Auftragsverarbeitungsvertrag
gemäß Art. 28 DSGVO
§ 1 Parteien
Dieser Auftragsverarbeitungsvertrag (nachfolgend „AVV") wird geschlossen zwischen:
Verantwortlicher (Auftraggeber):
, , E-Mail:
Auftragsverarbeiter:
Y. Baris Ozgun, Krefelder Str. 4, 10555 Berlin, Deutschland, E-Mail: contact@thebozgun.com
Der AVV ist Bestandteil des Hauptvertrags und geht diesem hinsichtlich datenschutzrechtlicher Regelungen vor. Gegenstand der Auftragsverarbeitung: .
§ 2 Gegenstand und Dauer
Dieser AVV gilt ab Datum der letzten Unterzeichnung und endet mit Beendigung des Hauptvertrags. Pflichten, die ihrem Wesen nach über das Vertragsende hinauswirken (insb. Vertraulichkeit, Löschung), bleiben bestehen.
§ 3 Art, Umfang und Zweck der Verarbeitung
Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich zur Erbringung der vereinbarten Dienstleistungen ( ). Verarbeitungstätigkeiten umfassen: Erhebung, Speicherung, Übermittlung, Verarbeitung und Löschung.
Eine Verarbeitung zu anderen Zwecken ist unzulässig.
§ 4 Art der Daten und Kategorien betroffener Personen
Datenkategorien:
Betroffene Personen:
Besondere Kategorien gemäß Art. 9 DSGVO werden nicht verarbeitet, sofern nicht gesondert schriftlich vereinbart.
§ 5 Weisungsrecht des Verantwortlichen
Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen. Weisungen erfolgen in Textform; mündliche Weisungen sind unverzüglich schriftlich zu bestätigen.
Ist der Auftragsverarbeiter der Ansicht, dass eine Weisung gegen Datenschutzrecht verstößt, informiert er den Verantwortlichen unverzüglich und darf die Ausführung bis zur Klärung aussetzen.
§ 6 Pflichten des Auftragsverarbeiters
Vertraulichkeit (Art. 28 Abs. 3 lit. b, Art. 29 DSGVO): Alle zur Verarbeitung befugten Personen unterliegen einer Vertraulichkeitsverpflichtung und werden in den einschlägigen Datenschutzbestimmungen unterwiesen.
Datensicherheit (Art. 32 DSGVO): Der Auftragsverarbeiter trifft alle nach Art. 32 DSGVO erforderlichen technischen und organisatorischen Maßnahmen. Die konkreten Maßnahmen sind in Anlage 1 beschrieben.
Der Auftragsverarbeiter unterstützt den Verantwortlichen bei der Einhaltung der Pflichten aus Art. 32–36 DSGVO.
§ 7 Einsatz von Unterauftragsverarbeitern
Der Einsatz von Unterauftragsverarbeitern ist nur mit vorheriger schriftlicher Genehmigung des Verantwortlichen zulässig. Genehmigte Unterauftragsverarbeiter sind in Anlage 2 aufgeführt.
Beabsichtigte Änderungen werden mindestens 14 Tage vorab in Textform mitgeteilt. Der Verantwortliche kann Änderungen schriftlich ablehnen; in diesem Fall steht beiden Parteien ein außerordentliches Kündigungsrecht zu.
Dem Unterauftragsverarbeiter werden dieselben datenschutzrechtlichen Pflichten auferlegt (Art. 28 Abs. 4 DSGVO).
§ 8 Unterstützung bei Betroffenenrechten
Der Auftragsverarbeiter unterstützt den Verantwortlichen bei der Erfüllung von Betroffenenanfragen gemäß Art. 15–22 DSGVO. An den Auftragsverarbeiter gerichtete Anfragen werden unverzüglich an den Verantwortlichen weitergeleitet.
§ 9 Meldung von Datenschutzverletzungen
Datenschutzverletzungen im Sinne von Art. 4 Nr. 12 DSGVO werden dem Verantwortlichen unverzüglich, spätestens innerhalb von 24 Stunden nach Bekanntwerden gemeldet.
Die Meldung enthält Art der Verletzung, betroffene Datenkategorien und Personenanzahl, wahrscheinliche Folgen sowie ergriffene Maßnahmen.
§ 10 Löschung und Rückgabe
Nach Abschluss der Leistungen oder auf Weisung des Verantwortlichen werden alle personenbezogenen Daten gelöscht oder zurückgegeben, sofern keine rechtliche Aufbewahrungspflicht besteht. Löschung wird in Textform bestätigt.
§ 11 Nachweis- und Kontrollrechte
Der Auftragsverarbeiter stellt alle erforderlichen Informationen zum Nachweis der Einhaltung zur Verfügung und ermöglicht Prüfungen durch den Verantwortlichen oder einen beauftragten Prüfer (mindestens 14 Tage Ankündigung, einmal jährlich, Kosten trägt der Verantwortliche).
§ 12 Haftung
Jede Partei haftet für Datenschutzverletzungen im Umfang ihrer eigenen Verantwortlichkeit gemäß Art. 82 DSGVO. Die Gesamthaftung des Auftragsverarbeiters ist je Schadensereignis auf begrenzt. Diese Begrenzung gilt nicht bei Vorsatz, grober Fahrlässigkeit oder Schäden aus der Verletzung von Leben, Körper oder Gesundheit.
§ 13 Schlussbestimmungen
Textform: Änderungen bedürfen der Textform. Mündliche Nebenabreden bestehen nicht.
Anwendbares Recht: Recht der Bundesrepublik Deutschland.
Gerichtsstand: Ausschließlicher Gerichtsstand: Berlin.
Salvatorische Klausel: Unwirksame Bestimmungen werden durch wirksame ersetzt, die dem wirtschaftlichen Zweck am nächsten kommen.
Unterschriften
Ort, Datum
,
Verantwortlicher – Unterschrift
Name / Funktion
Ort, Datum
,
Auftragsverarbeiter – Unterschrift
Name / Funktion
Y. Baris Ozgun
Anlage 1 – Technische und organisatorische Maßnahmen (Art. 32 DSGVO)
| Maßnahmenbereich | Beschreibung |
|---|---|
| Zutrittskontrolle | Arbeit im Homeoffice, verschließbarer Arbeitsbereich, keine eigenen Serverräume; physische Infrastruktur ausschließlich bei den in Anlage 2 genannten Anbietern. |
| Zugangskontrolle | Passwortmanager, starke individuelle Passwörter, Zwei-Faktor-Authentifizierung auf allen Konten, vollverschlüsselte Festplatte. |
| Zugriffskontrolle | Rollenbasierte Zugriffsrechte nach dem Least-Privilege-Prinzip, getrennte Zugangsdaten je Kunde und je Umgebung. |
| Weitergabekontrolle | TLS-Verschlüsselung bei allen Übertragungen, SSH-Zugriff ausschließlich per Key, keine Übertragung über unverschlüsselte Kanäle. |
| Eingabekontrolle | Versionskontrolle mit Git, nachvollziehbare Commit-Historie, Protokollierung von Änderungen an Produktivsystemen. |
| Auftragskontrolle | Verarbeitung ausschließlich auf dokumentierte Weisung des Verantwortlichen, Auftragserteilung in Textform. |
| Verfügbarkeitskontrolle | Regelmäßige automatisierte Backups, Wiederherstellungstests, redundante Infrastruktur der eingesetzten Hosting-Anbieter. |
| Trennungsgebot | Getrennte Umgebungen und Datenbanken je Kunde und je Projekt (Development, Staging, Production). |
| Verschlüsselung | TLS 1.2 oder höher im Transport, Verschlüsselung ruhender Daten, verschlüsselte Backups. |
Anlage 2 – Liste der genehmigten Unterauftragsverarbeiter
| Anbieter | Zweck / Dienst | Land |
|---|---|---|
| wird projektbezogen festgelegt | ||
| wird projektbezogen festgelegt | ||
| wird projektbezogen festgelegt | ||
Änderungen werden mindestens 14 Tage vor Inkrafttreten mitgeteilt.