Vertrag über die Auftragsverarbeitung personenbezogener Daten

gemäß Art. 28 Datenschutz-Grundverordnung (DSGVO)

Stand: 15.07.2026

Zwischen ¶

dem Kunden — wie im Hauptvertrag über die Nutzung des STRYKE Hub gegenüber der STRYKE Marketing UG (haftungsbeschränkt) bezeichnet, im Folgenden „Verantwortlicher"

und ¶

der STRYKE Marketing UG (haftungsbeschränkt) Zimmerstraße 3, 76137 Karlsruhe eingetragen im Handelsregister des Amtsgerichts Mannheim unter HRB 757033 vertreten durch den Geschäftsführer Darius Ploch E-Mail: mail@stryke-marketing.de — nachfolgend „STRYKE" oder „Auftragsverarbeiter" —

Präambel ¶

Dieser Vertrag regelt die Rechte und Pflichten der Parteien bei der Verarbeitung personenbezogener Daten, die STRYKE im Rahmen des zwischen den Parteien abgeschlossenen Hauptvertrags über die Nutzung des STRYKE Hub (nachfolgend „Hauptvertrag") für den Verantwortlichen vornimmt. Die Parteien sind sich einig, dass dieser Vertrag den Anforderungen des Art. 28 Abs. 3 und Abs. 4 DSGVO genügt. Die Klauselstruktur orientiert sich am Durchführungsbeschluss (EU) 2021/915 der Kommission vom 4. Juni 2021 über Standardvertragsklauseln zwischen Verantwortlichen und Auftragsverarbeitern.

Soweit Begriffe in diesem Vertrag in der DSGVO definiert sind, gelten die dortigen Definitionen. Widersprüche zwischen diesem Vertrag und dem Hauptvertrag werden zugunsten dieses Vertrags aufgelöst, soweit es um datenschutzrechtliche Regelungen geht.

§ 1 Gegenstand, Dauer, Art und Zweck der Verarbeitung ¶

1.1 Gegenstand der Verarbeitung personenbezogener Daten durch STRYKE ist die Erbringung der im Hauptvertrag vereinbarten Leistungen, insbesondere:

• die Bereitstellung der STRYKE Hub Plattform und ihrer Funktionen,
• die Vermittlung und Verwaltung von Managed Webhosting (über den Unterauftragsverarbeiter ALL-INKL.COM – Neue Medien Münnich),
• die Bereitstellung von E-Mail-Postfächern einschließlich des integrierten Webmailers,
• die Vermittlung und Verwaltung von Domains,
• die Bereitstellung des optionalen Campaign Link Trackers,
• die Bereitstellung des Cloud Container Hostings (Sliplane, während der geschlossenen Beta gemäß Ziffer 2.9 der AGB),
• die verschlüsselte Aufbewahrung von Zugangsdaten im Credential Vault,
• die Team- und Zugriffsverwaltung.

1.2 Dauer der Verarbeitung entspricht der Laufzeit des Hauptvertrags. Pflichten, die ihrem Inhalt nach über die Laufzeit hinausgehen (insbesondere Löschung, Rückgabe, Verschwiegenheit), bleiben davon unberührt.

1.3 Art und Zweck der Verarbeitung sowie die Kategorien betroffener Personen und personenbezogener Daten ergeben sich aus Anlage 1 zu diesem Vertrag.

1.4 Der Verantwortliche ist nach Art. 4 Nr. 7 DSGVO allein „Verantwortlicher" im datenschutzrechtlichen Sinne. STRYKE verarbeitet die Daten ausschließlich als Auftragsverarbeiter nach Art. 4 Nr. 8 DSGVO im Auftrag des Verantwortlichen.

1.5 Verarbeitungen durch STRYKE außerhalb des sachlichen Anwendungsbereichs der DSGVO (Art. 2 DSGVO) sowie Verarbeitungen, bei denen STRYKE selbst Verantwortlicher ist (z. B. zu eigenen Abrechnungs-, Buchhaltungs- oder Vertragszwecken gegenüber dem Kunden), sind nicht Gegenstand dieses Vertrags.

§ 2 Weisungsgebundenheit ¶

2.1 STRYKE verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen, es sei denn, STRYKE ist nach dem Recht der Europäischen Union oder der Mitgliedstaaten, dem STRYKE unterliegt, zur Verarbeitung verpflichtet. In einem solchen Fall teilt STRYKE dem Verantwortlichen diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht eine solche Mitteilung nicht wegen eines wichtigen öffentlichen Interesses verbietet.

2.2 Der Hauptvertrag und dieser Vertrag stellen die erstmalige Weisung des Verantwortlichen dar. Weitere Weisungen erteilt der Verantwortliche in Textform, in elektronischer Form über die STRYKE Hub Plattform oder in dringenden Fällen mündlich mit unverzüglicher Bestätigung in Textform.

2.3 Ist STRYKE der Auffassung, dass eine Weisung des Verantwortlichen gegen die DSGVO oder gegen andere Datenschutzvorschriften der Union oder der Mitgliedstaaten verstößt, teilt STRYKE dies dem Verantwortlichen unverzüglich mit. STRYKE ist berechtigt, die Ausführung der betreffenden Weisung auszusetzen, bis der Verantwortliche sie bestätigt oder ändert.

2.4 STRYKE darf die zur Verfügung gestellten personenbezogenen Daten nicht für andere, insbesondere nicht für eigene Zwecke nutzen. Kopien oder Duplikate werden ohne Wissen des Verantwortlichen nicht erstellt. Ausgenommen sind Sicherungskopien, soweit sie zur Gewährleistung einer ordnungsgemäßen Datenverarbeitung erforderlich sind, sowie Daten, die zur Einhaltung gesetzlicher Aufbewahrungspflichten erforderlich sind.

2.5 Gesetzliche Pflichten von STRYKE zur Entfernung oder Sperrung rechtswidriger Inhalte nach dem Gesetz über digitale Dienste oder vergleichbaren Vorschriften bleiben unberührt und stellen keine weisungswidrige Verarbeitung dar.

§ 3 Technische und organisatorische Maßnahmen ¶

3.1 STRYKE ergreift unter Berücksichtigung des Stands der Technik, der Implementierungskosten und der Art, des Umfangs, der Umstände und der Zwecke der Verarbeitung sowie der unterschiedlichen Eintrittswahrscheinlichkeit und Schwere des Risikos für die Rechte und Freiheiten natürlicher Personen geeignete technische und organisatorische Maßnahmen, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten. Die zum Zeitpunkt des Vertragsschlusses getroffenen Maßnahmen sind in Anlage 2 beschrieben.

3.2 STRYKE wird die technischen und organisatorischen Maßnahmen regelmäßig überprüfen und an den Stand der Technik anpassen. Wesentliche Änderungen, die das Schutzniveau herabsetzen würden, sind mit dem Verantwortlichen abzustimmen. Änderungen, die das Schutzniveau halten oder erhöhen, darf STRYKE eigenständig vornehmen; STRYKE wird die Anlage 2 entsprechend aktualisieren und den Verantwortlichen in geeigneter Weise informieren.

3.3 STRYKE verpflichtet alle mit der Datenverarbeitung befassten Personen vor Aufnahme der Tätigkeit zur Vertraulichkeit (Art. 28 Abs. 3 Buchstabe b, Art. 29, Art. 32 Abs. 4 DSGVO), soweit sie nicht bereits einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen. Die Vertraulichkeitsverpflichtung besteht auch nach Beendigung der Tätigkeit fort.

§ 4 Unterstützung des Verantwortlichen ¶

4.1 STRYKE unterstützt den Verantwortlichen nach Möglichkeit mit geeigneten technischen und organisatorischen Maßnahmen dabei, seinen Pflichten nach den Art. 32 bis 36 DSGVO nachzukommen (Datensicherheit, Meldung von Verletzungen des Schutzes personenbezogener Daten an die Aufsichtsbehörde, Benachrichtigung betroffener Personen, Datenschutz-Folgenabschätzung, vorherige Konsultation).

4.2 STRYKE unterstützt den Verantwortlichen weiterhin unter Berücksichtigung der Art der Verarbeitung durch geeignete technische und organisatorische Maßnahmen dabei, seiner Pflicht zur Beantwortung von Anträgen betroffener Personen auf Wahrnehmung ihrer Rechte nach Kapitel III der DSGVO (Art. 12 bis 22 DSGVO) nachzukommen. Wendet sich eine betroffene Person unmittelbar an STRYKE, leitet STRYKE den Antrag unverzüglich an den Verantwortlichen weiter.

4.3 Für Unterstützungsleistungen, die über den üblichen Rahmen hinausgehen oder die auf Handlungen beziehungsweise Unterlassungen des Verantwortlichen zurückzuführen sind, kann STRYKE eine angemessene Vergütung verlangen. STRYKE wird den Verantwortlichen über einen zu erwartenden Aufwand vor Beginn der Leistung informieren.

§ 5 Meldung von Verletzungen des Schutzes personenbezogener Daten ¶

5.1 STRYKE meldet dem Verantwortlichen jede bekannt gewordene Verletzung des Schutzes personenbezogener Daten, die Daten des Verantwortlichen betrifft, unverzüglich, spätestens innerhalb von 72 Stunden nach Bekanntwerden. Die Meldung erfolgt an die im STRYKE Hub Konto hinterlegte Kontakt-E-Mail-Adresse des Verantwortlichen sowie an mail@stryke-marketing.de als Empfangskanal für Rückfragen.

5.2 Die Meldung enthält, soweit bei Meldung bekannt:

a) eine Beschreibung der Art der Verletzung des Schutzes personenbezogener Daten, soweit möglich mit Angabe der Kategorien und der ungefähren Zahl der betroffenen Personen, der Kategorien und der ungefähren Zahl der betroffenen personenbezogenen Datensätze; b) den Namen und die Kontaktdaten der Kontaktstelle bei STRYKE, bei der weitere Informationen eingeholt werden können; c) eine Beschreibung der wahrscheinlichen Folgen der Verletzung des Schutzes personenbezogener Daten; d) eine Beschreibung der von STRYKE ergriffenen oder vorgeschlagenen Maßnahmen zur Behebung der Verletzung und gegebenenfalls Maßnahmen zur Abmilderung ihrer möglichen nachteiligen Auswirkungen.

Liegen zum Zeitpunkt der Meldung nicht alle Informationen vor, kann die Meldung schrittweise ergänzt werden.

5.3 Die Meldepflicht nach Art. 33 DSGVO gegenüber der Aufsichtsbehörde obliegt ausschließlich dem Verantwortlichen. STRYKE unterstützt ihn bei der Erfüllung dieser Pflicht nach § 4.

§ 6 Unterauftragsverarbeiter ¶

6.1 Der Verantwortliche erteilt STRYKE die allgemeine Genehmigung im Sinne von Art. 28 Abs. 2 Satz 2 DSGVO zum Einsatz der in Anlage 3 aufgeführten Unterauftragsverarbeiter.

6.2 Beabsichtigt STRYKE, einen weiteren Unterauftragsverarbeiter hinzuzuziehen oder einen bestehenden zu ersetzen, informiert STRYKE den Verantwortlichen hierüber mindestens vier Wochen vor dem geplanten Wirksamwerden in Textform. Die Information enthält Name, Sitz, Art der Leistung und Ort der Verarbeitung des neuen Unterauftragsverarbeiters.

6.3 Der Verantwortliche kann dem Einsatz des neuen oder ersetzten Unterauftragsverarbeiters innerhalb von zwei Wochen nach Zugang der Information aus wichtigem, datenschutzrechtlichem Grund in Textform gegenüber STRYKE widersprechen. Erfolgt kein Widerspruch, gilt der Einsatz als genehmigt.

6.4 Widerspricht der Verantwortliche, können die Parteien eine einvernehmliche Lösung suchen. Gelingt dies nicht, ist STRYKE berechtigt, den Hauptvertrag außerordentlich zu kündigen (Ziffer 14.6.4 der AGB). Nicht verbrauchte Vorauszahlungen erstattet STRYKE dem Verantwortlichen in diesem Fall zeitanteilig.

6.5 STRYKE schließt mit jedem Unterauftragsverarbeiter einen Vertrag ab, der dem vorliegenden Vertrag entspricht und insbesondere die in Art. 28 Abs. 3 DSGVO genannten Pflichten enthält. STRYKE bleibt dem Verantwortlichen gegenüber für die Einhaltung der datenschutzrechtlichen Pflichten durch den Unterauftragsverarbeiter verantwortlich.

6.6 Nicht als Unterauftragsverarbeitung gelten Nebenleistungen, die STRYKE bei Dritten in Anspruch nimmt, z. B. Telekommunikationsleistungen, Post- und Transportdienste, Wartung, Reinigung oder Entsorgung von Datenträgern, soweit diese Dritten keinen bestimmungsgemäßen Zugriff auf personenbezogene Daten des Verantwortlichen erhalten.

§ 7 Übermittlung in Drittländer ¶

7.1 Verarbeitungen personenbezogener Daten finden grundsätzlich innerhalb der Europäischen Union oder des Europäischen Wirtschaftsraums statt.

7.2 Soweit eine Übermittlung personenbezogener Daten in ein Drittland stattfindet (z. B. durch Unterauftragsverarbeiter mit Sitz außerhalb der EU/EWR, siehe Anlage 3), stellt STRYKE sicher, dass ein angemessenes Schutzniveau im Sinne von Kapitel V der DSGVO besteht. Dies geschieht insbesondere durch:

• einen Angemessenheitsbeschluss der Europäischen Kommission nach Art. 45 DSGVO oder
• den Abschluss von Standardvertragsklauseln nach Art. 46 Abs. 2 Buchstabe c DSGVO (Durchführungsbeschluss (EU) 2021/914) mit dem Empfänger im Drittland, gegebenenfalls flankiert durch zusätzliche technische und organisatorische Maßnahmen.

7.3 STRYKE stellt dem Verantwortlichen auf Anfrage Nachweise über die bestehenden Garantien zur Verfügung.

§ 8 Kontrollrechte des Verantwortlichen ¶

8.1 Der Verantwortliche hat das Recht, sich von der Einhaltung der in diesem Vertrag festgelegten Pflichten durch STRYKE zu überzeugen. STRYKE stellt dem Verantwortlichen hierzu alle erforderlichen Informationen zur Verfügung.

8.2 STRYKE kann den Nachweis der Einhaltung der Pflichten aus diesem Vertrag insbesondere erbringen durch:

• die Vorlage aktueller Testate, Berichte oder Zertifizierungen durch unabhängige Prüfstellen (z. B. ISO 27001, SOC 2, C5, TISAX) — eigene oder solche der Unterauftragsverarbeiter;
• die Vorlage einer aktualisierten Fassung der technischen und organisatorischen Maßnahmen (Anlage 2);
• eine schriftliche Auskunft zu konkreten Fragen.

8.3 Soweit die Nachweise nach Ziffer 8.2 nicht ausreichen oder der Verantwortliche begründete Zweifel an der Einhaltung der Pflichten hat, kann er — soweit erforderlich — eine Vor-Ort-Prüfung durchführen. Die Prüfung erfolgt zu üblichen Geschäftszeiten, nach rechtzeitiger Vorankündigung von mindestens zwei Wochen und ohne wesentliche Betriebsstörung. Der Verantwortliche wählt den Prüfer nach billigem Ermessen; STRYKE kann der Auswahl aus triftigem Grund in Textform widersprechen, insbesondere bei Wettbewerbern.

8.4 Die Kosten einer Vor-Ort-Prüfung trägt der Verantwortliche. STRYKE kann für den eigenen Aufwand ab der zweiten Prüfung je Kalenderjahr ein angemessenes Entgelt verlangen, es sei denn, die Prüfung ist auf einen konkreten Verdacht einer Pflichtverletzung durch STRYKE zurückzuführen, den die Prüfung bestätigt.

8.5 Prüfungen von Unterauftragsverarbeitern durch den Verantwortlichen erfolgen, soweit erforderlich, über STRYKE. STRYKE setzt die entsprechenden Rechte gegenüber den Unterauftragsverarbeitern durch.

§ 9 Löschung und Rückgabe nach Beendigung ¶

9.1 Nach Beendigung des Hauptvertrags löscht STRYKE nach Wahl des Verantwortlichen alle personenbezogenen Daten oder gibt sie an den Verantwortlichen zurück, sofern nicht nach dem Recht der Europäischen Union oder der Mitgliedstaaten eine Verpflichtung zur Speicherung der personenbezogenen Daten besteht.

9.2 Trifft der Verantwortliche bis zum Ende des Hauptvertrags keine Wahl und sichert er seine Daten nicht selbst (vgl. Ziffer 4.5 der AGB, Ziffer 14.5.9 der AGB), löscht STRYKE die Daten mit Beendigung des Hauptvertrags (Ziffer 15.6 der AGB).

9.3 Die Löschung erfolgt nach dem Stand der Technik und umfasst auch Kopien, Backups und Duplikate, soweit eine gesetzliche Aufbewahrungspflicht nicht entgegensteht. STRYKE bestätigt dem Verantwortlichen die Löschung auf Anfrage in Textform.

9.4 Daten, die aufgrund gesetzlicher Aufbewahrungspflichten weiter gespeichert werden müssen (z. B. Rechnungsbelege nach § 147 AO), werden mit einem Zugriffsschutz versehen und nach Ablauf der Aufbewahrungsfrist gelöscht.

§ 10 Pflichten des Verantwortlichen ¶

10.1 Der Verantwortliche ist im Rahmen dieses Vertrags für die Einhaltung der datenschutzrechtlichen Vorschriften, insbesondere für die Rechtmäßigkeit der Datenübermittlung an STRYKE sowie die Rechtmäßigkeit der Datenverarbeitung, allein verantwortlich (Art. 24 DSGVO).

10.2 Der Verantwortliche ist verpflichtet, STRYKE über Besonderheiten der verarbeiteten Daten zu unterrichten, insbesondere wenn besondere Kategorien personenbezogener Daten im Sinne von Art. 9 DSGVO oder Daten über strafrechtliche Verurteilungen und Straftaten im Sinne von Art. 10 DSGVO verarbeitet werden sollen, damit STRYKE gegebenenfalls zusätzliche Schutzmaßnahmen ergreifen kann.

10.3 Der Verantwortliche erfüllt seine Informationspflichten gegenüber den Betroffenen nach Art. 13, 14 DSGVO eigenständig. STRYKE schuldet diese Informationserteilung gegenüber Betroffenen nicht.

10.4 Der Verantwortliche erfüllt seine Meldepflichten an die Aufsichtsbehörde nach Art. 33 DSGVO und gegebenenfalls seine Benachrichtigungspflichten gegenüber betroffenen Personen nach Art. 34 DSGVO eigenständig.

10.5 Der Verantwortliche ist verpflichtet, die im STRYKE Hub Konto hinterlegten Kontaktdaten, insbesondere die Datenschutz-Kontakt-E-Mail-Adresse, aktuell zu halten, damit STRYKE seine Melde- und Informationspflichten aus diesem Vertrag erfüllen kann.

§ 11 Haftung ¶

11.1 Für die Haftung der Parteien gelten die Regelungen des Hauptvertrags (Ziffer 13 der AGB) sowie ergänzend Art. 82 DSGVO. Im Außenverhältnis haften die Parteien gegenüber betroffenen Personen nach Maßgabe von Art. 82 DSGVO.

11.2 Im Innenverhältnis gilt: Jede Partei trägt den Anteil am Gesamtschaden, der ihrem jeweiligen Verantwortungsbeitrag entspricht. Zahlt eine Partei im Außenverhältnis mehr als ihren Anteil, steht ihr gegen die andere Partei ein Ausgleichsanspruch in Höhe der Differenz zu.

11.3 Die haftungsbegrenzenden Regelungen des Hauptvertrags bleiben im Verhältnis der Parteien zueinander wirksam, soweit Art. 82 DSGVO dem nicht zwingend entgegensteht.

§ 12 Sonstiges ¶

12.1 Vorrang bei Widersprüchen: Bei Widersprüchen zwischen diesem Vertrag und dem Hauptvertrag haben datenschutzrechtliche Regelungen dieses Vertrags Vorrang.

12.2 Änderungen: Änderungen und Ergänzungen dieses Vertrags bedürfen der Textform. Dies gilt auch für die Änderung dieser Textform-Klausel. STRYKE darf die Anlagen 2 und 3 einseitig anpassen, soweit die Änderungen das Schutzniveau halten oder erhöhen; STRYKE informiert den Verantwortlichen hierüber. Änderungen, die das Schutzniveau herabsetzen, bedürfen der Zustimmung des Verantwortlichen.

12.3 Salvatorische Klausel: Sollten einzelne Bestimmungen dieses Vertrags ganz oder teilweise unwirksam sein oder werden, so wird hierdurch die Gültigkeit der übrigen Bestimmungen nicht berührt. Die Parteien werden anstelle der unwirksamen Bestimmung eine wirksame Regelung vereinbaren, die dem wirtschaftlichen Zweck der unwirksamen Bestimmung am nächsten kommt.

12.4 Anwendbares Recht, Gerichtsstand: Es gilt das Recht der Bundesrepublik Deutschland unter Ausschluss des UN-Kaufrechts. Gerichtsstand ist, soweit der Verantwortliche Kaufmann, juristische Person des öffentlichen Rechts oder öffentlich-rechtliches Sondervermögen ist, der Sitz von STRYKE in Karlsruhe.

12.5 Ansprechpartner bei STRYKE für Fragen zur Auftragsverarbeitung sowie zur Ausübung von Betroffenenrechten:

STRYKE Marketing UG (haftungsbeschränkt) Zimmerstraße 3, 76137 Karlsruhe E-Mail: mail@stryke-marketing.de Telefon: +49 163 729 8401

Anlage 1 — Beschreibung der Verarbeitung ¶

Zwecke der Verarbeitung ¶

Die Verarbeitung personenbezogener Daten durch STRYKE erfolgt ausschließlich zu folgenden Zwecken:

1. Bereitstellung und Betrieb der vom Verantwortlichen gebuchten Leistungen des STRYKE Hub,
2. Speicherung und Übertragung der vom Verantwortlichen bereitgestellten Inhalte auf den gebuchten Speicherplätzen,
3. Empfang, Versand und Speicherung von E-Mails in den vom Verantwortlichen genutzten Mailboxen,
4. Auflösung und Weiterleitung von Kampagnen-Links sowie Erfassung anonymisierter Klick- und Conversion-Statistiken im Rahmen des Campaign Link Trackers,
5. Bereitstellung von Cloud Container Hosting im Rahmen der Sliplane-Beta,
6. verschlüsselte Speicherung von Zugangsdaten im Credential Vault und deren transiente Verwendung bei vom Verantwortlichen ausgelösten Proxy-Aufrufen,
7. Verwaltung der vom Verantwortlichen eingeladenen autorisierten Nutzer (Team-Management),
8. Support- und Fehlerbehebungsleistungen.

Art der Verarbeitung ¶

Die Art der Verarbeitung umfasst insbesondere: Erheben, Speichern, Organisieren, Anpassen, Übermitteln, Auslesen, Abfragen, Verwenden, Offenlegen durch Übermittlung, Abgleichen, Verknüpfen, Einschränken, Löschen und Vernichten.

Kategorien personenbezogener Daten ¶

Je nach gebuchter Leistung können folgende Kategorien personenbezogener Daten verarbeitet werden:

Der Verantwortliche wird darauf hingewiesen, dass die Verarbeitung besonderer Kategorien personenbezogener Daten im Sinne von Art. 9 DSGVO und von Daten über strafrechtliche Verurteilungen und Straftaten im Sinne von Art. 10 DSGVO nur zulässig ist, wenn der Verantwortliche STRYKE hierüber vorher informiert hat und eine zusätzliche Absicherung nach Ziffer 10.2 getroffen wurde.

Kategorien betroffener Personen ¶

• Mitarbeiter, Kunden und Geschäftspartner des Verantwortlichen, deren Daten der Verantwortliche in den gebuchten Leistungen verarbeitet,
• Nutzer der Webseiten und Dienste des Verantwortlichen,
• Empfänger und Absender von E-Mails, die über die gebuchten Mailboxen laufen,
• Besucher, die Kampagnen-Links des Verantwortlichen aufrufen,
• vom Verantwortlichen autorisierte Nutzer des STRYKE Hub (Team-Mitglieder, External-Nutzer, Campaign-Viewer).

Dauer der Verarbeitung ¶

Die Verarbeitung erfolgt für die Dauer des Hauptvertrags. Nach dessen Beendigung gilt § 9 dieses Vertrags.

Ort der Verarbeitung ¶

Deutschland und andere Mitgliedstaaten der Europäischen Union. Übermittlungen in Drittländer nur unter den Voraussetzungen von § 7.

Anlage 2 — Technische und organisatorische Maßnahmen ¶

STRYKE trifft folgende technische und organisatorische Maßnahmen, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten (Art. 32 DSGVO):

1. Vertraulichkeit (Art. 32 Abs. 1 Buchstabe b DSGVO) ¶

1.1 Zutrittskontrolle. Die physische Infrastruktur wird von den Unterauftragsverarbeitern ALL-INKL.COM und Sliplane GmbH in zertifizierten Rechenzentren in Deutschland beziehungsweise der Europäischen Union betrieben. Der Zutritt zu den Rechenzentren ist durch Zutrittskontrollsysteme, Videoüberwachung und Personenvereinzelungsanlagen geschützt. STRYKE selbst betreibt keine eigenen Server in eigenen Räumen; die Arbeitsplätze der Mitarbeiter von STRYKE sind durch reguläre Bürozugangskontrollen geschützt.

1.2 Zugangskontrolle. Die Anmeldung an der STRYKE Hub Plattform erfolgt über Benutzername und Passwort; eine Zwei-Faktor-Authentifizierung steht zur Verfügung und wird für administrative Rollen empfohlen. Passwörter werden ausschließlich als Hash (bcrypt oder gleichwertiges modernes Verfahren) gespeichert. Fehlgeschlagene Anmeldeversuche werden rate-limited. Mitarbeiter von STRYKE greifen auf Produktivsysteme ausschließlich über verschlüsselte Verbindungen (TLS 1.2 oder neuer, SSH mit Schlüsselauthentifizierung) zu.

1.3 Zugriffskontrolle. Der Zugriff auf personenbezogene Daten erfolgt rollenbasiert. Mitarbeiter erhalten nur die Rechte, die sie zur Erfüllung ihrer Aufgaben benötigen („Least Privilege"). Autorisierte Nutzer des Verantwortlichen bedienen Leistungen ausschließlich über den serverseitigen Proxy; Klartext-Zugangsdaten aus dem Credential Vault werden ihnen nicht angezeigt. Administrative Zugriffe auf Produktivsysteme werden protokolliert.

1.4 Trennungskontrolle. Daten unterschiedlicher Verantwortlicher werden logisch getrennt verarbeitet (mandantenfähige Architektur mit Tenant-ID). Produktions-, Test- und Entwicklungsumgebungen sind getrennt; echte personenbezogene Daten werden nicht in Test- oder Entwicklungsumgebungen verwendet.

1.5 Pseudonymisierung und Verschlüsselung (Art. 32 Abs. 1 Buchstabe a DSGVO).

• Zugangsdaten im Credential Vault werden serverseitig mit AES-256-GCM verschlüsselt. Der Schlüssel liegt nicht zusammen mit den verschlüsselten Daten und wird ausschließlich zur Laufzeit für den vom Verantwortlichen ausgelösten Proxy-Aufruf in den Arbeitsspeicher geladen.
• Sämtliche externen Datenverbindungen zur STRYKE Hub Plattform erfolgen über TLS 1.2 oder neuer.
• Interne Datenverbindungen zwischen Backend-Diensten laufen innerhalb privater Netzwerke der Unterauftragsverarbeiter.
• IP-Adressen im Campaign Link Tracker werden ausschließlich als SHA-256-Hash mit serverseitigem Salt gespeichert; die Klartext-IP wird nicht persistiert.

2. Integrität (Art. 32 Abs. 1 Buchstabe b DSGVO) ¶

2.1 Eingabekontrolle. Alle schreibenden Zugriffe auf den Datenbestand werden mit Zeitstempel und, soweit möglich, mit der verantwortlichen Nutzer- oder System-Kennung protokolliert (Audit-Log). Das Audit-Log umfasst Änderungen an Rollen und Berechtigungen, Anlage und Löschung von Ressourcen sowie administrative Eingriffe.

2.2 Weitergabekontrolle. Personenbezogene Daten werden während der Übertragung durch TLS 1.2 oder neuer geschützt. E-Mail-Kommunikation über die Mailboxen des Verantwortlichen unterstützt opportunistische Transportverschlüsselung (STARTTLS); Ende-zu-Ende-Verschlüsselung von E-Mail-Inhalten liegt in der Verantwortung des Verantwortlichen.

3. Verfügbarkeit und Belastbarkeit (Art. 32 Abs. 1 Buchstabe b DSGVO) ¶

3.1 Verfügbarkeitskontrolle. Die Unterauftragsverarbeiter betreiben redundante Hardware, unterbrechungsfreie Stromversorgung und Brandschutzmaßnahmen in ihren Rechenzentren. Die STRYKE Hub Plattform läuft auf skalierbarer Container-Infrastruktur mit Gesundheitsprüfungen und automatischem Neustart fehlerhafter Instanzen.

3.2 Wiederherstellbarkeit (Art. 32 Abs. 1 Buchstabe c DSGVO). Regelmäßige Backups der Datenbank der STRYKE Hub Plattform werden durch den Unterauftragsverarbeiter angefertigt. Backups sind verschlüsselt und werden regelmäßig auf Wiederherstellbarkeit geprüft. Für Inhalte des Verantwortlichen auf den Managed-Webhosting-Speicherplätzen gelten zusätzlich die Backup-Verfahren des Hosting-Unterauftragsverarbeiters. Die Sicherungsobliegenheit des Verantwortlichen (Ziffer 4.5 der AGB) bleibt unberührt.

4. Verfahren zur regelmäßigen Überprüfung (Art. 32 Abs. 1 Buchstabe d DSGVO) ¶

4.1 Datenschutz-Management. STRYKE führt ein Verzeichnis von Verarbeitungstätigkeiten (Art. 30 Abs. 2 DSGVO), überprüft mindestens jährlich die Wirksamkeit der technischen und organisatorischen Maßnahmen und passt sie an den Stand der Technik an.

4.2 Incident-Response. STRYKE hat Prozesse zur Erkennung, Eindämmung und Meldung von Sicherheitsvorfällen etabliert, einschließlich der 72-Stunden-Meldung an den Verantwortlichen gemäß § 5.

4.3 Auftragskontrolle. STRYKE wählt Unterauftragsverarbeiter nach dokumentierten Kriterien aus, schließt mit ihnen Auftragsverarbeitungsverträge ab und überwacht die Einhaltung der vereinbarten Maßnahmen, insbesondere durch die Auswertung der Zertifizierungen und Testate der Unterauftragsverarbeiter.

4.4 Sensibilisierung der Mitarbeiter. Mitarbeiter von STRYKE werden regelmäßig zu datenschutz- und informationssicherheitsrelevanten Themen geschult und zur Vertraulichkeit verpflichtet.

Anlage 3 — Unterauftragsverarbeiter ¶

Stand: 15.07.2026

Nicht als Unterauftragsverarbeiter zu qualifizieren sind:

• Domainvergabestellen (z. B. DENIC eG für .de, Verisign, Inc. für .com, EURid für .eu): Der Registrierungsvertrag über einen Domain-Namen entsteht zwischen dem Verantwortlichen und der jeweiligen Domainvergabestelle; STRYKE vermittelt lediglich. Datenschutzrechtlich ist die Domainvergabestelle eigener Verantwortlicher im Sinne von Art. 4 Nr. 7 DSGVO.
• Telekommunikations-, Post- und Transportdienstleister sowie Betreiber der öffentlichen Internet-Infrastruktur, soweit sie keinen bestimmungsgemäßen Zugriff auf personenbezogene Daten des Verantwortlichen erhalten.

Die jeweils aktuelle Liste der Unterauftragsverarbeiter ist unter terms.strykehub.de/avv abrufbar.

— Ende des Vertrags —