Auftragsverarbeitung

Stand: 29.09.2026

Dieser Vertrag gilt zwischen dem Kunden, der Cantido nach den Allgemeinen Geschäftsbedingungen (cantido.com/agb) nutzt („Verantwortlicher"), und Jan Gansow, handelnd unter Cantido, Isabellastraße 6, 80798 München („Auftragsverarbeiter"). Er wird mit der Zustimmung zu den AGB vereinbart und ergänzt sie.

§ 1 Gegenstand und Dauer

(1) Der Auftragsverarbeiter verarbeitet personenbezogene Daten im Auftrag des Verantwortlichen, um ihm die Plattform Cantido nach den AGB bereitzustellen. Gegenstand, Art und Zweck der Verarbeitung, die Arten der Daten und die betroffenen Personen ergeben sich aus Anlage 1.

(2) Der Vertrag gilt für die Laufzeit des Vertrags über die Nutzung von Cantido.

§ 2 Weisungen

(1) Der Auftragsverarbeiter verarbeitet die Daten nur auf dokumentierte Weisung des Verantwortlichen, auch bei Übermittlungen in Drittländer. Die AGB, dieser Vertrag und die Nutzung der Plattform durch den Verantwortlichen sind diese Weisung.

(2) Hält der Auftragsverarbeiter eine Weisung für rechtswidrig, teilt er das dem Verantwortlichen unverzüglich mit.

§ 3 Vertraulichkeit

Der Auftragsverarbeiter setzt nur Personen ein, die zur Vertraulichkeit verpflichtet sind.

§ 4 Sicherheit

Der Auftragsverarbeiter trifft die technischen und organisatorischen Maßnahmen nach Anlage 2. Er darf sie an den technischen Fortschritt anpassen, solange das Schutzniveau nicht sinkt.

§ 5 Unterauftragsverarbeiter

(1) Der Verantwortliche genehmigt die in Anlage 3 genannten Unterauftragsverarbeiter.

(2) Über einen neuen oder ausgetauschten Unterauftragsverarbeiter informiert der Auftragsverarbeiter vorab in Textform. Der Verantwortliche kann innerhalb von 14 Tagen widersprechen; in diesem Fall kann jede Partei den Vertrag über die Nutzung von Cantido zum Zeitpunkt der Änderung kündigen.

(3) Der Auftragsverarbeiter verpflichtet jeden Unterauftragsverarbeiter vertraglich auf dieselben Datenschutzpflichten wie in diesem Vertrag. Übermittlungen in Drittländer erfolgen nur auf einer Grundlage nach Kapitel V DSGVO (Anlage 3).

§ 6 Unterstützung

(1) Der Auftragsverarbeiter unterstützt den Verantwortlichen bei Anfragen betroffener Personen (Art. 12–22 DSGVO) sowie bei den Pflichten nach Art. 32–36 DSGVO. Wendet sich eine betroffene Person direkt an ihn, leitet er die Anfrage weiter.

(2) Verletzungen des Schutzes personenbezogener Daten meldet der Auftragsverarbeiter dem Verantwortlichen unverzüglich nach Kenntnis.

§ 7 Löschung und Rückgabe

Nach Vertragsende gibt der Auftragsverarbeiter die Daten nach Wahl des Verantwortlichen zurück oder löscht sie, soweit nicht eine gesetzliche Pflicht zur Speicherung besteht. Sicherungskopien werden im Rahmen der regulären Rotation gelöscht (Anlage 2).

§ 8 Nachweise und Kontrollen

Der Auftragsverarbeiter stellt dem Verantwortlichen die Informationen zur Verfügung, die zum Nachweis der Einhaltung dieses Vertrags nötig sind, und ermöglicht Überprüfungen. Überprüfungen sind mindestens 14 Tage vorher anzukündigen und höchstens einmal im Kalenderjahr zulässig, außer bei konkretem Anlass.

§ 9 Haftung und Übrigens

(1) Für die Haftung gilt Art. 82 DSGVO; im Übrigen gilt die Haftungsregelung der AGB.

(2) Die Regelungen der AGB zur Übertragung und die Schlussbestimmungen der AGB gelten entsprechend. Bei Widersprüchen geht dieser Vertrag vor, soweit es um personenbezogene Daten geht.

Anlage 1 — Gegenstand der Verarbeitung

Gegenstand und Zweck: Betrieb der Plattform Cantido für den Verantwortlichen: Anfragen über Website und Konfigurator, Angebote, Aufträge, Rechnungen, E-Mail-Versand an Kunden, Nutzungsanalyse der öffentlichen Seiten.

Betroffene Personen: Kunden und Interessenten des Verantwortlichen; Benutzer der Plattform beim Verantwortlichen; Besucher seiner Website.

Arten von Daten:

• Name, Firma, Kontaktdaten (E-Mail, Telefon, Anschrift)
• Veranstaltungsdaten (Datum, Ort, Gästezahl, Ernährungswünsche, Sonderwünsche)
• Anfragen, Angebote, Aufträge, Rechnungen, Zahlungsstatus
• Nachrichten, Notizen, gesprochene Eingaben im Konfigurator
• Benutzerkonten (E-Mail, Rollen)
• Nutzungs- und Protokolldaten (Seitenaufrufe, Geräteangaben, gekürzte IP-Adresse)

Ernährungswünsche können Rückschlüsse auf Gesundheit oder Religion zulassen (Art. 9 DSGVO); der Verantwortliche erhebt sie freiwillig und verantwortet die Rechtsgrundlage.

Anlage 2 — Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

• Kein eigener Serverbetrieb: Verarbeitung ausschließlich in Rechenzentren der Anbieter in Anlage 3.
• Zugang: nur über persönliche Benutzerkonten (E-Mail und Passwort oder Google-Konto); Passwörter nur als Hash gespeichert. Weitere Benutzer eines Betriebs werden per Einladung angelegt.
• Mandantentrennung: jeder Datenbankzugriff ist technisch auf den eigenen Betrieb beschränkt (Row-Level-Security); rollenbasierte Rechte innerhalb des Betriebs.
• Getrennte Umgebungen: Entwicklung und Produktivbetrieb laufen mit getrennten Datenbanken.
• Verschlüsselte Übertragung: ausschließlich über TLS.
• Rechnungen: nach Festschreibung nicht mehr änderbar; Korrekturen nur über Storno und Neuausstellung; Änderungen werden protokolliert.
• Sicherung: tägliche automatische Datenbanksicherung, Aufbewahrung sieben Tage.
• Überwachung: Fehlerüberwachung im laufenden Betrieb; automatisierte Tests bei jeder Codeänderung.

Anlage 3 — Unterauftragsverarbeiter