. Soweit Daten auf tragbaren Datenträgern oder in Cloud-Diensten gespeichert werden, erfolgt eine Verschlüsselung ruhender Daten (Encryption at Rest). Alle von uns eingesetzten seriösen Cloud-Anbieter verschlüsseln die gespeicherten Inhalte standardmäßig. Firmennotebooks sind mit Festplattenverschlüsselung (z. B. BitLocker oder FileVault) gesichert, um Daten vor unberechtigtem Zugriff bei Verlust oder Diebstahl des Geräts zu schützen. Kontrollierte Weitergaben an Dritte. Eine Weitergabe von personenbezogenen Daten an externe Empfänger (z. B. Unterauftragsverarbeiter oder Partner) erfolgt nur gemäß Weisung des Auftraggebers und unter Schutzmaßnahmen. Datentransfers an berechtigte Empfänger finden über sichere, protokollierte Kommunikationskanäle statt (z. B. gesicherte File-Transfers, verschlüsselte Austauschplattformen). Unberechtigte Einsichtnahme oder Veränderung bei der Datenübermittlung wird dadurch verhindert.

Eingabekontrolle

Logging von Änderungen. Zur nachträglichen Überprüfbarkeit wird die Eingabe, Änderung und Löschung personenbezogener Daten in unseren Systemen protokolliert. Wichtige Datenverarbeitungssysteme verfügen über Audit-Logs, die festhalten, welcher Benutzer zu welchem Zeitpunkt welche Daten eingegeben, geändert oder gelöscht hat. Individuelle Benutzerkennungen. Durch den Einsatz individueller Benutzeraccounts (keine anonymen oder gemeinsamen Logins) ist sichergestellt, dass Aktionen im System einer konkreten Person zuordenbar sind. Dies ermöglicht die lückenlose Nachvollziehbarkeit von Datenbearbeitungen und dient der schnellen Aufklärung im Fall von fehlerhaften Eingaben oder Missbrauch. Protokollauswertung. Die Protokolldaten werden vertraulich behandelt und stichprobenartig ausgewertet, insbesondere bei sicherheitsrelevanten Vorfällen. Unregelmäßigkeiten oder unerlaubte Veränderungen an Daten lassen sich so erkennen und geeignete Gegenmaßnahmen können eingeleitet werden.

Trennungs- und Auftragskontrolle

Daten-Trennung nach Zweck und Auftraggeber. Personenbezogene Daten, die für unterschiedliche Zwecke oder von verschiedenen Kunden erhoben wurden, werden technisch und organisatorisch getrennt verarbeitet. Es bestehen Mandantentrennungen bzw. logische Datenbank-Trennungen, sodass Daten nur innerhalb des jeweils vorgesehenen Verarbeitungszwecks genutzt werden. Test- und Produktivdaten werden strikt getrennt gehalten. Eine Vermischung von Daten verschiedener Auftraggeber ist ausgeschlossen. Verarbeitung nur nach Weisung. Der Auftragsverarbeiter garantiert, dass er die überlassenen personenbezogenen Daten ausschließlich auf dokumentierte Weisung des Auftraggebers verarbeitet (gemäß Art. 28 Abs. 3 DSGVO). Intern sind Mitarbeiter auf diesen Weisungsgrundsatz verpflichtet, und es wird sichergestellt, dass keine Verarbeitung zu anderen, vom Auftraggeber nicht gedeckten Zwecken erfolgt (keine eigenmächtige Nutzung der Daten). Einsatz von Unterauftragsverarbeitern. Etwaige Unterauftragsverarbeiter (Sub-Dienstleister) werden nur mit vorheriger Zustimmung des Auftraggebers eingebunden. Sie werden vertraglich auf die gleichen Datenschutzpflichten verpflichtet und ebenfalls zur Einhaltung angemessener TOMs angehalten. Der Auftragsverarbeiter überprüft seine Dienstleister sorgfältig und stellt sicher, dass auch diese die vereinbarten Schutzmaßnahmen einhalten. Datenrückgabe und -löschung. Nach Abschluss des Auftrags oder auf Anforderung stellt der Auftragsverarbeiter sämtliche personenbezogene Daten des Auftraggebers bereit oder löscht diese ordnungsgemäß, entsprechend den vertraglichen Vereinbarungen. Die Löschung von Daten erfolgt nach dokumentierten Verfahren und wird protokolliert. Dadurch wird das Prinzip der Zweckbindung und Datenminimierung konsequent umgesetzt.

Verfügbarkeits- und Wiederherstellungskontrolle

Ausfallsichere Infrastruktur. Die Systeme zur Datenverarbeitung laufen auf hochverfügbaren Infrastrukturen. Unsere Server und Cloud-Dienste befinden sich in professionellen Umgebungen mit Notstromversorgung (USV), Klimatisierung, Brandmelde- und Löschanlagen sowie regelmäßiger Wartung. Diese Vorkehrungen schützen vor technischen Ausfällen und Umweltgefahren, sodass die Verfügbarkeit der Daten auch bei Zwischenfällen so weit wie möglich gewährleistet bleibt. Regelmäßige Datensicherungen. Es ist ein verbindliches Backup-Konzept implementiert. Wichtige Daten werden regelmäßig gesichert (automatisierte tägliche bzw. wöchentliche Backups, je nach Datenart) und auf sicheren Speichermedien vorgehalten. Backup-Daten werden an getrennten, gesicherten Speicherorten aufbewahrt (geografisch verteilt oder in der Cloud bei anderem Rechenzentrum), um sie vor Diebstahl, Feuer oder sonstigem Verlust am Hauptstandort zu schützen. Wiederherstellungsmaßnahmen. Die Integrität der Backups und die Wiederherstellbarkeit der Daten werden geprüft. Es existieren definierte Verfahren für die Datenwiederherstellung im Notfall (Disaster-Recovery-Plan). In regelmäßigen Abständen wird getestet, dass gesicherte Daten erfolgreich zurückgespielt werden können und die Systeme innerhalb angemessener Zeit wieder anlaufen. Somit ist sichergestellt, dass selbst im Falle eines technischen Zwischenfalls (z. B. Hardwaredefekt oder Datenpanne) die personenbezogenen Daten zeitnah wieder verfügbar sind.

Datenschutz durch Technikgestaltung

Datenminimierung und Zweckbindung. Unsere Dienstleistungen und IT-Systeme sind nach dem Prinzip Datenschutz durch Technikgestaltung konzipiert. Es werden nur solche personenbezogenen Daten erhoben und verarbeitet, die für den jeweiligen Zweck erforderlich sind (Grundsatz der Datenminimierung). Voreinstellungen in unseren Anwendungen sind datenschutzfreundlich. Funktionen, die nicht für den Auftrag erforderlich sind, sind standardmäßig deaktiviert, und Benutzer haben Kontrolle über ihre Daten. Pseudonymisierung. Wo immer möglich, setzen wir auf Pseudonymisierung oder Anonymisierung personenbezogener Daten. Soweit der Verarbeitungszweck es zulässt, werden identifizierende Merkmale durch Codes oder Platzhalter ersetzt, sodass ohne zusätzliche Informationen keine direkte Zuordnung zu einer Person erfolgen kann. Dies reduziert das Risiko für Betroffene, falls Unbefugte Zugang zu Daten erlangen sollten. Sichere Entwicklung und Voreinstellungen. Neue Systeme oder Funktionen werden unter Sicherheits- und Datenschutzaspekten entworfen. Wir berücksichtigen frühzeitig die Vorgaben der DSGVO (Privacy by Design) bei der technischen Konzeption. Zum Beispiel werden Zugriffsrechte standardmäßig restriktiv vergeben (Prinzip der Voreinstellung auf höchstmögliche Privatsphäre), und es gibt Richtlinien für sichere Programmierung und Konfiguration (Orientierung an Best Practices wie OWASP Top 10 für Webanwendungen). Änderungen an IT-Systemen durchlaufen einen Freigabeprozess, der auch datenschutzrechtliche Auswirkungen beleuchtet. Dadurch stellen wir sicher, dass Datenschutz und Datensicherheit von Anfang an integraler Bestandteil unserer Dienstleistungen sind.

Mitarbeiterverpflichtung und -schulung

Vertraulichkeitsverpflichtung. Alle Mitarbeiter des Auftragsverarbeiters sind schriftlich auf Vertraulichkeit verpflichtet worden (Datengeheimnis gemäß Art. 28 Abs. 3 Satz 2 lit. b DSGVO und § 53 BDSG). Sie wurden instruiert, personenbezogene Daten ausschließlich nach Weisung zu verarbeiten und unbefugt weder weiterzugeben noch zu eigenen Zwecken zu nutzen. Verstöße gegen die Geheimhaltungspflicht werden arbeitsrechtlich sanktioniert. Schulung und Sensibilisierung. Der Auftragsverarbeiter stellt durch regelmäßige Schulungen sicher, dass alle Mitarbeiter datenschutz- und IT-sicherheitsbewusst handeln. Neue Mitarbeiter erhalten zum Einstieg eine Datenschutz- und IT-Sicherheitsunterweisung (Onboarding-Schulung), in der die grundlegenden DSGVO-Anforderungen, internen Sicherheitsrichtlinien (Passwortschutz, Clean-Desk-Prinzip, Erkennung von Phishing etc.) und Verhaltensregeln vermittelt werden. Zudem findet mindestens einmal jährlich eine Auffrischungs- bzw. Fortbildung für sämtliches Personal statt, um das Wissen aktuell zu halten. Awareness-Kultur. Durch organisatorische Maßnahmen fördern wir eine Kultur der Datensicherheit im Unternehmen. Dies umfasst z. B. regelmäßige Erinnerungen an Best Practices, Hinweise auf aktuelle Bedrohungen (wie Social Engineering) und interne Anweisungen zum sicheren Umgang mit Informationen. Die Teilnahme an Schulungen wird dokumentiert und der Schulungsplan bei Bedarf an neue Risiken oder Vorgaben der Aufsichtsbehörden angepasst. So ist gewährleistet, dass das gesamte Team die technischen und organisatorischen Schutzmaßnahmen versteht und im Arbeitsalltag gewissenhaft umsetzt.

Anlage 4: Wartungsvertrag

zwischen der werkbank://digital GmbH, Kantstraße 127, 10625 Berlin — nachfolgend „Dienstleister” — und dem im jeweiligen Projektangebot bezeichneten Kunden — nachfolgend „Kunde”. Dienstleister und Kunde gemeinsam „Parteien”. Beide Parteien sind Unternehmer im Sinne von § 14 BGB und Kaufleute im Sinne von § 1 HGB. Gemäß dem zwischen den Parteien geschlossenen Rahmenvertrag ist die Nachbetreuung der in der Umsetzungsphase implementierten Lösungen nach Projektende optional und setzt einen gesonderten Wartungsvertrag voraus. Die Parteien schließen daher den vorliegenden Wartungsvertrag (Post-Go-Live), um Wartung, Support und eine etwaige Weiterentwicklung der implementierten Systeme und Tools nach Projektabschluss (Go-Live) vertraglich zu regeln.

§ 1 Vertragsgegenstand

Der Dienstleister erbringt für den Kunden, beginnend nach Projektabschluss (Go-Live) der jeweiligen Umsetzungsphase, Leistungen der fortlaufenden Wartung und Unterstützung (Support) der in der Umsetzungsphase implementierten Lösungen und Tools. Diese Nachbetreuungsleistungen sichern den Betrieb der eingeführten Systeme und ermöglichen kleinere Anpassungen oder Optimierungen nach dem Go-Live.

§ 2 Leistungen (Nachbetreuungspakete)

(1) Nach Abschluss der Umsetzungsphase kann der Kunde zwischen drei monatlichen Betreuungspaketen wählen. Diese Pakete umfassen jeweils ein Stundenkontingent für Support und Weiterentwicklung pro Monat sowie definierte Leistungsinhalte:

(2) Nicht in einem Monat genutzte Stunden des jeweiligen Kontingents verfallen am Monatsende und werden nicht auf Folgemonate übertragen. Etwaig anfallende Mehrstunden, die über das im Paket inkludierte Stundenkontingent hinausgehen, werden nach der jeweils gültigen Preisliste des Dienstleisters zusätzlich in Rechnung gestellt.

(3) Als Teil der Nachbetreuungsleistungen stellt der Dienstleister dem Kunden ein Monitoring-Dashboard bereit, in dem aktuelle Fehler und der Systemstatus laufend überwacht und dokumentiert werden.

(4) Der Wartungs- und Supportumfang erstreckt sich ausschließlich auf die in der Umsetzungsphase implementierten Systeme sowie die in Anlage 1 zum Rahmenvertrag (Tool-Whitelist) aufgeführten Software- und Cloud-Tools. Der Einsatz darüber hinausgehender Tools bedarf der vorherigen schriftlichen Zustimmung beider Parteien. Für Tools, die nicht auf der Whitelist stehen, übernimmt der Dienstleister keine Gewährleistung oder SLA-Verpflichtung.

§ 3 Service Level Agreement (SLA)

(1) Die Supportleistungen des Dienstleisters unterliegen den Bestimmungen des Service Level Agreements (Anlage 2 zum Rahmenvertrag). Insbesondere gelten je nach Fehler-Priorität die in Anlage 2 festgelegten Reaktions- und Lösungszeiten. Maßgeblich ist der Eingang der Störungsmeldung innerhalb der dort definierten Servicezeiten.

(2) Die Servicezeiten des Dienstleisters für Support liegen an Werktagen (Montag bis Freitag) zwischen 09:00 und 17:00 Uhr, ausgenommen gesetzliche Feiertage am Sitz des Dienstleisters. Außerhalb dieser Zeiten eingehende Störungsmeldungen gelten als am nächsten Werktag eingegangen und werden erst dann bearbeitet.

(3) Störungs- und Supportmeldungen sind vom Kunden ausschließlich über die vereinbarten Kommunikationskanäle an den Dienstleister zu richten. Standardmäßig steht hierfür der dedizierte Slack-Support-Channel zur Verfügung; bei kritischen Fehlern kann ergänzend ein sofortiger Video-Call (Google Meet) vereinbart werden. Notfall-Einsätze außerhalb der Servicezeiten werden vom Dienstleister nicht geschuldet. Bei Überschreitung der zugesicherten Reaktions- oder Lösungszeiten erfolgt eine Eskalation an den zuständigen Projektleiter des Dienstleisters; gegebenenfalls kann der Kunde anschließend die Geschäftsführung des Dienstleisters informieren. Weitere Eskalationsstufen ergeben sich aus Anlage 2.

§ 4 Datenschutz und Auftragsverarbeitung

Die Parteien werden alle anwendbaren datenschutzrechtlichen Bestimmungen einhalten, insbesondere die EU-Datenschutz-Grundverordnung (DSGVO) sowie das Bundesdatenschutzgesetz (BDSG). Soweit der Dienstleister im Rahmen der Leistungserbringung für den Kunden personenbezogene Daten verarbeitet, gilt der Auftragsverarbeitungsvertrag (AVV) gemäß Art. 28 DSGVO (Anlage 3 zum Rahmenvertrag) einschließlich der technischen und organisatorischen Maßnahmen (Anlage 3A zum Rahmenvertrag) entsprechend für diesen Wartungsvertrag. Bei etwaigen Widersprüchen zwischen diesem Wartungsvertrag und Anlage 3 zum Rahmenvertrag gehen die Regelungen der Anlage 3 für alle Datenschutzfragen vor.

§ 5 Vergütung und Zahlungsbedingungen

(1) Die monatliche Pauschalvergütung für das gewählte Nachbetreuungspaket (§ 2) ist als Vorauszahlung jeweils zu Beginn eines Monats fällig. Der monatliche Betrag wird vom Dienstleister per SEPA-Lastschrift vom Konto des Kunden eingezogen; der Kunde erteilt hierfür ein entsprechendes Lastschriftmandat. Alle genannten Preise verstehen sich zuzüglich der gesetzlichen Umsatzsteuer.

(2) Leistungen, die über den im Paket enthaltenen Umfang hinausgehen (insbesondere Mehrstunden gemäß § 2 Absatz 2), werden dem Kunden zusätzlich nach Aufwand in Rechnung gestellt, zu den jeweils aktuellen Stundensätzen laut Preisliste des Dienstleisters.

(3) Kommt der Kunde in Zahlungsverzug, gelten die gesetzlichen Bestimmungen. Insbesondere kann der Dienstleister Verzugszinsen in gesetzlicher Höhe verlangen (derzeit 9 Prozentpunkte über dem Basiszinssatz) und seine Leistungen bei Verzug bis zum Ausgleich der rückständigen Beträge zurückhalten. Weitergehende Rechte des Dienstleisters bei Zahlungsverzug bleiben unberührt.

§ 6 Laufzeit und Kündigung

(1) Dieser Wartungsvertrag tritt mit Unterzeichnung durch beide Parteien, frühestens jedoch unmittelbar nach Abschluss der jeweiligen Umsetzungsphase (Go-Live), in Kraft. Er läuft auf unbestimmte Zeit und kann von beiden Parteien mit einer Frist von vier (4) Wochen zum Monatsende ordentlich gekündigt werden. Eine Kündigung bedarf zu ihrer Wirksamkeit der Schriftform.

(2) Entscheidet sich der Kunde, das Wartungspaket vor Go-Live nicht in Anspruch zu nehmen, endet dieser Vertrag automatisch mit Abschluss der Umsetzungsphase (Go-Live).

(3) Das Recht zur Kündigung aus wichtigem Grund bleibt unberührt. Eine außerordentliche Kündigung muss ebenfalls schriftlich erfolgen und den wichtigen Kündigungsgrund benennen.

§ 7 Datenrückgabe und -löschung

Nach Beendigung dieses Vertrags hat der Dienstleister alle Unterlagen, Dateien, Konfigurationen und sonstigen System-Artefakte, die dem Kunden gehören oder ihn betreffen, an den Kunden herauszugeben oder, nach Wahl des Kunden, datenschutzgerecht zu löschen. Diese Rückgabe bzw. Löschung erfolgt spätestens innerhalb von 3 Monaten nach Vertragsende. Der Dienstleister wird dem Kunden auf Verlangen die vollständige Durchführung der Datenlöschung schriftlich bestätigen und dabei den Vorgang sowie das Datenformat der Rückgabe dokumentieren. Gesetzliche Aufbewahrungspflichten des Dienstleisters bleiben unberührt; in einem solchen Fall tritt an die Stelle der Löschung die Sperrung der betreffenden Daten bis zum Ablauf der gesetzlichen Aufbewahrungsfrist.

§ 8 Schlussbestimmungen

(1) Schriftformklausel. Sämtliche Änderungen oder Ergänzungen dieses Vertrags bedürfen zu ihrer Wirksamkeit der Schriftform. Eine einfache elektronische Mitteilung (z. B. per E-Mail) genügt nicht. Dies gilt auch für eine Änderung dieses Schriftformerfordernisses selbst.

(2) Vertragsbestandteile und Rangfolge. Die folgenden Anlagen zum Rahmenvertrag finden auf diesen Wartungsvertrag entsprechend Anwendung: Anlage 1 (Tool-Whitelist), Anlage 2 (Service Level Agreement), Anlage 3 (Auftragsverarbeitungsvertrag) einschließlich Anlage 3A (Technische und organisatorische Maßnahmen). Im Falle von Widersprüchen zwischen diesem Wartungsvertrag und seinen Bestandteilen gilt folgende Rangfolge: 1. dieser Wartungsvertrag, 2. Anlage 3 (AVV) einschließlich Anlage 3A (TOMs), vorrangig für Datenschutzthemen, 3. Anlage 2 (Service Level Agreement), 4. Anlage 1 (Tool-Whitelist).

(3) Gerichtsstand und Rechtswahl. Ausschließlicher Gerichtsstand für alle Streitigkeiten aus oder im Zusammenhang mit diesem Vertrag ist, soweit gesetzlich zulässig, Berlin. Es gilt das Recht der Bundesrepublik Deutschland unter Ausschluss des UN-Kaufrechts (CISG).

(4) Salvatorische Klausel. Sollte eine Bestimmung dieses Vertrags unwirksam oder undurchführbar sein oder werden, bleibt der Vertrag im Übrigen wirksam. Die Parteien werden die unwirksame Bestimmung einvernehmlich durch eine solche rechtswirksame Bestimmung ersetzen, die dem wirtschaftlichen Sinn und Zweck der unwirksamen Klausel am nächsten kommt. Entsprechendes gilt für das Schließen etwaiger Vertragslücken.

(5) Vertragssprache. Die Vertragssprache ist Deutsch.