Muster: Vereinbarung zur Auftragsverarbeitung

Wichtig: Dieses Muster ist ein Ausgangspunkt für eine individuelle Vereinbarung nach Art. 28 DSGVO. Es wird erst wirksam, wenn Hauptvertrag, Anlagen, tatsächliche Dienstleister und die Angaben beider Parteien vollständig festgelegt und die Vereinbarung nachvollziehbar geschlossen wurden. Der öffentliche Abruf ersetzt keinen Vertrag und gibt keine Verarbeitung frei.

Vertragspartner

Auftraggeber / Verantwortlicher: [Name, Rechtsform, Anschrift, Vertretung, Datenschutzkontakt].

Auftragnehmer / Auftragsverarbeiter: Dirk Ahlemeyer, handelnd unter DA-Marketing (Einzelunternehmen), Gartenstraße 4, 61267 Neu-Anspach, Deutschland. Kontakt: support@deinewebstimme.de.

Zugehöriger Hauptvertrag: [Nummer und Datum]. Gebuchte Leistung und betroffene Anschlüsse: [konkret eintragen].

1. Gegenstand, Dauer und Zweck

Der Auftragnehmer verarbeitet personenbezogene Daten ausschließlich im Auftrag des Auftraggebers, um die im Hauptvertrag konkret bezeichnete Stimmeklar-Lösung einzurichten und zu betreiben. Gegenstand, Datenarten, betroffene Personen, Verarbeitungen, Dauer, Aufbewahrung und Rückgabe oder Löschung ergeben sich verbindlich aus Anlage A. Die Verarbeitung beginnt erst nach Abschluss dieser Vereinbarung und Freigabe der vollständigen Anlagen.

2. Weisungen und Vertraulichkeit

Der Auftragnehmer verarbeitet Auftragsdaten nur für die vereinbarten Zwecke und nach dokumentierten Weisungen des Auftraggebers. Weisungen ergeben sich aus Hauptvertrag, freigegebener Konfiguration und ergänzenden nachvollziehbaren Mitteilungen. Hält der Auftragnehmer eine Weisung für datenschutzwidrig, informiert er den Auftraggeber unverzüglich, soweit rechtlich zulässig.

Zugriff erhalten nur Personen, die ihn für die vereinbarte Aufgabe benötigen und angemessen zur Vertraulichkeit verpflichtet sind. Eine Nutzung der Auftragsdaten für eigene Werbung, Datenhandel oder das Trainieren eigener Modelle ist nicht Gegenstand dieses Auftrags.

3. Pflichten des Auftraggebers

Der Auftraggeber entscheidet über Zwecke und Zulässigkeit der Verarbeitung, informiert betroffene Personen und stellt nur rechtmäßig bereitgestellte, erforderliche Daten zur Verfügung. Besondere Kategorien personenbezogener Daten sowie Daten nach Art. 10 DSGVO sind nicht Gegenstand dieser Standardvereinbarung; sie erfordern vorab eine gesonderte schriftliche Prüfung und Ergänzung.

4. Technische und organisatorische Maßnahmen

Der Auftragnehmer setzt die in Anlage B verbindlich vereinbarten technischen und organisatorischen Maßnahmen ein und erhält deren Schutzniveau aufrecht. Wesentliche Änderungen werden dokumentiert. Nur tatsächlich umgesetzte und organisatorisch bestätigte Maßnahmen dürfen als vereinbart angegeben werden.

5. Weitere Auftragsverarbeiter

Weitere Auftragsverarbeiter dürfen nur eingesetzt werden, wenn sie in Anlage C mit Rechtsträger, Aufgabe, Verarbeitungsorten und – soweit erforderlich – Übermittlungsgrundlage konkret benannt oder nach der dort vereinbarten Regelung vorab angekündigt wurden. Drittlandübermittlungen benötigen zusätzlich die Voraussetzungen des Kapitels V DSGVO. Eine technische Verfügbarkeit oder eine pauschale Regionsangabe ersetzt diese Prüfung nicht.

6. Unterstützung, Vorfälle und Kontrollen

Der Auftragnehmer unterstützt den Auftraggeber im vereinbarten Umfang bei Betroffenenrechten, Sicherheit, Datenschutz-Folgenabschätzungen und gegebenenfalls einer vorherigen Konsultation. Wird eine Verletzung des Schutzes von Auftragsdaten bekannt, informiert er den Auftraggeber unverzüglich über den vereinbarten Vorfallkanal und reicht verfügbare Informationen nach. Er stellt die erforderlichen Nachweise bereit und ermöglicht angemessene Prüfungen unter Wahrung der Sicherheit und Rechte anderer Kunden.

7. Rückgabe und Löschung

Nach Ende der Leistung entscheidet der Auftraggeber nach Maßgabe von Anlage A zwischen Rückgabe und Löschung. Format, geschützter Übergabekanal, Frist, Sicherungskopien und Löschbestätigung werden vor Beginn verbindlich festgelegt. Gesetzlich aufzubewahrende Daten werden von der aktiven Nutzung getrennt und nach Ablauf der Aufbewahrung gelöscht.

Anlage A – konkret vor Vertragsabschluss ausfüllen

Leistung und Zweck	[z. B. Annahme und strukturierte Weitergabe von Telefonanliegen anhand freigegebenen Unternehmenswissens]
Vorgänge	[z. B. Entgegennahme, Übermittlung und Verarbeitung von Gesprächsinhalten; Übergabe an konkret bestimmte Empfänger]
Betroffene Personen	[z. B. Anrufer, Interessenten, Beschäftigte und Ansprechpartner des Auftraggebers]
Datenarten	[z. B. Stimme, Gesprächsinhalte, freiwillig genannte Kontaktdaten, technische Sitzungsdaten]
Dauer und Aufbewahrung	[konkrete Fristen für Betriebsdaten, Wissen, Kontakte und Sicherungen]
Weisungs- und Vorfallkontakte	[beiderseitig überwachte Kontaktwege und berechtigte Personen]
Rückgabe oder Löschung	[Format, geschützter Kanal, Frist und Nachweis]

Anlage B – TOM vor Vertragsabschluss konkretisieren

Die vereinbarten Maßnahmen erfassen mindestens Zugangs- und Berechtigungssteuerung, Mandantentrennung, Übertragungsschutz, Geheimnisverwaltung, Datenminimierung, Löschprozesse, Sicherungen und Wiederherstellbarkeit sowie einen Vorfallprozess. Konkrete technische Umsetzung, Verantwortlichkeiten und Prüfnachweise werden vor der Freigabe festgehalten.

Anlage C – Unterauftragnehmer vor Vertragsabschluss konkretisieren

Hier werden nur die für die gebuchte Lösung tatsächlich eingesetzten Dienstleister mit Name, Aufgabe, Verarbeitungsorten, Vertragsgrundlage, angekündigter Änderung und Widerspruchsverfahren eingetragen. Ein Telefonieanbieter, eine Rufnummer oder ein KI-Anbieter wird erst aufgenommen, wenn sein konkreter Einsatz technisch, vertraglich und datenschutzrechtlich geklärt ist.

Rechtlicher Rahmen: Art. 28 DSGVO. Dieses Muster ersetzt keine auf den Einzelfall bezogene Rechtsberatung.

Impressum · Datenschutz