Auftrags­verarbeitungs­vertrag nach Art. 28 DSGVO

Stand 13.09.2026 · Anlage der Nutzungsbedingungen.

Zwischen

Georg-Philipp Paar, Alter Markt 8, 25335 Elmshorn, info@loeppt.app — nachfolgend „Auftragsverarbeiter“

und dem bei der Registrierung benannten Unternehmen — nachfolgend „Verantwortlicher“.

---

§ 1 Gegenstand und Dauer

(1) Der Auftragsverarbeiter stellt dem Verantwortlichen eine Anwendung zur Beschreibung und Verwaltung von Arbeitsabläufen bereit. Dabei verarbeitet er personenbezogene Daten im Auftrag des Verantwortlichen.

(2) Dieser Vertrag gilt für die Verarbeitungen, die der Auftragsverarbeiter im Auftrag ausführt. Für die eigenen Zwecke des Auftragsverarbeiters — insbesondere Vertragsabwicklung, Abrechnung, Betriebssicherheit und die Protokollierung eigener Eingriffe — ist er selbst Verantwortlicher; hierfür gilt die Datenschutzerklärung der Anwendung, nicht dieser Vertrag.

(3) Die Dauer entspricht der Laufzeit der Nutzungsbedingungen. Dieser Vertrag endet mit ihnen; § 9 bleibt darüber hinaus anwendbar.

§ 2 Art, Zweck und Umfang der Verarbeitung

(1) Zweck: Bereitstellung, Betrieb und Unterstützung der Anwendung für den Verantwortlichen.

(2) Art der Verarbeitung: Erheben, Speichern, Ordnen, Anzeigen, Verändern, Übermitteln an berechtigte Nutzer des Verantwortlichen, Sichern und Löschen.

(3) Kategorien betroffener Personen:

• Beschäftigte und Beauftragte des Verantwortlichen, die die Anwendung nutzen,
• Personen, die im Mitarbeiterverzeichnis des Verantwortlichen geführt werden, auch ohne eigenen Zugang,
• Personen, die in den vom Verantwortlichen eingestellten Inhalten benannt werden.

(4) Kategorien personenbezogener Daten:

• Zugangsdaten und Stammdaten der Nutzer: E-Mail-Adresse, Anzeigename, Zugehörigkeit und Rolle,
• Mitarbeitereinträge mit Anzeigenamen,
• vom Verantwortlichen eingestellte Inhalte: Prozessdiagramme, Beschreibungen, Notizen, Bilder und Anhänge,
• Zuständigkeiten sowie die Historie von Freigaben und Zuständigkeitswechseln,
• Protokoll der Verwaltungsvorgänge innerhalb des Unternehmens des Verantwortlichen.

(5) Welche personenbezogenen Daten die eingestellten Inhalte enthalten, bestimmt allein der Verantwortliche. Der Auftragsverarbeiter nimmt darauf keinen Einfluss und wertet die Inhalte nicht aus. Besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO sind nicht Gegenstand des Auftrags; stellt der Verantwortliche solche Daten dennoch ein, geschieht dies in seiner Verantwortung.

§ 3 Weisungsbindung

(1) Der Auftragsverarbeiter verarbeitet die Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen. Als Weisung gelten dieser Vertrag und die Nutzungsbedingungen sowie die Bedienung der Anwendung durch die Nutzer des Verantwortlichen im Rahmen ihrer Funktionen.

(2) Weitergehende Weisungen erteilt der Verantwortliche in Textform an die eingangs genannte E-Mail-Adresse des Auftragsverarbeiters.

(3) Eine Übermittlung in ein Drittland oder an eine internationale Organisation erfolgt nicht. Wird der Auftragsverarbeiter durch das Recht der Union oder eines Mitgliedstaats zu einer Verarbeitung verpflichtet, teilt er dem Verantwortlichen diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das Recht dies nicht wegen eines wichtigen öffentlichen Interesses verbietet.

(4) Ist der Auftragsverarbeiter der Auffassung, dass eine Weisung gegen Datenschutzrecht verstößt, informiert er den Verantwortlichen unverzüglich. Er ist berechtigt, die Ausführung auszusetzen, bis der Verantwortliche die Weisung bestätigt oder ändert.

§ 4 Vertraulichkeit

(1) Der Auftragsverarbeiter ist auf die Vertraulichkeit verpflichtet und wahrt sie auch über das Vertragsende hinaus.

(2) Der Auftragsverarbeiter ist ein Einzelunternehmen; weitere Personen haben keinen Zugang zu den Daten des Verantwortlichen. Sollte sich dies ändern, verpflichtet er jede zugriffsberechtigte Person vor der ersten Verarbeitung schriftlich zur Vertraulichkeit und stellt sicher, dass sie die Daten nur auf Weisung verarbeitet (Art. 28 Abs. 3 lit. b, Art. 29, Art. 32 Abs. 4 DSGVO).

(3) Zu den Unterauftragsverarbeitern siehe § 6.

§ 5 Technische und organisatorische Maßnahmen

(1) Der Auftragsverarbeiter trifft die nach Art. 32 DSGVO erforderlichen technischen und organisatorischen Maßnahmen. Er dokumentiert sie in einem Maßnahmenkatalog und stellt diesen nach § 10 Absatz 2 auf Anfrage bereit.

(2) Die Maßnahmen unterliegen dem technischen Fortschritt. Der Auftragsverarbeiter darf sie anpassen, solange das Schutzniveau nicht unterschritten wird. Wesentliche Änderungen teilt er dem Verantwortlichen mit.

§ 6 Unterauftragsverarbeiter

(1) Der Verantwortliche erteilt dem Auftragsverarbeiter die allgemeine Genehmigung zur Beauftragung weiterer Auftragsverarbeiter (Art. 28 Abs. 2 Satz 2 DSGVO).

(2) Die bei Vertragsschluss beauftragten Unterauftragsverarbeiter sind im Verzeichnis der Unterauftragsverarbeiter aufgeführt, das als Anlage Bestandteil dieses Vertrags ist. Es wird in seiner jeweils geltenden Fassung zum Abruf bereitgehalten.

(3) Der Auftragsverarbeiter kündigt die Beauftragung eines weiteren oder den Wechsel eines bestehenden Unterauftragsverarbeiters mindestens 30 Tage vorher per E-Mail an die vom Verantwortlichen hinterlegte Adresse an.

(4) Der Verantwortliche kann der Änderung innerhalb dieser Frist in Textform widersprechen. Widerspricht er, kann er den Vertrag ohne Einhaltung einer Frist zum Zeitpunkt der Änderung kündigen.

(5) Notfallausnahme: Muss ein Unterauftragsverarbeiter sofort ersetzt werden — insbesondere bei Ausfall, Insolvenz, einem bekannt gewordenen Sicherheitsvorfall oder einem Verstoß —, darf der Auftragsverarbeiter vor Ablauf der Frist handeln und informiert den Verantwortlichen unverzüglich nachträglich. Das Widerspruchsrecht nach Absatz 4 bleibt bestehen und beginnt mit dieser Information.

(6) Der Auftragsverarbeiter verpflichtet jeden Unterauftragsverarbeiter auf dieselben Datenschutzpflichten, die ihn selbst treffen (Art. 28 Abs. 4 DSGVO). Er haftet dem Verantwortlichen gegenüber für deren Verhalten wie für eigenes.

(7) Nicht als Unterauftragsverarbeitung gelten Nebenleistungen, bei denen kein Zugriff auf die Daten des Verantwortlichen erfolgt — etwa Telekommunikations- oder Reinigungsleistungen.

§ 7 Unterstützung bei den Rechten betroffener Personen

(1) Anfragen betroffener Personen beantwortet der Verantwortliche. Wendet sich eine betroffene Person unmittelbar an den Auftragsverarbeiter, leitet er sie unverzüglich an den Verantwortlichen weiter und antwortet nicht selbst.

(2) Der Auftragsverarbeiter unterstützt den Verantwortlichen mit geeigneten technischen und organisatorischen Maßnahmen dabei, Anfragen nach Art. 15 bis 22 DSGVO zu erfüllen. Er stellt die benötigten Auskünfte oder Datenausschnitte innerhalb von zehn Arbeitstagen nach Eingang der Anfrage bereit.

(3) Die Anwendung enthält eine Funktion, mit der Administratoren des Verantwortlichen Inhalte, Notizen und hochgeladene Dateien löschen können. Für Löschungen einzelner Inhalte ist damit keine Mitwirkung des Auftragsverarbeiters erforderlich.

(4) Ein Löschverlangen erreicht die verschlüsselten Sicherungen nicht unmittelbar; es läuft dort über die Aufbewahrungsfrist von 30 Tagen aus. Der Grund ist technischer Natur: Jede Sicherung ist für einen Schlüssel verschlüsselt, dessen privater Teil auf dem Server nicht existiert. Ein gezieltes Herausschneiden einzelner Daten setzte voraus, jede Kopie zu entschlüsseln und neu zu verschlüsseln — also genau die Schutzmaßnahme aufzuheben, die die Sicherungen schützt. Die Sicherungen werden ausschließlich zur Wiederherstellung nach einem Ausfall verwendet.

§ 8 Verletzungen des Schutzes personenbezogener Daten

(1) Der Auftragsverarbeiter meldet dem Verantwortlichen unverzüglich jede ihm bekannt gewordene Verletzung des Schutzes personenbezogener Daten, die dessen Daten betrifft (Art. 33 Abs. 2 DSGVO). Als Richtwert gilt eine Frist von 72 Stunden ab Kenntnis.

(2) Die Meldung erfolgt per E-Mail an die vom Verantwortlichen hinterlegte Adresse. Der Verantwortliche erreicht den Auftragsverarbeiter unter der eingangs genannten E-Mail-Adresse.

(3) Die Meldung enthält, soweit verfügbar: eine Beschreibung des Vorfalls, die betroffenen Datenkategorien und die ungefähre Zahl betroffener Personen, die wahrscheinlichen Folgen sowie die ergriffenen oder vorgeschlagenen Gegenmaßnahmen. Fehlende Angaben reicht der Auftragsverarbeiter unverzüglich nach.

(4) Der Auftragsverarbeiter unterstützt den Verantwortlichen bei dessen Pflichten nach Art. 32 bis 36 DSGVO, insbesondere bei Meldungen an die Aufsichtsbehörde, bei der Benachrichtigung betroffener Personen und bei einer Datenschutz-Folgenabschätzung.

(5) Der Auftragsverarbeiter dokumentiert jede Verletzung außerhalb der Anwendung, auch solche, die nicht meldepflichtig sind (Art. 33 Abs. 5 DSGVO).

§ 9 Löschung und Rückgabe nach Vertragsende

(1) Mit dem Vertragsende wird die Firma des Verantwortlichen gelöscht. Innerhalb von 30 Tagen kann der Verantwortliche die Herausgabe seiner Daten verlangen oder die Löschung rückgängig machen lassen; danach ist sie endgültig und unwiederbringlich. Verschlüsselte Sicherungen laufen innerhalb von 30 weiteren Tagen aus.

(2) Mit dieser Wahlmöglichkeit ist Art. 28 Abs. 3 lit. g DSGVO erfüllt: Der Verantwortliche entscheidet innerhalb der Frist zwischen Löschung und Rückgabe; die Löschung ist der Regelfall.

(3) Die Herausgabe erfolgt auf Anfrage in einem gängigen, maschinenlesbaren Format.

(4) Eine gesetzliche Pflicht zur weiteren Aufbewahrung bleibt unberührt. Sie betrifft ausschließlich Belege des Auftragsverarbeiters, nicht die Inhalte des Verantwortlichen.

§ 10 Nachweise und Kontrollen

(1) Der Auftragsverarbeiter stellt dem Verantwortlichen alle Informationen zur Verfügung, die zum Nachweis der Einhaltung dieses Vertrags erforderlich sind (Art. 28 Abs. 3 lit. h DSGVO).

(2) Der Nachweis erfolgt vorrangig durch Unterlagen — insbesondere durch den Maßnahmenkatalog, das Löschkonzept des Auftragsverarbeiters, Protokolle der maschinellen Prüfungen sowie die Berichte über die Wiederherstellungsproben. Diese stellt der Auftragsverarbeiter auf Anfrage bereit.

(3) Reichen die Unterlagen im Einzelfall nicht aus, kann der Verantwortliche eine Überprüfung vor Ort durchführen oder durch einen zur Verschwiegenheit verpflichteten Prüfer durchführen lassen. Dafür gilt:

• Ankündigung mit einer Frist von mindestens vier Wochen,
• höchstens einmal je Kalenderjahr; bei einem konkreten Anlass — insbesondere nach einer Verletzung des Datenschutzes — auch häufiger,
• während der üblichen Geschäftszeiten und ohne Störung des Betriebsablaufs,
• die Kosten trägt der Verantwortliche, es sei denn, die Prüfung deckt einen erheblichen Verstoß des Auftragsverarbeiters auf.

(4) Der Prüfer darf kein Wettbewerber des Auftragsverarbeiters sein. Der Auftragsverarbeiter kann die Vorlage von Unterlagen verweigern, die Daten anderer Kunden offenlegen würden.

§ 11 Verhältnis zu den Nutzungsbedingungen

(1) Dieser Vertrag ist Anlage der Nutzungsbedingungen. Bei Widersprüchen zwischen diesem Vertrag und den Nutzungsbedingungen geht dieser Vertrag vor, soweit es um die Verarbeitung personenbezogener Daten im Auftrag geht.

(2) Für die Haftung gilt § 11 der Nutzungsbedingungen. Die Haftung nach Art. 82 DSGVO gegenüber betroffenen Personen bleibt davon unberührt.

(3) Änderungen dieses Vertrags bedürfen der ausdrücklichen Zustimmung des Verantwortlichen. Die Zustimmungsfiktion der Nutzungsbedingungen gilt hier nicht. Änderungen der Maßnahmen richten sich nach § 5 Absatz 2, Änderungen des Verzeichnisses nach § 6.

(4) Es gilt deutsches Recht. Gerichtsstand ist der Sitz des Auftragsverarbeiters, soweit gesetzlich zulässig.

---

Anlage

Das Verzeichnis ist in seiner jeweils geltenden Fassung unter loeppt.app abrufbar.