Auftragsverarbeitungsvertrag nach Art. 28 DSGVO
Muster / Vorlage · Stand Juli 2026
zwischen
§ 1 Gegenstand, Art und Dauer
Der Auftragnehmer stellt dem Verantwortlichen die Software BCases bereit und erbringt Wartungs- und Supportleistungen. Im Rahmen von Fehlerbehebung und Fernwartung kann der Auftragnehmer Zugriff auf personenbezogene Daten erhalten, die der Verantwortliche mit BCases verarbeitet. Diese Verarbeitung erfolgt ausschließlich im Auftrag und nach Weisung des Verantwortlichen (Art. 28 DSGVO). Die Software wird im Regelfall On-Premise beim Verantwortlichen betrieben; ein dauerhafter Zugriff des Auftragnehmers besteht nicht.
Die Dauer dieser Vereinbarung entspricht der Laufzeit des zugrunde liegenden Haupt- bzw. Wartungsvertrags. Gegenstand, Art und Zweck der Verarbeitung, die Art der Daten und die Kreise der betroffenen Personen sind in Anlage 1 beschrieben.
§ 2 Weisungsrecht des Verantwortlichen
Der Auftragnehmer verarbeitet personenbezogene Daten ausschließlich im Rahmen der getroffenen Vereinbarungen und nach dokumentierten Weisungen des Verantwortlichen. Hält der Auftragnehmer eine Weisung für rechtswidrig, teilt er dies dem Verantwortlichen mit. Weisungen können mündlich erteilt und sind unverzüglich schriftlich oder in Textform zu bestätigen.
§ 3 Pflichten des Auftragnehmers
- Der Auftragnehmer verpflichtet die mit der Verarbeitung befassten Personen auf Vertraulichkeit und macht sie mit den einschlägigen Datenschutzbestimmungen vertraut. Auf die Schweigepflicht nach § 203 StGB wird hingewiesen.
- Der Auftragnehmer trifft geeignete technische und organisatorische Maßnahmen (Art. 32 DSGVO); diese sind in Anlage 2 beschrieben.
- Der Auftragnehmer unterstützt den Verantwortlichen bei der Erfüllung der Rechte betroffener Personen (Art. 12 bis 22 DSGVO) sowie bei Datenschutz-Folgenabschätzungen und der Sicherheit der Verarbeitung, soweit dies erforderlich und dem Auftragnehmer möglich ist.
- Der Auftragnehmer meldet dem Verantwortlichen unverzüglich Verletzungen des Schutzes personenbezogener Daten (Art. 33 und 34 DSGVO), die die verarbeiteten Daten betreffen.
- Erforderlichenfalls benennt der Auftragnehmer eine für den Datenschutz zuständige Person und teilt deren Kontaktdaten mit.
§ 4 Unterauftragsverhältnisse
Der Auftragnehmer darf weitere Auftragsverarbeiter (Unterauftragnehmer) nur mit vorheriger Zustimmung des Verantwortlichen und unter Weitergabe der hier vereinbarten Pflichten einsetzen. Bei On-Premise-Betrieb ohne Datenhaltung durch den Auftragnehmer sind in der Regel keine Unterauftragnehmer beteiligt. Etwaige Unterauftragnehmer sind in Anlage 1 aufzuführen.
§ 5 Kontroll- und Nachweisrechte
Der Auftragnehmer weist die Einhaltung der Pflichten aus dieser Vereinbarung auf Anforderung nach, etwa durch geeignete Dokumentation. Der Verantwortliche ist berechtigt, sich von der Einhaltung der technischen und organisatorischen Maßnahmen zu überzeugen; Kontrollen sind mit angemessener Ankündigung und ohne Störung des Betriebsablaufs durchzuführen.
§ 6 Löschung und Rückgabe
Nach Abschluss der Leistungen löscht der Auftragnehmer alle im Rahmen des Auftrags erlangten personenbezogenen Daten oder gibt sie nach Wahl des Verantwortlichen zurück, sofern keine gesetzliche Aufbewahrungspflicht besteht. Bei reinem On-Premise-Betrieb verbleiben die Daten beim Verantwortlichen.
§ 7 Haftung und Schlussbestimmungen
Es gelten die Haftungsregelungen des Haupt- bzw. Wartungsvertrags sowie die gesetzlichen Bestimmungen. Änderungen und Ergänzungen bedürfen der Schrift- oder Textform. Sollte eine Bestimmung unwirksam sein, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt. Zuständige Aufsicht ist die zuständige Datenschutz-Aufsichtsbehörde.
Anlage 1 — Beschreibung der Verarbeitung
| Zweck | Wartung, Fehlerbehebung und Support der Software BCases |
| Art der Verarbeitung | Einsicht/Zugriff im Rahmen von Fernwartung und Support; keine dauerhafte Speicherung beim Auftragnehmer |
| Art der Daten | Klienten- und Falldaten (Stammdaten, Termine, Dokumentation), einschließlich besonderer Kategorien (Gesundheits-/Sozialdaten); Mitarbeitendendaten |
| Kreis der Betroffenen | Klientinnen und Klienten der Beratungsstelle sowie deren Angehörige; Mitarbeitende |
| Unterauftragnehmer | [keine / Auflistung mit Sitz] |
Anlage 2 — Technische und organisatorische Maßnahmen (Auftragnehmer)
- Zugriff auf Kundendaten nur anlassbezogen und nur, soweit für Support/Fehlerbehebung erforderlich;
- Verpflichtung der Beschäftigten auf Vertraulichkeit und Verschwiegenheit;
- ausschließlich verschlüsselte Verbindungen bei Fernwartung; keine unnötigen Kopien;
- Nachvollziehbarkeit von Zugriffen; Löschung überlassener Daten nach Abschluss;
- der laufende Betrieb der Software erfolgt beim Verantwortlichen mit Rollen, Protokollierung und Verschlüsselung (siehe Produktbeschreibung BCases).
Muster ohne Gewähr. Diese Vorlage ersetzt keine Rechtsberatung; Inhalt und Vollständigkeit sind vor Verwendung juristisch zu prüfen und an den Einzelfall anzupassen.