Version 2.0, Stand: 13.10.2026 (ersetzt Version 1.0 vom März 2026)

1. Gegenstand und Geltung

Diese Vereinbarung regelt die Verarbeitung personenbezogener Daten durch die WeDoIT GmbH, Konrad-Zuse-Platz 8, 81829 München („WeDoIT“ oder „Auftragsverarbeiter“) im Auftrag ihrer Kunden („Kunde“ oder „Verantwortlicher“) nach Art. 28 DSGVO.

Sie gilt für alle Leistungen, bei denen WeDoIT Zugriff auf personenbezogene Daten des Kunden erhält. Verweist ein Angebot, ein Vertrag oder eine Auftragsbestätigung von WeDoIT auf diese Vereinbarung, wird sie mit Annahme des Angebots bzw. Abschluss des Vertrags Bestandteil des Vertrags, ohne dass es einer gesonderten Unterschrift bedarf. Auf Wunsch stellen wir sie auch zur Unterschrift bereit. Bei Widersprüchen geht diese Vereinbarung in Fragen des Datenschutzes dem Hauptvertrag vor.

2. Art, Zweck und Dauer der Verarbeitung

Die Verarbeitung erfolgt ausschließlich zur Erbringung der beauftragten Leistungen, insbesondere:

• SOC und MDR (24/7-Überwachung, Alarmbearbeitung und Reaktion) auf Basis von Cynet
• Bereitstellung und Administration von Endpoint-Security und XDR (Tenant-Verwaltung, Agent-Rollout, Richtlinien)
• Schwachstellenanalysen, Penetrationstests und Angriffssimulationen
• Administration von Cloud-Umgebungen des Kunden (z. B. Microsoft 365)
• Einrichtung und Betrieb von PKI-Lösungen (Zertifikate, Smartcards, Token)
• Support und Fehleranalyse in Kundensystemen auf Weisung

Eine Verarbeitung für eigene Zwecke von WeDoIT findet nicht statt. Die Dauer der Verarbeitung entspricht der Laufzeit des jeweiligen Hauptvertrags.

3. Art der Daten und Kategorien betroffener Personen

Je nach Leistung können insbesondere folgende Daten verarbeitet werden:

• Benutzerkennungen, Namen und dienstliche Kontaktdaten
• IP-Adressen, Geräte- und Systemkennungen
• Protokoll-, Ereignis- und Alarmdaten
• E-Mail-Metadaten sowie Datei- und Postfachmetadaten
• Authentifizierungs- und Zertifikatsdaten
• Inhalte aus Kundensystemen, soweit sie bei Analyse, Test oder Support zwangsläufig sichtbar werden

Betroffen sind insbesondere Beschäftigte, Administratoren und Dienstleister des Kunden sowie dessen Geschäftspartner und Kunden, soweit deren Daten in den betreuten Systemen gespeichert sind. Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO) werden nicht gezielt verarbeitet; können sie in Kundensystemen enthalten sein, gelten die Maßnahmen aus Anlage 1 entsprechend.

4. Weisungen

WeDoIT verarbeitet personenbezogene Daten nur auf dokumentierte Weisung des Kunden, auch bei Übermittlungen in Drittländer, es sei denn, WeDoIT ist nach Unionsrecht oder dem Recht eines Mitgliedstaats zur Verarbeitung verpflichtet. In diesem Fall teilt WeDoIT dem Kunden diese Pflicht vor der Verarbeitung mit, sofern das Recht dies nicht verbietet (Art. 28 Abs. 3 lit. a DSGVO).

Weisungen erfolgen in Textform, mündliche Weisungen bestätigt der Kunde unverzüglich in Textform. Ist WeDoIT der Auffassung, dass eine Weisung gegen datenschutzrechtliche Vorschriften verstößt, weist WeDoIT den Kunden unverzüglich darauf hin und darf die Ausführung bis zur Bestätigung oder Änderung aussetzen.

5. Vertraulichkeit

WeDoIT setzt nur Personen ein, die zur Vertraulichkeit verpflichtet sind oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen, und die mit den einschlägigen Datenschutzvorschriften vertraut gemacht wurden (Art. 28 Abs. 3 lit. b, Art. 29 DSGVO). Die Verpflichtung gilt auch nach Ende der Tätigkeit fort.

6. Technische und organisatorische Maßnahmen

WeDoIT trifft die nach Art. 32 DSGVO erforderlichen technischen und organisatorischen Maßnahmen. Die Maßnahmen sind in Anlage 1 beschrieben und werden im Rahmen des Informationssicherheits-Managementsystems von WeDoIT regelmäßig überprüft. WeDoIT darf sie an den technischen Fortschritt anpassen, sofern das Schutzniveau nicht unterschritten wird.

7. Unterauftragsverarbeiter

Der Kunde erteilt WeDoIT die allgemeine Genehmigung, die in Anlage 2 aufgeführten Unterauftragsverarbeiter einzusetzen. WeDoIT verpflichtet jeden Unterauftragsverarbeiter vertraglich auf dieselben Datenschutzpflichten, die in dieser Vereinbarung festgelegt sind, insbesondere auf hinreichende Garantien für geeignete technische und organisatorische Maßnahmen (Art. 28 Abs. 4 DSGVO).

WeDoIT informiert den Kunden mindestens 30 Tage vorher in Textform über jede beabsichtigte Hinzuziehung oder Ersetzung eines Unterauftragsverarbeiters. Der Kunde kann der Änderung innerhalb von 14 Tagen nach Zugang der Information aus wichtigem datenschutzrechtlichem Grund widersprechen. Finden die Parteien keine einvernehmliche Lösung, kann der Kunde die betroffene Leistung außerordentlich kündigen.

Nicht als Unterauftragsverhältnis gelten Nebenleistungen ohne Zugriff auf personenbezogene Daten des Kunden, etwa Telekommunikation, Post oder die Wartung von Hardware, für die keine Daten bereitgestellt werden.

8. Übermittlung in Drittländer

Eine Verarbeitung außerhalb der EU und des EWR erfolgt nur, wenn die Voraussetzungen der Art. 44 bis 49 DSGVO erfüllt sind, insbesondere auf Grundlage eines Angemessenheitsbeschlusses der EU-Kommission (z. B. für Israel oder für nach dem EU-US Data Privacy Framework zertifizierte Unternehmen) oder der EU-Standardvertragsklauseln. Die jeweilige Grundlage ist in Anlage 2 angegeben.

9. Unterstützung bei Betroffenenrechten

WeDoIT unterstützt den Kunden mit geeigneten technischen und organisatorischen Maßnahmen dabei, Anträge betroffener Personen auf Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit und Widerspruch (Art. 12 bis 22 DSGVO) zu beantworten (Art. 28 Abs. 3 lit. e DSGVO). Wendet sich eine betroffene Person direkt an WeDoIT, leitet WeDoIT das Anliegen unverzüglich an den Kunden weiter und beantwortet es nicht selbst.

10. Unterstützung bei Sicherheit, Meldepflichten und Datenschutz-Folgenabschätzung

WeDoIT unterstützt den Kunden unter Berücksichtigung der Art der Verarbeitung und der verfügbaren Informationen bei der Einhaltung der Pflichten aus Art. 32 bis 36 DSGVO (Art. 28 Abs. 3 lit. f DSGVO), insbesondere bei der Sicherheit der Verarbeitung, bei Meldungen und Benachrichtigungen im Fall von Datenschutzverletzungen, bei Datenschutz-Folgenabschätzungen und bei der vorherigen Konsultation der Aufsichtsbehörde.

Verletzungen des Schutzes personenbezogener Daten meldet WeDoIT dem Kunden unverzüglich, spätestens innerhalb von 24 Stunden nach Kenntnis, mit den nach Art. 33 Abs. 3 DSGVO erforderlichen Angaben, soweit sie vorliegen; fehlende Angaben werden nachgereicht. WeDoIT ergreift unverzüglich die erforderlichen Maßnahmen zur Eindämmung. Die Meldung an die Aufsichtsbehörde und die Benachrichtigung der Betroffenen bleiben Aufgabe des Kunden.

11. Nachweise und Kontrollen

WeDoIT stellt dem Kunden alle erforderlichen Informationen zum Nachweis der Einhaltung der Pflichten aus Art. 28 DSGVO zur Verfügung und ermöglicht Überprüfungen einschließlich Inspektionen durch den Kunden oder einen von ihm beauftragten, zur Verschwiegenheit verpflichteten Prüfer (Art. 28 Abs. 3 lit. h DSGVO). Kontrollen vor Ort sind mit angemessener Frist, in der Regel zwei Wochen, anzukündigen und während der üblichen Geschäftszeiten ohne unverhältnismäßige Störung des Betriebs durchzuführen. Aktuelle Prüfberichte, Zertifikate oder Selbstauskünfte können als Nachweis dienen.

12. Löschung und Rückgabe

Nach Ende der Leistungen löscht WeDoIT nach Wahl des Kunden alle personenbezogenen Daten oder gibt sie zurück und löscht vorhandene Kopien, sofern nicht nach Unionsrecht oder dem Recht eines Mitgliedstaats eine Pflicht zur Speicherung besteht (Art. 28 Abs. 3 lit. g DSGVO). Die Löschung wird auf Anfrage in Textform bestätigt. Daten in Plattformen von Unterauftragsverarbeitern (z. B. Cynet-Tenant) werden nach deren vertraglich vereinbarten Fristen gelöscht.

13. Haftung

Für die Haftung gilt Art. 82 DSGVO. Im Übrigen gelten die Haftungsregelungen des Hauptvertrags.

14. Kontakt für Datenschutzfragen

WeDoIT GmbH, Benedikt Leisten (Geschäftsführer)
E-Mail: Privacy@WeDoIT-Group.de

Anlage 1: Technische und organisatorische Maßnahmen

Vertraulichkeit

• Zutritt zum Büro Konrad-Zuse-Platz 8 nur mit Schlüssel bzw. Karte, Besucher werden begleitet
• Persönliche Konten mit Multi-Faktor-Authentifizierung für alle Zugänge, keine geteilten Konten
• Rollenbasiertes Berechtigungskonzept nach dem Need-to-know-Prinzip, Prüfung bei Ein- und Austritt
• Verschlüsselung der Endgeräte (BitLocker bzw. FileVault)
• Verschlüsselte Übertragung (TLS, gesicherte VPN-Zugänge, S/MIME für vertrauliche E-Mails)
• Schriftliche Verpflichtung aller Beschäftigten und freien Mitarbeitenden auf Vertraulichkeit

Integrität

• Protokollierung von Anmeldungen, Zugriffen und Änderungen
• Schutz aller Endgeräte durch Cynet 360 AutoXDR, Virenprüfung beim Dateiaustausch

Verfügbarkeit und Belastbarkeit

• Regelmäßige Datensicherung der zentralen Systeme
• Gehärtete Systeme, automatische Updates und laufendes Schwachstellenmanagement

Trennung und Datenminimierung

• Getrennte Umgebungen je Kunde (eigene Tenants und Datenräume)
• Löschkonzept mit festgelegten Löschfristen

Organisation und Überprüfung

• Informationssicherheits-Managementsystem mit Richtlinien, Verzeichnissen und Versionsstand
• Festgelegter Prozess für Sicherheitsvorfälle und Datenschutzverletzungen
• Auftragsverarbeitungsverträge mit allen Unterauftragsverarbeitern und Prüfung ihrer Nachweise
• Datenschutz- und Sicherheitsschulung bei Eintritt und jährlich
• Regelmäßige Überprüfung der Wirksamkeit der Maßnahmen

Anlage 2: Unterauftragsverarbeiter

Unterauftragsverarbeiter	Leistung	Ort der Verarbeitung	Grundlage bei Drittland
Cynet Security Ltd., Israel	Plattform Cynet 360 AutoXDR und 24/7-SOC (CyOps)	Israel, Datenhaltung des Tenants je nach gewählter Region	Angemessenheitsbeschluss der EU-Kommission für Israel
Microsoft Ireland Operations Ltd., Dublin, Irland	Microsoft 365 für Kommunikation, Berichte und Dateiablage im Rahmen der Leistungen	EU (EU Data Boundary), Zugriffe aus den USA im Einzelfall möglich	EU-US Data Privacy Framework, ergänzend EU-Standardvertragsklauseln
Picus Security Inc., USA	Angriffssimulation (nur bei Beauftragung)	USA	EU-Standardvertragsklauseln bzw. EU-US Data Privacy Framework
Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, Deutschland	Hosting der Systeme von WeDoIT (Geschäftsanwendung mit sicherem Datenaustausch für Kundendateien) und der Webseiten	Deutschland	kein Drittland
Pentaris Security GmbH, Deutschland	Penetrationstests (nur bei Beauftragung)	Deutschland	kein Drittland
Breachlense	Darkweb-Monitoring (nur bei Beauftragung)	auf Anfrage	auf Anfrage
DGC	Sicherheitsleistungen (nur bei Beauftragung)	auf Anfrage	auf Anfrage

Leistungen, die nur bei gesonderter Beauftragung erbracht werden, binden den jeweiligen Unterauftragsverarbeiter nur in diesem Fall ein. Diese Liste ist abschließend. Die aktuelle Fassung dieser Liste ist unter dieser Adresse abrufbar.