Termin vereinbaren

Auftragsdatenverarbeitung

Vertrag über die Verarbeitung personenbezogener Daten im Auftrag gemäß Art. 28 DSGVO (Auftragsverarbeitungsvertrag – AVV). Dieser Vertrag konkretisiert die datenschutzrechtlichen Pflichten der Parteien aus dem zwischen ihnen geschlossenen Hauptvertrag über die Leistungen der Marke EEE-Cloud. Stand: Juni 2026.

Zwischen

dem Kunden gemäß Hauptvertrag
– nachfolgend „Verantwortlicher“ –

und

Full Service Suite
Inhaber: Joachim Paul
Meßplatzstraße 27
69168 Wiesloch
– nachfolgend „Auftragsverarbeiter“ –

– gemeinsam die „Parteien“ –

§ 1 Gegenstand, Dauer und Spezifizierung der Auftragsverarbeitung

(1) Gegenstand dieses Vertrags ist die Verarbeitung personenbezogener Daten durch den Auftragsverarbeiter im Auftrag des Verantwortlichen im Rahmen der Erbringung der im Hauptvertrag vereinbarten Leistungen, insbesondere der Bereitstellung des CRM-Systems, der Website, der Apps sowie der zugehörigen Tools und des Hostings.

(2) Die Verarbeitung umfasst alle Tätigkeiten, die der Auftragsverarbeiter zur Erbringung der vereinbarten Leistungen vornimmt. Art und Zweck der Verarbeitung, die Art der personenbezogenen Daten und die Kategorien betroffener Personen sind in Anlage 1 zu diesem Vertrag näher beschrieben.

(3) Die Dauer dieses Vertrags entspricht der Laufzeit des Hauptvertrags. Eine darüber hinausgehende Verarbeitung erfolgt nur, soweit gesetzliche Aufbewahrungspflichten dies erfordern.

(4) Die Verarbeitung findet ausschließlich innerhalb der Europäischen Union oder des Europäischen Wirtschaftsraums statt. Eine Verlagerung in ein Drittland bedarf der vorherigen Zustimmung des Verantwortlichen und darf nur erfolgen, wenn die Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind.

§ 2 Weisungsrecht des Verantwortlichen

(1) Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen, es sei denn, er ist nach dem Recht der Union oder der Mitgliedstaaten zur Verarbeitung verpflichtet. In einem solchen Fall teilt der Auftragsverarbeiter dem Verantwortlichen diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht eine solche Mitteilung nicht wegen eines wichtigen öffentlichen Interesses verbietet.

(2) Die Weisungen werden anfänglich durch diesen Vertrag und den Hauptvertrag festgelegt und können vom Verantwortlichen danach in Textform geändert, ergänzt oder ersetzt werden (Einzelweisungen). Mündliche Weisungen sind unverzüglich in Textform zu bestätigen.

(3) Ist der Auftragsverarbeiter der Ansicht, dass eine Weisung gegen datenschutzrechtliche Vorschriften verstößt, hat er den Verantwortlichen unverzüglich darauf hinzuweisen. Der Auftragsverarbeiter ist berechtigt, die Durchführung der betreffenden Weisung so lange auszusetzen, bis sie vom Verantwortlichen bestätigt oder geändert wird.

§ 3 Pflichten des Auftragsverarbeiters

(1) Der Auftragsverarbeiter verarbeitet die Daten ausschließlich im Rahmen der getroffenen Vereinbarungen und nach Weisung des Verantwortlichen. Eine Verarbeitung für eigene Zwecke findet nicht statt.

(2) Der Auftragsverarbeiter gewährleistet, dass sich die zur Verarbeitung der personenbezogenen Daten befugten Personen zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen.

(3) Der Auftragsverarbeiter ergreift die nach Art. 32 DSGVO erforderlichen technischen und organisatorischen Maßnahmen. Der aktuelle Stand dieser Maßnahmen ist in Anlage 2 dokumentiert. Der Auftragsverarbeiter ist berechtigt, die Maßnahmen weiterzuentwickeln, sofern das vereinbarte Schutzniveau nicht unterschritten wird.

(4) Der Auftragsverarbeiter unterstützt den Verantwortlichen im Rahmen seiner Möglichkeiten bei der Erfüllung der Anträge betroffener Personen auf Wahrnehmung ihrer Rechte nach Kapitel III der DSGVO sowie bei der Einhaltung der in den Art. 32 bis 36 DSGVO genannten Pflichten (Datensicherheit, Meldung von Verletzungen, Datenschutz-Folgenabschätzung, vorherige Konsultation).

(5) Wendet sich eine betroffene Person unmittelbar an den Auftragsverarbeiter, leitet dieser das Anliegen unverzüglich an den Verantwortlichen weiter und beantwortet es nicht selbst, es sei denn, er ist hierzu vom Verantwortlichen angewiesen.

(6) Der Auftragsverarbeiter benennt dem Verantwortlichen auf Anfrage einen Ansprechpartner für datenschutzrechtliche Belange.

§ 4 Meldung von Verletzungen des Schutzes personenbezogener Daten

(1) Der Auftragsverarbeiter meldet dem Verantwortlichen unverzüglich, in der Regel innerhalb von 48 Stunden nach Bekanntwerden, jede Verletzung des Schutzes personenbezogener Daten, die die im Auftrag verarbeiteten Daten betrifft.

(2) Die Meldung enthält mindestens eine Beschreibung der Art der Verletzung, die betroffenen Kategorien und die ungefähre Zahl der betroffenen Personen und Datensätze, die wahrscheinlichen Folgen sowie die ergriffenen oder vorgeschlagenen Maßnahmen zur Behebung. Der Auftragsverarbeiter unterstützt den Verantwortlichen bei dessen Melde- und Benachrichtigungspflichten nach Art. 33 und 34 DSGVO.

§ 5 Unterauftragsverhältnisse

(1) Der Verantwortliche erteilt dem Auftragsverarbeiter die allgemeine Genehmigung, weitere Auftragsverarbeiter (Unterauftragsverarbeiter) einzusetzen. Die zum Zeitpunkt des Vertragsschlusses eingesetzten Unterauftragsverarbeiter sind in Anlage 1 aufgeführt.

(2) Der Auftragsverarbeiter informiert den Verantwortlichen über jede beabsichtigte Hinzuziehung oder Ersetzung eines Unterauftragsverarbeiters in Textform. Der Verantwortliche kann der Änderung innerhalb von 14 Tagen aus wichtigem datenschutzrechtlichem Grund widersprechen. Im Falle eines berechtigten Widerspruchs sind die Parteien um eine einvernehmliche Lösung bemüht; gelingt diese nicht, steht beiden Parteien ein Sonderkündigungsrecht hinsichtlich der betroffenen Leistung zu.

(3) Der Auftragsverarbeiter erlegt dem Unterauftragsverarbeiter durch Vertrag dieselben Datenschutzpflichten auf, die in diesem Vertrag festgelegt sind. Er bleibt gegenüber dem Verantwortlichen für die Einhaltung der Pflichten durch den Unterauftragsverarbeiter verantwortlich.

(4) Nicht als Unterauftragsverhältnis im Sinne dieser Vorschrift gelten Nebenleistungen, die der Auftragsverarbeiter bei Dritten als Hilfsleistung in Anspruch nimmt (z. B. Telekommunikations- oder Wartungsleistungen), soweit dabei kein Zugriff auf personenbezogene Daten des Verantwortlichen erfolgt oder ein solcher nur gelegentlich und untergeordnet möglich ist.

§ 6 Kontroll- und Nachweisrechte des Verantwortlichen

(1) Der Auftragsverarbeiter stellt dem Verantwortlichen alle erforderlichen Informationen zum Nachweis der Einhaltung der in Art. 28 DSGVO niedergelegten Pflichten zur Verfügung und ermöglicht Überprüfungen, einschließlich Inspektionen, die vom Verantwortlichen oder einem von diesem beauftragten Prüfer durchgeführt werden.

(2) Der Nachweis kann nach Wahl des Auftragsverarbeiters auch durch die Vorlage geeigneter Zertifizierungen, aktueller Testate, Berichte oder Auszüge von unabhängigen Stellen oder einer geeigneten Datenschutz-Zertifizierung erfolgen.

(3) Vor-Ort-Kontrollen sind rechtzeitig anzukündigen, während der üblichen Geschäftszeiten durchzuführen und so zu gestalten, dass sie den Geschäftsbetrieb des Auftragsverarbeiters nicht unverhältnismäßig beeinträchtigen. Der Auftragsverarbeiter kann für den durch Kontrollen entstehenden Aufwand eine angemessene Vergütung verlangen, sofern die Kontrolle nicht durch einen konkreten Anlass beim Auftragsverarbeiter veranlasst ist.

§ 7 Löschung und Rückgabe nach Beendigung

(1) Nach Abschluss der Verarbeitungstätigkeiten löscht der Auftragsverarbeiter nach Wahl des Verantwortlichen alle personenbezogenen Daten oder gibt sie an den Verantwortlichen zurück, sofern nicht nach dem Recht der Union oder der Mitgliedstaaten eine Verpflichtung zur Speicherung der Daten besteht.

(2) Soweit nichts anderes vereinbart ist, erfolgt die Löschung nach Ablauf einer Frist von 30 Tagen nach Vertragsende. Diese Regelung steht im Einklang mit den Bestimmungen des Hauptvertrags zur Vertragsbeendigung.

(3) Die Dokumentation, die dem Nachweis der ordnungsgemäßen Datenverarbeitung dient, kann der Auftragsverarbeiter über das Vertragsende hinaus entsprechend den jeweiligen Aufbewahrungsfristen aufbewahren.

§ 8 Haftung

Für die Haftung der Parteien gelten die Regelungen des Art. 82 DSGVO sowie ergänzend die Haftungsregelungen des Hauptvertrags. Im Verhältnis der Parteien zueinander gilt: Jede Partei trägt die Verantwortung für die Einhaltung der ihr nach diesem Vertrag und der DSGVO obliegenden Pflichten.

§ 9 Schlussbestimmungen

(1) Bei Widersprüchen zwischen diesem Vertrag und dem Hauptvertrag gehen hinsichtlich des Datenschutzes die Regelungen dieses Vertrags vor.

(2) Änderungen und Ergänzungen dieses Vertrags bedürfen der Textform. Dies gilt auch für die Aufhebung dieses Formerfordernisses.

(3) Sollten einzelne Bestimmungen dieses Vertrags unwirksam sein oder werden, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt. An die Stelle der unwirksamen Bestimmung tritt die gesetzliche Regelung.

(4) Es gilt das Recht der Bundesrepublik Deutschland.

Anlage 1 – Beschreibung der Verarbeitung

Gegenstand und Zweck der Verarbeitung

Bereitstellung und Betrieb der im Hauptvertrag vereinbarten Leistungen (CRM, Website, Apps, PWA, Tools, Hosting) sowie die damit verbundene Speicherung, Organisation und Verwaltung von Kunden- und Kontaktdaten des Verantwortlichen.

Art der Verarbeitung

Erheben, Erfassen, Organisieren, Ordnen, Speichern, Anpassen, Auslesen, Abfragen, Verwenden, Übermitteln, Verknüpfen, Einschränken, Löschen und Vernichten personenbezogener Daten durch automatisierte Verfahren.

Kategorien betroffener Personen

  • Kunden, Interessenten und Geschäftspartner des Verantwortlichen;
  • Ansprechpartner und Beschäftigte des Verantwortlichen;
  • Nutzer der Website und der Apps des Verantwortlichen.

Kategorien personenbezogener Daten

  • Stammdaten (z. B. Name, Anschrift, Firma, Funktion);
  • Kontaktdaten (z. B. Telefonnummer, E-Mail-Adresse);
  • Vertrags- und Vorgangsdaten (z. B. Angebote, Termine, Kommunikationsverläufe, Projektdaten);
  • Nutzungs- und Verbindungsdaten (z. B. IP-Adresse, Zugriffszeitpunkte, Log-Daten);
  • weitere vom Verantwortlichen im CRM oder in den Tools eingegebene personenbezogene Daten.

Eine Verarbeitung besonderer Kategorien personenbezogener Daten im Sinne des Art. 9 DSGVO ist nicht vorgesehen und nur auf ausdrückliche Weisung und unter zusätzlichen Schutzmaßnahmen zulässig.

Eingesetzte Unterauftragsverarbeiter

TrafficPlex GmbH, Konsul-Smidt-Str. 90, 28217 Bremen (Hosting/Rechenzentrum).

Anlage 2 – Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

Der Auftragsverarbeiter trifft insbesondere die folgenden technischen und organisatorischen Maßnahmen. Die konkrete Ausgestaltung wird an den Stand der Technik angepasst.

Vertraulichkeit

  • Zutrittskontrolle: Schutz der Rechenzentren durch den Hosting-Dienstleister (Zutrittsbeschränkung, Bewachung, Protokollierung).
  • Zugangskontrolle: persönliche und individuelle Benutzerkennungen, sichere Passwörter, Zwei-Faktor-Authentifizierung für administrative Zugänge, automatische Sperrung nach Inaktivität.
  • Zugriffskontrolle: rollenbasiertes Berechtigungskonzept, Beschränkung der Zugriffe auf das erforderliche Maß, Protokollierung von Zugriffen.
  • Trennungskontrolle: logische Mandantentrennung der Daten verschiedener Kunden.

Integrität

  • Weitergabekontrolle: Verschlüsselung der Datenübertragung mittels TLS/SSL.
  • Eingabekontrolle: Protokollierung wesentlicher Verarbeitungsvorgänge, Nachvollziehbarkeit von Änderungen.

Verfügbarkeit und Belastbarkeit

  • regelmäßige Datensicherungen (Backups);
  • Schutzmaßnahmen gegen Schadsoftware und unbefugte Zugriffe (Firewall, Aktualisierung der Systeme);
  • Maßnahmen zur raschen Wiederherstellung der Verfügbarkeit nach einem physischen oder technischen Zwischenfall.

Verfahren zur regelmäßigen Überprüfung

  • regelmäßige Überprüfung und Bewertung der Wirksamkeit der technischen und organisatorischen Maßnahmen;
  • Verpflichtung der Mitarbeiter auf das Datengeheimnis;
  • Prozesse zur Bearbeitung von Betroffenenrechten und Datenschutzvorfällen.