Vereinbarung zur Auftrags­verarbeitung

nach Artikel 28 der Datenschutz-Grundverordnung (DSGVO)

Verantwortlicher („Sie“): [Firma, Rechtsform, Anschrift, vertreten durch]
Auftragsverarbeiter („ich“): Steven Kramp Digital Solutions, Inhaber Steven Kramp, c/o POSTFLEX PFX-908-673, Emsdettener Straße 10, 48268 Greven, kontakt@stevenkramp.de
Gehört zum Auftrag: [Plan, Kennung und Datum]

1. Wann diese Vereinbarung gilt

Sie gilt, sobald ich bei Ihrem Auftrag echte personenbezogene Daten sehen oder verarbeiten kann, zum Beispiel Namen und Kontaktdaten Ihrer Kunden. Das betrifft die Einrichtung und eine spätere Betreuung. Ohne diese Vereinbarung mit ausgefüllten Anlagen arbeite ich nur mit erfundenen Testdaten. Für den kostenlosen Büro-Check ist sie nicht nötig, weil ich dabei nicht auf Ihre Konten zugreife. Beim Datenschutz geht diese Vereinbarung den Auftragsbedingungen vor.

2. Gegenstand, Dauer, Art und Zweck

Ich verarbeite die Daten aus Anlage 2 nur, um den Ablauf aus Anlage 1 einzurichten, zu testen, zu übergeben und, wenn Sie das beauftragt haben, zu betreuen. Die Vereinbarung beginnt, wenn beide Seiten sie bestätigt haben. Sie endet, wenn die Daten nach Nummer 10 zurückgegeben oder gelöscht sind.

Sie bestimmen Zweck und Rechtsgrundlage und sind für die Rechtmäßigkeit der Verarbeitung verantwortlich. Ich entscheide nicht über Versand, Zahlungen, Buchungen oder neue Zwecke. Ich nutze Ihre Daten nicht für eigene Zwecke, nicht für Referenzen, nicht für andere Kunden und nicht zum Training von KI-Modellen. Sie gehen nicht in mein persönliches Bürosystem.

Nicht Gegenstand dieses Auftrags sind Gesundheitsdaten und andere besondere Daten nach Artikel 9 DSGVO, Daten über Straftaten nach Artikel 10 DSGVO sowie Daten aus Pflegediensten und Kanzleien. Tauchen solche Daten trotzdem auf, stoppe ich ihre Verarbeitung und sage Ihnen Bescheid.

3. Weisungen

Ich verarbeite die Daten nur auf Ihre dokumentierte Weisung. Das gilt auch für jede Übermittlung in ein Land außerhalb der EU und des EWR. Weisungen geben die in Anlage 1 genannten Personen in Textform. Neue Datenquellen, neue Nutzer und neue Zwecke brauchen eine neue Weisung.

Verpflichtet mich ein Gesetz zu einer anderen Verarbeitung, teile ich Ihnen das vorher mit, soweit das Gesetz es erlaubt. Halte ich eine Weisung für rechtswidrig, sage ich Ihnen das sofort. Bis zur Klärung führe ich sie nicht aus.

4. Vertraulichkeit

Zugriff auf Ihre Daten habe nur ich. Ziehe ich eine weitere Person hinzu, verpflichte ich sie vorher schriftlich zur Vertraulichkeit. Die Pflicht zur Vertraulichkeit gilt nach dem Ende des Auftrags weiter.

5. Sicherheit

Es gelten die Maßnahmen aus Anlage 3. Teil A gilt bei jedem Auftrag. Teil B fülle ich vor dem ersten Zugriff auf echte Daten aus und bestätige ihn Ihnen. Ohne ausgefüllten Teil B greife ich nicht auf echte Daten zu. Ich darf die Maßnahmen anpassen, wenn der Schutz dabei nicht sinkt. Wesentliche Änderungen teile ich Ihnen mit.

6. Weitere Auftragsverarbeiter

Einen eigenen Unterauftragnehmer setze ich nur ein, wenn Sie ihn vorher in Textform einzeln genehmigt haben. Genehmigt sind nur die Dienste aus Anlage 4. Ein Verweis auf meine Website ist keine Genehmigung.

Mit jedem eigenen Unterauftragnehmer vereinbare ich vor seinem Einsatz einen Vertrag, der ihm für seinen Teil dieselben Datenschutzpflichten auferlegt wie diese Vereinbarung (Artikel 28 Absatz 3 und 4 DSGVO). Erfüllt er sie nicht, stehe ich Ihnen gegenüber dafür ein.

Dienste, die Sie selbst beauftragt haben und die über Ihre Konten laufen, sind Ihre Vertragspartner und nicht meine Unterauftragnehmer. Sie stehen zur Übersicht ebenfalls in Anlage 4.

7. Verarbeitung außerhalb der EU

Ich verarbeite Ihre Daten nur in der EU und im EWR und greife nur von dort auf sie zu. Eine Übermittlung in ein anderes Land oder ein Zugriff von dort unterbleibt, bis Sie sie in Textform angewiesen haben und in Anlage 4 stehen: der Empfänger, der Ort, die Datenarten und die Rechtsgrundlage nach Kapitel V der DSGVO. Gibt es für das Land keinen Angemessenheitsbeschluss, sind das die Standardvertragsklauseln der EU-Kommission (Beschluss 2021/914) mit Risikoprüfung und zusätzlichen Maßnahmen. Ein Rechenzentrum in der EU ersetzt diese Prüfung nicht.

Verlangt eine Behörde aus einem solchen Land Daten von mir, melde ich Ihnen das, sobald das Recht es erlaubt. Ein Ersuchen ohne anerkannte Rechtsgrundlage weise ich zurück.

8. Unterstützung und Datenpannen

Wendet sich eine betroffene Person an mich, leite ich die Anfrage sofort an Sie weiter und beantworte sie nur auf Ihre Weisung. Ich unterstütze Sie, soweit mein Zugriff reicht, bei Auskunft, Berichtigung, Löschung, Einschränkung und Herausgabe von Daten. Ich unterstütze Sie auch bei der Sicherheit der Verarbeitung, bei Meldungen an die Aufsichtsbehörde und an Betroffene, bei einer Datenschutz-Folgenabschätzung und bei einer Rückfrage der Behörde (Artikel 32 bis 36 DSGVO).

Eine Verletzung des Schutzes Ihrer Daten melde ich Ihnen sofort, nachdem ich sie bemerkt habe, möglichst innerhalb von 24 Stunden. Die Meldung nennt, was betroffen ist, mögliche Folgen, bekannte Zeitpunkte, meine Gegenmaßnahmen und einen Kontakt. Was noch fehlt, reiche ich nach. Meldungen an Behörden und Betroffene machen Sie.

9. Nachweise und Kontrollen

Ich gebe Ihnen alle Informationen, die Sie brauchen, um die Einhaltung dieser Vereinbarung nachzuweisen. Sie oder ein zur Vertraulichkeit verpflichteter Prüfer dürfen die Einhaltung überprüfen, auch durch eine Inspektion. Üblich ist zuerst eine Prüfung der Unterlagen, mit angemessener Ankündigung. Bei einem Vorfall oder auf Verlangen einer Behörde geht es auch kurzfristig. Daten anderer Kunden bleiben dabei geschützt. Für gesetzlich geschuldete Auskünfte berechne ich nichts.

10. Ende, Rückgabe und Löschung

Nach dem Ende der Verarbeitung gebe ich die Daten nach Ihrer Wahl zurück oder lösche sie. Meine Zugänge enden sofort, wenn der Zweck wegfällt. Eigene Arbeitskopien lösche ich spätestens 30 Tage nach der Übergabe. Sicherungskopien, falls Anlage 3 welche nennt, laufen spätestens nach 90 Tagen aus und sind bis dahin gesperrt. Wird eine Sicherung zurückgespielt, lösche ich erneut.

Treffen Sie innerhalb von 30 Tagen nach dem Ende keine Wahl, lösche ich die Daten und bestätige Ihnen das in Textform. Daten, die ich nach dem Gesetz aufbewahren muss, nenne ich Ihnen vorher, speichere sie getrennt und lösche sie nach Ablauf der Pflicht. Die Fristen von 30 und 90 Tagen sind vereinbart, nicht gesetzlich vorgegeben. Abweichende Fristen stehen in Anlage 2. Ein Streit über die Zahlung berechtigt mich nicht, Ihre Daten zurückzuhalten.

11. Haftung und Schluss

Ansprüche betroffener Personen nach Artikel 82 DSGVO bleiben unberührt. Zwischen uns gilt die Haftungsregel der Auftragsbedingungen, soweit die DSGVO nichts anderes zwingend vorschreibt. Änderungen dieser Vereinbarung und ihrer Anlagen vereinbaren wir in Textform. Eine Bestätigung per E-Mail genügt.

Ort, Datum: [offen]
Verantwortlicher: [Name, Bestätigung]
Auftragsverarbeiter: Steven Kramp [Bestätigung]

Anlage 1: Gegenstand und Dauer

Vor Beginn vollständig auszufüllen. Ein leeres Feld bedeutet: nicht erlaubt.

Anlage 2: Art der Daten und betroffene Personen

Anlage 3: Technische und organisatorische Maßnahmen

Teil A: gilt bei jedem Auftrag

Teil B: vor dem ersten Zugriff auf echte Daten auszufüllen

Ich trage ein, was für Ihren Auftrag tatsächlich eingerichtet ist, mit Datum. „Offen“ oder „geplant“ zählt nicht.

Anlage 4: Weitere Auftragsverarbeiter und Dienste

Meine Unterauftragnehmer: Zum Zeitpunkt dieser Vereinbarung ist keiner genehmigt.

Ihre eigenen Dienste, über die der Ablauf läuft (zur Übersicht, keine Unterauftragnehmer von mir):

Vor dem Echtbetrieb darf in dieser Anlage keine offene Zeile stehen.