Vertrag über die Verarbeitung personenbezogener Daten im Auftrag (Art. 28 DSGVO)

Stand: 07.11.2026 · Version 2026-11-07

zwischen dem Kunden gemäß den AGB von Panamemo („Verantwortlicher“)
und der Panamemo Systems UG (haftungsbeschränkt), mit Geschäftsanschrift in der Wilhelmstraße 5, 72213 Altensteig („Auftragsverarbeiter“).

§ 1 Gegenstand und Dauer

(1) Der Auftragsverarbeiter erbringt für den Verantwortlichen die Leistungen nach den Allgemeinen Geschäftsbedingungen von Panamemo („Hauptvertrag“): die KI-gestützte Bearbeitung von Fahrzeugfotos, deren Bereitstellung mit Original-/Ergebnisvergleich und Pilot-Sichtprüfung nach § 8 AGB sowie die Bearbeitung von Nachbesserungswünschen. Dieser AVV erweitert den vereinbarten Pilotumfang nicht um eine Garantie für den Erhalt sämtlicher Gebrauchsspuren, automatische Schadenserkennung oder eine Schadensfoto-Funktion. Dabei verarbeitet er personenbezogene Daten, für die der Verantwortliche verantwortlich ist.

(2) Art und Zweck der Verarbeitung, die Arten personenbezogener Daten und die Kategorien betroffener Personen ergeben sich aus Anlage 1.

(3) Dieser Vertrag gilt für die Dauer des Hauptvertrags und darüber hinaus, solange der Auftragsverarbeiter personenbezogene Daten des Verantwortlichen verarbeitet.

§ 2 Weisungen

(1) Der Auftragsverarbeiter verarbeitet die Daten nur auf dokumentierte Weisung des Verantwortlichen, auch in Bezug auf Übermittlungen in Drittländer. Ausgenommen sind Verarbeitungen, zu denen er nach dem Recht der Union oder eines Mitgliedstaats verpflichtet ist. In diesem Fall teilt er dem Verantwortlichen diese Pflicht vor der Verarbeitung mit, sofern das Recht dies nicht verbietet.

(2) Weisungen sind der Hauptvertrag, dieser Vertrag und die Nutzung der Funktionen des Dienstes durch den Verantwortlichen (z. B. Hochladen und Nachbesserung anfordern). Lösch- und Rückgabeweisungen sowie weitere Weisungen erteilt der Verantwortliche in Textform, insbesondere an datenschutz@panamemo.com. Archivieren und Verwerfen in der Oberfläche bewirken derzeit keine vollständige Löschung (§ 9).

(3) Ist der Auftragsverarbeiter der Ansicht, dass eine Weisung gegen Datenschutzrecht verstößt, informiert er den Verantwortlichen unverzüglich. Er darf die Ausführung der Weisung aussetzen, bis die datenschutzrechtlichen Bedenken ausgeräumt sind. Eine bloße Bestätigung einer erkennbar rechtswidrigen Weisung verpflichtet nicht zu deren Ausführung.

§ 3 Vertraulichkeit

Der Auftragsverarbeiter setzt nur Personen ein, die zur Vertraulichkeit verpflichtet sind oder einer gesetzlichen Verschwiegenheitspflicht unterliegen.

§ 4 Sicherheit der Verarbeitung

(1) Der Auftragsverarbeiter trifft die technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO, die in Anlage 2 beschrieben sind.

(2) Er darf die Maßnahmen an den technischen Fortschritt anpassen, sofern das Schutzniveau nicht unterschritten wird. Wesentliche Änderungen dokumentiert er.

§ 5 Unterauftragsverarbeiter

(1) Der Verantwortliche erteilt dem Auftragsverarbeiter die allgemeine Genehmigung, weitere Auftragsverarbeiter („Unterauftragsverarbeiter“) einzusetzen. Die bei Vertragsschluss eingesetzten Unterauftragsverarbeiter sind in Anlage 3 aufgeführt und gelten als genehmigt. Dies umfasst das in Anlage 3 benannte geschäftliche Google-Workspace-Postfach. Hieraus folgt keine Genehmigung anderer noch nicht benannter Dienste. Für nach Vertragsschluss neu hinzukommende oder ausgetauschte Unterauftragsverarbeiter gelten die Absätze 2 bis 2b.

(2) Für neue oder ausgetauschte, unmittelbar von Panamemo beauftragte Unterauftragsverarbeiter informiert der Auftragsverarbeiter den Verantwortlichen mindestens vier Wochen vor deren Einsatz in Textform. Der Verantwortliche kann der Änderung innerhalb dieser Frist aus wichtigem datenschutzrechtlichem Grund widersprechen. Kommt keine Einigung zustande, können beide Parteien den Hauptvertrag zum Zeitpunkt der Änderung kündigen.

(2a) Über beabsichtigte Änderungen nachgelagerter Unterauftragsverarbeiter eines bereits benannten Anbieters informiert Panamemo den Verantwortlichen unverzüglich nach Kenntnis in Textform. Die Information benennt den neuen Empfänger, seine Tätigkeit und Verarbeitungsorte, den vorgesehenen Beginn und eine angemessene konkrete Widerspruchsfrist. Diese Frist beginnt erst mit vollständiger, verständlicher Information und muss eine tatsächliche Prüfung und Reaktion vor dem Einsatz ermöglichen. Die Frist des Anbieters verkürzt diese Voraussetzung nicht automatisch. Der Verantwortliche kann der Änderung innerhalb dieser Frist aus wichtigem datenschutzrechtlichem Grund widersprechen.

(2b) Ist eine ausreichende Vorabinformation nicht möglich oder bleibt ein begründeter datenschutzrechtlicher Widerspruch ungelöst, darf der neue nachgelagerte Unterauftragsverarbeiter die betroffenen Daten nicht verarbeiten oder darauf zugreifen, einschließlich bereits gespeicherter Daten. Panamemo muss einen verbindlichen Aufschub oder eine geeignete andere Leistungserbringung sicherstellen. Eine notwendige Vertragsbeendigung richtet sich nach bestehenden wirksamen Beendigungsrechten oder einer ausdrücklichen Vereinbarung; die vereinbarten Erstattungs- und Herausgaberechte bleiben unberührt.

(3) Der Auftragsverarbeiter erlegt jedem Unterauftragsverarbeiter vertraglich Datenschutzpflichten auf, die den Pflichten dieses Vertrags im Wesentlichen entsprechen. Er haftet gegenüber dem Verantwortlichen für die Einhaltung dieser Pflichten durch den Unterauftragsverarbeiter.

§ 6 Übermittlungen in Drittländer

Eine Verarbeitung außerhalb der EU und des EWR erfolgt nur, wenn die Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind, insbesondere auf Grundlage:

• eines Angemessenheitsbeschlusses, etwa des EU-US Data Privacy Framework für zertifizierte Empfänger, oder
• der Standardvertragsklauseln der EU-Kommission.

Anlage 3 nennt die eingesetzten Dienste und die von ihnen vorgesehenen Übermittlungsinstrumente. Der Auftragsverarbeiter dokumentiert für jede Übermittlung den konkreten Empfänger, die wirksame Grundlage und erforderliche ergänzende Maßnahmen und stellt die Nachweise auf Anfrage bereit. Die Nennung eines Übermittlungsinstruments in Anlage 3 ersetzt dessen wirksame Einbeziehung für den konkreten Empfänger und Datenfluss nicht.

§ 7 Unterstützung des Verantwortlichen

(1) Der Auftragsverarbeiter unterstützt den Verantwortlichen mit geeigneten Maßnahmen bei der Beantwortung von Anträgen betroffener Personen (Art. 12 bis 22 DSGVO). Erreicht ein solcher Antrag den Auftragsverarbeiter, leitet er ihn unverzüglich an den Verantwortlichen weiter und beantwortet ihn nicht selbst, sofern der Verantwortliche nichts anderes anweist.

(2) Er unterstützt den Verantwortlichen unter Berücksichtigung der ihm vorliegenden Informationen bei den Pflichten aus Art. 32 bis 36 DSGVO (Sicherheit, Meldung von Verletzungen, Datenschutz-Folgenabschätzung, vorherige Konsultation).

(3) Für Unterstützungsleistungen, die über das Übliche hinausgehen und nicht auf einem Verstoß des Auftragsverarbeiters beruhen, kann er eine angemessene Vergütung verlangen.

§ 8 Verletzungen des Schutzes personenbezogener Daten

Der Auftragsverarbeiter meldet dem Verantwortlichen jede ihm bekannt gewordene Verletzung des Schutzes personenbezogener Daten des Verantwortlichen unverzüglich, möglichst innerhalb von 48 Stunden, per E-Mail an die im Kundenkonto hinterlegte Adresse. Die Meldung enthält, soweit bekannt, die Angaben nach Art. 33 Abs. 3 DSGVO. Informationen, die noch nicht vorliegen, reicht der Auftragsverarbeiter unverzüglich nach.

§ 9 Löschung und Rückgabe

(1) Nach Ende der Verarbeitungsleistung wählt der Verantwortliche zwischen Rückgabe und Löschung der im Auftrag verarbeiteten personenbezogenen Daten. Die Weisung kann er in Textform, insbesondere an datenschutz@panamemo.com, erteilen und vor Durchführung ändern. Der Auftragsverarbeiter ist verpflichtet, nach Wahl des Verantwortlichen die Daten zurückzugeben oder zu löschen und vorhandene Kopien zu löschen, sofern nicht Unionsrecht oder das Recht eines Mitgliedstaats ihre Speicherung verlangt. Berechtigte frühere Löschweisungen bleiben möglich. Für den gesetzlichen Anbieterwechsel einschließlich Nachabruf gilt ergänzend § 13a der AGB; eine gebotene frühere Löschung wird dadurch nicht hinausgeschoben. Eine Rückgabe umfasst auf Weisung auch Originalfotos und sonstige im Auftrag gespeicherte Daten in einem geeigneten Format.

(2) Archivieren oder Verwerfen in der Oberfläche ist keine vollständige Löschung. Der Auftragsverarbeiter führt eine gewiesene oder gesetzlich gebotene Löschung unabhängig davon durch, ob zuvor Daten in eigene Lernbestände übernommen wurden oder übernommen werden können. Eine fehlgeschlagene, unzulässige oder nicht rechtzeitig abgeschlossene Übernahme sowie ein interner Sicherungspuffer verschieben eine fällige Löschung nicht. Die Löschung umfasst die betroffenen Daten und vorhandenen Kopien in den eingesetzten Datenbanken, Dateispeichern, Rechen- und Reparaturarchiven, Protokollierungsdiensten, lokalen Beständen und Sicherungen nach den Vorgaben aus Absatz 1. Konkret gesetzlich erforderliche Aufbewahrungen bleiben nach Absatz 3 gesondert behandelt; sie begründen keine weitere Nutzung für andere Zwecke.

Eine gesonderte, rechtmäßig begründete Verarbeitung nach § 12 bleibt auf ihren eigenen zulässigen Zweck beschränkt. Das Umbenennen eines Archivs in einen Lernbestand oder das Kopieren eines Datensatzes umgeht keine fällige Löschung.

(3) Gesetzliche Aufbewahrungspflichten bleiben unberührt. Sie betreffen nur die konkret aufbewahrungspflichtigen Unterlagen. Nach § 257 HGB und § 147 AO sind insbesondere Bücher, Aufzeichnungen, Inventare, Abschlüsse, Eröffnungsbilanzen und zugehörige Organisationsunterlagen zehn Jahre, Buchungsbelege acht Jahre und Handels-/Geschäftsbriefe sowie sonstige steuerlich relevante Unterlagen nach § 147 Abs. 1 Nr. 5 AO sechs Jahre aufzubewahren; für Rechnungen gelten acht Jahre nach § 14b UStG. Fristbeginn ist grundsätzlich das Ende des jeweiligen Kalenderjahres nach den gesetzlichen Anknüpfungspunkten (§ 257 Abs. 5 HGB, § 147 Abs. 4 AO, § 14b Abs. 1 UStG); steuerlich maßgebliche Festsetzungsfristen und andere gesetzliche Verlängerungen bleiben berücksichtigt. Eine längere Speicherung aller Händlerfotos lässt sich daraus nicht ableiten. Daten, die ausschließlich einer solchen Pflicht unterliegen, werden gesondert aufbewahrt und nur zu diesem Zweck verwendet.

(4) Eigene Geschäftsbelege und erforderliche AGB-/AVV-Annahmenachweise verarbeitet Panamemo als Verantwortlicher nach § 12 und Abschnitt „Speicherung und Löschung“ der Datenschutzhinweise. Die Regeln zur Anspruchsverjährung sind keine pauschale Ausnahme von der Löschpflicht für sämtliche im Auftrag verarbeiteten Fotos. Auf Verlangen bestätigt der Auftragsverarbeiter die Löschung beziehungsweise die begründeten Aufbewahrungsausnahmen in Textform.

§ 10 Nachweise und Kontrollen

(1) Der Auftragsverarbeiter stellt dem Verantwortlichen auf Anfrage alle erforderlichen Informationen zum Nachweis der Einhaltung dieses Vertrags zur Verfügung. Dazu kann er insbesondere die aktuelle Fassung der Anlagen 2 und 3 übermitteln, ebenso Nachweise und Zertifikate seiner Unterauftragsverarbeiter.

(2) Der Verantwortliche oder ein von ihm beauftragter, zur Verschwiegenheit verpflichteter Prüfer kann Überprüfungen durchführen, wenn die Informationen nach Absatz 1 nicht ausreichen. Im Regelfall gilt eine Ankündigungsfrist von 14 Tagen. Bei konkreten Anhaltspunkten für einen Datenschutzverstoß, einem Sicherheitsvorfall oder einer behördlich veranlassten Prüfung ist eine der Dringlichkeit entsprechende kürzere Frist möglich. Überprüfungen finden während der üblichen Geschäftszeiten statt und dürfen den Betrieb nicht unverhältnismäßig stören. Jede Partei trägt ihre eigenen Kosten.

§ 11 Pflichten des Verantwortlichen

Der Verantwortliche ist für die Rechtmäßigkeit der Verarbeitung der von ihm hochgeladenen Daten verantwortlich, einschließlich der Information betroffener Personen. Er informiert den Auftragsverarbeiter unverzüglich, wenn er Fehler oder Unregelmäßigkeiten bei der Verarbeitung feststellt.

§ 12 Verarbeitung durch Panamemo in eigener Verantwortung

(1) Dieser Vertrag gilt nicht für Daten, die Panamemo als eigener Verantwortlicher verarbeitet. Dazu gehören die Konto-, Vertrags-, Kommunikations- und Abrechnungsdaten des Verantwortlichen und seiner Mitarbeiter sowie die Logo-Suche zur Zugangsanbahnung nach Abschnitt „Zugangsanfrage“ der Datenschutzhinweise. Die Rollen der Zahlungsanbieter nach Abschnitt „Bezahlung und Abonnementverwaltung mit Stripe“ der Datenschutzhinweise werden durch diesen AVV nicht verändert; Stripe erhält für die Zahlung keine Fahrzeugbilder oder Logos. Für sie gelten die Datenschutzhinweise von Panamemo.

(2) Panamemo darf nach § 7 Abs. 2 AGB Fotos, Ergebnisse und daraus abgeleitete Daten/Bewertungen zur dienstübergreifenden eigenen Evaluation und Verbesserung sowie zum Training und zur Feinabstimmung eigener Modelle verwenden. Für diesen Zweck handelt Panamemo als eigener Verantwortlicher, auch wenn ein technischer Dienstleister in seinem Auftrag rechnet. Diese Zweckentscheidung ist keine Weisung des Händlers und keine allein aus dem AVV ableitbare datenschutzrechtliche Erlaubnis. Panamemo ist für die eigene Rechtsgrundlage, eine erforderliche Zweck-/Interessenprüfung, Transparenz und die Betroffenenrechte verantwortlich; Art. 28 Abs. 10 DSGVO bleibt unberührt. Die auftragsbezogene Bearbeitung und Qualitätsprüfung eines Händlerauftrags bleiben Verarbeitung nach diesem AVV.

(3) Die Einzelheiten zur eigenen Rechtsgrundlage, Information und zu Betroffenenrechten sowie der tatsächliche Stand der Maskierung und Löschung ergeben sich aus den Abschnitten „Eigene Evaluation, Lernbestände und Modellentwicklung“ und „Speicherung und Löschung“ der Datenschutzhinweise. Maskierung und die Trennung von auftragsbezogenen Rohdaten bewirken nicht automatisch Anonymität. Fortlaufend ergänzte Bewertungsereignisse und daraus erstellte Datensätze können über Kennungen, Notizen und Bildbezüge weiterhin personenbezogen sein. Eine dauerhafte Speicherung wird nicht allein durch das Erstellen solcher Ableitungen zulässig. Öffentlich abgerufene Website-Inhalte und Logos gehören nicht zum eigenen Trainingsbestand. Anonyme Erkenntnisse und Modelle ohne Personen- oder rekonstruierbaren Kundenbildbezug können weiter verwendet werden; bei verbleibendem Personenbezug gelten die gesetzlichen Rechte fort.

(4) Für geschäftliche KI-API-Aufrufe erteilt Panamemo keine Freigabe zum eigenen Training der Anbieter. Daneben wurden Händlerbilder in persönlichen Claude-Sitzungen vorgeprüft. Die geschäftlichen API-Verträge erfassen diese Nutzung nicht automatisch. Die Klärung des betroffenen Bestands und seiner vertraglichen Behandlung ist noch offen. Diese Fassung bestätigt weder den Ausschluss persönlicher Konten als bisherigen Ist-Zustand noch eine rückwirkende Genehmigung dieser Nutzung.

(5) AGB-/AVV-Annahmen und Dokumentversionen werden für die Vertragsdauer zuzüglich der maßgeblichen Verjährungsfrist als erforderliche Vertrags- und Anspruchsnachweise aufbewahrt, regelmäßig bis zum Ende des dritten Kalenderjahres nach Vertragsende bei Vorliegen der Voraussetzungen der §§ 195, 199 BGB. Fallbezogene Abweichungen, Hemmung/Neubeginn und längere gesetzliche Belegfristen bleiben berücksichtigt. Diese eigene Verarbeitung und ihr Fristbeginn sind in Abschnitt „Speicherung und Löschung“ der Datenschutzhinweise näher beschrieben.

§ 13 Haftung und Schlussbestimmungen

(1) Für die Haftung gegenüber betroffenen Personen gilt Art. 82 DSGVO. Im Verhältnis der Parteien zueinander gelten die Haftungsregeln des Hauptvertrags, soweit Art. 82 DSGVO nicht zwingend etwas anderes bestimmt.

(2) Bei Widersprüchen gehen die Regelungen dieses Vertrags zum Datenschutz denen des Hauptvertrags vor.

(3) Änderungen dieses Vertrags bedürfen der Textform. Für Änderungen gilt § 14 der AGB entsprechend; für Unterauftragsverarbeiter gilt § 5.

Anlage 1 — Gegenstand der Verarbeitung

Anlage 2 — Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

1. Vertraulichkeit

• Zutritt: Panamemo betreibt keine eigenen Rechenzentren. Die Cloud-Verarbeitung erfolgt bei Anbietern in Rechenzentren mit physischen Zutrittskontrollen; zusätzliche lokale und manuelle Pfade sind nachstehend beschrieben.
• Zugang: Der Geschäftsführer steuert den administrativen Zugang. Zusätzlich haben beauftragte Agent-Sitzungen und automatisierte Abläufe, insbesondere GitHub Actions mit Bereitstellungs-Zugängen, Zugriff auf Produktionssysteme. Für Google Workspace wird Zwei-Faktor-Authentifizierung verwendet. Der verwendete Mac ist mit FileVault verschlüsselt. Händler melden sich mit E-Mail-Adresse und Passwort an (mindestens 10 Zeichen, Abgleich mit bekannten Datenlecks; Passwörter nur als Hashwert beim Anmeldedienst). Erstzugangslinks sind einmalig nutzbar, 7 Tage gültig und nur als Hashwert gespeichert. Wiederholte Fehlversuche werden gedrosselt; öffentliche Formulare sind gegen automatisierte Anfragen geschützt; sicherheitsrelevante Kontoereignisse werden protokolliert.
• Zugriff: Händler sehen nur die Daten ihres eigenen Kontos; das setzen Zugriffsregeln in Datenbank und Anwendung durch. Dateien liegen in nicht öffentlichen Speichern und werden nur an berechtigte Nutzer ausgeliefert.
• Trennung: Daten werden je Händler gekennzeichnet. Es gibt gesonderte Testumgebungen; einzelne Prüf- und Diagnoseabläufe greifen jedoch auch auf echte Händlerbilder und Produktionsdienste zu. Eine vollständige Trennung aller Tests von Kundendaten besteht nicht. Für eigene Evaluation, Training und Feinabstimmung gelten § 12 und die Schutzvorgaben in Abschnitt „Eigene Evaluation, Lernbestände und Modellentwicklung“ der Datenschutzhinweise.
• Pseudonymisierung: Das eigene Sicherheitsprotokoll der Anwendung speichert IP-Adressen und E-Mail-Adressen als Hashwerte. Zusätzliche Authentifizierungs- und Infrastrukturprotokolle der Anbieter sind davon getrennt zu behandeln.

2. Integrität

• Weitergabe: Die Web-Anwendung nutzt verschlüsselte Verbindungen. Automatische Produktbenachrichtigungen per E-Mail enthalten Links statt Fotoanhängen. Manuelle Übermittlungen, persönliche Claude-Sitzungen und WhatsApp sind damit nicht pauschal als gleichermaßen abgesicherter Produktpfad bestätigt.
• Eingabe: Hochladen, Bearbeitungsschritte, Freigaben und Nachbesserungen werden mit Zeitpunkt protokolliert.
• Originalschutz: Originalfotos werden unverändert gespeichert; Bearbeitungen erzeugen neue Versionen.

3. Verfügbarkeit und Belastbarkeit

• Anbieter- und eigene Sicherungskopien sind Teil der Verarbeitung und in den Rückgabe- und Löschablauf nach § 9 einzubeziehen. Aufbewahrungspflichten und Löschweisungen gelten auch bei einer Wiederherstellung.
• Kosten- und Mengenbegrenzungen sowie ein Not-Aus für die Bildverarbeitung.
• Begrenzung der Anfragen auf öffentlichen Formularen.

4. Verschlüsselung

• Die Unterauftragsverarbeiter speichern Daten nach ihren Angaben im Ruhezustand verschlüsselt.
• Zugangsschlüssel werden getrennt vom Quellcode in Geheimnisspeichern der Plattformen, im Schlüsselbund oder lokal in geschützten Konfigurationsdateien aufbewahrt. Zugriff erhalten nur berechtigte Personen und Prozesse.

5. Überprüfung und Organisation

• Die wirksamen Vertrags- und Übermittlungsgrundlagen für die eingesetzten Dienste werden nach §§ 5, 6 und 10 dokumentiert und überprüft.
• Händlerdateien liegen auch in lokalen Ordnern mit iCloud-Synchronisation; deren vollständige Entfernung aus iCloud ist noch nicht belegt. Händlerbilder wurden außerdem in persönlichen Claude-Sitzungen vorgeprüft und per WhatsApp ausgetauscht. Umfang, Empfänger und Bereinigung dieser zusätzlichen Kopien sind noch nicht vollständig erfasst.
• Maßnahmen und Nachweise werden bei wesentlichen Änderungen und mindestens jährlich überprüft. Die Beschreibung tatsächlicher zusätzlicher Verarbeitungspfade ersetzt nicht deren erforderliche Rechts- und Vertragsgrundlage.

Anlage 3 — Unterauftragsverarbeiter

Die folgende Liste beschreibt die eingesetzten Dienste und ihre Verarbeitungsorte. Für ihren Einsatz müssen die Voraussetzungen aus §§ 5 und 6 einschließlich der wirksamen Vertrags- und Übermittlungsgrundlagen erfüllt sein. Die Spalte zu Drittlandgrundlagen benennt die von den Anbietern vorgesehenen Instrumente; sie ersetzt nicht deren wirksame Einbeziehung für den konkreten Empfänger und Datenfluss. Die Annahme dieses Vertrags begründet keine rückwirkende Genehmigung früherer Verarbeitungen oder Vertragsübernahmen.

Geschäftliche Kommunikation — Google Workspace

Google Workspace wird bereits für Geschäftskommunikation verwendet. Für bestehende Händlerverträge gilt deren vereinbartes Änderungs- und Informationsverfahren; eine neue Liste ersetzt keine frühere Unterrichtung. Weitere künftige Dienste werden nach § 5 Abs. 2 angekündigt. Persönliche Claude-Sitzungen, iCloud-Kopien und WhatsApp sind in § 12, Anlage 2 und den Datenschutzhinweisen als weitere tatsächliche Verarbeitungspfade beschrieben. Ihre kontobezogene Empfänger- und Vertragszuordnung ist noch ungeklärt; sie werden mit dieser Entwurfsfassung nicht pauschal genehmigt.