Anlage 1: Vertrag zur Auftragsverarbeitung
Wozu diese Seite
Diese Anlage wird gemeinsam mit dem Hauptvertrag unterzeichnet. Sie steht hier öffentlich, damit Sie vor jedem Gespräch prüfen können, worauf Sie sich einlassen — ohne sie anfordern zu müssen. Die Fassung ist ein Entwurf und noch nicht anwaltlich geprüft; verbindlich wird die Fassung, die dem Angebot beiliegt.
§ 1 Gegenstand und Rollen
(1) Auftraggeber und Verantwortlicher im Sinne von Art. 4 Nr. 7 DSGVO ist der Kunde. Auftragnehmer und Auftragsverarbeiter im Sinne von Art. 4 Nr. 8 DSGVO ist Velo Automation, Einzelunternehmen, Inhaber Markus Knigge, Warnestr. 10, 38259 Salzgitter.
(2) Gegenstand ist die Verarbeitung personenbezogener Daten im Rahmen von Einrichtung und Betrieb des im Hauptvertrag beschriebenen Dashboards.
(3) Die Verarbeitung beginnt nicht vor beiderseitiger Unterzeichnung dieser Anlage.
§ 2 Art, Zweck und Dauer der Verarbeitung
(1) Art der Verarbeitung: Erheben, Erfassen, Organisieren, Ordnen, Speichern, Anpassen, Auslesen, Abfragen, Verwenden, Übermitteln an den Kunden, Einschränken, Löschen und Vernichten.
(2) Zweck: Priorisierung eingehender Nachrichten, Erkennung des Objektbezugs, Erzeugung von Antwortentwürfen zur Prüfung durch den Kunden, Ablage und Auffindbarkeit von Vorgängen sowie die im Hauptvertrag vereinbarten Auswertungen.
(3) Dauer: Die Verarbeitung dauert für die Laufzeit des Hauptvertrags. Nach dessen Ende gilt § 9.
§ 3 Kategorien betroffener Personen und Datenarten
| Kategorie betroffener Personen | Verarbeitete Datenarten |
|---|---|
| Mieterinnen und Mieter | Name, Anschrift, Kontaktdaten, Einheit und Objekt, Korrespondenz, Anliegen und Vorgangsverlauf |
| Eigentümerinnen und Eigentümer | Name, Anschrift, Kontaktdaten, Eigentumsanteil, Korrespondenz |
| Verwaltungsbeiräte | Name, Kontaktdaten, Funktion, Korrespondenz |
| Beschäftigte des Kunden | Name, dienstliche Kontaktdaten, Zugangsdaten, Bearbeitungs- und Freigabeprotokolle |
| Dienstleister und Handwerksbetriebe | Firmenname, Ansprechperson, Kontaktdaten, Auftrags- und Korrespondenzdaten |
Daten besonderer Kategorien (Art. 9 DSGVO): Das System ist nicht darauf ausgelegt, solche Daten zu verarbeiten. In der Korrespondenz einer Hausverwaltung können sie dennoch anfallen — etwa Gesundheitsangaben in einer Mängelanzeige, in einer Härtefalleinwendung oder bei einem Barrierefreiheitsbedarf. Der Kunde stellt sicher, dass er für deren Verarbeitung eine Rechtsgrundlage nach Art. 9 Abs. 2 DSGVO hat. Der Auftragnehmer behandelt sie mit denselben Maßnahmen wie alle übrigen Daten und wertet sie nicht gesondert aus.
§ 4 Weisungsbindung
(1) Der Auftragnehmer verarbeitet die Daten ausschließlich auf dokumentierte Weisung des Kunden. Das gilt auch für eine Übermittlung in ein Drittland oder an eine internationale Organisation.
(2) Weisungen erfolgen in Textform an kontakt@velo-automation.de. Mündlich erteilte Weisungen bestätigt der Kunde unverzüglich in Textform.
(3) Ist der Auftragnehmer nach Unionsrecht oder dem Recht eines Mitgliedstaats zu einer Verarbeitung verpflichtet, teilt er dem Kunden diese Anforderungen vor der Verarbeitung mit, sofern das Recht eine solche Mitteilung nicht wegen eines wichtigen öffentlichen Interesses verbietet.
(4) Der Auftragnehmer informiert den Kunden unverzüglich, wenn eine Weisung nach seiner Auffassung gegen Datenschutzrecht verstößt. Bis zur Bestätigung oder Änderung der Weisung darf er deren Ausführung aussetzen.
(5) Eine Verwendung der Daten zum Training allgemeiner Sprachmodelle findet nicht statt.
§ 5 Vertraulichkeit
Der Auftragnehmer setzt zur Verarbeitung nur Personen ein, die zur Vertraulichkeit verpflichtet oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterworfen sind. Die Verpflichtung wird dokumentiert und wirkt über das Ende der Tätigkeit hinaus fort. Auf Verlangen weist der Auftragnehmer sie nach.
§ 6 Technische und organisatorische Maßnahmen
Der Auftragnehmer trifft die Maßnahmen nach Art. 32 DSGVO. Diese umfassen mindestens:
| Schutzziel | Maßnahme |
|---|---|
| Vertraulichkeit — Zutritt | Betrieb in einem Rechenzentrum in Deutschland mit Zutrittskontrolle; kein physischer Zugang durch den Auftragnehmer erforderlich |
| Vertraulichkeit — Zugang | Ein eigener Server je Kunde, keine gemeinsame Datenbank und kein geteilter Suchindex über Kunden hinweg; administrativer Zugang ausschließlich über Schlüsselauthentisierung mit zweitem Faktor, Passwortanmeldung deaktiviert |
| Vertraulichkeit — Zugriff | Rollenbasierte Rechte je Beschäftigtem des Kunden; Zugriff des Auftragnehmers auf Inhaltsdaten nur anlassbezogen zur Fehlerbehebung und protokolliert |
| Integrität — Weitergabe | Verschlüsselte Übertragung über TLS; verschlüsselte Datenträger im Ruhezustand |
| Integrität — Eingabe | Protokollierung, wer wann welchen Entwurf freigegeben und ob er ihn geändert hat; Protokoll für den Kunden auswertbar und exportierbar |
| Verfügbarkeit | Tägliche verschlüsselte Sicherung mit 30 Tagen Aufbewahrung, dokumentierter Wiederherstellungstest, Firewall und automatische Sperre nach fehlgeschlagenen Anmeldeversuchen |
| Belastbarkeit und Überprüfung | Regelmäßige Sicherheitsaktualisierungen; jährliche Überprüfung und Bewertung der Maßnahmen, Ergebnis dokumentiert |
| Trennung | Trennung von Produktiv-, Test- und Demodaten; in Demonstrationen werden ausschließlich erfundene Daten verwendet |
Der Auftragnehmer darf die Maßnahmen fortentwickeln, solange das Schutzniveau nicht unterschritten wird. Wesentliche Änderungen dokumentiert er und teilt sie auf Anfrage mit.
§ 7 Unterauftragsverhältnisse
(1) Der Kunde erteilt die allgemeine Genehmigung zur Hinzuziehung der folgenden Unterauftragnehmer:
| Unterauftragnehmer | Leistung | Ort |
|---|---|---|
| IONOS SE, Montabaur | Bereitstellung und Betrieb der Server | Deutschland |
(2) Kommt ein Sprachmodell zum Einsatz, das nicht auf dem Server des Kunden läuft, wird der betreibende Anbieter hier vor Vertragsschluss namentlich mit Leistung und Verarbeitungsort ergänzt. Ohne eine solche Ergänzung findet keine Verarbeitung außerhalb der oben genannten Infrastruktur statt.
(3) Wechsel oder Hinzuziehung weiterer Unterauftragnehmer zeigt der Auftragnehmer mindestens vier Wochen vorher in Textform an. Der Kunde kann innerhalb von zwei Wochen ab Zugang aus einem datenschutzrechtlichen Grund in Textform widersprechen. Im Fall des Widerspruchs kann der Auftragnehmer die Änderung unterlassen oder den Hauptvertrag zum Zeitpunkt der beabsichtigten Umstellung kündigen.
(4) Der Auftragnehmer erlegt jedem Unterauftragnehmer durch Vertrag dieselben Datenschutzpflichten auf, die ihm nach dieser Anlage obliegen, und haftet gegenüber dem Kunden für dessen Verhalten wie für eigenes.
§ 8 Unterstützungspflichten
(1) Betroffenenrechte: Der Auftragnehmer unterstützt den Kunden mit geeigneten Maßnahmen dabei, Anträge nach Kapitel III DSGVO zu erfüllen, und stellt dafür Export-, Such-, Berichtigungs- und Löschfunktionen bereit. Wendet sich eine betroffene Person unmittelbar an den Auftragnehmer, leitet dieser den Antrag innerhalb von drei Werktagen an den Kunden weiter und beantwortet ihn nicht selbst.
(2) Datenschutzverletzungen: Der Auftragnehmer meldet jede Verletzung des Schutzes personenbezogener Daten unverzüglich nach Bekanntwerden, spätestens innerhalb von 24 Stunden, in Textform an die vom Kunden benannte Ansprechperson. Die Meldung enthält die Art der Verletzung, soweit möglich die Kategorien und die ungefähre Zahl betroffener Personen und Datensätze, die wahrscheinlichen Folgen sowie die ergriffenen und vorgeschlagenen Abhilfemaßnahmen. Der Auftragnehmer unterstützt den Kunden bei dessen Meldung nach Art. 33 und bei einer Benachrichtigung nach Art. 34.
(3) Folgenabschätzung: Der Auftragnehmer unterstützt den Kunden bei einer Datenschutz-Folgenabschätzung nach Art. 35 und bei einer vorherigen Konsultation nach Art. 36 und stellt dafür eine Systembeschreibung und eine Beschreibung der Verarbeitungsvorgänge bereit.
(4) Kosten: Die Unterstützung im Rahmen der bereitgestellten Systemfunktionen ist mit dem monatlichen Entgelt abgegolten. Darüber hinausgehende Unterstützung — insbesondere manuelle Recherchen, Sonderauswertungen und die Mitwirkung an Verfahren einer Aufsichtsbehörde, die nicht auf einer Pflichtverletzung des Auftragnehmers beruhen — vergütet der Kunde nach Aufwand zum jeweils gültigen Stundensatz nach vorheriger Ankündigung.
§ 9 Löschung und Rückgabe
(1) Nach Wahl des Kunden gibt der Auftragnehmer die im Auftrag verarbeiteten Daten nach Beendigung der Verarbeitung zurück oder löscht sie.
(2) Trifft der Kunde binnen 30 Tagen nach Vertragsende keine Wahl in Textform, gibt der Auftragnehmer die Daten in einem offenen, maschinenlesbar auswertbaren Format heraus und löscht den Serverbestand anschließend vollständig einschließlich aller Sicherungen. Die Löschung bestätigt er in Textform.
(3) Unberührt bleiben Daten, deren Aufbewahrung der Auftragnehmer nach Unionsrecht oder deutschem Recht schuldet. Diese werden gesperrt, nicht weiterverarbeitet und nach Ablauf der Frist gelöscht.
§ 10 Nachweise und Überprüfung
(1) Der Auftragnehmer stellt dem Kunden alle Informationen zur Verfügung, die zum Nachweis der Einhaltung der Pflichten aus Art. 28 DSGVO erforderlich sind.
(2) Er ermöglicht Überprüfungen einschließlich Inspektionen, die der Kunde oder ein von ihm beauftragter Prüfer durchführt. Überprüfungen erfolgen nach Ankündigung mit einer Frist von zwei Wochen, während der üblichen Geschäftszeiten und ohne vermeidbare Betriebsstörung. Einmal jährlich ist eine Überprüfung im Entgelt enthalten; darüber hinaus vergütet der Kunde den Aufwand nach Zeit.
(3) Der Prüfer darf kein Wettbewerber des Auftragnehmers sein und ist zur Verschwiegenheit zu verpflichten.
§ 11 Haftung und Schlussbestimmungen
(1) Für die Haftung gilt Art. 82 DSGVO. Ansprüche betroffener Personen und der Innenausgleich nach Art. 82 Abs. 5 DSGVO bleiben von den Haftungsbeschränkungen des Hauptvertrags unberührt, soweit der Auftragnehmer den ihm speziell auferlegten Pflichten nicht nachgekommen ist oder gegen eine rechtmäßige Weisung gehandelt hat.
(2) Bei Widersprüchen zwischen dieser Anlage und dem Hauptvertrag geht diese Anlage in Fragen der Datenverarbeitung vor.
(3) Änderungen dieser Anlage bedürfen der Textform.
(4) Es gilt deutsches Recht.
Entwurfsfassung vom August 2026. Diese Anlage ist keine Rechtsberatung und muss vor der ersten Verwendung anwaltlich geprüft werden. Der Hauptvertrag steht unter AGB, die Verarbeitung auf dieser Website beschreibt die Datenschutzerklärung.