Vertrag zur Auftragsverarbeitung

gemäß Art. 28 DSGVO · Stand: Juli 2026

Zwischen den Parteien

Verantwortlicher (Auftraggeber):
[Name / Firma des Kunden]
[Anschrift]
– nachfolgend „Verantwortlicher" –

Auftragsverarbeiter (Auftragnehmer):
Sebastian Michalski
Wischhofsweg 33a, 22523 Hamburg
E-Mail: info@dsgvo-cockpit.de
– nachfolgend „Auftragsverarbeiter" –

§ 1 Gegenstand und Dauer

(1) Gegenstand ist die Verarbeitung personenbezogener Daten durch den Auftragsverarbeiter im Rahmen der Bereitstellung und des Betriebs der Software „DSGVOPro" für den Verantwortlichen. Art, Umfang und Zweck ergeben sich aus Anlage 1.

(2) Die Laufzeit entspricht der Laufzeit des zugrundeliegenden Nutzungsvertrags. Der Vertrag endet automatisch mit dessen Beendigung.

§ 2 Weisungsrecht

(1) Der Auftragsverarbeiter verarbeitet die Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen, einschließlich hinsichtlich einer Übermittlung in Drittländer, sofern er nicht durch Rechtsvorschriften hierzu verpflichtet ist.

(2) Der Auftragsverarbeiter informiert den Verantwortlichen unverzüglich, wenn er der Auffassung ist, dass eine Weisung gegen datenschutzrechtliche Vorschriften verstößt.

§ 3 Pflichten des Auftragsverarbeiters

1. Vertraulichkeit: Zur Verarbeitung befugte Personen werden zur Vertraulichkeit verpflichtet (Art. 28 Abs. 3 lit. b, Art. 29 DSGVO). Soweit die zu verarbeitenden Daten dem Berufsgeheimnis nach § 203 Abs. 1 StGB unterliegen (z. B. bei Ärzten, Zahnärzten, Rechtsanwälten oder Steuerberatern als Verantwortliche), verpflichtet sich der Auftragsverarbeiter und die bei ihm zur Verarbeitung befugten Personen zusätzlich zur Geheimhaltung im Sinne des § 203 Abs. 4 StGB.
2. Datensicherheit: Der Auftragsverarbeiter trifft die erforderlichen technisch-organisatorischen Maßnahmen nach Art. 32 DSGVO (siehe Anlage 2).
3. Unterstützung: Er unterstützt den Verantwortlichen im Rahmen des Möglichen bei der Beantwortung von Betroffenenanträgen (Art. 12–23) sowie bei Pflichten nach Art. 32–36 DSGVO.
4. Meldung von Verletzungen: Er meldet dem Verantwortlichen eine Verletzung des Schutzes personenbezogener Daten unverzüglich nach Bekanntwerden.
5. Nachweis: Er stellt dem Verantwortlichen alle erforderlichen Informationen zum Nachweis der Einhaltung der Pflichten aus Art. 28 DSGVO zur Verfügung und ermöglicht Überprüfungen (§ 6).

§ 4 Unterauftragsverarbeiter

(1) Der Verantwortliche genehmigt den Einsatz der in Anlage 3 genannten Unterauftragsverarbeiter.

(2) Änderungen teilt der Auftragsverarbeiter rechtzeitig mit; der Verantwortliche kann aus wichtigem datenschutzrechtlichem Grund widersprechen. Mit jedem Unterauftragnehmer werden die Pflichten dieses Vertrags vertraglich vereinbart.

§ 5 Betroffenenrechte

Der Auftragsverarbeiter leitet Anträge betroffener Personen, die an ihn gerichtet werden, unverzüglich an den Verantwortlichen weiter und unterstützt ihn bei der Erfüllung.

§ 6 Kontrollrechte

Der Verantwortliche ist berechtigt, sich von der Einhaltung dieses Vertrags zu überzeugen (z. B. durch Einholung von Auskünften, Vorlage von Nachweisen oder Prüfungen nach vorheriger Ankündigung). Der Auftragsverarbeiter wirkt hieran mit.

§ 7 Löschung und Rückgabe

Nach Abschluss der Verarbeitung löscht der Auftragsverarbeiter alle personenbezogenen Daten oder gibt sie nach Wahl des Verantwortlichen zurück, sofern keine gesetzliche Aufbewahrungspflicht besteht. Der integrierte Datenexport steht zur Verfügung; die Löschung erfolgt spätestens 30 Tage nach Vertragsende, Sicherungskopien innerhalb von 14 Tagen.

§ 8 Haftung und Schlussbestimmungen

(1) Es gelten die Haftungsregeln des Art. 82 DSGVO sowie die des Nutzungsvertrags. (2) Änderungen bedürfen der Textform. (3) Bei Widersprüchen geht dieser Vertrag dem Nutzungsvertrag in datenschutzrechtlichen Fragen vor. (4) Es gilt deutsches Recht.

Anlage 1 — Gegenstand der Verarbeitung

Art der Verarbeitung	Speicherung, Organisation, Verwaltung von Datenschutz-Dokumentation im Rahmen von DSGVOPro
Zweck	[z. B. Führen des Verarbeitungsverzeichnisses, TOMs, Datenpannen-Register des Verantwortlichen]
Art der Daten	[z. B. Namen, Kontaktdaten von Ansprechpartnern/Beschäftigten; ggf. pseudonymisierte Angaben zu betroffenen Personen]
Kategorien Betroffener	[z. B. Beschäftigte, Ansprechpartner, betroffene Personen von Anfragen]

Anlage 2 — Technisch-organisatorische Maßnahmen (Art. 32 DSGVO)

• Verschlüsselung: TLS/HTTPS für alle Verbindungen; Passwörter nur als bcrypt-Hash.
• Vertraulichkeit: rollenbasiertes Zugriffskonzept, Mandantentrennung, Sitzungsschutz (httpOnly/SameSite-Strict-Cookies).
• Integrität: Aktivitätsprotokoll (Audit-Log), Versionshistorie.
• Verfügbarkeit: tägliche, konsistente und verschlüsselte Datensicherungen; Betrieb auf Servern in Deutschland.
• Verarbeitung in Deutschland: Die Auftragsdaten werden ausschließlich auf Infrastruktur in Deutschland verarbeitet. Die Zahlungsabwicklung läuft über den in Anlage 3 benannten Dienstleister.

Anlage 3 — Genehmigte Unterauftragsverarbeiter

Unternehmen	Leistung	Ort
IONOS SE	Server-/Netzwerk-Weiterleitung (verschlüsseltes Durchleiten, keine Entschlüsselung)	Deutschland
STRATO AG	E-Mail-Versand (System-Benachrichtigungen)	Deutschland
Stripe Payments Europe, Ltd.	Zahlungsabwicklung (Zahlungs- und Rechnungsdaten; keine Inhalte des Verarbeitungsverzeichnisses)	Irland; Konzernmutter in den USA