DATENVERARBEITUNGSVEREINBARUNG

Zuletzt aktualisiert: 20. April 2026

Diese Datenverarbeitungsvereinbarung („DPA“) ist Teil der Nutzungsbedingungen von LedgerPort („Bedingungen“) zwischen der im Rahmen der LedgerPort-Kontoerstellung identifizierten juristischen Person („Kunde“, „Auftraggeber“, „Sie“ oder „Ihnen“) und PushEngage LLC, einer Gesellschaft mit beschränkter Haftung nach dem Recht Floridas, die unter dem Namen LedgerPort firmiert und ihren Sitz in 400 Executive Center Dr, Ste 208, West Palm Beach, Florida 33401 hat („LedgerPort“, „Auftragsverarbeiter“, „wir“, „unser“ oder „uns“).

Diese DPA gilt für die Verarbeitung personenbezogener Daten durch LedgerPort im Auftrag des Kunden im Zusammenhang mit der Bereitstellung der LedgerPort-Datensynchronisierungsdienste („Dienste“). Im Falle eines Konflikts zwischen dieser DPA und den Bedingungen hat diese DPA in Bezug auf die Verarbeitung personenbezogener Daten Vorrang.

Durch die Abonnierung und Nutzung der Dienste schließt der Kunde diese DPA im eigenen Namen und, soweit nach geltenden Datenschutzgesetzen erforderlich, im Namen seiner Endkunden und anderer betroffener Personen, deren personenbezogene Daten über die Dienste verarbeitet werden, ab.

1. Definitionen

„Datenschutzgesetze“ bezeichnet alle geltenden Gesetze und Vorschriften in Bezug auf die Verarbeitung personenbezogener Daten, einschließlich, soweit anwendbar: (a) des California Consumer Privacy Act von 2018, geändert durch den California Privacy Rights Act von 2020 (zusammenfassend „CCPA“); (b) der EU-Datenschutz-Grundverordnung 2016/679 („DSGVO“); (c) der britischen Datenschutz-Grundverordnung und des Data Protection Act 2018 („UK GDPR“); und (d) anderer geltender Datenschutzgesetze.

„Personenbezogene Daten“ bezeichnet alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen und von LedgerPort im Auftrag des Kunden im Zusammenhang mit den Diensten verarbeitet werden. Dies schließt „personenbezogene Informationen“ gemäß der Definition des CCPA und „personenbezogene Daten“ gemäß der Definition der DSGVO und der UK GDPR ein.

„Verarbeitung“ bezeichnet jeden Vorgang oder jede Reihe von Vorgängen, die mit personenbezogenen Daten durchgeführt werden, einschließlich Erhebung, Aufzeichnung, Organisation, Strukturierung, Speicherung, Anpassung, Veränderung, Abrufung, Abfrage, Nutzung, Offenlegung durch Übermittlung, Verbreitung, Abgleich, Kombination, Einschränkung, Löschung oder Vernichtung.

„Sicherheitsvorfall“ bezeichnet jede versehentliche oder unrechtmäßige Zerstörung, Verlust, Veränderung, unbefugte Offenlegung oder unbefugter Zugriff auf personenbezogene Daten, die von LedgerPort im Zusammenhang mit den Diensten übermittelt, gespeichert oder anderweitig verarbeitet werden.

„Auftragsverarbeiter“ bezeichnet jeden Dritten, den LedgerPort beauftragt, personenbezogene Daten im Auftrag des Kunden im Zusammenhang mit den Diensten zu verarbeiten.

„Standardvertragsklauseln“ oder „SCCs“ bezeichnet die von der Europäischen Kommission angenommenen Standardvertragsklauseln für die Übermittlung personenbezogener Daten in Drittländer, die von Zeit zu Zeit geändert, ersetzt oder neu gefasst werden können.

2. Rollen und Umfang der Verarbeitung

2.1 Rollen

Der Kunde ist der Controller (oder „Unternehmen“ gemäß CCPA) der personenbezogenen Daten, die über die Dienste verarbeitet werden. LedgerPort ist der Auftragsverarbeiter (oder „Dienstleister“ gemäß CCPA), der personenbezogene Daten ausschließlich im Namen und gemäß den dokumentierten Anweisungen des Kunden verarbeitet.

2.2 Umfang der Verarbeitung

Die Einzelheiten der Verarbeitung sind wie folgt:

Gegenstand: Synchronisierung von E-Commerce- und Finanzdaten zwischen den verbundenen Drittanbieterplattformen des Kunden (z. B. Shopify, QuickBooks Online, Xero, WooCommerce, Magento, Amazon) über die LedgerPort-Dienste.

Dauer: Für die Laufzeit des Abonnements des Kunden für die Dienste, zuzüglich dreißig (30) Kalendertage für die Datenlöschung nach Beendigung, vorbehaltlich etwaiger gesetzlicher oder behördlicher Aufbewahrungspflichten.

Art und Zweck: Automatisierte Datensynchronisierung, -transformation, -zuordnung und -übertragung von E-Commerce- und Finanzdaten zwischen den verbundenen Plattformen des Kunden, wie vom Kunden über die Dienste konfiguriert.

Arten der verarbeiteten personenbezogenen Daten:

Namen (von Endkunden, Kontakten und Account-Benutzern des Kunden)
E-Mail-Adressen
Telefonnummern
Physische Adressen (Rechnungs- und Lieferadresse)
Bestell- und Transaktionsdetails (Bestell-IDs, Beträge, Daten, Einzelposten)
Zahlungsinformationen (Zahlungsmethoden, Gateway-Referenzen – keine vollständigen Kartennummern)
Produktkaufhistorie
Account-Anmeldeinformationen (Benutzernamen, gehashte Passwörter, OAuth-Token)

Kategorien von betroffenen Personen:

Die Endkunden des Kunden (Personen, deren Bestellungen, Kontaktinformationen und Transaktionsdaten synchronisiert werden)
Die Mitarbeiter und autorisierten Benutzer des Kunden, die auf die Dienste zugreifen
Die Geschäftskontakte des Kunden, die auf verbundenen Buchhaltungsplattformen gespeichert sind

3. Pflichten des Kunden

3.1. Der Kunde sichert zu, dass: (a) er eine rechtmäßige Grundlage gemäß den geltenden Datenschutzgesetzen für die Erhebung und Verarbeitung von personenbezogenen Daten hat, die er über die Dienste bereitstellt oder zugänglich macht; (b) er alle erforderlichen Mitteilungen gemacht und alle notwendigen Einwilligungen oder Genehmigungen von den betroffenen Personen eingeholt hat, deren personenbezogene Daten über die Dienste verarbeitet werden; und (c) seine Anweisungen an LedgerPort bezüglich der Verarbeitung personenbezogener Daten allen geltenden Datenschutzgesetzen entsprechen.

3.2. Der Kunde ist allein verantwortlich für die Richtigkeit, Qualität und Rechtmäßigkeit der über die Dienste bereitgestellten oder verarbeiteten personenbezogenen Daten sowie für die Art und Weise, wie der Kunde diese Daten erworben hat.

3.3. Der Kunde wird LedgerPort unverzüglich benachrichtigen, wenn er Umstände feststellt, die die Fähigkeit von LedgerPort beeinträchtigen könnten, seinen Verpflichtungen gemäß dieser DPA nachzukommen.

4. Verpflichtungen von LedgerPort

4.1. Verarbeitungshinweise. LedgerPort verarbeitet personenbezogene Daten nur im Auftrag und gemäß den dokumentierten Anweisungen des Kunden. Die Anweisungen des Kunden sind dokumentiert in: (a) dieser DPA; (b) den Nutzungsbedingungen; und (c) den Konfigurationseinstellungen für die Synchronisierung des Kunden innerhalb der Dienste. LedgerPort wird den Kunden unverzüglich informieren, wenn es der Meinung ist, dass eine Anweisung gegen geltende Datenschutzgesetze verstößt.

4.2. Vertraulichkeit. LedgerPort stellt sicher, dass alle zur Verarbeitung personenbezogener Daten befugten Mitarbeiter sich zur Vertraulichkeit verpflichtet haben oder einer entsprechenden gesetzlichen Vertraulichkeitspflicht unterliegen.

4.3. Sicherheit. LedgerPort implementiert und unterhält geeignete technische und organisatorische Maßnahmen zum Schutz personenbezogener Daten vor unbefugter oder rechtswidriger Verarbeitung, versehentlichem Verlust, Zerstörung oder Beschädigung. Diese Maßnahmen umfassen, sind aber nicht beschränkt auf:

Verschlüsselung personenbezogener Daten während der Übertragung mittels TLS/SSL-Protokollen
Verschlüsselung gespeicherter OAuth-Token, Anmeldeinformationen und anderer sensibler Daten im Ruhezustand
Rollenbasierte Zugriffskontrollen, die den Zugriff auf personenbezogene Daten auf autorisiertes Personal nach dem Need-to-know-Prinzip beschränken
Regelmäßige Sicherheitsbewertungen, Schwachstellenscans und Penetrationstests
Sicheres Hosting auf der Google Cloud Platform mit Enterprise-Infrastruktur, Netzwerktrennung und Firewall-Schutz
Automatisierte Überwachung und Alarmierung bei verdächtigen Aktivitäten und unbefugten Zugriffsversuchen
Sichere Praktiken im Softwareentwicklungszyklus, einschließlich Code-Reviews und Abhängigkeitsmanagement
Schulungen für Mitarbeiter zur Sicherheitssensibilisierung

4.4. CCPA-Konformität. Soweit LedgerPort personenbezogene Daten im Geltungsbereich des CCPA im Auftrag des Kunden verarbeitet, wird LedgerPort: (a) die personenbezogenen Daten nicht verkaufen oder weitergeben (wie im CCPA definiert); (b) die personenbezogenen Daten nicht für andere Zwecke als die in den Nutzungsbedingungen und dieser DPA festgelegten Geschäftszwecke oder wie anderweitig durch das CCPA gestattet, aufbewahren, verwenden oder offenlegen; (c) die personenbezogenen Daten nicht außerhalb der direkten Geschäftsbeziehung zwischen LedgerPort und dem Kunden aufbewahren, verwenden oder offenlegen; und (d) bescheinigt, dass es die in diesem Abschnitt 4.4 dargelegten Beschränkungen versteht und einhalten wird.

4.5. Unterstützung bei Betroffenenrechten. LedgerPort unterstützt den Kunden unter Berücksichtigung der Art der Verarbeitung und soweit möglich durch geeignete technische und organisatorische Maßnahmen bei der Erfüllung der Verpflichtung des Kunden, auf Anfragen von Betroffenen, die ihre Rechte nach geltenden Datenschutzgesetzen ausüben (einschließlich der Rechte auf Auskunft, Berichtigung, Löschung, Datenübertragbarkeit, Einschränkung und Widerspruch), zu antworten. Wenn LedgerPort eine Anfrage direkt von einem Betroffenen erhält, leitet LedgerPort den Betroffenen unverzüglich an den Kunden weiter und benachrichtigt den Kunden über die Anfrage.

4.6. Unterstützung bei der Einhaltung von Vorschriften. LedgerPort unterstützt den Kunden bei der Einhaltung seiner Verpflichtungen gemäß den geltenden Datenschutzgesetzen in Bezug auf: (a) die Sicherheit der Verarbeitung; (b) die Meldung von Sicherheitsvorfällen; (c) Datenschutz-Folgenabschätzungen (sofern erforderlich); und (d) die vorherige Konsultation mit Aufsichtsbehörden (sofern erforderlich). Diese Unterstützung wird unter Berücksichtigung der Art der Verarbeitung und der LedgerPort zur Verfügung stehenden Informationen geleistet.

4.7. Datenlöschung. Nach Beendigung oder Ablauf des Abonnements des Kunden löscht LedgerPort nach Wahl des Kunden alle im Auftrag des Kunden verarbeiteten personenbezogenen Daten innerhalb von dreißig (30) Kalendertagen oder gibt diese zurück und löscht vorhandene Kopien, es sei denn, geltendes Recht schreibt eine weitere Speicherung vor. Der Kunde erkennt an, dass LedgerPort nach Ablauf der dreißigtägigen Löschfrist keine Verpflichtung hat, personenbezogene Daten aufzubewahren oder bereitzustellen.

5. Meldung von Sicherheitsvorfällen

5.1. Meldung. LedgerPort meldet dem Kunden jeden Sicherheitsvorfall unverzüglich, nachdem es von einem solchen Vorfall Kenntnis erlangt hat. Soweit möglich, erfolgt die Meldung innerhalb von zweiundsiebzig (72) Stunden, nachdem LedgerPort von dem Sicherheitsvorfall Kenntnis erlangt hat.

5.2. Inhalt der Meldung. Die Meldung enthält, soweit vernünftigerweise verfügbar:

Eine Beschreibung der Art des Sicherheitsvorfalls, einschließlich der Kategorien und der ungefähren Anzahl der betroffenen Personen und der betroffenen Datensätze mit personenbezogenen Daten
Name und Kontaktdaten des Ansprechpartners bei LedgerPort für weitere Informationen
Eine Beschreibung der wahrscheinlichen Folgen des Sicherheitsvorfalls
Eine Beschreibung der ergriffenen oder vorgeschlagenen Maßnahmen zur Behebung des Sicherheitsvorfalls, einschließlich Maßnahmen zur Minderung seiner möglichen nachteiligen Auswirkungen

5.3. Zusammenarbeit. LedgerPort arbeitet mit dem Kunden zusammen und ergreift wirtschaftlich angemessene Schritte, um bei der Untersuchung, Minderung und Behebung jedes Sicherheitsvorfalls zu helfen. LedgerPort unterstützt den Kunden auch bei der Einhaltung von Meldepflichten bei Verstößen gemäß den geltenden Datenschutzgesetzen, einschließlich der kalifornischen Meldepflichten gemäß Cal. Civ. Code § 1798.82.

5.4. Einschränkungen. Die Verpflichtung von LedgerPort, einen Sicherheitsvorfall gemäß diesem Abschnitt 5 zu melden oder darauf zu reagieren, stellt keine Anerkennung von Schuld oder Haftung von LedgerPort in Bezug auf den Sicherheitsvorfall dar und wird auch nicht als solche ausgelegt.

6. Unterauftragnehmer

6.1. Autorisierte Unterauftragnehmer. Der Kunde erteilt LedgerPort eine allgemeine schriftliche Genehmigung, Unterauftragnehmer mit der Verarbeitung von personenbezogenen Daten im Auftrag des Kunden zu beauftragen. Die aktuelle Liste der autorisierten Unterauftragnehmer ist in Anlage 1 (Liste der Unterauftragnehmer) unten aufgeführt und wird auch unter www.ledgerport.com/sub-processors gepflegt.

6.2. Verpflichtungen von Unterauftragsverarbeitern. LedgerPort wird: (a) eine schriftliche Vereinbarung mit jedem Unterauftragsverarbeiter abschließen, die Datenschutzverpflichtungen auferlegt, die nicht weniger schützend sind als die in dieser DPA dargelegten; (b) gegenüber dem Kunden für die Erfüllung der Verpflichtungen jedes Unterauftragsverarbeiters voll haftbar bleiben; und (c) sicherstellen, dass jeder Unterauftragsverarbeiter ausreichende Garantien für die Implementierung geeigneter technischer und organisatorischer Maßnahmen bietet.

6.3. Änderungen von Unterauftragsverarbeitern. LedgerPort wird den Kunden mindestens dreißig (30) Tage vor der Beauftragung eines neuen Unterauftragsverarbeiters oder dem Austausch eines bestehenden Unterauftragsverarbeiters per E-Mail benachrichtigen. Die Benachrichtigung muss den neuen Unterauftragsverarbeiter identifizieren, seine Verarbeitungsaktivitäten beschreiben und seinen Standort angeben. Wenn der Kunde aus berechtigten Gründen im Zusammenhang mit dem Datenschutz gegen einen neuen Unterauftragsverarbeiter Einwände erhebt, wird der Kunde LedgerPort schriftlich innerhalb von fünfzehn (15) Tagen nach Erhalt der Benachrichtigung benachrichtigen. Die Parteien werden in gutem Glauben zusammenarbeiten, um eine für beide Seiten akzeptable Lösung zu finden. Wenn innerhalb von dreißig (30) Tagen nach dem Einwand des Kunden keine Lösung gefunden werden kann, kann der Kunde die betroffenen Dienste ohne Strafe kündigen, indem er LedgerPort schriftlich benachrichtigt.

7. Internationale Datentransfers

7.1. Die Dienste werden auf Infrastruktur in den Vereinigten Staaten gehostet. Personenbezogene Daten, die über die Dienste verarbeitet werden, werden in den Vereinigten Staaten gespeichert und verarbeitet.

7.2. Soweit die Verarbeitung personenbezogener Daten eine Übermittlung personenbezogener Daten aus dem Europäischen Wirtschaftsraum („EWR“), dem Vereinigten Königreich oder der Schweiz in ein Land beinhaltet, das nicht als angemessenes Datenschutzniveau anerkannt wurde, vereinbaren die Parteien, dass solche Übermittlungen den von der Europäischen Kommission angenommenen Standardvertragsklauseln (Beschluss (EU) 2021/914 der Kommission) unterliegen, die hiermit durch Verweis in diese DPA aufgenommen werden. Für Übermittlungen aus dem Vereinigten Königreich gilt das International Data Transfer Addendum zu den EU-Standardvertragsklauseln, das vom UK Information Commissioner’s Office herausgegeben wurde.

7.3. LedgerPort wird geeignete ergänzende Maßnahmen implementieren, um sicherzustellen, dass das Schutzniveau personenbezogener Daten durch die Übermittlung nicht untergraben wird, unter Berücksichtigung der Gesetze und Praktiken des Ziellandes.

Hinweis: LedgerPort konzentriert sich derzeit auf den US-Markt. Wenn die Dienste auf Kunden im EWR und im Vereinigten Königreich ausgeweitet werden, wird LedgerPort die geltenden Standardvertragsklauseln ausführen und sie unter www.ledgerport.com/legal zur Mitunterzeichnung durch den Kunden verfügbar machen.

8. Prüfungsrechte

8.1. LedgerPort stellt dem Kunden auf Anfrage alle Informationen zur Verfügung, die vernünftigerweise erforderlich sind, um die Einhaltung dieser DPA und der geltenden Datenschutzgesetze nachzuweisen.

8.2. Der Kunde (oder ein vom Kunden beauftragter qualifizierter, unabhängiger Dritter) kann eine Prüfung der Verarbeitungstätigkeiten und Sicherheitsmaßnahmen von LedgerPort durchführen, vorbehaltlich der folgenden Bedingungen:

Der Kunde muss mindestens dreißig (30) Tage im Voraus schriftlich eine Prüfung ankündigen.
Prüfungen finden während der normalen Geschäftszeiten statt, nicht öfter als einmal pro zwölf (12) Monate, es sei denn, ein Sicherheitsvorfall oder eine behördliche Anforderung erfordert eine zusätzliche Prüfung.
Der Kunde stellt sicher, dass der Prüfer vor Beginn der Prüfung eine Vertraulichkeitsvereinbarung unterzeichnet, die für LedgerPort akzeptabel ist.
Prüfungen werden so durchgeführt, dass die Geschäftsabläufe von LedgerPort so wenig wie möglich gestört werden.
Der Kunde trägt die Kosten für jede Prüfung, es sei denn, die Prüfung deckt eine wesentliche Verletzung dieser DPA durch LedgerPort auf.

8.3. Als Alternative zu einer Vor-Ort-Prüfung kann LedgerPort nach eigenem Ermessen dem Kunden Folgendes zur Verfügung stellen: (a) eine Kopie eines einschlägigen SOC 2 Typ II-Berichts, einer ISO 27001-Zertifizierung oder eines gleichwertigen Drittanbieter-Prüfberichts; oder (b) schriftliche Antworten auf die angemessenen Prüfungsfragen des Kunden. Wenn solche Dokumente vorgelegt werden und die Prüfungsanforderungen des Kunden angemessen erfüllen, stimmt der Kunde zu, dass dies das Prüfungsrecht für den betreffenden Zeitraum erfüllt.

9. Haftung

9.1. Die gesamte aggregierte Haftung jeder Partei, die sich aus dieser DPA ergibt oder damit zusammenhängt, unterliegt den in den Bedingungen festgelegten Haftungsbeschränkungen.

9.2. Nichts in dieser DPA beschränkt die Haftung einer Partei für: (a) Betrug oder arglistige Täuschung; (b) Tod oder Körperverletzung durch Fahrlässigkeit; oder (c) jegliche Haftung, die nach geltendem Recht nicht ausgeschlossen oder beschränkt werden kann.

10. Laufzeit und Kündigung

10.1. Diese DPA tritt am Datum des ersten Abonnements der Dienste durch den Kunden in Kraft und bleibt für die Dauer der Verarbeitung personenbezogener Daten durch LedgerPort im Auftrag des Kunden gültig.

10.2. Nach Beendigung der Bedingungen erfüllt LedgerPort die in Abschnitt 4.7 dieser DPA festgelegten Datenlöschungsverpflichtungen.

10.3. Die Abschnitte 1 (Definitionen), 4.7 (Datenlöschung), 5 (Meldung von Sicherheitsvorfällen), 8 (Prüfungsrechte), 9 (Haftung) und dieser Abschnitt 10.3 bleiben nach Beendigung dieser DPA bestehen.

11. Allgemeine Bestimmungen

11.1. Anwendbares Recht. Diese DPA unterliegt dem Recht des Staates Florida, unter Ausschluss der Kollisionsnormen, es sei denn, geltende Datenschutzgesetze schreiben die Anwendung eines anderen anwendbaren Rechts für bestimmte Bestimmungen vor (wie die Standardvertragsklauseln, die dem Recht des EU-Mitgliedstaates unterliegen, in dem der Controller niedergelassen ist).

11.2. Änderungen. LedgerPort kann diese DPA von Zeit zu Zeit aktualisieren, um Änderungen seiner Datenverarbeitungspraktiken, Sub-Prozessoren oder geltenden Datenschutzgesetze widerzuspiegeln. LedgerPort benachrichtigt den Kunden mindestens dreißig (30) Tage vor Inkrafttreten wesentlicher Änderungen. Die fortgesetzte Nutzung der Dienste nach einer solchen Benachrichtigung stellt die Annahme der aktualisierten DPA dar.

11.3. Salvatorische Klausel. Sollte eine Bestimmung dieser DPA für ungültig oder nicht durchsetzbar befunden werden, bleiben die übrigen Bestimmungen in vollem Umfang in Kraft und wirksam.

11.4. Vollständige DPA. Diese DPA stellt zusammen mit den Nutzungsbedingungen und der Datenschutzrichtlinie die vollständige Vereinbarung zwischen den Parteien in Bezug auf die Verarbeitung personenbezogener Daten im Zusammenhang mit den Diensten dar.

11.5. Kontakt. Bei Fragen oder Bedenken bezüglich dieser DPA oder der Datenverarbeitungspraktiken von LedgerPort wenden Sie sich bitte an:

LedgerPort (betrieben von PushEngage LLC) — Datenschutz
400 Executive Center Dr, Ste 208
West Palm Beach, Florida 33401
E-Mail: [email protected]

Anhang 1: Autorisierte Unterauftragnehmer

Gültig ab dem 20. April 2026. Die aktuelle Liste der Unterauftragnehmer wird auch unter www.ledgerport.com/sub-processors gepflegt.

Unterauftragnehmer	Zweck	Standort	Verarbeitete Daten
Google Cloud Platform (Google LLC)	Hosting von Cloud-Infrastruktur, Hosting von Datenbanken, Datenverarbeitung und -speicherung	Vereinigte Staaten	Alle über die Dienste verarbeiteten personenbezogenen Daten
Stripe, Inc.	Zahlungsabwicklung per Kredit-/Debitkarte für Direktabonnements	Vereinigte Staaten	Kundenname, E-Mail, Rechnungsadresse, Zahlungskartendetails (tokenisiert)
Shopify Inc.	Abrechnung von Apps für in Shopify installierte Abonnements; Integration der E-Commerce-Plattform	Kanada / Vereinigte Staaten	Kundenname, E-Mail, Shopify-Konto-ID, Rechnungsdaten; E-Commerce-Daten gemäß Konfiguration
Intuit Inc. (QuickBooks Online)	Integration der Buchhaltungsplattform	Vereinigte Staaten	Buchhaltungsdaten und Kundendatensätze gemäß Konfiguration durch den Kunden
Xero Limited	Integration der Buchhaltungsplattform (geplant)	Neuseeland / Global	Buchhaltungsdaten und Kundendatensätze gemäß Konfiguration durch den Kunden
Lindris	Zustellung von Transaktions- und Marketing-E-Mails	Vereinigte Staaten	Kundenname, E-Mail-Adresse, E-Mail-Inhalt
FreeScout (selbst gehostet)	Verwaltung von Kundensupport-Tickets	Vereinigte Staaten (gehostet auf LedgerPort-Infrastruktur)	Kundenname, E-Mail-Adresse, Inhalt von Support-Tickets
Google LLC (Analytics)	Website- und Produktnutzungsanalysen	Vereinigte Staaten	IP-Adresse (anonymisiert), Geräteinformationen, Surfverhalten, Nutzungsdaten
Meta Platforms, Inc.	Messung von Marketingkampagnen und Werbung	Vereinigte Staaten	IP-Adresse, Geräteinformationen, Surfverhalten (über Pixel)

Diese Liste der Unterauftragsverarbeiter kann gemäß Abschnitt 6.3 dieser DPA geändert werden. Kunden werden mindestens dreißig (30) Tage vor der Beauftragung eines neuen Unterauftragsverarbeiters benachrichtigt.

Anhang 2: Technische und organisatorische Maßnahmen

LedgerPort implementiert die folgenden technischen und organisatorischen Maßnahmen zum Schutz der über die Dienste verarbeiteten personenbezogenen Daten:

Zugriffskontrolle

Multi-Faktor-Authentifizierung für den administrativen Zugriff auf LedgerPort
Rollenbasierte Zugriffskontrollen (RBAC) für alle internen Systeme
Prinzip der geringsten Rechte (Least Privilege) angewendet auf alle Personal- und Dienstkonten
Eindeutige Benutzeranmeldeinformationen für alle Mitarbeiter; gemeinsame Konten sind verboten
Automatisierte Bereitstellung und Entziehung von Zugriffen bei Einstellung und Ausscheiden von Mitarbeitern

Verschlüsselung

TLS 1.2 oder höher für alle Daten während der Übertragung
AES-256-Verschlüsselung für OAuth-Token und sensible Anmeldeinformationen im Ruhezustand
Standardverschlüsselung im Ruhezustand der Google Cloud Platform für alle gespeicherten Daten
Verschlüsselte Datenbank-Backups

Netzwerksicherheit

Web Application Firewall (WAF) zum Schutz öffentlich zugänglicher Endpunkte
Netzwerksegmentierung und -isolierung zwischen Produktions-, Staging- und Entwicklungsumgebungen
DDoS-Schutzdienste
Intrusion Detection and Prevention Systeme
Regelmäßiges Scannen externer und interner Systeme auf Schwachstellen

Anwendungssicherheit

Sicherer Softwareentwicklungszyklus (SDLC) mit Sicherheitsüberprüfungen
Abhängigkeits-Schwachstellen-Scans und automatisiertes Patchen
Eingabevalidierung und Ausgabekodierung zur Verhinderung von Injection-Angriffen
Regelmäßige Code-Reviews mit Sicherheitsfokus
Automatisierte Sicherheitstests in CI/CD-Pipelines