DSGVO Art. 28

Auftragsverarbeitungsvertrag

Stand: 12. Mai 2026. Version 1.0.

1. Vertragspartner

Verantwortlicher (Auftraggeber, im Folgenden „Kunde“):
Wird im Hauptvertrag konkretisiert.

Auftragsverarbeiter (Auftragnehmer):
Net-Evolution
Inhaber: Marvin Henrich
Stromberger Straße 16
55452 Dorsheim
Deutschland
E-Mail: info@net-evolution.de

2. Gegenstand und Dauer der Verarbeitung

(1) Gegenstand des Auftrages ist die Verarbeitung personenbezogener Daten durch den Auftragsverarbeiter im Auftrag des Verantwortlichen im Rahmen der im Hauptvertrag vereinbarten Leistungen (z. B. Beratung, Entwicklung, Wartung von Workflow-Automatisierungen und Custom-Tools).

(2) Die Dauer der Verarbeitung richtet sich nach der Laufzeit des Hauptvertrages.

3. Art und Zweck der Verarbeitung

Folgende Verarbeitungsvorgänge sind typischerweise umfasst (Auswahl je nach Projektumfang):

• Erheben, Erfassen und Speichern von Daten zu Test- und Entwicklungszwecken,
• Organisation und Strukturierung von Daten in Workflows,
• Abfragen und Abrufen von Daten aus angebundenen Systemen,
• Übermitteln von Daten zwischen verbundenen Systemen,
• Abgleichen, Verknüpfen und Auswerten von Daten,
• Anonymisieren, Pseudonymisieren und Löschen von Daten.

Der konkrete Verarbeitungszweck ergibt sich aus dem Hauptvertrag und der jeweiligen Aufgabenstellung.

4. Art der personenbezogenen Daten und Kategorien betroffener Personen

(1) Folgende Datenarten können je nach Projekt verarbeitet werden:

• Kontakt- und Stammdaten (Name, E-Mail, Telefon, Anschrift),
• Vertragsdaten (Kundennummer, Vertragsstatus, Zahlungsinformationen),
• Kommunikationsdaten (E-Mail-Verkehr, Nachrichteninhalte),
• Nutzungs- und Protokolldaten von angebundenen Systemen,
• Inhaltsdaten, soweit für die Aufgabenstellung erforderlich.

(2) Betroffene Personenkategorien können sein: Kunden und Interessenten des Verantwortlichen, Mitarbeitende des Verantwortlichen, Lieferanten, sonstige Geschäftspartner.

(3) Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO) werden nur dann verarbeitet, wenn dies ausdrücklich vereinbart und entsprechend dokumentiert wird.

5. Pflichten des Auftragsverarbeiters

(1) Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen, insbesondere im Hinblick auf eine Übermittlung an Drittländer oder internationale Organisationen, es sei denn, er ist hierzu nach dem Recht der Union oder der Mitgliedstaaten verpflichtet.

(2) Der Auftragsverarbeiter ergreift alle erforderlichen technischen und organisatorischen Maßnahmen gemäß Art. 32 DSGVO. Eine Übersicht der konkreten Maßnahmen ist in Anlage 1 (TOMs) beigefügt.

(3) Der Auftragsverarbeiter stellt sicher, dass die zur Verarbeitung der personenbezogenen Daten befugten Personen sich zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen.

(4) Der Auftragsverarbeiter unterstützt den Verantwortlichen unter Berücksichtigung der Art der Verarbeitung soweit möglich mit geeigneten technischen und organisatorischen Maßnahmen dabei, seinen Pflichten zur Beantwortung von Anträgen Betroffener nachzukommen (Art. 12–22 DSGVO).

(5) Der Auftragsverarbeiter unterstützt den Verantwortlichen bei der Einhaltung der in Art. 32–36 DSGVO genannten Pflichten unter Berücksichtigung der Art der Verarbeitung und der ihm zur Verfügung stehenden Informationen.

(6) Nach Abschluss der Erbringung der Verarbeitungsleistungen werden alle personenbezogenen Daten nach Wahl des Verantwortlichen entweder gelöscht oder zurückgegeben, sofern nicht nach dem Recht der Union oder der Mitgliedstaaten eine Verpflichtung zur Speicherung der personenbezogenen Daten besteht.

(7) Der Auftragsverarbeiter stellt dem Verantwortlichen alle erforderlichen Informationen zum Nachweis der Einhaltung der in Art. 28 DSGVO niedergelegten Pflichten zur Verfügung und ermöglicht Überprüfungen sowie unterstützt diese.

6. Unterauftragsverarbeiter

(1) Der Auftragsverarbeiter darf weitere Auftragsverarbeiter (Unterauftragsverarbeiter) nur mit vorheriger gesonderter oder allgemeiner schriftlicher Genehmigung des Verantwortlichen heranziehen. Der Verantwortliche genehmigt im Rahmen dieses Vertrages allgemein den Einsatz der in Anlage 2 aufgeführten Unterauftragsverarbeiter.

(2) Der Auftragsverarbeiter wird den Verantwortlichen vorab über jede beabsichtigte Änderung in Bezug auf die Hinzuziehung oder die Ersetzung anderer Auftragsverarbeiter informieren, wodurch der Verantwortliche die Möglichkeit erhält, gegen derartige Änderungen Einspruch zu erheben.

(3) Der Auftragsverarbeiter verpflichtet die Unterauftragsverarbeiter vertraglich zu denselben Datenschutzpflichten, die in diesem Vertrag festgelegt sind.

7. Rechte des Verantwortlichen, Kontrollrechte

(1) Der Verantwortliche ist berechtigt, sich vor Beginn der Verarbeitung und sodann regelmäßig in angemessener Weise von der Einhaltung der getroffenen technischen und organisatorischen Maßnahmen beim Auftragsverarbeiter zu überzeugen.

(2) Kontrollen vor Ort sind nach vorheriger Anmeldung mit angemessener Frist (mindestens 14 Tage) und nur zu üblichen Geschäftszeiten möglich. Sie haben in einer für den Betriebsablauf des Auftragsverarbeiters möglichst schonenden Weise zu erfolgen.

(3) Anstelle eigener Kontrollen können auch geeignete Nachweise (z. B. aktuelle Testate, Berichte, Zertifizierungen) anerkannt werden.

8. Mitteilung bei Verletzung des Schutzes personenbezogener Daten

Der Auftragsverarbeiter wird den Verantwortlichen über jede Verletzung des Schutzes personenbezogener Daten unverzüglich, spätestens jedoch innerhalb von 48 Stunden nach Kenntniserlangung, schriftlich oder per E-Mail informieren. Die Mitteilung enthält die in Art. 33 Abs. 3 DSGVO genannten Angaben, soweit verfügbar.

9. Haftung

Für die Haftung der Parteien dieses AVV gelten die Regelungen der Art. 82 DSGVO sowie die Haftungsregelungen des Hauptvertrages.

10. Schlussbestimmungen

(1) Im Falle eines Widerspruchs zwischen diesem AVV und sonstigen Vereinbarungen der Parteien gehen die Regelungen dieses AVV vor.

(2) Sollten einzelne Bestimmungen unwirksam sein oder werden, so bleibt die Wirksamkeit der übrigen Regelungen unberührt.

(3) Es gilt das Recht der Bundesrepublik Deutschland.

Anlage 1 — Technische und organisatorische Maßnahmen (TOMs)

Eine ausführliche Beschreibung der konkreten technischen und organisatorischen Maßnahmen (Verschlüsselung, Pseudonymisierung, Zugriffs-, Eingabe- und Auftragskontrolle, Verfahren zur regelmäßigen Überprüfung etc.) findet sich in der Datenschutzerklärung sowie wird auf Wunsch als separates Dokument ausgehändigt.

Anlage 2 — Genehmigte Unterauftragsverarbeiter

Folgende Unterauftragsverarbeiter werden regelmäßig eingesetzt (Auswahl):

• NetCup GmbH, Daimlerstraße 25, 76185 Karlsruhe — Hosting/Server (Standort Deutschland)
• Anthropic, PBC, San Francisco, CA, USA — KI-Modelle (sofern projektbezogen vereinbart; Übermittlung in Drittland auf Grundlage Standardvertragsklauseln)

Die jeweils aktuelle Liste ist auf Anforderung erhältlich. Bei projektspezifischen weiteren Subdienstleistern (z. B. Mail-Provider, weitere Cloud-Dienste) erfolgt eine gesonderte Vereinbarung.