Vereinbarung zur Auftragsverarbeitung nach Art. 28 DSGVO
1. Parteien, Geltung und Rangfolge
Diese Vereinbarung zur Auftragsverarbeitung („AVV“) wird zwischen dem im Hauptvertrag bezeichneten Geschäftskunden als Verantwortlichem und Tim Nottelmann, handelnd unter IT Solution Nottelmann, Bonnstraße 34, 45470 Mülheim an der Ruhr, Deutschland, als Auftragsverarbeiter geschlossen. Sie gilt, soweit der Auftragsverarbeiter personenbezogene Daten im Auftrag des Verantwortlichen verarbeitet. Bei Widersprüchen gehen zwingendes Datenschutzrecht, danach diese AVV und anschließend der Hauptvertrag vor.
2. Gegenstand und Dauer
Gegenstand ist die Bereitstellung, Konfiguration, Wartung, Absicherung, Sicherung, Fehleranalyse, Unterstützung und vertragsgemäße Abwicklung der SaaS-Plattform Centrivo. Die Auftragsverarbeitung beginnt mit der Bereitstellung beziehungsweise ersten Übermittlung von Auftragsdaten und dauert für die Laufzeit des Hauptvertrags zuzüglich vereinbarter Export-, Abwicklungs-, Backup- und Löschfristen. Gesetzlich zulässige Aufbewahrung einzelner eigener Geschäfts- oder Nachweisdaten bleibt unberührt; diese Daten werden gesperrt und nicht für andere Zwecke verarbeitet.
3. Art und Zweck der Verarbeitung
Die Verarbeitung kann – abhängig von den gebuchten Modulen und Weisungen – Erheben, Erfassen, Ordnen, Speichern, Anpassen, Auslesen, Abfragen, Verwenden, Übermitteln nach Weisung, Abgleichen, Einschränken, Sichern, Wiederherstellen, Exportieren, Anonymisieren und Löschen umfassen. Zwecke sind die vom Verantwortlichen festgelegten kaufmännischen, organisatorischen, dokumenten-, kunden-, projekt-, zeit-, support- und vertragsbezogenen Prozesse sowie Betrieb, Wartung, Support und Sicherheit der Plattform.
4. Datenarten und Kategorien betroffener Personen
Verarbeitet werden können Stamm- und Kontaktdaten, Beschäftigten- und Nutzerkontodaten, Kommunikationsdaten, Rollen und Berechtigungen, Kunden-, Lieferanten- und Interessentendaten, Vertrags-, Angebots-, Rechnungs-, Zahlungs-, Bankimport-, Projekt-, Zeit-, Geräte-, Wartungs-, Support-, Dokument- und Protokolldaten sowie vom Verantwortlichen eingestellte Freitexte und Dateien.
Betroffene Personen können Kunden, Interessenten, Lieferanten, Beschäftigte, Bewerber, Ansprechpartner, Vertreter, Nutzer, Rechnungsempfänger, Projektbeteiligte und sonstige Personen im Geschäftsbereich des Verantwortlichen sein. Besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO oder Daten nach Art. 10 DSGVO dürfen nur verarbeitet werden, wenn dies ausdrücklich angewiesen, rechtlich zulässig und von angemessenen zusätzlichen Schutzmaßnahmen umfasst ist.
5. Rechte und Pflichten des Verantwortlichen
Der Verantwortliche entscheidet über Zwecke und Mittel der Verarbeitung und ist insbesondere für Rechtmäßigkeit, Rechtsgrundlagen, Transparenzinformationen, Datenrichtigkeit, Weisungen, Berechtigungskonzept, Löschvorgaben und die Wahrung von Betroffenenrechten verantwortlich. Er nutzt die Plattform nur im vereinbarten Umfang, schützt Administratorzugänge, übermittelt keine unnötigen Daten und informiert den Auftragsverarbeiter unverzüglich über erkennbare Fehler oder Risiken.
Der Verantwortliche darf sich vor Beginn und danach regelmäßig von der Einhaltung dieser AVV überzeugen. Er benennt weisungsberechtigte Personen und informiert über Änderungen. Weisungen sollen über die vorgesehenen Administrations-, Support- oder Vertragskanäle dokumentiert werden.
6. Weisungsbindung
Der Auftragsverarbeiter verarbeitet Auftragsdaten ausschließlich auf dokumentierte Weisung des Verantwortlichen, auch hinsichtlich Übermittlungen in Drittländer, sofern keine unions- oder mitgliedstaatliche Rechtsvorschrift eine Verarbeitung verlangt. In diesem Fall informiert er den Verantwortlichen vor der Verarbeitung über die Pflicht, soweit das Recht dies nicht aus wichtigen Gründen des öffentlichen Interesses verbietet.
Hält der Auftragsverarbeiter eine Weisung für datenschutzwidrig, informiert er den Verantwortlichen unverzüglich und darf die Ausführung bis zur Bestätigung oder Änderung aussetzen. Mündliche Weisungen sind unverzüglich in Textform zu dokumentieren. Hauptvertrag, gebuchte Konfiguration, Administratoreingaben und dokumentierte Supportanweisungen bilden den anfänglichen Weisungsrahmen.
7. Vertraulichkeit und Zugriff
Der Auftragsverarbeiter setzt nur Personen ein, die auf Vertraulichkeit verpflichtet oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterworfen und zu Datenschutz sowie Informationssicherheit unterwiesen sind. Zugriff wird nach Erforderlichkeit und dem Prinzip der geringsten Rechte gewährt, regelmäßig überprüft und bei Wegfall der Aufgabe entzogen.
8. Technische und organisatorische Maßnahmen
Der Auftragsverarbeiter trifft unter Berücksichtigung von Stand der Technik, Kosten, Art, Umfang, Umständen, Zwecken und Risiken geeignete Maßnahmen nach Art. 32 DSGVO. Die verbindliche TOM-Anlage, Version 2026-09-29-v3, ist unter https://dev-cockpit.jaylu.de/website/tom.php abrufbar und Bestandteil dieser AVV. Sie muss die tatsächliche Produktivumgebung abbilden und mindestens Zutritts-, Zugangs-, Zugriffs-, Weitergabe-, Eingabe-, Auftrags-, Verfügbarkeits- und Trennungskontrollen, Verschlüsselung/Pseudonymisierung, Protokollierung, Schwachstellen- und Patchmanagement, Backup und Wiederherstellung, Notfallverfahren sowie regelmäßige Wirksamkeitsprüfungen konkretisieren.
Wesentliche Verschlechterungen des vereinbarten Schutzniveaus sind unzulässig. Technische Änderungen mit gleichwertigem oder höherem Schutzniveau bleiben möglich und werden dokumentiert.
9. Unterstützung des Verantwortlichen
Unter Berücksichtigung der Art der Verarbeitung unterstützt der Auftragsverarbeiter den Verantwortlichen durch geeignete Maßnahmen bei Anträgen auf Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit und Widerspruch. Er beantwortet Anfragen betroffener Personen zu Auftragsdaten nicht eigenständig, sondern leitet sie unverzüglich weiter, soweit keine rechtliche Pflicht entgegensteht.
Unter Berücksichtigung der verfügbaren Informationen unterstützt er außerdem bei Pflichten nach Art. 32 bis 36 DSGVO, insbesondere Risikoanalysen, Meldungen und Benachrichtigungen bei Datenschutzverletzungen, Datenschutz-Folgenabschätzungen und vorherigen Konsultationen. Zusatzaufwand, den der Auftragsverarbeiter nicht zu vertreten hat, kann nach vorheriger Information zu den vereinbarten Sätzen vergütet werden; gesetzlich zwingende Unterstützung bleibt unberührt.
10. Verletzungen des Schutzes personenbezogener Daten
Der Auftragsverarbeiter informiert den Verantwortlichen unverzüglich, nachdem ihm eine Verletzung des Schutzes von Auftragsdaten bekannt wurde. Die Meldung enthält, soweit verfügbar, Art des Vorfalls, Daten- und Personenkategorien, ungefähren Umfang, wahrscheinliche Folgen, ergriffene oder vorgeschlagene Abhilfemaßnahmen, Zeitpunkte und einen Kontaktpunkt. Fehlende Angaben werden ohne unangemessene Verzögerung nachgereicht. Der Auftragsverarbeiter dokumentiert Vorfall und Abhilfemaßnahmen und wahrt Beweismittel angemessen. Die Entscheidung über Meldungen an Behörden oder Betroffene obliegt dem Verantwortlichen, soweit der Auftragsverarbeiter nicht selbst gesetzlich verpflichtet ist.
11. Weitere Auftragsverarbeiter
Der Verantwortliche erteilt eine allgemeine schriftliche Genehmigung für die in der Unterauftragsverarbeiterliste, Version 2026-09-17-v2, unter https://dev-cockpit.jaylu.de/website/unterauftragsverarbeiter.php bezeichneten Unternehmen. Die Liste muss Name, Sitz, Leistung, Verarbeitungsort und gegebenenfalls Transfergrundlage ausweisen.
Der Auftragsverarbeiter informiert mindestens 14 Tage vor einer beabsichtigten Hinzuziehung oder Ersetzung. Der Verantwortliche kann innerhalb dieser Frist aus einem nachvollziehbaren datenschutzrechtlichen Grund widersprechen. Die Parteien suchen eine angemessene Lösung; ist dies nicht möglich, kann der Verantwortliche den konkret betroffenen Dienst außerordentlich beenden. Unterauftragsverarbeiter werden schriftlich zu mindestens gleichwertigen Datenschutzpflichten verpflichtet. Der Auftragsverarbeiter bleibt gegenüber dem Verantwortlichen für deren Pflichterfüllung verantwortlich.
12. Drittlandübermittlungen
Eine Verarbeitung außerhalb EU/EWR erfolgt nur auf dokumentierte Weisung und unter den Voraussetzungen der Art. 44 ff. DSGVO, insbesondere aufgrund eines Angemessenheitsbeschlusses oder geeigneter Garantien. Soweit erforderlich werden Transfer-Folgenabschätzung und zusätzliche technische, organisatorische oder vertragliche Maßnahmen dokumentiert. Die konkrete Grundlage ist in der Unterauftragsverarbeiterliste anzugeben.
13. Nachweise und Kontrollen
Der Auftragsverarbeiter stellt dem Verantwortlichen alle erforderlichen Informationen zum Nachweis der Pflichten aus Art. 28 DSGVO zur Verfügung und ermöglicht angemessene Prüfungen durch den Verantwortlichen oder einen zur Vertraulichkeit verpflichteten Prüfer. Regelprüfungen sind rechtzeitig anzukündigen, während üblicher Geschäftszeiten durchzuführen und so zu gestalten, dass Sicherheit, Geheimnisse und Betrieb anderer Kunden nicht beeinträchtigt werden. Geeignete aktuelle Zertifikate oder unabhängige Prüfberichte können Vor-Ort-Prüfungen ersetzen, soweit sie aussagekräftig sind. Anlassbezogene Prüfungen, insbesondere nach erheblichen Vorfällen, bleiben möglich.
14. Rückgabe, Export und Löschung
Nach Abschluss der Leistungen löscht oder gibt der Auftragsverarbeiter nach Wahl des Verantwortlichen alle Auftragsdaten zurück und löscht vorhandene Kopien, sofern keine gesetzliche Pflicht zur Speicherung besteht. Die vereinbarte Exportfrist beträgt 30 Tage. Backups werden innerhalb des dokumentierten Zyklus von höchstens 30 Tagen überschrieben. Gesetzlich aufzubewahrende Daten werden gesperrt und ausschließlich für den Aufbewahrungszweck verarbeitet.
Das Lösch- und Aufbewahrungskonzept, Version 2026-09-30-v3, ist unter https://dev-cockpit.jaylu.de/website/aufbewahrung.php abrufbar und Bestandteil dieser AVV. Der Auftragsverarbeiter bestätigt die Löschung auf angemessene Anfrage. Vorhandene Exportfunktionen und vereinbarte Unterstützungsleistungen bleiben maßgeblich.
15. Herausgabe, Beschlagnahme und Behördenanfragen
Wird der Auftragsverarbeiter wegen Auftragsdaten von Behörden oder Dritten kontaktiert, informiert er den Verantwortlichen unverzüglich, soweit rechtlich zulässig. Er gibt Daten nur bei dokumentierter Weisung oder bindender rechtlicher Verpflichtung heraus und beschränkt die Offenlegung auf das Erforderliche.
16. Haftung und Kosten
Die datenschutzrechtliche Haftung richtet sich nach Art. 82 DSGVO und den zwingenden gesetzlichen Vorschriften. Im Innenverhältnis gelten ergänzend die wirksamen Haftungsregelungen des Hauptvertrags, soweit dadurch Rechte betroffener Personen nicht eingeschränkt werden.
17. Schlussbestimmungen
Änderungen dieser AVV und dokumentierte elektronische Bestätigungen bedürfen mindestens der Textform, soweit keine strengere Form vorgeschrieben ist. Sollte eine Bestimmung unwirksam sein, gelten die gesetzlichen Vorschriften; die übrigen Bestimmungen bleiben unberührt. Nach Vertragsende gelten Vertraulichkeits-, Nachweis-, Rückgabe- und Löschpflichten fort, soweit ihr Zweck dies erfordert.