Data processing

Wenn Gäste über die Seite eines Profilinhabers einen Termin buchen, entscheidet der Profilinhaber, ob, mit wem und wofür er Termine vergibt. Er bekommt die Angaben seiner Gäste und nutzt sie für seine Zwecke. lynkpop stellt dafür die Technik bereit, speichert die Buchungen und verschickt die Mails nach den Vorgaben des Profilinhabers. Für diese Daten ist der Profilinhaber deshalb Verantwortlicher und lynkpop Auftragsverarbeiter. Dasselbe gilt künftig für Daten Dritter, die lynkpop bei Social-Verknüpfungen und automatischen Antworten für den Profilinhaber verarbeitet.

Für andere Daten ist lynkpop selbst Verantwortlicher, zum Beispiel für das Konto des Profilinhabers, für die öffentliche Seite, für die Besucherstatistik und für Sicherheitsprotokolle (§ 12 dieses Vertrags).

Verantwortlicher: der Profilinhaber, der bei lynkpop.com ein Konto führt (im Folgenden „Verantwortlicher“), mit den Angaben aus seinem Konto.

Auftragsverarbeiter (im Folgenden „lynkpop“):

AIOS MediaOwner: Nderim SelmanajBusiness in preparation, start after approval expected in January 2027, currently no orders acceptedHolter Kirchplatz 433758 Schloß Holte-StukenbrockGermany

Email: info@aios-media.comPhone: +49 175 9965153

(1) Dieser Vertrag regelt die Rechte und Pflichten der Parteien, wenn lynkpop im Rahmen der Nutzungsbedingungen von lynkpop.com (im Folgenden „Hauptvertrag“) personenbezogene Daten im Auftrag des Verantwortlichen verarbeitet.

(2) Der Vertrag wird mit der Annahme der Nutzungsbedingungen im elektronischen Format geschlossen (Art. 28 Abs. 9 DSGVO). Der Verantwortliche kann ihn jederzeit unter lynkpop.com/avv abrufen und speichern.

(3) Der Vertrag gilt, solange lynkpop Daten nach Anlage 1 für den Verantwortlichen verarbeitet. Er endet mit dem Hauptvertrag, die Pflichten aus § 13 (Löschung und Rückgabe) bestehen darüber hinaus.

(4) Nutzt der Profilinhaber lynkpop ausschließlich für persönliche oder familiäre Tätigkeiten (Art. 2 Abs. 2 lit. c DSGVO), ist er kein Verantwortlicher im Sinne der DSGVO. lynkpop verarbeitet die Daten seiner Gäste dann trotzdem nach den Regeln dieses Vertrags.

(1) Art und Zweck der Verarbeitung, die Arten der personenbezogenen Daten und die Kategorien betroffener Personen ergeben sich aus Anlage 1.

(2) Die Verarbeitung findet in der Europäischen Union statt, im Wesentlichen in Rechenzentren in Deutschland. Eine Übermittlung in ein Drittland ist nur nach § 7 zulässig.

(1) lynkpop verarbeitet die Daten nur auf dokumentierte Weisung des Verantwortlichen, auch in Bezug auf die Übermittlung in Drittländer, es sei denn, lynkpop ist durch das Recht der Union oder Deutschlands dazu verpflichtet. In diesem Fall teilt lynkpop dem Verantwortlichen diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das Recht eine solche Mitteilung nicht wegen eines wichtigen öffentlichen Interesses verbietet (Art. 28 Abs. 3 lit. a DSGVO).

(2) Die Weisungen sind abschließend festgelegt durch diesen Vertrag, den Hauptvertrag und die Einstellungen, die der Verantwortliche im Dashboard vornimmt (zum Beispiel Terminarten, Verfügbarkeit, Absagen, Löschen von Buchungen, Erinnerungsmails bei Pro). Weitere Weisungen erteilt der Verantwortliche in Textform an die Adresse in den Vertragsparteien.

(3) Ist lynkpop der Ansicht, dass eine Weisung gegen die DSGVO oder andere Datenschutzvorschriften verstößt, informiert lynkpop den Verantwortlichen unverzüglich (Art. 28 Abs. 3 Satz 3 DSGVO). lynkpop darf die Ausführung aussetzen, bis der Verantwortliche die Weisung bestätigt oder ändert.

(4) Weisungen, die über den Leistungsumfang des Hauptvertrags hinausgehen, muss lynkpop nicht umsetzen. Für Verarbeitungen, die alle Profilinhaber betreffen (zum Beispiel die automatische Löschung nach Anlage 1), ist eine individuelle Abweichung nur möglich, wenn das technisch angeboten wird.

lynkpop gewährleistet, dass sich alle Personen, die zur Verarbeitung der Daten befugt sind, zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen (Art. 28 Abs. 3 lit. b DSGVO). Derzeit ist das allein der Inhaber. Kommen weitere Personen hinzu, werden sie vor Beginn ihrer Tätigkeit schriftlich verpflichtet.

(1) lynkpop trifft die technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO, die in Anlage 3 beschrieben sind.

(2) lynkpop darf die Maßnahmen an den technischen Fortschritt anpassen. Das Schutzniveau darf dabei nicht unter das in Anlage 3 beschriebene fallen. Wesentliche Änderungen dokumentiert lynkpop und aktualisiert Anlage 3.

(1) Der Verantwortliche erteilt lynkpop die allgemeine Genehmigung, weitere Auftragsverarbeiter (Unterauftragsverarbeiter) einzusetzen (Art. 28 Abs. 2 DSGVO). Die bei Vertragsschluss eingesetzten Unterauftragsverarbeiter stehen in Anlage 2 und gelten als genehmigt.

(2) lynkpop informiert den Verantwortlichen mindestens vier Wochen vorher per E-Mail über jede beabsichtigte Hinzuziehung oder Ersetzung eines Unterauftragsverarbeiters. Der Verantwortliche kann innerhalb dieser Frist aus wichtigen datenschutzrechtlichen Gründen in Textform Einspruch erheben. Finden die Parteien keine Lösung, kann der Verantwortliche den Hauptvertrag zum Zeitpunkt der Änderung ohne Frist kündigen. Bei Pro erstattet lynkpop im Voraus gezahlte Beträge für die Zeit danach anteilig.

(3) lynkpop erlegt jedem Unterauftragsverarbeiter durch Vertrag im Wesentlichen dieselben Datenschutzpflichten auf, die in diesem Vertrag festgelegt sind, insbesondere hinreichende Garantien für geeignete technische und organisatorische Maßnahmen (Art. 28 Abs. 4 DSGVO). Kommt ein Unterauftragsverarbeiter seinen Pflichten nicht nach, haftet lynkpop gegenüber dem Verantwortlichen für dessen Einhaltung.

(4) Keine Unterauftragsverarbeiter im Sinne dieses Vertrags sind

• die Plattformen, mit denen der Verantwortliche nach § 12 der Nutzungsbedingungen Konten verknüpft (zum Beispiel Meta, Google/YouTube, TikTok, LinkedIn). Mit ihnen tauscht lynkpop Daten auf Weisung des Verantwortlichen aus, sie verarbeiten die Daten in eigener Verantwortung,
• die E-Mail-Anbieter der Gäste, an deren Postfächer lynkpop Mails zustellt,
• Anbieter von Nebenleistungen ohne Zugriff auf Daten nach Anlage 1, zum Beispiel Telekommunikationsnetze.

Eine Übermittlung in ein Land außerhalb der EU und des EWR findet nur statt, wenn die Voraussetzungen der Art. 44 bis 49 DSGVO erfüllt sind. Derzeit kann das nur bei Cloudflare, Inc. (USA) vorkommen, weil alle Anfragen an lynkpop.com über deren Netz laufen. Cloudflare ist nach dem EU-US Data Privacy Framework zertifiziert (Angemessenheitsbeschluss der EU-Kommission vom 10. Juli 2023). Fällt dieser weg, gelten nach dem Vertrag mit Cloudflare die Standardvertragsklauseln der EU-Kommission.

(1) Betroffenenrechte. lynkpop unterstützt den Verantwortlichen mit geeigneten technischen und organisatorischen Maßnahmen dabei, Anträge betroffener Personen nach Art. 12 bis 23 DSGVO zu beantworten (Art. 28 Abs. 3 lit. e DSGVO). Der Verantwortliche kann Buchungen im Dashboard einsehen und absagen. Gäste können ihren Termin über ihren persönlichen Link selbst einsehen und absagen. Für Auskunft, Berichtigung, Löschung oder Herausgabe einzelner Daten, die das Dashboard nicht abdeckt, hilft lynkpop auf Anfrage in Textform.

(2) Wendet sich eine betroffene Person mit einem Anliegen zu Daten nach Anlage 1 direkt an lynkpop, leitet lynkpop die Anfrage unverzüglich an den Verantwortlichen weiter und beantwortet sie nicht selbst, es sei denn, der Verantwortliche weist lynkpop dazu an.

(3) Weitere Pflichten. lynkpop unterstützt den Verantwortlichen unter Berücksichtigung der Art der Verarbeitung und der verfügbaren Informationen bei der Einhaltung der Pflichten aus Art. 32 bis 36 DSGVO (Sicherheit, Meldung von Verletzungen, Datenschutz-Folgenabschätzung, vorherige Konsultation), insbesondere durch die Informationen in diesem Vertrag und seinen Anlagen.

(1) lynkpop meldet dem Verantwortlichen eine Verletzung des Schutzes personenbezogener Daten nach Anlage 1 unverzüglich, möglichst innerhalb von 24 Stunden, nachdem lynkpop sie bemerkt hat (Art. 33 Abs. 2 DSGVO), per E-Mail an die Adresse des Kontos.

(2) Die Meldung enthält, soweit bekannt, die Angaben nach Art. 33 Abs. 3 DSGVO: Art der Verletzung, Kategorien und ungefähre Zahl der betroffenen Personen und Datensätze, wahrscheinliche Folgen und ergriffene oder vorgeschlagene Maßnahmen. Was noch nicht bekannt ist, reicht lynkpop unverzüglich nach.

(3) lynkpop ergreift unverzüglich die Maßnahmen, die nötig sind, um die Daten zu sichern und mögliche nachteilige Folgen für die betroffenen Personen zu mindern.

(4) Betrifft eine Verletzung viele Profilinhaber, darf lynkpop alle betroffenen Verantwortlichen mit einer gemeinsamen Mitteilung informieren.

(1) lynkpop stellt dem Verantwortlichen alle erforderlichen Informationen zum Nachweis der Einhaltung der Pflichten aus Art. 28 DSGVO zur Verfügung und ermöglicht Überprüfungen, einschließlich Inspektionen, die vom Verantwortlichen oder einem von ihm beauftragten Prüfer durchgeführt werden (Art. 28 Abs. 3 lit. h DSGVO).

(2) Den Nachweis erbringt lynkpop vorrangig durch diesen Vertrag mit Anlage 3, durch eine Selbstauskunft und durch Nachweise der Unterauftragsverarbeiter, etwa Zertifikate oder Prüfberichte der Rechenzentren.

(3) Reichen diese Nachweise im Einzelfall nicht aus, kann der Verantwortliche eine Inspektion vornehmen, nach Anmeldung mit einer Frist von mindestens 14 Tagen, während der üblichen Geschäftszeiten, ohne Störung des Betriebs und unter Wahrung der Vertraulichkeit der Daten anderer Profilinhaber. Der eingesetzte Prüfer muss zur Verschwiegenheit verpflichtet sein und darf kein Wettbewerber von lynkpop sein. Ohne besonderen Anlass ist eine Inspektion höchstens einmal im Kalenderjahr möglich.

(4) Zugang zu den Rechenzentren der Unterauftragsverarbeiter gewährt lynkpop nicht. Für sie gelten deren Nachweise.

(1) Der Verantwortliche ist für die Rechtmäßigkeit der Verarbeitung verantwortlich, insbesondere dafür, dass eine Rechtsgrundlage besteht (in der Regel Art. 6 Abs. 1 lit. b DSGVO für die Durchführung des gebuchten Termins) und dass er seine Gäste nach Art. 13 DSGVO informiert.

(2) Der Verantwortliche gibt in Buchungsformularen, Terminbeschreibungen, Notizen und automatischen Antworten keine Daten ein und fordert keine Daten an, die für den Zweck nicht nötig sind, insbesondere keine besonderen Kategorien personenbezogener Daten (Art. 9 DSGVO), es sei denn, er hat dafür eine Rechtsgrundlage und die Schutzmaßnahmen nach Anlage 3 reichen aus.

(3) Der Verantwortliche informiert lynkpop unverzüglich, wenn er Fehler oder Unregelmäßigkeiten bei der Verarbeitung feststellt.

(4) Der Verantwortliche ist dafür verantwortlich, wie er Daten außerhalb von lynkpop weiterverarbeitet, zum Beispiel in seinem eigenen Postfach oder Kalender.

(1) Folgende Verarbeitungen nimmt lynkpop nicht im Auftrag vor, sondern als eigener Verantwortlicher nach seiner Datenschutzerklärung:

• a) Daten zum Konto und zum Vertrag des Profilinhabers, einschließlich Abrechnung und Kündigung,
• b) die Inhalte der öffentlichen Seite des Profilinhabers, die lynkpop als Hostingdienst speichert und veröffentlicht,
• c) die Besucherstatistik ohne Cookies, von der der Profilinhaber nur Summen sieht,
• d) Server-Protokolle, die Auslieferung und den Schutz über Cloudflare, die Begrenzung von Anfragen je IP-Adresse im Arbeitsspeicher und andere Maßnahmen zur Sicherheit von lynkpop, auch soweit dabei Daten von Gästen anfallen,
• e) die Bearbeitung von Meldungen und Maßnahmen nach dem Digital Services Act,
• f) die Erfüllung gesetzlicher Pflichten.

(2) Der Verantwortliche erlaubt lynkpop, aus den Daten nach Anlage 1 Gesamtzahlen ohne Personenbezug zu bilden (zum Beispiel „Zahl der Buchungen auf lynkpop pro Tag“) und diese für den Betrieb und die Weiterentwicklung von lynkpop zu nutzen. Rückschlüsse auf einzelne Gäste oder einzelne Profilinhaber sind daraus nicht möglich. Andere eigene Zwecke verfolgt lynkpop mit den Daten nach Anlage 1 nicht, insbesondere keine Werbung und keine Weitergabe an Dritte.

(1) lynkpop löscht Buchungen mit allen Angaben automatisch 12 Monate nach dem Ende des Termins, es sei denn, der Verantwortliche löscht sie vorher.

(2) Löscht der Verantwortliche sein Konto oder endet der Hauptvertrag, löscht lynkpop alle Daten nach Anlage 1 sofort. Gäste mit offenen Terminen bekommen eine Absage per E-Mail. In den verschlüsselten Sicherungen nach Anlage 3 bleiben die Daten bis zu deren Rotation erhalten, höchstens 30 Tage, und werden in dieser Zeit nicht verwendet.

(3) Vor dem Löschen seines Kontos kann der Verantwortliche seine Buchungen im Dashboard einsehen. Auf Anfrage vor dem Löschen stellt lynkpop die Buchungsdaten in einem gängigen Format bereit.

(4) Eine weitere Speicherung ist nur zulässig, wenn lynkpop nach dem Recht der Union oder Deutschlands dazu verpflichtet ist.

Für die Haftung gegenüber betroffenen Personen gilt Art. 82 DSGVO. Im Verhältnis der Parteien zueinander gilt die Haftungsregelung der Nutzungsbedingungen (§ 14), soweit Art. 82 DSGVO nicht zwingend etwas anderes vorsieht.

(1) Bei Widersprüchen zwischen diesem Vertrag und dem Hauptvertrag geht dieser Vertrag vor, soweit es um den Schutz personenbezogener Daten geht.

(2) Änderungen dieses Vertrags richten sich nach § 16 der Nutzungsbedingungen. Änderungen der Anlagen 2 und 3, die das Schutzniveau nicht senken, teilt lynkpop per E-Mail mit. Für neue Unterauftragsverarbeiter gilt § 6 Abs. 2.

(3) Es gilt das Recht der Bundesrepublik Deutschland.

A. Terminbuchung (bei allen Profilinhabern, die buchbare Terminarten anbieten)

B. Social-Verknüpfungen, automatische Antworten und Beitragsplanung (nur wenn lynkpop diese Funktionen anbietet und der Verantwortliche sie einschaltet)

C. Kontakte sammeln (nur mit Pro und nur, wenn der Verantwortliche das Anmeldefeld einschaltet; dieser Abschnitt gilt ab seiner Annahme beim Einschalten, Fassung vom 9. November 2026)

D. Kontaktformular (nur wenn der Verantwortliche es einschaltet; dieser Abschnitt gilt ab seiner Annahme beim Einschalten, Fassung vom 9. November 2026)

Weitere Unterauftragsverarbeiter setzt lynkpop nicht ein. Insbesondere gelangen keine personenbezogenen Daten nach Anlage 1 an Werkzeuge oder KI-Dienste, die bei der Wartung helfen (Anlage 3).

1. Vertraulichkeit

Zutrittskontrolle (Rechenzentrum)

• Die Server stehen in Rechenzentren der Hetzner Online GmbH in Deutschland. Den physischen Schutz (Zutrittskontrolle, Videoüberwachung, Brandschutz, Stromversorgung) verantwortet Hetzner. Hetzner lässt seine technischen und organisatorischen Maßnahmen jährlich prüfen und veröffentlicht Zertifikate (ISO/IEC 27001).
• lynkpop betreibt keine eigenen Serverräume.

Zugangskontrolle (Systeme)

• Alle Aufrufe laufen über Cloudflare. Der Webserver (nginx) nimmt Verbindungen nur von Cloudflare-Adressen an. Die Anwendung ist nur lokal auf dem Server erreichbar (127.0.0.1), die Datenbank nur im internen Docker-Netz.
• Verschlüsselte Verbindung zwischen Cloudflare und Server mit einem Ursprungszertifikat (Modus „Full (strict)“), TLS 1.2 und 1.3, HSTS für ein Jahr.
• Verwaltung des Servers nur per SSH mit Schlüssel, der durch eine Passphrase geschützt ist, vom Rechner des Inhabers aus. Die Anmeldung per Passwort ist abgeschaltet, Fehlversuche werden gesperrt (fail2ban), und Sicherheitsupdates des Betriebssystems werden automatisch eingespielt. Von außen ist neben SSH nur Webverkehr über Cloudflare erreichbar.
• Passwörter der Nutzer nur als bcrypt-Hash (Kosten 12), Mindestlänge 10 Zeichen; gleiche Antwortzeit für bekannte und unbekannte Konten.
• Sitzungen über ein zufälliges Token (32 Byte) im Cookie mit den Eigenschaften httpOnly, Secure und SameSite=Lax; in der Datenbank liegt nur dessen SHA-256-Prüfsumme. Gültigkeit höchstens 30 Tage, nach Passwortänderung Abmeldung auf allen Geräten.
• Freiwillige Zwei-Faktor-Anmeldung (TOTP); der geheime Schlüssel liegt nur mit AES-256-GCM verschlüsselt in der Datenbank, Ersatzcodes nur als Prüfsumme; jeder Code gilt nur einmal; der Zwischenschritt der Anmeldung gilt 10 Minuten und höchstens 5 Versuche.
• Für Verwaltungsfunktionen (Prüfung des blauen Hakens) ist die Zwei-Faktor-Anmeldung Pflicht.
• Begrenzung von Anfragen (Registrierung, Anmeldung, Passwort-Links, Buchungen, Abruf freier Zeiten, Zählung, Kündigungen) je IP-Adresse und Konto.
• Links zum Zurücksetzen des Passworts gelten 60 Minuten und nur einmal, Bestätigungslinks 3 Tage; gespeichert wird nur eine Prüfsumme.

Zugriffskontrolle (Daten)

• Jede Aktion im Dashboard prüft die Anmeldung und arbeitet nur auf dem eigenen Profil. Ein Profilinhaber sieht nur seine eigenen Buchungen.
• Gäste sehen ihren Termin nur über ihren persönlichen, nicht erratbaren Link; die Seite dahinter ist für Suchmaschinen gesperrt.
• Direkter Zugriff auf die Datenbank hat nur der Inhaber über SSH auf dem Server. Eine Verwaltungsoberfläche für die Datenbank ist nicht im Internet erreichbar.
• Zugangsdaten und Schlüssel des Servers (Datenbank-Passwort, Salz der Statistik, Schlüssel für die Zwei-Faktor-Anmeldung, SMTP-Zugang) liegen in einer Datei mit Zugriff nur für root (chmod 600). SMTP-Zugangsdaten trägt nur der Inhaber selbst ein.
• Regel für Wartungsarbeiten: Personenbezogene Daten aus der Produktivdatenbank, aus Protokollen oder Mails werden nicht an externe Werkzeuge oder KI-Dienste übermittelt. Abfragen bei Wartungsarbeiten geben nur Summen, Kennungen oder öffentlich sichtbare Angaben aus.

Trennungskontrolle

• lynkpop läuft als eigenes Docker-Compose-Projekt mit eigener Datenbank, eigenen Datenträgern und eigenem Port, getrennt von anderen Anwendungen auf demselben Server (aios-media.com).
• Logische Trennung der Daten verschiedener Profilinhaber über die Profilkennung in jeder Abfrage.
• Entwicklung und Tests finden auf einem anderen Server mit eigener Datenbank und Demo-Daten statt. Ohne SMTP-Zugang landen Mails dort nur in einem lokalen Ordner.

Pseudonymisierung und Datensparsamkeit

• Die Statistik kommt ohne Cookies aus und speichert keine IP-Adresse, sondern nur eine gekürzte Tages-Prüfsumme mit geheimem Salz; Aufrufe verschiedener Tage lassen sich nicht verbinden.
• Kennzahlen für den Betreiber werden nur als Summen ohne Namen und E-Mail-Adressen gebildet.
• Fehlerprotokolle beim Mailversand enthalten nur Art und Fehlercode, keine Empfänger oder Inhalte.
• Beim Hochladen von Profilfotos werden Metadaten wie Aufnahmeort und Kameradaten entfernt.

2. Integrität

Weitergabekontrolle

• Übertragung zwischen Browser und Cloudflare sowie zwischen Cloudflare und Server nur verschlüsselt (TLS).
• Mailversand über das Postfach bei ALL-INKL mit STARTTLS (Port 587); SPF, DKIM und DMARC sind für lynkpop.com eingerichtet.
• Sicherungen verlassen den Server nur mit age verschlüsselt (siehe Abschnitt 3).

Eingabekontrolle

• Alle Eingaben werden serverseitig geprüft (Zod-Schemas, Längenbegrenzungen); Werte von Nutzern werden in Mails maskiert; Betreff und Absendername ohne Zeilenumbrüche.
• Öffentliche Formulare prüfen die Herkunft der Anfrage (Same-Origin).
• Hochgeladene Bilder werden an den ersten Bytes erkannt (nur JPG, PNG, WebP, höchstens 5 MB) und unter zufälligen Namen gespeichert.
• Abrufe fremder Websites bei der Domain-Prüfung nur an öffentliche Adressen, nur über https, mit kurzer Zeitgrenze und begrenzter Antwortgröße.

3. Verfügbarkeit und Belastbarkeit

• Tägliche Sicherung um 03:27 Uhr von Datenbank, Profilfotos und Server-Einstellungen, direkt beim Erstellen mit age verschlüsselt (öffentlicher Schlüssel des Empfängers); ein unverschlüsselter Abzug liegt nie auf der Platte.
• Aufbewahrung der Sicherungen auf dem Server 14 Tage.
• Kopie außer Haus auf einen zweiten Server in Deutschland (Hetzner). Der Schlüssel für das Hochladen darf dort nur ablegen, nicht lesen oder löschen; ein getrennter Lese-Schlüssel prüft, ob die Dateien angekommen sind. Fehlt etwas, geht eine Warnmail an den Betreiber. Rotation nach 30 Tagen, die 14 neuesten Sicherungen bleiben immer erhalten.
• Der private Schlüssel zum Entschlüsseln liegt nur beim Inhaber (Passwort-Manager), nicht auf den Servern.
• Container starten nach Fehlern automatisch neu; jede Auslieferung wartet auf einen erfolgreichen Gesundheitstest.
• Schutz vor Überlastung und Angriffen durch Cloudflare und Begrenzungen in nginx und in der Anwendung.
• Hinweis: lynkpop läuft auf einem einzelnen Server. Fällt er aus, ist lynkpop bis zur Wiederherstellung nicht erreichbar.

4. Verfahren zur regelmäßigen Überprüfung, Bewertung und Evaluierung

• Automatisches Löschen nach festen Fristen: Buchungen 12 Monate nach dem Termin, Statistik und aktive Tage nach 14 Monaten, abgelaufene Sitzungen, Bestätigungs- und Passwort-Links sofort nach Ablauf; Server-Protokolle nach 14 Tagen.
• Datenschutzfreundliche Voreinstellungen: Seiten werden erst nach bestätigter E-Mail-Adresse öffentlich; keine Tracking- oder Werbedienste Dritter; Schriftarten vom eigenen Server.
• Sicherheits-Header (unter anderem nosniff, Schutz gegen Einbetten auf fremden Seiten, eingeschränkte Browser-Berechtigungen).
• Regelmäßige Aktualisierung von Abhängigkeiten und Laufzeitumgebung mit Prüfung bekannter Schwachstellen (npm audit).
• Ablauf bei Sicherheitsvorfällen: Erkennen, Eindämmen, Bewertung des Risikos, Meldung an Verantwortliche (§ 9) und gegebenenfalls an die Aufsichtsbehörde binnen 72 Stunden, Dokumentation.
• Überprüfung dieser Anlage mindestens einmal im Jahr und bei wesentlichen Änderungen.

5. Auftragskontrolle

• Unterauftragsverarbeiter nur nach Anlage 2 und mit Vertrag nach Art. 28 DSGVO.
• Keine Verarbeitung der Daten nach Anlage 1 für eigene Zwecke außer nach § 12 Abs. 2.