Vertrag über Auftragsverarbeitung

Stand 05.11.2026

im Sinne von Art. 28 Abs. 3 DSGVO

Teil A: Vertrag (eRecht24-Fassung)

zwischen

[KUNDE: Firma]
[KUNDE: Straße, Nr.]
00000 [KUNDE: Ort]

nachfolgend „Auftraggeber“

und

Feuerpfeil Werbeagentur GmbH & Co. KG
Friedrichstraße 6
95444 Bayreuth

nachfolgend „Auftragnehmer“

1. Allgemeine Bestimmungen und Vertragsgegenstand

1.1 Gegenstand des vorliegenden Vertrags ist die Verarbeitung personenbezogener Daten im Auftrag durch den Auftragnehmer (Art. 28 DSGVO). Verantwortlicher im Sinne des Art. 4 Nr. 7 DSGVO ist der Auftraggeber.

1.2 Inhalt des Auftrags, Kategorien betroffener Personen und Datenarten sowie Zweck der Vereinbarung sind Anlage 1 zu entnehmen.

1.3 Die Verarbeitung der Daten durch den Auftragnehmer findet ausschließlich auf dem Gebiet der Bundesrepublik Deutschland, einem Mitgliedsstaat der Europäischen Union oder einem Vertragsstaat des EWR-Abkommens statt. Die Verarbeitung außerhalb dieser Staaten erfolgt nur unter den Voraussetzungen von Kapitel 5 der DSGVO (Art. 44 ff.) und mit vorheriger Zustimmung oder nach vorheriger Weisung des Auftraggebers.

2. Vertragslaufzeit und Kündigung

Der vorliegende Vertrag wird auf unbestimmte Zeit geschlossen und kann von jeder Vertragspartei mit einer Frist von drei Monaten ordentlich gekündigt werden. Das Recht zur außerordentlichen Kündigung aus wichtigem Grund bleibt unberührt.

3. Weisungen des Auftraggebers

3.1 Dem Auftraggeber steht ein umfassendes Weisungsrecht in Bezug auf Art, Umfang und Modalitäten der Datenverarbeitung ggü. dem Auftragnehmer zu. Der Auftragnehmer informiert den Auftraggeber unverzüglich, falls der Auftragnehmer der Auffassung ist, dass eine Weisung des Auftraggebers gegen gesetzliche Vorschriften verstößt. Wird eine Weisung erteilt, deren Rechtmäßigkeit der Auftragnehmer substantiiert anzweifelt, ist der Auftragnehmer berechtigt, deren Ausführung vorübergehend auszusetzen, bis der Auftraggeber diese nochmals ausdrücklich bestätigt oder ändert. Besteht die Möglichkeit, dass der Auftragnehmer durch das Befolgen der Weisung einem Haftungsrisiko ausgesetzt wird, kann die Durchführung der Weisung bis zur Klärung der Haftung im Innenverhältnis oder bis zu einer Einräumung sonstiger angemessener Sicherheiten durch den Auftraggeber zur Abwendung von Schäden des Auftragnehmers ausgesetzt werden.

3.2 Eine von den Weisungen oder ohne Weisungen des Auftraggebers abweichende Verarbeitung ist nur zulässig, wenn der Auftragnehmer nach dem Recht der Europäischen Union oder der Mitgliedstaaten zur Datenverarbeitung verpflichtet ist. Im Falle einer solchen Verarbeitung, informiert der Auftragnehmer den Auftraggeber unverzüglich über beabsichtigte oder bereits eingeleitete Verarbeitung, es sei denn, dass das betreffende Recht der Europäischen Union oder des Mitgliedstaates eine solche Mitteilung aufgrund eines wichtigen öffentlichen Interesses verbietet; in diesem Fall erfolgt die Mitteilung unverzüglich, sobald die rechtlichen Hindernisse nicht mehr bestehen.

3.3 Weisungen sind grundsätzlich schriftlich oder in einem elektronischen Format (z.B. per E-Mail) zu erteilen. Mündliche Weisungen sind in begründeten Einzelfällen zulässig und werden vom Auftraggeber unverzüglich schriftlich oder in einem elektronischen Format bestätigt. In der Bestätigung ist ausdrücklich zu begründen, warum keine Weisung in Textform erfolgen konnte. Der Auftragnehmer hat Person, Datum und Uhrzeit der durch den Auftraggeber erteilten Weisung in angemessener Form zu dokumentieren.

3.4 Der Auftraggeber benennt auf Verlangen des Auftragnehmers eine oder mehrere weisungsberechtigte Personen. Personelle Änderungen sind dem Auftragnehmer unverzüglich mitzuteilen.

4. Kontrollbefugnisse des Auftraggebers

4.1 Der Auftraggeber ist berechtigt, die Einhaltung der gesetzlichen und vertraglichen Vorschriften zum Datenschutz und zur Datensicherheit vor Beginn der Datenverarbeitung und während der Vertragslaufzeit regelmäßig, im erforderlichen Umfang, zu kontrollieren. Der Auftraggeber hat dafür zu sorgen, dass die Kontrollmaßnahmen verhältnismäßig sind und den Betrieb des Auftragnehmers nicht mehr als erforderlich beeinträchtigen.

4.2 Die Ergebnisse der Kontrollen und Weisungen sind vom Auftraggeber in geeigneter Weise zu protokollieren.

5. Allgemeine Pflichten des Auftragnehmers

5.1 Die Verarbeitung der vertragsgegenständlichen Daten durch den Auftragnehmer erfolgt ausschließlich auf Grundlage der vertraglichen Vereinbarungen in Verbindung mit den ggf. erteilten Weisungen des Auftraggebers. Eine hiervon abweichende Verarbeitung ist nur zulässig, wenn der Auftragnehmer nach dem Recht der Europäischen Union oder der Mitgliedstaaten zur Datenverarbeitung verpflichtet ist. Im Falle einer solchen Verarbeitung, informiert der Auftragnehmer den Auftraggeber unverzüglich über beabsichtigte oder bereits eingeleitete Verarbeitung, es sei denn, dass das betreffende Recht der Europäischen Union oder des Mitgliedstaates eine solche Mitteilung aufgrund eines wichtigen öffentlichen Interesses verbietet; in diesem Fall erfolgt die Mitteilung unverzüglich, sobald die rechtlichen Hindernisse nicht mehr bestehen.

5.2 Der Auftragnehmer hat zu gewährleisten, dass sich die zur Verarbeitung der personenbezogenen Daten befugten Personen zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen (Art. 28 Abs. 3 lit. b DSGVO). Vor der Unterwerfung unter die Verschwiegenheitspflicht dürfen die betreffenden Personen keinen Zugang zu den vom Auftraggeber überlassenen personenbezogenen Daten erhalten.

6. Technische und organisatorische Maßnahmen

Der Auftragnehmer hat geeignete technische und organisatorische Maßnahmen zur Gewährleistung eines angemessenen Schutzniveaus festgelegt und diese in Anlage 2 dieses Vertrags festgehalten. Die dort beschriebenen Maßnahmen wurden unter Beachtung der Vorgaben nach Art. 32 DSGVO ausgewählt. Der Auftragnehmer wird die technischen und organisatorischen Maßnahmen regelmäßig und anlassbezogen überprüfen und anpassen.

7. Unterstützungspflichten von Auftragnehmer

Der Auftragnehmer wird den Auftraggeber gem. Art. 28 Abs. 3 lit. e DSGVO bei dessen Pflichten zur Wahrung der Betroffenenrechte aus Kapitel III, Art. 12 bis 22 DSGVO, unterstützen. Dies gilt insbesondere für die Erteilung von Auskünften und die Löschung, Berichtigung oder Einschränkung personenbezogener Daten. Der Auftragnehmer wird den Auftraggeber ferner gem. Art. 28 Abs. 3 lit. f DSGVO bei dessen Pflichten nach Art. 32-36 DSGVO (insb. Meldepflichten) unterstützen. Die Reichweite dieser Unterstützungspflichten bestimmt sich im Einzelfall unter Berücksichtigung der Art der Verarbeitung und der Informationen, die dem Auftragnehmer zur Verfügung stehen.

8. Einsatz von Unterauftragsverarbeitern (Subunternehmer)

8.1 Der Auftragnehmer ist zum Einsatz von Unterauftragsverarbeitern (Subunternehmern) berechtigt. Alle zum Zeitpunkt des Vertragsschlusses bereits bestehenden Subunternehmerverhältnisse des Auftragnehmers sind diesem Vertrag abschließend in Anlage 3 aufgeführt. Für die in Anlage 3 aufgezählten Subunternehmer gilt die Zustimmung mit Abschluss dieses Vertrags als erteilt.

8.2 Beabsichtigt der Auftragnehmer den Einsatz weiterer Subunternehmer, wird der Auftragnehmer dies dem Auftraggeber rechtzeitig, spätestens jedoch zwei Wochen vor deren Einsatz in schriftlicher oder elektronischer Form anzeigen. Der Auftraggeber hat nach dieser Mitteilung zwei Wochen Zeit, der Hinzuziehung des/der Subunternehmer zu widersprechen. Erfolgt innerhalb dieser Frist kein Widerspruch, gilt die Hinzuziehung des/der Subunternehmer(s) als genehmigt. In dringenden Fällen (z.B. bei kurzfristig benötigten Fehleranalysen oder Mängelbeseitigungen), kann der Auftragnehmer die Anzeige- und Widerspruchsfrist für Subunternehmer angemessen verkürzen. Erfolgt ein fristgerechter Widerspruch, dürfen die betroffenen Subunternehmer nicht eingesetzt werden. Widersprüche sind nur zulässig, wenn der Auftraggeber begründete Anhaltspunkte dafür hat, dass durch den Einsatz des Unterauftragnehmers die Datensicherheit oder der Datenschutz eingeschränkt würde, die Einhaltung gesetzlicher oder vertraglicher Bestimmungen gefährdet wäre und/oder sonstige berechtigte Interessen des Auftraggebers entgegenstehen; die entsprechenden Verdachtsmomente sind dem Widerspruch beizufügen.

8.3 Subunternehmer werden vom Auftragnehmer unter Beachtung der gesetzlichen und vertraglichen Vorgaben ausgewählt. Sämtliche Verträge zwischen Auftragsverarbeiter (Auftragnehmer) und Unterauftragsverarbeiter (Subunternehmer) müssen den gesetzlichen Vorschriften über die Verarbeitung personenbezogener Daten im Auftrag genügen; dies betrifft insbesondere die Implementierung geeigneter technischer und organisatorischer Maßnahmen nach Art. 32 DSGVO im Betrieb des Subunternehmers. Nebenleistungen, welche der Auftragnehmer zur Ausübung von geschäftlichen Tätigkeiten in Anspruch nimmt, stellen keine Unterauftragsverhältnisse im Sinne des Art. 28 DSGVO dar. Nebentätigkeiten in diesem Sinne sind insbesondere Telekommunikationsleistungen ohne konkreten Bezug zur Hauptleistung, Post- und Transportdienstleistungen sowie sonstige Maßnahmen, welche die Vertraulichkeit und/oder Integrität der Hard- und Software sicherstellen sollen und keinen konkreten Bezug zur Hauptleistung aufweisen. Der Auftragnehmer wird jedoch auch bei diesen Drittleistungen die Einhaltung der gesetzlichen Datenschutzstandards (insbesondere durch entsprechende Vertraulichkeitsvereinbarungen) sicherstellen.

8.4 Sämtliche Verträge zwischen dem Auftragnehmer und dem Unterauftragsverarbeiter (Subunternehmer) müssen den Anforderungen dieses Vertrags und den gesetzlichen Vorschriften über die Verarbeitung personenbezogener Daten im Auftrag genügen.

8.5 Die Beauftragung von Subunternehmern in Drittstaaten ist nur zulässig, wenn die gesetzlichen Voraussetzungen der Art. 44 ff. DSGVO gegeben sind und der Auftraggeber zugestimmt hat.

9. Mitteilungspflichten des Auftragnehmers

9.1 Verstöße gegen diesen Vertrag, gegen Weisungen des Auftraggebers oder gegen sonstige datenschutzrechtliche Bestimmungen sind dem Auftraggeber unverzüglich mitzuteilen; das gleiche gilt bei Vorliegen eines entsprechenden begründeten Verdachts. Diese Pflicht gilt unabhängig davon, ob der Verstoß vom Auftragnehmer selbst, einer beim Auftragnehmer angestellten Person, einem Subunternehmer oder einer sonstigen Person, die der Auftragnehmer zur Erfüllung vertraglicher Pflichten eingesetzt hat, begangen wurde.

9.2 Ersucht ein Betroffener, eine Behörde oder ein sonstiger Dritter den Auftragnehmer um Auskunft, Berichtigung, Einschränkung der Verarbeitung oder Löschung, wird der Auftragnehmer die Anfrage unverzüglich an den Auftraggeber weiterleiten und das weitere Vorgehen mit ihm abstimmen.

9.3 Der Auftragnehmer wird den Auftraggeber unverzüglich informieren, wenn Aufsichtshandlungen oder sonstige Maßnahmen einer Behörde bevorstehen, von denen auch die Verarbeitung, Nutzung oder Erhebung der durch den Auftraggeber zur Verfügung gestellten personenbezogenen Daten betroffen sein könnten. Darüber hinaus hat der Auftragnehmer den Auftraggeber unverzüglich über alle Ereignisse oder Maßnahmen Dritter zu informieren, durch welche die vertragsgegenständlichen Daten gefährdet oder beeinträchtigt werden könnten.

10. Vertragsbeendigung, Löschung und Rückgabe der Daten

Nach Abschluss der vertragsgegenständlichen Datenverarbeitung bzw. nach Beendigung dieses Vertrags hat der Auftragnehmer alle personenbezogenen Daten nach Wahl des Auftraggebers zu löschen oder zurückzugeben, sofern für den Auftragnehmer keine rechtliche Verpflichtung zur Speicherung der betreffenden Daten mehr besteht (z.B. gesetzliche Aufbewahrungsfristen).

11. Datengeheimnis und Vertraulichkeit

Der Auftragnehmer ist unbefristet und über das Ende dieses Vertrages hinaus verpflichtet, die im Rahmen der vorliegenden Vertragsbeziehung erlangten personenbezogenen Daten vertraulich zu behandeln. Der Auftragnehmer verpflichtet sich, Mitarbeiter mit den einschlägigen Datenschutzbestimmungen und Geheimnisschutzregeln vertraut zu machen und sie zur Verschwiegenheit zu verpflichten, bevor diese ihre Tätigkeit beim Auftragnehmer aufnehmen.

12. Schlussbestimmungen

12.1 Änderungen dieses Vertrags und Nebenabreden bedürfen der schriftlichen oder elektronischen Form, die eindeutig erkennen lässt, dass und welche Änderung oder Ergänzung der vorliegenden Bedingungen durch sie erfolgen soll.

12.2 Sind die Vertragsparteien Kaufleute, juristische Personen des öffentlichen Rechts oder öffentlich-rechtliches Sondervermögen, ist der Sitz des Auftragnehmers Gerichtsstand für alle Streitigkeiten aus diesem Vertrag; ausschließliche Gerichtsstände bleiben hiervon unberührt.

12.3 Sollte sich die DSGVO oder sonstige in Bezug genommenen gesetzlichen Regelungen während der Vertragslaufzeit ändern, gelten die hiesigen Verweise auch für die jeweiligen Nachfolgeregelungen.

12.4 Sollten einzelne Teile dieser Vereinbarung unwirksam sein oder werden, bleibt die Wirksamkeit der übrigen Bestimmungen hiervon unberührt.

12.5 Sämtliche Anlagen zu diesem Vertrag sind Vertragsbestandteil.

Anlage 1: Auftragsdetails

Anlage 2: Liste der bestehenden technischen und organisatorischen Maßnahmen des Auftragsverarbeiters nach Art. 32 DSGVO

Der Auftragnehmer setzt folgende technische und organisatorische Maßnahmen zum Schutz der vertragsgegenständlichen personenbezogenen Daten um. Die Maßnahmen wurden im Einklang mit Art. 32 DSGVO festgelegt und mit dem Auftraggeber abgestimmt.

1. Sicherung der Arbeitsstätte des Auftragsverarbeiters (Zutrittskontrolle)

Die Arbeitsstätte des Auftragsverarbeiters wird in folgender Weise gegen Einbruch und sonstige unbefugte Zutritte gesichert:

• Die Kundendaten werden nicht in den Büroräumen von Feuerpfeil gespeichert, sondern ausschließlich im Rechenzentrum der Hetzner Online GmbH in Deutschland (Falkenstein). Die Zutrittskontrolle zum Rechenzentrum richtet sich nach den technischen und organisatorischen Maßnahmen von Hetzner (zertifiziert nach ISO/IEC 27001), die Bestandteil des Auftragsverarbeitungsvertrags zwischen Feuerpfeil und Hetzner sind.

2. Sicherung der IT-Systeme des Auftragsverarbeiters (Zugangskontrolle)

Die IT-Systeme des Auftragsverarbeiters werden in folgender Weise gegen unbefugte Zugriffe (z.B. Hackerangriffe) gesichert:

• Erstellen von Benutzerprofilen in den IT-Systemen
• Login in die IT-Systeme mit individuellem Benutzernamen und Passwort
• Zugriffsregeln für Benutzer / Benutzergruppen in den IT-Systemen (Berechtigungskonzept)
• Verwaltung der Berechtigungen durch Systemadministratoren
• Anzahl der Systemadministratoren ist auf das „Notwendigste“ reduziert
• regelmäßige und anlassbezogene Aktualisierung und Überprüfung der Zugriffsrechte (insb. bei Ausscheiden von Mitarbeitern o.Ä.)
• Einsatz von Hardware-Firewall
• Verschlüsselung der Datensicherungssysteme
• Administrativer Zugang zum Server nur per SSH-Schlüssel, kein Passwort-Login. Zugang haben nur namentlich festgelegte Administratoren von Feuerpfeil. Zwei-Faktor-Anmeldung für die Konten bei Hetzner und Amazon Web Services. Netzwerk-Firewall lässt nur die notwendigen Ports zu. Nutzer melden sich im Programm per Einmal-Code an die hinterlegte E-Mail-Adresse an; Codes sind 15 Minuten gültig, Sitzungen enden nach 12 Stunden. Die Daten jedes Kunden liegen in einer eigenen Datenbank.

3. Protokollierung von Datenverarbeitungsprozessen (Eingabekontrolle)

Folgende Maßnahmen stellen sicher, dass der Auftragsverarbeiter jederzeit erkennen kann, welche Datenverarbeitungsprozesse in seinen Datenverarbeitungssystemen stattgefunden haben (z.B. Eingabe, Veränderung, Sperrung oder Löschung):

• Protokollierung von Zugriffen auf die IT-Systeme des Auftragsverarbeiter (Log-Protokolle)
• Protokollierung von Eingaben, Änderungen und Löschungen (Log-Protokolle)
• Protokollierung der Aktionen einzelner Nutzer
• Nachvollziehbarkeit von Eingabe, Änderung und Löschung von Daten durch individuelle Benutzernamen
• Im Programm wird jede Anlage, Änderung, Freigabe und Löschung mit Person und Zeitpunkt in einem Änderungsprotokoll festgehalten. Zugriffsprotokolle des Servers werden nach 14 Tagen gelöscht.

4. Sichere Löschung von Daten

Folgende Maßnahmen stellen die ordnungsgemäße Löschung der vertragsgegenständlichen Daten sicher:

• Löschkonzept
• Löschfristen nach Vertragsende gemäß Anlage „Export und Löschfristen“; Daten werden vor der Löschung zum Export bereitgestellt.

5. Datenschutz bei den Subunternehmern des Auftragsverarbeiters

Folgende Maßnahmen stellen sicher, dass sich die vom Auftragsverarbeiter ausgewählten Subunternehmer datenschutzkonform verhalten:

• Auswahl der Subunternehmer unter Sorgfaltsgesichtspunkten (insb. hinsichtlich Datensicherheit)
• Abschluss von DSGVO-konformen Auftragsverarbeitungsverträgen mit dem Subunternehmer
• Sicherstellung der Vernichtung der Daten beim Subunternehmer nach Beendigung des Auftrags

6. Sicherung von Daten bei Transport und Übermittlung (Weitergabekontrolle)

Folgende Maßnahmen gewährleisten, dass personenbezogene Daten bei der Weitergabe (physisch und / oder digital) vor unbefugten Dritten geschützt werden:

• Verschlüsselung des E-Mail-Verkehrs
• Verschlüsselung der sonstigen Kommunikationswege
• Übertragung ausschließlich verschlüsselt per TLS (HTTPS). Sicherungen werden vor dem Hochladen in den Sicherungsspeicher verschlüsselt. Bei eingeschalteter KI-Auslesung werden nur Text und Seitenbilder von Sicherheitsdatenblättern verschlüsselt an Amazon Bedrock (EU) übermittelt.

7. Datensicherung und Backups (Verfügbarkeit und Wiederherstellbarkeit)

Folgende Maßnahmen stellen sicher, dass die vertragsgegenständlichen Daten jederzeit verfügbar sind:

• Backup- & Wiederherstellungskonzept
• Aufbewahrung von Datensicherungen an einem sicheren, ausgelagerten Ort
• Tägliche verschlüsselte Sicherung der Datenbanken auf einen getrennten Sicherungsspeicher (Hetzner Storage Box, Deutschland) und tägliche Server-Sicherung bei Hetzner; automatische Prüfung der Sicherung mit Meldung bei Ausfällen. Physische Sicherheit, Stromversorgung, Klimatisierung und Brandschutz der Serverräume gemäß den Maßnahmen der Hetzner Online GmbH.

8. Überprüfung, Evaluierung und Anpassung der vorliegenden Maßnahmen

Der Auftragsverarbeiter wird die in dieser Anlage beschriebenen technischen und organisatorischen Maßnahmen im Abstand von Diese Angabe wird derzeit ergänzt. Monaten und anlassbezogen, prüfen, evaluieren und bei Bedarf anpassen.

Anlage 3: Liste der bestehenden Subunternehmer zum Zeitpunkt des Vertragsschlusses

Teil B: Ergänzende Vereinbarungen

Die Parteien vereinbaren ergänzend zum Vertrag in Teil A (Ziffern 1 bis 12 und Anlagen 1 bis 3). Diese Ergänzenden Vereinbarungen gehen den Regelungen in Teil A vor, soweit sie ihnen widersprechen.

E1. Parteien, Abschluss des Vertrags

(1) Auftragnehmer ist die Feuerpfeil Werbeagentur GmbH & Co. KG, Friedrichstraße 6, 95444 Bayreuth, Amtsgericht Bayreuth, HRA 3663, vertreten durch die persönlich haftende Gesellschafterin Feuerpfeil GmbH (Amtsgericht Bayreuth, HRB 2979), diese vertreten durch den Geschäftsführer Alexander Hanke-Mellby. Kontakt in Datenschutzangelegenheiten: kataster@gefahrstoff.cloud.

(2) Abschluss per Häkchen: Der Vertrag kommt zustande, wenn der Auftraggeber bei der Bestellung des Gefahrstoffkatasters das dafür vorgesehene Feld ankreuzt. Die Parteien halten damit die Form des Art. 28 Abs. 9 DSGVO (elektronisches Format) ein. Der Vertrag wird damit Bestandteil des Hauptvertrags (Bestellung und Allgemeine Geschäftsbedingungen). Die Angaben zum Auftraggeber entnimmt der Auftragnehmer der Bestellung; die Platzhalter „[KUNDE: …]“ gelten als damit ausgefüllt.

(3) Auf Wunsch des Auftraggebers schließen die Parteien zusätzlich eine von beiden Seiten unterzeichnete Fassung dieses Vertrags ab. Der Inhalt bleibt unverändert.

E2. Laufzeit (ersetzt Ziffer 2 in Teil A)

Dieser Vertrag gilt für die Laufzeit des Hauptvertrags und endet mit dessen Beendigung, nach Abschluss der Löschung und Rückgabe der Daten nach E8. Eine eigene ordentliche Kündigung dieses Vertrags mit der Frist von drei Monaten nach Ziffer 2 besteht nicht; das Recht zur außerordentlichen Kündigung aus wichtigem Grund bleibt unberührt.

E3. Meldung von Datenschutzverletzungen (präzisiert Ziffer 9.1)

Der Auftragnehmer meldet dem Auftraggeber eine Verletzung des Schutzes personenbezogener Daten (Art. 4 Nr. 12 DSGVO) unverzüglich, spätestens innerhalb von 48 Stunden nach Kenntnis, per E-Mail an die E-Mail-Adresse des Inhabers im Programm. Die Meldung enthält, soweit bekannt, die Angaben nach Art. 33 Abs. 3 DSGVO. Weitere Informationen reicht der Auftragnehmer unverzüglich nach.

E4. Unterstützung, Vergütung (ergänzt Ziffer 7 und Ziffer 4)

(1) Die Funktionen des Programms (Einträge ändern oder löschen, Mitglieder entfernen, Export) kann der Auftraggeber selbst nutzen; sie sind im Entgelt des Hauptvertrags enthalten.

(2) Unterstützungsleistungen des Auftragnehmers, die über diese Programmfunktionen hinausgehen (etwa individuelle Auswertungen, Beantwortung von Betroffenenanfragen im Einzelfall, Mitwirkung an Datenschutz-Folgenabschätzungen oder Behördenanfragen), vergütet der Auftraggeber nach tatsächlichem Zeitaufwand mit 140 Euro je Stunde zuzüglich gesetzlicher Umsatzsteuer. Der Auftragnehmer weist den Aufwand auf Verlangen nach. Die Pflicht zur Meldung nach E3 und die Auskunft darüber, ob ein Verstoß des Auftragnehmers vorliegt, sind davon nicht betroffen und kostenlos.

(3) Kontrollen nach Ziffer 4 sind nach Anmeldung mit einem Vorlauf von Diese Angabe wird derzeit ergänzt. zu den üblichen Geschäftszeiten möglich, höchstens einmal im Kalenderjahr, außer bei konkretem Anlass (etwa nach einer Datenschutzverletzung). Für das Rechenzentrum verweist der Auftragnehmer auf die Nachweise der Hetzner Online GmbH (ISO/IEC 27001, BSI C5); Kosten von Kontrollen vor Ort: Diese Angabe wird derzeit ergänzt..

E5. Weitere Auftragsverarbeiter (präzisiert Ziffer 8)

(1) Der Auftragnehmer zeigt dem Auftraggeber jede beabsichtigte Hinzuziehung oder Ersetzung eines weiteren Auftragsverarbeiters mindestens 14 Tage vorher in Textform an. Der Auftraggeber kann innerhalb dieser 14 Tage aus wichtigem datenschutzrechtlichem Grund widersprechen (Ziffer 8.2).

(2) Kommt nach einem Widerspruch keine Einigung zustande, kann der Auftraggeber den Hauptvertrag ohne weitere Kosten zum Zeitpunkt der geplanten Änderung kündigen.

(3) Hinweis zu Anlage 3: Beim Rechenzentrum der Hetzner Online GmbH sind nach deren Vertrag weitere Unterauftragnehmer eingebunden (als Konzerngesellschaft Hetzner Finland Oy für Gebäude und technischen Support in Finnland); bei einem Serverstandort in der EU werden die Daten nur in der EU verarbeitet. Diese Angabe wird derzeit ergänzt.

E6. Verarbeitungsort, KI-Auslesung als dokumentierte Weisung

(1) Inhalte des Programms werden ausschließlich in Rechenzentren in Deutschland und der EU verarbeitet. Eine Übermittlung in ein Drittland findet im Programm nicht statt.

(2) Die Auslesung von Sicherheitsdatenblättern erfolgt ohne KI, es sei denn, der Auftraggeber schaltet die KI-Auslesung im Programm ausdrücklich ein. Das Einschalten gilt als dokumentierte Weisung im Sinne von Ziffer 3. Der Auftragnehmer speichert Zeitpunkt und Person; der Auftraggeber kann die Weisung jederzeit im Programm widerrufen, der Widerruf wirkt für jedes neue Sicherheitsdatenblatt sofort.

(3) Bei eingeschalteter KI-Auslesung übermittelt der Auftragnehmer nur Text und Seitenbilder hochgeladener Sicherheitsdatenblätter an die Amazon Web Services EMEA SARL, 38 Avenue John F. Kennedy, L-1855 Luxemburg (Amazon Bedrock, Anlage 3). Die Anfrage geht an die Region Frankfurt am Main; die Verarbeitung erfolgt über ein EU-Inferenzprofil in Rechenzentren innerhalb der EU. Keine Daten von Nutzern oder Beschäftigten, keine E-Mail-Texte, nicht das Gefahrstoffverzeichnis.

(4) Die Protokollierung der Modellaufrufe bei Amazon Bedrock ist ausgeschaltet; Amazon Bedrock speichert die Eingaben nach Angabe des Anbieters dann nicht und verwendet sie nicht zum Training. Diese Angabe wird derzeit ergänzt. Diese Angabe wird derzeit ergänzt.

(5) Ein KI-Werkzeug, das der Auftragnehmer für Entwicklung und Überwachung einsetzt, verarbeitet keine Daten des Auftraggebers.

(6) Fragen an das Gefahrstoffverzeichnis (KI-Fragen): Diese Angabe wird derzeit ergänzt. Fragen an das Gefahrstoffverzeichnis werden ohne KI beantwortet, es sei denn, der Auftraggeber (Inhaber) schaltet „KI-Fragen“ im Programm ausdrücklich ein. Das Einschalten gilt als dokumentierte Weisung im Sinne von Ziffer 3, wie bei der KI-Auslesung nach Absatz 2; der Widerruf im Programm wirkt sofort. Bei eingeschalteten KI-Fragen übermittelt der Auftragnehmer nur die Frage und dazu passende Auszüge aus Stoffdaten, Sicherheitsdatenblättern und Betriebsanweisungen des Auftraggebers an die Amazon Web Services EMEA SARL (Amazon Bedrock, Anlage 3), Anfrage in der Region Frankfurt am Main, Verarbeitung über das EU-Inferenzprofil in Rechenzentren innerhalb der EU. Namen aus Unterweisungen, Prüfvermerken, Änderungsprotokoll und Mitgliederliste sowie E-Mail-Adressen werden nie übermittelt. Fragen und Antworten speichert der Auftragnehmer nicht; er erfasst nur Zeitpunkt, Betrieb, Rolle, Art der Antwort und Kosten. KI-Antworten sind als solche gekennzeichnet. AWS ist dafür derselbe Unterauftragnehmer wie bei der KI-Auslesung; Anlage 3 ist um „und Fragen an das Gefahrstoffverzeichnis (KI-Fragen), nur wenn der Kunde sie einschaltet“ zu ergänzen.

E7. Unterweisungsnachweise, keine besonderen Datenkategorien

(1) Für Unterweisungen speichert das Programm nur den Namen der unterwiesenen Beschäftigten, keine E-Mail-Adresse, Personalnummer, Unterschrift, kein Geburtsdatum und keine Gesundheitsangaben. Beschäftigte erhalten keinen eigenen Zugang.

(2) Der Auftraggeber trägt in Freitextfelder keine Gesundheitsdaten oder andere besondere Kategorien personenbezogener Daten (Art. 9 DSGVO) ein.

(3) Eine Unterweisung wird im Programm nicht gelöscht, sondern storniert; der Name bleibt bis zur Löschung des Betriebs gespeichert. Diese Angabe wird derzeit ergänzt.

E8. Export und Löschung nach Vertragsende (ergänzt Ziffer 10)

(1) Der Auftraggeber kann während der Laufzeit jederzeit alle Daten seines Betriebs als ZIP-Datei exportieren. Ab Wirksamwerden der Kündigung steht der Zugang 30 Tage im Modus „nur Export“ zur Verfügung. Danach löscht der Auftragnehmer die Daten des Betriebs.

(2) Fristen nach Wirksamwerden der Kündigung:

(3) Gesetzliche Aufbewahrungspflichten des Auftragnehmers (Rechnungen, Bestellnummer) bleiben unberührt; Inhalte des Programms gehören nicht dazu.

E9. Haftung

Für die Haftung gilt die Regelung im Hauptvertrag (Allgemeine Geschäftsbedingungen, § 10); Art. 82 DSGVO bleibt unberührt. Diese Angabe wird derzeit ergänzt.

E10. Anmeldung und Zugriffsprotokoll

Die Anmeldung per E-Mail-Code, die Sitzung und das Zugriffsprotokoll verarbeitet der Auftragnehmer im Auftrag des Auftraggebers, soweit sie der Bereitstellung des Programms für dessen Nutzer dienen (Anlage 1). Für den Schutz des Dienstes vor Missbrauch und Angriffen verarbeitet der Auftragnehmer die Protokolldaten außerdem in eigener Verantwortung (Art. 6 Abs. 1 lit. f DSGVO); darüber informiert er in den Datenschutzhinweisen des Programms. Diese Angabe wird derzeit ergänzt.

E11. Zugang des Personals

Zugang zu den Systemen haben nur namentlich festgelegte Administratoren des Auftragnehmers, die zur Vertraulichkeit verpflichtet sind (Ziffern 5.2 und 11). Der Auftragnehmer setzt keine Personen ohne Verpflichtung auf Vertraulichkeit ein.

E12. Rangfolge, Schlussbestimmungen

(1) Bei Widersprüchen gehen diese Ergänzenden Vereinbarungen (Teil B) den Regelungen in Teil A und seinen Anlagen vor; in Fragen des Datenschutzes geht der gesamte Vertrag dem Hauptvertrag vor.

(2) Es gilt deutsches Recht. Gerichtsstand ist Bayreuth, soweit der Auftraggeber Kaufmann, juristische Person des öffentlichen Rechts oder öffentlich-rechtliches Sondervermögen ist (Ziffer 12.2).

(3) Stand dieser Fassung: Diese Angabe wird derzeit ergänzt..