Vertrag zur Auftragsverarbeitung

Vertragsparteien

Verantwortlicher (nachfolgend „Auftraggeber“):

Auftragsverarbeiter (nachfolgend „Auftragnehmer“):

Wissenbach Nachfolgeberatung, Scheibenbühlstraße 69, 72459 Albstadt, Deutschland

E-Mail: info@wissenbach-online.de

Dieser Vertrag ergänzt den zwischen den Parteien geschlossenen Nutzungsvertrag über Konformix (nachfolgend „Hauptvertrag“). Bei Widersprüchen zwischen Hauptvertrag und diesem Vertrag geht dieser Vertrag in Datenschutzfragen vor.

§ 1 Gegenstand und Dauer

(1) Gegenstand der Verarbeitung ist die Bereitstellung und der Betrieb der Software-as-a-Service-Anwendung Konformix zur Unterstützung des Auftraggebers beim Aufbau, Betrieb und Nachweis seiner Managementsysteme. Der Auftragnehmer verarbeitet dabei personenbezogene Daten ausschließlich im Auftrag und nach Weisung des Auftraggebers.

(2) Die Dauer der Verarbeitung entspricht der Laufzeit des Hauptvertrags. Der Vertrag endet automatisch mit dessen Beendigung; die Pflichten nach § 9 (Löschung und Rückgabe) und § 7 (Vertraulichkeit) bestehen darüber hinaus fort.

(3) Der Auftraggeber ist für die Zulässigkeit der Verarbeitung und für die Wahrung der Rechte betroffener Personen allein verantwortlich (Art. 24 DSGVO).

§ 2 Art und Zweck der Verarbeitung

Der Auftragnehmer verarbeitet die Daten zu folgenden Zwecken:

• Speicherung, Strukturierung und Anzeige der vom Auftraggeber eingestellten Angaben zu Organisation, Prozessen, Rollen, Personen, Werten, Lieferanten, Risiken und Maßnahmen,
• Erzeugung von Dokumentenentwürfen und Nachweisen (unter anderem Richtlinien, Handbücher, Verzeichnis von Verarbeitungstätigkeiten, Erklärung zur Anwendbarkeit, Schulungs- und Zugriffsnachweise),
• Verwaltung der Nutzerkonten, Rollen und Berechtigungen innerhalb des Mandanten des Auftraggebers,
• Versand von Benachrichtigungen und Erinnerungen an die vom Auftraggeber benannten Personen,
• Protokollierung von Änderungen in einem Audit-Trail zum Zweck der Nachweisführung,
• Sicherung, Wiederherstellung, Fehlerbehebung und Support nach Anforderung durch den Auftraggeber,
• soweit vom Auftraggeber genutzt: KI-gestützte Formulierung und Prüfung von Dokumententwürfen über die Programmierschnittstelle von Anthropic (siehe § 6).

Die Verarbeitung erfolgt ausschließlich automatisiert in Rechenzentren innerhalb der Europäischen Union, mit Ausnahme der in § 6 benannten Übermittlungen.

§ 3 Art der personenbezogenen Daten

• Stammdaten von Nutzerinnen und Nutzern: Name, dienstliche E-Mail-Adresse, Rolle,
• Anmelde- und Nutzungsdaten: Passwort-Hash, Zeitpunkte von Anmeldung und Aktivität, IP-Adresse in Protokolldaten,
• Beschäftigtenbezogene Angaben, soweit vom Auftraggeber eingestellt: Funktion, Organisationseinheit, Standort, Zuständigkeiten, Vertretungsregelungen,
• Nachweisdaten: Schulungsteilnahmen und -zeitpunkte, Bestätigungen von Richtlinien, Ergebnisse von Zugriffsüberprüfungen, Zuweisung und Erledigung von Aufgaben,
• Kontaktdaten von Ansprechpersonen bei Lieferanten und interessierten Parteien: Name, Funktion, dienstliche Kontaktdaten,
• Inhaltsdaten aus Freitextfeldern, Dokumenten und hochgeladenen Dateien, soweit sie personenbezogene Angaben enthalten.

Besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO sind nicht Gegenstand des Auftrags. Der Auftraggeber stellt sicher, dass er insbesondere keine Gesundheitsdaten von Patientinnen und Patienten in Konformix einstellt. Die Software ist für die Verwaltung von Managementsystem-Dokumentation bestimmt, nicht für die Verarbeitung von Behandlungsdaten. Gleiches gilt für Daten, die einem besonderen Berufsgeheimnis nach § 203 StGB unterliegen.

§ 4 Kategorien betroffener Personen

• Beschäftigte des Auftraggebers einschließlich Auszubildender und Aushilfen,
• Leitungs- und Führungspersonen sowie benannte Beauftragte,
• externe Mitarbeitende, Dienstleister, freie Mitarbeitende und Praktikantinnen und Praktikanten des Auftraggebers,
• Ansprechpersonen bei Lieferanten, Kunden und sonstigen interessierten Parteien,
• Bewerberinnen und Bewerber, soweit in Prozessen des Auftraggebers abgebildet.

§ 5 Pflichten des Auftragnehmers

(1) Der Auftragnehmer verarbeitet personenbezogene Daten ausschließlich

• im Rahmen der Vereinbarungen dieses Vertrags und
• nach dokumentierten Weisungen des Auftraggebers (Art. 28 Abs. 3 lit. a DSGVO),

es sei denn, er ist nach dem Recht der Union oder der Mitgliedstaaten zur Verarbeitung verpflichtet. In diesem Fall teilt er dem Auftraggeber die rechtlichen Anforderungen vor der Verarbeitung mit, sofern das Recht dies nicht wegen eines wichtigen öffentlichen Interesses verbietet.

(2) Weisungen erteilt der Auftraggeber grundsätzlich über die Funktionen der Software selbst, im Übrigen in Textform an info@wissenbach-online.de. Mündliche Weisungen bestätigt der Auftraggeber unverzüglich in Textform. Weisungsbefugt sind die vom Auftraggeber benannten Personen.

(3) Ist der Auftragnehmer der Auffassung, dass eine Weisung gegen Datenschutzrecht verstößt, teilt er dies dem Auftraggeber unverzüglich mit (Art. 28 Abs. 3 Satz 3 DSGVO). Er darf die Ausführung aussetzen, bis der Auftraggeber die Weisung bestätigt oder ändert.

(4) Der Auftragnehmer verpflichtet alle zur Verarbeitung befugten Personen schriftlich zur Vertraulichkeit, soweit sie nicht bereits einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen (Art. 28 Abs. 3 lit. b DSGVO), und unterweist sie regelmäßig im Datenschutz.

(5) Der Auftragnehmer trifft die erforderlichen Maßnahmen nach Art. 32 DSGVO. Diese sind in der Anlage 1 beschrieben. Er darf sie fortentwickeln, sofern das Schutzniveau nicht unterschritten wird.

(6) Der Auftragnehmer unterstützt den Auftraggeber im Rahmen des Zumutbaren bei der Erfüllung von dessen Pflichten nach den Art. 32 bis 36 DSGVO, insbesondere bei einer Datenschutz-Folgenabschätzung und bei einer vorherigen Konsultation der Aufsichtsbehörde (Art. 28 Abs. 3 lit. f DSGVO).

(7) Der Auftragnehmer informiert den Auftraggeber unverzüglich, spätestens innerhalb von 24 Stunden nach Kenntnis, über Verletzungen des Schutzes personenbezogener Daten (Art. 33 Abs. 2 DSGVO). Die Meldung enthält, soweit bekannt, die Art der Verletzung, die betroffenen Datenkategorien, die ungefähre Zahl der betroffenen Personen und Datensätze, die wahrscheinlichen Folgen sowie die ergriffenen oder vorgeschlagenen Maßnahmen. Die Meldung an die Aufsichtsbehörde und an betroffene Personen obliegt dem Auftraggeber.

(8) Der Auftragnehmer benennt eine für Datenschutzfragen zuständige Kontaktstelle (info@wissenbach-online.de) und führt ein Verzeichnis aller Kategorien von Verarbeitungstätigkeiten im Auftrag (Art. 30 Abs. 2 DSGVO).

(9) Der Auftragnehmer verarbeitet die Daten nicht für eigene Zwecke. Eine Nutzung zu Analyse-, Werbe- oder Trainingszwecken findet nicht statt. Aggregierte, vollständig anonymisierte Kennzahlen zur Kapazitätsplanung und Fehleranalyse bleiben zulässig, sofern ein Personenbezug ausgeschlossen ist.

§ 6 Unterauftragsverarbeiter

(1) Der Auftraggeber erteilt dem Auftragnehmer die allgemeine Genehmigung, weitere Auftragsverarbeiter hinzuzuziehen (Art. 28 Abs. 2 Satz 2 DSGVO).

(2) Zum Stand 28. Juli 2026 sind folgende Unterauftragsverarbeiter beauftragt:

(3) Der Auftragnehmer informiert den Auftraggeber mindestens vier Wochen vor der Aufnahme oder dem Austausch eines Unterauftragsverarbeiters in Textform. Der Auftraggeber kann innerhalb von zwei Wochen ab Zugang der Information aus einem wichtigen, datenschutzrechtlich begründeten Anlass widersprechen. Im Fall eines Widerspruchs sucht der Auftragnehmer eine Alternative; ist ihm das nicht mit zumutbarem Aufwand möglich, kann jede Partei den Hauptvertrag zum Zeitpunkt der Umstellung außerordentlich kündigen.

(4) Der Auftragnehmer verpflichtet jeden Unterauftragsverarbeiter vertraglich auf Datenschutzpflichten, die denen dieses Vertrags entsprechen (Art. 28 Abs. 4 DSGVO), und haftet für dessen Verhalten wie für eigenes.

(5) Nicht als Unterauftragsverarbeitung gelten Nebenleistungen wie Telekommunikation, Wartung von Endgeräten oder Entsorgung, bei denen ein Zugriff auf personenbezogene Daten nicht Gegenstand der Leistung ist.

(6) Drittlandtransfer: Soweit ein Unterauftragsverarbeiter Daten außerhalb der EU oder des EWR verarbeitet, stellt der Auftragnehmer die Zulässigkeit nach Kapitel V DSGVO sicher, insbesondere durch Abschluss der EU-Standardvertragsklauseln nebst ergänzenden Schutzmaßnahmen. Für die KI-Verarbeitung über Anthropic gilt zusätzlich: die übermittelten Inhalte werden nicht zum Training von Modellen verwendet, und es ist eine Nichtspeicherung der Inhalte vereinbart. Der Auftraggeber kann verlangen, dass die KI-Anbindung für seinen Mandanten vollständig deaktiviert wird; die Software arbeitet dann ohne Übermittlung an Anthropic.

§ 7 Vertraulichkeit

Der Auftragnehmer und die für ihn tätigen Personen wahren über die im Auftrag verarbeiteten Daten Verschwiegenheit. Diese Pflicht besteht auch nach Beendigung des Vertrags fort.

§ 8 Rechte betroffener Personen

(1) Der Auftragnehmer unterstützt den Auftraggeber mit geeigneten technischen und organisatorischen Maßnahmen dabei, Anträgen betroffener Personen auf Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit und Widerspruch nachzukommen (Art. 28 Abs. 3 lit. e DSGVO). Die Software stellt dafür Export- und Löschfunktionen bereit.

(2) Wendet sich eine betroffene Person unmittelbar an den Auftragnehmer, leitet dieser das Anliegen unverzüglich an den Auftraggeber weiter und beantwortet es nicht selbst.

(3) Für Unterstützungsleistungen, die über den in Absatz 1 genannten Rahmen deutlich hinausgehen und vom Auftraggeber zu vertreten sind, kann der Auftragnehmer eine angemessene Vergütung nach Aufwand verlangen. Er weist vorher darauf hin.

§ 9 Löschung und Rückgabe

(1) Nach Abschluss der Erbringung der Verarbeitungsleistungen löscht der Auftragnehmer alle personenbezogenen Daten oder gibt sie nach Wahl des Auftraggebers zurück, sofern keine gesetzliche Aufbewahrungspflicht besteht (Art. 28 Abs. 3 lit. g DSGVO).

(2) Nach Ende des Hauptvertrags stehen die Daten 30 Tage lang zum Export bereit. Danach löscht der Auftragnehmer die produktiven Datenbestände. Auf Verlangen des Auftraggebers löscht er früher.

(3) In Sicherungskopien enthaltene Daten werden mit dem regulären Sicherungszyklus überschrieben, spätestens 90 Tage nach Löschung des Produktivbestands. Bis dahin sind sie gegen Verarbeitung zu anderen Zwecken gesperrt.

(4) Die Löschung wird auf Anforderung in Textform bestätigt.

§ 10 Nachweise und Kontrollrechte

(1) Der Auftragnehmer weist die Einhaltung der Pflichten aus diesem Vertrag auf Anfrage nach, insbesondere durch Vorlage einer aktuellen Beschreibung der Maßnahmen nach Anlage 1, durch Selbstauskünfte oder — soweit vorhanden — durch Testate, Zertifikate oder Berichte unabhängiger Stellen, auch solche seiner Unterauftragsverarbeiter.

(2) Reichen diese Nachweise nicht aus, kann der Auftraggeber nach vorheriger Anmeldung mit einer Frist von mindestens vier Wochen und während der üblichen Geschäftszeiten eine Überprüfung durchführen oder durch einen zur Verschwiegenheit verpflichteten Prüfer durchführen lassen. Der Prüfer darf kein Wettbewerber des Auftragnehmers sein. Die Prüfung darf den Betrieb nicht unangemessen beeinträchtigen und findet in der Regel einmal je Kalenderjahr statt; bei einem konkreten Anlass — insbesondere nach einer Datenschutzverletzung oder auf Anordnung einer Aufsichtsbehörde — auch häufiger.

(3) Für Prüfungen, die über den Aufwand einer jährlichen Regelprüfung hinausgehen und nicht auf einem vom Auftragnehmer zu vertretenden Anlass beruhen, kann der Auftragnehmer eine angemessene Vergütung verlangen.

(4) Der Auftragnehmer duldet Kontrollen der zuständigen Aufsichtsbehörden und wirkt an ihnen mit.

§ 11 Haftung und Schlussbestimmungen

(1) Für die Haftung gilt Art. 82 DSGVO. Im Innenverhältnis gelten ergänzend die Haftungsregelungen des Hauptvertrags, soweit Art. 82 DSGVO dem nicht entgegensteht.

(2) Änderungen und Ergänzungen dieses Vertrags bedürfen der Textform. Das gilt auch für die Aufhebung dieses Formerfordernisses.

(3) Sollte eine Bestimmung unwirksam sein oder werden, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt. Die Parteien ersetzen die unwirksame Bestimmung durch eine wirksame, die dem wirtschaftlichen Zweck am nächsten kommt.

(4) Es gilt deutsches Recht. Gerichtsstand ist Stuttgart, soweit gesetzlich zulässig.

Anlage 1 — Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

Der Auftragnehmer hat unter Berücksichtigung des Stands der Technik, der Implementierungskosten sowie der Art, des Umfangs, der Umstände und der Zwecke der Verarbeitung folgende Maßnahmen getroffen:

Anlage 2 — Unterschriften

Mit Nutzung von Konformix gilt dieser Vertrag als zwischen den Parteien geschlossen. Benötigt der Auftraggeber eine gegengezeichnete Ausfertigung, druckt er dieses Dokument aus beziehungsweise speichert es über die Druckfunktion des Browsers als PDF, unterzeichnet es und sendet es an info@wissenbach-online.de. Der Auftragnehmer sendet die gegengezeichnete Fassung zurück.