Vertrag zur Auftragsverarbeitung

nach Art. 28 DSGVO · Fassung vom 7. August 2026

Dieser Vertrag wird geschlossen zwischen dem Kunden – nachfolgend „Verantwortlicher" – und

– nachfolgend „Auftragsverarbeiter".

§ 1 Gegenstand und Dauer

(1) Gegenstand ist die Verarbeitung personenbezogener Daten, die der Verantwortliche im Rahmen der Nutzung der Anwendung ProfiBüro GO eingibt oder erzeugt. Einzelheiten zu Art, Umfang und Zweck ergeben sich aus Anlage 1.

(2) Die Dauer entspricht der Laufzeit des Nutzungsvertrages. Der Vertrag endet automatisch mit dessen Beendigung; § 9 bleibt unberührt.

§ 2 Weisungsrecht

(1) Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen. Als Weisung gelten insbesondere die Nutzung der Anwendung durch den Verantwortlichen sowie die im Nutzungsvertrag vereinbarten Funktionen.

(2) Eine Verarbeitung zu eigenen Zwecken findet nicht statt. Der Auftragsverarbeitung unterliegende Daten werden insbesondere nicht zum Training von KI-Modellen verwendet.

(3) Ist der Auftragsverarbeiter der Auffassung, dass eine Weisung gegen Datenschutzrecht verstößt, informiert er den Verantwortlichen unverzüglich und darf die Ausführung bis zur Klärung aussetzen.

§ 3 Pflichten des Auftragsverarbeiters

Der Auftragsverarbeiter verpflichtet sich,

• die zur Verarbeitung befugten Personen auf Vertraulichkeit zu verpflichten, soweit sie nicht bereits einer gesetzlichen Verschwiegenheitspflicht unterliegen;
• die technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO umzusetzen und einzuhalten (Anlage 2);
• den Verantwortlichen bei der Beantwortung von Anfragen betroffener Personen nach Kapitel III DSGVO im Rahmen des Zumutbaren zu unterstützen;
• den Verantwortlichen bei der Einhaltung der Pflichten aus Art. 32 bis 36 DSGVO zu unterstützen;
• Verletzungen des Schutzes personenbezogener Daten unverzüglich, spätestens innerhalb von 48 Stunden nach Kenntnisnahme in Textform zu melden;
• ein Verzeichnis aller Verarbeitungstätigkeiten nach Art. 30 Abs. 2 DSGVO zu führen;
• dem Verantwortlichen alle erforderlichen Informationen zum Nachweis der Einhaltung dieses Vertrages zur Verfügung zu stellen.

§ 4 Unterauftragsverarbeiter

(1) Der Verantwortliche erteilt hiermit seine allgemeine Genehmigung zur Beauftragung der in Anlage 3 genannten Unterauftragsverarbeiter.

(2) Über beabsichtigte Änderungen dieser Liste informiert der Auftragsverarbeiter mindestens vier Wochen im Voraus in Textform. Der Verantwortliche kann innerhalb von zwei Wochen aus wichtigem datenschutzrechtlichem Grund widersprechen. Widerspricht er, kann jede Seite den Nutzungsvertrag zum Zeitpunkt der geplanten Änderung kündigen.

(3) Der Auftragsverarbeiter verpflichtet Unterauftragsverarbeiter auf ein Schutzniveau, das diesem Vertrag entspricht.

§ 5 Verarbeitung in Drittländern

Eine Verarbeitung außerhalb der Europäischen Union oder des Europäischen Wirtschaftsraums findet nur statt, wenn die Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind – insbesondere auf Grundlage eines Angemessenheitsbeschlusses oder von Standardvertragsklauseln. Die eingesetzten Unterauftragsverarbeiter und der jeweilige Verarbeitungsort sind in Anlage 3 aufgeführt.

§ 6 Kontrollrechte

(1) Der Verantwortliche hat das Recht, die Einhaltung dieses Vertrages zu überprüfen. Der Nachweis erfolgt vorrangig durch aussagekräftige Unterlagen, Selbstauskünfte oder Testate unabhängiger Stellen.

(2) Vor-Ort-Prüfungen sind nach rechtzeitiger Ankündigung, zu üblichen Geschäftszeiten und ohne Störung des Betriebsablaufs zulässig, sofern die Nachweise nach Absatz 1 nicht ausreichen. Der Auftragsverarbeiter kann für den entstehenden Aufwand eine angemessene Vergütung verlangen.

§ 7 Pflichten des Verantwortlichen

(1) Der Verantwortliche ist für die Rechtmäßigkeit der Verarbeitung sowie für die Wahrung der Rechte betroffener Personen verantwortlich.

(2) Er informiert den Auftragsverarbeiter unverzüglich, wenn er Fehler oder Unregelmäßigkeiten bei der Verarbeitung feststellt.

(3) Er stellt sicher, dass er zur Eingabe der personenbezogenen Daten seiner eigenen Kunden berechtigt ist, und gibt keine Daten besonderer Kategorien nach Art. 9 DSGVO ein.

§ 8 Haftung

Es gilt Art. 82 DSGVO. Im Innenverhältnis gelten ergänzend die Haftungsregelungen der Allgemeinen Geschäftsbedingungen des Auftragsverarbeiters.

§ 9 Löschung und Rückgabe nach Vertragsende

(1) Nach Beendigung des Nutzungsvertrages stellt der Auftragsverarbeiter dem Verantwortlichen seine Daten für 30 Tage zum Export bereit.

(2) Nach Ablauf dieser Frist löscht der Auftragsverarbeiter sämtliche personenbezogenen Daten, soweit keine gesetzliche Aufbewahrungspflicht entgegensteht. Die Löschung wird auf Wunsch in Textform bestätigt.

§ 10 Schlussbestimmungen

(1) Bei Widersprüchen zwischen diesem Vertrag und den Allgemeinen Geschäftsbedingungen gehen die Regelungen dieses Vertrages vor, soweit es um die Verarbeitung personenbezogener Daten geht.

(2) Sollte eine Bestimmung unwirksam sein, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt.