Legal information

Framework for the processing of orders pursuant to Art. 28 DSGVO Version 2026-08-02.1

Dieser öffentliche Rahmen beschreibt die vorgesehenen Pflichten, ist aber ohne eindeutig bezeichnete Vertragsparteien, Gegenstand, Laufzeit und Unterzeichnung noch kein abgeschlossener Auftragsverarbeitungsvertrag. Für jeden produktiven Mandanten ist eine individualisierte Vereinbarung mit Anlagen zu technischen Maßnahmen und Unterauftragsverarbeitern abzuschließen.

1. Roles, object and duration

Der Mandant ist Verantwortlicher für seine Fachverfahren. Der Betreiber verarbeitet die in Entiflow gespeicherten Fach- und Portaldaten im Auftrag. Gegenstand sind Hosting, Speicherung, strukturierte Bearbeitung, Sicherung, Support, Export und Löschung der vereinbarten Module. Die Verarbeitung dauert für die Vertragslaufzeit zuzüglich vereinbarter Rückgabe- und Löschfristen.

2. Data and data subjects

Je nach Modul können Stamm-, Kontakt-, Konto-, Vertrags-, Vergabe-, Beitrags-, Buchhaltungs-, Beschäftigten-, Sicherheits-, Gesundheits-, Hinweisgeber- und Protokolldaten betroffen sein, einschließlich besonderer Kategorien nach Art. 9 und Daten nach Art. 10 DSGVO. Betroffene können Beschäftigte, Bewerber, Antragsteller, Lieferanten, Mitglieder, Ehrenamtliche, Hinweisgeber, Kunden und weitere Verfahrensbeteiligte sein. Der konkrete Umfang ist je Mandant in einem Verarbeitungskatalog festzuhalten.

3. Instruction, confidentiality and purpose limitation

Der Betreiber verarbeitet nur auf dokumentierte Weisung, informiert bei erkennbar rechtswidrigen Weisungen und bindet zugriffsberechtigte Personen an Vertraulichkeit. Eigene Werbung, Verkauf von Mandantendaten oder Modelltraining mit Mandantendaten sind nicht gestattet, sofern dies nicht gesondert rechtmäßig vereinbart wurde.

4. Security and support

Der Betreiber trifft risikogerechte Maßnahmen nach Art. 32 DSGVO, darunter Mandantentrennung, Rollenrechte, sichere Passwörter, verschlüsselte Übertragung, Protokollierung, Sicherungen, Aktualisierungen, Wiederherstellungs- und Vorfallverfahren. Er unterstützt im vereinbarten Umfang bei Betroffenenrechten, Datenschutz-Folgenabschätzungen, Konsultationen und Meldungen nach Art. 33 und 34 DSGVO.

5. Unterauftragsverarbeiter

Unterauftragsverarbeiter werden nur mit vorheriger besonderer oder allgemeiner schriftlicher Genehmigung eingesetzt. Bei allgemeiner Genehmigung werden Änderungen vorab mit Widerspruchsmöglichkeit angekündigt. Gleichwertige Datenschutzpflichten sind vertraglich weiterzugeben.

The binding subcontract list must be completed before the conclusion of the contract.

6. Evidence, verification, return and cancellation

Der Betreiber stellt erforderliche Nachweise bereit und ermöglicht verhältnismäßige Prüfungen nach angemessener Vorankündigung, ohne Sicherheit oder Rechte anderer Mandanten zu gefährden. Nach Vertragsende werden Daten nach Wahl und Weisung des Mandanten zurückgegeben oder gelöscht, soweit keine gesetzliche Pflicht entgegensteht. Löschung von Sicherungskopien erfolgt im vereinbarten technischen Zyklus und wird dokumentiert.