Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO

zwischen

[Name der Beratungsstelle oder Praxis, Träger, Anschrift],
vertreten durch [Name, Funktion],
als Verantwortliche (im Folgenden „Stelle“)

und

Heiner Fischer, Männerberatung & Prävention, Vom-Bruck-Platz 30, 47805 Krefeld
als Auftragsverarbeiter (im Folgenden „Betreiber“)

§ 1 Gegenstand und Dauer

1. Der Betreiber betreibt für die Stelle die Plattform onlineberatung.digital nach den Nutzungsbedingungen (Teil B). Dabei verarbeitet er personenbezogene Daten im Auftrag der Stelle. Was genau, steht in Anlage 1.
2. Dieser Vertrag beginnt mit dem Vertrag über die Nutzung (§ 7 der Nutzungsbedingungen). In der Testzeit verarbeitet die Stelle keine echten Daten von Ratsuchenden.
3. Der Vertrag gilt, solange der Vertrag über die Nutzung läuft, und danach, bis alle Daten der Stelle nach § 9 gelöscht sind.

§ 2 Was nicht unter diesen Vertrag fällt

1. Für folgende Verarbeitungen ist der Betreiber selbst verantwortlich. Sie stehen in seiner Datenschutzerklärung:
   • die Website, das Verzeichnis und die öffentlichen Seiten der Stelle und ihrer Berater*innen,
   • die Konten der Fachkräfte mit Anmeldung und Zwei-Faktor-Anmeldung,
   • Schutz gegen Angriffe, etwa Zähler für Anmeldeversuche, und die Prüfung neuer Passwörter von Fachkräften gegen bekannte Datenlecks,
   • die Abrechnung der Lizenzen mit der Stelle, Kontakt und Kündigung,
   • die Statistik der Besuche auf öffentlichen Seiten mit Einwilligung, wenn sie eingeschaltet ist. Sie zählt nie nach einer Anmeldung, nie im Raum und nie bei einer Buchung.
2. Dienste, die die Stelle oder ihre Berater*innen selbst anbinden (Zoom, Kalender bei Microsoft oder Google, eigener Videolink), setzt die Stelle in eigener Verantwortung ein. Sie schließt dafür selbst die nötigen Verträge mit dem Anbieter. Die Plattform übergibt diesen Diensten im Auftrag der Stelle nur die Angaben, die in den Nutzungsbedingungen (§ 11) und der Datenschutzerklärung stehen.
3. Der Betreiber darf aus den Daten Summen ohne Bezug zu einzelnen Ratsuchenden bilden, zum Beispiel Videominuten oder Zahl der Termine je Stelle, und sie für Abrechnung, faire Nutzung, Planung und Sicherheit verwenden.

§ 3 Weisungen

1. Der Betreiber verarbeitet die Daten nur auf dokumentierte Weisung der Stelle. Das gilt auch für eine Übermittlung in ein Land außerhalb des Europäischen Wirtschaftsraums. Weisungen sind dieser Vertrag, die Einstellungen der Stelle in der Plattform (zum Beispiel Löschfrist, Video im Raum, KI-Entwurf) und Einzelweisungen in Textform.
2. Weisungen geben die Leitung der Stelle und die Personen, die die Stelle in Anlage 4 nennt. Mündliche Weisungen bestätigt die Stelle in Textform. Weisungen empfängt der Betreiber unter hallo@heinerfischer.de.
3. Hält der Betreiber eine Weisung für rechtswidrig, sagt er das der Stelle unverzüglich (Art. 28 Abs. 3 Satz 3 DSGVO). Er darf die Weisung aussetzen, bis die Stelle sie bestätigt oder ändert.
4. Verpflichtet ihn ein Gesetz zu einer anderen Verarbeitung, teilt der Betreiber das der Stelle vorher mit, soweit das Gesetz es erlaubt.

§ 4 Vertraulichkeit und Berufsgeheimnis

1. Der Betreiber und alle Personen, die für ihn Zugang zu Daten haben könnten, sind zur Vertraulichkeit verpflichtet, auch nach dem Ende dieses Vertrags.
2. Die Stelle kann Berufsgeheimnisträgerin nach § 203 StGB sein, zum Beispiel als anerkannte Beratungsstelle oder mit staatlich anerkannten Sozialarbeiter*innen. Der Betreiber wirkt dann als sonstige mitwirkende Person an ihrer Tätigkeit mit (§ 203 Abs. 3 Satz 2 StGB). Mit diesem Vertrag verpflichtet er sich zur Geheimhaltung. Die Stelle weist ihn hiermit darauf hin, dass er sich nach § 203 Abs. 4 StGB strafbar macht, wenn er ein fremdes Geheimnis unbefugt offenbart.
3. Setzt der Betreiber weitere Personen ein, die Zugang zu Daten haben könnten, verpflichtet er sie vorher in Textform zur Geheimhaltung und weist sie auf die Strafbarkeit hin (§ 203 Abs. 4 Satz 2 Nr. 2 StGB). Für Unterauftragsverarbeiter gilt § 6 Abs. 4.
4. Die Plattform ist so gebaut, dass der Betreiber Inhalte im normalen Betrieb nicht sieht (Anlage 3). Er nimmt von fremden Geheimnissen nur so viel zur Kenntnis, wie für den Betrieb unbedingt nötig ist. Einen Zugriff auf Inhalte gibt es nur zur Behebung einer Störung, auf ausdrückliche Weisung der Stelle im Einzelfall. Der Betreiber dokumentiert ihn und teilt der Stelle mit, was er gesehen hat.
5. Verlangt eine Behörde oder ein Gericht Daten der Stelle, informiert der Betreiber die Stelle unverzüglich, soweit das erlaubt ist. Er gibt Daten nur heraus, wenn er rechtlich dazu verpflichtet ist, und beruft sich, wo es möglich ist, auf die Rechte der Stelle als Berufsgeheimnisträgerin.

§ 5 Technische und organisatorische Maßnahmen

1. Der Betreiber trifft die Maßnahmen nach Art. 32 DSGVO, die Anlage 3 beschreibt. Die Plattform behandelt alle Inhalte, als wären sie besonders geschützt (Art. 9 DSGVO).
2. Er darf die Maßnahmen weiterentwickeln, wenn das Schutzniveau nicht sinkt. Wesentliche Änderungen teilt er der Stelle in Textform mit.
3. Er prüft die Maßnahmen bei jeder größeren Änderung der Plattform, mindestens einmal im Jahr.
4. Der Betreiber darf die Plattform auch von zu Hause oder unterwegs betreuen. Dabei gelten dieselben Maßnahmen. Er arbeitet nur an eigenen Geräten mit Bildschirmsperre und verschlüsseltem Speicher.

§ 6 Unterauftragsverarbeiter

1. Die Stelle genehmigt die Unterauftragsverarbeiter in Anlage 2.
2. Darüber hinaus erteilt die Stelle eine allgemeine Genehmigung (Art. 28 Abs. 2 DSGVO). Neue oder andere Unterauftragsverarbeiter kündigt der Betreiber mindestens 30 Tage vorher in Textform an. Die Stelle kann innerhalb dieser Frist aus einem wichtigen datenschutzrechtlichen Grund widersprechen. Finden beide keine Lösung, kann die Stelle den Vertrag über die Nutzung zum Tag des Wechsels kündigen.
3. Muss der Betreiber einen Anbieter kurzfristig ersetzen, etwa weil er ausfällt, darf er die Frist verkürzen. Er informiert die Stelle sofort.
4. Der Betreiber verpflichtet jeden Unterauftragsverarbeiter vertraglich auf dieselben Datenschutzpflichten wie in diesem Vertrag (Art. 28 Abs. 4 DSGVO). Soweit der Anbieter Zugang zu Inhalten haben könnte, verpflichtet er ihn auch zur Geheimhaltung nach § 203 StGB oder sorgt durch Verschlüsselung dafür, dass der Anbieter keine Inhalte lesen kann.
5. Daten verlassen den Europäischen Wirtschaftsraum nur, wenn die Bedingungen von Kapitel V DSGVO erfüllt sind. Anlage 2 nennt die Garantie je Anbieter.
6. Kommt ein Unterauftragsverarbeiter seinen Pflichten nicht nach, haftet der Betreiber gegenüber der Stelle dafür (Art. 28 Abs. 4 Satz 2 DSGVO).
7. Keine Unterauftragsverarbeitung sind Nebenleistungen, bei denen ein Anbieter keine Daten der Stelle verarbeitet, zum Beispiel Telefon, Internetzugang oder Post. Auch dabei sorgt der Betreiber für angemessenen Schutz.

§ 7 Unterstützung der Stelle

1. Rechte der Betroffenen (Art. 15 bis 22 DSGVO): Vieles erledigt die Stelle selbst in der Plattform. Ratsuchende laden ihre Nachrichten im Raum herunter und löschen ihr Konto selbst. Die Stelle löscht abgeschlossene Räume und Fälle. Wo das nicht reicht, hilft der Betreiber. Anfragen, die bei ihm eingehen, leitet er unverzüglich an die Stelle weiter und beantwortet sie nicht selbst.
2. Sicherheit, Meldungen, Folgenabschätzung (Art. 32 bis 36 DSGVO): Der Betreiber unterstützt die Stelle mit den Angaben aus Anlage 3 und einer Vorlage für die Datenschutz-Folgenabschätzung.
3. Verzeichnis der Verarbeitungstätigkeiten: Der Betreiber führt ein Verzeichnis seiner Tätigkeiten als Auftragsverarbeiter (Art. 30 Abs. 2 DSGVO) und zeigt es der Stelle auf Wunsch. Für ihr eigenes Verzeichnis (Art. 30 Abs. 1 DSGVO) gibt er ihr die nötigen Angaben.
4. Die Unterstützung ist im Preis der Lizenz enthalten, soweit sie im normalen Betrieb anfällt. Größeren Aufwand, den die Stelle verursacht, kann der Betreiber nach vorheriger Absprache berechnen.

§ 8 Verletzungen des Schutzes

1. Der Betreiber meldet der Stelle eine Verletzung des Schutzes personenbezogener Daten unverzüglich, möglichst innerhalb von 24 Stunden, nachdem er davon erfahren hat. Die Meldung enthält, soweit bekannt, die Angaben nach Art. 33 Abs. 3 DSGVO: was passiert ist, welche Daten und wie viele Personen ungefähr betroffen sind, die wahrscheinlichen Folgen und was er dagegen tut. Fehlende Angaben reicht er nach.
2. Er ergreift sofort Maßnahmen, um den Schaden zu begrenzen, und dokumentiert den Vorfall.
3. Die Meldung an die Aufsichtsbehörde und die Benachrichtigung der Betroffenen sind Sache der Stelle. Der Betreiber unterstützt sie dabei. Er informiert Betroffene nur, wenn die Stelle ihn anweist.

§ 9 Löschung und Rückgabe

1. Während des Vertrags löscht die Plattform nach den Fristen, die die Stelle einstellt (Anlage 3, Abschnitt 4).
2. Kopien der Daten erstellt der Betreiber nur als Sicherungen (Anlage 3, Abschnitt 3) und soweit ein Gesetz es verlangt.
3. Endet der Vertrag, gibt der Betreiber der Stelle nach ihrer Wahl ihre Daten in einem gängigen Format heraus oder löscht sie. Die Stelle teilt ihre Wahl bis spätestens 30 Tage nach dem Ende mit.
4. Spätestens 30 Tage nach dem Ende des Vertrags löscht der Betreiber alle Daten der Stelle, soweit kein Gesetz ihn zur Aufbewahrung verpflichtet. In den verschlüsselten Sicherungen sind sie spätestens 30 Tage danach gelöscht.
5. Der Betreiber bestätigt die Löschung auf Wunsch in Textform.

§ 10 Nachweise und Kontrollen

1. Der Betreiber stellt der Stelle die Informationen bereit, die sie zum Nachweis der Pflichten aus Art. 28 DSGVO braucht: Anlage 3, Auskunft zu einzelnen Maßnahmen und nach Absprache Einsicht in den Quellcode der Plattform.
2. Die Stelle oder eine von ihr beauftragte Person, die zur Verschwiegenheit verpflichtet ist, kann prüfen, ob der Betreiber diesen Vertrag einhält. In der Regel geschieht das durch Fragen und Unterlagen. Wenn nötig, ist eine Prüfung vor Ort nach Anmeldung mindestens 14 Tage vorher möglich, an Werktagen zu den üblichen Zeiten und ohne unverhältnismäßige Störung des Betriebs. Rechenzentren der Unterauftragsverarbeiter prüft die Stelle über deren Nachweise und Zertifikate.
3. Jede Seite trägt ihre eigenen Kosten einer Prüfung.
4. Der Betreiber informiert die Stelle unverzüglich über Kontrollen und Maßnahmen einer Aufsichtsbehörde, soweit sie diesen Auftrag betreffen. Wird die Stelle selbst wegen dieser Verarbeitung geprüft, in einem Verfahren befragt oder von Betroffenen in Anspruch genommen, unterstützt er sie.
5. Benennt der Betreiber jemanden als Datenschutzbeauftragte*n, teilt er der Stelle Namen und Kontakt mit. Dasselbe gilt, wenn die Person wechselt.

§ 11 Pflichten der Stelle

1. Die Stelle ist dafür verantwortlich, dass die Verarbeitung rechtmäßig ist. Sie hat eine Rechtsgrundlage, informiert die Ratsuchenden in einem eigenen Datenschutzhinweis und nennt dort ihre Löschfrist.
2. Sie wählt in der Plattform eine Löschfrist, die zu ihrem Zweck passt, schließt beendete Beratungen ab und prüft, ob sie eine Datenschutz-Folgenabschätzung braucht.
3. Sie gibt Konten nur Personen, die für sie arbeiten, verpflichtet sie zur Verschwiegenheit und entzieht ihnen den Zugang, sobald sie ausscheiden.
4. Sie informiert den Betreiber unverzüglich, wenn sie Fehler oder Unregelmäßigkeiten beim Datenschutz bemerkt.
5. Sie nennt in Anlage 4, wer Weisungen geben darf, eine Ansprechperson für den Datenschutz und ihre Datenschutzbeauftragten, wenn es welche gibt. Ändert sich etwas, teilt sie es in Textform mit.

§ 12 Haftung

1. Gegenüber Betroffenen gilt Art. 82 DSGVO.
2. Im Verhältnis zwischen Stelle und Betreiber haftet jede Seite für Schäden aus ihrem Verantwortungsbereich (Art. 82 Abs. 5 DSGVO). Im Übrigen gilt § 24 der Nutzungsbedingungen, soweit das Gesetz nichts anderes zwingend vorschreibt.

§ 13 Kirchliche und öffentliche Träger

1. Gilt für die Stelle das Gesetz über den Kirchlichen Datenschutz (KDG) oder das Datenschutzgesetz der Evangelischen Kirche in Deutschland (DSG-EKD), gelten dessen Regeln zur Auftragsverarbeitung ergänzend. Der Betreiber hält sie ein und unterwirft sich insoweit der Kontrolle der zuständigen kirchlichen Datenschutzaufsicht.
2. Ist die Stelle eine öffentliche Stelle, gilt ergänzend das für sie geltende Datenschutzgesetz des Bundes oder Landes.
3. Einzelheiten stimmen Stelle und Betreiber mit den Datenschutzbeauftragten der Stelle ab. Was sie vereinbaren, ergänzt diesen Vertrag als Anlage 5.

§ 14 Rangfolge

Bei Widersprüchen geht dieser Vertrag den Nutzungsbedingungen vor, soweit es um den Datenschutz geht. Anlage 3 geht anderen Beschreibungen der Plattform vor.

§ 15 Schluss

1. Änderungen dieses Vertrags brauchen Textform. Ändert sich Anlage 2 oder Anlage 3, gilt § 6 und § 5. Anlage 4 ändert die Stelle durch eine Mitteilung in Textform.
2. Ist eine Bestimmung unwirksam, bleibt der übrige Vertrag wirksam.
3. Es gilt deutsches Recht. Für den Gerichtsstand gilt § 28 der Nutzungsbedingungen.
4. Der Vertrag wird elektronisch geschlossen (Art. 28 Abs. 9 DSGVO), auf Wunsch des Trägers auch mit Unterschrift auf Papier.

[Ort, Datum, Name und Funktion für die Stelle]
[Ort, Datum, Heiner Fischer]

Anlage 1: Beschreibung der Verarbeitung

Anlage 2: Unterauftragsverarbeiter

Keine Unterauftragsverarbeiter dieses Vertrags sind:

• Dienste, die die Stelle selbst anbindet: Zoom, Kalender bei Microsoft oder Google, eigene Videolinks (§ 2 Abs. 2).
• Lexware Office für die Rechnungen an die Stelle (eigene Verantwortung des Betreibers).
• Have I Been Pwned für die Prüfung neuer Passwörter von Fachkräften. Dorthin gehen nur die ersten 5 Zeichen eines Prüfwerts (eigene Verantwortung).
• Matomo für die Statistik öffentlicher Seiten, auf dem eigenen Server des Betreibers, wenn eingeschaltet (eigene Verantwortung).

Anlage 3: Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

Beschreibt die Plattform onlineberatung.digital (Software „Beratungsraum“), wie sie am 28. Oktober 2026 gebaut ist. Maßstab sind auch die „Datenschutzanforderungen an Online-Beratungsangebote“ der Berliner Beauftragten für Datenschutz und Informationsfreiheit (Stand 20.12.2021). Die Tabelle am Ende ordnet die Maßnahmen diesen Anforderungen zu.

1. Vertraulichkeit

Zutritt und Zugang zum Server

• Server bei Hostinger in einem Rechenzentrum in Deutschland. Den Zutritt regelt Hostinger.
• Nach außen erreichbar sind nur die Web-App und der Dienst für das Whiteboard, beide über einen Proxy mit TLS. Datenbank, Zwischenspeicher, Warteschlange und Sicherung haben keinen Zugang von außen.
• Ein Sprachmodell auf dem eigenen Server, falls eingeschaltet, hängt nur in einem internen Netz ohne Internet.
• Zugang zum Server hat nur der Betreiber, per SSH-Schlüssel.

Zugang zur Plattform

• Ratsuchende melden sich nur mit Pseudonym und Passwort an. Klarname, Telefonnummer und E-Mail-Adresse sind nicht nötig. Eine E-Mail-Adresse für Hinweise ist freiwillig.
• Für alle Fachkräfte und den Betrieb ist die Zwei-Faktor-Anmeldung Pflicht (Code aus einer App oder Passkey), auch in der Verwaltung.
• Passwörter von Fachkräften haben mindestens 12 Zeichen und werden gegen bekannte Datenlecks geprüft. Dabei verlässt nur ein Teil eines Prüfwerts den Server.
• Grenzen gegen Durchprobieren bei Anmeldung, Buchung, Selbstanmeldung und Wiederherstellung, gezählt je IP-Adresse und Pseudonym höchstens eine Stunde.
• Die Menschenprüfung bei Buchungen (ALTCHA) läuft ohne Cookies und ohne fremde Server.
• Sitzungen enden nach zwei Stunden ohne Aktivität und werden danach gelöscht. Sie sind verschlüsselt und enthalten keine IP-Adresse.
• Gesperrte Konten kommen nirgends mehr hinein.

Zugriff innerhalb der Plattform

• Einen Raum oder Fall sehen nur die zuständige Berater*in und, wenn eingetragen, eine Co-Berater*in derselben Stelle. Fremde Räume liefern „nicht gefunden“.
• Die Leitung einer Stelle sieht keine Inhalte, nur die Statistik ohne Namen. Das Sekretariat sieht nur Fälle vor Ort mit Angaben zu Beteiligten und Terminen, nie die Dokumentation.
• Der Betrieb sieht in der Verwaltung Konten, Stellen und Zahlen, keine Inhalte. Eine Funktion, sich als andere Person anzumelden, gibt es nicht.

Verschlüsselung

• Übertragung nur über https mit TLS ab Version 1.2 und HSTS, das Whiteboard über eine verschlüsselte Verbindung.
• Inhalte sind in der Datenbank zusätzlich verschlüsselt (AES-256, Schlüssel getrennt von der Datenbank): Nachrichten, Dokumentation mit allen Fassungen, Falltitel und Angaben zu Beteiligten, Whiteboard-Inhalte, Terminnotizen und Video-Links, Stichworte zu Buchungen, E-Mail-Adressen von Ratsuchenden und Gästen, Geschlecht und Wohnort in der Statistik, Zugangsdaten zu Kalendern und Zoom, Kennungen für Mitteilungen.
• Nicht verschlüsselt sind das Pseudonym, weil die Anmeldung danach sucht, und Metadaten wie Zeiten, Status und Zuordnungen. Eine Ende-zu-Ende-Verschlüsselung der gespeicherten Inhalte gibt es nicht: Wer den Schlüssel und die Datenbank zugleich hat, kann Inhalte lesen.
• Sicherungen werden vor dem Verlassen des Servers mit gpg (AES-256) verschlüsselt. Den Schlüssel hat nur der Betreiber.

Keine fremden Dienste im Browser

• Keine Werbung, keine Social Plug-ins, keine Google Fonts. Schriften und Skripte kommen vom eigenen Server.
• Eine Statistik der Besuche gibt es, wenn eingeschaltet, nur auf öffentlichen Seiten und nur mit Einwilligung, mit Matomo auf dem eigenen Server. Sie lädt nie nach einer Anmeldung, nie im Raum, in Terminen und im Whiteboard, nie in der App und nie in den Formularen zum Buchen, Schreiben und für die Warteliste.
• Eine Sicherheitsrichtlinie für den Browser (Content-Security-Policy) sperrt Skripte, Schriften, Stile und Rahmen fremder Server. Ausnahmen: Videos auf Hilfeseiten von Vimeo, erst nach Klick und mit „Do Not Track“, und Matomo auf den zählenden Seiten.
• Weitere Schutz-Header, unter anderem gegen das Einbetten in fremde Seiten. Kamera und Mikrofon nur für die eigene Seite.

Trennung

• Jede Stelle sieht nur ihre eigenen Fälle, Mitglieder und Zahlen.
• Test- und Entwicklungsumgebungen haben eigene Datenbanken ohne echte Daten.

Pseudonymisierung

• Beratung unter Pseudonym. Statistik der Stellen ohne Namen, Titel und Inhalte, Wohnorte mit weniger als drei Personen zusammengefasst.

2. Integrität

• Änderungen an der Dokumentation werden als Fassungen gespeichert.
• Wichtige Aktionen (Abschließen, Löschen, Übergabe, Sperren, Zurücksetzen der Zwei-Faktor-Anmeldung, KI-Entwurf) werden protokolliert, ohne Inhalte und ohne IP-Adresse, 12 Monate lang. Lesezugriffe werden nicht protokolliert.
• Mails und Mitteilungen enthalten nie Inhalte, Pseudonyme, Titel oder Namen, nur einen Hinweis und einen Link.
• Jede Änderung am Code wird vor dem Ausrollen mit rund 600 automatischen Tests geprüft. Die echte Website wird nur von Hand ausgerollt, nach einer Prüfung auf dem Testserver.

3. Verfügbarkeit und Belastbarkeit

• Jede Nacht eine Sicherung von Datenbank und Dateien mit Prüfsumme und Lesetest, verschlüsselt, 7 Tage auf dem Server und 30 Tage bei Amazon Web Services in Frankfurt. Fehlt eine Sicherung oder schlägt sie fehl, bekommt der Betrieb sofort eine Mail.
• Das Zurückspielen ist beschrieben, wurde am 27.10.2026 auf dem Testserver mit einer Sicherung von AWS vollständig geprobt und wird vierteljährlich wiederholt.
• Dienste starten nach einem Fehler selbst neu. App, Zeitplaner, Warteschlange und Sicherung haben Gesundheitsprüfungen.
• Protokolle der Dienste rotieren und haben eine feste Höchstgröße.

4. Löschung und Datensparsamkeit

• Abgeschlossene Räume und Fälle: 30 Tage zum Lesen, gelöscht nach der Frist der Stelle (6, 12, 24 oder 36 Monate nach dem Abschluss), jede Nacht automatisch. Die Stelle kann abgeschlossene Räume auch früher löschen.
• Konten von Ratsuchenden ohne Raum nach 30 Tagen; Gäste von Videoterminen eine Woche nach dem Termin; Anmeldungen der App nach 14 Tagen ohne Nutzung; Videoräume bei Whereby 90 Minuten nach dem Ende; Protokoll nach 12 Monaten; Statistik der Stelle 10 Jahre nach dem Ende des Jahres.
• Offene Fälle ohne Bewegung werden nicht automatisch gelöscht. Die Berater*in bekommt nach sechs Monaten eine Erinnerung.
• Kein Zugriffsprotokoll mit IP-Adressen: Weder Webserver noch Proxy schreiben ein Access-Log (Proxy geprüft am 27.10.2026). Fehler werden ohne IP-Adresse protokolliert.
• Gelöschte Daten stehen bis zu 30 Tage weiter in den verschlüsselten Sicherungen.

5. Verfahren zur regelmäßigen Überprüfung

• Updates von Abhängigkeiten und Abbildern laufend. Sicherheitsmeldungen zu Laravel, PHP und den eingesetzten Abbildern werden verfolgt.
• Eine Sicherheitsprüfung von außen ist geplant.
• Diese Maßnahmen werden bei jeder größeren Änderung der Plattform geprüft und angepasst, mindestens einmal im Jahr.

Zuordnung zu den Anforderungen der Berliner Datenschutzbeauftragten

Anlage 4: Weisungsberechtigte Personen und Ansprechpersonen

Füllt die Stelle beim Abschluss aus.

Für den Betreiber: Heiner Fischer, hallo@heinerfischer.de.