Vertrag über die Verarbeitung personenbezogener Daten im Auftrag

Auftragsverarbeitungsvertrag (AVV) gemäß Art. 28 DSGVO – Stand: Juli 2026

Präambel

Die Parteien haben einen Vertrag über IT-Support-, Helpdesk-, Fernwartungs- und/oder Wartungsleistungen geschlossen (nachfolgend „Hauptvertrag“). Im Rahmen der Erbringung dieser Leistungen kann der Auftragsverarbeiter Zugriff auf personenbezogene Daten erhalten, für die der Verantwortliche Verantwortlicher im Sinne des Art. 4 Nr. 7 DSGVO ist. Dieser Vertrag konkretisiert die datenschutzrechtlichen Pflichten der Parteien nach Art. 28 DSGVO und geht bei Widersprüchen den Regelungen des Hauptvertrages in datenschutzrechtlicher Hinsicht vor.

§ 1 Gegenstand, Art, Zweck und Dauer der Verarbeitung

1. Gegenstand der Verarbeitung ist die Erbringung der im Hauptvertrag vereinbarten IT-Dienstleistungen, insbesondere Anwendersupport, Störungsanalyse und -behebung, Einrichtung, Konfiguration, Migration und Wartung von IT-Systemen und Anwendungen des Verantwortlichen.
2. Art der Verarbeitung: Erheben, Erfassen, Organisieren, Ordnen, Speichern, Anpassen, Verändern, Auslesen, Abfragen, Verwenden, Übermitteln, Einschränken, Löschen und Vernichten – jeweils beschränkt auf das zur Leistungserbringung erforderliche Maß.
3. Zweck der Verarbeitung ist ausschließlich die Erfüllung des Hauptvertrages. Eine Verarbeitung zu eigenen Zwecken des Auftragsverarbeiters findet nicht statt.
4. Ein Zugriff auf personenbezogene Daten erfolgt regelmäßig nur anlassbezogen im Rahmen einzelner Support- und Wartungsvorgänge und beschränkt sich auf Kenntnisnahme und Bearbeitung im technisch erforderlichen Umfang.
5. Dauer: Dieser Vertrag wird auf unbestimmte Zeit geschlossen und endet automatisch mit Beendigung des Hauptvertrages. Die Regelungen zu Löschung und Rückgabe (§ 10) gelten über das Vertragsende hinaus fort.
6. Ort der Verarbeitung: Die Verarbeitung findet ausschließlich in der Bundesrepublik Deutschland bzw. innerhalb der Europäischen Union oder des Europäischen Wirtschaftsraums statt. § 9 bleibt unberührt.

§ 2 Art der Daten und Kategorien betroffener Personen

1. Gegenstand der Verarbeitung können insbesondere folgende Datenarten sein:
   • Stammdaten (Name, Anschrift, Funktion, Personalnummer)
   • Kontaktdaten (E-Mail-Adressen, Telefonnummern)
   • Kommunikationsinhalte (E-Mails, Kalender- und Kontaktdaten, Chat- und Ticketinhalte)
   • Zugangs- und Authentifizierungsdaten (Benutzerkennungen, Berechtigungen)
   • Nutzungs-, Protokoll- und Verbindungsdaten (Log- und Ereignisdaten, IP-Adressen)
   • Inhalts- und Dokumentdaten in den betreuten Systemen (Dateien, Datenbankinhalte)
   • Vertrags-, Abrechnungs- und Zahlungsdaten, soweit in betreuten Systemen enthalten
   • (ggf. ergänzen)
2. Von der Verarbeitung können folgende Kategorien betroffener Personen erfasst sein:
   • Beschäftigte des Verantwortlichen einschließlich Bewerber und ehemaliger Beschäftigter
   • Kunden, Interessenten und Ansprechpartner des Verantwortlichen
   • Lieferanten, Dienstleister und deren Ansprechpartner
   • Nutzer der vom Verantwortlichen betriebenen Systeme und Websites
   • (ggf. ergänzen)
3. Eine Verarbeitung besonderer Kategorien personenbezogener Daten im Sinne des Art. 9 DSGVO ist nicht Gegenstand dieses Vertrages. Sollte ein Zugriff im Einzelfall technisch nicht auszuschließen sein, informiert der Verantwortliche den Auftragsverarbeiter vorab; die Parteien vereinbaren erforderlichenfalls zusätzliche Schutzmaßnahmen.

§ 3 Weisungsrecht des Verantwortlichen

1. Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen, es sei denn, er ist nach dem Unionsrecht oder dem Recht eines Mitgliedstaats zur Verarbeitung verpflichtet. In einem solchen Fall teilt er dem Verantwortlichen die rechtlichen Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht dies nicht wegen eines wichtigen öffentlichen Interesses verbietet.
2. Weisungen erfolgen grundsätzlich in Textform. Mündlich oder in sonstiger Form erteilte Weisungen sind vom Verantwortlichen unverzüglich in Textform zu bestätigen. Der Auftragsverarbeiter dokumentiert erteilte Weisungen.
3. Als Weisung gelten auch die Regelungen des Hauptvertrages sowie die im Rahmen einzelner Support- und Wartungsaufträge erteilten Arbeitsanweisungen.
4. Weisungsberechtigt und weisungsempfangsberechtigt sind die in § 8 benannten Personen. Änderungen sind der jeweils anderen Partei unverzüglich in Textform mitzuteilen.
5. Ist der Auftragsverarbeiter der Auffassung, dass eine Weisung gegen die DSGVO oder gegen andere Datenschutzbestimmungen der Union oder der Mitgliedstaaten verstößt, informiert er den Verantwortlichen unverzüglich (Art. 28 Abs. 3 Satz 3 DSGVO). Er ist berechtigt, die Ausführung der betreffenden Weisung bis zu deren Bestätigung oder Änderung auszusetzen.

§ 4 Pflichten des Auftragsverarbeiters

1. Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich im Rahmen dieses Vertrages und der Weisungen des Verantwortlichen.
2. Er gewährleistet, dass sich alle zur Verarbeitung befugten Personen zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen (Art. 28 Abs. 3 lit. b, Art. 29, Art. 32 Abs. 4 DSGVO). Die Vertraulichkeitsverpflichtung gilt auch nach Beendigung der Tätigkeit fort.
3. Er ergreift alle nach Art. 32 DSGVO erforderlichen technischen und organisatorischen Maßnahmen. Die zum Zeitpunkt des Vertragsschlusses getroffenen Maßnahmen sind in Anlage 1 beschrieben. Der Auftragsverarbeiter ist berechtigt, diese Maßnahmen weiterzuentwickeln; das Schutzniveau darf dabei nicht unterschritten werden. Wesentliche Änderungen sind zu dokumentieren und dem Verantwortlichen auf Anfrage mitzuteilen.
4. Er unterstützt den Verantwortlichen nach Möglichkeit mit geeigneten technischen und organisatorischen Maßnahmen dabei, seiner Pflicht zur Beantwortung von Anträgen betroffener Personen auf Wahrnehmung ihrer Rechte nach Kapitel III der DSGVO nachzukommen (Art. 28 Abs. 3 lit. e DSGVO). Wendet sich eine betroffene Person unmittelbar an den Auftragsverarbeiter, leitet dieser das Anliegen unverzüglich an den Verantwortlichen weiter und beantwortet es nicht selbständig.
5. Er unterstützt den Verantwortlichen bei der Einhaltung der in den Art. 32 bis 36 DSGVO genannten Pflichten, insbesondere bei der Meldung von Verletzungen des Schutzes personenbezogener Daten, bei Datenschutz-Folgenabschätzungen und bei vorherigen Konsultationen der Aufsichtsbehörde (Art. 28 Abs. 3 lit. f DSGVO), jeweils unter Berücksichtigung der Art der Verarbeitung und der ihm zur Verfügung stehenden Informationen.
6. Er stellt dem Verantwortlichen alle erforderlichen Informationen zum Nachweis der Einhaltung der in Art. 28 DSGVO niedergelegten Pflichten zur Verfügung und ermöglicht Überprüfungen nach Maßgabe von § 6 (Art. 28 Abs. 3 lit. h DSGVO).
7. Er führt ein Verzeichnis aller Kategorien von im Auftrag durchgeführten Verarbeitungstätigkeiten gemäß Art. 30 Abs. 2 DSGVO, soweit er hierzu verpflichtet ist.
8. Er korrigiert, löscht oder sperrt personenbezogene Daten ausschließlich nach Weisung des Verantwortlichen.
9. Der Auftragsverarbeiter hat keinen Datenschutzbeauftragten bestellt, da die Voraussetzungen des Art. 37 DSGVO bzw. § 38 BDSG nicht vorliegen. Ansprechpartner für Datenschutzfragen ist die in § 8 benannte Person. Sollte eine Bestellpflicht entstehen, informiert er den Verantwortlichen unverzüglich.

§ 5 Pflichten des Verantwortlichen

1. Der Verantwortliche ist für die Rechtmäßigkeit der Verarbeitung sowie für die Wahrung der Rechte betroffener Personen allein verantwortlich (Art. 24 DSGVO).
2. Er stellt sicher, dass für die durch den Auftragsverarbeiter vorzunehmenden Verarbeitungen eine Rechtsgrundlage besteht und die erforderlichen Informationspflichten erfüllt sind.
3. Er informiert den Auftragsverarbeiter unverzüglich, wenn er bei der Prüfung der Auftragsergebnisse Fehler oder Unregelmäßigkeiten hinsichtlich datenschutzrechtlicher Bestimmungen feststellt.
4. Er benennt die nach § 8 weisungsberechtigten Personen und hält diese Angaben aktuell.
5. Er ist verpflichtet, dem Auftragsverarbeiter nur solche Zugänge einzuräumen, die für die jeweilige Leistungserbringung erforderlich sind, und nicht mehr benötigte Zugänge unverzüglich zu deaktivieren.

§ 6 Kontrollrechte und Nachweise

1. Der Verantwortliche hat das Recht, sich von der Einhaltung der getroffenen technischen und organisatorischen Maßnahmen zu überzeugen. Der Nachweis kann erbracht werden durch Selbstauskunft, aktuelle Testate, Zertifizierungen (z. B. nach Art. 42 DSGVO), Prüfberichte unabhängiger Stellen oder eine geeignete Dokumentation der Maßnahmen.
2. Soweit diese Nachweise im Einzelfall nicht ausreichen, kann der Verantwortliche nach rechtzeitiger Ankündigung mit einer Frist von mindestens 14 Kalendertagen während der üblichen Geschäftszeiten und ohne Störung des Betriebsablaufs eine Kontrolle durchführen oder durch einen zur Verschwiegenheit verpflichteten Prüfer durchführen lassen. Der Prüfer darf kein Wettbewerber des Auftragsverarbeiters sein.
3. Kontrollen erfolgen in der Regel höchstens einmal jährlich. Anlassbezogene Kontrollen bei konkreten Anhaltspunkten für einen Verstoß bleiben hiervon unberührt.
4. Der Auftragsverarbeiter kann für den Aufwand, der ihm durch Kontrollen nach Absatz 2 entsteht, eine angemessene Vergütung zu den jeweils gültigen Stundensätzen verlangen, es sei denn, die Kontrolle erfolgt anlassbezogen und der Verstoß bestätigt sich.
5. Der Auftragsverarbeiter informiert den Verantwortlichen unverzüglich über Kontrollhandlungen und Maßnahmen der Aufsichtsbehörde, soweit sie sich auf die Auftragsverarbeitung beziehen.

§ 7 Verletzungen des Schutzes personenbezogener Daten

1. Der Auftragsverarbeiter meldet dem Verantwortlichen jede ihm bekannt gewordene Verletzung des Schutzes personenbezogener Daten im Sinne des Art. 4 Nr. 12 DSGVO unverzüglich, spätestens jedoch innerhalb von 24 Stunden nach Kenntniserlangung, in Textform.
2. Die Meldung enthält, soweit verfügbar: eine Beschreibung der Art der Verletzung, die betroffenen Kategorien und die ungefähre Zahl betroffener Personen und Datensätze, die wahrscheinlichen Folgen sowie die ergriffenen oder vorgeschlagenen Maßnahmen zur Behebung und Schadensminderung. Fehlende Angaben werden unverzüglich nachgereicht.
3. Der Auftragsverarbeiter trifft unverzüglich die erforderlichen Maßnahmen zur Sicherung der Daten und zur Minderung möglicher nachteiliger Folgen und stimmt sich hierüber mit dem Verantwortlichen ab.
4. Meldungen an die Aufsichtsbehörde (Art. 33 DSGVO) und Benachrichtigungen betroffener Personen (Art. 34 DSGVO) obliegen dem Verantwortlichen. Der Auftragsverarbeiter unterstützt ihn hierbei im erforderlichen Umfang.

§ 8 Ansprechpartner

§ 9 Unterauftragsverarbeiter

1. Der Verantwortliche erteilt dem Auftragsverarbeiter die allgemeine Genehmigung im Sinne des Art. 28 Abs. 2 Satz 2 DSGVO, weitere Auftragsverarbeiter hinzuzuziehen. Die bei Vertragsschluss eingesetzten Unterauftragsverarbeiter sind in Anlage 2 aufgeführt und werden hiermit genehmigt.
2. Der Auftragsverarbeiter informiert den Verantwortlichen mindestens 4 Wochen vor der beabsichtigten Hinzuziehung oder Ersetzung eines Unterauftragsverarbeiters in Textform. Der Verantwortliche kann innerhalb von 2 Wochen ab Zugang der Information aus wichtigem, datenschutzrechtlich begründetem Grund widersprechen.
3. Widerspricht der Verantwortliche, sind die Parteien verpflichtet, eine einvernehmliche Lösung zu suchen. Kommt eine solche nicht zustande und kann der Auftragsverarbeiter die Leistung ohne den betreffenden Unterauftragsverarbeiter nicht oder nur mit unzumutbarem Aufwand erbringen, ist jede Partei berechtigt, den betroffenen Teil des Hauptvertrages mit angemessener Frist zu kündigen.
4. Der Auftragsverarbeiter wählt Unterauftragsverarbeiter sorgfältig unter besonderer Berücksichtigung der Eignung der von ihnen getroffenen technischen und organisatorischen Maßnahmen aus. Er verpflichtet sie vertraglich auf Datenschutzpflichten, die denen dieses Vertrages entsprechen (Art. 28 Abs. 4 DSGVO), und haftet für deren Verhalten wie für eigenes Verhalten.
5. Nicht als Unterauftragsverhältnisse gelten Nebenleistungen, die der Auftragsverarbeiter bei Dritten in Anspruch nimmt und die keinen Bezug zu den im Auftrag verarbeiteten Daten aufweisen (z. B. Telekommunikationsdienste, Reinigung, Wartung von Bürotechnik).
6. Drittlandtransfer: Eine Verarbeitung außerhalb der EU/des EWR erfolgt nur, wenn die besonderen Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind, insbesondere ein Angemessenheitsbeschluss vorliegt oder Standardvertragsklauseln nebst erforderlicher zusätzlicher Maßnahmen vereinbart wurden. Der Verantwortliche wird hierüber vorab informiert.

§ 10 Löschung und Rückgabe nach Beendigung

1. Nach Abschluss der Erbringung der Verarbeitungsleistungen löscht der Auftragsverarbeiter nach Wahl des Verantwortlichen alle personenbezogenen Daten oder gibt sie zurück und löscht vorhandene Kopien, sofern nicht nach dem Unionsrecht oder dem Recht der Mitgliedstaaten eine Verpflichtung zur Speicherung besteht (Art. 28 Abs. 3 lit. g DSGVO).
2. Die Wahl nach Absatz 1 teilt der Verantwortliche spätestens bei Beendigung des Hauptvertrages in Textform mit. Trifft er keine Wahl, werden die Daten nach Ablauf von 30 Kalendertagen nach Vertragsende gelöscht.
3. Die Löschung erfolgt datenschutzgerecht. Der Auftragsverarbeiter bestätigt die Löschung auf Anforderung in Textform.
4. Dokumentationen, die dem Nachweis der ordnungsgemäßen Datenverarbeitung dienen, sowie Daten, die gesetzlichen Aufbewahrungspflichten unterliegen (insbesondere handels- und steuerrechtliche Unterlagen), darf der Auftragsverarbeiter über das Vertragsende hinaus für die Dauer der jeweiligen Aufbewahrungsfrist aufbewahren. Die Verarbeitung dieser Daten ist auf den Aufbewahrungszweck beschränkt.

§ 11 Haftung

1. Für die Haftung der Parteien gilt Art. 82 DSGVO.
2. Im Innenverhältnis gelten ergänzend die Haftungsregelungen des Hauptvertrages (§ 13 der AGB), soweit Art. 82 DSGVO dem nicht entgegensteht.
3. Der Verantwortliche stellt den Auftragsverarbeiter von Ansprüchen Dritter frei, die darauf beruhen, dass die Verarbeitung auf Weisung des Verantwortlichen erfolgte und diese Weisung gegen datenschutzrechtliche Bestimmungen verstieß, sofern der Auftragsverarbeiter seiner Hinweispflicht nach § 3 Abs. 5 nachgekommen ist.

§ 12 Laufzeit und Kündigung

1. Laufzeit und Beendigung richten sich nach § 1 Abs. 5. Eine gesonderte Kündigung dieses Vertrages ohne gleichzeitige Beendigung des Hauptvertrages ist ausgeschlossen.
2. Der Verantwortliche kann den Hauptvertrag außerordentlich fristlos kündigen, wenn der Auftragsverarbeiter in schwerwiegender Weise gegen Bestimmungen dieses Vertrages oder gegen datenschutzrechtliche Vorschriften verstößt, eine Weisung nicht ausführt oder eine Kontrolle nach § 6 unberechtigt verweigert.

§ 13 Schlussbestimmungen

1. Änderungen und Ergänzungen dieses Vertrages und seiner Anlagen bedürfen der Textform. Dies gilt auch für die Aufhebung dieses Formerfordernisses.
2. Bei Widersprüchen zwischen diesem Vertrag und dem Hauptvertrag gehen in datenschutzrechtlicher Hinsicht die Regelungen dieses Vertrages vor.
3. Sollten einzelne Bestimmungen unwirksam oder undurchführbar sein, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt. Die Parteien ersetzen die unwirksame Bestimmung durch eine wirksame, die dem wirtschaftlichen Zweck am nächsten kommt.
4. Es gilt deutsches Recht. Gerichtsstand ist, soweit zulässig vereinbar, Ingolstadt.

Anlage 1 – Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

Stand: Juli 2026. Der Auftragsverarbeiter ist ein Einzelunternehmen ohne Beschäftigte und ohne eigenes Rechenzentrum. Die Leistungserbringung erfolgt ausschließlich per Fernzugriff von Arbeitsplätzen des Auftragsverarbeiters aus.

1. Vertraulichkeit

Zutrittskontrolle – Die Arbeitsräume befinden sich in abschließbaren, nicht öffentlich zugänglichen Räumlichkeiten. Zutritt haben ausschließlich der Inhaber und ausdrücklich befugte Personen. Datenträger und Unterlagen werden bei Abwesenheit verschlossen aufbewahrt (Clear-Desk-Prinzip).

Zugangskontrolle – Alle Endgeräte sind mit vollständiger Festplattenverschlüsselung, individuellen Benutzerkonten, starken Passwörtern und automatischer Bildschirmsperre geschützt. Für Zugänge zu Kundensystemen und Cloud-Diensten wird – soweit vom jeweiligen System unterstützt – Zwei-Faktor-Authentifizierung eingesetzt. Zugangsdaten werden ausschließlich in einem verschlüsselten Passwortmanager gespeichert, niemals im Klartext in E-Mails oder Dokumenten.

Zugriffskontrolle – Der Zugriff auf Kundensysteme erfolgt nach dem Need-to-know-Prinzip und ausschließlich anlassbezogen im Rahmen konkreter Support- und Wartungsvorgänge. Nicht mehr benötigte Zugänge werden nach Abschluss der Maßnahme zurückgegeben bzw. deren Deaktivierung beim Verantwortlichen angeregt.

Trennungskontrolle – Daten unterschiedlicher Auftraggeber werden logisch getrennt in mandantenspezifischen Ablagen verarbeitet. Eine Zusammenführung findet nicht statt.

Fernwartung – Der Fernzugriff erfolgt über eine selbst betriebene RustDesk-Infrastruktur (eigener ID-/Relay-Server) mit Ende-zu-Ende-Verschlüsselung. Der Verbindungsaufbau erfordert eine aktive Freigabe durch den Verantwortlichen für die jeweilige Sitzung; ein unbeaufsichtigter Dauerzugriff besteht nur bei ausdrücklicher Vereinbarung. Der Verantwortliche kann den Sitzungsverlauf mitverfolgen und die Sitzung jederzeit beenden. Ein Fernwartungsanbieter als Dritter erhält keinen Zugriff auf die übertragenen Daten.

2. Integrität

Weitergabekontrolle – Die Übertragung personenbezogener Daten erfolgt ausschließlich verschlüsselt (TLS, SSH, Ende-zu-Ende-verschlüsselte Fernwartung). Der Versand sensibler Daten per unverschlüsselter E-Mail unterbleibt; für den Austausch größerer oder sensibler Datenmengen werden passwortgeschützte, verschlüsselte Container oder gesicherte Freigaben verwendet. Ein physischer Datenträgertransport findet regelmäßig nicht statt.

Eingabekontrolle – Fernwartungssitzungen werden hinsichtlich Zeitpunkt, Dauer, beteiligter Systeme und durchgeführter Maßnahmen protokolliert. Weisungen und Aufträge werden in Textform dokumentiert und nachvollziehbar aufbewahrt. In betreuten Systemen werden vorhandene Protokollierungsfunktionen genutzt.

3. Verfügbarkeit und Belastbarkeit

Eingesetzte Systeme verfügen über aktuelle Betriebssystem- und Anwendungsupdates, Virenschutz und aktivierte Firewall. Eigene Systeme werden regelmäßig gesichert; die Wiederherstellbarkeit wird stichprobenartig geprüft. Die Stromversorgung kritischer Komponenten ist gegen kurzzeitige Ausfälle abgesichert.

Wichtiger Hinweis: Die Sicherung der Systeme und Daten des Verantwortlichen obliegt diesem selbst (§ 7 der AGB), soweit eine Datensicherung nicht ausdrücklich als Leistung vereinbart und gesondert vergütet ist.

4. Verfahren zur regelmäßigen Überprüfung, Bewertung und Evaluierung

Die technischen und organisatorischen Maßnahmen werden mindestens jährlich sowie anlassbezogen überprüft und bei Bedarf angepasst. Es besteht ein Verzeichnis von Verarbeitungstätigkeiten nach Art. 30 Abs. 2 DSGVO. Datenschutzvorfälle werden dokumentiert und ausgewertet. Der Grundsatz der Datenminimierung sowie Datenschutz durch Technikgestaltung und datenschutzfreundliche Voreinstellungen (Art. 25 DSGVO) werden bei der Auswahl und Konfiguration eingesetzter Systeme berücksichtigt.

Anlage 2 – Genehmigte Unterauftragsverarbeiter

Stand: Juli 2026. Die nachfolgend aufgeführten Unternehmen werden mit Abschluss dieses Vertrages gemäß § 9 Abs. 1 genehmigt.

Der Fernzugriff selbst erfolgt über eine vom Auftragsverarbeiter selbst betriebene RustDesk-Infrastruktur. Ein externer Fernwartungsanbieter wird nicht eingesetzt und erhält dementsprechend keinen Zugriff auf personenbezogene Daten.

Zugehörige Dokumente: AGB · Datenschutzerklärung