← Zurück zur Startseite

Vertrag zur Auftragsverarbeitung (AVV) nach Art. 28 DSGVO

Wann dieser Vertrag gilt

Dieser Vertrag richtet sich an Unternehmen und andere Organisationen (Verantwortliche im Sinne der DSGVO), für die ich personenbezogene Daten im Auftrag verarbeite. Er wird Bestandteil unserer Zusammenarbeit, wenn mein Angebot oder der Vertrag auf ihn verweist oder wenn Sie ihn in Textform anfordern und ich das bestätige. Der Abschluss erfolgt in Textform bzw. in einem elektronischen Format (Art. 28 Abs. 9 DSGVO), zum Beispiel durch Annahme des Angebots per E-Mail. Die jeweils vereinbarte Fassung erhalten Sie mit dem Angebot in Textform.

Typische Fälle einer Auftragsverarbeitung:

  • Umsetzung von KI-Automatisierungen, Workflows oder KI-Assistenten, die Daten Ihrer Kunden, Beschäftigten oder Geschäftspartner verarbeiten
  • Entwicklung, Einrichtung, Betrieb, Wartung oder Support mit Zugriff auf Ihre Systeme, wenn ein Zugriff auf personenbezogene Daten nicht ausgeschlossen werden kann (auch per Fernzugriff)
  • Entwicklung von Trading-Systemen für Unternehmen, wenn dabei Reports, Orderhistorien oder Datenbestände mit personenbezogenen Daten verarbeitet werden

Keine Auftragsverarbeitung und deshalb kein AVV nötig:

  • reine Schulungen, Workshops, Coachings und Beratungen, bei denen ich keinen Zugriff auf personenbezogene Daten Ihres Unternehmens erhalte
  • KI-Audits oder Konzepte auf Grundlage von Unterlagen und Gesprächen ohne personenbezogene Daten Dritter
  • Entwicklung ausschließlich mit Test-, Beispiel- oder synthetischen Daten
  • die Verarbeitung Ihrer Kontakt- und Vertragsdaten für Angebot, Durchführung und Abrechnung — dafür bin ich selbst verantwortlich (siehe Datenschutzerklärung)
  • Leistungen für Privatpersonen zu rein persönlichen oder familiären Zwecken — die Privatperson ist insoweit nicht Verantwortliche im Sinne der DSGVO (Art. 2 Abs. 2 lit. c DSGVO), deshalb wird kein AVV geschlossen; soweit ich dabei personenbezogene Daten verarbeite, bin ich selbst Verantwortlicher (siehe Datenschutzerklärung)

Ob im Einzelfall eine Auftragsverarbeitung vorliegt, stimmen wir vor Projektbeginn ab und halten es im Angebot fest. Arbeitet Ihr Unternehmen mit einem eigenen AVV-Muster, können wir auch dieses verwenden. Der Vertrag orientiert sich inhaltlich an den Standardvertragsklauseln der EU-Kommission zwischen Verantwortlichen und Auftragsverarbeitern (Durchführungsbeschluss (EU) 2021/915).

Präambel und Vertragsparteien

Dieser Vertrag wird geschlossen zwischen dem im jeweiligen Angebot bzw. Auftrag genannten Kunden als Verantwortlichem (nachfolgend „Kunde“) und Marcel Gautsche, Rotweg 43, 70437 Stuttgart, E-Mail: info@marcelgautsche.de, als Auftragsverarbeiter (nachfolgend „Auftragnehmer“). Er konkretisiert die datenschutzrechtlichen Pflichten der Parteien, die sich aus der Verarbeitung personenbezogener Daten im Auftrag nach Art. 28 der Datenschutz-Grundverordnung (DSGVO) ergeben.

§ 1 Gegenstand, Geltung und Abschluss

(1) Dieser Vertrag gilt für alle Tätigkeiten, bei denen der Auftragnehmer im Rahmen eines Vertrags mit dem Kunden (Angebot, Auftrag, Projekt-, Wartungs- oder Betreuungsvertrag, nachfolgend „Hauptvertrag“) personenbezogene Daten im Auftrag des Kunden verarbeitet oder ein Zugriff auf solche Daten nicht ausgeschlossen werden kann (nachfolgend „Auftragsdaten“).

(2) Der Vertrag wird Bestandteil des Hauptvertrags, wenn der Hauptvertrag auf ihn verweist oder der Kunde seinen Abschluss in Textform verlangt und der Auftragnehmer dies bestätigt. Der Abschluss erfolgt schriftlich oder in einem elektronischen Format (Art. 28 Abs. 9 DSGVO), insbesondere durch Annahme eines Angebots per E-Mail, das auf diesen Vertrag verweist. Maßgeblich ist die Fassung, die dem Kunden mit dem Angebot in Textform übermittelt wurde.

(3) Gegenstand, Art und Zweck der Verarbeitung, die Art der Daten, die Kategorien betroffener Personen, die Dauer sowie die eingesetzten Unterauftragsverarbeiter werden im jeweiligen Hauptvertrag konkretisiert (Angaben nach Anlage 3). § 2 beschreibt den Rahmen; die Angaben im Hauptvertrag gehen ihm vor.

(4) Soweit der Auftragnehmer personenbezogene Daten für eigene Zwecke verarbeitet, insbesondere Kontakt-, Vertrags- und Abrechnungsdaten des Kunden und seiner Ansprechpersonen, ist er insoweit selbst Verantwortlicher; dafür gilt dieser Vertrag nicht.

(5) Begriffe wie „personenbezogene Daten“, „Verarbeitung“, „Verantwortlicher“, „Auftragsverarbeiter“ und „Verletzung des Schutzes personenbezogener Daten“ haben die Bedeutung, die ihnen die DSGVO gibt.

§ 2 Art und Zweck der Verarbeitung, Art der Daten, betroffene Personen

(1) Gegenstand der Verarbeitung sind insbesondere folgende Leistungen, soweit der Hauptvertrag sie vorsieht:

(2) Art der Verarbeitung: Speichern, Ordnen, Auslesen, Abfragen, Verwenden, Abgleichen, Übermitteln an die im Hauptvertrag festgelegten Systeme, Einschränken und Löschen, jeweils nur soweit für den Zweck erforderlich.

(3) Zweck der Verarbeitung ist ausschließlich die Erbringung der im Hauptvertrag vereinbarten Leistungen.

(4) Art der Daten, je nach Auftrag typischerweise:

(5) Kategorien betroffener Personen, je nach Auftrag typischerweise:

(6) Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO) und Daten über strafrechtliche Verurteilungen und Straftaten (Art. 10 DSGVO) verarbeitet der Auftragnehmer nur, wenn der Hauptvertrag dies ausdrücklich vorsieht. In diesem Fall legen die Parteien dort zusätzliche Beschränkungen und Garantien fest, zum Beispiel eine strenge Zweckbindung, den Zugriff ausschließlich durch den Auftragnehmer persönlich, zusätzliche Verschlüsselung und den Verzicht auf die Verarbeitung in KI-Diensten ohne ausdrückliche Weisung.

(7) Der Auftragnehmer verarbeitet die Auftragsdaten in der Europäischen Union bzw. im Europäischen Wirtschaftsraum. Eine Übermittlung in Drittländer richtet sich nach § 9.

(8) Die Dauer der Verarbeitung entspricht der Laufzeit des Hauptvertrags zuzüglich des Zeitraums bis zur vollständigen Löschung oder Rückgabe der Daten nach § 12.

§ 3 Weisungen

(1) Der Auftragnehmer verarbeitet Auftragsdaten nur auf dokumentierte Weisung des Kunden, auch in Bezug auf die Übermittlung in ein Drittland. Die Weisungen ergeben sich aus dem Hauptvertrag und diesem Vertrag. Der Kunde kann während der Laufzeit weitere Weisungen erteilen. Weisungen erfolgen in Textform (z. B. per E-Mail). Mündliche Weisungen bestätigt der Kunde unverzüglich in Textform; der Auftragnehmer dokumentiert sie bis dahin selbst.

(2) Ist der Auftragnehmer nach dem Recht der Union oder eines Mitgliedstaats zu einer Verarbeitung verpflichtet, teilt er dem Kunden diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht eine solche Mitteilung nicht wegen eines wichtigen öffentlichen Interesses verbietet.

(3) Ist der Auftragnehmer der Auffassung, dass eine Weisung gegen die DSGVO oder andere Datenschutzvorschriften der Union oder der Mitgliedstaaten verstößt, informiert er den Kunden unverzüglich. Er darf die Ausführung der Weisung aussetzen, bis der Kunde sie bestätigt oder ändert.

(4) Die weisungsberechtigten Personen des Kunden werden im Hauptvertrag benannt. Weisungsempfänger ist Marcel Gautsche (info@marcelgautsche.de). Diese Adresse wird derzeit an ein Konto bei Google (Gmail) weitergeleitet, für das kein Auftragsverarbeitungsvertrag besteht. Auftragsdaten übermitteln die Parteien deshalb nicht per E-Mail, sondern ausschließlich in den Systemen des Kunden oder als verschlüsseltes Archiv (Anlage 1 Nr. 2); Weisungen und Meldungen nach § 7 enthalten keine Auftragsdaten. Änderungen teilen die Parteien einander in Textform mit.

(5) Weisungen, die über den vereinbarten Leistungsumfang hinausgehen, behandeln die Parteien als Änderungswunsch nach dem Hauptvertrag.

(6) Der Auftragnehmer verwendet Auftragsdaten nicht für eigene Zwecke, insbesondere nicht zum Training oder Testen eigener Modelle, für Auswertungen, Referenzen oder Werbung. Kopien oder Duplikate erstellt er nur, soweit dies für die vertragsgemäße Leistung, eine ordnungsgemäße Datensicherung oder gesetzliche Aufbewahrungspflichten erforderlich ist.

§ 4 Vertraulichkeit

(1) Der Auftragnehmer erbringt die Leistungen persönlich. Andere Personen erhalten Zugang zu Auftragsdaten nur, wenn sie als Unterauftragsverarbeiter nach § 8 genehmigt sind oder als Beschäftigte des Auftragnehmers vorher zur Vertraulichkeit verpflichtet wurden bzw. einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen.

(2) Zugang zu Auftragsdaten besteht nur, soweit dies für die Durchführung, Verwaltung und Überwachung des Hauptvertrags erforderlich ist.

(3) Die Pflicht zur Vertraulichkeit gilt über das Ende dieses Vertrags hinaus.

§ 5 Sicherheit der Verarbeitung

(1) Der Auftragnehmer trifft geeignete technische und organisatorische Maßnahmen nach Art. 32 DSGVO, mindestens die in Anlage 1 beschriebenen. Dabei berücksichtigen die Parteien den Stand der Technik, die Implementierungskosten, Art, Umfang, Umstände und Zwecke der Verarbeitung sowie die Risiken für die Rechte und Freiheiten der betroffenen Personen.

(2) Die Maßnahmen unterliegen dem technischen Fortschritt. Der Auftragnehmer darf sie durch gleichwertige oder bessere Maßnahmen ersetzen; das vereinbarte Schutzniveau darf dabei nicht unterschritten werden. Wesentliche Änderungen teilt er dem Kunden in Textform mit.

(3) Der Auftragnehmer hält Auftragsdaten getrennt von den Daten anderer Kunden und von eigenen Daten.

§ 6 Unterstützung des Kunden

(1) Wendet sich eine betroffene Person mit einem Antrag zur Ausübung ihrer Rechte unmittelbar an den Auftragnehmer, leitet er den Antrag unverzüglich an den Kunden weiter. Er beantwortet ihn nicht selbst, es sei denn, der Kunde hat ihn dazu ermächtigt. Unter Berücksichtigung der Art der Verarbeitung unterstützt er den Kunden mit geeigneten technischen und organisatorischen Maßnahmen dabei, Anträge auf Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit und Widerspruch zu beantworten.

(2) Unter Berücksichtigung der Art der Verarbeitung und der ihm zur Verfügung stehenden Informationen unterstützt der Auftragnehmer den Kunden bei der Einhaltung der Pflichten aus Art. 32 bis 36 DSGVO (Sicherheit der Verarbeitung, Meldung und Benachrichtigung bei Datenschutzverletzungen, Datenschutz-Folgenabschätzung, vorherige Konsultation der Aufsichtsbehörde).

(3) Stellt der Auftragnehmer fest, dass Auftragsdaten unrichtig oder veraltet sind, informiert er den Kunden unverzüglich.

(4) Für Unterstützungsleistungen, die nicht im Hauptvertrag enthalten sind und nicht auf einem Verstoß des Auftragnehmers gegen diesen Vertrag oder die DSGVO beruhen, kann eine angemessene Vergütung vereinbart werden, wenn dies vorher in Textform geschieht. Die Pflicht zur Unterstützung hängt davon nicht ab.

§ 7 Meldung von Verletzungen des Schutzes personenbezogener Daten

(1) Der Auftragnehmer meldet dem Kunden eine Verletzung des Schutzes von Auftragsdaten unverzüglich, nachdem sie ihm bekannt geworden ist (Art. 33 Abs. 2 DSGVO), in Textform an die im Hauptvertrag benannte Kontaktperson. Die Meldung enthält, soweit möglich:

Soweit nicht alle Informationen zugleich vorliegen, enthält die erste Meldung die verfügbaren Informationen; weitere reicht der Auftragnehmer ohne unangemessene Verzögerung nach.

(2) Der Auftragnehmer ergreift in Abstimmung mit dem Kunden unverzüglich die erforderlichen Maßnahmen zur Sicherung der Daten und zur Abmilderung möglicher nachteiliger Folgen. Er unterstützt den Kunden bei der Meldung an die Aufsichtsbehörde (Art. 33 DSGVO) und bei der Benachrichtigung betroffener Personen (Art. 34 DSGVO).

(3) Meldungen an Aufsichtsbehörden oder Benachrichtigungen betroffener Personen nimmt der Auftragnehmer für den Kunden nur auf dessen Weisung vor, soweit er nicht selbst gesetzlich dazu verpflichtet ist.

§ 8 Unterauftragsverarbeiter

(1) Der Auftragnehmer setzt weitere Auftragsverarbeiter (Unterauftragsverarbeiter) nur mit vorheriger gesonderter Genehmigung des Kunden ein. Die Genehmigung erfolgt schriftlich oder in einem elektronischen Format, zum Beispiel per E-Mail.

(2) Als genehmigt gelten mit Abschluss dieses Vertrags die in Anlage 2 genannten Unterauftragsverarbeiter sowie die im jeweiligen Hauptvertrag namentlich benannten Unterauftragsverarbeiter, wenn der Kunde den Hauptvertrag mit dieser Benennung annimmt.

(3) Möchte der Auftragnehmer einen weiteren Unterauftragsverarbeiter hinzuziehen oder einen bestehenden ersetzen, beantragt er die Genehmigung mindestens zwei Wochen vor dem geplanten Einsatz in Textform. Der Antrag nennt Name, Anschrift und Kontakt des Unterauftragsverarbeiters, die übertragenen Tätigkeiten, den Ort der Verarbeitung und gegebenenfalls die Grundlage einer Drittlandübermittlung. Der Kunde kann der Änderung widersprechen. Der Auftragnehmer setzt den Unterauftragsverarbeiter erst ein, wenn der Kunde zugestimmt hat; eine Zustimmung vor Ablauf der Frist ist möglich. Stimmt der Kunde nicht zu, stimmen die Parteien eine andere Lösung ab.

(4) Der Auftragnehmer verpflichtet jeden Unterauftragsverarbeiter vertraglich auf im Wesentlichen dieselben Datenschutzpflichten, die nach diesem Vertrag für ihn selbst gelten (Art. 28 Abs. 4 DSGVO). Bei Standarddiensten geschieht dies über den Auftragsverarbeitungsvertrag des Anbieters; der Auftragnehmer prüft vor dem Einsatz, ob dieser die Anforderungen des Art. 28 DSGVO erfüllt. Auf Verlangen erhält der Kunde eine Kopie oder die Fundstelle dieses Vertrags; vertrauliche Inhalte dürfen dabei unkenntlich gemacht werden.

(5) KI-Dienste, Cloud- und Hostinganbieter setzt der Auftragnehmer für Auftragsdaten nur mit einem geschäftlichen Vertrag und einem Auftragsverarbeitungsvertrag des Anbieters ein, nicht über Verbraucherkonten oder private Abonnements. Bei KI-Diensten wählt er Vertragsbedingungen bzw. Einstellungen, nach denen der Anbieter die Daten nicht zum Training eigener Modelle verwendet, soweit der Hauptvertrag nichts anderes festlegt.

(6) Der Auftragnehmer haftet gegenüber dem Kunden dafür, dass die Unterauftragsverarbeiter ihre Datenschutzpflichten erfüllen (Art. 28 Abs. 4 Satz 2 DSGVO). Er benachrichtigt den Kunden, wenn ein Unterauftragsverarbeiter seine Pflichten nicht erfüllt.

(7) Arbeitet der Auftragnehmer in Systemen, Konten oder Diensten, die der Kunde selbst bei Dritten unterhält (z. B. Cloud-Konten, KI-Schnittstellen oder Server des Kunden), sind deren Anbieter Auftragsverarbeiter des Kunden und keine Unterauftragsverarbeiter des Auftragnehmers. Nicht als Unterauftragsverarbeitung gelten außerdem Nebenleistungen ohne vorgesehenen Zugriff auf Auftragsdaten, etwa Telekommunikations- oder Postdienste; der Auftragnehmer sorgt auch dort für einen angemessenen Schutz der Daten.

§ 9 Übermittlung in Drittländer

(1) Eine Übermittlung von Auftragsdaten in ein Land außerhalb der Europäischen Union bzw. des Europäischen Wirtschaftsraums oder an eine internationale Organisation erfolgt nur auf dokumentierte Weisung des Kunden oder aufgrund einer zwingenden Vorschrift des Unionsrechts oder des Rechts eines Mitgliedstaats, und nur, wenn die Voraussetzungen von Kapitel V DSGVO erfüllt sind (z. B. Angemessenheitsbeschluss, einschließlich einer Zertifizierung nach dem EU-US Data Privacy Framework, oder Standardvertragsklauseln nach Art. 46 Abs. 2 DSGVO).

(2) Genehmigt der Kunde einen Unterauftragsverarbeiter, dessen Verarbeitung eine solche Übermittlung umfasst, und wurde er dabei über Ort und Grundlage der Übermittlung informiert, liegt darin zugleich die Weisung zur Übermittlung. Der Kunde ist damit einverstanden, dass der Auftragnehmer und der Unterauftragsverarbeiter die Einhaltung von Kapitel V DSGVO durch Standardvertragsklauseln der Kommission nach Art. 46 Abs. 2 DSGVO sicherstellen, sofern deren Voraussetzungen erfüllt sind.

§ 10 Nachweise und Kontrollen

(1) Der Auftragnehmer stellt dem Kunden alle Informationen zur Verfügung, die zum Nachweis der Einhaltung der Pflichten aus diesem Vertrag und aus Art. 28 DSGVO erforderlich sind. Anfragen des Kunden zur Verarbeitung beantwortet er umgehend und in angemessener Weise.

(2) Der Auftragnehmer ermöglicht Überprüfungen einschließlich Inspektionen durch den Kunden oder einen von ihm beauftragten, zur Vertraulichkeit verpflichteten Prüfer, der nicht in einem Wettbewerbsverhältnis zum Auftragnehmer steht, und trägt zu ihnen bei. Prüfungen finden in angemessenen Abständen oder bei Anzeichen für eine Nichteinhaltung statt, nach angemessener Vorankündigung (in der Regel zwei Wochen, bei konkretem Anlass kürzer), während der üblichen Geschäftszeiten und ohne unverhältnismäßige Störung des Betriebs. Sie beschränken sich auf die für die Verarbeitung genutzten Räume, Geräte und Systeme und können auch per Videokonferenz oder durch Vorlage von Unterlagen erfolgen. Die Kosten eines vom Kunden beauftragten Prüfers trägt der Kunde.

(3) Die Parteien stellen der zuständigen Aufsichtsbehörde die in diesem Paragrafen genannten Informationen, einschließlich der Ergebnisse von Prüfungen, auf Anfrage zur Verfügung.

§ 11 Pflichten des Kunden

(1) Der Kunde ist für die Rechtmäßigkeit der Verarbeitung und die Wahrung der Rechte der betroffenen Personen verantwortlich. Er informiert den Auftragnehmer unverzüglich, wenn er Fehler oder Unregelmäßigkeiten bei der Verarbeitung feststellt.

(2) Der Kunde stellt Auftragsdaten nur in dem Umfang bereit, der für die Leistung erforderlich ist. Wo es die Leistung zulässt, verwenden die Parteien Test-, pseudonymisierte oder synthetische Daten.

(3) Zugänge zu seinen Systemen richtet der Kunde nach Möglichkeit als eigene, persönliche Konten des Auftragnehmers mit den erforderlichen Rechten ein und entzieht sie nach Ende der Leistung.

§ 12 Laufzeit, Beendigung, Löschung und Rückgabe

(1) Dieser Vertrag gilt für die Laufzeit des Hauptvertrags und endet mit ihm, ohne dass es einer gesonderten Kündigung bedarf. Die Pflichten aus diesem Vertrag gelten fort, bis alle Auftragsdaten gelöscht oder zurückgegeben sind.

(2) Verstößt der Auftragnehmer gegen seine Pflichten aus diesem Vertrag, kann der Kunde ihn anweisen, die Verarbeitung auszusetzen, bis die Pflichten wieder eingehalten werden oder der Vertrag beendet ist. Der Auftragnehmer informiert den Kunden unverzüglich, wenn er diesen Vertrag aus welchen Gründen auch immer nicht einhalten kann. Der Kunde kann diesen Vertrag und den Hauptvertrag, soweit er die Verarbeitung betrifft, kündigen, wenn die Einhaltung nicht innerhalb einer angemessenen Frist, spätestens innerhalb eines Monats nach der Aussetzung, wiederhergestellt ist, wenn der Auftragnehmer erheblich oder fortdauernd gegen diesen Vertrag oder die DSGVO verstößt oder wenn er einer bindenden Entscheidung eines Gerichts oder einer Aufsichtsbehörde zu diesen Pflichten nicht nachkommt. Der Auftragnehmer kann kündigen, soweit die Verarbeitung betroffen ist, wenn der Kunde auf einer Weisung besteht, nachdem der Auftragnehmer ihn nach § 3 Abs. 3 auf einen Rechtsverstoß hingewiesen hat.

(3) Nach Ende der Leistungen, auf Verlangen des Kunden auch früher, löscht der Auftragnehmer nach Wahl des Kunden alle Auftragsdaten und bestätigt die Löschung in Textform, oder er gibt sie in einem gängigen Format an den Kunden zurück und löscht anschließend vorhandene Kopien, sofern nicht nach dem Unionsrecht oder dem Recht eines Mitgliedstaats eine Pflicht zur Speicherung besteht. Trifft der Kunde nach einem Hinweis des Auftragnehmers in Textform nicht binnen vier Wochen eine Wahl, löscht der Auftragnehmer die Daten.

(4) Auftragsdaten in Datensicherungen werden gelöscht, sobald die Sicherungen turnusmäßig überschrieben werden, spätestens jedoch drei Monate nach Ende der Leistungen; bis dahin sind sie gegen jede andere Nutzung gesperrt.

(5) Unterlagen, die dem Nachweis der ordnungsgemäßen Verarbeitung dienen (z. B. Weisungen, Löschbestätigungen), darf der Auftragnehmer entsprechend den gesetzlichen Aufbewahrungsfristen über das Vertragsende hinaus aufbewahren.

(6) Ein Zurückbehaltungsrecht des Auftragnehmers an Auftragsdaten ist ausgeschlossen.

§ 13 Haftung

(1) Gegenüber betroffenen Personen haften die Parteien nach Art. 82 DSGVO. Der Auftragnehmer haftet danach für den durch eine Verarbeitung verursachten Schaden nur, wenn er seinen speziell den Auftragsverarbeitern auferlegten Pflichten aus der DSGVO nicht nachgekommen ist oder unter Nichtbeachtung oder gegen die rechtmäßig erteilten Anweisungen des Kunden gehandelt hat (Art. 82 Abs. 2 Satz 2 DSGVO). Er ist von der Haftung befreit, wenn er nachweist, dass er in keinerlei Hinsicht für den Umstand verantwortlich ist, durch den der Schaden eingetreten ist (Art. 82 Abs. 3 DSGVO).

(2) Im Verhältnis der Parteien zueinander richtet sich der Ausgleich nach dem Anteil der jeweiligen Verantwortung für den Schaden (Art. 82 Abs. 5 DSGVO).

(3) Im Übrigen gelten die Haftungsregelungen des Hauptvertrags und der AGB, soweit Art. 82 DSGVO oder andere zwingende Vorschriften nicht entgegenstehen.

§ 14 Schlussbestimmungen

(1) Bei Widersprüchen zwischen diesem Vertrag und dem Hauptvertrag oder den AGB gehen die Regelungen dieses Vertrags vor, soweit es um den Schutz personenbezogener Daten geht. Die Angaben im Hauptvertrag nach § 1 Abs. 3 gehen den allgemeinen Angaben in § 2 und in den Anlagen vor, soweit sie das Schutzniveau dieses Vertrags nicht unterschreiten.

(2) Vereinbaren die Parteien statt dieses Musters einen AVV des Kunden, gilt dieser anstelle dieses Vertrags.

(3) Änderungen und Ergänzungen dieses Vertrags und seiner Anlagen erfolgen in Textform bzw. in einem elektronischen Format (Art. 28 Abs. 9 DSGVO).

(4) Sollten einzelne Bestimmungen ganz oder teilweise unwirksam sein oder werden, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt. An die Stelle der unwirksamen Bestimmung tritt die gesetzliche Regelung, insbesondere Art. 28 DSGVO.

(5) Es gilt das Recht der Bundesrepublik Deutschland. Für den Gerichtsstand gilt die Regelung des Hauptvertrags bzw. der AGB.

Anlage 1 — Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

Der Auftragnehmer ist Einzelunternehmer und verarbeitet Auftragsdaten persönlich. Er sagt die folgenden Maßnahmen für alle Geräte, Konten und Systeme zu, mit denen er Auftragsdaten verarbeitet. Zertifizierungen (z. B. nach ISO/IEC 27001) bestehen nicht. Ergänzende Maßnahmen für einzelne Aufträge legt der Hauptvertrag fest. Jede Maßnahme ist spätestens vor Beginn der ersten Verarbeitung von Auftragsdaten umgesetzt; vorher stellt der Kunde keine Auftragsdaten bereit.

1. Vertraulichkeit

2. Integrität

3. Verfügbarkeit und Belastbarkeit

4. Löschung

5. Überprüfung und Organisation

6. Unterstützung des Kunden

Anlage 2 — Unterauftragsverarbeiter

Mit Abschluss dieses Vertrags genehmigt der Kunde folgenden Unterauftragsverarbeiter:

Weitere, projektbezogene Unterauftragsverarbeiter (z. B. Cloud- oder Serveranbieter, KI-Dienste über eine Schnittstelle mit eigenem Auftragsverarbeitungsvertrag) werden im jeweiligen Hauptvertrag in Textform mit Name, Anschrift, Leistung, Ort der Verarbeitung und gegebenenfalls der Grundlage einer Drittlandübermittlung benannt und nur nach Freigabe durch den Kunden eingesetzt. Für Änderungen gilt § 8 Abs. 3 einschließlich des Widerspruchsrechts des Kunden.

Anlage 3 — Angaben im jeweiligen Auftrag

Der Hauptvertrag oder eine Anlage dazu enthält für jede Auftragsverarbeitung mindestens:

Stand: 22. Oktober 2026