Auftragsverarbeitungsvertrag (AVV)

gemäß Art. 28 DSGVO

Präambel

Dieser Auftragsverarbeitungsvertrag (nachfolgend „AVV“) konkretisiert die datenschutzrechtlichen Verpflichtungen der Vertragsparteien, die sich aus der Nutzung der Compliance-Software Custodio (nachfolgend „Plattform“) ergeben. Die Plattform wird als Software-as-a-Service (SaaS) vom Auftragnehmer bereitgestellt und ermöglicht dem Auftraggeber die digitale Verwaltung von Datenschutz-, Compliance- und IT-Sicherheitsanforderungen.

Sämtliche in diesem Vertrag beschriebenen Verpflichtungen finden Anwendung auf alle Tätigkeiten, die mit der Nutzung der Plattform in Zusammenhang stehen und bei denen Mitarbeiterinnen und Mitarbeiter des Auftragnehmers oder durch den Auftragnehmer beauftragte Dritte mit personenbezogenen Daten des Auftraggebers in Berührung kommen bzw. kommen können.

Vertragsparteien

Zwischen

und

§ 1 Definitionen

Es gelten die Begriffsbestimmungen entsprechend Art. 4 DSGVO, § 2 GeschGehG und § 2 TDDDG sowie das jeweils anwendbare Landesdatenschutzgesetz. Sollten sich widersprechende Darstellungen ergeben, gelten die Definitionen in der Rangfolge DSGVO, Bundesrecht, Landesrecht. Weiterhin gelten folgende Begriffsbestimmungen:

1. Anonymisierung: Prozess, bei dem personenbezogene Daten unumkehrbar so verändert werden, dass sich die betroffene Person danach weder direkt noch indirekt identifizieren lässt (DIN EN ISO 25237).
2. Plattform: Die vom Auftragnehmer betriebene SaaS-Anwendung „Custodio“ zur Verwaltung von Datenschutz-, Compliance- und IT-Sicherheitsprozessen, einschließlich aller zugehörigen Module (DSE-Generator, AVV-Generator, VVT, TOM, KI-Analyse etc.).
3. Unterauftragnehmer: Vom Auftragnehmer beauftragter Leistungserbringer, dessen Dienstleistung der Auftragnehmer zur Erbringung der in diesem Vertrag beschriebenen Leistungen gegenüber dem Auftraggeber benötigt.
4. Verarbeitung im Auftrag: Verarbeitung personenbezogener Daten durch den Auftragnehmer im Auftrag des Auftraggebers.
5. Weisung: Die auf einen bestimmten datenschutzmäßigen Umgang (z. B. Anonymisierung, Sperrung, Löschung, Herausgabe) des Auftragnehmers mit personenbezogenen Daten gerichtete schriftliche Anordnung des Auftraggebers. Die Weisungen werden anfänglich durch diesen AVV festgelegt und können danach in schriftlicher Form geändert, ergänzt oder ersetzt werden (Einzelweisung).
6. KI-Verarbeitung: Die auf der Plattform eingesetzte künstliche Intelligenz (Ollama, self-hosted) zur Unterstützung von Compliance-Analysen. Es werden keine externen KI-APIs (OpenAI, Google, Anthropic o. Ä.) genutzt; die gesamte KI-Verarbeitung erfolgt auf eigener Infrastruktur des Auftragnehmers in Deutschland.

§ 2 Gegenstand des Auftrags

Gegenstand der Vereinbarung ist die Verarbeitung personenbezogener Daten durch den Auftragnehmer für den Auftraggeber in dessen Auftrag und nach dessen Weisung im Zusammenhang mit der Nutzung der Plattform Custodio (nachstehend „Hauptvertrag“).

§ 3 Verantwortlichkeiten

1. Der Auftraggeber ist im Rahmen dieses Vertrages für die Einhaltung der gesetzlichen Bestimmungen, insbesondere für die Rechtmäßigkeit der Datenverarbeitung verantwortlich („Verantwortlicher“ im Sinne des Art. 4 Nr. 7 DSGVO).
2. Der Auftraggeber bestimmt Art, Umfang und Zwecke der Verarbeitung personenbezogener Daten auf der Plattform. Er trägt die Verantwortung für die Richtigkeit, Integrität, Zweckbindung und Rechtsgrundlage der eingegebenen Daten.
3. Auftraggeber sowie Auftragnehmer müssen gewährleisten, dass sich die zur Verarbeitung der personenbezogenen Daten befugten Personen zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen. Alle Personen, die auftragsgemäß auf personenbezogene Daten des Auftraggebers zugreifen können, sind auf das Datengeheimnis zu verpflichten und über ihre Datenschutzpflichten zu belehren. Das Datengeheimnis besteht auch nach Beendigung der Tätigkeit fort.
4. Der Auftraggeber und der Auftragnehmer sind bezüglich der zu verarbeitenden Daten für die Einhaltung der jeweils für sie einschlägigen Datenschutzgesetze verantwortlich.

§ 4 Dauer des Auftrags

1. Die Dauer des Auftrags richtet sich nach der Laufzeit des Nutzungsvertrages (Hauptvertrag) für die Plattform Custodio, sofern sich aus den Bestimmungen dieses AVV nicht etwas anderes ergibt.
2. Es ist den Vertragspartnern bewusst, dass ohne Vorliegen eines gültigen AVV keine (weitere) Auftragsverarbeitung durchgeführt werden darf.
3. Das Recht zur fristlosen Kündigung aus wichtigem Grund bleibt unberührt. Ein wichtiger Grund liegt insbesondere vor, wenn der Auftragnehmer schwerwiegend gegen Datenschutzvorschriften oder die Bestimmungen dieses Vertrages verstößt und trotz schriftlicher Abmahnung keine Abhilfe schafft.
4. Kündigungen bedürfen zu ihrer Wirksamkeit der Schriftform (E-Mail genügt).

§ 5 Weisungsbefugnis des Auftraggebers

1. Der Umgang mit den Daten erfolgt ausschließlich im Rahmen der getroffenen Vereinbarungen und nach dokumentierter Weisung des Auftraggebers. Ausgenommen hiervon sind Sachverhalte, in denen dem Auftragnehmer eine Verarbeitung aus zwingenden rechtlichen Gründen auferlegt wird. Der Auftragnehmer unterrichtet, soweit ihm möglich, in derartigen Situationen den Auftraggeber vor Beginn der Verarbeitung über die entsprechenden rechtlichen Anforderungen.
2. Der Auftraggeber behält sich ein umfassendes Weisungsrecht über Art, Umfang und Verfahren der Datenverarbeitung vor, das er durch Einzelweisungen konkretisieren kann.
3. Die Weisungen des Auftraggebers werden dokumentiert und in Textform (E-Mail genügt) erteilt. Mündliche Weisungen sind unverzüglich schriftlich zu bestätigen.
4. Änderungen des Verarbeitungsgegenstandes und Verfahrensänderungen sind von der Weisungsbefugnis des Auftraggebers gedeckt und entsprechend zu dokumentieren.
5. Der Auftragnehmer wird den Auftraggeber unverzüglich darauf aufmerksam machen, wenn eine erteilte Weisung seiner Meinung nach gegen gesetzliche Vorschriften verstößt. Er ist berechtigt, die Durchführung der entsprechenden Weisung so lange auszusetzen, bis sie durch den Auftraggeber bestätigt oder geändert wird.

§ 6 Leistungsort

1. Der Auftragnehmer erbringt die vertraglichen Leistungen ausschließlich in Deutschland. Die Plattform Custodio wird auf Servern der Hetzner Online GmbH in Deutschland gehostet.
2. Die KI-Verarbeitung (Ollama) erfolgt self-hosted auf eigener Infrastruktur des Auftragnehmers in Deutschland. Es werden keine externen KI-APIs genutzt (kein OpenAI, kein Google Gemini, kein Anthropic Claude API, keine sonstigen Drittanbieter-KI-Dienste). Die Daten verlassen zu keinem Zeitpunkt die Infrastruktur des Auftragnehmers in Deutschland.
3. Etwaige Unterauftragnehmer erbringen die sie betreffenden Leistungen in der Europäischen Union (EU) oder im Europäischen Wirtschaftsraum (EWR). Für Zahlungsabwicklung (Stripe) gelten die Regelungen in § 9.
4. Der Auftraggeber wird über Änderungen des Leistungsorts mindestens 60 Tage im Voraus schriftlich informiert.

§ 7 Pflichten des Auftragnehmers

1. Der Auftragnehmer darf Daten nur im Rahmen des Auftrages und der Weisungen des Auftraggebers erheben, verarbeiten oder nutzen.
2. Der Auftragnehmer wird in seinem Verantwortungsbereich die innerbetriebliche Organisation so gestalten, dass sie den besonderen Anforderungen des Datenschutzes gerecht wird. Er wird technische und organisatorische Maßnahmen zur angemessenen Sicherung der Daten des Auftraggebers vor Missbrauch und Verlust treffen (siehe Anlage 2 – TOM). Wesentliche Änderungen sind zu dokumentieren und dem Auftraggeber mitzuteilen.
3. Der Auftragnehmer stellt dem Auftraggeber auf dessen Wunsch ein aussagekräftiges und aktuelles Datenschutz- und Sicherheitskonzept für die Plattform zur Verfügung.
4. Der Auftragnehmer führt für die Verarbeitung ein Verzeichnis der Verarbeitungstätigkeiten im Sinne des Art. 30 Abs. 2 DSGVO und stellt es dem Auftraggeber sowie auf Anfrage der Aufsichtsbehörde zur Verfügung.
5. Der Auftragnehmer unterstützt den Auftraggeber bei allen sich aus Art. 32 bis 36 DSGVO ergebenden Verpflichtungen des Verantwortlichen mit allen ihm zur Verfügung stehenden Informationen, einschließlich einer ggf. erforderlichen Vorabkonsultation der zuständigen Aufsichtsbehörde (Art. 36 DSGVO).
6. Vertraulichkeit: Der Auftragnehmer ist verpflichtet, alle im Rahmen des Vertragsverhältnisses erlangten Kenntnisse von Betriebsgeheimnissen und Datensicherheitsmaßnahmen des Auftraggebers vertraulich zu behandeln. Diese Pflicht gilt auch nach Beendigung des Vertrages. Alle Personen des Auftragnehmers sind auf § 53 BDSG und § 203 StGB (soweit anwendbar) zu verpflichten.
7. Meldepflichten: Der Auftragnehmer unterrichtet den Auftraggeber unverzüglich bei Verstößen gegen Vorschriften zum Schutz personenbezogener Daten oder gegen die in diesem AVV getroffenen Festlegungen. Erstmeldung spätestens binnen 24 Stunden nach Kenntniserlangung. Die Meldung enthält mindestens: Art der Verletzung, betroffene Datenkategorien, ungefähre Anzahl Betroffener, Zeitpunkt, voraussichtliche Folgen, ergriffene Sofortmaßnahmen.
8. Datenschutzbeauftragter: Der Auftragnehmer hat einen Datenschutzbeauftragten bestellt. Ein Wechsel des Datenschutzbeauftragten ist dem Auftraggeber unverzüglich schriftlich mitzuteilen. Der Auftragnehmer gewährleistet die Einhaltung der Anforderungen des Art. 38 DSGVO.
9. Schulung: Der Auftragnehmer stellt sicher, dass die zur Verarbeitung befugten Personen zur Vertraulichkeit verpflichtet sind (Art. 29 DSGVO) und regelmäßig – mindestens einmal jährlich – datenschutzrechtlich geschult werden. Schulungsnachweise sind auf Anfrage vorzulegen.
10. Soweit ein Betroffener sich unmittelbar an den Auftragnehmer zwecks Auskunft, Berichtigung oder Löschung seiner Daten wendet, wird der Auftragnehmer dieses Ersuchen unverzüglich, spätestens binnen 3 Werktagen, an den Auftraggeber weiterleiten.
11. Der Auftragnehmer informiert den Auftraggeber unverzüglich über Kontrollen und Maßnahmen durch Aufsichtsbehörden oder falls eine Aufsichtsbehörde beim Auftragnehmer ermittelt.
12. Der Auftragnehmer verwendet die überlassenen Daten für keine anderen Zwecke als die der Vertragserfüllung. Insbesondere werden Kundendaten nicht für KI-Modelltraining verwendet.
13. Die Erfüllung der vorgenannten Pflichten ist vom Auftragnehmer zu kontrollieren, zu dokumentieren und in geeigneter Weise gegenüber dem Auftraggeber auf Anforderung nachzuweisen. Dokumentationen sind mindestens 3 Jahre nach Vertragsende aufzubewahren.

§ 8 Fernzugriff und Wartung

1. Wartungsarbeiten an der Plattform (Updates, Patches, Datenbankwartung) werden vom Auftragnehmer im Rahmen des normalen SaaS-Betriebs durchgeführt. Der Auftragnehmer minimiert dabei den Zugriff auf personenbezogene Daten des Auftraggebers.
2. Fernzugriffe auf individuelle Kundendaten (z. B. bei Support-Anfragen) werden nur mit Zustimmung des Auftraggebers ausgeführt.
3. Alle Wartungs- und Supportzugriffe werden vollständig protokolliert (Zeitstempel, Mitarbeiter-ID, ausgeführte Aktionen, Dauer).
4. Der Auftragnehmer verwendet angemessene Identifizierungs- und Verschlüsselungsverfahren (mindestens TLS 1.2, bevorzugt TLS 1.3, SSH mit Key-Authentifizierung).
5. Geplante Wartungsfenster werden dem Auftraggeber mindestens 5 Werktage im Voraus angekündigt (Sicherheits-Patches ausgenommen).
6. Die Wartungsprotokolle werden dem Auftraggeber auf Anfrage binnen 48 Stunden bereitgestellt.

§ 9 Datenübermittlung in Drittländer (Art. 44–49 DSGVO)

1. Kerninfrastruktur: Die gesamte Kerninfrastruktur der Plattform (Anwendungsserver, Datenbank, Dateispeicher, KI-Modelle) befindet sich ausschließlich in Deutschland (Hetzner Online GmbH, Rechenzentren in Deutschland).
2. KI-Verarbeitung: Die KI-Analyse erfolgt über self-hosted Ollama auf eigener Infrastruktur in Deutschland. Es findet keine Übermittlung personenbezogener Daten an OpenAI, Google, Anthropic oder sonstige externe KI-Anbieter statt.
3. Zahlungsabwicklung: Für die Zahlungsabwicklung wird Stripe, Inc. (USA) eingesetzt. Die Übermittlung erfolgt auf Grundlage von EU-Standardvertragsklauseln (SCC) gem. Art. 46 Abs. 2 lit. c DSGVO. An Stripe werden ausschließlich Zahlungsdaten (Name, E-Mail, Rechnungsadresse, Zahlungsmittel) übermittelt – keine Compliance-Daten, keine Gesundheitsdaten.
4. E-Mail-Versand: Für transaktionale E-Mails kann ein SMTP-Provider eingesetzt werden. Soweit dieser außerhalb der EU/des EWR betrieben wird, gelten SCC und ergänzende Schutzmaßnahmen (TLS-Verschlüsselung, Datenminimierung). E-Mail-Inhalte enthalten keine Compliance- oder Gesundheitsdaten.
5. Der Auftragnehmer stellt sicher, dass ein dem EU-Datenschutzniveau gleichwertiges Schutzniveau gewährleistet wird. Er informiert den Auftraggeber unverzüglich über wesentliche Änderungen (z. B. Entscheidungen ausländischer Behörden). In diesem Fall hat der Auftraggeber das Recht, die Datenverarbeitung zu suspendieren.

§ 10 Pflichten des Auftraggebers

1. Für die Beurteilung der Zulässigkeit der Datenverarbeitung sowie für die Wahrung der Rechte der Betroffenen ist allein der Auftraggeber verantwortlich.
2. Der Auftraggeber hat den Auftragnehmer unverzüglich und vollständig zu informieren, wenn er bei der Nutzung der Plattform Fehler oder Unregelmäßigkeiten bezüglich datenschutzrechtlicher Bestimmungen feststellt.
3. Der Auftraggeber ist hinsichtlich der in die Plattform eingegebenen Daten datenschutzrechtlich verantwortlich und hat die Pflicht zur Führung eines Verzeichnisses von Verarbeitungstätigkeiten gemäß Art. 30 Abs. 1 DSGVO.
4. Dem Auftraggeber obliegen die aus Art. 33, 34 DSGVO resultierenden Informationspflichten gegenüber der Aufsichtsbehörde bzw. den von einer Verletzung betroffenen Personen.
5. Der Auftraggeber ist verpflichtet, alle im Rahmen des Vertragsverhältnisses erlangten Kenntnisse von Betriebsgeheimnissen und Datensicherheitsmaßnahmen des Auftragnehmers vertraulich zu behandeln.
6. Der Auftraggeber stellt sicher, dass er über eine gültige Rechtsgrundlage (Art. 6, ggf. Art. 9 DSGVO) für die in die Plattform eingegebenen personenbezogenen Daten verfügt.
7. Der Auftraggeber ist für die Sicherheit seiner Zugangsdaten (Passwörter, MFA-Token) zur Plattform verantwortlich und stellt sicher, dass nur autorisierte Personen Zugang erhalten.

§ 11 Kontrollrechte des Auftraggebers

1. Der Auftraggeber hat das Recht, im Benehmen mit dem Auftragnehmer Überprüfungen durchzuführen oder durch im Einzelfall zu benennende Prüfer durchführen zu lassen. Hierfür kann er insbesondere heranziehen: datenschutzspezifische Zertifizierungen (z. B. ISO 27001), schriftliche Selbstauskünfte des Auftragnehmers, Testate eines Sachverständigen oder Vor-Ort-Überprüfungen nach rechtzeitiger Anmeldung zu den üblichen Geschäftszeiten.
2. Überprüfungen sind in der Regel mindestens 14 Tage vorher anzumelden, sofern nicht eine Kontrolle ohne vorherige Anmeldung erforderlich erscheint.
3. Der Auftragnehmer verpflichtet sich, dem Auftraggeber auf schriftliche Anforderung innerhalb von 10 Werktagen alle Auskünfte zu geben, die zur Durchführung einer Kontrolle erforderlich sind.
4. Der Auftraggeber hat den Auftragnehmer unverzüglich und vollständig zu informieren, wenn er bei der Prüfung Fehler oder Unregelmäßigkeiten bezüglich datenschutzrechtlicher Bestimmungen feststellt.
5. Der Auftragnehmer stellt dem Auftraggeber jährlich einen zusammenfassenden Bericht über die getroffenen technischen und organisatorischen Maßnahmen (TOM-Report) zur Verfügung.

§ 12 Löschung und Rückgabe von Daten

1. Während der laufenden Beauftragung berichtigt, löscht oder sperrt der Auftragnehmer die vertragsgegenständlichen Daten nur auf Anweisung des Auftraggebers.
2. Der Auftraggeber kann jederzeit über die Plattform einen vollständigen Datenexport seiner Daten in maschinenlesbarem Format (JSON, CSV, PDF) durchführen.
3. Nach Beendigung des Hauptvertrages hat der Auftraggeber eine Frist von 30 Tagen, um sämtliche Daten zu exportieren. Der Auftragnehmer unterstützt bei Bedarf beim Export.
4. Nach Ablauf der 30-Tage-Exportfrist werden sämtliche personenbezogenen Daten des Auftraggebers unwiderruflich gelöscht, einschließlich aller Sicherungskopien und Replikate. Das Löschprotokoll wird dem Auftraggeber auf Anforderung vorgelegt.
5. Gesetzliche Aufbewahrungspflichten bleiben unberührt (z. B. § 147 AO, § 257 HGB). Der Auftragnehmer informiert den Auftraggeber über alle anwendbaren Aufbewahrungsfristen.
6. Dokumentationen, die dem Nachweis der auftrags- und ordnungsgemäßen Datenverarbeitung dienen, sind durch den Auftragnehmer über das Vertragsende hinaus mindestens 3 Jahre aufzubewahren.

§ 13 Unterauftragnehmer

1. Der Auftragnehmer setzt die in Anlage 1 aufgeführten Unterauftragnehmer ein. Der Auftraggeber stimmt der Nutzung dieser Unterauftragnehmer mit Abschluss dieses AVV zu (Allgemeingenehmigung gemäß Art. 28 Abs. 2 DSGVO).
2. Der Auftragnehmer informiert den Auftraggeber über jede beabsichtigte Änderung (Hinzuziehung oder Austausch von Unterauftragnehmern) mit einer Vorankündigungsfrist von mindestens 30 Tagen. Der Auftraggeber hat das Recht, die beabsichtigte Änderung innerhalb dieser Frist zu beanstanden.
3. Der Auftragnehmer muss Unterauftragnehmer unter besonderer Berücksichtigung der Eignung hinsichtlich der Erfüllung der vereinbarten technischen und organisatorischen Maßnahmen gewissenhaft auswählen.
4. Ist der Auftragnehmer befugt, Unterauftragnehmer in Anspruch zu nehmen, werden diesem im Wege eines Vertrages dieselben Pflichten auferlegt, die in dieser Vereinbarung festgelegt sind, insbesondere hinsichtlich Vertraulichkeit, Datenschutz und Datensicherheit (Art. 28 Abs. 4 DSGVO).
5. Kommt der Unterauftragnehmer seinen Datenschutzpflichten nicht nach, so haftet der Auftragnehmer gegenüber dem Auftraggeber für die Einhaltung der Pflichten jenes Unterauftragnehmers.
6. Durch schriftliche Aufforderung ist der Auftraggeber berechtigt, vom Auftragnehmer Auskunft über die datenschutzrelevanten Verpflichtungen des Unterauftragnehmers zu erhalten, erforderlichenfalls auch durch Einsicht in die relevanten Vertragsunterlagen.

§ 14 Haftung

1. Auftraggeber und Auftragnehmer haften für den Schaden, der durch eine nicht der DSGVO entsprechende Verarbeitung verursacht wird, gemeinsam im Außenverhältnis gegenüber der jeweiligen betroffenen Person (Art. 82 Abs. 2 DSGVO).
2. Der Auftragnehmer haftet ausschließlich für Schäden, die auf einer von ihm durchgeführten Verarbeitung beruhen, bei der er den aus der DSGVO resultierenden und speziell für Auftragsverarbeiter auferlegten Pflichten nicht nachgekommen ist oder er unter Nichtbeachtung der rechtmäßig erteilten Anweisungen des Auftraggebers gehandelt hat.
3. Soweit der Auftraggeber zum Schadensersatz gegenüber dem Betroffenen verpflichtet ist, bleibt ihm der Rückgriff auf den Auftragnehmer vorbehalten (Art. 82 Abs. 5 DSGVO).
4. Im Innenverhältnis zwischen Auftraggeber und Auftragnehmer haftet der Auftragnehmer für den durch eine Verarbeitung verursachten Schaden nur, wenn er seinen ihm speziell durch die DSGVO auferlegten Pflichten nicht nachgekommen ist oder gegen die rechtmäßig erteilten Anweisungen des Auftraggebers gehandelt hat.
5. Weitergehende Haftungsansprüche nach den allgemeinen Gesetzen bleiben unberührt.

§ 15 Schlussbestimmungen

1. Schriftformklausel: Änderungen und Ergänzungen dieser Vereinbarung und aller ihrer Bestandteile bedürfen einer schriftlichen Vereinbarung. Das Schriftformerfordernis gilt auch für den Verzicht auf dieses Formerfordernis. E-Mail genügt der Schriftform.
2. Salvatorische Klausel: Sollten sich einzelne Bestimmungen dieser Vereinbarung ganz oder teilweise als unwirksam oder undurchführbar erweisen, bleiben die übrigen Vertragsbestimmungen und die Wirksamkeit des Vertrages im Ganzen hiervon unberührt. An die Stelle der unwirksamen Bestimmung soll die wirksame und durchführbare Bestimmung treten, die dem Sinn und Zweck der nichtigen Bestimmung möglichst nahekommt und dabei den Schutz der personenbezogenen Daten im Sinne dieses Vertrages am besten gewährleistet.
3. Rechtswahl: Es gilt deutsches Recht unter Ausschluss des UN-Kaufrechts (CISG).
4. Gerichtsstand: Gerichtsstand ist Berlin, sofern gesetzlich zulässig.
5. Vorrang: Im Falle von Widersprüchen zwischen diesem AVV und dem Hauptvertrag hat dieser AVV in datenschutzrechtlichen Fragen Vorrang.
6. Ausfertigungen: Dieser Vertrag wird in zwei Ausfertigungen unterzeichnet; jede Partei erhält ein Original. Eine elektronische Unterzeichnung ist zulässig.

Auftragsverarbeitungsvertrag (AVV) – Custodio | NordPrax GmbH, Rudower Chaussee 29, 12489 Berlin | HRB 239739 B (AG Charlottenburg) | info@custodio-compliance.de | Version 1.0, Stand: Mai 2026 | Dieser Vertrag ist Bestandteil der Nutzungsvereinbarung für die Plattform Custodio.