Anlage 6 — Vereinbarung zur Auftragsverarbeitung (AVV)

nach Art. 28 Abs. 3 DSGVO, zu den Allgemeinen Geschäftsbedingungen der CanMe GmbH (Produkt) v2.0 Version 1.0 · Stand: August 2026

zwischen dem Kunden (nachfolgend „Verantwortlicher") und der CanMe GmbH, Albert-Einstein-Straße 1, 95028 Hof (nachfolgend „Auftragsverarbeiter" oder „CanMe"). Diese Vereinbarung wird gemäß § 30 Abs. 4 AGB mit Vertragsschluss Bestandteil des Vertrages und bedarf keiner gesonderten Unterzeichnung; § 2 AGB (Rangfolge) bleibt unberührt — in Datenschutzfragen geht diese AVV den AGB vor.

---

§ 1 Gegenstand, Anwendungsbereich und Dauer

(1) Diese AVV gilt, soweit CanMe im Rahmen des Vertrages personenbezogene Daten im Auftrag des Verantwortlichen verarbeitet. Das ist ausschließlich der Fall bei:

a) Supportleistungen mit Fernzugriff auf Systeme des Verantwortlichen (§ 12 Abs. 4 AGB); b) Analyse vom Verantwortlichen übermittelter Diagnose-, Konfigurations- und Protokolldaten im Rahmen der Störungsbearbeitung (Anlage 4 Ziffer 2 Kategorie 5); c) einer Managed Operation (Modul D, § 10 AGB), für die diese AVV nur ergänzend gilt und die eine eigene, den Leistungsumfang konkretisierende Auftragsverarbeitungsregelung erfordert.

(2) Nicht Gegenstand dieser AVV sind: (i) Verarbeitungen innerhalb des vom Verantwortlichen betriebenen CAN — auf diese hat CanMe bauartbedingt keinen Zugriff (§ 30 Abs. 2 AGB); (ii) Verarbeitungen, für die CanMe eigener Verantwortlicher ist (Vertrags-, Abrechnungs-, Lizenz- und Telemetriedaten der Kategorien 1–4 der Anlage 4; Einzelheiten: Produkt-Datenschutzhinweise unter https://www.canme.cloud/de/privacy).

(3) Die Dauer entspricht der Laufzeit des Vertrages; § 10 dieser AVV bleibt unberührt.

§ 2 Art, Zweck, Datenarten, Kategorien betroffener Personen

(1) Art und Zweck: Erhebung, Einsichtnahme, Analyse, vorübergehende Speicherung und Löschung der unter § 1 Abs. 1 genannten Daten ausschließlich zum Zweck der Störungsdiagnose und -behebung sowie — bei Modul D — zum vereinbarten Betrieb.

(2) Datenarten: Benutzerkennungen und Identitätsbezeichner des CAN; IP-Adressen und Netzwerkkennungen; Verbindungs- und Protokollmetadaten; Konfigurationsdaten; Inhalte von Support-Tickets einschließlich der darin enthaltenen Kontaktdaten; Versionsstände.

(3) Kategorien betroffener Personen: Beschäftigte des Verantwortlichen; Beschäftigte verbundener Unternehmen; externe Nutzer, denen der Verantwortliche Identitäten zuweist; Ansprechpartner des Verantwortlichen.

(4) Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO) sind nicht Gegenstand der Beauftragung; der Verantwortliche übermittelt solche Daten nicht.

§ 3 Weisungen

(1) CanMe verarbeitet die Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen (Art. 28 Abs. 3 lit. a DSGVO). Als Weisungen gelten der Vertrag, diese AVV sowie Einzelweisungen in Textform, insbesondere über das Ticketsystem (my.canme.cloud). Die Eröffnung eines Tickets mit Übermittlung von Daten gilt als Weisung zur Verarbeitung im zur Störungsbearbeitung erforderlichen Umfang; Fernzugriffe erfolgen nur auf Veranlassung und unter Kontrolle des Verantwortlichen (§ 12 Abs. 4 AGB).

(2) Hält CanMe eine Weisung für datenschutzrechtlich unzulässig, informiert CanMe den Verantwortlichen unverzüglich und darf die Ausführung bis zur Bestätigung aussetzen.

(3) Unterliegt CanMe einer Rechtspflicht der Union oder eines Mitgliedstaats zur Verarbeitung, informiert CanMe den Verantwortlichen vor der Verarbeitung, sofern das betreffende Recht dies nicht wegen eines wichtigen öffentlichen Interesses verbietet.

§ 4 Vertraulichkeit

CanMe gewährt Zugang zu den Daten nur Personen, die zur Vertraulichkeit verpflichtet wurden (Art. 28 Abs. 3 lit. b, Art. 29 DSGVO) und deren Zugriff für die Leistungserbringung erforderlich ist (Need-to-know). Die Verpflichtungen bestehen nach Ende der Tätigkeit fort.

§ 5 Technische und organisatorische Maßnahmen

(1) CanMe trifft die in Anhang 1 (TOM) beschriebenen Maßnahmen nach Art. 32 DSGVO und hält sie während der Vertragslaufzeit auf dem Stand der Technik. Eine Fortentwicklung der Maßnahmen ist zulässig, sofern das Schutzniveau nicht unterschritten wird.

(2) Auf Anforderung stellt CanMe die jeweils aktuelle Fassung der TOM bereit.

§ 6 Unterauftragsverarbeiter

(1) Der Verantwortliche erteilt die allgemeine Genehmigung zum Einsatz der in Anhang 2 benannten Unterauftragsverarbeiter (Art. 28 Abs. 2 DSGVO).

(2) CanMe informiert den Verantwortlichen über beabsichtigte Änderungen (Hinzuziehung oder Ersetzung) mindestens dreißig (30) Tage vor Wirksamwerden in Textform. Der Verantwortliche kann aus wichtigem datenschutzrechtlichem Grund binnen dieser Frist widersprechen; im Fall des Widerspruchs bemühen sich die Parteien um eine zumutbare Lösung; gelingt dies nicht, kann jede Partei die betroffene Leistung mit angemessener Frist kündigen.

(3) CanMe verpflichtet Unterauftragsverarbeiter durch Vertrag auf im Wesentlichen dieselben Datenschutzpflichten wie in dieser AVV und bleibt für deren Leistungen verantwortlich.

§ 7 Unterstützungspflichten

CanMe unterstützt den Verantwortlichen mit geeigneten technischen und organisatorischen Maßnahmen, soweit möglich, (a) bei der Beantwortung von Anträgen betroffener Personen (Art. 12–23 DSGVO) — bei CanMe eingehende Anträge werden unverzüglich an den Verantwortlichen weitergeleitet und nicht selbst beantwortet —, sowie (b) bei den Pflichten aus Art. 32–36 DSGVO (Sicherheit, Meldungen, Datenschutz-Folgenabschätzung, Konsultation) unter Berücksichtigung der Art der Verarbeitung und der CanMe zur Verfügung stehenden Informationen. Aufwände nach lit. (a) und (b) kann CanMe nach den jeweils gültigen Sätzen berechnen, soweit die Ursache nicht in der Sphäre von CanMe liegt.

§ 8 Meldung von Verletzungen

CanMe meldet dem Verantwortlichen jede Verletzung des Schutzes personenbezogener Daten, die die auftragsgegenständlichen Daten betrifft, unverzüglich, spätestens innerhalb von 48 Stunden nach Kenntnis, an die benannten Kontakte des Verantwortlichen, mit den Informationen entsprechend Art. 33 Abs. 3 DSGVO, soweit verfügbar; Nachmeldungen erfolgen fortlaufend. Die Meldung an Aufsichtsbehörden und betroffene Personen obliegt dem Verantwortlichen.

§ 9 Nachweise und Prüfungen

(1) CanMe stellt dem Verantwortlichen alle zum Nachweis der Einhaltung der Pflichten aus Art. 28 DSGVO erforderlichen Informationen zur Verfügung, zunächst durch aussagekräftige Selbstauskünfte, TOM-Dokumentation und vorhandene Prüfberichte oder Zertifizierungen.

(2) Genügen diese Nachweise im Einzelfall begründet nicht, kann der Verantwortliche höchstens einmal je Zwölfmonatszeitraum — bei konkretem Anlass (insbesondere nach einer Verletzung nach § 8) auch darüber hinaus — eine Prüfung durchführen oder durch einen zur Verschwiegenheit verpflichteten, nicht im Wettbewerb zu CanMe stehenden Dritten durchführen lassen: mit einer Ankündigungsfrist von dreißig (30) Tagen, während der üblichen Geschäftszeiten, ohne Zugriff auf Daten anderer Kunden und unter Wahrung der Sicherheitsanforderungen von CanMe. Angemessene Aufwände kann CanMe berechnen, sofern die Prüfung keine erheblichen Verstöße ergibt.

§ 10 Löschung und Rückgabe

Nach Abschluss der jeweiligen Leistungserbringung — spätestens nach Beendigung des Vertrages — löscht CanMe die auftragsgegenständlichen Daten oder gibt sie nach Wahl des Verantwortlichen zurück, soweit nicht Aufbewahrungspflichten nach Unionsrecht oder dem Recht eines Mitgliedstaats entgegenstehen; in diesem Fall werden die Daten gesperrt und nach Fristablauf gelöscht. Die Löschung wird auf Anforderung in Textform bestätigt. Für Support-Diagnosedaten gilt im Übrigen die Speicherdauer der Anlage 4 (Kategorie 5).

§ 11 Verarbeitungsort; Drittlandbezug

(1) Die Verarbeitung erfolgt in Rechenzentren innerhalb der Europäischen Union bzw. des EWR (Regionen gemäß Anhang 2).

(2) Die in Anhang 2 Nr. 2–7 genannten Anbieter erbringen ausschließlich Infrastrukturleistungen (IaaS): CanMe betreibt dort selbst administrierte virtuelle Maschinen in europäischen Regionen; ein bestimmungsgemäßer Zugriff der Anbieter auf Inhaltsdaten besteht nicht. Soweit Anbieter Teil von Unternehmensgruppen mit Sitz in Drittländern sind (Kennzeichnung „DL"), bestehen ergänzend geeignete Garantien nach Kapitel V DSGVO: Zertifizierung des jeweiligen Anbieters nach dem EU-U.S. Data Privacy Framework und/oder EU-Standardvertragsklauseln nebst ergänzenden technischen Maßnahmen (Eigenadministration der Systeme durch CanMe, Verschlüsselung in Transit und at rest auf Datenträgerebene, EU-Datenresidenz-Konfiguration). Ein Zugriff aus Drittländern ist damit vertraglich und technisch auf das rechtlich Unvermeidbare beschränkt.

(3) Eine darüber hinausgehende Übermittlung in Drittländer findet nicht statt und bedarf, sollte sie künftig erforderlich werden, der vorherigen Vereinbarung geeigneter Garantien nach Kapitel V DSGVO sowie der Information des Verantwortlichen nach § 6 Abs. 2.

§ 12 Haftung; Schlussbestimmungen

(1) Für die Haftung gilt Art. 82 DSGVO; im Innenverhältnis gilt § 25 AGB.

(2) Kontakte: für den Verantwortlichen die in myCanMe benannten Ansprechpartner; für CanMe: legal@canme.cloud (Datenschutz) und security@canme.cloud (Sicherheitsvorfälle).

(3) Im Übrigen gelten die AGB, insbesondere §§ 29, 35. Bei Widersprüchen in Datenschutzfragen geht diese AVV vor.

---

Anhang 1 zur AVV — Technische und organisatorische Maßnahmen (TOM)

Maßnahmen nach Art. 32 DSGVO, bezogen auf die auftragsgegenständlichen Verarbeitungen (§ 1 AVV). Stand: August 2026.

1. Pseudonymisierung und Verschlüsselung (Art. 32 Abs. 1 lit. a). Transportverschlüsselung sämtlicher Verbindungen mindestens TLS 1.2, intern mutual TLS auf Basis der eigenen CAN-Technologie; Verschlüsselung gespeicherter Daten (at rest) auf Datenträgerebene; Fernzugriffe auf Kundensysteme ausschließlich über vom Kunden freigegebene, verschlüsselte Kanäle; Telemetrie mit pseudonymen Objekt-IDs (Anlage 4).

2. Vertraulichkeit — Zutritt, Zugang, Zugriff. Zutrittskontrolle zu Geschäftsräumen; Zugangskontrolle mit personengebundenen Konten, Multi-Faktor-Authentisierung und zentraler Identitätsverwaltung; Zugriff auf Kunden- und Diagnosedaten nach Least-Privilege- und Need-to-know-Prinzip mit rollenbasierter Vergabe und dokumentierter Freigabe; Zugriff auf interne Systeme ausschließlich über das eigene Cloud Area Network (identitätsbasiert, keine offenen Administrationszugänge); Protokollierung administrativer Zugriffe.

3. Trennungskontrolle. Logische Trennung der Daten je Kunde/Tenant in sämtlichen Systemen; Trennung von Produktions-, Test- und Entwicklungsumgebungen; keine Verwendung von Kundendaten zu Testzwecken.

4. Integrität — Weitergabe- und Eingabekontrolle. Signierte Software-Images und Updates; versionierte, nachvollziehbare Änderungen (Change-Management); Protokollierung von Eingabe, Änderung und Löschung auftragsgegenständlicher Daten; Übermittlung von Diagnosedaten ausschließlich über das Ticketsystem oder vom Kunden freigegebene Kanäle.

5. Verfügbarkeit und Belastbarkeit (Art. 32 Abs. 1 lit. b, c). Regelmäßige, verschlüsselte Datensicherungen der eigenen Systeme mit getesteter Wiederherstellung; Kapazitäts- und Ausfallüberwachung; dokumentiertes Notfall- und Wiederanlaufverfahren; Karenzverhalten der Produkte bei Nichterreichbarkeit der CanMe-Dienste (Anlage 4 Ziffer 5).

6. Verfahren zur regelmäßigen Überprüfung (Art. 32 Abs. 1 lit. d). Dokumentierter sicherer Entwicklungsprozess mit Code-Review und automatisierten Sicherheitsprüfungen; Schwachstellen- und Patch-Management einschließlich koordinierter Offenlegung (security@canme.cloud, https://www.canme.cloud/de/security); jährliche Überprüfung der TOM; Schulung und Verpflichtung aller Beschäftigten auf Vertraulichkeit und Datenschutz; Incident-Response-Verfahren mit Meldewegen nach § 8 AVV.

7. Auftragskontrolle. Sorgfältige Auswahl von Unterauftragsverarbeitern; vertragliche Verpflichtung nach § 6 Abs. 3 AVV; regelmäßige Überprüfung.

---

Anhang 2 zur AVV — Unterauftragsverarbeiter

Stand: August 2026. Änderungen nach § 6 Abs. 2 AVV. „DL" = Anbieter mit Konzernbezug zu einem Drittland; Garantien gemäß § 11 Abs. 2 AVV.

Hinweise: (i) Die Interaktionsanalytik der CANSOLE-Oberfläche (Anlage 4 Kategorie 4) wird auf einer selbst gehosteten Plausible-Instanz von CanMe betrieben; es besteht insoweit kein Unterauftragsverarbeiter. (ii) Protectli EU (Auslieferungslogistik der Appliances) verarbeitet Lieferadressen im Auftrag von CanMe als eigenem Verantwortlichen und ist daher kein Unterauftragsverarbeiter im Sinne dieser AVV; Einzelheiten: Produkt-Datenschutzhinweise.

---

CanMe GmbH · Albert-Einstein-Straße 1, 95028 Hof · Geschäftsführer: Frederik Schmidt · Amtsgericht Hof, HRB 6912 · USt-IdNr. DE367881093 · legal@canme.cloud

---

← AGB / General Terms and Conditions