Vertrag zur Auftragsverarbeitung

nach Art. 28 DSGVO · für die Pakete Pro und Kundengewinnung · Stand: 11. Oktober 2026

zwischen dem Kunden, der die Pakete Pro oder Kundengewinnung bestellt – „Verantwortlicher“ –
und der Blue Amber International UG (haftungsbeschränkt), Große Diesdorfer Straße 249, 39108 Magdeburg, Amtsgericht Stendal HRB 30809, vertreten durch den Geschäftsführer Dr. Oliver Franke – „Auftragsverarbeiter“.

Der Vertrag kommt mit der Bestellung der Pakete Pro oder Kundengewinnung zustande; der Verantwortliche bestätigt ihn im Bestellformular oder in Textform. Das genügt der Form nach Art. 28 Abs. 9 DSGVO (elektronisches Format). Auf Wunsch stellen wir eine unterzeichnete Fassung bereit.

§ 1 Gegenstand und Dauer

(1) Der Auftragsverarbeiter betreibt für den Verantwortlichen dessen Fassung der Rechner von bankfähig unter einer Webadresse („Kundenfassung“) und verarbeitet dabei personenbezogene Daten im Auftrag. Gegenstand, Art und Zweck der Verarbeitung, die Arten der Daten und die Kategorien betroffener Personen beschreibt Anlage 1.

(2) Der Vertrag gilt für die Laufzeit des Hauptvertrags (Allgemeine Geschäftsbedingungen mit Auftragsbestätigung) und endet mit ihm. § 9 gilt über das Vertragsende hinaus.

(3) Nicht Gegenstand dieses Vertrags ist das Prüfregister des Prüfdienstes: Dafür ist der Auftragsverarbeiter nach § 7 Abs. 3 der AGB selbst verantwortlich. Ebenfalls nicht erfasst ist das Paket Basis, bei dem der Auftragsverarbeiter keine Daten verarbeitet. Eingaben der Nutzer in die Rechner werden im Browser verarbeitet und erreichen den Auftragsverarbeiter nicht.

§ 2 Weisungen

(1) Der Auftragsverarbeiter verarbeitet die Daten nur auf dokumentierte Weisung des Verantwortlichen, es sei denn, er ist nach dem Recht der Union oder eines Mitgliedstaats zur Verarbeitung verpflichtet; in diesem Fall teilt er dem Verantwortlichen die rechtlichen Anforderungen vor der Verarbeitung mit, sofern das Recht dies nicht verbietet (Art. 28 Abs. 3 lit. a DSGVO).

(2) Hauptvertrag und dieser Vertrag sind die Weisungen. Dazu gehört im Paket Kundengewinnung die Weisung, Anfragen an die vom Verantwortlichen angegebene E-Mail-Adresse weiterzuleiten. Weitere Weisungen erteilt der Verantwortliche in Textform.

(3) Ist der Auftragsverarbeiter der Auffassung, dass eine Weisung gegen Datenschutzrecht verstößt, informiert er den Verantwortlichen unverzüglich und darf die Ausführung bis zur Klärung aussetzen.

§ 3 Vertraulichkeit

Der Auftragsverarbeiter setzt nur Personen ein, die zur Vertraulichkeit verpflichtet sind oder einer gesetzlichen Verschwiegenheitspflicht unterliegen (Art. 28 Abs. 3 lit. b DSGVO).

§ 4 Sicherheit der Verarbeitung

(1) Der Auftragsverarbeiter trifft die technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO, die in Anlage 2 beschrieben sind.

(2) Er darf die Maßnahmen an den Stand der Technik anpassen, sofern das Schutzniveau nicht unterschritten wird. Wesentliche Änderungen dokumentiert er auf dieser Seite.

§ 5 Unterauftragsverarbeiter

(1) Der Verantwortliche genehmigt die in Anlage 3 genannten Unterauftragsverarbeiter.

(2) Der Auftragsverarbeiter informiert den Verantwortlichen mindestens vier Wochen vorher in Textform über die beabsichtigte Hinzuziehung oder Ersetzung eines Unterauftragsverarbeiters. Der Verantwortliche kann aus wichtigem datenschutzrechtlichem Grund widersprechen; kommt keine Einigung zustande, können beide Seiten den Hauptvertrag zum Zeitpunkt der Änderung kündigen.

(3) Der Auftragsverarbeiter erlegt Unterauftragsverarbeitern dieselben Datenschutzpflichten auf, die dieser Vertrag ihm auferlegt (Art. 28 Abs. 4 DSGVO).

§ 6 Unterstützung des Verantwortlichen

(1) Der Auftragsverarbeiter unterstützt den Verantwortlichen mit geeigneten Maßnahmen bei der Erfüllung der Rechte betroffener Personen (Art. 12 bis 22 DSGVO). Wendet sich eine betroffene Person an ihn, leitet er die Anfrage unverzüglich weiter.

(2) Er unterstützt den Verantwortlichen unter Berücksichtigung der Art der Verarbeitung und der ihm zur Verfügung stehenden Informationen bei den Pflichten nach Art. 32 bis 36 DSGVO.

§ 7 Meldung von Verletzungen

Der Auftragsverarbeiter meldet dem Verantwortlichen eine Verletzung des Schutzes personenbezogener Daten unverzüglich, spätestens innerhalb von 24 Stunden nach Kenntnis, mit den Angaben nach Art. 33 Abs. 3 DSGVO, soweit sie ihm vorliegen.

§ 8 Ort der Verarbeitung

Die Verarbeitung findet ausschließlich in Deutschland statt. Eine Verlagerung in andere Staaten bedarf der vorherigen Zustimmung des Verantwortlichen in Textform; eine Verlagerung in Staaten außerhalb der EU und des EWR zusätzlich der Voraussetzungen der Art. 44 ff. DSGVO.

§ 9 Löschung und Rückgabe

(1) Nach Ende der Leistungen löscht der Auftragsverarbeiter alle personenbezogenen Daten aus dem Betrieb der Kundenfassung oder gibt sie nach Wahl des Verantwortlichen zurück, sofern keine Pflicht zur Speicherung besteht (Art. 28 Abs. 3 lit. g DSGVO).

(2) Unabhängig davon werden Zugriffsprotokolle nach spätestens 14 Tagen gelöscht; sie werden nicht in Sicherungen übernommen. Anfragen (Paket Kundengewinnung) speichert der Auftragsverarbeiter nicht: Sie werden im Arbeitsspeicher geprüft und sofort per E-Mail an den Verantwortlichen zugestellt. Kann eine Anfrage nicht zugestellt werden, erhält der Besucher eine Fehlermeldung; Unzustellbarkeitsmeldungen des Mailservers im Absenderpostfach werden spätestens nach 30 Tagen gelöscht.

§ 10 Nachweise und Kontrollen

(1) Der Auftragsverarbeiter stellt dem Verantwortlichen alle erforderlichen Informationen zum Nachweis der Pflichten aus Art. 28 DSGVO zur Verfügung (Art. 28 Abs. 3 lit. h DSGVO).

(2) Er ermöglicht Überprüfungen durch den Verantwortlichen oder einen von diesem beauftragten, zur Verschwiegenheit verpflichteten Prüfer nach Anmeldung mit angemessener Frist, in der Regel während der Geschäftszeiten und ohne Störung des Betriebs. Den dadurch entstehenden Aufwand kann er angemessen in Rechnung stellen, es sei denn, die Prüfung ergibt einen Verstoß.

§ 11 Haftung und Schlussbestimmungen

(1) Für die Haftung gilt Art. 82 DSGVO; im Übrigen gelten die Regelungen des Hauptvertrags.

(2) Bei Widersprüchen geht dieser Vertrag in Fragen des Datenschutzes dem Hauptvertrag vor.

(3) Änderungen und Ergänzungen bedürfen der Textform.

Anlage 1 – Beschreibung der Verarbeitung

Anlage 2 – Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

Stand der Umsetzung am 11. Oktober 2026, geprüft am Server.

Anlage 3 – Unterauftragsverarbeiter