Lumo
ENTWURF – vom Anwalt noch nicht geprüft, nicht live

Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO (Muster)

Präambel

Zwischen

[FEHLT: vollständiger Name, Rechtsform und Anschrift des Auftraggebers]
– nachfolgend „Auftraggeber“ oder „Verantwortlicher“ –

und

Maurice Denk Digital Management UG (haftungsbeschränkt) i. G., Maurice Denk, Helenenstraße 11 a, 63743 Aschaffenburg
– nachfolgend „Auftragnehmer“ oder „Auftragsverarbeiter“ –

wird dieser Vertrag geschlossen. Der Auftragnehmer verarbeitet für den Auftraggeber personenbezogene Daten. Dieser Vertrag regelt die Rechte und Pflichten beider Seiten dabei. Er erfüllt die Anforderungen des Art. 28 der Datenschutz-Grundverordnung (DSGVO). Die Anlagen 1 bis 3 gehören zu diesem Vertrag.

§ 1 Gegenstand und Dauer

(1) Der Auftragnehmer richtet für den Auftraggeber KI-Assistenten und Automatisierungen ein und betreibt sie. Sie betreffen den Posteingang, Angebote, das Telefon, die Webseite und Berichte. Dabei verarbeitet der Auftragnehmer personenbezogene Daten im Auftrag des Auftraggebers.

(2) Dieser Vertrag gilt für die Laufzeit des Betreuungsvertrags [FEHLT: Bezeichnung und Datum des Betreuungsvertrags]. Er endet mit dem Betreuungsvertrag.

§ 2 Art und Zweck der Verarbeitung, Datenarten, Betroffene

(1) Zweck der Verarbeitung ist der Betrieb der vereinbarten Automatisierung.

(2) Verarbeitet werden zum Beispiel Namen, Kontaktdaten sowie Inhalte von E-Mails, Rechnungen und Belegen.

(3) Betroffen sind Kunden, Lieferanten und Beschäftigte des Auftraggebers.

(4) Die konkreten Angaben zu Art der Verarbeitung, Datenarten und Betroffenen je Projekt stehen in Anlage 1. [Platzhalter: Anlage 1 wird je Projekt gefüllt.]

(5) Besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO verarbeitet der Auftragnehmer nur, wenn beide Seiten das ausdrücklich schriftlich vereinbart haben.

§ 3 Weisungen des Auftraggebers

(1) Der Auftragnehmer verarbeitet personenbezogene Daten nur auf dokumentierte Weisung des Auftraggebers. Das gilt auch für Übermittlungen in ein Drittland oder an eine internationale Organisation, soweit das Recht der Union oder eines Mitgliedstaats den Auftragnehmer nicht zu etwas anderem verpflichtet. Dann teilt er dem Auftraggeber diese Verpflichtung vor der Verarbeitung mit, sofern das Recht dies nicht verbietet.

(2) Dieser Vertrag und der Betreuungsvertrag sind die ersten Weisungen. Weitere Weisungen erteilt der Auftraggeber in Textform. [FEHLT: Wer beim Auftraggeber Weisungen erteilen darf, und an wen beim Auftragnehmer sie gehen.]

(3) Hält der Auftragnehmer eine Weisung für rechtswidrig, weist er den Auftraggeber unverzüglich darauf hin.

§ 4 Pflichten des Auftragnehmers

(1) Vertraulichkeit: Der Auftragnehmer setzt für die Verarbeitung nur Personen ein, die zur Vertraulichkeit verpflichtet sind oder einer gesetzlichen Verschwiegenheitspflicht unterliegen.

(2) Sicherheit: Der Auftragnehmer trifft die technischen und organisatorischen Maßnahmen, die in Anlage 2 beschrieben sind. [FEHLT: Anlage 2 mit den Maßnahmen.]

(3) Betroffenenrechte: Wendet sich eine betroffene Person an den Auftragnehmer, leitet er die Anfrage unverzüglich an den Auftraggeber weiter. Der Auftragnehmer unterstützt den Auftraggeber dabei, Anfragen betroffener Personen nach Kapitel III der DSGVO zu beantworten. Das gilt zum Beispiel für Auskunft, Berichtigung und Löschung.

(4) Weitere Unterstützung: Der Auftragnehmer unterstützt den Auftraggeber bei einer Datenschutz-Folgenabschätzung. Er unterstützt ihn auch bei Meldungen an die Aufsichtsbehörde und an betroffene Personen. Dabei berücksichtigt er die Art der Verarbeitung und die Informationen, die ihm vorliegen.

§ 5 Meldung von Datenschutzverletzungen

(1) Der Auftragnehmer meldet dem Auftraggeber eine Verletzung des Schutzes personenbezogener Daten unverzüglich, nachdem sie ihm bekannt geworden ist. Die Meldung geht an [FEHLT: Ansprechpartner und Kontaktweg des Auftraggebers für Meldungen].

(2) Die Meldung enthält die Angaben, die dem Auftragnehmer bekannt sind. Dazu gehören:

(3) Fehlen Angaben bei der ersten Meldung, reicht der Auftragnehmer sie nach, sobald sie vorliegen.

§ 6 Unterauftragnehmer

(1) Der Auftragnehmer setzt Unterauftragnehmer nur ein, wenn der Auftraggeber zugestimmt hat. Der Auftraggeber erteilt hiermit eine allgemeine Genehmigung für die Unterauftragnehmer, die in Anlage 3 genannt sind. [FEHLT: Anlage 3 mit Namen, Sitz und Aufgaben der Unterauftragnehmer.]

(2) Der Auftragnehmer informiert den Auftraggeber vorab, wenn er einen Unterauftragnehmer hinzuziehen oder ersetzen will. Der Auftraggeber kann dem innerhalb von [FEHLT: Frist] widersprechen. Widerspricht er, wird der Unterauftragnehmer nicht eingesetzt. [FEHLT: Regelung für den Fall, dass beide Seiten sich nicht einigen.]

(3) Der Auftragnehmer legt jedem Unterauftragnehmer dieselben Datenschutzpflichten auf, die in diesem Vertrag stehen. Das geschieht durch einen Vertrag. Der Auftragnehmer haftet gegenüber dem Auftraggeber dafür, dass der Unterauftragnehmer diese Pflichten erfüllt.

(4) Die Verarbeitung findet in der Europäischen Union oder im Europäischen Wirtschaftsraum statt. Eine Übermittlung in ein Drittland ist nur zulässig, wenn die Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind.

§ 7 Rechte der Betroffenen

(1) Wendet sich eine betroffene Person direkt an den Auftragnehmer, zum Beispiel mit einem Antrag auf Auskunft, Berichtigung oder Löschung, leitet der Auftragnehmer die Anfrage unverzüglich an den Auftraggeber weiter. Ohne Weisung des Auftraggebers beantwortet er sie nicht selbst.

(2) Der Auftragnehmer unterstützt den Auftraggeber dabei, Anfragen auf Auskunft, Berichtigung und Löschung zu beantworten. Er tut das mit den technischen und organisatorischen Mitteln, die ihm zur Verfügung stehen.

§ 8 Kontrollrechte

(1) Der Auftragnehmer weist auf Verlangen nach, dass er die Pflichten aus diesem Vertrag einhält. Ein Nachweis ist zum Beispiel die Beschreibung der Maßnahmen in Anlage 2.

(2) Der Auftraggeber darf den Auftragnehmer prüfen, selbst oder durch einen von ihm beauftragten Prüfer. Er meldet die Prüfung vorher an [FEHLT: Anmeldefrist]. Sie findet zu den üblichen Geschäftszeiten statt.

(3) Wer die Kosten einer Prüfung trägt: [FEHLT: Kostenregelung].

§ 9 Löschung und Rückgabe

(1) Nach Ende des Hauptvertrags löscht der Auftragnehmer alle personenbezogenen Daten des Auftraggebers oder gibt sie zurück. Der Auftraggeber entscheidet, was geschieht, und teilt seine Wahl in Textform mit [FEHLT: Frist für die Wahl].

(2) Der Auftragnehmer bestätigt dem Auftraggeber die Löschung in Textform.

(3) Gesetzliche Aufbewahrungspflichten bleiben unberührt.

§ 10 Haftung und Vergütung

(1) Die Haftung richtet sich nach dem Hauptvertrag und nach Art. 82 DSGVO.

(2) Für die Leistungen aus diesem Vertrag erhält der Auftragnehmer keine gesonderte Vergütung [Anwalt prüfen].

§ 11 Schlussbestimmungen

(1) Änderungen und Ergänzungen dieses Vertrags bedürfen der Schriftform oder der Textform [FEHLT: Anwalt entscheidet, welche Form gilt].

(2) Widersprechen sich dieser Vertrag und der Hauptvertrag, gilt [FEHLT: Rangfolge, Anwalt prüfen; üblich ist der Vorrang dieses Vertrags bei personenbezogenen Daten].

(3) Es gilt das Recht der Bundesrepublik Deutschland.

(4) Gerichtsstand ist [FEHLT: Gerichtsstand].

(5) Ist eine Bestimmung dieses Vertrags unwirksam, bleiben die übrigen wirksam. Die Parteien ersetzen die unwirksame Bestimmung durch eine wirksame, die ihrem Zweck am nächsten kommt.

Auftraggeber (Verantwortlicher)
Ort, Datum: ____________________
Unterschrift: ____________________
Name: [FEHLT: Name des Unterzeichners]

Auftragnehmer: Maurice Denk Digital Management UG (haftungsbeschränkt) i. G.
Ort, Datum: ____________________
Unterschrift: ____________________
Maurice Denk

Anlage 1 – Gegenstand je Projekt

Füllen Sie für jedes Projekt einen eigenen Block aus.

Projekt: [FEHLT: Name des Projekts]
Zweck: [FEHLT: Zweck der Verarbeitung]
Datenarten: [FEHLT: welche Daten]
Betroffene: [FEHLT: welche Personengruppen]
Dauer: [FEHLT: Laufzeit]

Anlage 2 – Technische und organisatorische Maßnahmen

Anlage 3 – Unterauftragnehmer