Auftragsverarbeitung

Entwurf, Fassung 2026-12-ENTWURF — Stand 18.08.2026. Nicht in Kraft. Anlage 2 zu den Nutzungsbedingungen (§ 15 Abs. 3). Bei Miete einer Maschine (Anlage 1) ist dieser Vertrag stets mitvereinbart.

Zwischen dem Kunden (nachfolgend „Verantwortlicher") und red.Commerce, Inhaber Jan Dohmen, Forstweg 18, 47877 Willich (nachfolgend „Auftragsverarbeiter").

§ 1 Wann dieser Vertrag gilt

(1) Dieser Vertrag gilt nur für Leistungen, bei denen der Auftragsverarbeiter auf personenbezogene Daten des Verantwortlichen zugreifen kann. Das sind ausschließlich:

a) die Bereitstellung einer Maschine nach Anlage 1, auf der die Installation des Verantwortlichen läuft, b) Fernwartung und Unterstützung, bei der auf ein System des Verantwortlichen zugegriffen wird, c) der Betrieb von Testinstanzen auf Infrastruktur des Auftragsverarbeiters, sofern der Verantwortliche dort eigene Daten einbringt, d) die Übernahme von Datenbeständen im Rahmen einer Migration.

(1a) Im Fall des Absatzes 1 Buchstabe a besteht die Verarbeitung darin, dass die Daten auf Systemen des Auftragsverarbeiters gespeichert werden und ein Zugriff technisch möglich ist. Der Betrieb der Software obliegt weiterhin dem Verantwortlichen (Anlage 1 § 2); der Auftragsverarbeiter greift auf die Anwendung nur zu, soweit eine Leistung nach Anlage 1 § 3 oder eine Weisung des Verantwortlichen es erfordert.

(2) Er gilt nicht für den gewöhnlichen Betrieb der Software auf Infrastruktur des Verantwortlichen. Dort erhält der Auftragsverarbeiter keinen Zugriff auf personenbezogene Daten.

(3) Er gilt nicht für die Angaben, die nach § 10 der Nutzungsbedingungen zur Prüfung der Nutzungsberechtigung übermittelt werden. Für diese ist der Auftragsverarbeiter eigener Verantwortlicher.

§ 2 Gegenstand, Art und Zweck

(1) Gegenstand: die in § 1 Abs. 1 genannten Leistungen.

(2) Art der Verarbeitung: Einsehen, Erheben, Speichern, Verändern und Löschen, jeweils nur, soweit es die beauftragte Leistung erfordert.

(3) Zweck: Fehlersuche, Wiederherstellung des vertragsgemäßen Zustands, Bereitstellung einer Testumgebung, Datenübernahme.

(4) Dauer: die Dauer der jeweiligen Leistung; bei einer gemieteten Maschine die Dauer des Betriebs zuzüglich der Löschfrist nach Anlage 1 § 9 Abs. 3; bei Testinstanzen längstens bis zu deren Ablauf.

(5) Auswertung findet nicht statt. Der Auftragsverarbeiter wertet die gespeicherten Daten nicht aus — insbesondere nicht zur Ermittlung von Geschäftszahlen des Verantwortlichen.

(6) Die Auftragszahl ermittelt der Auftragsverarbeiter nicht selbst. Sie wird von der Software des Verantwortlichen als Nutzungsmeldung nach § 10a der Nutzungsbedingungen übermittelt — als Anzahl je Monat und ohne Inhalt, Wert, Artikel oder Beteiligte. Der Auftragsverarbeiter greift dafür nicht auf die nach diesem Vertrag verarbeiteten Daten zu. Die Verarbeitung der übermittelten Zahl erfolgt zur Erfüllung des Hauptvertrages (Art. 6 Abs. 1 Buchstabe b DSGVO) und liegt außerhalb dieses Vertrages. Der aktuelle Stand ist dem Verantwortlichen im Kundencenter zugänglich.

§ 3 Betroffene Personen und Datenarten

(1) Betroffene Personen: Beschäftigte des Verantwortlichen, dessen Kunden, Lieferanten und Ansprechpartner.

(2) Datenarten: Bestandsdaten (Name, Anschrift, Kontaktdaten), Vertragsdaten, Bestell- und Belegdaten, Zahlungsdaten, Protokolldaten, Nutzungsdaten der Verwaltungsoberfläche.

(3) Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO) sind nicht Gegenstand. Bringt der Verantwortliche solche Daten dennoch ein, teilt er dies vorher mit.

§ 4 Weisungsbindung

(1) Der Auftragsverarbeiter verarbeitet die Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen, es sei denn, er ist rechtlich zu einer Verarbeitung verpflichtet.

(2) Weisungen erfolgen in Textform. Mündliche Weisungen bestätigt der Verantwortliche unverzüglich in Textform.

(3) Hält der Auftragsverarbeiter eine Weisung für rechtswidrig, teilt er dies unverzüglich mit und darf ihre Ausführung aussetzen.

(4) Ein Beauftragungstext, mit dem der Verantwortliche eine Unterstützung anfordert, gilt als Weisung.

§ 5 Vertraulichkeit

(1) Der Auftragsverarbeiter setzt für die Verarbeitung nur Personen ein, die zur Vertraulichkeit verpflichtet sind.

(2) Die Verpflichtung besteht über das Ende der Tätigkeit hinaus fort.

§ 6 Technische und organisatorische Maßnahmen

(1) Der Auftragsverarbeiter trifft die nach Art. 32 DSGVO erforderlichen Maßnahmen. Insbesondere:

(2) Die Maßnahmen können fortentwickelt werden, solange das Schutzniveau nicht unterschritten wird.

(3) Demodaten werden erzeugt, nicht kopiert. Testinstanzen, die der Auftragsverarbeiter selbst bereitstellt, enthalten keine Daten aus einem echten Betrieb.

§ 7 Weitere Auftragsverarbeiter

(1) Der Verantwortliche erteilt eine allgemeine Genehmigung zur Hinzuziehung weiterer Auftragsverarbeiter.

(2) Zum Zeitpunkt des Vertragsschlusses sind dies:

(3) Der Auftragsverarbeiter teilt jede beabsichtigte Änderung mindestens vier Wochen vorher mit. Der Verantwortliche kann innerhalb von vier Wochen widersprechen. Widerspricht er, kann jede Partei die betroffene Leistung außerordentlich kündigen.

(4) Der Auftragsverarbeiter verpflichtet jeden weiteren Auftragsverarbeiter auf Pflichten, die diesem Vertrag entsprechen.

§ 8 Unterstützung des Verantwortlichen

(1) Der Auftragsverarbeiter unterstützt den Verantwortlichen bei der Beantwortung von Anträgen betroffener Personen (Art. 12 bis 23 DSGVO), soweit dies ohne die Mitwirkung des Auftragsverarbeiters nicht möglich ist.

(2) Wendet sich eine betroffene Person unmittelbar an den Auftragsverarbeiter, leitet dieser den Vorgang unverzüglich weiter und antwortet nicht selbst.

(3) Der Auftragsverarbeiter unterstützt bei der Einhaltung der Art. 32 bis 36 DSGVO, insbesondere bei Meldungen nach Art. 33 und bei Datenschutz-Folgenabschätzungen.

§ 9 Verletzungen des Schutzes personenbezogener Daten

(1) Der Auftragsverarbeiter meldet dem Verantwortlichen jede ihm bekannt gewordene Verletzung unverzüglich, spätestens innerhalb von 24 Stunden nach Kenntnis.

(2) Die Meldung enthält, soweit bekannt: Art der Verletzung, betroffene Kategorien und ungefähre Zahl der Betroffenen und Datensätze, wahrscheinliche Folgen und ergriffene Maßnahmen.

(3) Die Frist ist bewusst kürzer als die 72 Stunden aus Art. 33 DSGVO: Der Verantwortliche muss innerhalb dieser 72 Stunden melden und braucht dafür Vorlauf.

§ 10 Nachweis und Kontrolle

(1) Der Auftragsverarbeiter stellt dem Verantwortlichen auf Anforderung die Informationen zur Verfügung, die zum Nachweis der Einhaltung dieses Vertrages erforderlich sind.

(2) Der Verantwortliche kann Überprüfungen durchführen oder durchführen lassen. Sie werden mit angemessener Frist angekündigt, finden zu den üblichen Geschäftszeiten statt und beeinträchtigen den Betrieb nicht unangemessen.

(3) Der Auftragsverarbeiter kann einen Prüfer ablehnen, der Wettbewerber ist.

§ 11 Löschung und Rückgabe

(1) Nach Abschluss der Leistung löscht der Auftragsverarbeiter alle personenbezogenen Daten des Verantwortlichen oder gibt sie nach dessen Wahl zurück.

(2) Testinstanzen werden nach Ablauf selbsttätig abgeräumt. Eine Verlängerung ist einmal möglich; danach wird ohne Ausnahme gelöscht.

(3) Gesetzliche Aufbewahrungspflichten bleiben unberührt. Daten, die aus diesem Grund aufbewahrt werden, werden in der Verarbeitung eingeschränkt.

§ 12 Verarbeitung außerhalb der EU

Eine Verarbeitung außerhalb der Europäischen Union und des Europäischen Wirtschaftsraums findet nicht statt. Soll sie stattfinden, bedarf es einer gesonderten Vereinbarung und der Voraussetzungen der Art. 44 ff. DSGVO.

§ 13 Schlussbestimmungen

(1) Dieser Vertrag gilt für die Dauer der Nutzungsbedingungen und darüber hinaus, solange der Auftragsverarbeiter Daten des Verantwortlichen verarbeitet.

(2) Bei Widersprüchen geht dieser Vertrag den Nutzungsbedingungen vor, soweit es um die Verarbeitung personenbezogener Daten geht.

(3) Es gilt deutsches Recht.