Auftragsverarbeitungsvertrag

Vertrag zur Auftragsverarbeitung gemäß Art. 28 Datenschutz-Grundverordnung (DSGVO)

§ 1 Gegenstand und Dauer

(1) Dieser Vertrag regelt die Rechte und Pflichten der Parteien, soweit der Auftragnehmer bei der Erbringung der Leistungen aus dem Hauptvertrag personenbezogene Daten im Auftrag des Auftraggebers verarbeitet. Das betrifft insbesondere Hosting und Managed Operations, den Betrieb von Plattformen, Kubernetes-Umgebungen und Identitätsdiensten sowie Beratung, Migration und Support mit Zugriff auf Systeme des Auftraggebers.

(2) Gegenstand, Art und Zweck der Verarbeitung, die Art der personenbezogenen Daten und die Kategorien betroffener Personen ergeben sich aus Anlage 1.

(3) Dieser Vertrag gilt für die Laufzeit des Hauptvertrags. Pflichten, die ihrer Natur nach über das Vertragsende hinausreichen, insbesondere § 4 und § 11, gelten fort, bis der Auftragnehmer keine personenbezogenen Daten des Auftraggebers mehr verarbeitet.

§ 2 Verantwortlichkeit

(1) Der Auftraggeber ist für die Rechtmäßigkeit der Verarbeitung, die Wahrung der Rechte der betroffenen Personen und die Zulässigkeit der Datenweitergabe an den Auftragnehmer allein verantwortlich.

(2) Der Auftraggeber teilt dem Auftragnehmer vor Beginn der Verarbeitung mit, wenn besondere Kategorien personenbezogener Daten (Art. 9 DSGVO) oder Daten über strafrechtliche Verurteilungen (Art. 10 DSGVO) verarbeitet werden sollen. Ohne eine solche Mitteilung geht der Auftragnehmer davon aus, dass keine solchen Daten verarbeitet werden.

§ 3 Weisungen

(1) Der Auftragnehmer verarbeitet die personenbezogenen Daten ausschließlich auf dokumentierte Weisung des Auftraggebers, auch in Bezug auf die Übermittlung in ein Drittland, es sei denn, er ist durch das Recht der Union oder eines Mitgliedstaats, dem er unterliegt, zur Verarbeitung verpflichtet. In einem solchen Fall teilt er dem Auftraggeber diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht eine solche Mitteilung nicht wegen eines wichtigen öffentlichen Interesses verbietet (Art. 28 Abs. 3 lit. a DSGVO).

(2) Die Weisungen des Auftraggebers sind zunächst durch den Hauptvertrag und diesen Vertrag festgelegt. Einzelweisungen erteilt der Auftraggeber in Textform; mündliche Weisungen bestätigt er unverzüglich in Textform.

(3) Ist der Auftragnehmer der Auffassung, dass eine Weisung gegen die DSGVO oder andere Datenschutzvorschriften verstößt, informiert er den Auftraggeber unverzüglich (Art. 28 Abs. 3 Satz 3 DSGVO). Er darf die Ausführung der Weisung aussetzen, bis der Auftraggeber sie bestätigt oder ändert.

§ 4 Vertraulichkeit

Der Auftragnehmer setzt bei der Verarbeitung nur Personen ein, die zur Vertraulichkeit verpflichtet wurden oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen und die mit den für sie maßgeblichen Datenschutzbestimmungen vertraut gemacht wurden (Art. 28 Abs. 3 lit. b, Art. 29 DSGVO). Die Verpflichtung besteht auch nach Ende ihrer Tätigkeit fort.

§ 5 Sicherheit der Verarbeitung

(1) Der Auftragnehmer trifft alle nach Art. 32 DSGVO erforderlichen technischen und organisatorischen Maßnahmen. Die zum Vertragsschluss getroffenen Maßnahmen sind in Anlage 2 beschrieben.

(2) Die Maßnahmen unterliegen dem technischen Fortschritt. Der Auftragnehmer darf sie durch gleichwertige oder bessere Maßnahmen ersetzen; das Sicherheitsniveau darf dabei nicht unterschritten werden. Wesentliche Änderungen dokumentiert er und teilt sie dem Auftraggeber auf Anfrage mit.

§ 6 Unterauftragsverarbeiter

(1) Der Auftraggeber erteilt die allgemeine schriftliche Genehmigung, weitere Auftragsverarbeiter (Unterauftragsverarbeiter) einzusetzen (Art. 28 Abs. 2 DSGVO). Die bei Vertragsschluss eingesetzten Unterauftragsverarbeiter sind in Anlage 3 aufgeführt und gelten als genehmigt.

(2) Der Auftragnehmer informiert den Auftraggeber in Textform, bevor er einen Unterauftragsverarbeiter hinzuzieht oder ersetzt. Der Auftraggeber kann der Änderung innerhalb von vier Wochen nach Zugang der Information aus wichtigem datenschutzrechtlichem Grund in Textform widersprechen. Widerspricht er und finden die Parteien keine Lösung, kann jede Partei die betroffenen Leistungen außerordentlich kündigen.

(3) Der Auftragnehmer erlegt jedem Unterauftragsverarbeiter vertraglich dieselben Datenschutzpflichten auf, die in diesem Vertrag festgelegt sind, insbesondere hinreichende Garantien für geeignete technische und organisatorische Maßnahmen (Art. 28 Abs. 4 DSGVO). Kommt ein Unterauftragsverarbeiter seinen Datenschutzpflichten nicht nach, haftet der Auftragnehmer gegenüber dem Auftraggeber für die Einhaltung dieser Pflichten.

(4) Keine Unterauftragsverarbeitung im Sinne dieses Vertrags sind Nebenleistungen, die der Auftragnehmer bei Dritten in Anspruch nimmt und bei denen diese keinen Zugriff auf personenbezogene Daten des Auftraggebers erhalten, etwa Telekommunikationsleistungen oder die Entsorgung von Datenträgern nach deren sicherer Löschung.

§ 7 Ort der Verarbeitung

Die Verarbeitung findet ausschließlich in Rechenzentren in Deutschland statt. Eine Verarbeitung außerhalb der Europäischen Union oder des Europäischen Wirtschaftsraums erfolgt nur auf dokumentierte Weisung des Auftraggebers und nur, wenn die Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind.

§ 8 Rechte der betroffenen Personen

(1) Der Auftragnehmer unterstützt den Auftraggeber angesichts der Art der Verarbeitung nach Möglichkeit mit geeigneten technischen und organisatorischen Maßnahmen dabei, Anträge betroffener Personen auf Wahrnehmung ihrer Rechte nach Kapitel III DSGVO zu beantworten (Art. 28 Abs. 3 lit. e DSGVO).

(2) Wendet sich eine betroffene Person unmittelbar an den Auftragnehmer, leitet er das Anliegen unverzüglich an den Auftraggeber weiter. Er beantwortet es nicht selbst, es sei denn, der Auftraggeber weist ihn dazu an.

§ 9 Weitere Unterstützungspflichten

(1) Der Auftragnehmer unterstützt den Auftraggeber unter Berücksichtigung der Art der Verarbeitung und der ihm zur Verfügung stehenden Informationen bei der Einhaltung der Pflichten aus Art. 32 bis 36 DSGVO (Art. 28 Abs. 3 lit. f DSGVO), insbesondere bei der Sicherheit der Verarbeitung, bei Meldungen und Benachrichtigungen nach Verletzungen des Schutzes personenbezogener Daten, bei Datenschutz-Folgenabschätzungen und bei vorherigen Konsultationen der Aufsichtsbehörde.

(2) Wird dem Auftragnehmer eine Verletzung des Schutzes personenbezogener Daten des Auftraggebers bekannt, meldet er sie dem Auftraggeber unverzüglich (Art. 33 Abs. 2 DSGVO). Die Meldung enthält, soweit bekannt, die in Art. 33 Abs. 3 DSGVO genannten Angaben; was noch nicht bekannt ist, reicht er ohne unangemessene weitere Verzögerung nach. Der Auftragnehmer ergreift unverzüglich die Maßnahmen, die erforderlich sind, um die Verletzung zu beheben und mögliche nachteilige Folgen für die betroffenen Personen zu mindern.

(3) Der Auftragnehmer informiert den Auftraggeber unverzüglich über Kontrollhandlungen und Maßnahmen von Aufsichtsbehörden, soweit sie sich auf diesen Auftrag beziehen.

§ 10 Nachweise und Kontrollen

(1) Der Auftragnehmer stellt dem Auftraggeber alle erforderlichen Informationen zum Nachweis der Einhaltung der in Art. 28 DSGVO niedergelegten Pflichten zur Verfügung (Art. 28 Abs. 3 lit. h DSGVO).

(2) Der Auftragnehmer ermöglicht Überprüfungen, einschließlich Inspektionen, die vom Auftraggeber oder einem von ihm beauftragten Prüfer durchgeführt werden, und trägt zu ihnen bei. Inspektionen vor Ort sind rechtzeitig vorher anzumelden und finden während der üblichen Geschäftszeiten statt, ohne den Betriebsablauf unverhältnismäßig zu stören. Ein beauftragter Prüfer darf nicht in einem Wettbewerbsverhältnis zum Auftragnehmer stehen und ist zur Verschwiegenheit zu verpflichten.

(3) Für die Rechenzentren der Unterauftragsverarbeiter kann der Nachweis durch aktuelle Zertifikate oder Prüfberichte unabhängiger Stellen erbracht werden, etwa eine Zertifizierung nach ISO/IEC 27001.

§ 11 Löschung und Rückgabe

(1) Nach Ende der Leistungen löscht der Auftragnehmer nach Wahl des Auftraggebers alle personenbezogenen Daten des Auftraggebers oder gibt sie ihm zurück und löscht die vorhandenen Kopien, sofern nicht nach dem Recht der Union oder der Mitgliedstaaten eine Pflicht zur Speicherung besteht (Art. 28 Abs. 3 lit. g DSGVO). Trifft der Auftraggeber seine Wahl nicht innerhalb von vier Wochen nach Vertragsende, löscht der Auftragnehmer die Daten.

(2) Datensicherungen werden nicht vorzeitig einzeln bereinigt, sondern mit Ablauf ihrer Aufbewahrungsfrist gelöscht (Anlage 2). Bis dahin bleiben sie nach diesem Vertrag geschützt und werden nicht mehr verwendet, außer der Auftraggeber weist es an.

(3) Die Löschung bestätigt der Auftragnehmer dem Auftraggeber auf Anfrage in Textform.

§ 12 Haftung

Für die Haftung der Parteien gegenüber betroffenen Personen gilt Art. 82 DSGVO. Im Übrigen gelten die Haftungsregelungen des Hauptvertrags.

§ 13 Schlussbestimmungen

(1) Bei Widersprüchen zwischen diesem Vertrag und dem Hauptvertrag oder den Allgemeinen Geschäftsbedingungen gehen die Regelungen dieses Vertrags vor, soweit es um den Schutz personenbezogener Daten geht.

(2) Änderungen und Ergänzungen dieses Vertrags bedürfen der Textform. Das gilt auch für die Aufhebung dieses Formerfordernisses.

(3) Sollte eine Bestimmung dieses Vertrags unwirksam sein oder werden, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt. An die Stelle der unwirksamen Bestimmung tritt eine Regelung, die den Anforderungen des Art. 28 DSGVO entspricht und dem wirtschaftlichen Zweck der unwirksamen Bestimmung am nächsten kommt.

(4) Es gilt das Recht der Bundesrepublik Deutschland. Gerichtsstand ist der im Hauptvertrag vereinbarte.

Anlage 1 · Gegenstand der Verarbeitung

Art und Zweck der Verarbeitung

Die Verarbeitung dient ausschließlich der Erbringung der Leistungen aus dem Hauptvertrag. Je nach vereinbarter Leistung umfasst sie:

• Hosting: Speichern und Bereitstellen der Anwendungen, Datenbanken und Dateien des Auftraggebers
• Betrieb: Installation, Aktualisierung, Überwachung und Störungsbeseitigung
• Datensicherung und Wiederherstellung
• Protokollierung des Betriebs (Server-, Zugriffs- und Anwendungsprotokolle) zur Fehleranalyse und zur Abwehr von Angriffen
• Betrieb von Identitäts- und Zugriffsdiensten (Single Sign-on, Benutzer- und Rechteverwaltung)
• Migration von Daten und Systemen sowie Support mit Zugriff auf Systeme des Auftraggebers

Art der personenbezogenen Daten

• die Daten, die der Auftraggeber in den betriebenen Systemen speichert oder durch sie verarbeiten lässt; ihren Umfang bestimmt allein der Auftraggeber
• Benutzerkonten: Name, Benutzername, E-Mail-Adresse, Gruppen- und Rollenzugehörigkeit, Anmeldezeitpunkte
• Protokolldaten: IP-Adressen, Zeitpunkte, aufgerufene Ressourcen, Benutzerkennungen, technische Geräte- und Browserangaben
• Kommunikationsdaten aus Support und Störungsbearbeitung

Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO) werden nur verarbeitet, wenn der Auftraggeber dies nach § 2 Abs. 2 mitgeteilt hat.

Kategorien betroffener Personen

• Beschäftigte und sonstige Mitarbeitende des Auftraggebers
• Kunden, Interessenten und Nutzer der Anwendungen des Auftraggebers
• Geschäftspartner und Ansprechpersonen des Auftraggebers
• sonstige Personen, deren Daten der Auftraggeber in den betriebenen Systemen verarbeitet

Anlage 2 · Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

Vertraulichkeit

• Zutrittskontrolle: Die Systeme laufen ausschließlich in Rechenzentren der Hetzner Online GmbH in Deutschland, die nach ISO/IEC 27001 zertifiziert sind; der physische Zutritt ist dort geregelt und überwacht. Der Auftragnehmer betreibt keine eigenen Serverräume.
• Zugangskontrolle: Administrative Zugänge sind über ein eigenes VPN geschützt. Anmeldungen an den Betriebswerkzeugen laufen über einen zentralen Identitätsdienst (Single Sign-on) mit persönlichen Konten.
• Zugriffskontrolle: Berechtigungen werden rollenbasiert und nach dem Prinzip der geringsten Rechte vergeben und bei Ausscheiden entzogen. Zugangsdaten und Schlüssel werden zentral in einem Secret-Management-System (HashiCorp Vault) verwaltet, nicht im Quellcode.
• Trennungskontrolle: Die Systeme verschiedener Auftraggeber und Umgebungen laufen in getrennten Kubernetes-Namespaces oder Clustern mit getrennten Datenbanken und Zugangsdaten; Netzwerkzugriffe zwischen ihnen werden durch Netzwerkrichtlinien eingeschränkt.

Integrität

• Weitergabekontrolle: Daten werden über öffentliche Netze nur verschlüsselt übertragen (TLS).
• Eingabekontrolle: Konfigurationsänderungen erfolgen als Code in einem Versionsverwaltungssystem (GitOps) und sind mit Urheber, Zeitpunkt und Inhalt nachvollziehbar.

Verfügbarkeit und Belastbarkeit

• Datenbanken werden täglich gesichert und laufend fortgeschrieben (Point-in-Time-Recovery). Die Sicherungen liegen getrennt von den Produktivsystemen im Object Storage der Hetzner Online GmbH in Deutschland und werden nach 30 Tagen gelöscht, soweit nicht anders vereinbart.
• Systeme und Dienste werden laufend überwacht; Störungen lösen Alarme aus.
• Kritische Dienste werden, soweit vereinbart, redundant über mehrere Server betrieben.

Verfahren zur regelmäßigen Überprüfung

• Der Auftragnehmer hat einen Datenschutzbeauftragten benannt: Markus Romig, Tecomon GmbH, Datenschutz@Tecomon.de.
• Beschäftigte werden auf die Vertraulichkeit verpflichtet (§ 4).
• Die technischen und organisatorischen Maßnahmen werden regelmäßig und bei wesentlichen Änderungen überprüft und angepasst.
• Sicherheitsupdates für Betriebssysteme, Plattformkomponenten und Anwendungen werden zeitnah eingespielt.

Anlage 3 · Unterauftragsverarbeiter

Stand: Oktober 2026