Auftragsverarbeitungsvertrag

Gegenstand ist die Verarbeitung personenbezogener Daten durch den Auftragsverarbeiter im Rahmen der im Hauptvertrag vereinbarten Leistungen (Betrieb und Bereitstellung des Kundenportals, Projekt- und Kommunikationsverwaltung, Datei-Speicherung sowie damit verbundene Support-Leistungen). Art und Zweck der Verarbeitung ergeben sich aus dem Hauptvertrag. Die Dauer entspricht der Laufzeit des Hauptvertrags; ergänzend gilt Ziffer 9.

Betroffene Personengruppen sind insbesondere:

• Nutzer und Ansprechpartner des Verantwortlichen sowie dessen eigene Kunden, Interessenten und Kontakte (Leads).

Verarbeitete Datenkategorien sind insbesondere:

• Stamm- und Kontaktdaten (Name, E-Mail, Telefon, Anschrift),
• Projekt- und Inhaltsdaten (Dokumente, Uploads, Notizen),
• Kommunikationsdaten (Chats, Ticket-Kommentare, Nachrichten),
• Nutzungs- und Zugangsdaten,
• Finanz-/Rechnungsbezugsdaten, soweit im Portal verarbeitet.

Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO) sind nicht Gegenstand der Verarbeitung, sofern nicht ausdrücklich abweichend vereinbart.

Der Auftragsverarbeiter verarbeitet die personenbezogenen Daten ausschließlich im Rahmen der getroffenen Vereinbarungen und nach dokumentierten Weisungen des Verantwortlichen, es sei denn, er ist gesetzlich zur Verarbeitung verpflichtet. Ist der Auftragsverarbeiter der Auffassung, dass eine Weisung gegen das Datenschutzrecht verstößt, informiert er den Verantwortlichen unverzüglich. Weisungen erfolgen grundsätzlich in Textform.

Der Auftragsverarbeiter verpflichtet die zur Verarbeitung befugten Personen zur Vertraulichkeit, soweit sie nicht bereits gesetzlich einer entsprechenden Verschwiegenheitspflicht unterliegen. Die Vertraulichkeitspflicht besteht auch nach Beendigung des Vertrags fort. Da der Auftragsverarbeiter als Einzelunternehmer ohne Beschäftigte tätig ist, betrifft dies aktuell ausschließlich ihn selbst.

Der Auftragsverarbeiter trifft die nach Art. 32 DSGVO erforderlichen technischen und organisatorischen Maßnahmen (TOM). Diese sind im separaten Dokument „TOM – Technische und organisatorische Maßnahmen" beschrieben, das Bestandteil dieses Vertrags ist. Der Auftragsverarbeiter überprüft die Maßnahmen regelmäßig und passt sie bei Bedarf an den Stand der Technik an; das Schutzniveau darf dabei nicht unterschritten werden.

Der Verantwortliche erteilt seine allgemeine Genehmigung zum Einsatz von Unterauftragsverarbeitern. Zum Zeitpunkt des Vertragsschlusses werden insbesondere eingesetzt:

• Supabase (Datenbank, Auth, Storage, Edge Functions),
• Vercel Inc. (Hosting) – USA,
• Resend, Inc. (E-Mail-Versand) – USA,
• Google Ireland Ltd. / Google LLC (Workspace/Kalender) – USA,
• Hostinger (Domain/DNS, VPS) – EU (Litauen).

Der Auftragsverarbeiter informiert den Verantwortlichen rechtzeitig in Textform über beabsichtigte Änderungen (Hinzuziehung oder Ersetzung). Der Verantwortliche kann einer Änderung aus wichtigem, datenschutz- rechtlichem Grund innerhalb angemessener Frist widersprechen. Der Auftragsverarbeiter verpflichtet Unterauftragsverarbeiter auf ein Datenschutzniveau, das den Anforderungen dieses Vertrags entspricht (Art. 28 Abs. 4 DSGVO). Bei Drittlandbezug werden geeignete Garantien nach Art. 44 ff. DSGVO (Standardvertragsklauseln, ggf. Data Privacy Framework) sichergestellt.

Der Auftragsverarbeiter unterstützt den Verantwortlichen im Rahmen seiner Möglichkeiten bei der Erfüllung der Betroffenenrechte (Art. 12–23 DSGVO) sowie bei der Einhaltung der Pflichten aus Art. 32 bis 36 DSGVO (Sicherheit der Verarbeitung, Meldung von Verletzungen, Datenschutz-Folgenabschätzung, vorherige Konsultation). Richtet sich eine betroffene Person direkt an den Auftragsverarbeiter, leitet dieser das Anliegen unverzüglich an den Verantwortlichen weiter.

Der Auftragsverarbeiter meldet dem Verantwortlichen jede Verletzung des Schutzes personenbezogener Daten unverzüglich nach Bekanntwerden, damit dieser seine Melde- und Benachrichtigungspflichten nach Art. 33 und 34 DSGVO erfüllen kann. Die Meldung umfasst die verfügbaren Informationen zu Art, Umfang und voraussichtlichen Folgen der Verletzung sowie den ergriffenen bzw. vorgeschlagenen Maßnahmen.

Nach Abschluss der Verarbeitungsleistungen löscht der Auftragsverarbeiter nach Wahl des Verantwortlichen alle personenbezogenen Daten oder gibt sie zurück und vernichtet vorhandene Kopien, sofern keine gesetzliche Pflicht zur Speicherung besteht. Eine etwaige gesetzliche Aufbewahrungspflicht bleibt hiervon unberührt.

Der Auftragsverarbeiter stellt dem Verantwortlichen alle erforderlichen Informationen zum Nachweis der Einhaltung der Pflichten aus Art. 28 DSGVO zur Verfügung und ermöglicht Überprüfungen – einschließlich Inspektionen –, die vom Verantwortlichen oder einem beauftragten Prüfer durchgeführt werden. Kontrollen sind mit angemessener Vorankündigung, während der üblichen Geschäftszeiten und ohne unverhältnismäßige Betriebsstörung durchzuführen. Der Nachweis kann auch durch anerkannte Zertifizierungen oder Berichte erfolgen.

Die Haftung der Parteien richtet sich nach Art. 82 DSGVO. Im Innenverhältnis gelten ergänzend die Haftungsregelungen des Hauptvertrags bzw. der AGB, soweit diese mit zwingendem Datenschutzrecht vereinbar sind.

Bei Widersprüchen zwischen diesem AVV und dem Hauptvertrag gehen in Bezug auf den Datenschutz die Regelungen dieses AVV vor. Änderungen bedürfen der Textform. Es gilt das Recht der Bundesrepublik Deutschland. Die konkreten Vertrags- und Kundendaten (Vertragspartner, Vertragsdatum) werden bei Abschluss ergänzt: [Kunden-/Vertragsdaten].