Version 1.3, zuletzt aktualisiert am 8. September 2026.
Dieser Auftragsverarbeitungsvertrag (AVV) ist integraler Bestandteil der Allgemeinen Geschäftsbedingungen von Collectmaxx und regelt, wie Collectmaxx B.V. personenbezogene Daten im Auftrag ihrer Kunden im Einklang mit der DSGVO verarbeitet.
Dieser Auftragsverarbeitungsvertrag (der „AVV“) wird zwischen dem Kunden und Collectmaxx B.V. geschlossen. Er ist integraler Bestandteil der Allgemeinen Geschäftsbedingungen von Collectmaxx (der „Vertrag“) und wird vom Kunden zusammen mit diesen Allgemeinen Geschäftsbedingungen bei der Kontoerstellung akzeptiert. Eine gesonderte Unterschrift ist nicht erforderlich.
Diese Vereinbarung über die Erhebung, Speicherung und Nutzung von Dokumenten und Informationen wird geschlossen zwischen:
der juristischen Person, die ein Konto erstellt und die Allgemeinen Geschäftsbedingungen von Collectmaxx akzeptiert, identifiziert durch die in ihrem Konto angegebenen Unternehmensdaten (nachstehend der „Verantwortliche“),
und
Collectmaxx B.V., Scheepmakerspassage 183, 3011 VH Rotterdam, Niederlande, Handelsregisternummer 95712526 (nachstehend der „Auftragsverarbeiter“).
Die vorstehenden Parteien werden nachstehend einzeln als „Partei“ und gemeinsam als „Parteien“ bezeichnet.
2.1 Mit der Annahme der Allgemeinen Geschäftsbedingungen von Collectmaxx bei der Registrierung vereinbaren die Parteien den Abschluss dieses Auftragsverarbeitungsvertrags, einschließlich der folgenden Anlagen, die integraler Bestandteil desselben sind:
• Anlage 1: Allgemeine Angaben
• Anlage 2: Beschreibung der Verarbeitung
• Anlage 3: Sicherheitsmaßnahmen
• Anlage 4: Unterauftragsverarbeiter (des Auftragsverarbeiters)
3.1 Die Begriffsbestimmungen in Artikel 4 DSGVO gelten für diesen AVV. Diese Begriffe werden in diesem AVV großgeschrieben.
3.2 Die folgenden zusätzlichen Begriffsbestimmungen gelten für diesen Auftragsverarbeitungsvertrag:
• Vertrag: der zwischen dem Verantwortlichen und dem Auftragsverarbeiter geschlossene Vertrag, auf dessen Grundlage der Auftragsverarbeiter zum Zweck der Erfüllung dieses Vertrags Personenbezogene Daten für den Verantwortlichen verarbeitet; der Vertrag ist in Anlage 1 definiert.
• Anwendbare Gesetze und Vorschriften zur Verarbeitung Personenbezogener Daten: die anwendbaren Gesetze und Vorschriften zur Verarbeitung Personenbezogener Daten, einschließlich künftiger Änderungen und/oder Ergänzungen, einschließlich, aber nicht beschränkt auf die DSGVO.
• Personenbezogene Daten: Daten, die direkt oder indirekt zur Identifizierung einer natürlichen Person verwendet werden können, im Sinne der DSGVO.
• AVV: dieser Auftragsverarbeitungsvertrag einschließlich aller als Anlagen bezeichneten Anhänge.
• Mitarbeiter: ein Arbeitnehmer oder eine andere vom Auftragsverarbeiter beauftragte Person, die befugt ist, die Personenbezogenen Daten unter der unmittelbaren Weisung des Auftragsverarbeiters zu verarbeiten.
• DSGVO: Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung).
• Unterauftragsverarbeiter: ein Dritter, einschließlich, aber nicht beschränkt auf Tochtergesellschaften, sonstige verbundene Unternehmen und Drittanbieter des Auftragsverarbeiters, der vom Auftragsverarbeiter beauftragt wird, bestimmte Verarbeitungstätigkeiten im Auftrag des Verantwortlichen durchzuführen.
4.1 Dieser Auftragsverarbeitungsvertrag betrifft die Pflichten der Parteien in Bezug auf die Verarbeitung Personenbezogener Daten.
4.2 Dieser AVV ersetzt alle früheren Vereinbarungen zwischen den Parteien über die Verarbeitung der Personenbezogenen Daten. Haben die Parteien jedoch einen gesondert unterzeichneten Auftragsverarbeitungsvertrag geschlossen, so hat dieser unterzeichnete Vertrag Vorrang und dieser AVV findet keine Anwendung. Dieser Auftragsverarbeitungsvertrag kann nur schriftlich geändert werden.
4.3 Im Fall eines Widerspruchs zwischen den Bestimmungen dieses AVV und dem Vertrag haben die Bestimmungen dieses AVV Vorrang.
4.4 Dieser Auftragsverarbeitungsvertrag gilt für alle gegenwärtigen und künftigen Leistungen des Auftragsverarbeiters im Rahmen des Vertrags sowie für alle Unternehmen der Unternehmensgruppe des Verantwortlichen, für die der Auftragsverarbeiter Personenbezogene Daten verarbeitet. Diese Vereinbarung gilt ferner für alle Unternehmen der Unternehmensgruppe des Auftragsverarbeiters, die Daten für den Auftragsverarbeiter verarbeiten.
5.1 Der Auftragsverarbeiter verarbeitet Personenbezogene Daten im Auftrag des Verantwortlichen. Der Verantwortliche hat seine Weisungen zur Verarbeitung der Personenbezogenen Daten festgelegt.
5.2 Der Verantwortliche weist den Auftragsverarbeiter an, die Personenbezogenen Daten zur Erbringung seiner Dienste im Rahmen des Vertrags zu verarbeiten.
5.3 Der Auftragsverarbeiter verarbeitet die Personenbezogenen Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen.
5.4 Artikel 5.3 gilt nicht, soweit der Auftragsverarbeiter nach anwendbarem Unionsrecht oder dem Recht eines Mitgliedstaats, dem er unterliegt, zu einer anderweitigen Verarbeitung der Personenbezogenen Daten verpflichtet ist. In diesem Fall teilt der Auftragsverarbeiter dem Verantwortlichen diese rechtliche Anforderung vor der Verarbeitung schriftlich mit, sofern das betreffende Recht eine solche Mitteilung nicht wegen eines wichtigen öffentlichen Interesses verbietet.
5.5 Der Auftragsverarbeiter verarbeitet die Personenbezogenen Daten ausschließlich in dem Umfang, in dem die Verarbeitung für die Erfüllung des Vertrags erforderlich ist, und niemals für eigene Zwecke, zugunsten Dritter und/oder für andere Zwecke.
5.6 Der Auftragsverarbeiter verarbeitet die Personenbezogenen Daten nur gemäß den Angaben in Anlage 2. Diese Anlage bestimmt unter anderem: (a) Art und Zweck der Verarbeitung; (b) die Kategorien Betroffener Personen, auf die sich die Personenbezogenen Daten beziehen; (c) die verarbeiteten Personenbezogenen Daten; und (d) die Aufbewahrungsfrist der Personenbezogenen Daten.
5.7 Dem Auftragsverarbeiter ist es nicht gestattet, Personenbezogene Daten in Länder außerhalb der EU/des EWR oder in ein Land oder Gebiet ohne Angemessenheitsbeschluss der Europäischen Kommission zu übermitteln, dort zugänglich zu machen, zu verarbeiten oder anderweitig bereitzustellen, mit Ausnahme der in Anlage 4 aufgeführten vorab genehmigten Unterauftragsverarbeiter und unter den in Artikel 5.8 dieses AVV genannten Bedingungen.
5.8 Der Auftragsverarbeiter darf Personenbezogene Daten an die in Anlage 4 aufgeführten vorab genehmigten Unterauftragsverarbeiter übermitteln, ihnen zugänglich machen, durch sie verarbeiten lassen oder anderweitig bereitstellen, sofern für jeden außerhalb der EU/des EWR ansässigen Unterauftragsverarbeiter ein gültiger Übermittlungsmechanismus nach Kapitel V DSGVO besteht.
5.9 Erfordert eine Änderung in der Erfüllung des Vertrags eine Änderung dieses AVV, verhandeln die Parteien nach Treu und Glauben über eine Änderung dieses AVV. Ein Unterauftragsverarbeiter darf ohne vorherige schriftliche Zustimmung des Auftragsverarbeiters keine Änderung in der Erfüllung des Vertrags vornehmen, die eine Änderung dieses AVV erfordert.
6.1 Der Auftragsverarbeiter stellt sicher, dass seine Mitarbeiter sich zur Vertraulichkeit der Personenbezogenen Daten verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht in Bezug auf die Personenbezogenen Daten unterliegen. Auf schriftliche Anfrage des Verantwortlichen legt der Auftragsverarbeiter dem Verantwortlichen einen Nachweis über die Einhaltung dieser Pflicht vor.
7.1 Der Auftragsverarbeiter trifft geeignete technische und organisatorische Maßnahmen, um ein angemessenes Schutzniveau für die Personenbezogenen Daten zu gewährleisten. Hierzu hat der Auftragsverarbeiter mindestens die in Anlage 3 beschriebenen technischen und organisatorischen Maßnahmen umgesetzt.
7.2 Das angemessene Schutzniveau der Personenbezogenen Daten im Sinne von Artikel 7.1 wird unter Berücksichtigung des Stands der Technik, der Implementierungskosten und der Art, des Umfangs, der Umstände und der Zwecke der Verarbeitung sowie der unterschiedlichen Eintrittswahrscheinlichkeit und Schwere des Risikos für die Rechte und Freiheiten natürlicher Personen bestimmt. Bei der Beurteilung des angemessenen Schutzniveaus berücksichtigt der Auftragsverarbeiter die mit der Verarbeitung verbundenen Risiken, insbesondere durch Vernichtung, Verlust, Veränderung oder unbefugte Offenlegung von oder unbefugten Zugang zu übermittelten, gespeicherten oder auf sonstige Weise verarbeiteten Personenbezogenen Daten, ob unbeabsichtigt oder unrechtmäßig.
7.3 Auf schriftliche Anfrage des Verantwortlichen informiert der Auftragsverarbeiter den Verantwortlichen über die von ihm umgesetzten technischen und organisatorischen Maßnahmen zur Gewährleistung eines angemessenen Schutzniveaus der Personenbezogenen Daten.
7.4 Der Auftragsverarbeiter stellt sicher, dass jeder Mitarbeiter mit Zugang zu den Personenbezogenen Daten diese nur gemäß den Weisungen des Verantwortlichen nach Artikel 5.2 verarbeitet, es sei denn, diese Person ist nach Unionsrecht oder dem Recht eines Mitgliedstaats zu einer anderweitigen Verarbeitung verpflichtet.
8.1 Der Auftragsverarbeiter ist berechtigt, weitere Unterauftragsverarbeiter zur Verarbeitung der Personenbezogenen Daten einzusetzen. Eine Liste der Unterauftragsverarbeiter, an die der Auftragsverarbeiter die Verarbeitung Personenbezogener Daten (teilweise) vergeben hat, ist in Anlage 4 enthalten.
8.2 Der Auftragsverarbeiter kann neue Unterauftragsverarbeiter für die Verarbeitung der Personenbezogenen Daten bestellen. Der Auftragsverarbeiter informiert den Verantwortlichen mindestens 60 Tage vor einer solchen Änderung über die Hinzufügung oder Ersetzung eines Unterauftragsverarbeiters, indem er die Liste der Unterauftragsverarbeiter auf dieser Seite aktualisiert und den Verantwortlichen per E-Mail an die in seinem Konto registrierte Adresse benachrichtigt.
8.3 Der Auftragsverarbeiter gibt dem Verantwortlichen die Möglichkeit, gegen solche Änderungen Einspruch zu erheben. Erhebt der Verantwortliche Einspruch gegen eine beabsichtigte Hinzufügung oder Ersetzung eines Unterauftragsverarbeiters, obwohl diese Hinzufügung oder Ersetzung nicht zu einem Verstoß des Auftragsverarbeiters gegen diesen AVV oder die Anwendbaren Gesetze und Vorschriften zur Verarbeitung Personenbezogener Daten führen würde, ist der Auftragsverarbeiter berechtigt, den Vertrag mit angemessener Frist zu kündigen, ohne dass der Verantwortliche infolge dieser Kündigung Schadensersatz verlangen kann.
8.4 Der Auftragsverarbeiter stellt durch schriftliche Vereinbarungen sicher, dass alle seine Subunternehmer und Unterauftragsverarbeiter, die die in Anlage 2 genannten Personenbezogenen Daten verarbeiten, an Datenschutzpflichten gebunden sind, die mit denen des Auftragsverarbeiters nach diesem Auftragsverarbeitungsvertrag vereinbar sind. Auf schriftliche Anfrage des Verantwortlichen legt der Auftragsverarbeiter dem Verantwortlichen einen Nachweis über die Einhaltung dieser Pflicht durch den Unterauftragsverarbeiter vor.
8.5 Der Auftragsverarbeiter bleibt dem Verantwortlichen gegenüber in vollem Umfang für die Nichterfüllung der Datenschutzpflichten seiner Subunternehmer und Unterauftragsverarbeiter haftbar.
9.1 Unter Berücksichtigung der Art der Verarbeitung unterstützt der Auftragsverarbeiter den Verantwortlichen, soweit möglich, mit geeigneten technischen und organisatorischen Maßnahmen bei der Erfüllung seiner Pflicht, Anträge auf Wahrnehmung der in Kapitel III DSGVO genannten Rechte der Betroffenen Person zu beantworten.
9.2 Der Auftragsverarbeiter informiert den Verantwortlichen unverzüglich über einen unmittelbar an den Auftragsverarbeiter gerichteten Antrag einer Betroffenen Person.
9.3 Führt der Verantwortliche eine Datenschutz-Folgenabschätzung nach Artikel 35 DSGVO zur Verarbeitung der Personenbezogenen Daten durch, unterstützt der Auftragsverarbeiter den Verantwortlichen auf dessen schriftliche Anfrage, indem er die ihm verfügbaren Informationen über die Verarbeitung der Personenbezogenen Daten durch den Auftragsverarbeiter bereitstellt, die der Verantwortliche benötigt, um die Mindestanforderungen der Folgenabschätzung nach Artikel 35 Absatz 7 DSGVO zu erfüllen und/oder für eine etwaige vorherige Konsultation der Aufsichtsbehörde nach Artikel 36 DSGVO.
10.1 Der Auftragsverarbeiter meldet dem Verantwortlichen eine Verletzung des Schutzes Personenbezogener Daten unverzüglich nach Kenntnisnahme, wo möglich innerhalb von 24 Stunden nach Entdeckung, gemäß dem in Anlage 1 beschriebenen Meldeverfahren. Soweit die erforderlichen Informationen nicht gleichzeitig bereitgestellt werden können, können sie ohne unangemessene weitere Verzögerung schrittweise bereitgestellt werden.
10.2 Der Auftragsverarbeiter ist unter den in Artikel 10.1 genannten Bedingungen ferner für die Meldung von Datenschutzverletzungen bei seinen Unterauftragsverarbeitern oder Subunternehmern verantwortlich, die die Personenbezogenen Daten betreffen können.
10.3 Der Auftragsverarbeiter dokumentiert alle Verletzungen des Schutzes der Personenbezogenen Daten in einem Register, das die Fakten zu den Verletzungen (gemäß den in Anlage 1 beschriebenen Angaben), deren Auswirkungen und die ergriffenen Abhilfemaßnahmen umfasst. Auf schriftliche Anfrage des Verantwortlichen stellt der Auftragsverarbeiter dem Verantwortlichen eine geschwärzte Kopie dieses Registers zur Verfügung, die nur die für den Verantwortlichen relevanten Einträge offenlegt.
11.1 Der Verantwortliche hat das Recht, durch eine von ihm bevollmächtigte (juristische) Person ein Audit der Organisation des Auftragsverarbeiters durchführen zu lassen, um nachzuweisen, dass die Verarbeitung der Personenbezogenen Daten durch den Auftragsverarbeiter den Bestimmungen dieses AVV, des Vertrags und der Anwendbaren Gesetze und Vorschriften zur Verarbeitung Personenbezogener Daten entspricht. Die Kosten des Audits trägt der Verantwortliche.
11.2 Der Verantwortliche kündigt dem Auftragsverarbeiter die Absicht, ein Audit durchzuführen, mit angemessener Frist an. Als angemessene Frist gelten mindestens 60 Tage vor Beginn jeglicher Auditmaßnahmen.
11.3 Die Auditregelung lässt die sonstigen Rechte des Verantwortlichen, einschließlich eines etwaigen Schadensersatzanspruchs, unberührt.
12.1 Der Auftragsverarbeiter haftet für Schäden des Verantwortlichen, die aus einem Verstoß gegen diesen AVV durch den Auftragsverarbeiter selbst oder durch seine Unterauftragsverarbeiter oder Subunternehmer entstehen.
12.2 Die Gesamthaftung des Auftragsverarbeiters aus diesem AVV und dem Vertrag zusammen entspricht der Höchsthaftung des Auftragsverarbeiters nach dem Vertrag.
12.3 Eine Haftungsbeschränkung des Auftragsverarbeiters wegen eines Verstoßes gegen diesen AVV gilt nicht bei Vorsatz oder grober Fahrlässigkeit des Auftragsverarbeiters.
12.4 Schäden, für die der Verantwortliche nach Artikel 82 Absatz 2 DSGVO haftet, werden von der Haftung des Auftragsverarbeiters nach diesem Artikel 12 abgezogen.
13.1 Dieser Auftragsverarbeitungsvertrag wird auf unbestimmte Zeit geschlossen, beginnend mit dem in Anlage 1 definierten Wirksamkeitsdatum.
13.2 Dieser Auftragsverarbeitungsvertrag endet, wenn alle vom Auftragsverarbeiter verarbeiteten Personenbezogenen Daten an den Verantwortlichen zurückgegeben wurden und jede Kopie davon durch den Auftragsverarbeiter sowie seine an der weiteren Verarbeitung der Personenbezogenen Daten beteiligten Unterauftragsverarbeiter oder Subunternehmer entweder vernichtet oder gemäß den Weisungen des Verantwortlichen verarbeitet wurde.
13.3 Dieser Auftragsverarbeitungsvertrag kann von einer der Parteien nicht getrennt vom Vertrag gekündigt werden.
13.4 Die Beendigung oder das Auslaufen dieses Auftragsverarbeitungsvertrags entbindet den Auftragsverarbeiter nicht von seinen Vertraulichkeitspflichten nach Artikel 6.
14.1 Dieser Auftragsverarbeitungsvertrag unterliegt dem Recht der Niederlande.
14.2 Alle Streitigkeiten zwischen den Parteien aus diesem AVV werden ausschließlich dem zuständigen Gericht in Rotterdam vorgelegt.
Vertrag. Der Vertrag, auf dessen Grundlage der Auftragsverarbeiter die Personenbezogenen Daten verarbeitet, sind die Allgemeinen Geschäftsbedingungen von Collectmaxx, wie sie vom Verantwortlichen bei der Erstellung seines Kontos akzeptiert wurden.
Wirksamkeitsdatum. Das Wirksamkeitsdatum dieses Auftragsverarbeitungsvertrags ist das Datum, an dem der Verantwortliche die Allgemeinen Geschäftsbedingungen von Collectmaxx akzeptiert.
Verletzungen des Schutzes Personenbezogener Daten. Der Auftragsverarbeiter meldet alle Verletzungen des Schutzes Personenbezogener Daten an die im Konto des Verantwortlichen registrierte E-Mail-Adresse. Zusätzlich zu Artikel 10 stellt der Auftragsverarbeiter dem Verantwortlichen bei jeder Verletzung die folgenden Informationen bereit:
• eine Zusammenfassung des Vorfalls, bei dem die Verletzung eingetreten ist;
• den Zeitpunkt der Verletzung (Datum oder Zeitraum);
• die Anzahl der von der Verletzung Betroffenen Personen oder zumindest eine Schätzung des Minimums und Maximums, falls die genaue Anzahl nicht vollständig bekannt ist;
• die Kategorien der von der Verletzung Betroffenen Personen;
• die Art der Verletzung (Lesen (Vertraulichkeit), Kopieren, Verändern (Integrität), Entfernen oder Vernichten (Verfügbarkeit), Diebstahl oder Sonstiges (mit Angabe));
• die Arten der von der Verletzung betroffenen Personenbezogenen Daten (Namens- und Adressdaten, Telefonnummern, E-Mail-Adressen oder andere Adressen für elektronische Kommunikation, Zugangs- oder Identifikationsdaten, Finanzdaten, Steuer- oder Sozialversicherungsnummern, Kopien von Ausweisdokumenten, Geschlecht, Geburtsdatum und/oder Alter, besondere Kategorien Personenbezogener Daten oder Sonstiges (mit Angabe));
• die möglichen Folgen der Verletzung für die Privatsphäre der Betroffenen Personen (Stigmatisierung oder Ausgrenzung, Gesundheitsschäden, Gefahr von (Identitäts-)Betrug, Gefahr von Spam oder Phishing oder Sonstiges (mit Angabe)).
Kontaktdaten des Datenschutzbeauftragten des Auftragsverarbeiters. Der Datenschutzbeauftragte des Auftragsverarbeiters ist erreichbar unter customerservice@collectmaxx.com oder schriftlich unter Scheepmakerspassage 183, 3011 VH Rotterdam, Niederlande.
Kontaktdaten des Datenschutzbeauftragten des Verantwortlichen. Es gelten die im Konto des Verantwortlichen angegebenen Kontaktdaten. Der Verantwortliche kann in seinen Kontoeinstellungen einen eigenen DSB-Kontakt hinterlegen.
Art und Zweck der Verarbeitung. Erbringung von Erinnerungsdiensten für die Kunden des Verantwortlichen sowie von Inkassodiensten für den Verantwortlichen.
Kategorie Betroffener Personen: Endkunden des Verantwortlichen, verarbeitet durch den Auftragsverarbeiter im Auftrag des Verantwortlichen.
• Kontaktdaten (Vor- und Nachname, Adresse, Postleitzahl, E-Mail, Telefonnummer). Aufbewahrungsfrist: 3 Monate. Zweck: Kommunikation und Versand von Erinnerungen.
• Zahlungsdaten. Aufbewahrungsfrist: 2 Jahre. Zweck: Zahlungsnachweis.
Kategorie Betroffener Personen: Mitarbeiter des Verantwortlichen.
• Nachname, Vorname, geschäftliche Telefonnummer, E-Mail-Adresse(n). Aufbewahrungsfrist: bis der Mitarbeiter das Unternehmen des Verantwortlichen verlässt oder bis zum Ende des Vertrags oder des AVV. Zweck: Erfüllung des Vertrags und dieses AVV sowie Pflege der B2B-Beziehung zwischen den Parteien, einschließlich technischer und kommerzieller Kommunikation.
Personal. Mitarbeiter des Auftragsverarbeiters haben definierte und dokumentierte Sicherheitsrollen und -verantwortlichkeiten, die vor Beschäftigungsbeginn festgelegt werden. Während der Beschäftigung werden Mitarbeiter regelmäßig auf Regeln und Verfahren zu Sicherheit und regulatorischen Anforderungen hingewiesen. Alle Mitarbeiter stimmen dem Dokument „Alphacomm IT Security Policies“ zu und unterzeichnen es; es umfasst Informationsklassifizierung, Informationssicherheit, Netzwerksicherheit, zulässige Nutzung, Schutz gespeicherter Daten, physische Sicherheit, Schutz von Daten bei der Übertragung, Entsorgung gespeicherter Daten, Sicherheitsbewusstsein, Reaktion auf Sicherheitsvorfälle, Übermittlung sensibler Informationen, Verwaltung von Nutzerzugängen und Zugangskontrolle. Bei allen neuen Mitarbeitern werden vor Beschäftigungsbeginn Hintergrundüberprüfungen durchgeführt.
Passwortschutz und Multi-Faktor-Authentifizierung. Alle Arbeitsplätze und Netzwerke sind passwortgeschützt. Passwörter müssen Stärkeanforderungen erfüllen (Länge und Zusammensetzung, mehr als 12 Zeichen), sich von den letzten zehn verwendeten Passwörtern unterscheiden, mindestens alle 90 Tage geändert werden, bei der Eingabe nicht sichtbar sein, verschlüsselt gespeichert werden und bei erstmaliger Vergabe sofort geändert werden. Der Netzwerkzugang ist auf registrierte Arbeitsplätze und Geräte beschränkt; Fernzugriff ist nur über starke Authentifizierungsmechanismen möglich, und alle Zugriffs- und Anmeldeversuche werden protokolliert und überwacht. Nutzerzugänge und -rechte werden über eine Nutzerverwaltung eingeschränkt, die nur bestimmten Rollen zugänglich ist. Zugangsdaten werden niemals über unsichere Kanäle weitergegeben. Der Zugang zu Plattform-Hosting und Datenspeicherung ist auf registrierte Nutzer mit Multi-Faktor-Authentifizierung von einem registrierten Gerät beschränkt. Passwort-Zurücksetzungen sind nur über mindestens Zwei-Faktor-Authentifizierung möglich.
Datenübertragungen. Alle Datenübertragungen in die und aus der Plattform erfolgen über bekannte sichere und authentifizierte Protokolle (SFTP).
Schwachstellenscans und Patching. Alle Komponenten, die Teil der für die Diensterbringung genutzten Infrastruktur sind oder mit ihr verbunden sind, werden regelmäßig durch verschiedene Sicherheitsscans überprüft. Penetrationstests sind auf Anfrage möglich. Erkannte Schwachstellen werden anhand ihrer Bewertung und ihres Risikos priorisiert und entsprechend behandelt. Kritische Schwachstellen, die eine unmittelbare Bedrohung für Vertraulichkeit, Integrität oder Verfügbarkeit darstellen, werden unverzüglich behandelt.
Medienbereinigung. Alle Informationsträger werden vor Wiederverwendung oder Entsorgung vollständig und unwiederbringlich bereinigt oder vernichtet.
Netzwerksegmentierung und Sicherheitszonen. Netzwerksegmente unterstützen ein mehrschichtiges Sicherheitsmodell mit Netzwerkfiltern zwischen den Segmenten, die nur autorisierten Datenverkehr durchlassen. Die Netzwerkdokumentation beschreibt das Netzwerkdesign und den IP-Nummernplan. Netzwerke werden auf Kapazität, Verfügbarkeit und schädliche Aktivitäten überwacht, und Ereignisse werden angemessen behandelt.
Verkehrsdaten. Verkehrsdaten werden unwiderruflich anonymisiert oder gelöscht, wenn sie für die Übertragung der Kommunikation nicht mehr erforderlich sind, außer zu Abrechnungszwecken, zur gesetzlichen Vorratsspeicherung (6 Monate für Telefoniedaten, 3 Monate für Internetdaten) oder für Marktanalysen und Nachbetreuung ausschließlich mit anonymisierten Daten.
Verschlüsselung. Personenbezogene Daten werden sowohl bei der Übertragung als auch im Ruhezustand mit starken Verschlüsselungsalgorithmen verschlüsselt.
Hosting. Die Collectmaxx-Plattform wird auf Amazon Web Services (AWS) in Deutschland (Region Frankfurt) gehostet. Daten werden verschlüsselt und auf verschiedenen Knoten in einem hochredundanten Datencluster gespeichert, was das Risiko eines Datenverlusts minimiert.
Privilegierte Konten und Änderungsmanagement. Berechtigungen von Konten oder Gruppen, die die Infrastruktur unmittelbar beschädigen könnten, werden geschützt durch ein Vier-Augen-Prinzip (mindestens zwei anwesende Personen bei Tätigkeiten, prüfbar), zentrale Protokollierung der Arbeitsplätze, von denen Tätigkeiten ausgeführt werden, Privacy by Design und by Default, eine separate Staging-Umgebung, Rollback-Szenarien für alle Releases, automatisierte und manuelle Tests aller Änderungen vor und nach der Bereitstellung in der Produktion (Funktionalität und bekannte Sicherheitsprobleme) sowie die Beschränkung dieser Tätigkeiten auf das eigene Netzwerk des Auftragsverarbeiters.
Überwachung. Alle Plattformen, Hosting-Dienste und Netzwerke werden auf Rechenleistung, Kapazität, Anomalien, Leistung und aktive Verbindungen überwacht, mit Benachrichtigungen in definierten Szenarien. Über alle Aktivitäten wird ein verschlüsseltes Audit-Protokoll geführt.
• Amazon Web Services EMEA SARL, 5 Rue Plaetis, 2338 Luxemburg, Luxemburg. Verarbeitungsplattform für alle Dienste; Hosting in Deutschland (Region Frankfurt).
• MessageBird B.V., Baarsjesweg 285 H, 1058 AE Amsterdam, Niederlande. Kommunikationsdienste.
• Sound of Data B.V., Waalhaven O.z. 83 L, 3087 BM Rotterdam, Niederlande. Contact-Center-Lösungen.
• Spottler Group (Flowmailer), Wilhelminakade 308, 3072 AR Rotterdam, Niederlande. E-Mail-Dienst-API.
• ReadSpeaker, Princenhof Park 13, 3972 NG Driebergen-Rijsenburg, Niederlande. Text-to-Speech-Dienst.
• ElevenLabs, 169 Madison Ave #2484, New York, NY 10016, Vereinigte Staaten von Amerika. Text-to-Speech- und agentischer KI-Sprachdienst. Übermittlungen an ElevenLabs erfolgen auf Grundlage eines gültigen Übermittlungsmechanismus nach Kapitel V DSGVO.