Rechtliches
Vertrag zur Auftragsverarbeitung
nach Art. 28 DSGVO — Muster zum Abschluss zwischen Kunde und Anbieter
Parteien
Verantwortlicher (Auftraggeber):
[Firma, Anschrift, vertreten durch]
Auftragsverarbeiter (Auftragnehmer):
Andre Stockmann, astockmade Solutions,
Otto-Knöpfer-Straße 8, 99310 Arnstadt
1. Gegenstand und Dauer
Gegenstand ist die Verarbeitung personenbezogener Daten durch den Auftragnehmer im Rahmen der zwischen den Parteien vereinbarten Hauptleistung. Die Laufzeit entspricht der Laufzeit des Hauptvertrages; der Auftragsverarbeitungsvertrag endet automatisch mit diesem.
2. Art, Umfang und Zweck der Verarbeitung
Art und Zweck: Betrieb, Bereitstellung, Wartung und Support der beauftragten Software beziehungsweise des beauftragten Dienstes einschließlich Fehleranalyse und Datensicherung. Die Verarbeitung erfolgt ausschließlich zu diesem Zweck und nicht zu eigenen Zwecken des Auftragnehmers.
Der Ort der Verarbeitung ist die Bundesrepublik Deutschland beziehungsweise das Gebiet der Europäischen Union. Eine Verarbeitung in einem Drittland findet nur nach vorheriger Zustimmung des Verantwortlichen und nur bei Vorliegen der Voraussetzungen der Art. 44 ff. DSGVO statt.
3. Art der Daten und Kategorien betroffener Personen
| Datenarten | Betroffene Personen |
|---|---|
| Stammdaten, Kontaktdaten, Vertrags- und Abrechnungsdaten, Nutzungs- und Protokolldaten, Inhaltsdaten der jeweiligen Anwendung [projektspezifisch ergänzen] | Beschäftigte, Ansprechpartner und Nutzer des Verantwortlichen sowie weitere in den Anwendungsdaten enthaltene Personen [ergänzen] |
4. Weisungsrecht
Der Auftragnehmer verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen, es sei denn, er ist nach Unionsrecht oder dem Recht eines Mitgliedstaats zur Verarbeitung verpflichtet; in diesem Fall teilt er dies vor der Verarbeitung mit, sofern das Recht dies nicht verbietet.
Der Auftragnehmer informiert den Verantwortlichen unverzüglich, wenn er der Auffassung ist, dass eine Weisung gegen datenschutzrechtliche Vorschriften verstößt.
5. Vertraulichkeit
Der Auftragnehmer verpflichtet die mit der Verarbeitung befassten Personen zur Vertraulichkeit, soweit sie nicht bereits einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen. Die Verpflichtung besteht über das Ende der Tätigkeit hinaus fort.
6. Technische und organisatorische Maßnahmen nach Art. 32 DSGVO
- Zutritt und Zugang: Betrieb in einem Rechenzentrum mit Zutrittskontrolle; administrativer Zugang ausschließlich über verschlüsselte Verbindungen mit schlüsselbasierter Authentifizierung.
- Zugriff: rollenbasierte Rechtevergabe nach dem Grundsatz der geringsten Rechte, personalisierte Konten, keine geteilten Administratorkonten.
- Verschlüsselung: Transportverschlüsselung nach dem Stand der Technik für alle über das Internet erreichbaren Dienste; Verschlüsselung besonders schutzbedürftiger gespeicherter Daten.
- Trennung: logische Mandantentrennung; getrennte Umgebungen für Entwicklung, Test und Produktion.
- Verfügbarkeit: regelmäßige Datensicherung, Wiederherstellungstests, Überwachung der Dienste.
- Nachvollziehbarkeit: Protokollierung administrativer Zugriffe und sicherheitsrelevanter Ereignisse.
- Überprüfung: regelmäßige Aktualisierung eingesetzter Komponenten und Bewertung der Maßnahmen.
Der Auftragnehmer darf die Maßnahmen fortentwickeln, sofern das Schutzniveau nicht unterschritten wird.
7. Unterauftragsverarbeiter
Der Verantwortliche stimmt dem Einsatz der nachfolgend genannten Unterauftragsverarbeiter zu:
| Unternehmen | Leistung | Ort |
|---|---|---|
| Hostinger International Ltd. | Serverinfrastruktur, Hosting | EU |
| Stripe Payments Europe Ltd. | Zahlungsabwicklung, Rechnungsstellung | EU / USA |
Weitere Unterauftragsverarbeiter teilt der Auftragnehmer mindestens vier Wochen vor Beauftragung in Textform mit. Der Verantwortliche kann innerhalb dieser Frist aus wichtigem datenschutzrechtlichem Grund widersprechen. Der Auftragnehmer verpflichtet Unterauftragsverarbeiter auf ein Schutzniveau, das dem dieses Vertrages entspricht.
8. Unterstützungspflichten
Der Auftragnehmer unterstützt den Verantwortlichen im Rahmen des Zumutbaren bei der Beantwortung von Anträgen betroffener Personen nach Art. 15 bis 22 DSGVO, bei Datenschutz-Folgenabschätzungen nach Art. 35 DSGVO sowie bei der vorherigen Konsultation nach Art. 36 DSGVO. Wendet sich eine betroffene Person unmittelbar an den Auftragnehmer, leitet dieser das Anliegen unverzüglich weiter und beantwortet es nicht selbst.
9. Meldung von Verletzungen
Der Auftragnehmer meldet dem Verantwortlichen jede Verletzung des Schutzes personenbezogener Daten unverzüglich, spätestens innerhalb von 24 Stunden nach Kenntnis, und stellt die zur Erfüllung der Pflichten aus Art. 33 und 34 DSGVO erforderlichen Informationen bereit.
10. Löschung und Rückgabe
Nach Beendigung der Verarbeitungsleistung löscht der Auftragnehmer die personenbezogenen Daten oder gibt sie nach Wahl des Verantwortlichen zurück, sofern keine gesetzliche Aufbewahrungspflicht besteht. Datensicherungen werden im Rahmen des regulären Sicherungszyklus gelöscht. Die Löschung wird auf Verlangen bestätigt.
11. Nachweise und Kontrollen
Der Auftragnehmer stellt dem Verantwortlichen auf Anfrage die zum Nachweis der Einhaltung dieses Vertrages erforderlichen Informationen zur Verfügung und ermöglicht Überprüfungen. Vor-Ort-Kontrollen sind mit angemessener Vorankündigung während der üblichen Geschäftszeiten und ohne Störung des Betriebsablaufs zulässig.
12. Schlussbestimmungen
Bei Widersprüchen zwischen diesem Vertrag und dem Hauptvertrag gehen die Regelungen dieses Vertrages in datenschutzrechtlicher Hinsicht vor. Änderungen bedürfen der Textform. Es gilt deutsches Recht.
| Verantwortlicher | Auftragsverarbeiter |
|---|---|
| Ort, Datum, Unterschrift | Ort, Datum, Unterschrift |
Stand: August 2026