AUFTRAGSVERARBEITUNGSVERTRAG

TEQQ ApS | Version August 2026

Dieser Auftragsverarbeitungsvertrag (der "AVV") ist Bestandteil der Vereinbarung, Bestellung, des Angebots, der Leistungsbeschreibung oder sonstigen kommerziellen Vereinbarung (die "Vereinbarung") zwischen der TEQQ ApS, CVR-Nr. 43013629, Dänemark ("TEQQ" oder der "Auftragsverarbeiter"), und dem in der jeweiligen Vereinbarung genannten Kunden (der "Kunde" oder der "Verantwortliche").

Der Kunde und TEQQ werden einzeln als "Partei" und gemeinsam als "Parteien" bezeichnet.

1. ZWECK UND ANWENDUNGSBEREICH

1.1 Dieser AVV gilt, soweit und in dem Umfang, in dem TEQQ im Zusammenhang mit den im Rahmen der Vereinbarung erbrachten Leistungen personenbezogene Daten im Auftrag des Kunden verarbeitet.

1.2 Eine solche Verarbeitung kann unter anderem im Zusammenhang mit Folgendem entstehen: Abholung und Transport von IT-Geräten; Entgegennahme, Erfassung und sichere Lagerung von IT-Geräten; Prüfung und Test von Geräten; Datenbereinigung und Datenlöschung; physische Vernichtung datentragender Medien; Aufbereitung und Vorbereitung von Geräten zur Wiederverwendung; Erstellung von Lösch-, Vernichtungs-, Chain-of-Custody- oder sonstiger Dokumentation; sowie sonstige vereinbarte Dienstleistungen im Rahmen des IT-Asset-Lebenszyklus.

1.3 Dieser AVV begründet für sich genommen nicht, dass TEQQ hinsichtlich jeder im Rahmen der Vereinbarung durchgeführten Tätigkeit als Auftragsverarbeiter handelt. Die jeweiligen Rollen der Parteien bestimmen sich nach der tatsächlichen Verarbeitungstätigkeit und dem anwendbaren Datenschutzrecht.

1.4 Verarbeitet TEQQ personenbezogene Daten zu eigenen berechtigten und unabhängigen Zwecken, einschließlich der gewöhnlichen Geschäftsverwaltung, Rechnungsstellung, Einhaltung rechtlicher Vorgaben und der Verwaltung der Geschäftsbeziehung mit dem Kunden, handelt TEQQ insoweit als eigenständiger Verantwortlicher, und diese Verarbeitung fällt nicht in den Anwendungsbereich dieses AVV.

2. BEGRIFFSBESTIMMUNGEN

Für die Zwecke dieses AVV gilt:

"Datenschutzrecht" bezeichnet die Verordnung (EU) 2016/679 (die "DSGVO") sowie alle anwendbaren nationalen Rechtsvorschriften, die die DSGVO ergänzen oder umsetzen.

"Personenbezogene Daten", "Verarbeitung", "Verantwortlicher", "Auftragsverarbeiter", "betroffene Person", "Verletzung des Schutzes personenbezogener Daten" und "Aufsichtsbehörde" haben die ihnen in der DSGVO zugewiesene Bedeutung.

"Kundengeräte" bezeichnet IT-Geräte, Speichermedien oder sonstige Vermögensgegenstände, die TEQQ im Zusammenhang mit den Leistungen anvertraut werden.

"Leistungen" bezeichnet die von TEQQ im Rahmen der jeweiligen Vereinbarung erbrachten Dienstleistungen.

"Unterauftragsverarbeiter" bezeichnet einen weiteren Auftragsverarbeiter, den TEQQ mit der Verarbeitung personenbezogener Daten im Auftrag des Kunden beauftragt.

3. VERANTWORTLICHKEITEN UND WEISUNGEN DES KUNDEN

3.1 Der Kunde ist dafür verantwortlich, sicherzustellen, dass: (a) seine Verarbeitung personenbezogener Daten dem anwendbaren Datenschutzrecht entspricht; (b) er über eine geeignete Rechtsgrundlage für die Verarbeitung und die Beauftragung von TEQQ mit der Erbringung der Leistungen verfügt; (c) alle an TEQQ erteilten Weisungen dem anwendbaren Recht entsprechen; (d) auf Kundengeräten enthaltene personenbezogene Daten rechtmäßig erhoben und verarbeitet wurden; und (e) er TEQQ ausreichende Informationen und Weisungen zur Verfügung stellt, damit TEQQ seine Pflichten aus diesem AVV erfüllen kann.

3.2 TEQQ verarbeitet personenbezogene Daten nur auf dokumentierte Weisung des Kunden, einschließlich soweit dies zur Erbringung der Leistungen im Rahmen der Vereinbarung erforderlich ist, sofern nicht die Verarbeitung nach anwendbarem Unionsrecht oder dem Recht eines Mitgliedstaats vorgeschrieben ist.

3.3 Ist TEQQ gesetzlich verpflichtet, personenbezogene Daten abweichend von den Weisungen des Kunden zu verarbeiten, informiert TEQQ den Kunden vor der Verarbeitung über diese gesetzliche Verpflichtung, sofern dies nicht gesetzlich untersagt ist.

3.4 TEQQ informiert den Kunden unverzüglich, wenn eine Weisung nach vernünftigem Ermessen von TEQQ gegen anwendbares Datenschutzrecht verstößt.

3.5 TEQQ kann die Ausführung einer Weisung, die es nach vernünftigem Ermessen für rechtswidrig hält, aussetzen, bis der Kunde die Weisung bestätigt, ändert oder zurückzieht.

4. AUF KUNDENGERÄTEN ENTHALTENE PERSONENBEZOGENE DATEN

4.1 Der Kunde nimmt zur Kenntnis, dass Kundengeräte bei Übergabe in den Gewahrsam von TEQQ personenbezogene Daten enthalten können.

4.2 TEQQ benötigt für eigene Zwecke keinen Zugriff auf den Inhalt der auf Kundengeräten gespeicherten personenbezogenen Daten und wird diesen Inhalt nicht absichtlich einsehen, nutzen, kopieren, offenlegen oder anderweitig verarbeiten, außer: (a) soweit zur Erbringung der vereinbarten Leistungen erforderlich; (b) soweit bei der Erbringung der Leistungen technisch unvermeidbar; (c) gemäß dokumentierter Weisung des Kunden; oder (d) soweit nach anwendbarem Recht vorgeschrieben.

4.3 TEQQ führt die Datenbereinigung oder -vernichtung, soweit vernünftigerweise praktikabel, ohne Einsichtnahme in den zugrunde liegenden, auf dem jeweiligen Medium gespeicherten Inhalt durch.

4.4 Sofern nicht ausdrücklich anders vereinbart, erstellt TEQQ keine Kopien oder Sicherungen der auf Kundengeräten enthaltenen personenbezogenen Daten.

4.5 Können datentragende Medien nicht erfolgreich nach der vereinbarten Methode bereinigt werden, kann TEQQ, soweit vereinbart oder zur sicheren Entsorgung angemessenerweise erforderlich, das betreffende Medium physisch vernichten und diese Vernichtung dokumentieren.

5. VERTRAULICHKEIT UND BERECHTIGTES PERSONAL

5.1 TEQQ stellt sicher, dass zur Verarbeitung personenbezogener Daten berechtigte Personen: (a) personenbezogene Daten nur soweit zur Erfüllung ihrer Aufgaben erforderlich verarbeiten; (b) angemessenen Vertraulichkeitsverpflichtungen unterliegen; und (c) angemessene, für ihren Verantwortungsbereich relevante Sicherheits- und Betriebsanweisungen erhalten.

5.2 Der Zugang zu Kundengeräten und personenbezogenen Daten wird auf Mitarbeiter und berechtigte Parteien beschränkt, die diesen Zugang zur Erbringung der Leistungen benötigen.

5.3 Die Vertraulichkeitsverpflichtungen nach diesem Abschnitt bestehen auch nach Beendigung oder Ablauf der Vereinbarung fort.

6. SICHERHEIT DER VERARBEITUNG

6.1 Unter Berücksichtigung des Stands der Technik, der Implementierungskosten, der Art, des Umfangs, der Umstände und der Zwecke der Verarbeitung sowie der Risiken für die Rechte und Freiheiten natürlicher Personen setzt TEQQ geeignete technische und organisatorische Maßnahmen gemäß Art. 32 DSGVO um und hält diese aufrecht.

6.2 Solche Maßnahmen können, soweit angemessen, umfassen: physische Zutrittskontrollen; kontrollierten Zugang zu Räumlichkeiten und Verarbeitungsbereichen; Zugriffsbeschränkungen für Personal; Vertraulichkeitsverpflichtungen; sichere Lagerung von Kundengeräten; Registrierung und Nachverfolgung von Vermögensgegenständen; Chain-of-Custody-Verfahren; kontrollierte Verfahren zur Datenbereinigung und -vernichtung; Verfahren zum Incident-Management; angemessene Richtlinien und Verfahren zur Informationssicherheit; sowie Maßnahmen zur Aufrechterhaltung der Vertraulichkeit, Integrität und Verfügbarkeit der für die Verarbeitung relevanten Systeme und Dienste.

6.3 Die für die Verarbeitung geltenden technischen und organisatorischen Maßnahmen sind in Anlage 2 näher beschrieben.

6.4 TEQQ kann seine technischen und organisatorischen Maßnahmen von Zeit zu Zeit ändern, sofern solche Änderungen das für die Leistungen geltende Gesamtsicherheitsniveau nicht wesentlich mindern.

7. UNTERAUFTRAGSVERARBEITER

7.1 Der Kunde erteilt TEQQ eine allgemeine Genehmigung zur Beauftragung von Unterauftragsverarbeitern, soweit dies für die Erbringung der Leistungen angemessenerweise erforderlich ist.

7.2 TEQQ stellt sicher, dass jeder Unterauftragsverarbeiter, der personenbezogene Daten im Auftrag des Kunden verarbeitet, Datenschutzverpflichtungen unterliegt, die ein angemessenes Schutzniveau bieten, das mit den für TEQQ nach diesem AVV geltenden Anforderungen im Einklang steht.

7.3 TEQQ bleibt für die Erfüllung der Datenschutzverpflichtungen seiner Unterauftragsverarbeiter verantwortlich, soweit dies nach Art. 28 DSGVO erforderlich ist.

7.4 TEQQ kann Unterauftragsverarbeiter hinzufügen oder ersetzen. Ist eine solche Änderung für die Verarbeitung personenbezogener Daten wesentlich, informiert TEQQ den Kunden mit angemessener Frist, soweit dies nach anwendbarem Datenschutzrecht erforderlich ist.

7.5 Der Kunde kann einem neuen Unterauftragsverarbeiter aus angemessenen und dokumentierten datenschutzrechtlichen Gründen widersprechen. Die Parteien arbeiten nach Treu und Glauben zusammen, um eine wirtschaftlich angemessene Lösung zu finden.

7.6 Anbieter, die gewöhnliche Transport- oder Logistikleistungen erbringen, gelten nicht allein deshalb als Unterauftragsverarbeiter, weil sie Kundengeräte transportieren. Ihre Rolle bestimmt sich nach der Art ihrer Tätigkeiten und ihrem tatsächlichen Zugriff auf bzw. ihrer tatsächlichen Verarbeitung von personenbezogenen Daten.

8. INTERNATIONALE ÜBERMITTLUNGEN

8.1 TEQQ übermittelt personenbezogene Daten, die diesem AVV unterliegen, nicht in ein Land außerhalb des Europäischen Wirtschaftsraums, es sei denn, eine solche Übermittlung erfolgt im Einklang mit Kapitel V der DSGVO.

8.2 Soweit erforderlich, setzt TEQQ einen geeigneten Übermittlungsmechanismus um, der Folgendes umfassen kann: (a) einen von der Europäischen Kommission erlassenen Angemessenheitsbeschluss; (b) anwendbare, von der Europäischen Kommission erlassene Standardvertragsklauseln; oder (c) einen anderen rechtlich anerkannten Übermittlungsmechanismus.

8.3 Klarstellend gilt: Der Transport von Kundengeräten stellt keine internationale Übermittlung personenbezogener Daten durch TEQQ dar, wenn die Umstände nach anwendbarem Datenschutzrecht keine Übermittlung darstellen.

9. UNTERSTÜTZUNG DES KUNDEN

9.1 Unter Berücksichtigung der Art der Verarbeitung unterstützt TEQQ den Kunden, soweit vernünftigerweise möglich, in angemessenem Umfang bei der Beantwortung von Anfragen betroffener Personen, die ihre Rechte nach Kapitel III der DSGVO ausüben.

9.2 TEQQ beantwortet Anfragen betroffener Personen bezüglich im Auftrag des Kunden verarbeiteter personenbezogener Daten nicht direkt, es sei denn, der Kunde weist TEQQ entsprechend an oder dies ist nach anwendbarem Recht vorgeschrieben.

9.3 Unter Berücksichtigung der Art der Verarbeitung und der TEQQ zur Verfügung stehenden Informationen unterstützt TEQQ den Kunden in angemessenem Umfang bei der Einhaltung seiner Pflichten nach Art. 32 bis 36 DSGVO, einschließlich, soweit anwendbar: Sicherheit der Verarbeitung; Meldung von Verletzungen des Schutzes personenbezogener Daten; Benachrichtigung betroffener Personen über solche Verletzungen; Datenschutz-Folgenabschätzungen; und vorherige Konsultation einer Aufsichtsbehörde.

9.4 Sofern eine solche Unterstützung nicht unmittelbare Folge eines Verstoßes von TEQQ gegen diesen AVV ist, kann TEQQ seine angemessenen Kosten für erhebliche Unterstützungsleistungen in Rechnung stellen, die über den gewöhnlichen Umfang der Leistungen hinausgehen.

10. VERLETZUNGEN DES SCHUTZES PERSONENBEZOGENER DATEN

10.1 TEQQ benachrichtigt den Kunden unverzüglich, nachdem TEQQ Kenntnis von einer Verletzung des Schutzes personenbezogener Daten erlangt hat, die im Auftrag des Kunden von TEQQ verarbeitete personenbezogene Daten betrifft.

10.2 Soweit angemessenerweise verfügbar, enthält die Benachrichtigung die Informationen, die erforderlich sind, um den Kunden bei der Einhaltung seiner Pflichten nach Art. 33 DSGVO zu unterstützen, einschließlich: (a) der Art der Verletzung des Schutzes personenbezogener Daten; (b) soweit angemessenerweise möglich, der Kategorien betroffener Personen und personenbezogener Daten; (c) der wahrscheinlichen Folgen der Verletzung; und (d) der ergriffenen oder vorgeschlagenen Maßnahmen zur Behebung oder Minderung der Verletzung.

10.3 Stehen Informationen zum Zeitpunkt der ersten Benachrichtigung nicht zur Verfügung, kann TEQQ diese Informationen ohne unangemessene weitere Verzögerung stufenweise nachreichen.

10.4 TEQQ trifft angemessene Maßnahmen, um eine in seinem Einflussbereich liegende Verletzung des Schutzes personenbezogener Daten einzudämmen, zu untersuchen und zu mindern.

10.5 Die Benachrichtigung über eine Verletzung des Schutzes personenbezogener Daten stellt kein Schuld- oder Haftungsanerkenntnis von TEQQ dar.

11. RÜCKGABE UND LÖSCHUNG PERSONENBEZOGENER DATEN

11.1 Kundengeräte können personenbezogene Daten enthalten, bis der vereinbarte Prozess der Datenbereinigung oder -vernichtung erfolgreich abgeschlossen wurde.

11.2 Nach erfolgreichem Abschluss des jeweiligen Bereinigungs- oder Vernichtungsprozesses ist TEQQ nicht verpflichtet, zuvor auf dem betreffenden Kundengerät enthaltene personenbezogene Daten zu erhalten oder wiederherzustellen.

11.3 Nach Beendigung oder Ablauf der eine Verarbeitung umfassenden Leistungen löscht oder gibt TEQQ nach Wahl des Kunden und soweit anwendbar die im Auftrag des Kunden verarbeiteten personenbezogenen Daten zurück, sofern nicht anwendbares Recht eine weitere Speicherung vorschreibt.

11.4 Abschnitt 11.3 verpflichtet TEQQ nicht zur Rückgabe personenbezogener Daten, die ausschließlich auf Medien vorhanden waren, welche gemäß den Leistungen und den Weisungen des Kunden sicher gelöscht oder physisch vernichtet wurden.

11.5 TEQQ kann gewöhnliche Geschäftsunterlagen, Transaktionsaufzeichnungen, Angaben zu Vermögensgegenständen, Löschzertifikate, Vernichtungszertifikate, Prüfnachweise und sonstige Dokumentation, die nicht die auf Kundengeräten gespeicherten zugrunde liegenden personenbezogenen Daten enthält, aufbewahren, soweit dies für rechtliche, vertragliche, prüfungsbezogene, sicherheitsbezogene oder Compliance-Zwecke erforderlich oder angemessenerweise notwendig ist.

12. INFORMATIONS- UND PRÜFUNGSRECHTE

12.1 TEQQ stellt dem Kunden die Informationen zur Verfügung, die angemessenerweise erforderlich sind, um die Einhaltung von Art. 28 DSGVO und dieses AVV nachzuweisen.

12.2 Die Parteien nutzen, soweit vernünftigerweise möglich, bestehende Zertifizierungen, Prüfberichte, Sicherheitsdokumentation, Richtlinien oder sonstige Nachweise, um die Einhaltung nachzuweisen, bevor eine Vor-Ort-Prüfung verlangt wird.

12.3 Benötigt der Kunde angemessenerweise eine zusätzliche Prüfung, gestattet TEQQ diese und wirkt in angemessenem Umfang daran mit, einschließlich Inspektionen, soweit nach Art. 28 DSGVO erforderlich.

12.4 Außer wenn aufgrund einer Verletzung des Schutzes personenbezogener Daten, einer regulatorischen Anforderung oder angemessener Anhaltspunkte für eine wesentliche Nichteinhaltung eine kürzere Frist angemessenerweise erforderlich ist, gilt für Prüfungen: (a) sie erfolgen nach angemessener vorheriger schriftlicher Ankündigung; (b) sie finden während der üblichen Geschäftszeiten statt; (c) sie werden in einer Weise durchgeführt, die Störungen des Geschäftsbetriebs von TEQQ minimiert; (d) sie entsprechen den angemessenen Sicherheits- und Vertraulichkeitsanforderungen von TEQQ; (e) sie gewähren keinen Zugang zu Informationen über andere Kunden; und (f) sie erfordern keine Offenlegung von Informationen, welche die Sicherheit von TEQQ oder die Vertraulichkeitsrechte Dritter gefährden würde.

12.5 Der Kunde kann einen unabhängigen Prüfer beauftragen, sofern dieser kein Wettbewerber von TEQQ ist und angemessenen Vertraulichkeitsverpflichtungen unterliegt.

12.6 Sofern eine Prüfung nicht einen wesentlichen, TEQQ zurechenbaren Verstoß gegen diesen AVV aufdeckt oder die Prüfung nicht ausdrücklich von einer zuständigen Aufsichtsbehörde verlangt wird, trägt der Kunde seine eigenen Kosten sowie die angemessenen Kosten von TEQQ im Zusammenhang mit außerordentlicher Prüfungsunterstützung.

12.7 Keine Bestimmung dieses Abschnitts schränkt die gesetzlichen Befugnisse einer zuständigen Aufsichtsbehörde ein.

13. ZUSAMMENARBEIT MIT BEHÖRDEN

13.1 TEQQ arbeitet mit den zuständigen Aufsichtsbehörden zusammen, soweit dies nach anwendbarem Datenschutzrecht erforderlich ist.

13.2 Soweit gesetzlich zulässig, benachrichtigt TEQQ den Kunden über verbindliche Anfragen einer Aufsichtsbehörde, die sich speziell auf im Auftrag des Kunden verarbeitete personenbezogene Daten beziehen.

14. HAFTUNG

14.1 Jede Partei bleibt für ihre eigene Einhaltung des anwendbaren Datenschutzrechts verantwortlich.

14.2 Keine Bestimmung dieses AVV schließt eine Haftung aus oder beschränkt sie, soweit ein solcher Ausschluss oder eine solche Beschränkung nach anwendbarem Recht unzulässig ist.

14.3 Vorbehaltlich Abschnitt 14.2 unterliegt die Haftung von TEQQ aus oder im Zusammenhang mit diesem AVV den Haftungsausschlüssen, -beschränkungen und der Haftungsobergrenze der Vereinbarung und/oder der anwendbaren Allgemeinen Geschäftsbedingungen von TEQQ.

14.4 Der Kunde bleibt verantwortlich für die Rechtmäßigkeit, Richtigkeit und den Umfang seiner Weisungen sowie für personenbezogene Daten, die vor der Übergabe an TEQQ auf Kundengeräten abgelegt oder dort belassen wurden.

14.5 Dieser AVV begründet keine gesonderte Zahlungs-, Kauf-, Rückkauf-, Bewertungs- oder Eigentumsverpflichtung in Bezug auf Kundengeräte.

15. LAUFZEIT UND BEENDIGUNG

15.1 Dieser AVV gilt automatisch, wenn er in ein von TEQQ ausgestelltes oder angenommenes Angebot, eine Auftragsbestätigung, Vereinbarung, Leistungsbeschreibung oder ein sonstiges Vertragsdokument einbezogen oder darauf verwiesen wird und TEQQ im Zusammenhang mit den betreffenden Leistungen personenbezogene Daten im Auftrag des Kunden verarbeitet. Eine gesonderte Unterzeichnung dieses AVV ist nicht erforderlich.

15.2 Dieser AVV bleibt so lange in Kraft, wie TEQQ im Rahmen der Vereinbarung personenbezogene Daten im Auftrag des Kunden verarbeitet.

15.3 Die Beendigung oder der Ablauf dieses AVV berührt nicht Bestimmungen, die ihrer Natur nach fortgelten sollen, einschließlich der Bestimmungen zu Vertraulichkeit, Löschung, Prüfung, Haftung und anwendbaren gesetzlichen Pflichten.

16. RANGFOLGE

16.1 Bei einem Widerspruch zwischen diesem AVV und der Vereinbarung hinsichtlich der Verarbeitung personenbezogener Daten hat dieser AVV Vorrang, jedoch ausschließlich in Bezug auf die betreffende datenschutzrechtliche Angelegenheit.

16.2 In allen sonstigen Belangen, einschließlich kommerzieller Bedingungen, Preisgestaltung, Gewährleistungen, Eigentum, Gefahrübergang, Freistellungen und Haftungsbeschränkungen, gelten die Vereinbarung und die anwendbaren Allgemeinen Geschäftsbedingungen von TEQQ.

16.3 Steht zwingendes Datenschutzrecht diesem AVV entgegen, geht das zwingende Datenschutzrecht im Umfang des Widerspruchs vor.

17. ANWENDBARES RECHT

17.1 Dieser AVV unterliegt demselben anwendbaren Recht und denselben Streitbeilegungsbestimmungen wie die Vereinbarung.

17.2 Legt die Vereinbarung kein anwendbares Recht fest, unterliegt dieser AVV dänischem Recht, und Streitigkeiten unterliegen der Zuständigkeit der zuständigen dänischen Gerichte.

ANLAGE 1 – EINZELHEITEN DER VERARBEITUNG

1. Gegenstand

Verarbeitung personenbezogener Daten, die auf Kundengeräten enthalten sein oder anderweitig damit verbunden sein können, welche TEQQ im Zusammenhang mit den Leistungen anvertraut werden.

2. Dauer

Für den Zeitraum, in dem TEQQ im Auftrag des Kunden Gewahrsam an, Zugriff auf oder sonstige Verarbeitung von relevanten personenbezogenen Daten hat, einschließlich des Zeitraums, der zum Abschluss der vereinbarten Datenbereinigung, Vernichtung und zugehörigen Dokumentation erforderlich ist.

3. Art und Zweck der Verarbeitung

Je nach den bestellten Leistungen kann die Verarbeitung Folgendes umfassen: Entgegennahme und Handhabung von Kundengeräten; Transport und sichere Lagerung; Registrierung und Identifizierung von Vermögensgegenständen; technische Prüfung, soweit erforderlich; für die Durchführung der Bereinigung technisch notwendigen Zugriff; Datenbereinigung/Datenlöschung; Vernichtung datentragender Medien; Verifizierung und Dokumentation der Bereinigung oder Vernichtung; sowie damit verbundene, auf dokumentierte Weisung des Kunden durchgeführte Tätigkeiten im Rahmen des IT-Asset-Lebenszyklus. Hauptzweck ist die sichere Handhabung und Entsorgung personenbezogener Daten, die auf Kundengeräten im Zusammenhang mit den vereinbarten Leistungen enthalten sind.

4. Kategorien betroffener Personen

Personenbezogene Daten können sich auf Mitarbeiter und ehemalige Mitarbeiter des Kunden beziehen; Auftragnehmer und Berater; Kunden und potenzielle Kunden; Lieferanten und Geschäftspartner; Nutzer der IT-Systeme des Kunden; sowie sonstige Personen, deren personenbezogene Daten auf Kundengeräten gespeichert wurden. TEQQ bestimmt nicht, welcher betroffenen Personen Informationen auf Kundengeräten gespeichert sind.

5. Arten personenbezogener Daten

Kundengeräte können potenziell jede Kategorie vom Kunden gespeicherter personenbezogener Daten enthalten, einschließlich Identifikations- und Kontaktinformationen; beschäftigungsbezogener Informationen; Korrespondenz und Dokumenten; Konto- und Systeminformationen; technischer Informationen und Nutzungsdaten; finanzieller oder geschäftlicher Informationen; sowie sonstiger vom Kunden verarbeiteter personenbezogener Daten. Je nach Nutzung der Geräte durch den Kunden können personenbezogene Daten besondere Kategorien personenbezogener Daten im Sinne von Art. 9 DSGVO oder sonstige vertrauliche oder sensible Informationen umfassen. TEQQ verlangt oder erbittet nicht, dass der Kunde solche Informationen gesondert von den Kundengeräten zur Verfügung stellt.

6. Häufigkeit der Verarbeitung

Die Verarbeitung erfolgt nach Bedarf zur Durchführung einzelner Bestellungen, Projekte oder laufender Leistungen im Rahmen der Vereinbarung.

ANLAGE 2 – TECHNISCHE UND ORGANISATORISCHE MASSNAHMEN

TEQQ unterhält technische und organisatorische Maßnahmen, die der Art seiner Leistungen und den mit Kundengeräten und personenbezogenen Daten in seinem Gewahrsam verbundenen Risiken angemessen sind. Solche Maßnahmen können, soweit für die Leistungen relevant, Folgendes umfassen:

Physische Sicherheit

• kontrollierter Zugang zu Räumlichkeiten.

• eingeschränkter Zugang zu Bereichen, in denen sich Kundengeräte befinden.

• angemessene Objektsicherheit.

• sichere Lagerungsvorkehrungen.

• Überwachungsmaßnahmen, soweit angemessen.

Personalsicherheit

• auf betrieblichen Bedarf beschränkter Zugang.

• Vertraulichkeitsverpflichtungen.

• angemessene Unterweisung und Schulung des Personals.

• kontrollierte Berechtigung zur Handhabung von Kundengeräten.

Handhabung von Vermögensgegenständen und Chain of Custody

• Registrierung und Identifizierung entgegengenommener Geräte, soweit in den Leistungen enthalten.

• kontrollierte Verbringung von Geräten.

• angemessene Chain-of-Custody-Verfahren.

• Trennung und sichere Lagerung, soweit angemessen.

• Dokumentation relevanter Verarbeitungstätigkeiten.

Datenbereinigung und -vernichtung

• kontrollierte Verfahren zur Datenbereinigung.

• Verwendung geeigneter Bereinigungsmethoden und -werkzeuge gemäß der vereinbarten Leistung.

• Verifizierung der Bereinigung, soweit in den Leistungen enthalten.

• physische Vernichtung, wenn die Bereinigung erfolglos oder ungeeignet ist oder die Vernichtung anderweitig vereinbart wurde.

• Erstellung von Bereinigungs- und/oder Vernichtungsdokumentation, soweit in den Leistungen enthalten.

Informationssicherheit

• für die betreffenden Systeme angemessene Zugriffskontrollen.

• angemessene Authentifizierungs- und Autorisierungskontrollen.

• Vertraulichkeits- und Sicherheitsverfahren.

• Verfahren zum Incident-Management.

• regelmäßige Überprüfung relevanter Sicherheitsmaßnahmen.

Verwaltung von Lieferanten und Unterauftragsverarbeitern

• angemessene Auswahl und Bewertung.

• vertragliche Datenschutzverpflichtungen.

• Vertraulichkeits- und Sicherheitsanforderungen.

• der Art und dem Risiko der erbrachten Leistungen angemessene Überwachung.

TEQQ kann diese Maßnahmen gemäß Abschnitt 6.4 des AVV aktualisieren, sofern das Gesamtschutzniveau dadurch nicht wesentlich gemindert wird.