← Zurück zu Vektor

Auftragsverarbeitungsvertrag

Anlage zu den AGB gemäß Art. 28 DSGVO.

Fassung 2026-08-18

Vertrag über die Auftragsverarbeitung

personenbezogener Daten gemäß Art. 28 DSGVO

zwischen der

Matteo Schlosser

Brückenstraße 5 in 76669 Bad Schönborn

im Folgenden „Auftragsverarbeiterin" genannt

und der

Auftraggeberin mit Anschrift

im Folgenden „Verantwortliche“ genannt

zugleich Anlage zum Nutzungsvertrag über die Plattform „Vektor“vom …….

(nebst Anlagen und Zusatzvereinbarungen)

• Einführung

Bezugnehmend auf dem diesem Vertrag zu Grunde liegenden Hauptvertrag regeln die Parteien in diesem Vertrag ihre Rechte und Pflichten im Rahmen der datenschutzkonformen Verarbeitung von personenbezogenen Daten im Auftrag.

Dieser AVV betrifft ausschließlich die Verarbeitung personenbezogener Daten, die die Verantwortliche in die Plattform einbringt oder die für sie innerhalb der Plattform verarbeitet werden. Die Verarbeitung personenbezogener Daten von Analysesubjekten aus öffentlich zugänglichen Quellen zur Erstellung der Vektor-Berichte erfolgt nach dem Hauptvertrag in eigener Verantwortlichkeit der Auftragsverarbeiterin und ist nicht Gegenstand dieses AVV.

• Für die im Rahmen dieses Vertrages verwendeten Begriffe gelten die Definitionen der Datenschutzgrundverordnung (DSGVO).
• In Bezug auf sämtliche personenbezogenen Daten ist die…. Verantwortliche und Matteo Schlosser, Brückenstraße 5 in 76669 Bad Schönborn (hier ist die tatsächliche Firma einzutragen) Auftragsverarbeiterin. Unbeschadet der Artikel (Art.) 28 Abs. 10, 82, 83 und 84 DSGVO gilt die Auftragsverarbeiterin, sofern sie unter Verstoß gegen die Datenschutzgrundverordnung die Zwecke und Mittel der Verarbeitung bestimmt, in Bezug auf diese Verarbeitung als Verantwortliche.
• Vereinbarung
• Gegenstand des Auftrages

Der Auftragsverarbeiter erbringt für den Verantwortlichen die im Hauptvertrag vereinbarten Leistungen zur Bereitstellung, zum Betrieb, zur Wartung und zum Support der webbasierten Plattform „Vektor“.

Die Verarbeitung erfolgt ausschließlich nach Maßgabe dieses Vertrags, des Hauptvertrags und der dokumentierten Weisungen des Verantwortlichen.

• Art und Zweck der Datenverarbeitung (Gegenstand des Auftrags)

Bereitstellung der Plattform Vektor als Software-as-a-Service einschließlich Benutzerverwaltung, Hosting, Speicherung, Abruf und Verarbeitung der vom Verantwortlichen eingegebenen bzw. hochgeladenen Daten, Erstellung und Bereitstellung der vom Verantwortlichen veranlassten Berichte, Fehleranalyse, Support sowie Wartung und Sicherung der Plattform.

• Art der personenbezogenen Daten

Je nach Nutzung der Plattform können verarbeitet werden: Stammdaten und geschäftliche Kontaktdaten; Benutzer- und Zugangsdaten; Kommunikations- und Supportdaten; technische Nutzungs-, Protokoll- und IP-Daten; Inhalte, Dokumente und sonstige Daten, die der Verantwortliche in die Plattform eingibt oder hochlädt; Daten zu Kontaktpersonen oder Vertretern von Unternehmen, soweit diese in den Berichten oder Eingaben enthalten sind.

• Kategorien der Betroffenen

Eine Verarbeitung besonderer Kategorien personenbezogener Daten nach Art. 9 DSGVO oder von Daten über strafrechtliche Verurteilungen und Straftaten nach Art. 10 DSGVO ist nicht geschuldet und darf nur nach vorheriger dokumentierter Weisung des Verantwortlichen sowie nach vorheriger Prüfung und Freigabe durch den Auftragsverarbeiter erfolgen.

• Dauer des Vertrages

Die Dauer dieses Vertrages entspricht der Laufzeit des Hauptvertrages. Die Verantwortliche kann den Vertrag jederzeit kündigen, wenn ein schwerwiegender Verstoß der Auftragsverarbeiterin gegen die Bestimmungen dieses Vertrages oder die DSGVO vorliegt, die Auftragsverarbeiterin eine Weisung der Verantwortlichen nicht ausführen kann oder will oder die Auftragsverarbeiterin vertragliche oder gesetzlich vorgeschriebene Kontrollmaßnahmen der Verantwortlichen vertragswidrig verweigert.

• Zweck der Verarbeitung

Der Auftragsverarbeiter verarbeitet die Daten ausschließlich zur Erfüllung des Hauptvertrags und nicht zu eigenen oder fremden Zwecken. Insbesondere nutzt er Kundendaten des Verantwortlichen nicht zur Anreicherung eigener Datenbestände, zum Training eigener Modelle oder zur eigenständigen Profilbildung.

• Pflichten der Auftragsverarbeiterin
• Für den Fall, dass die Auftragsverarbeiterin Daten der Verantwortlichen erhebt, verarbeitet und/oder nutzt geschieht dies ausschließlich im Auftrag und nach Weisung der Verantwortlichen. Die Verantwortliche bleibt im datenschutzrechtlichen Sinne Verantwortliche (Art. 4 Nr. 7 DSGVO) und ist insbesondere für die Rechtmäßigkeit der auftragsgemäßen Erhebung, Verarbeitung und/oder Nutzung ihrer Daten verantwortlich. Hiervon unberührt ist die Verpflichtung der Auftragsverarbeiterin selbst, die auf sie anwendbaren datenschutzrechtlichen Bestimmungen einzuhalten. Gemäß Art. 28 Abs. 10 DSGVO gilt die Auftragsverarbeiterin unbeschadet der Art. 82, 83 und 84 DSGVO als Verantwortliche für Verstöße gegen datenschutzrechtliche Bestimmungen in ihrem Verantwortungsbereich.

Eine Verarbeitung personenbezogener Daten außerhalb der EU oder des EWR oder ein Zugriff von dort (zusammen „Drittlandtransfer“) ist zulässig und findet statt, wobei die Verantwortliche hiervon nach Maßgabe von Anlage 2 informiert wurde und die Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind.

Der Drittlandtransfer beruht auf einem Angemessenheitsbeschluss nach Art. 45 DSGVO gestützt, den die Auftragsverarbeiterin überprüft hat. Soweit geeignete Garantien nach Art. 46 DSGVO erforderlich sind, stellt der Auftragsverarbeiter deren Abschluss und die erforderlichen ergänzenden Maßnahmen sicher.

Der Auftragsverarbeiter informiert den Verantwortlichen vorab in Textform über jede beabsichtigte Änderung, die zu einem neuen oder wesentlich geänderten Drittlandtransfer führt. Es gilt Abschnitt 8 dieses Vertrags entsprechend.

• Die Auftragsverarbeiterin darf Daten von Betroffenen nur im Rahmen des Auftrages und der Weisungen der Verantwortlichen verarbeiten, außer es liegt ein Ausnahmefall im Sinne des Art. 28 Abs. 3 a) DSGVO vor. Die Auftragsverarbeiterin ist verpflichtet, den datenschutzrechtlichen Weisungen aus dem Hauptvertrag und den im Einzelfall von der Verantwortlichen erteilten datenschutzrechtlichen Weisungen zur Erhebung, Verarbeitung und/oder Nutzung ihrer Daten uneingeschränkt zu folgen. Weisungen bedürfen der Textform. Mündlich erteilte Weisungen sind unverzüglich in Textform zu bestätigen.
• Ist die Auftragsverarbeiterin der Ansicht, eine Weisung verstoße gegen gesetzliche Vorschriften und/oder den Hauptvertrag, so ist die Auftragsverarbeiterin verpflichtet, die Verantwortliche hierauf unverzüglich hinzuweisen, sowie berechtigt, die Ausführung der Weisung bis zu einer Bestätigung der Weisung durch die Verantwortliche, auszusetzen.
• Anfragen Betroffener oder Dritter zur vereinbarten Auftragsverarbeitung sind unverzüglich an die Verantwortliche weiterzuleiten.
• Der Auftragsverarbeiterin informiert die Verantwortliche unverzüglich über
• Störungen und Verstöße der Auftragsverarbeiterin oder der bei ihr beschäftigten Personen gegen datenschutzrechtliche Bestimmungen oder die im Auftrag getroffenen Festlegungen,
• den Verdacht auf Datenschutzverletzungen oder Unregelmäßigkeiten bei der Verarbeitung personenbezogener Daten sowie
• Kontrollhandlungen und Maßnahmen zuständiger Aufsichtsbehörden, soweit diese die vertragsgegenständlichen Leistungen betreffen.
• Die Auftragsverarbeiterin unterstützt die Verantwortliche bei der Erfüllung ihrer Pflichten nach Art. 32 bis 36 DSGVO. Meldungen nach diesen Vorschriften erfolgen ausschließlich durch die Verantwortliche.
• Die Auftragsverarbeiterin verpflichtet sich, bei der auftragsgemäßen Verarbeitung der personenbezogenen Daten der Verantwortlichen, die Vertraulichkeit zu wahren. Diese besteht auch nach Beendigung des Vertrages fort. Auskünfte über personenbezogene Daten aus dem Auftragsverhältnis an Dritte oder Betroffene darf die Auftragsverarbeiterin nur nach vorheriger Weisung oder Zustimmung durch die Verantwortliche erteilen.
• Die Auftragsverarbeiterin bestätigt, dass ihr die für die Auftragsverarbeitung einschlägigen datenschutzrechtlichen Vorschriften der DSGVO bekannt sind.
• Mobile Arbeitsplätze

(1) Der Auftragsverarbeiter darf seinen Beschäftigten die Verarbeitung personenbezogener Daten an mobilen Arbeitsplätzen außerhalb seiner Geschäftsräume nur zulassen, wenn die Einhaltung der vereinbarten technischen und organisatorischen Maßnahmen sichergestellt ist.

(2) Der Auftragsverarbeiter stellt insbesondere sicher, dass:

• eine lokale Speicherung personenbezogener Daten auf Endgeräten nur verschlüsselt erfolgt,
• Unbefugte keinen Zugriff auf personenbezogene Daten erhalten,
• geeignete Zugriffs- und Zugriffskontrollen eingerichtet sind.

(3) Die Regelungen der Absätze 1 und 2 gelten für Unterauftragsverarbeiter entsprechend.

• Technische und organisatorische Maßnahmen nach Art. 32 DSGVO
• Die Auftragsverarbeiterin verpflichtet sich, technische und organisatorische Maßnahmen zur Wahrung der Vertraulichkeit, Verfügbarkeit, Integrität und Authentizität der ihr von der Verantwortlichen zur Verfügung gestellten personenbezogenen Daten zu treffen, und zwar in dem durch die einschlägigen Datenschutzvorschriften (insbesondere Art. 24 und 32 DSGVO) vorgesehenen Umfang (siehe Liste der technischen und organisatorischen Maßnahmen (Anlage 1).
• Die bei der Auftragsverarbeiterin getroffenen Maßnahmen sind von dieser in Abstimmung mit der Verantwortlichen während der Vertragslaufzeit kontinuierlich weiterzuentwickeln und an veränderte Gegebenheiten anzupassen. Wesentliche Änderungen muss die Auftragsverarbeiterin mit der Verantwortlichen in dokumentierter Form schriftlich abstimmen.
• Die Auftragsverarbeiterin hat bei gegebenem Anlass, mindestens jedoch jährlich, eine Überprüfung, Bewertung und Evaluierung der Wirksamkeit der technischen und organisatorischen Maßnahmen zur Gewährleistung der Sicherheit der Verarbeitung durchzuführen (Art. 32 Abs. 1 lit. d DSGVO). Für den Fall, dass ihre jährliche Datenschutzprüfung bzw. ihr internes Audit ergeben hat, dass es keine datenschutzrechtlichen relevanten Veränderung gegeben hat, teilt die Auftragsverarbeiterin dies der Verantwortlichen mit. Im Falle datenschutzrelevanter Veränderung übermittelt sie der Verantwortlichen einen kurzen Auditbericht dazu, welche datenschutzrelevanter Veränderung vorgenommen wurden.
• Die für die Verantwortliche verarbeiteten Daten sind von sonstigen Datenbeständen zu trennen. Kopien oder Duplikate hiervon dürfen ohne Wissen der Verantwortlichen nicht angefertigt werden.
• Datenträger, die von der Verantwortlichen stammen bzw. für die Verantwortliche genutzt werden, werden besonders gekennzeichnet. Sie sind jederzeit angemessen aufzubewahren und dürfen unbefugten Personen nicht zugänglich sein. Ein- und Ausgänge sind zu dokumentieren.
• Drittstaatentransfer

Die Auftragsverarbeiterin verpflichtet sich, die Verarbeitung und Nutzung der ihr von der Verantwortlichen zur Verfügung gestellten personenbezogenen Daten, ausschließlich auf dem Gebiet der Bundesrepublik Deutschland, in einem anderen Mitgliedstaat der Europäischen Union oder in einem anderen Vertragsstaat des Abkommens über den Europäischen Wirtschaftsraum durchzuführen.

• Regelungen zur Berichtigung, Löschung und Sperrung von Daten; Datenrückgabe
• Die Auftragsverarbeiterin verpflichtet sich, Daten, die im Rahmen des Auftrages mit der Verantwortlichen verarbeitet wurden, nur entsprechend der vertraglichen Vereinbarung oder auf ausdrückliche Weisung der Verantwortlichen zu berichtigen, zu löschen oder zu sperren.
• Die Auftragsverarbeiterin hat nach Abschluss der vertragsgegenständlichen Leistungen oder auf Verlangen der Verantwortlichen dieser die bereitgestellten Daten in einem zu vereinbarenden Format auszuhändigen.
• Nach schriftlicher Freigabe durch die Verantwortliche sind die bereitgestellten Daten sodann datenschutzgerecht zu löschen, soweit keine gesetzlichen Aufbewahrungspflichten entgegenstehen. Auf Verlangen hat die Auftragsverarbeiterin der Verantwortlichen das Löschungsprotokoll vorzulegen.
• Qualitätssicherung und sonstige Pflichten der Auftragsverarbeiterin

Die Auftragsverarbeiterin hat zusätzlich zur Einhaltung der Regelungen dieses Auftrages gesetzliche Pflichten gemäß Art. 28 bis 33 DSGVO; insofern gewährleistet sie insbesondere die Einhaltung folgender Vorgaben:

• Führen eines Verarbeitungsverzeichnis gemäß Art. 30 Abs. 2 DSGVO zu den von ihr im Auftrag der Verantwortlichen durchgeführten Verarbeitungstätigkeiten.
• Benennung eines Datenschutzbeauftragten: Sofern Art. 37 DSGVO die Benennung eines Datenschutzbeauftragten vorsieht, wird die Auftragsverarbeiterin einen Datenschutzbeauftragten bestellen, der seine Tätigkeit gemäß Art. 38 und 39 DSGVO ausübt. Dessen jeweils aktuelle Kontaktdaten sind der Verantwortlichen zum Zweck der direkten Kontaktaufnahme mitzuteilen. Ein Wechsel des Datenschutzbeauftragten wird der Verantwortlichen unverzüglich mitgeteilt.
• Vertraulichkeit: Die Auftragsverarbeiterin ist zudem verpflichtet, alle im Rahmen des Vertragsverhältnisses erlangten Kenntnisse von Geschäftsgeheimnissen und Datensicherheitsmaßnahmen der Verantwortlichen vertraulich zu behandeln, insbesondere gemäß der Geschäftsgeheimnis-Richtlinie RL 2016/943/EU. Diese Verpflichtung bleibt auch nach Beendigung dieses Vertrages bestehen.
• Einsatz geeigneten Personals: Die Auftragsverarbeiterin verpflichtet sich, zur Erbringung der vertragsgegenständlichen Leistungen nur solche Personen einzusetzen, die ihr unterstellt und durch geeignete Maßnahmen mit den gesetzlichen Vorschriften über den Datenschutz und die speziellen datenschutzrechtlichen Anforderungen dieses Vertrages vertraut gemacht wurden. Diese Personen müssen umfassend schriftlich zur Vertraulichkeit sowie zur Wahrung von Betriebs- und Geschäftsgeheimnissen der Verantwortlichen verpflichtet worden sein. Die Auftragsverarbeiterin stellt sicher, dass die ihr unterstellten Personen personenbezogene Daten der Verantwortlichen ausschließlich auf Weisung der Auftragsverarbeiterin verarbeiten. Dies ist der Verantwortlichen auf ihr Verlangen hin in geeigneter Form nachzuweisen.
• Umsetzung und Einhaltung aller für diesen Auftrag erforderlichen technischen und organisatorischen Maßnahmen gemäß Art. 28 Abs. 3 S. 2 lit. c, 32 DSGVO (Einzelheiten in Anlage 1 TOM`s).
• Unterstützung der Verantwortlichen durch die Auftragsverarbeiterin bei allen Anfragen der Aufsichtsbehörde und bei der Einhaltung der Pflichten aus den Art. 32 bis 36 DSGVO.
• Unverzügliches Informieren der Verantwortlichen über Kontrollhandlungen und Maßnahmen der Aufsichtsbehörde, soweit sie sich auf diesen Auftrag beziehen. Dies gilt auch, wenn eine zuständige Behörde im Rahmen eines Ordnungswidrigkeits- oder Strafverfahrens in Bezug auf diese vertraglich vereinbarte Verarbeitung personenbezogener Daten bei der Auftragsverarbeiterin ermittelt.
• Unterstützung der Verantwortlichen, sofern sie einer Kontrolle der Aufsichtsbehörde, einem Ordnungswidrigkeits- oder Strafverfahren, dem Haftungsanspruch einer betroffenen Person oder eines Dritten oder einem anderen Anspruch im Zusammenhang mit der Auftragsverarbeitung bei der Auftragsverarbeiterin ausgesetzt ist.
• Selbstkontrolle: Die Auftragsverarbeiterin kontrolliert regelmäßig die internen Prozesse sowie die technischen und organisatorischen Maßnahmen, um zu gewährleisten, dass die Verarbeitung in ihrem Verantwortungsbereich im Einklang mit den Anforderungen des geltenden Datenschutzrechts erfolgt und der Schutz der Rechte der betroffenen Person gewährleistet wird.
• Nachweisbarkeit der getroffenen technischen und organisatorischen Maßnahmen gegenüber der Verantwortlichen im Rahmen ihrer Kontrollbefugnisse nach diesem Vertrag (Die Liste der TOMs findet sich in Anlage 1 zu diesem Vertrag).
• Unterauftragsverhältnis
• Als Unterauftragsverhältnisse im Sinne dieser Regelung sind solche Dienstleistungen zu verstehen, die sich unmittelbar auf die Erbringung der Hauptleistung beziehen. Nicht hierzu gehören Nebenleistungen, die die Auftragsverarbeiterin z.B. als Telekommunikationsleistungen, Post-/Transportdienstleistungen, Wartung und Benutzerservice oder die Entsorgung von Datenträgern sowie sonstige Maßnahmen zur Sicherstellung der Vertraulichkeit, Verfügbarkeit, Integrität und Belastbarkeit der Hard- und Software von Datenverarbeitungsanlagen in Anspruch nimmt, sofern dabei ein Zugriff auf personenbezogene Daten ausgeschlossen werden kann. Die Auftragsverarbeiterin ist jedoch verpflichtet, zur Gewährleistung des Datenschutzes und der Datensicherheit der Daten der Verantwortlichen auch bei ausgelagerten Nebenleistungen angemessene und gesetzeskonforme vertragliche Vereinbarungen sowie Kontrollmaßnahmen zu ergreifen.
• Die Verantwortliche stimmt bereits mit Unterzeichnung dieses Vertrages der Beauftragung der in Anlage 2. aufgelisteten Unterauftragsverarbeiterinnen zu.
• Die Auftragsverarbeiterin ist im Rahmen ihrer vertraglichen Verpflichtungen zur Begründung von weiteren Unterauftragsverhältnissen befugt. Sie setzt die Verantwortliche vorab darüber in Kenntnis und setzt ihr eine angemessene Frist, der Einschaltung der Unterauftragsverarbeiterin zu widersprechen. Erfolgt kein Widerspruch, gilt die Zustimmung als erteilt.
• Die Auftragsverarbeiterin verpflichtet sich, die Unterauftragsverarbeiterin unter besonderer Berücksichtigung der Eignung der von dieser getroffenen technischen und organisatorischen Maßnahmen zum Schutz der personenbezogenen Daten sorgfältig auszuwählen und entsprechend den Vorgaben dieses Vertrags auf die Einhaltung der einschlägigen Datenschutzvorschriften zu verpflichten. Die Verpflichtung muss auch das Recht der Auftragsverarbeiterin umfassen, die Einhaltung der Datenschutzvorschriften direkt und im gleichen Umfang bei der Unterauftragsverarbeiterin zu überprüfen, wie dies nach diesem Vertrag der Verantwortlichen bei der Auftragsverarbeiterin gestattet ist.
• Der Vertrag mit der Unterauftragsverarbeiterin ist schriftlich oder in einem elektronischen Format abzufassen. Darin sind die Verantwortlichkeiten der Auftragsverarbeiterin und der Unterauftragsverarbeiterin transparent voneinander abzugrenzen. Werden mehrere Unterauftragsverarbeiterinnen eingesetzt, so gilt dies auch für die Verantwortlichkeiten zwischen diesen Unterauftragsverarbeiterinnen.
• Eine Beauftragung von Unterauftragsverarbeiterinnen in Drittstaaten darf nur erfolgen, wenn die besonderen Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind (z. B. Angemessenheitsbeschluss der Kommission, Standarddatenschutzklauseln, genehmigte Verhaltensregeln – Punkt 3.2).
• Die Weiterleitung von Daten an die Unterauftragsverarbeiterin ist erst zulässig, wenn die Unterauftragsverarbeiterin die Erfüllung aller Anforderungen der Art. 28 bis 36 DSGVO und dieses Vertrages erfüllt und nachgewiesen hat. Die Auftragsverarbeiterin prüft und dokumentiert dies.
• Die Auftragsverarbeiterin hat die Einhaltung der Pflichten der Unterauftragsverarbeiterin regelmäßig, mindestens jedoch jährlich, angemessen zu überprüfen. Die Prüfung und ihr Ergebnis sind so zu dokumentieren, dass sie für einen fachkundigen Dritten nachvollziehbar sind. Die Dokumentation ist der Verantwortlichen nach Aufforderung vorzulegen.
• Die Auftragsverarbeiterin haftet im Verhältnis zur Verantwortlichen dafür, dass die Unterauftragsverarbeiterin den gesetzlichen und vertraglichen Datenschutzpflichten nachkommt, die ihr durch die Auftragsverarbeiterin, im Einklang mit diesem Vertrag, auferlegt wurden.
• Kontrollrechte der Verantwortlichen
• Die Verantwortliche hat das Recht, im Benehmen mit dem Auftragsverarbeiterin Überprüfungen durchzuführen oder durch im Einzelfall zu benennende Prüfer durchführen zu lassen. Sie hat das Recht, sich durch Stichprobenkontrollen, die in der Regel rechtzeitig anzumelden sind, von der Einhaltung dieser Vereinbarung durch die Auftragsverarbeiterin in deren Geschäftsbetrieb zu überzeugen.
• Die Auftragsverarbeiterin stellt sicher, dass sich die Verantwortliche von der Einhaltung der Pflichten der Auftragsverarbeiterin nach Art. 28 DSGVO überzeugen kann. Die Auftragsverarbeiterin verpflichtet sich, der Verantwortlichen auf Anforderung die erforderlichen Auskünfte zu erteilen und insbesondere die Umsetzung der technischen und organisatorischen Maßnahmen nachzuweisen.
• Der Nachweis solcher Maßnahmen, die nicht nur den konkreten Auftrag betreffen, kann erfolgen durch aktuelle Testate, Berichte oder Berichtsauszüge unabhängiger Instanzen (z.B. Wirtschaftsprüfer, Revision, Datenschutzbeauftragter, IT-Sicherheitsabteilung, Datenschutzauditoren, Qualitätsauditoren).
• Weisungsbefugnis der Verantwortlichen
• Mündliche Weisungen bestätigt die Verantwortliche unverzüglich (mind. Textform).
• Die Auftragsverarbeiterin hat die Verantwortliche unverzüglich zu informieren, wenn sie der Meinung ist, eine Weisung verstoße gegen Datenschutzvorschriften. Die Auftragsverarbeiterin ist berechtigt, die Durchführung der entsprechenden Weisung solange auszusetzen, bis sie durch die Verantwortliche bestätigt oder geändert wird.
• Für Unterstützungsleistungen, die nicht in der Leistungsbeschreibung enthalten und/oder nicht auf ein Fehlverhalten der Auftragsverarbeiterin zurückzuführen sind, kann die Auftragsverarbeiterin eine angemessene Vergütung beanspruchen.
• Haftung und Schadensersatz

Verantwortliche und Auftragsverarbeiterin haften gegenüber betroffenen Personen nach Maßgabe von Art. 82 DSGVO.

(2) Die Auftragsverarbeiterin haftet gegenüber der Verantwortlichen für Schäden, die der Verantwortlichen durch eine Verletzung ausschließlich der der Auftragsverarbeiterin durch die DSGVO oder diesen Vertrag auferlegten Pflichten entstehen uneingeschränkt.

(3) Soweit betroffene Personen die Verantwortliche in Anspruch nehmen und der Schaden überwiegend auf ein der Auftragsverarbeiterin zuzurechnendes Verschulden oder eine Pflichtverletzung nach diesem Vertrag zurückzuführen ist, stellt die Auftragsverarbeiterin die Verantwortliche im Innenverhältnis von solchen Ansprüchen frei. Dies gilt nicht, soweit die Verantwortliche den Schaden durch eigene Pflichtverletzungen mitverursacht hat; in diesem Fall findet eine quotale Verteilung im Innenverhältnis entsprechend dem Anteil der Verantwortlichkeit statt.

(4) Soweit der Hauptvertrag eine Haftungsbegrenzung zugunsten der Auftragsverarbeiterin vorsieht, gilt diese Haftungsbegrenzung für Ansprüche der Verantwortlichen gegen die Auftragsverarbeiterin aus oder im Zusammenhang mit diesem Auftragsverarbeitungsvertrag nicht.

(5) Die vorstehenden Haftungsregelungen finden keine Anwendung, soweit zwingende gesetzliche Vorschriften, insbesondere Art. 82 DSGVO, eine abweichende zwingende Regelung vorsehen.

• Informationspflichten, Schriftformklausel, Rechtswahl
• Sollten die Daten der Verantwortlichen bei der Auftragsverarbeiterin durch Pfändung oder Beschlagnahme, durch ein Insolvenz- oder Vergleichsverfahren oder durch sonstige Ereignisse oder Maßnahmen Dritter gefährdet werden, so hat die Auftragsverarbeiterin die Verantwortliche unverzüglich darüber zu informieren. Die Auftragsverarbeiterin wird alle in diesem Zusammenhang Verantwortlichen unverzüglich darüber informieren, dass die Hoheit und das Eigentum an den Daten ausschließlich bei der Verantwortlichen als »Verantwortliche« im Sinne der Datenschutz-Grundverordnung liegen.
• Änderungen und Ergänzungen dieses Vertrages und all seiner Bestandteile – einschließlich etwaiger Zusicherungen der Auftragsverarbeiterin – bedürfen einer schriftlichen Vereinbarung, die auch in einem elektronischen Format (Textform) erfolgen kann, und des ausdrücklichen Hinweises darauf, dass es sich um eine Änderung bzw. Ergänzung dieser Bedingungen handelt. Dies gilt auch für den Verzicht auf dieses Formerfordernis.
• Bei etwaigen Widersprüchen gehen Regelungen dieses Vertrages zum Datenschutz den Regelungen des Hauptvertrages vor. Sollten einzelne Teile dieses Vertrages unwirksam sein, so berührt dies die Wirksamkeit des Vertrages im Übrigen nicht.
• Es gilt deutsches Recht.

Anlagen:

Anlage 1 Technische und Organisatorische Maßnahmen

Anlage 2 Zugelassene Unterauftragsverarbeiter*innen

*** Unterschriftenseite folgt ***

Verantwortliche

……

…….

…….

___________________________________

Auftragsverarbeiterin

……

…….

…….

___________________________________

Ort, den

___________________________________

Geschäftsführer

Ort, den

___________________________________

Geschäftsführer

Anlage 1

Technische und organisatorische Maßnahmen

Art. 32 Datenschutzgrundverordnung (DSGVO)

der Auftragsverarbeiterin

und Sicherheitskonzept

Technische und organisatorische Maßnahmen beziehen sich auf die gesamte Datenverarbeitung der Auftragsverarbeiterin.

Folgende technische und organisatorische Maßnahmen wurden getroffen

Die Auftragsverarbeiterin betreibt Vektor ausschließlich als cloudbasierte Software (Software-as-a-Service). Sie unterhält keine eigenen Datenverarbeitungsanlagen und keinen eigenen Serverraum. Die physische Infrastruktur (Rechenzentrum) wird durch den Unterauftragsverarbeiter Render (Region Frankfurt am Main, Deutschland) bereitgestellt; die physischen und umgebungsbezogenen Schutzmaßnahmen (Gebäude-/Zutrittssicherung, Brandschutz, Strom- und Notstromversorgung, Klimatisierung, Hardware-Redundanz) obliegen diesem und werden über dessen Zertifizierungen und Auftragsverarbeitungsvertrag nachgewiesen. Die nachfolgenden Maßnahmen betreffen die von der Auftragsverarbeiterin selbst verantwortete Anwendungs-, Zugriffs- und Organisationsebene.

1. Zutrittskontrolle

Kein eigener Serverbetrieb; physische Rechenzentrumssicherheit über den Unterauftragsverarbeiter Render (Frankfurt).

• Betrieb der Server ausschließlich in zertifizierten Rechenzentren des Unterauftragsverarbeiters Render (Region Frankfurt am Main); Nachweis über dessen Zertifizierungen.
• Arbeitsgeräte der Auftragsverarbeiterin sind durch Betriebssystem-Passwort und Festplattenverschlüsselung gegen unbefugten physischen Zugriff geschützt.

2. Zugangskontrolle

Maßnahmen, die die Nutzung der Datenverarbeitungssysteme durch Unbefugte verhindern.

a) Technische Maßnahmen

• Authentifizierung mit E-Mail-Adresse und Passwort.
• Speicherung von Passwörtern ausschließlich als kryptografischer Hash (bcrypt); keine Klartextspeicherung.
• Verschlüsselte Datenübertragung über TLS für sämtliche Verbindungen.
• Verifizierung der E-Mail-Adresse bei der Registrierung.
• Sitzungsverwaltung über signierte Tokens (JWT) mit begrenzter Gültigkeit.

b) Organisatorische Maßnahmen

• Zuordnung und Verwaltung individueller Benutzerkonten.
• Automatisierte Ratenbegrenzung (Rate Limiting) gegen missbräuchliche Zugriffsversuche.

3. Zugriffskontrolle

Maßnahmen, die gewährleisten, dass nur im Rahmen der Berechtigung auf Daten zugegriffen werden kann.

a) Technische Maßnahmen

• Mandantentrennung: Zugriff auf Daten ausschließlich im Kontext des jeweiligen Benutzerkontos (kontobezogene Trennung).
• Rollenbasierte Vergabe erweiterter (administrativer) Rechte.

b) Organisatorische Maßnahmen

• Begrenzte Anzahl an Administratoren.
• Keine Klartextspeicherung von Zugangsdaten.

4. Weitergabekontrolle

Sicherung der Datenweitergabe vor unbefugtem Zugriff.

• Ausschließlich verschlüsselte Übertragung (TLS).
• Übermittlungen in Drittländer nur unter den Voraussetzungen der Art. 44 ff. DSGVO mit geeigneten Garantien (siehe Anlage 2).

5. Eingabekontrolle

Maßnahmen zur nachträglichen Überprüfbarkeit von Eingabe, Änderung und Löschung.

• Protokollierung sicherheitsrelevanter Ereignisse.
• Nachvollziehbarkeit von Aktionen über individuelle Benutzerkonten.

6. Auftragskontrolle

Maßnahmen, die gewährleisten, dass Daten auftragsgemäß verarbeitet werden.

• Vertragliche Verpflichtung aller Unterauftragsverarbeiter nach Art. 28 DSGVO (siehe Anlage 2).
• Keine Nutzung von Kundendaten zu eigenen Zwecken, zur Anreicherung eigener Datenbestände oder zum Training eigener Modelle.

7. Verfügbarkeitskontrolle

Sicherung personenbezogener Daten gegen zufällige Zerstörung oder Verlust.

• Tägliche automatisierte Datensicherung (Backups) mit 14-tägiger Aufbewahrung (Rotation).
• Dokumentierter Wiederherstellungsprozess (Recovery) aus Sicherungen.
• Bereitstellung der Infrastruktur mit Verfügbarkeits- und Redundanzmaßnahmen des Unterauftragsverarbeiters Render (Frankfurt).

8. Trennungsgebot

Maßnahmen, die die getrennte Verarbeitung zu unterschiedlichen Zwecken erhobener Daten gewährleisten.

• Logische Trennung der Daten je Kunde/Konto auf Anwendungsebene (kontobezogenes Berechtigungskonzept).

9. Belastbarkeit und Wiederherstellbarkeit (Art. 32 Abs. 1 lit. b, c DSGVO)

• Automatisierte Tests zur Absicherung der Funktions- und Datenintegrität.
• Fehler- und Timeout-Behandlung zur Aufrechterhaltung des Betriebs.
• Wiederherstellbarkeit der Daten aus Sicherungen (siehe Ziffer 7).

Allgemeine Maßnahmen

• Fortlaufende Überprüfung und Weiterentwicklung der technischen und organisatorischen Maßnahmen entsprechend dem Stand der Technik.

Hinweis: Ein betrieblicher Datenschutzbeauftragter ist nach Art. 37 DSGVO derzeit nicht bestellt, da die Voraussetzungen für eine Benennungspflicht nach eigener Einschätzung nicht vorliegen. Mitarbeiterschulungen und Vertraulichkeitsverpflichtungen erfolgen, sobald Beschäftigte eingesetzt werden. (Bitte anwaltlich bestätigen.)

Anlage 2

Liste der zugelassenen Unterauftragsverarbeiter*innen

Name des Unternehmens

Produkt oder Dienst

Ort der Verarbeitung

Zweck der Verarbeitung

Anthropic

Ireland, Limited, Dublin, Irland

KI-gestützte Erstellung der Risikoberichte

Verarbeitung überwiegend auf Servern in den USA (Drittland).

Unterstützung der Plattform

Stripe

Payments Europe, Limited, Dublin, Irland

Zahlungsabwicklung

Verarbeitung in der EU (Irland); bei Übermittlung an die US-Muttergesellschaft Stripe, Inc. auch in den USA (Drittland).

Organisation der Zahlungsabwicklung

Render

Inc., San Francisco, Kalifornien, USA

Hosting und Betrieb der Infrastruktur

Speicherung in der Region Frankfurt am Main (Deutschland); Zugriff aus dem Drittland (USA) nicht ausgeschlossen

Kontinuierliche Optimierung der Plattform

Garantien für Drittlandübermittlungen:

Anthropic: EU-Standardvertragsklauseln (Durchführungsbeschluss (EU) 2021/914), Bestandteil des Auftragsverarbeitungsvertrags von Anthropic (https://www.anthropic.com/legal/data-processing-addendum).

Stripe: EU-Standardvertragsklauseln (Durchführungsbeschluss (EU) 2021/914); die US-Gesellschaft ist zusätzlich unter dem EU-US Data Privacy Framework zertifiziert (https://stripe.com/legal/dpa).

Render: EU-Standardvertragsklauseln (Durchführungsbeschluss (EU) 2021/914) nebst ergänzenden Maßnahmen (https://render.com/dpa).