Auftragsverarbeitungsvertrag

über die Auftragsverarbeitung i. S. d. Art. 28 Abs. 3 Datenschutz-Grundverordnung (DSGVO)

zwischen

knallmacher - Forster & Haak GbR Mohnweg 1 59269 Beckum

nachfolgend „Auftragnehmer“ genannt,

und

dem Vertragspartner des zugrunde liegenden Vertrages über die gebuchten Leistungen

nachfolgend „Auftraggeber“ genannt.

Stand: 01.06.2026

Präambel

Diese Anlage konkretisiert die Verpflichtungen der Vertragsparteien zum Datenschutz, die sich aus der im Vertrag in ihren Einzelheiten beschriebenen Auftragsverarbeitung ergeben. Sie findet Anwendung auf Tätigkeiten, die mit dem Vertrag in Zusammenhang stehen und bei denen Beschäftigte des Auftragnehmers oder durch den Auftragnehmer Beauftragte personenbezogene Daten im Auftrag des Auftraggebers verarbeiten.

§ 1 Vertragsgegenstand

(1) Gegenstand der Verarbeitung ist die Erbringung der im Vertrag vereinbarten Leistungen.

(2) Verantwortlicher im Sinne von Art. 4 Nr. 7 DSGVO ist der jeweilige Auftraggeber gemäß dem Vertrag.

(3) Art, Umfang und Zweck der Verarbeitung personenbezogener Daten ergeben sich aus der bei Vertragsschluss vereinbarten Leistungsbeschreibung einschließlich ihrer nach den Vertragsdokumenten wirksam geänderten Fassung und den ergänzenden Informationen des Vertrages. Die Verarbeitung erfolgt ausschließlich im Rahmen der vertraglich vereinbarten Zwecke und auf dokumentierte Weisung des Auftraggebers. Eine eigenständige Entscheidung über die Zwecke und Mittel der Verarbeitung durch den Auftragnehmer ist ausgeschlossen. Dieser Vertrag gilt nicht für Verarbeitungen, die der Auftragnehmer als eigener Verantwortlicher durchführt.

(4) Die Dauer der Verarbeitung entspricht der Laufzeit des Vertrages einschließlich eventueller Nachwirkungsfristen. Eine über die Vertragslaufzeit hinausgehende Speicherung erfolgt nur, sofern gesetzliche Aufbewahrungspflichten bestehen oder der Auftraggeber eine anderweitige Weisung erteilt hat.

(5) Betroffen von der Verarbeitung sind insbesondere folgende Kategorien betroffener Personen:

• Beschäftigte des Auftraggebers,
• Bewerber des Auftraggebers,
• Beschäftigte von Fremdfirmen/Dienstleistern,
• Kunden und Interessenten,
• Lieferanten/Dienstleister und deren Beschäftigte,
• Website-Besucher und Nutzer von Onlineformularen,
• Kommunikationspartner des Auftraggebers (z. B. per E-Mail),
• sowie sonstige Personen, deren personenbezogene Daten im Rahmen der Kommunikation oder Nutzung der bereitgestellten Systeme verarbeitet werden.

(6) Die Kategorien der im Rahmen dieses Vertrages verarbeiteten personenbezogenen Daten können insbesondere folgende umfassen:

• Kontakt- und Identifikationsdaten (z. B. Name, Geburtsdatum, Geburtsort, Adresse, E-Mail-Adresse, Telefonnummer),
• Beschäftigungs- und Bewerbungsdaten (z. B. berufliche Kontaktdaten, Stellenbezeichnung, Bewerbungsunterlagen, Qualifikations- und Korrespondenzdaten),
• Kommunikations- und Inhaltsdaten (z. B. Nachrichteninhalte und Dateianhänge aus Kontaktformularen und E-Mails, Supportanfragen, Chatverläufe),
• Netzwerk- und Protokolldaten (z. B. IP-Adressen, Zeitstempel, Logdaten, User-Agents, Referrer, DNS-Einträge, Mailheader, Zustellinformationen, SSL-Zertifikatsdaten),
• technische Kontodaten (z. B. Mailbox- und Aliaszuordnungen, Benutzername, Passwort-Hash, Systemeinstellungen).

(7) Die planmäßige Verarbeitung besonderer Kategorien personenbezogener Daten im Sinne von Art. 9 Abs. 1 DSGVO sowie von personenbezogenen Daten über strafrechtliche Verurteilungen und Straftaten im Sinne von Art. 10 DSGVO ist nicht Gegenstand dieses Vertrages. Sofern der Auftraggeber eine solche Verarbeitung vorsieht, hat er dies dem Auftragnehmer vorab ausdrücklich in Textform mitzuteilen und mit diesem geeignete Schutzmaßnahmen zu vereinbaren. Einzelne unaufgefordert in Freitextfeldern übermittelte Angaben erweitern den vereinbarten Verarbeitungszweck nicht und begründen keine Befugnis zur planmäßigen Verarbeitung dieser Datenkategorien. Erlangt der Auftragnehmer hiervon Kenntnis, informiert er den Auftraggeber, soweit dies technisch möglich und im Einzelfall angemessen ist.

(8) Der Auftraggeber kann den zugrundeliegenden Vertrag und den AVV jederzeit ohne Einhaltung einer Frist kündigen, wenn ein schwerwiegender, nicht innerhalb angemessener Frist abstellbarer Verstoß des Auftragnehmers gegen Datenschutzvorschriften oder die Bestimmungen dieses AVV vorliegt.

§ 2 Anwendungsbereich und Verantwortlichkeit

(1) Der Auftragnehmer verarbeitet personenbezogene Daten im Auftrag des Auftraggebers. Dies umfasst Tätigkeiten, die im Vertrag und in der Leistungsbeschreibung konkretisiert sind. Der Auftraggeber ist im Rahmen dieses Vertrages für die Einhaltung der gesetzlichen Bestimmungen der Datenschutzgesetze, insbesondere für die Rechtmäßigkeit der Datenweitergabe an den Auftragnehmer sowie für die Rechtmäßigkeit der Datenverarbeitung im Sinne des Art. 4 Nr. 7 DSGVO allein verantwortlich.

(2) Die Weisungen werden durch die Leistungsbeschreibung festgelegt und können vom Auftraggeber danach schriftlich an die vom Auftragnehmer bezeichnete Stelle durch einzelne Weisungen geändert, ergänzt oder ersetzt werden. Weisungen, die im Vertrag nicht vorgesehen sind, werden als Antrag auf Leistungsänderung behandelt. Mündliche Weisungen sind unverzüglich schriftlich vom Auftraggeber zu bestätigen.

(3) Führt eine Weisung zu einem zusätzlichen, über den vereinbarten Leistungsumfang hinausgehenden Aufwand, kann der Auftragnehmer hierfür eine angemessene Vergütung verlangen, soweit er den Auftraggeber zuvor darauf hingewiesen hat.

(4) Der Auftragnehmer haftet nicht für Verstöße gegen Datenschutzpflichten, die auf unzureichende, fehlerhafte oder rechtswidrige Weisungen des Auftraggebers zurückzuführen sind, soweit der Auftragnehmer den Verstoß nicht selbst zu vertreten hat und zwingendes Recht nicht entgegensteht.

§ 3 Pflichten des Auftragnehmers

(1) Der Auftragnehmer darf personenbezogene Daten, die Gegenstand des Auftrags sind, nur im Rahmen des Auftrags und der Weisungen des Auftraggebers verarbeiten, außer wenn ein Ausnahmefall im Sinne des Art. 28 Abs. 3 lit. a DSGVO vorliegt und dessen Voraussetzungen erfüllt sind.

(2) Der Auftragnehmer informiert den Auftraggeber unverzüglich, wenn er der Auffassung ist, dass eine Weisung gegen anwendbare Gesetze verstößt. Der Auftragnehmer darf die Umsetzung der Weisung solange aussetzen, bis sie vom Auftraggeber bestätigt oder abgeändert wurde.

(3) Der Auftragnehmer wird technische und organisatorische Maßnahmen zum angemessenen Schutz der Daten des Auftraggebers treffen, die den Anforderungen der Datenschutz-Grundverordnung nach Art. 32 DSGVO genügen. Der Auftragnehmer hat insbesondere technische und organisatorische Maßnahmen zu treffen, gemessen am Risiko für die Rechte und Freiheiten der betroffenen Personen, die die Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit der Systeme und Dienste im Zusammenhang mit der Verarbeitung auf Dauer gewährleisten. Der Auftragnehmer hat die erforderlichen technischen und organisatorischen Maßnahmen vor Beginn der Verarbeitung zu dokumentieren und dem Auftraggeber zur Prüfung bereitzustellen. Die Einzelheiten dieser technischen und organisatorischen Maßnahmen ergeben sich aus der Anlage „Technische und organisatorische Maßnahmen des Datenschutzes zur Auftragsverarbeitung“ in der jeweils aktuellen Fassung. Diese Anlage ist unter folgender Webseite öffentlich zugänglich:

knallmacher.de/toms

Die Anlage wird Bestandteil dieses Vertrages. Änderungen dieser Anlage sind zulässig, soweit sie das vereinbarte Sicherheitsniveau nicht unterschreiten und die Änderungen dem Auftraggeber in Textform mitgeteilt werden. Der Auftragnehmer dokumentiert entsprechende Anpassungen und macht die jeweils aktuelle Fassung verfügbar.

(4) Der Auftragnehmer unterstützt den Auftraggeber angemessen bei der Erfüllung der Anfragen und Ansprüche betroffenen Personen gem. Kapitel III der DSGVO sowie bei der Einhaltung der in Art. 33 bis 36 DSGVO genannten Pflichten.

(5) Der Auftragnehmer gewährleistet, dass es den mit der Verarbeitung der Daten des Auftraggebers befassten Beschäftigten und anderen für den Auftragnehmer tätigen Personen untersagt ist, die Daten außerhalb der Weisung zu verarbeiten. Ferner gewährleistet der Auftragnehmer, dass sich die mit der Verarbeitung der personenbezogenen Daten zuständigen Personen zur Vertraulichkeit verpflichtet haben und diese Vertraulichkeitsverpflichtung auch nach Beendigung des Auftrags fortbesteht.

(6) Der Auftragnehmer unterrichtet den Auftraggeber über Verletzungen des Schutzes personenbezogener Daten des Auftraggebers unverzüglich und spätestens innerhalb von 24 Stunden nach Bekanntwerden. Die Meldung kann jederzeit an die vom Auftragnehmer benannte Datenschutzkontaktstelle erfolgen.

Die Erstmeldung enthält, soweit zu diesem Zeitpunkt verfügbar, mindestens:

• eine Beschreibung des Vorfalls, einschließlich Zeitpunkt und Umfang
• eine Beschreibung der Art und der Kategorie der Verletzung des Schutzes personenbezogener Daten, soweit bestimmbar
• eine Beschreibung der wahrscheinlichen Folgen des gemeldeten Vorfalls
• eine Beschreibung der ergriffenen oder geplanten Maßnahmen zur Behebung des Vorfalls sowie ggf. Maßnahmen zur Abmilderung möglicher nachteiliger Auswirkungen

Soweit einzelne Angaben bei der Erstmeldung noch nicht verfügbar sind, werden sie ohne unangemessene weitere Verzögerung nachgereicht.

(7) Der Auftragnehmer nennt dem Auftraggeber den Ansprechpartner für im Rahmen des Vertrages anfallende Datenschutzfragen. Der Auftragnehmer stellt sicher, dass eingehende Anfragen unverzüglich geprüft und innerhalb angemessener Frist beantwortet werden.

(8) Der Auftragnehmer gewährleistet, ein Verfahren zur regelmäßigen Überprüfung der Wirksamkeit der technischen und organisatorischen Maßnahmen zur Gewährleistung der Sicherheit der Verarbeitung im Sinne des Art. 32 Abs. 1 lit. d DSGVO einzusetzen.

(9) Während der Vertragslaufzeit berichtigt oder löscht der Auftragnehmer auf Weisung des Auftraggebers die vertragsgegenständlichen Daten. Der Auftragnehmer berichtigt oder löscht die vertragsgegenständlichen Daten, wenn der Auftraggeber dies anweist und dies vom Weisungsrahmen umfasst ist.

(10) Der Auftraggeber entscheidet spätestens bis zum Vertragsende in Textform, ob die vertragsgegenständlichen personenbezogenen Daten herausgegeben oder gelöscht werden sollen. Verlangt der Auftraggeber die Herausgabe, erfolgt diese in einem gängigen, maschinenlesbaren Format, soweit dies technisch möglich und mit vertretbarem Aufwand umsetzbar ist. Nach Vertragsende löscht der Auftragnehmer die vertragsgegenständlichen personenbezogenen Daten und vorhandene Kopien, sofern keine gesetzliche Aufbewahrungspflicht besteht. Nach Vertragsende besteht kein Anspruch auf Herausgabe oder Wiederherstellung.

§ 4 Pflichten des Auftraggebers

(1) Der Auftraggeber hat den Auftragnehmer unverzüglich und vollständig zu informieren, wenn er in den Auftragsergebnissen Fehler oder Unregelmäßigkeiten feststellt.

(2) Im Falle einer Inanspruchnahme des Auftragnehmers durch eine betroffene Person oder eine Aufsichtsbehörde wegen eines datenschutzrechtlichen Sachverhalts unterstützen sich die Parteien gegenseitig bei der Sachverhaltsaufklärung.

§ 5 Anfragen betroffener Personen

Wendet sich eine betroffene Person mit Anträgen gemäß Art. 15 bis 21 DSGVO an den Auftragnehmer, wird der Auftragnehmer die betroffene Person unverzüglich an den Auftraggeber verweisen und leitet den Antrag an den Auftraggeber weiter. Der Auftragnehmer unterstützt den Auftraggeber bei der Erfüllung dieser Anträge der betroffenen Personen im erforderlichen Umfang.

§ 6 Kontrolle, Nachweis und Auditrechte

(1) Der Auftragnehmer verpflichtet sich, dem Auftraggeber auf Anforderung die dokumentierten Kontrollen und erforderlichen Auskünfte zur Verfügung zu stellen. Insbesondere ist die Umsetzung der technischen und organisatorischen Maßnahmen gemäß Art. 32 DSGVO nachzuweisen.

(2) Der Nachweis der Einhaltung der in diesem Vertrag niedergelegten Pflichten kann erfolgen durch:

• aktuelle Testate, Berichte oder Berichtsauszüge unabhängiger Instanzen (z. B. Wirtschaftsprüfer, Revision, Datenschutzbeauftragter, IT-Sicherheitsabteilung, Datenschutzauditoren, Qualitätsauditoren)
• Selbstaudits
• eine geeignete Zertifizierung durch IT-Sicherheits- oder Datenschutzaudit (z. B. nach BSI-Grundschutz, ISO 27001, ISO 27018, ISO 27701)
• die Einhaltung genehmigter Verhaltensregeln gemäß Art. 40 DSGVO
• die Zertifizierung nach einem genehmigten Zertifizierungsverfahren gemäß Art. 42 DSGVO
• Dokumentation der TOMs in der jeweils aktuellen Fassung

(3a) Der Auftragnehmer verpflichtet sich, den Auftraggeber bei seinen Prüfungen gemäß Art. 28 Abs. 3 Satz 2 lit. h DSGVO zur Einhaltung der Vorschriften zum Datenschutz sowie der vertraglichen Vereinbarungen im angemessenen und erforderlichen Umfang zu unterstützen.

(3b) Die Prüfungen werden durch den Auftraggeber selbst oder einen von ihm beauftragten Dritten durchgeführt. Sollte der durch den Auftraggeber beauftragte Dritter in einem Wettbewerbsverhältnis zu dem Auftragnehmer stehen, hat der Auftragnehmer gegen diesen ein Einspruchsrecht. Beauftragte Dritte müssen durch den Auftraggeber zur Verschwiegenheit verpflichtet werden. Dem Auftragnehmer steht das Recht zu, die Abgabe einer separaten Verschwiegenheitserklärung des beauftragten Dritten zu verlangen. Dies gilt insbesondere für die Abgabe von Erklärungen zur berufsrechtlichen oder gesetzlichen Verschwiegenheit.

(3c) Eine Prüfung erfolgt vorrangig durch die Einholung von Auskünften sowie die Bereitstellung geeigneter Nachweise, insbesondere durch Dokumentationen, Zertifizierungen, Auditberichte oder Selbstauskünfte des Auftragnehmers. Soweit diese Nachweise im Einzelfall nicht ausreichen, kann die Prüfung durch Einsichtnahme in gespeicherte Daten und Datenverarbeitungsprogramme sowie durch weitere geeignete Maßnahmen erfolgen. Zu den weiteren Maßnahmen zählen insbesondere die Anforderung von Zertifizierungen, Berichte zu Datenschutzaudits sowie Inspektionen vor Ort. Inspektionen vor Ort sind nur zulässig, wenn ein berechtigter Anlass vorliegt oder die zur Verfügung gestellten Nachweise nicht geeignet sind, die Einhaltung der datenschutzrechtlichen Anforderungen angemessen zu belegen. Inspektionen vor Ort nimmt der Auftraggeber mit angemessener Vorankündigung in Textform während der üblichen Geschäftszeiten vor. Die Prüfungen sind so durchzuführen, dass der Betriebsablauf des Auftragnehmers nicht gestört wird und die Sicherheits- und Vertraulichkeitsinteressen des Auftragnehmers gewahrt bleiben. Regelmäßige Prüfungen ohne besonderen Anlass sind auf eine Prüfung pro Kalenderjahr beschränkt. Anlassbezogene Prüfungen aus wichtigem Grund sowie Prüfungen durch Aufsichtsbehörden bleiben hiervon unberührt. Jede Partei trägt die ihr entstandenen Kosten der Prüfungen einschließlich etwaiger Nachprüfungen selbst, soweit nicht gesetzlich zwingend etwas anderes vorgesehen ist.

§ 7 Weitere Auftragsverarbeiter (Subprozessoren)

(1) Der Auftragnehmer ist berechtigt, zur Erfüllung der vertraglich vereinbarten Leistungen weitere Auftragsverarbeiter im Sinne des Art. 28 DSGVO (nachfolgend „Subprozessoren“) einzusetzen. Subprozessoren im Sinne dieses Vertrages sind ausschließlich solche Dritten, die vom Auftragnehmer im Rahmen der für den Auftraggeber erbrachten Leistungen eingesetzt werden und dabei personenbezogene Daten des Auftraggebers oder aus dessen Verantwortungsbereich im Auftrag und nach Weisung des Auftragnehmers verarbeiten.

(2) Nicht als Subprozessoren im Sinne dieses Vertrages gelten Dritte, die der Auftragnehmer ausschließlich für eigene interne Zwecke einsetzt, insbesondere für Buchhaltung, allgemeine Unternehmenskommunikation, Vertragsverwaltung, Vertriebsorganisation, interne Dokumentation oder vergleichbare organisatorische Tätigkeiten, sofern diese Dritten nicht zugleich personenbezogene Daten des Auftraggebers im Rahmen der Leistungserbringung verarbeiten. Die in anderen Vertragsdokumenten verwendeten Begriffe wie „Subunternehmer“, „Partner“ oder „Dienstleister“ sind rein wirtschaftlich zu verstehen und begründen keine Einordnung als Subprozessor im Sinne dieses Vertrages.

(3) Der Auftraggeber erteilt dem Auftragnehmer die allgemeine Genehmigung zum Einsatz von Subprozessoren. Die bei Vertragsschluss in der gesonderten Subprozessorliste aufgeführten Subprozessoren gelten als genehmigt. Der Auftragnehmer informiert den Auftraggeber über jede beabsichtigte Hinzuziehung oder Ersetzung eines Subprozessors vor deren Wirksamwerden in Textform und stellt die jeweils aktuelle Subprozessorliste zur Verfügung.

(4) Der Auftraggeber kann der Hinzuziehung oder Ersetzung eines Subprozessors innerhalb von 14 Tagen nach Zugang der Mitteilung aus wichtigem datenschutzrechtlichem Grund widersprechen. Erfolgt kein Widerspruch innerhalb dieser Frist, gilt die Änderung als genehmigt.

(5) Liegt ein wichtiger datenschutzrechtlicher Grund vor und kann zwischen den Parteien keine einvernehmliche Lösung erzielt werden, ist der Auftraggeber berechtigt, den Vertrag hinsichtlich der von der Änderung betroffenen Leistungen außerordentlich zu kündigen.

(6) Der Auftragnehmer verpflichtet jeden Subprozessor vertraglich auf dieselben Datenschutzpflichten, die sich aus diesem Vertrag ergeben, insbesondere auf die Umsetzung geeigneter technischer und organisatorischer Maßnahmen. Der Auftragnehmer bleibt gegenüber dem Auftraggeber für die Einhaltung der datenschutzrechtlichen Pflichten des Subprozessors verantwortlich.

§ 8 Übermittlung in Drittstaaten

(1) Eine Übermittlung personenbezogener Daten in Drittstaaten außerhalb der EU und des EWR erfolgt nur, soweit sie zur Erfüllung der vertraglich vereinbarten Leistungen erforderlich ist, von dokumentierten Weisungen des Auftraggebers einschließlich der Genehmigungen nach § 7 gedeckt ist und die Voraussetzungen der Art. 44 ff. DSGVO eingehalten werden.

(2) Der Auftragnehmer setzt für Drittlandübermittlungen die nach Art. 44 ff. DSGVO erforderlichen geeigneten Garantien und Maßnahmen ein, insbesondere die Standardvertragsklauseln der Europäischen Kommission oder eine andere geeignete Rechtsgrundlage.

(3) Der Auftragnehmer stellt dem Auftraggeber auf Anfrage Informationen oder Kopien der geeigneten Garantien für Datenübermittlungen in Drittländer nach Art. 44 ff. DSGVO zur Verfügung.

§ 9 Haftung

(1) Die Parteien haften gegenüber betroffenen Personen nach Maßgabe des Art. 82 DSGVO.

(2) Im Innenverhältnis tragen die Parteien den Schaden in dem Umfang, in dem sie für dessen Entstehung verantwortlich sind.

(3) Die Haftungsregelungen der Allgemeinen Geschäftsbedingungen gelten ergänzend im Innenverhältnis, soweit sie nicht den zwingenden Vorgaben der DSGVO, insbesondere Art. 82 DSGVO, widersprechen.

§ 10 Informationspflichten

Sollten die Daten des Auftraggebers beim Auftragnehmer durch Pfändung oder Beschlagnahme, durch ein Insolvenz- oder Vergleichsverfahren oder durch sonstige Ereignisse oder Maßnahmen Dritter gefährdet werden, so hat der Auftragnehmer den Auftraggeber unverzüglich darüber zu informieren. Der Auftragnehmer wird alle in diesem Zusammenhang Verantwortlichen unverzüglich darüber informieren, dass die Daten dem Verantwortungsbereich des Auftraggebers als Verantwortlichem im Sinne der Datenschutz-Grundverordnung zugeordnet sind.

§ 11 Änderungen des Vertrages

Jegliche Änderungen, Ergänzungen oder Nebenabreden dieses Vertrages bedürfen der Textform. Dies gilt auch für die Aufhebung dieses Textformerfordernisses. Individuelle Vereinbarungen zwischen den Parteien bleiben unberührt.

§ 12 Rechtswahl und Gerichtsstand

Für Streitigkeiten aus oder im Zusammenhang mit diesem Vertrag gelten die Gerichtsstands- und Rechtswahlregelungen des zugrunde liegenden Vertrages entsprechend.

§ 13 Schlussbestimmungen

Sollten einzelne Bestimmungen dieses Vertrages unwirksam oder undurchführbar sein oder nach Vertragsschluss unwirksam oder undurchführbar werden, bleibt davon die Wirksamkeit des Vertrages im Übrigen unberührt. Die Vertragspartner verpflichten sich für diesen Fall, die rechtsunwirksame oder undurchführbare Bestimmung durch eine andere, im wirtschaftlichen Ergebnis möglichst gleichwertige Bestimmung zu ersetzen.