Startseite › Datenschutz, AVV und TOMs

Datenschutz, AVV und TOMs

Für cadma-solutions.de und die nachfolgend beschriebenen cadma-Produkte. Stand: 23. Oktober 2026 · Fassung 2026-10-23.1.

1. Verantwortlicher und Geltungsbereich

Diese Hinweise erläutern die Verarbeitung auf unserer Unternehmenswebsite sowie bei CADMA, KDFahrzeugmanager einschließlich KdCrossUploader und KdElsaUploader, KDFahrdienstplaner, KDHealthSystem, KDMonitor, KDNotes, KDPersonalakte und KDPlaner. Welche Verarbeitungen stattfinden, hängt vom gewählten Produkt, den freigeschalteten Funktionen und der Betriebsform ab. Ergänzende produktspezifische Datenschutzhinweise und die vertraglich vereinbarten Anlagen sind ebenfalls zu beachten.

Bei einer ausschließlich lokal beim Kunden betriebenen Installation erhält cadma solutions nicht bereits durch die Bereitstellung der Software Zugriff auf sämtliche Nutzdaten. Hosting, Synchronisierung, Schnittstellen und ein ausdrücklich beauftragter Support können dagegen eine Verarbeitung durch uns oder weitere Empfänger auslösen.

2. Rollen, Zwecke und Rechtsgrundlagen

Für unsere Website, Anfragen, Vertragsverwaltung, Abrechnung und eigene Sicherheitsmaßnahmen handeln wir als Verantwortlicher. Vorvertragliche Anfragen und die Erfüllung eines Vertrags mit einer natürlichen Person beruhen auf Art. 6 Abs. 1 lit. b DSGVO. Die Kommunikation mit Beschäftigten unserer Geschäftskunden und die Sicherung unseres Angebots stützen wir auf Art. 6 Abs. 1 lit. f DSGVO; unsere Interessen sind die Bearbeitung geschäftlicher Anliegen sowie ein zuverlässiger, gegen Missbrauch geschützter Betrieb. Gesetzliche Aufbewahrungspflichten beruhen auf Art. 6 Abs. 1 lit. c DSGVO. Soweit eine Einwilligung erforderlich ist, gilt Art. 6 Abs. 1 lit. a DSGVO.

Für personenbezogene Fach- und Beschäftigtendaten, die unsere Kunden in die Produkte einstellen oder importieren, ist regelmäßig der jeweilige Kunde verantwortlich. Soweit wir diese Daten für ihn verarbeiten, handeln wir weisungsgebunden als Auftragsverarbeiter. Unser Softwarevertrag ersetzt die Rechtsgrundlage des Kunden gegenüber seinen Beschäftigten, Kunden oder anderen betroffenen Personen nicht. Er bestimmt insbesondere Zwecke, Berechtigungen, Empfänger und Löschfristen und erfüllt seine Informationspflichten nach Art. 13 und 14 DSGVO.

Beschäftigtendaten erfordern eine im Einzelfall passende Grundlage, insbesondere § 26 BDSG und Art. 88 DSGVO. Krankheitsangaben sind Gesundheitsdaten nach Art. 9 DSGVO. Ihre Verarbeitung setzt zusätzlich eine Ausnahme nach Art. 9 Abs. 2 DSGVO voraus, insbesondere im Zusammenhang mit § 26 Abs. 3 BDSG. Diagnosen und andere nicht erforderliche Gesundheitsangaben sollen nicht in Freitextfelder eingetragen werden. Freiwilligkeit und Wirksamkeit einer Einwilligung sind gesondert zu prüfen.

3. Ihre Rechte

Unter den gesetzlichen Voraussetzungen bestehen Rechte auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung und Datenübertragbarkeit. Sie können einer Verarbeitung nach Art. 6 Abs. 1 lit. f DSGVO aus Gründen Ihrer besonderen Situation widersprechen. Einer Verarbeitung für Direktwerbung können Sie jederzeit widersprechen. Eine erteilte Einwilligung können Sie mit Wirkung für die Zukunft widerrufen; die Rechtmäßigkeit der vorherigen Verarbeitung bleibt unberührt.

Bitte wenden Sie sich an info@cadma-solutions.de. Betrifft die Anfrage Daten eines unserer Kunden, leiten wir sie an den zuständigen Verantwortlichen weiter und unterstützen ihn nach dem AVV. Sie können sich bei einer Datenschutzaufsichtsbehörde beschweren, insbesondere bei der Landesbeauftragten für Datenschutz und Informationsfreiheit Nordrhein-Westfalen oder bei der Behörde Ihres Aufenthalts- oder Arbeitsortes.

Die für einen Vertrag bzw. die gewünschte Funktion erforderlichen Pflichtangaben sind bereitzustellen; ohne sie können wir die betreffende Leistung nicht erbringen. Freiwillige Angaben sind nicht verpflichtend. Wir treffen im Rahmen der hier beschriebenen eigenen Website- und Vertragsverarbeitung keine ausschließlich automatisierten Entscheidungen mit rechtlicher oder vergleichbar erheblicher Wirkung nach Art. 22 DSGVO.

4. Website, Kontakt und Browserspeicher

4.1 Technische Verbindungs- und Protokolldaten

Beim Abruf einer Seite oder Datei, auch eines direkt verlinkten Videos, werden insbesondere IP-Adresse, Zeitpunkt, angeforderte Adresse, übertragene Datenmenge, Status und Browserinformationen technisch verarbeitet. Protokolle dienen der Bereitstellung, Fehleranalyse und Missbrauchsabwehr auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO. Eine pauschale Anonymisierung nach sieben Tagen wird nicht zugesichert. Umfang, Anonymisierung und Rotation richten sich nach dem eingesetzten Hostingdienst und dem dokumentierten betrieblichen Löschkonzept; bei einem konkreten Sicherheitsvorfall können erforderliche Nachweise bis zur Klärung gesondert gesichert werden.

4.2 Kontakt und Vertragskommunikation

Bei einer Anfrage verarbeiten wir die übermittelten Kontakt- und Inhaltsdaten einschließlich erforderlicher Anhänge zur Bearbeitung Ihres Anliegens. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b oder f DSGVO entsprechend Abschnitt 2. Erforderliche Vertrags-, Rechnungs- und Kommunikationsdaten können zusätzlich gesetzlichen Aufbewahrungspflichten unterliegen. Bitte übermitteln Sie keine unnötigen personenbezogenen Kundendaten oder Zugangsschlüssel.

4.3 Cookies und lokaler Speicher

Die Unternehmenswebsite verwendet den lokalen Speicherschlüssel ck für die Auswahl im Datenschutzhinweis. Er bleibt bis zum Löschen der Browserdaten gespeichert. Die Webanwendungen verwenden daneben insbesondere Sitzungs- und CSRF-Cookies sowie je nach Produkt Anmelde-, Anzeige- und Bearbeitungseinstellungen. Es wird kein produktübergreifend einheitlicher Cookie-Name oder identischer Aufbewahrungszeitraum behauptet. Einzelheiten zur Unternehmenswebsite enthält die Cookie-Richtlinie; für die Anwendungen gelten ergänzende produktspezifische Angaben.

Für einen ausdrücklich gewünschten Dienst unbedingt erforderliche Zugriffe auf das Endgerät fallen unter § 25 Abs. 2 Nr. 2 TDDDG. Andere Speicherzugriffe setzen grundsätzlich eine Einwilligung nach § 25 Abs. 1 TDDDG voraus. Die anschließende Verarbeitung personenbezogener Daten benötigt zusätzlich eine Grundlage nach der DSGVO. Ein Hinweisbanner allein macht eine nicht erforderliche Verarbeitung nicht zulässig.

4.4 Externe Ressourcen und Links

Ein bloßer Link auf ein anderes Produkt oder einen externen Anbieter löst noch keine Weitergabe aller dort verwalteten Fachinformationen aus. Beim Öffnen gelten die Hinweise des Zielangebots. Werden Ressourcen dagegen direkt vom Browser von einem externen Dienst geladen, erhält dieser mindestens die für den Abruf erforderlichen Verbindungsdaten. Eine solche Einbindung ist von einem bloßen Link zu unterscheiden.

5. Datenverarbeitung je Produkt

Die folgenden Beschreibungen erfassen die für die jeweils genutzten Funktionen erforderlichen Daten. Datenquellen sind Nutzerangaben, Eingaben des Kunden, dessen Quellsysteme und die bei der Nutzung entstehenden technischen Ereignisse. Nicht jedes Produkt verarbeitet sämtliche nachfolgend genannten Kategorien.

5.1 CADMA – Medien, Dokumente und Freigaben

Verarbeitet werden Kontaktdaten und Kontokennungen, Passwort-Hashes, Mitgliedschaften und Rollen, hochgeladene Bilder, Videos und Dokumente, Dateinamen, Ordnerpfade, Metadaten und Freigaben sowie je nach Funktion OCR-Texte, PDF-Entwürfe und Aktivitätsnachweise. Betroffen sind Nutzer und Personen, deren Angaben oder Abbildungen in den Dateien enthalten sind. Betriebsweit sichtbare Ordner und Freigabelinks können Inhalte dem jeweils festgelegten Empfängerkreis zugänglich machen. Ein Freigabelink kann von seinen Empfängern weitergegeben werden.

CADMA-Sync und freigeschaltete API-Verbindungen übertragen ausgewählte Dateien, Ordnerinformationen und erforderliche Zugangsnachweise zwischen den vom Kunden eingerichteten Systemen. Kamera-, Barcode- und OCR-Funktionen können je nach gewähltem Ablauf lokal oder serverseitig arbeiten; ein bewusst hochgeladenes Bild oder Dokument verbleibt nicht allein deshalb ausschließlich auf dem Endgerät, weil ein Bearbeitungsschritt im Browser stattfindet.

Die optionale Anmeldung mit Google oder GitHub führt zu einem Datenaustausch mit dem gewählten Anbieter, insbesondere einer Profilkennung, Name und E-Mail-Adresse sowie Verbindungsdaten. Hierfür sind auch die Hinweise von Google bzw. GitHub relevant. Die Anmeldung kann stattdessen mit den angebotenen eigenen Zugangsdaten erfolgen. Die freiwillige Auswahl eines Social-Logins ersetzt nicht die Prüfung der Rechtsgrundlage für eine Drittlandübermittlung.

5.2 KDFahrzeugmanager, KdCrossUploader und KdElsaUploader

Zur Bestandssteuerung, Pflege, Auslieferung, Aufbereitung, Werkstatt- und Jahresabschlussarbeit werden Nutzer- und Firmendaten, FIN, Kennzeichen, Fahrzeug- und Standortangaben, Kunden- und Kontaktdaten, Vertrags- und Bewertungsangaben, Termine, Aufgaben, Fotos, Notizen, Unterschriftsbilder und Bearbeitungsnachweise verarbeitet. Die Teamplanung verarbeitet außerdem Abwesenheiten; die Kennzeichnung „Krankheit“ kann Gesundheitsdaten betreffen. Die Anwendung ist herstellerunabhängig; eine TSQ-Dokumentation ist nur einer der möglichen Zwecke.

KdCrossUploader übernimmt bei Freischaltung ausgewählte CROSS-Kunden-, Fahrzeug-, Bestands- und Verkaufsdaten. KdElsaUploader bzw. der manuelle ELSA-Upload verarbeitet Original-PDFs, darin enthaltene Personenangaben, Prüfpunkte, Vorschaubilder, Bearbeitungswerte und Versionen. Die ELSA-PDF-Analyse erfolgt auf dem Anwendungsserver und verwendet dafür keinen externen KI-Dienst. Eine aktivierte CADMA-Verbindung kann Fotos und Dateiinformationen übertragen; die Verbindung zum KDFahrdienstplaner kann Fahrer-, Kunden-, Fahrzeug- und Termindaten austauschen. Eigene Webhooks und Exporte gehen an die vom Kunden eingerichteten Empfänger.

Im angemeldeten Bereich werden Diagrammressourcen von jsDelivr geladen; der optionale FIN-Kamerascanner lädt über Tesseract.js ebenfalls Erkennungsressourcen von diesem CDN. Dabei fallen Verbindungsdaten beim CDN an. Die FIN-Erkennung selbst erfolgt im Browser; eine Übertragung der Kamerabilder an jsDelivr ist dafür nicht vorgesehen. Weitere Angaben enthalten die produktspezifischen Datenschutzhinweise.

5.3 KDFahrdienstplaner

Für Fahrereinteilung, Verfügbarkeiten, Termine und Auslieferungsfahrten werden Nutzer- und Firmenzuordnung, Fahrernamen, Kontaktdaten, Abwesenheiten, Datum, Zeitfenster, Einteilungen, Notizen sowie erforderliche Kundenanschriften, Telefon- und E-Mail-Daten und Fahrzeugangaben verarbeitet. Betroffen sind Fahrer, Beschäftigte, Kunden und Ansprechpartner. Freigeschaltete Kundenimporte und die KDFahrzeugmanager-Schnittstelle übernehmen bzw. synchronisieren die dafür ausgewählten Daten. Kalenderansichten und PDF-Ausgaben werden den im jeweiligen Mandanten berechtigten Nutzern zugänglich gemacht.

5.4 KDHealthSystem – IT-Monitoring

KDHealthSystem überwacht IT-Systeme. Dabei können Konto- und Mandantendaten, Gerätekennungen, Hostnamen, IP-Adressen, Betriebssystem- und Hardwareinformationen, Zustands- und Leistungsmetriken, Prozess- und Dienstinformationen, Ereignisse, Konfigurationen und Sicherheitsprotokolle anfallen. Diese Informationen können auch ohne Klarnamen Personenbezug haben, etwa durch die Zuordnung eines Geräts zu einem Beschäftigten.

Bei ausdrücklich beauftragten und freigegebenen Fernzugriffen können zusätzlich Bildschirminhalte, Bedienhandlungen, Dateien und Sitzungsmetadaten verarbeitet werden. Umfang, Berechtigungen und Transportverfahren richten sich nach der konkret eingesetzten Fernwartungskomponente. Eine durchgängige Ende-zu-Ende-Verschlüsselung sämtlicher Fernwartungsverfahren oder eine bestimmte Sitzungs-Löschfrist wird hier nicht pauschal zugesichert. Der Kunde muss betroffene Nutzer vor einem Zugriff informieren und unnötige Einblicke verhindern.

5.5 KDMonitor

Für Service- und Auftragsdarstellung können Kundenstamm- und Kontaktdaten, Kennzeichen, Fahrzeugangaben, Auftragsnummern, Serviceleistungen, Termine, Bearbeitungsstände sowie Benutzer- und Zugriffskennungen aus den vom Kunden angebundenen DMS-Systemen verarbeitet werden. Entscheidend ist die konfigurierte lokale oder servergestützte Betriebsform. Der Kunde legt fest, welche Informationen an Servicearbeitsplätzen oder auf Anzeigemonitoren sichtbar sind; öffentlich einsehbare Anzeigen müssen auf den erforderlichen Umfang beschränkt werden.

5.6 KDNotes

Für interne Kommunikation und Notizen werden Benutzer- und Gerätezuordnungen, Anzeigenamen und gegebenenfalls Windows-SIDs, Gruppen, Nachrichteninhalte, Absender, Empfänger, Zeitpunkte, Notizen sowie Verbindungs- und Zustellinformationen verarbeitet. Eine Windows-SID ist bei zuordenbaren Beschäftigten personenbezogen und kein anonymes Datum. Welche Inhalte lokal oder auf einem Server gespeichert bzw. mit weiteren Diensten synchronisiert werden, hängt von der eingerichteten Client-/Serverfunktion und ausdrücklich aktivierten Anbindung ab. Es gilt das vom Kunden festgelegte Löschkonzept; eine unbegrenzte Aufbewahrung ist kein eigener Verarbeitungszweck.

5.7 KDPersonalakte

Die digitale Personalakte verarbeitet je nach aktivierten Funktionen Beschäftigten- und Bewerberstammdaten, Kontakt- und Vertragsangaben, Vergütungs- und Bankdaten, Dokumente, Personalfragebögen, Onboarding-Antworten und Anhänge, Ausstattungszuordnungen, Fristen sowie Bearbeitungs- und Zugriffsprotokolle. Inhalte können besondere Kategorien personenbezogener Daten enthalten, insbesondere Gesundheitsangaben. Betroffen sind Bewerber, Beschäftigte, ehemalige Beschäftigte und gegebenenfalls benannte Angehörige oder Ansprechpartner.

Mitarbeiterportale, Einladungs- und Upload-Links eröffnen nur den jeweils vorgesehenen Zugang. Der Kunde beschränkt Empfänger, Gültigkeit und Umfang und informiert die betroffenen Personen. Aktivierte Schnittstellen, etwa zu Personal-, Zeitwirtschafts-, Lohnabrechnungs- oder Fuhrparksystemen, verarbeiten nur die für den eingerichteten Abgleich oder Export ausgewählten Daten. Sie sind keine pauschale Freigabe für zusätzliche Datenempfänger.

5.8 KDPlaner

Für Personal- und Abwesenheitsplanung können Mitarbeiterstammdaten, Abteilungs- und Rollenangaben, Arbeits- und Urlaubszuordnungen, Anträge, Abwesenheitsart und Zeitraum, Genehmigungsstände und Bearbeitungshistorien verarbeitet werden. Krankheitstage sind Gesundheitsdaten. Sie dürfen nur aufgrund einer hierfür geeigneten Rechtsgrundlage und für den notwendigen, berechtigten Personenkreis verarbeitet werden. Löschfristen hängen vom konkreten Beschäftigungs- und Nachweiszweck ab; eine unterschiedslose Speicherung sämtlicher Abwesenheiten bis drei Jahre nach Beschäftigungsende wird nicht vorgegeben.

6. Hosting, E-Mail und weitere Empfänger

Die bisher für die Bereitstellung benannten Infrastrukturdienste sind nachfolgend aufgeführt. Die für den einzelnen Auftrag tatsächlich eingesetzten Dienste, Leistungen und Verarbeitungsorte sind in der aktuellen Unterauftragnehmeranlage verbindlich zu konkretisieren. Eigene Installationen des Kunden können davon abweichen.

Ein Infrastrukturanbieter wird als Auftragsverarbeiter eingesetzt, soweit er personenbezogene Daten weisungsgebunden verarbeitet; hierfür ist ein Vertrag nach Art. 28 DSGVO erforderlich. Ein abgeschlossener Vertrag, eine bestimmte Zertifizierung oder ein konkreter Serverstandort wird nicht allein durch diese öffentliche Nennung nachgewiesen. Zahlungsdienste werden hier nicht als tatsächlich angebunden oder PCI-DSS-zertifiziert dargestellt, solange kein konkreter Dienst für das jeweilige Produkt benannt ist.

Weitere Empfänger können berechtigte Kundenadministratoren, vom Kunden aktivierte Integrationspartner und aufgrund gesetzlicher Pflichten zuständige Stellen sein. Ein Social-Login-Anbieter oder CDN ist hinsichtlich seiner konkreten Rolle gesondert zu beurteilen und nicht automatisch ein für sämtliche Fachinhalte eingesetzter Unterauftragsverarbeiter.

7. Drittlandübermittlungen

Ein Hostingstandort in Deutschland schließt weitere Auslandsverarbeitungen durch Social-Login, CDN, Support oder kundenseitig konfigurierte Schnittstellen nicht aus. Ob Daten außerhalb des Europäischen Wirtschaftsraums verarbeitet werden, ist für den konkreten Empfänger und dessen Leistung zu prüfen. Für Übermittlungen müssen die Voraussetzungen der Art. 44 ff. DSGVO erfüllt sein, etwa ein einschlägiger Angemessenheitsbeschluss oder geeignete Garantien einschließlich der erforderlichen zusätzlichen Prüfung und Schutzmaßnahmen.

Eine Einwilligung durch bloßes Öffnen einer Funktion wird nicht als allgemeine Übermittlungsgrundlage nach Art. 49 DSGVO behandelt. Informationen zu den für die konkrete Bereitstellung eingesetzten Empfängern, Verarbeitungsorten und gegebenenfalls einschlägigen Garantien können über unseren Datenschutzkontakt angefordert werden.

8. Speicherdauer und Löschung

Wir speichern personenbezogene Daten nur, solange sie für den jeweiligen Zweck, eine rechtliche Verpflichtung oder die erforderliche Geltendmachung bzw. Abwehr von Ansprüchen benötigt werden. Auftragsdaten werden nach den dokumentierten Weisungen und dem vereinbarten Löschkonzept des Kunden zurückgegeben oder gelöscht. Eine Deaktivierung eines Moduls oder Nutzerzugangs bedeutet noch keine Löschung aller zugehörigen Inhalte.

Eine automatische Löschung sämtlicher Daten oder Sicherungskopien nach 30 Tagen wird nicht allgemein zugesichert. Gesperrte Daten in Sicherungen dürfen nicht für andere Zwecke verwendet werden. Bei einer Wiederherstellung sind bereits erteilte Löschweisungen erneut umzusetzen.

9. Auftragsverarbeitungsvertrag – Art. 28 DSGVO

9.1 Gegenstand, Dauer und Betroffene

Auftraggeber und Verantwortlicher ist der jeweilige Kunde; Auftragsverarbeiter ist cadma solutions UG unter der oben genannten Anschrift. Gegenstand ist die aufgetragene Bereitstellung und gegebenenfalls Betreuung der ausgewählten Produkte. Art, Zweck, Datenarten und betroffene Personen ergeben sich aus den jeweils zutreffenden Produktbeschreibungen in Abschnitt 5 und den individuell vereinbarten Leistungen. Die Verarbeitung umfasst, soweit beauftragt, Erhebung, Entgegennahme, Übertragung, Speicherung, Strukturierung, Auswertung, Bereitstellung, Änderung, Sicherung, Rückgabe und Löschung. Sie dauert während der Leistungserbringung und der erforderlichen Abschlussphase an.

9.2 Verantwortung und Weisungen

Der Auftraggeber bestimmt Zwecke und Mittel in seinem Verantwortungsbereich, schafft die erforderlichen Rechtsgrundlagen und beschränkt Daten und Zugänge auf das notwendige Maß. Der Auftragsverarbeiter verarbeitet ausschließlich auf dokumentierte Weisung, auch hinsichtlich Übermittlungen. Er muss gesetzlich vorgeschriebene Verarbeitungen vorab mitteilen, soweit das betreffende Recht dies zulässt. Erscheint eine Weisung datenschutzwidrig, informiert er den Auftraggeber unverzüglich und setzt ihre Ausführung bis zur Klärung aus. Weisungen und ihre Änderungen können über die vereinbarten Ansprechpartner in Textform dokumentiert werden.

9.3 Vertraulichkeit und Sicherheit

Der Auftragsverarbeiter verpflichtet zugriffsberechtigte Personen zur Vertraulichkeit oder stellt ihre entsprechende gesetzliche Bindung sicher. Er beschränkt ihre Zugriffe auf die für den Auftrag erforderlichen Zwecke. Er trifft risikogerechte Maßnahmen nach Art. 32 DSGVO; die vereinbarte TOM-Anlage konkretisiert die für das Produkt und die Bereitstellung geltenden Maßnahmen. Änderungen dürfen das vereinbarte Schutzniveau nicht unterschreiten.

9.4 Unterauftragsverarbeitung

Weitere Auftragsverarbeiter dürfen nur mit vorheriger besonderer oder allgemeiner schriftlicher Genehmigung eingesetzt werden. Bei allgemeiner Genehmigung informiert der Auftragsverarbeiter mindestens 30 Tage vor einer beabsichtigten Hinzuziehung oder Ersetzung über Dienst, Aufgabe und Verarbeitungsort und ermöglicht Einwände vor dem Einsatz. Die aktuelle, für den Auftrag vereinbarte Anlage benennt die zugelassenen Unterauftragnehmer. Diese erhalten entsprechende Datenschutzpflichten; cadma solutions bleibt dem Auftraggeber gegenüber für deren Erfüllung verantwortlich. Eine bloße Vorabinformation ersetzt die erforderliche Genehmigung nicht.

9.5 Unterstützung und Datenschutzverletzungen

Der Auftragsverarbeiter unterstützt unter Berücksichtigung der Art der Verarbeitung und der verfügbaren Informationen bei Betroffenenrechten sowie den Pflichten nach Art. 32 bis 36 DSGVO, insbesondere Sicherheitsbewertung, Datenschutz-Folgenabschätzung und vorheriger Konsultation. Anfragen betroffener Personen leitet er unverzüglich an den Auftraggeber weiter und beantwortet sie inhaltlich nur nach dessen Weisung, soweit keine eigene gesetzliche Pflicht besteht.

Datenschutzverletzungen meldet er dem Auftraggeber unverzüglich nach Bekanntwerden. Er übermittelt die verfügbaren Angaben zu Art und Umfang, betroffenen Kategorien, möglichen Folgen, Ansprechpartner und Gegenmaßnahmen; fehlende Angaben reicht er schrittweise nach. Die gegebenenfalls geltende 72-Stunden-Frist für die Meldung des Verantwortlichen an die Aufsichtsbehörde ist keine Wartefrist des Auftragsverarbeiters.

9.6 Nachweise und Kontrollen

Der Auftragsverarbeiter stellt die zur Prüfung der Pflichterfüllung erforderlichen Informationen bereit und ermöglicht Überprüfungen einschließlich Inspektionen durch den Auftraggeber oder einen von ihm beauftragten Prüfer. Vertraulichkeit, Sicherheit und die Rechte anderer Kunden werden dabei geschützt. Dokumentationspflichten und gesetzliche Kontrollrechte bleiben unberührt.

9.7 Abschluss, Rückgabe und Löschung

Nach Abschluss werden personenbezogene Auftragsdaten nach Wahl des Auftraggebers zurückgegeben oder gelöscht; bestehende Kopien sind ebenfalls zu löschen, soweit keine gesetzliche Speicherungspflicht entgegensteht. Exportformat, Ablauf, Frist, Löschbestätigung und Umgang mit Sicherungen werden dokumentiert. Gesetzlich verbleibende Daten sind auf den erforderlichen Zweck zu beschränken. Der Entzug eines Zugangs ersetzt diesen Abschlussprozess nicht.

9.8 Vertragsform und Module

Datenschutzbezogene Regelungen des wirksam vereinbarten AVV gehen widersprechenden Bestimmungen des Hauptvertrags vor. Eine neue öffentliche Fassung ändert bestehende Verträge nicht ohne die vereinbarte Grundlage. Für KdCrossUploader und KdElsaUploader können firmenbezogene Vertrags-PDFs mit Modulbeschreibung und TOM-Anlage erstellt werden. Erstellung, technische Freischaltung und dokumentierte Annahme sind gesondert zu unterscheiden. Bestehende Nachweise werden durch eine Textaktualisierung nicht rückwirkend ersetzt.

10. Technische und organisatorische Maßnahmen – Art. 32 DSGVO

Die folgende Beschreibung unterscheidet produktbezogene Anwendungsmaßnahmen und die für den Betrieb festzulegenden Anforderungen. Maßgeblich ist die für den konkreten Auftrag vereinbarte und belegte TOM-Anlage. Diese Übersicht ist kein Zertifikat und kein Nachweis, dass jede Maßnahme in jeder lokalen Installation bereits umgesetzt ist.

10.1 Zugang und Berechtigungen

Benutzer-, Geräte- und API-Zugänge sind zweckgebunden einzurichten, auf notwendige Rechte zu beschränken und bei Wegfall zu sperren. Produkte mit Passwortanmeldung speichern Passwörter als Hash. Zusätzliche Anmeldeverfahren und Zwei-Faktor-Funktionen gelten nur, soweit im jeweiligen Produkt verfügbar und eingerichtet. Rollen-, Mandanten- und Freigabegrenzen sind produktspezifisch umzusetzen und zu prüfen; die Kennungen company_id, tenant_id oder Betriebsmitgliedschaften stellen für sich allein noch keinen Nachweis vollständiger Isolation dar.

10.2 Übertragung, Schlüssel und Dateien

Für den Produktivbetrieb sind geschützte Übertragungswege, geeignete Schlüsselverwaltung und beschränkte Betriebszugänge vorzusehen. Transportverschlüsselung ist von Feld-, Datei- und Ende-zu-Ende-Verschlüsselung zu unterscheiden. Weder Hashwerte noch eine private Dateiablage bedeuten automatisch, dass der Dateiinhalt verschlüsselt gespeichert ist. Eine pauschale Verschlüsselung aller Datenbanken, Dateien, Sicherungen oder Fernwartungsverfahren wird nicht behauptet.

10.3 KDFahrzeugmanager und Uploader

Die Anwendung verwendet Firmen- und Berechtigungsprüfungen, Passwort-Hashes und optional TOTP. Sensible CROSS- und Kundenimportdaten werden authentifiziert feldverschlüsselt; für Such- und Zuordnungsfunktionen bestehen firmengebundene Blindindizes. Die v2-Uploader verwenden HTTPS und signierte HMAC-SHA-256-Anfragen mit Inhaltshash, Zeitstempel und Nonce-Prüfung. Die Windows-Clients schützen ihre Geheimnisse benutzergebunden mit DPAPI. API-Ratenbegrenzungen gelten für die entsprechend geschützten Endpunkte.

ELSA-Bearbeitungswerte, Layouts und Versionssnapshots sind anwendungsseitig verschlüsselt. Original-PDFs und Vorschaubilder im privaten Dateisystem sowie FIN, Dateiname, Dateiprüfsumme und weitere Metadaten sind dadurch nicht automatisch feld- oder dateiverschlüsselt. Daten auf Kundenrechnern und exportierte Dateien erfordern zusätzliche organisatorische Schutzmaßnahmen. Die aktuellen Modulbeschreibungen sind Teil der produktspezifischen Vertragsunterlagen.

10.4 Besondere Daten und Freigaben

Personalakten, Krankheitsangaben und andere besonders schutzbedürftige Inhalte erfordern einen eng begrenzten Berechtigtenkreis, zweckbezogene Zugriffe und dokumentierte Aufbewahrungsregeln. Öffentliche Anzeigen, gemeinsame Kalender, Exporte und Freigabelinks sind vor ihrer Verwendung auf den erforderlichen Datenumfang zu prüfen. Fernwartungszugriffe sind zu autorisieren, zeitlich zu begrenzen und nachvollziehbar zu dokumentieren. Der Herstellername „KDHealthSystem“ beschreibt IT-Systemzustände und begründet allein keine Verarbeitung medizinischer Patientendaten.

10.5 Protokollierung und Nachvollziehbarkeit

Vorhandene Audit-, Versions- und Sicherheitsnachweise sind zweckgebunden auszuwerten und vor unberechtigtem Zugriff zu schützen. Nicht jedes Produkt protokolliert jede Aktion. Zugangsschlüssel und unnötige Kopien vollständiger Nutzdaten gehören nicht in technische Fehlerprotokolle. Umfang, Zugriff, Aufbewahrung und Löschung der produktbezogenen Protokolle sind im Betriebsnachweis festzulegen.

10.6 Infrastruktur, Verfügbarkeit und Organisation

Für den jeweiligen Betrieb sind Zutritts- und Administrationskontrollen, Patchmanagement, gesicherte Konfigurationen, geeignete Datenträger- und Backup-Verschlüsselung, Sicherungsintervalle, Aufbewahrung und Wiederherstellungstests festzulegen und nachzuweisen. Angaben wie „georedundant“, „30 Tage“, „quartalsweise getestet“, „ISO-zertifiziert“ oder „PCI-DSS-konform“ sind nur auf Grundlage einschlägiger aktueller Nachweise als konkrete Zusage zulässig.

Beschäftigte mit Zugriff sind zur Vertraulichkeit zu verpflichten und zu schulen. Unterauftragnehmer sind zu prüfen und vertraglich einzubinden. Zuständigkeiten für Datenschutzvorfälle, Rückgabe, Löschung und Wiederanlauf sowie regelmäßige Prüfungen der Wirksamkeit sind festzulegen. Änderungen an Funktionen, Berechtigungen, Empfängern oder Speicherwegen erfordern eine erneute Bewertung.

11. Aktualisierung und Kontakt

Diese Informationen werden bei Änderungen an Produkten, Verarbeitungen oder rechtlichen Anforderungen aktualisiert. Für Fragen und die Bereitstellung auftragsbezogener Unterlagen erreichen Sie uns unter info@cadma-solutions.de. Bestehende Verträge und deren dokumentierte Anlagen bleiben nach ihren vereinbarten Änderungsregeln maßgeblich.

Stand: 23. Oktober 2026 · Fassung 2026-10-23.1