Auftragsverarbeitungs­vertrag.

(1)Dieser Vertrag regelt die Rechte und Pflichten der Parteien im Zusammenhang mit der Verarbeitung personenbezogener Daten durch den Auftragsverarbeiter im Auftrag des Auftraggebers gemäß Art. 28 DSGVO.

(2)Der Auftragsverarbeiter erbringt – je nach Beauftragung durch den Auftraggeber – insbesondere folgende Leistungen:

• Webhosting (ggf. inkl. E-Mail-Hosting)
• Registrierung und Verwaltung von Domains
• Personalmarketing / Recruiting
• Website-Erstellung, Landing Pages und Funnels
• Videoproduktion
• Online-Marketing (z. B. über Google, Meta, TikTok)
• Abwicklung von Druckaufträgen, ggf. inkl. Lettershop / Mailings
• Erstellung und Betrieb von Business-Dashboards
• Softwareentwicklung, individuelle Schnittstellen und Plugins
• Workflow-Automationen (selbst gehostete n8n-Instanz)
• KI-gestützte Lösungen und Chatbots
• CRM-Systeme und Bewerbermanagementsysteme
• Technische Betreuung und Fernwartung von Systemen des Auftraggebers
• Social-Media-Betreuung und Redaktionsplanung

Darüber hinaus können weitere datenschutzrechtlich relevante Leistungen vereinbart werden, soweit diese im Rahmen des jeweiligen Hauptvertrages / Projektvertrages beauftragt sind.

(3)Die Verarbeitung erfolgt für die Dauer der jeweiligen Beauftragung. Spätestens drei Monate nach Abschluss des jeweiligen Auftrags werden die personenbezogenen Daten gelöscht, sofern vom Auftraggeber keine längere Aufbewahrung beauftragt wurde oder gesetzliche Aufbewahrungsfristen einer Löschung entgegenstehen.

(4)Werden personenbezogene Daten langfristig gespeichert (z. B. für fortlaufende Marketingkontakte), erfolgt dies nur auf explizite Weisung bzw. Beauftragung durch den Auftraggeber oder aufgrund gesetzlicher Vorgaben.

(1)Je nach Beauftragung können folgende Kategorien personenbezogener Daten verarbeitet werden:

• Adress- und Kontaktdaten (z. B. Namen, Adressen, E-Mail-Adressen, Telefonnummern)
• Bewerberdaten (z. B. Name, Kontaktdaten, Lebenslauf, Qualifikationen)
• Daten von Interessenten und Kunden (z. B. Kundennummern, Projektdaten, Bestell- und Kommunikationshistorien)
• Mitarbeiterdaten (z. B. Personalstammdaten)
• Patienten- oder Gesundheitsdaten (soweit für Business-Dashboards, Recruiting-Funnels oder Website-Betrieb erforderlich)
• Mandantendaten (z. B. von Rechtsanwälten, Notaren, Steuerberatern)
• Weitere Datenkategorien, die im jeweiligen Auftrag spezifiziert sind

(2)Je nach Beauftragung können folgende Personengruppen betroffen sein:

• Kunden, Interessenten, Bewerber, Mitarbeiter und Geschäftspartner des Auftraggebers
• Patienten des Auftraggebers (z. B. im Rahmen von Business-Dashboards oder Recruiting-Funnels)
• Mandanten des Auftraggebers (z. B. bei Rechtsanwälten oder Steuerberatern)
• Alle weiteren betroffenen Personengruppen, die im Rahmen des Auftrags einbezogen werden

(3)Die Verarbeitung personenbezogener Daten erfolgt ausschließlich zum Zweck der Erfüllung des jeweiligen Auftrags im Sinne des Hauptvertrags. Eine Verarbeitung für andere, nicht vereinbarte Zwecke erfolgt nicht. Es gilt das Prinzip der Datensparsamkeit; eine weitergehende Datenauswertung, die nicht zur Erbringung des Auftrags erforderlich ist, findet nicht statt. Eine Weitergabe an Dritte erfolgt nur auf Weisung des Auftraggebers oder aufgrund gesetzlicher Verpflichtung.

(1)Weisungsgebundenheit. Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich im Rahmen der mit dem Auftraggeber getroffenen Vereinbarungen und nach dessen Weisungen (Art. 29 DSGVO). Die Weisungen können sich aus diesem Vertrag, sonstigen schriftlichen Vereinbarungen oder einzelvertraglichen Regelungen ergeben.

(2)Vertraulichkeit. Der Auftragsverarbeiter stellt sicher, dass alle Personen, die zur Verarbeitung der personenbezogenen Daten befugt sind, sich zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen.

(3)Technische und organisatorische Maßnahmen (TOMs). Der Auftragsverarbeiter trifft alle erforderlichen Maßnahmen, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten (Art. 32 DSGVO). Dazu gehören insbesondere:

• Zugangs- und Zutrittskontrollen (z. B. Schlüssel nur für befugte Personen)
• Einsatz verschlüsselter Verbindungen (z. B. HTTPS, VPN, SSH)
• Multi-Faktor-Authentifizierung für sensible Zugänge
• Regelmäßige Aktualisierung und Wartung von Hard- und Software
• Begrenzung der Zugriffsberechtigungen nach dem Need-to-know-Prinzip
• Sichere Aufbewahrung und Löschkonzepte für personenbezogene Daten

Beim Einsatz von KI-Diensten (z. B. KI-Sprachmodelle, Automatisierungsdienste) stellt der Auftragsverarbeiter sicher, dass vertrauliche Informationen und personenbezogene Daten des Auftraggebers nicht zum Training von KI-Modellen genutzt werden. Es werden ausschließlich KI-Dienste eingesetzt, deren Anbieter dies vertraglich ausschließen oder mit denen entsprechende Datenverarbeitungsvereinbarungen bestehen.

Der Auftragsverarbeiter aktualisiert diese Maßnahmen regelmäßig entsprechend dem Stand der Technik.

(4)Unterstützungspflichten. Der Auftragsverarbeiter unterstützt den Auftraggeber bei der Erfüllung der in den Art. 32 bis 36 DSGVO genannten Pflichten (Sicherheit der Verarbeitung, Meldungen von Datenschutzverletzungen, Benachrichtigung betroffener Personen, Datenschutz-Folgenabschätzungen).

(5)Information über Datenpannen. Bei Verletzungen des Schutzes personenbezogener Daten, die den Verantwortungsbereich des Auftragsverarbeiters betreffen und den Auftraggeber berühren, informiert der Auftragsverarbeiter den Auftraggeber unverzüglich, spätestens jedoch binnen 48 Stunden per E-Mail und, soweit möglich, zusätzlich telefonisch.

(1)Rechtsgrundlage. Der Auftraggeber ist dafür verantwortlich, dass die Verarbeitung personenbezogener Daten eine ausreichende Rechtsgrundlage hat (z. B. Einwilligung, Vertragserfüllung, gesetzliche Vorschriften) und alle erforderlichen Informationen an die betroffenen Personen erteilt werden.

(2)Weisungsrecht. Der Auftraggeber erteilt Weisungen in nachvollziehbarer Form (Textform; E-Mail genügt) und trägt die Verantwortung für die Rechtmäßigkeit dieser Weisungen.

(3)Meldepflichten. Kommt es zu einer Datenpanne außerhalb des Verantwortungsbereiches des Auftragsverarbeiters, liegt die Meldung an die Aufsichtsbehörde und die Benachrichtigung betroffener Personen in der Verantwortung des Auftraggebers. Der Auftragsverarbeiter unterstützt dabei auf Weisung.

(4)Verzeichnis von Verarbeitungstätigkeiten. Der Auftraggeber hält ein Verzeichnis von Verarbeitungstätigkeiten gemäß Art. 30 DSGVO vor, das auch die durch den Auftragsverarbeiter durchgeführten Verarbeitungen umfasst.

(1)Unterauftragsverarbeiter. Der Auftragsverarbeiter setzt zur Erbringung der vereinbarten Leistungen unter Umständen weitere Unterauftragsverarbeiter (Nachunternehmer) ein. Eine aktuelle Liste ist in Anhang 1 aufgeführt.

(2)Allgemeine Genehmigung. Der Auftraggeber erklärt sich mit der Beauftragung der in Anhang 1 genannten Unterauftragsverarbeiter einverstanden. Der Auftragsverarbeiter informiert den Auftraggeber über geplante Änderungen, sodass der Auftraggeber der Änderung ggf. widersprechen kann.

(3)Pflichten der Unterauftragsverarbeiter. Der Auftragsverarbeiter stellt sicher, dass mit allen Unterauftragsverarbeitern ebenfalls Vereinbarungen gem. Art. 28 DSGVO geschlossen werden und die dort getroffenen Regelungen mindestens dem Schutzniveau dieses Vertrags entsprechen.

(4)Internationale Datenübermittlungen. Soweit Unterauftragsverarbeiter in Drittstaaten (außerhalb des EWR) personenbezogene Daten verarbeiten, erfolgt dies nur, sofern die Voraussetzungen von Kapitel V DSGVO (z. B. Angemessenheitsbeschluss, Standardvertragsklauseln) erfüllt sind. Sensible Daten (z. B. Bewerber- oder Patientendaten nach Art. 9 DSGVO) werden in solchen Drittstaaten nur verarbeitet, wenn der Auftraggeber dem ausdrücklich zugestimmt hat.

(1)Der Auftragsverarbeiter haftet für Schäden, die durch eine grob fahrlässige oder vorsätzliche Verletzung der in diesem Vertrag oder in den geltenden Datenschutzvorschriften geregelten Pflichten verursacht wurden, soweit dies gesetzlich zulässig ist.

(2)Der Auftragsverarbeiter schließt – soweit gesetzlich zulässig – die Haftung für Verstöße gegen Datenschutzgesetze aus, die dem Auftraggeber vorgeworfen werden (z. B. im Betrieb der Website, Social-Media-Kanäle oder Online-Marketing-Dienste), falls der Auftraggeber seinen Pflichten nicht nachkommt (z. B. wenn er veraltete Datenschutzerklärungen verwendet, Einwilligungserfordernisse ignoriert oder Änderungen in der Rechtsprechung nicht beachtet). Der Auftraggeber bleibt insoweit selbst verantwortlich für die Rechtmäßigkeit der Datenerhebung, -speicherung und -verarbeitung.

(3)Erheben Dritte (einschließlich betroffener Personen) Ansprüche gegen den Auftragsverarbeiter, die auf einer Handlung oder Unterlassung des Auftraggebers beruhen (insbesondere unzulässige Weisungen), stellt der Auftraggeber den Auftragsverarbeiter von solchen Ansprüchen frei.

(1)Nach Abschluss der vertraglichen Leistungen oder vorzeitiger Beendigung der Zusammenarbeit löscht oder vernichtet der Auftragsverarbeiter alle personenbezogenen Daten unverzüglich, spätestens jedoch drei Monate nach Abschluss des Auftrags, sofern keine gesetzliche Aufbewahrungsfrist oder Weisung des Auftraggebers entgegensteht.

(2)Wünscht der Auftraggeber eine längere Aufbewahrung (z. B. für Marketingzwecke), kann dies schriftlich (Textform) vereinbart werden.

(1)Auf diesen Vertrag findet ausschließlich das Recht der Bundesrepublik Deutschland Anwendung.

(2)Ausschließlicher Gerichtsstand für alle Streitigkeiten aus diesem Vertrag ist – soweit zulässig – Waldbröl.

(1)Verhältnis zum Hauptvertrag. Dieser Auftragsverarbeitungsvertrag wird getrennt vom jeweiligen Hauptvertrag abgeschlossen. Er gilt für alle Leistungsbereiche, die der Auftragsverarbeiter im Rahmen der Zusammenarbeit für den Auftraggeber erbringt.

(2)Textformklausel. Ergänzungen und Änderungen dieses Vertrags bedürfen der Textform (z. B. E-Mail). Dies gilt auch für einen Verzicht auf dieses Formerfordernis.

(3)Teilnichtigkeit. Sollten einzelne Bestimmungen dieses Vertrags unwirksam sein oder werden, wird dadurch die Wirksamkeit der übrigen Bestimmungen nicht berührt.

(4)Elektronische Unterzeichnung. Dieser Vertrag kann in Papierform unterzeichnet oder durch eine schriftliche Bestätigung in Textform (z. B. per E-Mail mit dem Wortlaut „Ich akzeptiere den AVV der Vorländer & friends e.K. in der Fassung vom [Datum]") abgeschlossen werden. Beide Formen gelten als rechtsverbindlich.

Mit allen eingesetzten Unterauftragsverarbeitern bestehen gültige Vereinbarungen zur Auftragsverarbeitung nach Art. 28 DSGVO. Als „in Vorbereitung" gekennzeichnete Dienste werden erst eingesetzt, nachdem eine entsprechende Vereinbarung geschlossen wurde; sie sind hier aufgeführt, damit der Auftraggeber sein Widerspruchsrecht nach § 5 Abs. 2 bereits ausüben kann. Eine Verarbeitung sensibler Daten (Art. 9 DSGVO) in Drittstaaten findet – soweit nicht ausdrücklich vereinbart – nicht statt.