Vertrag zur Auftragsverarbeitung

Vertrag über die Verarbeitung personenbezogener Daten im Auftrag

nach Art. 28 Datenschutz-Grundverordnung (DSGVO)

§ 1 Gegenstand, Dauer und Rangverhältnis

1. Gegenstand dieses Vertrags ist die Verarbeitung personenbezogener Daten, die der Auftragsverarbeiter im Rahmen der zwischen den Parteien vereinbarten Postproduktionsleistungen (Hauptvertrag) im Auftrag des Verantwortlichen durchführt.
2. Die Dauer dieses Vertrags entspricht der Laufzeit des Hauptvertrags. Er endet mit dessen Beendigung, spätestens jedoch mit der vollständigen Rückgabe oder Löschung der Daten nach § 10.
3. Einzelheiten zu Art, Umfang und Zweck der Verarbeitung, den Datenkategorien und den Kategorien betroffener Personen ergeben sich aus Anlage 1.
4. Bei Widersprüchen gehen die Regelungen dieses Vertrags denen des Hauptvertrags vor, soweit datenschutzrechtliche Fragen betroffen sind.

§ 2 Weisungsrecht

1. Der Auftragsverarbeiter verarbeitet die Daten ausschließlich im Rahmen der getroffenen Vereinbarungen und nach dokumentierten Weisungen des Verantwortlichen, es sei denn, er ist nach dem Recht der Union oder der Mitgliedstaaten zu einer anderen Verarbeitung verpflichtet. In einem solchen Fall teilt er dem Verantwortlichen die rechtlichen Anforderungen vor der Verarbeitung mit, sofern das Recht dies nicht wegen eines wichtigen öffentlichen Interesses verbietet.
2. Weisungen sind in Textform zu erteilen. Mündliche Weisungen sind unverzüglich in Textform zu bestätigen. Weisungsberechtigt sind die im Hauptvertrag benannten Ansprechpersonen.
3. Der Auftragsverarbeiter informiert den Verantwortlichen unverzüglich, wenn er der Auffassung ist, dass eine Weisung gegen datenschutzrechtliche Vorschriften verstößt. Er ist berechtigt, die Ausführung einer solchen Weisung auszusetzen, bis sie bestätigt oder geändert wird.

§ 3 Pflichten des Auftragsverarbeiters

1. Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich zu den vereinbarten Zwecken und nur im Gebiet der Europäischen Union bzw. des Europäischen Wirtschaftsraums, soweit in Anlage 3 nichts anderes ausgewiesen ist. Jede Verlagerung in ein Drittland bedarf der Zustimmung des Verantwortlichen und setzt geeignete Garantien nach Art. 44 ff. DSGVO voraus.
2. Er verpflichtet alle zur Verarbeitung befugten Personen schriftlich zur Vertraulichkeit, soweit diese nicht bereits einer gesetzlichen Verschwiegenheitspflicht unterliegen. Die Verpflichtung besteht auch nach Beendigung der Tätigkeit fort.
3. Er trifft die nach Art. 32 DSGVO erforderlichen technischen und organisatorischen Maßnahmen; diese sind in Anlage 2 beschrieben. Er darf sie fortentwickeln, sofern das vereinbarte Schutzniveau nicht unterschritten wird; wesentliche Änderungen werden dokumentiert und dem Verantwortlichen auf Anfrage mitgeteilt.
4. Er unterstützt den Verantwortlichen bei der Erfüllung von dessen Pflichten nach Art. 32 bis 36 DSGVO, insbesondere bei der Meldung von Datenschutzverletzungen, bei Datenschutz-Folgenabschätzungen und bei vorherigen Konsultationen.
5. Er führt ein Verzeichnis aller Verarbeitungstätigkeiten im Auftrag nach Art. 30 Abs. 2 DSGVO.
6. Ein Datenschutzbeauftragter ist nicht bestellt, da die gesetzlichen Voraussetzungen nicht vorliegen. Ansprechpartner in Datenschutzfragen ist der Geschäftsführer.

§ 4 Unterauftragsverhältnisse

1. Der Verantwortliche erteilt dem Auftragsverarbeiter die allgemeine Genehmigung, weitere Auftragsverarbeiter einzusetzen. Die zum Zeitpunkt des Vertragsschlusses eingesetzten Unterauftragsverarbeiter sind in Anlage 3 aufgeführt und werden hiermit genehmigt.
2. Der Auftragsverarbeiter informiert den Verantwortlichen mindestens 14 Tage im Voraus in Textform über die beabsichtigte Hinzuziehung oder Ersetzung eines Unterauftragsverarbeiters. Der Verantwortliche kann aus wichtigem, datenschutzrechtlich begründetem Anlass innerhalb dieser Frist widersprechen. Im Fall eines berechtigten Widerspruchs sind beide Parteien zur Kündigung des betroffenen Leistungsteils berechtigt.
3. Der Auftragsverarbeiter wählt Unterauftragsverarbeiter sorgfältig aus und erlegt ihnen vertraglich dieselben Datenschutzpflichten auf, die in diesem Vertrag vereinbart sind. Er haftet gegenüber dem Verantwortlichen für die Einhaltung dieser Pflichten.
4. Nebenleistungen ohne unmittelbaren Bezug zur Verarbeitung (z. B. Telekommunikation, Post, Reinigung, Wartung, Entsorgung) gelten nicht als Unterauftragsverhältnis im Sinne dieses Paragrafen.

§ 5 Rechte betroffener Personen

1. Wendet sich eine betroffene Person unmittelbar an den Auftragsverarbeiter, leitet dieser die Anfrage unverzüglich an den Verantwortlichen weiter und beantwortet sie nicht selbst.
2. Der Auftragsverarbeiter unterstützt den Verantwortlichen mit geeigneten technischen und organisatorischen Maßnahmen dabei, Anträgen auf Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit und Widerspruch nachzukommen.
3. Berichtigung, Löschung und Einschränkung von Daten nimmt der Auftragsverarbeiter nur nach Weisung des Verantwortlichen vor.

§ 6 Meldung von Verletzungen des Schutzes personenbezogener Daten

1. Der Auftragsverarbeiter meldet dem Verantwortlichen jede Verletzung des Schutzes personenbezogener Daten unverzüglich, spätestens innerhalb von 24 Stunden nach Bekanntwerden, in Textform.
2. Die Meldung enthält, soweit bekannt: Art der Verletzung, betroffene Datenkategorien und ungefähre Zahl der Betroffenen, wahrscheinliche Folgen sowie die ergriffenen oder vorgeschlagenen Abhilfemaßnahmen.
3. Der Auftragsverarbeiter ergreift unverzüglich Maßnahmen zur Sicherung der Daten und zur Minderung möglicher nachteiliger Folgen.

§ 7 Nachweise und Kontrollen

1. Der Auftragsverarbeiter weist die Einhaltung der Pflichten aus diesem Vertrag auf Anfrage nach, insbesondere durch die Vorlage der Beschreibung nach Anlage 2 und geeigneter Dokumentation.
2. Der Verantwortliche ist berechtigt, Überprüfungen durchzuführen oder durch beauftragte Prüfer durchführen zu lassen. Kontrollen erfolgen nach Ankündigung mit angemessener Frist, während der üblichen Geschäftszeiten und ohne vermeidbare Störung des Betriebsablaufs.
3. Der Auftragsverarbeiter kann für Kontrollen, die über eine Auskunft in Textform hinausgehen und nicht durch einen konkreten Anlass begründet sind, eine angemessene Vergütung verlangen.

§ 8 Löschung und Rückgabe

1. Nach Abschluss der Verarbeitungsleistungen löscht der Auftragsverarbeiter alle im Auftrag verarbeiteten Daten oder gibt sie nach Wahl des Verantwortlichen zurück. Ohne abweichende Weisung erfolgt die Löschung 90 Tage nach Endabnahme bzw. Schlussrechnung.
2. Die Löschung wird protokolliert und auf Anfrage bestätigt.
3. Ausgenommen sind Daten, für die eine gesetzliche Aufbewahrungspflicht besteht. Diese werden über den Zeitraum der Aufbewahrungspflicht gesperrt und ausschließlich zu diesem Zweck vorgehalten.

§ 9 Haftung und Schlussbestimmungen

1. Für die Haftung gilt Art. 82 DSGVO. Im Innenverhältnis gelten ergänzend die Haftungsregelungen des Hauptvertrags.
2. Änderungen und Ergänzungen dieses Vertrags bedürfen der Textform. Dies gilt auch für die Aufhebung dieses Formerfordernisses.
3. Sollte eine Bestimmung unwirksam sein oder werden, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt.
4. Es gilt das Recht der Bundesrepublik Deutschland.

Anlage 1 – Beschreibung der Verarbeitung

Anlage 2 – Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

Vertraulichkeit

• Zutrittskontrolle: Die Arbeits- und Serverräume befinden sich in abschließbaren Räumlichkeiten; Zutritt nur durch den Geschäftsführer und ausdrücklich berechtigte Personen. Der zentrale Server wird in einem zertifizierten Rechenzentrum eines Auftragsverarbeiters betrieben.
• Zugangskontrolle: Alle Systeme sind passwortgeschützt; die Anmeldung am Auftragssystem erfolgt über getrennte Zugänge für Personen (Passwort) und Maschinen (Token). Der Serverzugang ist ausschließlich schlüsselbasiert; die Anmeldung als Administrator über Passwort ist deaktiviert. Arbeitsplätze sperren sich bei Inaktivität automatisch.
• Zugriffskontrolle: Berechtigungen werden nach dem Prinzip der geringsten notwendigen Rechte vergeben. Dienstleister erhalten ausschließlich das für ihr Gewerk erforderliche Material. Datenträger werden vor Weitergabe oder Entsorgung sicher gelöscht.
• Trennungskontrolle: Daten werden projektbezogen getrennt abgelegt; Entwicklungs-, Test- und Produktivumgebung sind getrennt. Es findet keine Zusammenführung von Daten verschiedener Auftraggeber statt.
• Pseudonymisierung: Vor jeder Übermittlung von Texten an externe Sprachmodelle werden identifizierende Angaben automatisiert durch Platzhalter ersetzt (zweistufig: feste Suchmuster und ein lokal betriebenes Modell). Bild-, Ton- und Videomaterial wird nicht an externe Sprachmodelle übermittelt.

Integrität

• Weitergabekontrolle: Übertragungen erfolgen ausschließlich verschlüsselt (TLS). Physische Datenträger werden ausschließlich verschlüsselt oder persönlich übergeben. Jede Weitergabe an Dienstleister wird protokolliert.
• Eingabekontrolle: Jeder Verarbeitungsschritt wird mit Zeitstempel, auslösendem Vorgang und Ergebnis protokolliert. Protokolle sind nachträglich nicht veränderbar.
• Unveränderbarkeit: Belege und Ausgangsrechnungen werden schreibgeschützt abgelegt und über Prüfsummen (SHA-256) gegen Veränderung gesichert.

Verfügbarkeit und Belastbarkeit

• Regelmäßige, verschlüsselte Sicherungskopien mit turnusmäßiger Wiederherstellungsprobe.
• Getrennte Aufbewahrung der Sicherungen vom Produktivsystem.
• Aktuelle Betriebssysteme und Anwendungen, Firewall und automatische Sicherheitsaktualisierungen.
• Unterbrechungsfreie Stromversorgung und Überspannungsschutz an den Produktionsarbeitsplätzen.

Verfahren zur Überprüfung und Bewertung

• Verzeichnis von Verarbeitungstätigkeiten und Verfahrensdokumentation werden fortlaufend gepflegt.
• Jährliche Überprüfung der Maßnahmen und der eingesetzten Dienstleister; Anlassprüfung bei jedem Werkzeugwechsel.
• Vor jeder Außenwirkung des Auftragssystems steht eine manuelle Freigabe durch den Geschäftsführer; automatisierte Einzelentscheidungen im Sinne von Art. 22 DSGVO finden nicht statt.
• Interne Richtlinie zum Einsatz von KI-Werkzeugen einschließlich Einweisung aller Mitwirkenden (Art. 4 KI-VO).
• Auftragskontrolle: schriftliche Weisungen, Auftragsverarbeitungsverträge mit allen Dienstleistern, dokumentierte Löschzusagen.

Anlage 3 – Genehmigte Unterauftragsverarbeiter

Die jeweils aktuelle Fassung dieser Anlage ist auf dieser Seite abrufbar. Änderungen werden nach § 4 Abs. 2 angekündigt.

Fassung: September 2026 (Fassung 2) · Siehe auch Datenschutzerklärung und AGB, Abschnitt XV