Zum Inhalt springen
Glimpii Doku
Zurück zur Startseite

Vertrag über die Verarbeitung personenbezogener Daten im Auftrag

Stand: 18. September 2026

Präambel

Dieser Vertrag (nachfolgend „AVV") konkretisiert die Pflichten aus Art. 28 DSGVO für die Verarbeitung personenbezogener Daten, die im Rahmen der Nutzung von Glimpii Doku erfolgt.

Auftraggeber ist das Studio, das Glimpii Doku nutzt. Es entscheidet über Zwecke und Mittel der Verarbeitung der Daten seiner eigenen Kundinnen und Kunden und ist insoweit Verantwortlicher im Sinne von Art. 4 Nr. 7 DSGVO.

Auftragnehmer ist die

Glimpii your lash studio assistant UG (haftungsbeschränkt)
Altenberger Straße 148
51381 Leverkusen
Deutschland

vertreten durch Daniela Sciuto, E-Mail: go@glimpii.com.

Der Auftragnehmer verarbeitet diese Daten ausschließlich weisungsgebunden und ist insoweit Auftragsverarbeiter im Sinne von Art. 4 Nr. 8 DSGVO.

Dieser AVV wird mit Abschluss des Nutzungsvertrags über Glimpii Doku Bestandteil dieses Vertrags. Er gilt für alle Verarbeitungen, die der Auftragnehmer für den Auftraggeber im Rahmen von Glimpii Doku durchführt. Er gilt nicht für Verarbeitungen, für die der Auftragnehmer selbst Verantwortlicher ist — etwa die Vertrags-, Abrechnungs- und Kontaktdaten des Auftraggebers selbst sowie die Reichweitenmessung auf glimpii-doku.de. Hierfür gilt die Datenschutzerklärung.

1. Gegenstand und Dauer des Auftrags

1.1 Gegenstand des Auftrags ist die Bereitstellung und der Betrieb von Glimpii Doku, einer webbasierten Software zur Hygiene- und Behandlungsdokumentation, einschließlich Speicherung, Auswertung und Bereitstellung der vom Auftraggeber eingegebenen Daten.

1.2 Die Dauer dieses AVV entspricht der Laufzeit des Nutzungsvertrags. Endet der Nutzungsvertrag, endet auch dieser AVV; die Pflichten aus Ziffer 10 (Löschung und Rückgabe) und Ziffer 4.2 (Vertraulichkeit) bestehen darüber hinaus fort.

2. Art der Verarbeitung, Datenarten, betroffene Personen

2.1 Art und Zweck der Verarbeitung: Erheben, Erfassen, Organisieren, Speichern, Anpassen, Auslesen, Verwenden, Übermitteln an den Auftraggeber, Einschränken, Löschen und Vernichten personenbezogener Daten, soweit dies zur Erbringung der vertraglich vereinbarten Leistung erforderlich ist. Zweck ist die Erfüllung der Dokumentations-, Nachweis- und Aufbewahrungspflichten des Auftraggebers gegenüber seiner Kundschaft und gegenüber Behörden.

2.2 Kategorien betroffener Personen

  • Kundinnen und Kunden des Auftraggebers
  • Beschäftigte des Auftraggebers, die Glimpii Doku nutzen

2.3 Arten der verarbeiteten Daten

  • Stammdaten der Kundschaft: Name, Telefonnummer, E-Mail-Adresse
  • Gesundheitsdaten nach Art. 9 Abs. 1 DSGVO: Angaben zu Allergien und Unverträglichkeiten, Kontraindikationen, Anamnese- und Verlaufsnotizen zur Behandlung
  • Behandlungsdaten: Behandlungsart, Datum, verwendete Produkte und Desinfektionsmittel, Hygieneprüfungen, behandelnde Person
  • Einwilligungs- und Unterschriftendaten: Name der unterzeichnenden Person, Unterschriftenbild, Zeitpunkt, Prüfsumme über den unterzeichneten Inhalt
  • Nutzerkontodaten der Beschäftigten: Vor- und Nachname, E-Mail-Adresse, Anrede, Rolle und Tätigkeitsbezeichnung im Studio
  • Protokolldaten: Zeitpunkt, handelnde Person und Art der Änderung an dokumentationsrelevanten Datensätzen

2.4 Besondere Kategorien personenbezogener Daten

Der Auftraggeber verarbeitet mit Glimpii Doku besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO. Beide Parteien tragen dem durch die Maßnahmen nach Anlage 1 Rechnung.

3. Weisungsrecht des Auftraggebers

3.1 Der Auftragnehmer verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Auftraggebers, es sei denn, er ist nach dem Recht der Union oder der Mitgliedstaaten zu einer anderen Verarbeitung verpflichtet. In einem solchen Fall teilt der Auftragnehmer dem Auftraggeber die rechtlichen Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht dies nicht wegen eines wichtigen öffentlichen Interesses verbietet.

3.2 Die Bedienung von Glimpii Doku durch den Auftraggeber — insbesondere das Anlegen, Ändern, Exportieren, Anonymisieren und Löschen von Datensätzen — gilt als Weisung im Sinne dieses Vertrags. Weitergehende Weisungen erteilt der Auftraggeber in Textform an go@glimpii.com.

3.3 Der Auftragnehmer informiert den Auftraggeber unverzüglich, wenn er der Auffassung ist, dass eine Weisung gegen datenschutzrechtliche Vorschriften verstößt. Er ist berechtigt, die Durchführung der betreffenden Weisung auszusetzen, bis sie vom Auftraggeber bestätigt oder geändert wird.

4. Pflichten des Auftragnehmers

4.1 Der Auftragnehmer verarbeitet die Daten ausschließlich im Gebiet der Europäischen Union. Eine Verlagerung in ein Drittland findet nicht statt und bedarf der vorherigen Zustimmung des Auftraggebers.

4.2 Der Auftragnehmer verpflichtet alle zur Verarbeitung befugten Personen zur Vertraulichkeit, soweit sie nicht bereits einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen. Die Verpflichtung besteht auch nach Beendigung ihrer Tätigkeit fort.

4.3 Der Auftragnehmer trifft die technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO. Sie sind in Anlage 1 beschrieben.

4.4 Der Auftragnehmer hat keinen Datenschutzbeauftragten bestellt; die Voraussetzungen des Art. 37 DSGVO und des § 38 BDSG liegen bei ihm derzeit nicht vor. Ansprechpartnerin für den Datenschutz ist Daniela Sciuto, go@glimpii.com.

4.5 Der Auftragnehmer führt ein Verzeichnis aller Kategorien von Verarbeitungstätigkeiten nach Art. 30 Abs. 2 DSGVO und stellt es dem Auftraggeber auf Anfrage zur Verfügung.

4.6 Der Auftragnehmer nutzt die Daten des Auftraggebers nicht für eigene Zwecke. Insbesondere fließen Behandlungs-, Kunden- und Unterschriftendaten weder in Auswertungen des Auftragnehmers noch in Werbe-, Analyse- oder Trainingsverfahren ein und werden nicht an das Kundenverwaltungssystem des Auftragnehmers übertragen.

5. Technische und organisatorische Maßnahmen

5.1 Die zum Zeitpunkt des Vertragsschlusses getroffenen Maßnahmen ergeben sich aus Anlage 1.

5.2 Der Auftragnehmer darf die Maßnahmen im Laufe des Vertragsverhältnisses anpassen, sofern das Schutzniveau dabei nicht unterschritten wird. Wesentliche Änderungen dokumentiert er in Anlage 1; die jeweils geltende Fassung ist unter glimpii-doku.de/auftragsverarbeitung abrufbar.

6. Unterauftragsverarbeiter

6.1 Der Auftraggeber erteilt dem Auftragnehmer die allgemeine Genehmigung nach Art. 28 Abs. 2 Satz 2 DSGVO, weitere Auftragsverarbeiter hinzuzuziehen.

6.2 Die zum Zeitpunkt des Vertragsschlusses eingesetzten Unterauftragsverarbeiter sind in Anlage 2 abschließend aufgeführt und vom Auftraggeber genehmigt.

6.3 Beabsichtigt der Auftragnehmer, einen weiteren Unterauftragsverarbeiter hinzuzuziehen oder einen bestehenden zu ersetzen, teilt er dies dem Auftraggeber mindestens vier Wochen im Voraus in Textform an die hinterlegte E-Mail-Adresse mit. Der Auftraggeber kann der Änderung innerhalb von vier Wochen nach Zugang der Mitteilung aus datenschutzrechtlichen Gründen widersprechen. Widerspricht er, ist der Auftragnehmer berechtigt, den Nutzungsvertrag zum beabsichtigten Zeitpunkt der Änderung außerordentlich zu kündigen, wenn die Leistung ohne den betreffenden Unterauftragsverarbeiter nicht zumutbar erbracht werden kann.

6.4 Der Auftragnehmer schließt mit jedem Unterauftragsverarbeiter einen Vertrag, der diesem dieselben Datenschutzpflichten auferlegt, die ihm selbst nach diesem AVV obliegen. Er prüft vor der Beauftragung und danach regelmäßig, ob der Unterauftragsverarbeiter hinreichende Garantien im Sinne von Art. 28 Abs. 1 DSGVO bietet, und dokumentiert diese Prüfung.

6.5 Kommt ein Unterauftragsverarbeiter seinen Datenschutzpflichten nicht nach, haftet der Auftragnehmer gegenüber dem Auftraggeber für dessen Verhalten wie für eigenes.

6.6 Nicht als Unterauftragsverarbeitung im Sinne dieser Ziffer gelten Nebenleistungen, die der Auftragnehmer bei Dritten in Anspruch nimmt, ohne dass diese Zugang zu Daten des Auftraggebers erhalten — etwa Telekommunikations- und Wartungsleistungen sowie die Zahlungsabwicklung und die Kundenverwaltung des Auftragnehmers, die ausschließlich Daten des Auftraggebers als Vertragspartner und keine Daten aus Ziffer 2.3 verarbeiten.

7. Unterstützung bei Betroffenenrechten

7.1 Wendet sich eine betroffene Person unmittelbar an den Auftragnehmer, um Rechte nach Kapitel III DSGVO geltend zu machen, leitet der Auftragnehmer das Anliegen unverzüglich an den Auftraggeber weiter und beantwortet es nicht selbst.

7.2 Der Auftragnehmer unterstützt den Auftraggeber mit geeigneten technischen und organisatorischen Maßnahmen dabei, seiner Pflicht zur Beantwortung solcher Anträge nachzukommen. Glimpii Doku stellt hierfür Funktionen zur Auskunft, Berichtigung, Anonymisierung und Löschung einzelner Datensätze sowie zum Export der Behandlungsdokumentation als PDF bereit, die der Auftraggeber eigenständig nutzt.

7.3 Löschungen, Berichtigungen und Einschränkungen der Verarbeitung nimmt der Auftragnehmer nur auf Weisung des Auftraggebers vor.

8. Unterstützung bei Sicherheit, Meldepflichten und Datenschutz-Folgenabschätzung

8.1 Der Auftragnehmer unterstützt den Auftraggeber bei der Einhaltung der Pflichten aus Art. 32 bis 36 DSGVO, insbesondere bei der Sicherheit der Verarbeitung, den Meldepflichten bei Verletzungen des Schutzes personenbezogener Daten und der Datenschutz-Folgenabschätzung.

8.2 Der Auftragnehmer meldet dem Auftraggeber jede ihm bekannt gewordene Verletzung des Schutzes personenbezogener Daten, die Daten des Auftraggebers betrifft, unverzüglich, spätestens innerhalb von 24 Stunden nach Kenntniserlangung, in Textform an die hinterlegte E-Mail-Adresse. Die Meldung enthält, soweit bekannt, die Art der Verletzung, die betroffenen Datenkategorien, die ungefähre Zahl der betroffenen Personen und Datensätze, die wahrscheinlichen Folgen sowie die ergriffenen und vorgeschlagenen Gegenmaßnahmen.

8.3 Die Meldung an die Aufsichtsbehörde nach Art. 33 DSGVO und die Benachrichtigung der betroffenen Personen nach Art. 34 DSGVO obliegen dem Auftraggeber.

9. Kontrollrechte des Auftraggebers

9.1 Der Auftragnehmer stellt dem Auftraggeber auf Anfrage alle Informationen zur Verfügung, die zum Nachweis der Einhaltung der Pflichten aus Art. 28 DSGVO erforderlich sind.

9.2 Der Auftraggeber ist berechtigt, die Einhaltung dieses Vertrags zu überprüfen. Die Überprüfung erfolgt vorrangig durch Einholung einer Selbstauskunft, durch Vorlage dieser Anlage 1 und, soweit vorhanden, durch Vorlage von Zertifikaten oder Prüfberichten unabhängiger Stellen.

9.3 Reichen diese Nachweise im Einzelfall nicht aus, kann der Auftraggeber nach rechtzeitiger Ankündigung mit einer Frist von mindestens vier Wochen während der üblichen Geschäftszeiten eine Überprüfung vor Ort durchführen oder durch einen zur Verschwiegenheit verpflichteten Prüfer durchführen lassen, der nicht in Wettbewerb zum Auftragnehmer steht. Der Auftragnehmer kann Prüfungen, die den Betrieb unverhältnismäßig stören, ablehnen und einen zeitnahen Ersatztermin anbieten.

9.4 Der Auftragnehmer duldet Kontrollen der für den Auftraggeber zuständigen Aufsichtsbehörde und wirkt daran mit.

10. Löschung und Rückgabe nach Beendigung

10.1 Der Auftraggeber kann seine Daten während der Vertragslaufzeit jederzeit selbst aus Glimpii Doku exportieren.

10.2 Nach Beendigung des Nutzungsvertrags löscht der Auftragnehmer alle Daten des Auftraggebers, sofern der Auftraggeber nicht innerhalb von 30 Tagen nach Vertragsende in Textform die Rückgabe verlangt. Die Löschung erfolgt spätestens 30 Tage nach Ablauf dieser Frist.

10.3 Sicherungskopien werden im Rahmen der regulären Aufbewahrungszyklen nach Anlage 1 Ziffer 3 überschrieben und laufen spätestens 30 Tage nach der Löschung aus dem produktiven Bestand aus. Eine gezielte Einzellöschung innerhalb einer bestehenden Sicherung erfolgt nicht; sie ist technisch nicht möglich und würde die Integrität der Sicherung zerstören.

10.4 Dokumentationen, die dem Nachweis der ordnungsgemäßen Datenverarbeitung dienen, darf der Auftragnehmer entsprechend den jeweiligen Aufbewahrungsfristen über das Vertragsende hinaus aufbewahren. Gleiches gilt für Daten, deren Aufbewahrung ihm gesetzlich vorgeschrieben ist; er kann sie dem Auftraggeber zu dessen Entlastung am Vertragsende übergeben.

10.5 Der Auftragnehmer bestätigt dem Auftraggeber die Löschung auf Verlangen in Textform.

11. Pflichten des Auftraggebers

11.1 Der Auftraggeber ist für die Rechtmäßigkeit der Verarbeitung und für die Wahrung der Rechte der betroffenen Personen verantwortlich. Er stellt insbesondere sicher, dass für die Verarbeitung von Gesundheitsdaten nach Ziffer 2.3 eine Rechtsgrundlage besteht — in der Regel die ausdrückliche Einwilligung der betroffenen Person nach Art. 9 Abs. 2 lit. a DSGVO — und dass die betroffenen Personen nach Art. 13 DSGVO informiert werden.

11.2 Der Auftraggeber benennt gegenüber dem Auftragnehmer eine für Datenschutzfragen zuständige Kontaktperson und hält die hinterlegte E-Mail-Adresse aktuell. Mitteilungen nach Ziffer 6.3 und Ziffer 8.2 gehen an diese Adresse.

11.3 Der Auftraggeber verwaltet die Zugänge seiner Beschäftigten eigenständig. Er sperrt Zugänge ausgeschiedener Beschäftigter unverzüglich und gibt Zugangsdaten nicht an Dritte weiter.

11.4 Der Auftraggeber gibt keine personenbezogenen Daten in Freitextfelder ein, die über den Zweck der Behandlungsdokumentation hinausgehen.

12. Haftung

12.1 Für die Haftung der Parteien untereinander gelten die Regelungen des Nutzungsvertrags, ergänzt um Art. 82 DSGVO.

12.2 Art. 82 DSGVO bleibt im Verhältnis zu betroffenen Personen unberührt.

13. Schlussbestimmungen

13.1 Änderungen und Ergänzungen dieses AVV bedürfen der Textform. Das gilt auch für die Aufhebung dieses Formerfordernisses.

13.2 Widersprechen sich dieser AVV und der Nutzungsvertrag einschließlich der Allgemeinen Geschäftsbedingungen, gehen die Regelungen dieses AVV für die Verarbeitung personenbezogener Daten im Auftrag vor.

13.3 Sollte eine Bestimmung dieses AVV unwirksam sein oder werden, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt. Die Parteien ersetzen die unwirksame Bestimmung durch eine wirksame, die dem wirtschaftlichen Zweck am nächsten kommt.

13.4 Es gilt das Recht der Bundesrepublik Deutschland.

Anlage 1 — Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

Stand: 18. September 2026. Die folgenden Maßnahmen beschreiben den tatsächlichen Zustand der Produktionsumgebung von Glimpii Doku.

1. Vertraulichkeit

1.1 Zutrittskontrolle (physischer Zugang)

Glimpii Doku betreibt keine eigenen Rechenzentren. Server, Blockspeicher und Objektspeicher werden von der Hetzner Online GmbH bereitgestellt:

  • Verarbeitung und Datenbanken: Rechenzentrumspark Falkenstein, Deutschland
  • Sicherungen: Objektspeicher am Standort Helsinki, Finnland

Für die physische Sicherheit dieser Standorte — Zutrittskontrolle, Videoüberwachung, Alarmierung, unterbrechungsfreie Stromversorgung und Brandschutz — ist Hetzner verantwortlich. Hetzner betreibt sein Informationssicherheits-Managementsystem nach eigenen Angaben nach ISO/IEC 27001. Ein Auftragsverarbeitungsvertrag mit Hetzner besteht.

Beim Auftragnehmer selbst werden keine personenbezogenen Daten des Auftraggebers auf lokalen Datenträgern verarbeitet oder gespeichert.

1.2 Zugangskontrolle (Systemzugang)

  • Die Anmeldung erfolgt über einen selbst betriebenen Identitätsdienst (Keycloak) auf auth.glimpii-doku.com nach dem OpenID-Connect-Standard. Die Anwendung selbst speichert keine Passwörter.
  • Passwortrichtlinie: mindestens 12 Zeichen, davon mindestens je ein Großbuchstabe, ein Kleinbuchstabe, eine Ziffer und ein Sonderzeichen; das Passwort darf nicht dem Benutzernamen entsprechen.
  • Passwörter werden ausschließlich als kryptografischer Hash gespeichert und sind für den Auftragnehmer nicht lesbar.
  • Schutz vor automatisierten Anmeldeversuchen: nach fünf Fehlversuchen wird das Konto vorübergehend gesperrt; die Sperrdauer steigt schrittweise auf bis zu 15 Minuten an.
  • Die E-Mail-Adresse muss vor der ersten Anmeldung bestätigt werden.
  • Sitzungsdauer: ein Zugriffstoken ist 15 Minuten gültig; eine Anmeldesitzung endet nach 8 Stunden ohne Aktivität, spätestens nach 24 Stunden.
  • Der administrative Zugang zur Infrastruktur ist auf namentlich benannte Personen beschränkt und erfolgt über persönliche SSH-Schlüssel. Der Zugriff auf die Kubernetes-Schnittstelle und auf SSH ist in der Cloud-Firewall auf freigegebene IP-Adressen begrenzt; öffentlich erreichbar sind nur die Ports 80 und 443.

1.3 Zugriffskontrolle (Berechtigungen)

  • Innerhalb eines Studios gilt ein Rollenmodell: Studioleitung und Mitarbeitende haben unterschiedliche Rechte. Eingriffe mit Datenschutzrelevanz — insbesondere die Anonymisierung eines Kundendatensatzes — sind der Studioleitung vorbehalten.
  • Der Zugriff der Anwendung auf die Datenbank erfolgt mit einem eigenen, in den Rechten beschränkten Datenbankbenutzer; ein zusätzlicher, ausschließlich lesender Zugang ist auf fünf gleichzeitige Verbindungen begrenzt.
  • Zugangsdaten und Schlüssel liegen ausschließlich in einem zentralen Geheimnisspeicher (HashiCorp Vault) und werden von dort automatisiert in die Laufzeitumgebung übertragen. Sie befinden sich weder im Quellcode noch in Container-Abbildern.
  • Die Geheimnisse der Laufzeitumgebung (Kubernetes Secrets) werden im Cluster-Datenspeicher verschlüsselt abgelegt.
  • Beschäftigte des Auftragnehmers erhalten Zugriff nur, soweit dies für Betrieb und Fehlerbehebung erforderlich ist; der Auftragnehmer hat derzeit keine Beschäftigten ohne solchen Betriebsbezug.

1.4 Trennungskontrolle (Mandantentrennung)

  • Die Daten aller Studios liegen in einer gemeinsamen Datenbank und sind logisch getrennt: jeder Datensatz trägt eine Studio-Kennung, und jede Abfrage der Anwendung ist an die Studio-Kennung gebunden, die aus dem Anmeldetoken stammt und nicht vom Endgerät beeinflusst werden kann.
  • Produktiv- und Testumgebung sind vollständig getrennt und laufen auf verschiedenen Clustern mit verschiedenen Datenbanken. Echtdaten werden nicht in die Testumgebung übernommen.
  • Auf Netzwerkebene sind die Arbeitslasten durch Netzwerkrichtlinien voneinander abgeschottet; erlaubt sind nur ausdrücklich freigegebene Verbindungen.

1.5 Pseudonymisierung

  • Die Anwendung stellt eine Anonymisierungsfunktion für einzelne Kundendatensätze bereit: Name, Telefonnummer, E-Mail-Adresse, Allergie- und Notizfelder werden unwiderruflich entfernt, während die Behandlungshistorie ohne Personenbezug erhalten bleibt, damit der Auftraggeber seine Dokumentationspflichten weiter erfüllen kann.
  • In der Fehler- und Leistungsanalyse werden vor der Übertragung Browser-Version, Spracheinstellung, Bildschirmgröße und die genaue Betriebssystemversion entfernt; die Sitzungskennung ist rein temporär und wird nicht auf dem Endgerät gespeichert.

2. Integrität

2.1 Weitergabekontrolle (Transport)

  • Sämtliche Verbindungen zur Website und zur Anwendung sind ausschließlich über TLS erreichbar. Unverschlüsselte Aufrufe werden per 301 auf HTTPS umgeleitet.
  • Zugelassen sind TLS 1.2 und 1.3 mit ausschließlich vorwärtsgeheimen AEAD-Verfahren (ECDHE mit AES-GCM beziehungsweise ChaCha20-Poly1305).
  • Auf jeder Antwort wird Strict-Transport-Security: max-age=31536000; includeSubDomains; preload gesetzt, ergänzt um X-Content-Type-Options: nosniff, X-Frame-Options: DENY, Referrer-Policy: strict-origin-when-cross-origin, eine restriktive Content-Security-Policy und eine Permissions-Policy, die Kamera, Mikrofon und Standortzugriff abschaltet.
  • Der Versand von Systemnachrichten erfolgt über eine mit STARTTLS gesicherte und authentifizierte SMTP-Verbindung.
  • Die Übertragung der Sicherungen in den Objektspeicher erfolgt über TLS.

2.2 Eingabekontrolle (Nachvollziehbarkeit)

  • Die Anwendung führt ein fortschreibendes Protokoll (Audit-Log), das nicht geändert oder gelöscht werden kann. Erfasst werden Anlage und Korrektur einer Behandlungsdokumentation, Export, Anlage und Änderung eines Kundendatensatzes, dessen Anonymisierung, der Abschluss von Hygieneprüfungen und die Löschung von Moduldaten — jeweils mit handelnder Person, Zeitpunkt und betroffenem Datensatz. Der Auftraggeber kann dieses Protokoll in der Anwendung einsehen.
  • Eine Behandlungsdokumentation wird nach Abschluss nicht überschrieben. Korrekturen entstehen als neuer Datensatz, der den vorherigen ersetzt und auf ihn verweist, sodass der ursprüngliche Stand nachvollziehbar bleibt.
  • Über den unterzeichneten Inhalt wird eine kryptografische Prüfsumme gebildet und gespeichert; damit lässt sich später nachweisen, dass das unterschriebene Dokument nicht nachträglich verändert wurde.
  • Der Link zur Unterschriftenseite ist eine Stunde gültig, nur einmal verwendbar und verfällt nach der Unterschrift.

2.3 Sicherheit der Anwendung

  • Änderungen am Quellcode und an der Infrastruktur erfolgen ausschließlich über versionierte Merge Requests in Git. Die Ausbringung in die Produktion erfolgt automatisiert nach dem GitOps-Verfahren aus dem Git-Stand heraus; manuelle Eingriffe an laufenden Systemen sind nicht Teil des regulären Betriebs.
  • Richtlinien werden als Code durchgesetzt (Kyverno). In der Produktion gilt: nur Container-Abbilder aus freigegebenen Registries, keine unspezifischen latest-Kennzeichnungen, verpflichtende Ressourcengrenzen und ausschließlich Abbilder aus dem Hauptentwicklungszweig.
  • Container laufen ohne Root-Rechte, ohne Rechteausweitung und mit abgelegten Systemberechtigungen.
  • Bei jeder Änderung an der Anwendung wird automatisch auf bekannte Schwachstellen geprüft (Grype): geprüft werden die Abhängigkeiten der Anwendung und die gebauten Container-Abbilder. Das Ergebnis wird vor der Freigabe gesichtet.
  • Das Betriebssystem der Server (Flatcar Container Linux) aktualisiert sich automatisch; Neustarts werden koordiniert und nacheinander ausgeführt, sodass der Dienst verfügbar bleibt. Die Kubernetes-Version wird kontrolliert über einen Upgrade-Controller nachgezogen.

3. Verfügbarkeit und Belastbarkeit

  • Die Steuerungsebene des Clusters läuft auf drei Servern, die Anwendungslast auf drei weiteren; die Anwendung selbst läuft in mindestens zwei Instanzen und skaliert lastabhängig auf bis zu zwanzig. Die Instanzen werden über die Server verteilt.
  • Die Anwendungsdatenbank (PostgreSQL, CloudNativePG) läuft in der Produktion mit drei Instanzen mit automatischer Übernahme bei Ausfall.
  • Sicherung der Datenbank: fortlaufende Archivierung der Transaktionsprotokolle sowie eine tägliche Vollsicherung um 04:00 UTC in den Hetzner-Objektspeicher in Helsinki. Aufbewahrung: 30 Tage. Damit ist eine Wiederherstellung auf einen beliebigen Zeitpunkt innerhalb dieses Zeitraums möglich.
  • Sicherung der Cluster-Konfiguration: stündlich mit 7 Tagen und täglich mit 30 Tagen Aufbewahrung.
  • Die Sicherungen liegen bewusst an einem anderen Standort (Helsinki) als die Produktivsysteme (Falkenstein).
  • Betrieb, Auslastung und Fehler werden fortlaufend überwacht (Prometheus, Grafana, Loki, Tempo) und lösen bei definierten Schwellwerten eine Alarmierung aus.
  • Protokolldaten werden zentral gesammelt und nach 7 Tagen automatisch gelöscht.

4. Verfahren zur regelmäßigen Überprüfung, Bewertung und Evaluierung (Art. 32 Abs. 1 lit. d DSGVO)

  • Jede Änderung an Anwendung und Infrastruktur durchläuft einen Merge Request; sicherheits- und datenschutzrelevante Änderungen werden dabei ausdrücklich betrachtet.
  • Der Sollzustand der gesamten Infrastruktur ist in Git beschrieben; Abweichungen des Istzustands werden durch den GitOps-Abgleich erkannt und zurückgeführt.
  • Die Richtlinien nach Ziffer 2.3 werden bei jeder Ausbringung maschinell durchgesetzt, nicht nur geprüft.
  • Diese Anlage wird anlassbezogen, mindestens jedoch jährlich, gegen den tatsächlichen Zustand der Produktionsumgebung geprüft und fortgeschrieben.
  • Sicherheitsvorfälle werden nach dem Verfahren aus Ziffer 8 dieses AVV behandelt und nachbereitet.

5. Auftragskontrolle

Die Auswahl, Beauftragung und Überwachung von Unterauftragsverarbeitern richtet sich nach Ziffer 6 dieses AVV. Die eingesetzten Unterauftragsverarbeiter und ihre Leistungen sind in Anlage 2 aufgeführt.

6. Stand der Umsetzung

Der Auftragnehmer legt offen, welche Maßnahmen zum Stand dieser Anlage nicht umgesetzt sind, damit der Auftraggeber sein Risiko zutreffend bewerten kann:

  • Eine zusätzliche Verschlüsselung der Datenträger auf Betriebssystemebene über die Maßnahmen des Rechenzentrumsbetreibers hinaus ist derzeit nicht eingerichtet. Die Anwendungsdaten liegen unverschlüsselt auf Blockspeicher innerhalb der abgeschotteten Cloud-Umgebung in Falkenstein; verschlüsselt abgelegt sind lediglich die Geheimnisse der Laufzeitumgebung (Ziffer 1.3).
  • Eine Zwei-Faktor-Authentisierung für Studio-Konten wird derzeit nicht angeboten.
  • Die automatische Schwachstellenprüfung nach Ziffer 2.3 ist beratend: Ein Fund bricht den Bau nicht ab, sondern wird im Prüfprotokoll ausgewiesen und gesichtet. Die Erzeugung einer Software-Stückliste (SBOM) ist eingerichtet, derzeit aber abgeschaltet.
  • Eine Zertifizierung des Auftragnehmers sowie ein Penetrationstest durch eine unabhängige Stelle liegen bisher nicht vor.

Anlage 2 — Unterauftragsverarbeiter

Stand: 18. September 2026.

Der Auftragnehmer setzt die folgenden Unterauftragsverarbeiter ein. Die Liste ist abschließend.

1. Hetzner Online GmbH

  • Anschrift: Industriestr. 25, 91710 Gunzenhausen, Deutschland
  • Leistung: Betrieb der Server, des Blockspeichers und des Objektspeichers; Bereitstellung der Netzwerkinfrastruktur einschließlich Lastverteilung
  • Verarbeitete Daten: sämtliche in Ziffer 2.3 des AVV genannten Daten, soweit sie gespeichert oder übertragen werden
  • Ort der Verarbeitung: Falkenstein, Deutschland (Verarbeitung und Datenbanken); Helsinki, Finnland (Sicherungen)
  • Drittlandübermittlung: keine
  • Grundlage: Auftragsverarbeitungsvertrag nach Art. 28 DSGVO

2. Scaleway SAS

  • Anschrift: 8 rue de la Ville l'Evêque, 75008 Paris, Frankreich
  • Leistung: Versand von Systemnachrichten (Transactional Email, smtp.tem.scw.cloud) — Bestätigung der E-Mail-Adresse, Zurücksetzen des Passworts, Einladung von Beschäftigten, Rechnungsbestätigung
  • Verarbeitete Daten: E-Mail-Adresse und Name der empfangenden Person, Betreff und Inhalt der Nachricht, technische Zustelldaten
  • Nicht verarbeitet: Glimpii Doku versendet keine Nachrichten an die Kundschaft des Auftraggebers. Kunden-, Behandlungs- und Unterschriftendaten werden nicht an Scaleway übermittelt.
  • Ort der Verarbeitung: Frankreich
  • Drittlandübermittlung: keine

3. Keine weiteren Empfänger

Über die vorstehend genannten Unterauftragsverarbeiter hinaus fließen keine Daten aus Ziffer 2.3 des AVV an Dritte ab. Insbesondere gilt:

  • Der Anmeldedienst (Keycloak) wird vom Auftragnehmer selbst auf der Infrastruktur nach Ziffer 1 betrieben. Ein externer Anbieter ist nicht beteiligt.
  • Die Fehler- und Leistungsanalyse (Grafana Faro, OpenTelemetry) sowie die gesamte Protokollierung laufen auf derselben eigenen Infrastruktur. Ein externer Anbieter ist nicht beteiligt.
  • Reichweitenmessung und Werbe-Tracking (Google Tag Manager, Google Analytics, Google Ads, Meta-Pixel, TikTok-Pixel) finden ausschließlich auf der Website glimpii-doku.de statt, ausschließlich nach Einwilligung der jeweiligen Besucherin oder des Besuchers, und niemals in der Studio-Anwendung oder auf der Unterschriftenseite. Sie verarbeiten keine Daten aus Ziffer 2.3 des AVV. Der Auftragnehmer ist hierfür selbst Verantwortlicher; Einzelheiten stehen in Abschnitt 11 der Datenschutzerklärung.
  • Zahlungsabwicklung (Stripe Payments Europe, Ltd., Irland) und Kundenverwaltung (HighLevel LLC, USA) verarbeiten ausschließlich die Vertrags- und Kontaktdaten des Auftraggebers als Vertragspartner des Auftragnehmers. Sie erhalten keine Daten aus Ziffer 2.3 des AVV und sind daher keine Unterauftragsverarbeiter im Sinne dieses Vertrags. Der Auftragnehmer ist für diese Verarbeitungen selbst Verantwortlicher; Einzelheiten stehen in den Abschnitten 7 und 10 der Datenschutzerklärung.
  • Google Cloud wird für Glimpii Doku nicht eingesetzt.