Dieser Auftragsverarbeitungsvertrag ("Vertrag") wird zwischen dem Kunden (Verantwortlicher — Firmenname und CVR werden bei der Registrierung angegeben) und der WEAKESTLINK ApS (CVR 46614011), die weakestlink betreibt ("Anbieter", Auftragsverarbeiter), geschlossen. Der Vertrag wird bei der Kontoeröffnung elektronisch akzeptiert und regelt die Verarbeitung personenbezogener Daten durch den Anbieter im Auftrag des Kunden im Zusammenhang mit Sicherheitsschulungen und Phishing-Simulationen. In Fragen der Datenverarbeitung hat dieser Vertrag Vorrang vor den Allgemeinen Geschäftsbedingungen; in allen anderen Fragen gelten die Allgemeinen Geschäftsbedingungen.

1. Gegenstand und Weisung

Der Anbieter verarbeitet personenbezogene Daten nur nach dokumentierter Weisung des Kunden — dieser Vertrag mit Anlagen sowie die laufende Nutzung des Dienstes (Anlage A) — sofern nicht EU-Recht oder dänisches Recht etwas anderes vorschreibt; in diesem Fall unterrichtet der Anbieter den Kunden vor der Verarbeitung über diese Anforderung, es sei denn, das Recht verbietet dies. Die Weisung umfasst auch, dass der Anbieter Statistiken in anonymisierter und aggregierter Form erstellen darf, wie in den Allgemeinen Geschäftsbedingungen beschrieben; nach der Anonymisierung handelt es sich nicht mehr um personenbezogene Daten. Der Anbieter unterrichtet den Kunden, wenn eine Weisung nach seiner Einschätzung gegen die Datenschutzvorschriften verstößt, und überträgt keine Daten in Drittländer außerhalb von Anlage B ohne gültiges Übermittlungsinstrument.

2. Vertraulichkeit

Der Anbieter stellt sicher, dass Personen, die zur Verarbeitung der Daten befugt sind, sich zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen.

3. Sicherheit (Art. 32)

Der Anbieter setzt angemessene technische und organisatorische Maßnahmen um (Anlage C). Ein tragendes Prinzip ist die Datenminimierung: Bei Phishing-Simulationen wird nur erfasst, dass ein Ereignis stattgefunden hat (geöffnet/geklickt/eingegeben) sowie die Feldnamen — niemals die Werte, die ein Mitarbeitender eingibt.

4. Unterauftragsverarbeiter

Der Kunde erteilt eine allgemeine vorherige Genehmigung für die in Anlage B genannten Unterauftragsverarbeiter. Der Anbieter verpflichtet jeden Unterauftragsverarbeiter zu denselben Datenschutzpflichten wie in diesem Vertrag und kündigt geplante Änderungen per E-Mail mit einer Frist von mindestens 30 Tagen an, sodass der Kunde widersprechen kann. Kann ein Widerspruch nicht mit einer angemessenen Lösung ausgeräumt werden, kann der Kunde das Kundenverhältnis mit Wirkung zum Inkrafttreten der Änderung kündigen. Der Anbieter bleibt vollständig für die Einhaltung durch die Unterauftragsverarbeiter verantwortlich.

5. Unterstützung des Kunden

Der Anbieter unterstützt den Kunden unter Berücksichtigung der Art der Verarbeitung und mit geeigneten technischen und organisatorischen Maßnahmen bei der Beantwortung von Anfragen zu den Rechten der betroffenen Personen (Art. 12–23) sowie bei den Pflichten des Kunden nach Art. 32–36 (Sicherheit, Meldung von Datenschutzverletzungen, Datenschutz-Folgenabschätzung und vorherige Konsultation). Der Dienst enthält eine fertige Interessenabwägung sowie einen Transparenztext für die Mitarbeitenden, den der Kunde direkt verwenden kann. Unterstützung, die wesentlich über das übliche Leistungsangebot des Dienstes hinausgeht, kann nach Aufwand zu einem angemessenen Satz in Rechnung gestellt werden.

6. Verletzung des Schutzes personenbezogener Daten

Der Anbieter unterrichtet den Kunden unverzüglich, spätestens jedoch 48 Stunden nachdem er von einer Verletzung Kenntnis erlangt hat, die die Daten des Kunden betrifft — mit einer Beschreibung der Art der Verletzung, der betroffenen Kategorien und der ungefähren Anzahl betroffener Personen, der wahrscheinlichen Folgen sowie der getroffenen oder vorgeschlagenen Maßnahmen. Die Beurteilung, ob die Verletzung dem dänischen Datatilsynet zu melden ist (72-Stunden-Frist), obliegt dem Kunden als Verantwortlichem.

7. Löschung und Rückgabe

Bei Beendigung des Vertrags löscht oder gibt der Anbieter nach Wahl des Kunden alle personenbezogenen Daten zurück. Die Rückgabe erfolgt in einem strukturierten, gängigen und maschinenlesbaren Format (z. B. CSV). Trifft der Kunde spätestens zum Zeitpunkt der Beendigung keine Wahl, werden die Daten gelöscht. Die Löschung erfolgt spätestens 90 Tage nach Beendigung und ist endgültig; endet das Kundenverhältnis, weil das Konto in einen eingeschränkten Zustand versetzt wurde (siehe Abschnitt 4 der Allgemeinen Geschäftsbedingungen), wird die Löschung mindestens 30 Tage vorher per E-Mail angekündigt, und der Kunde kann bis zur Löschung die Rückgabe wählen. Personenbezogene Daten in Sicherungskopien werden im Rahmen der laufenden Rotation gelöscht, spätestens 90 Tage nach der Löschung im Produktivsystem. Daten, deren Aufbewahrung gesetzlich vorgeschrieben ist (z. B. Buchhaltungsunterlagen nach dem dänischen Bogføringsloven), werden nur so lange aufbewahrt, wie die Verpflichtung besteht.

8. Prüfung und Aufsicht

Der Anbieter stellt dem Kunden alle Informationen zur Verfügung, die zum Nachweis der Einhaltung von Art. 28 erforderlich sind, und ermöglicht und unterstützt Prüfungen, einschließlich Inspektionen, die vom Kunden oder einem vom Kunden beauftragten Prüfer durchgeführt werden. Aktuelle Sicherheitsbeschreibungen und -berichte können, wo dies angemessen ist, an die Stelle einer physischen Inspektion treten. Eine physische Prüfung erfolgt mit angemessener Vorankündigung, höchstens einmal jährlich — es sei denn, eine Verletzung oder eine behördliche Anforderung gibt konkreten Anlass — und auf Kosten des Kunden.

9. Laufzeit und Beendigung

Der Vertrag gilt, solange der Anbieter personenbezogene Daten im Auftrag des Kunden verarbeitet, und endet automatisch mit der Beendigung des Kundenverhältnisses — auch wenn ein Kundenverhältnis nach längerem eingeschränktem Zustand gemäß den Allgemeinen Geschäftsbedingungen als beendet gilt —, woraufhin Abschnitt 7 Anwendung findet.

10. Haftung und Rechtswahl

Gegenüber den betroffenen Personen richtet sich die Haftung der Parteien nach Art. 82 der Datenschutz-Grundverordnung. Im Verhältnis der Parteien untereinander gilt die Haftungsregelung der Allgemeinen Geschäftsbedingungen, soweit das geltende Recht dies zulässt. Der Vertrag unterliegt dänischem Recht mit demselben Gerichtsstand wie in den Allgemeinen Geschäftsbedingungen.

Anlage A — Art der Verarbeitung

Anlage B — Unterauftragsverarbeiter

Das Hosting erfolgt auf der eigenen Infrastruktur des Anbieters in Dänemark. Simulations-E-Mails werden von den eigenen Systemen des Anbieters versendet, ohne weitere Unterauftragsverarbeiter.

Zur Abgrenzung: KI-generierte Trainings- und Simulationsinhalte werden ohne Verwendung personenbezogener Daten erstellt — der KI-Anbieter ist daher kein Unterauftragsverarbeiter. Die Zahlungsabwicklung erfolgt durch Revolut als eigenständigen Verantwortlichen (Zahlungsinstitut) und ist in der Datenschutzerklärung beschrieben.

Anhang C — Technische und organisatorische Sicherheitsmaßnahmen (Art. 32)

• Trennung pro Kunde (Multi-Tenancy): strikte Mandantentrennung auf Anwendungsebene; die Daten eines Kunden sind für andere Kunden nicht zugänglich.
• Zugriffssteuerung: rollenbasierter Zugriff (RBAC) nach dem Prinzip der geringsten Rechte; individuelle Konten; keine geteilten Logins.
• Verschlüsselung: TLS bei der Übertragung; Verschlüsselung von Sicherungskopien.
• Datenminimierung: Simulationen speichern nur Ereignis- und Feldnamen, niemals eingegebene Werte; Reporting erfolgt ausschließlich aggregiert (Mindestgruppengröße k ≥ 5).
• Protokollierung und Auditierung: Ereignisprotokoll für sicherheitsrelevante Vorgänge; unveränderliches (append-only) Audit-Log.
• Sicherheits-Header/CSP: strikte Content-Security-Policy sowie weitere Sicherheits-Header auf allen Seiten.
• Notfallvorsorge: Verfahren bei Sicherheitsverletzungen mit Benachrichtigung des Kunden innerhalb von 48 Stunden (Abschnitt 6).
• Löschung: automatisierter Prozess bei Vertragsende — Ankündigung nach 60 Tagen im eingeschränkten Modus, Löschung nach 90 Tagen, niemals ohne mindestens 30 Tage vorherige Ankündigung; im Übrigen Löschung/Rückgabe spätestens 90 Tage nach Vertragsende (Abschnitt 7).

Falls Sie eine unterschriebene Fassung für Ihre eigenen Unterlagen benötigen, schreiben Sie an info@weakestlink.io.