VERTRAG ZUR UNTERAUFTRAGSVERARBEITUNG

nach Art. 28 Abs. 4 DSGVO

Fassung 1.0, gültig ab 2026-08-18

Hinweis zur Richtung. Dieser Text wird beim Abschluss in eine Richtung gesetzt. Die Rollen

„beauftragende Partei" und „verarbeitende Partei" werden mit den konkreten Parteien ersetzt.

Fall 2: skriptura ist beauftragende Partei. Fall 3: skriptura ist verarbeitende Partei.

zwischen

[offen: beauftragende.organisation]
[offen: beauftragende.strasse]
[offen: beauftragende.plz] [offen: beauftragende.ort]
vertreten durch [offen: beauftragende.vertretung], [offen: beauftragende.funktion]
– nachfolgend „beauftragende Partei" –

und

skriptura GmbH
[offen: verarbeitende.strasse]
[offen: verarbeitende.plz] [offen: verarbeitende.ort]
vertreten durch [offen: verarbeitende.vertretung], [offen: verarbeitende.funktion]
– nachfolgend „verarbeitende Partei" –

Vorbemerkung

Die beauftragende Partei verarbeitet personenbezogene Daten als Auftragsverarbeiterin für den in Anlage 1 genannten Verantwortlichen. Sie zieht dafür die verarbeitende Partei als Unterauftragsverarbeiterin hinzu.

Dieser Vertrag regelt nur, was die DSGVO dem Vertrag überlässt. Was unmittelbar gilt, wird nicht wiederholt – insbesondere die Rechte betroffener Personen nach Kapitel III DSGVO, die Haftung nach Art. 82 DSGVO und die Befugnisse der Aufsichtsbehörden nach Art. 58 DSGVO.

1 Gegenstand und Stellung in der Kette

1.1 Die verarbeitende Partei verarbeitet personenbezogene Daten ausschließlich für die beauftragende Partei und ausschließlich zur Erfüllung der in Anlage 1 beschriebenen Leistung. Eigene Zwecke sind ausgeschlossen.

1.2 Der Verantwortliche ist in Anlage 1 namentlich benannt. Die beauftragende Partei aktualisiert diese Angabe, wenn sie sich ändert; die verarbeitende Partei benötigt sie für ihr Verzeichnis nach Art. 30 Abs. 2 DSGVO.

1.3 Die beauftragende Partei sichert zu, dass die für den Einsatz der verarbeitenden Partei erforderliche Genehmigung des Verantwortlichen vorliegt.

2 Durchreichen der Pflichten aus dem Hauptvertrag

2.1 Die verarbeitende Partei unterliegt denselben Datenschutzpflichten, die für die beauftragende Partei aus ihrem Vertrag mit dem Verantwortlichen gelten, soweit sie ihre Tätigkeit betreffen.

2.2 Die beauftragende Partei teilt diese Pflichten vor Beginn der Verarbeitung mit und informiert unverzüglich über Änderungen. Die verarbeitende Partei fragt nach, wenn ihr die Angaben zur Beurteilung ihrer Pflichten nicht ausreichen.

2.3 Sind die mitgeteilten Pflichten strenger als dieser Vertrag, gehen sie vor. Kann die verarbeitende Partei eine Pflicht nicht oder nicht rechtzeitig erfüllen, teilt sie dies unverzüglich mit, bevor sie die betroffene Leistung beginnt.

3 Weisungen

3.1 Die verarbeitende Partei verarbeitet die Daten nur auf dokumentierte Weisung der beauftragenden Partei. Weisungen des Verantwortlichen werden über die beauftragende Partei weitergegeben.

3.2 Eine unmittelbare Weisung des Verantwortlichen ist nur verbindlich, wenn die beauftragende Partei sie zugelassen oder bestätigt hat.

3.3 Hält die verarbeitende Partei eine Weisung für rechtswidrig, teilt sie dies unverzüglich mit und darf die Ausführung bis zur Klärung aussetzen.

4 Vertraulichkeit

Die verarbeitende Partei setzt nur Personen ein, die zur Vertraulichkeit verpflichtet sind oder einer gesetzlichen Verschwiegenheitspflicht unterliegen und die vor dem ersten Zugriff zum Datenschutz unterwiesen wurden. Selbstständige Personen mit Zugriff gelten als weitere Unterauftragsverarbeiter nach Ziffer 6.

5 Sicherheit der Verarbeitung

Die verarbeitende Partei trifft die in Anlage 2 beschriebenen technischen und organisatorischen Maßnahmen. Einzelne Maßnahmen dürfen durch gleichwertige oder bessere ersetzt werden; das Schutzniveau darf dabei nicht sinken. Wesentliche Änderungen teilt sie vorher mit.

6 Weitere Unterauftragsverarbeiter

6.1 Die beauftragende Partei genehmigt die in Anlage 3 aufgeführten weiteren Unterauftragsverarbeiter der verarbeitenden Partei.

6.2 Einen weiteren Unterauftragsverarbeiter oder dessen Austausch teilt die verarbeitende Partei so rechtzeitig mit, dass die beauftragende Partei ihre eigenen Informations- und Widerspruchsfristen gegenüber dem Verantwortlichen einhalten kann, mindestens jedoch acht Wochen vorher. Die Mitteilung nennt Name, Anschrift, Leistung, Verarbeitungsort und – bei Verarbeitung außerhalb der EU und des EWR – die Übermittlungsgrundlage.

6.3 Die beauftragende Partei kann aus datenschutzrechtlichem Grund widersprechen. Bis zur Klärung verarbeitet der beanstandete Unterauftragsverarbeiter keine Daten aus diesem Vertrag. Kommt keine Einigung zustande, kann jede Partei den betroffenen Leistungsteil kündigen.

6.4 Die verarbeitende Partei verpflichtet jeden weiteren Unterauftragsverarbeiter vorab auf dieselben Datenschutzpflichten, die sich aus diesem Vertrag und aus Ziffer 2.1 ergeben, und bleibt für dessen Einhaltung verantwortlich.

7 Unterstützung

7.1 Wendet sich eine betroffene Person unmittelbar an die verarbeitende Partei, beantwortet sie das Anliegen nicht selbst, sondern leitet es innerhalb eines Arbeitstags an die beauftragende Partei weiter.

7.2 Die verarbeitende Partei unterstützt bei den Pflichten nach Art. 32 bis 36 DSGVO sowie bei Anfragen des Verantwortlichen und von Aufsichtsbehörden, soweit die dafür erforderlichen Angaben nur ihr vorliegen.

8 Verletzungen des Schutzes personenbezogener Daten

Die verarbeitende Partei meldet jede Verletzung unverzüglich, spätestens innerhalb von 24 Stunden ab Kenntnis einer der in Anlage 4 genannten Stellen, an den Meldekanal der beauftragenden Partei. Sieht der Vertrag der beauftragenden Partei mit dem Verantwortlichen eine kürzere Frist vor, gilt diese, sobald sie nach Ziffer 2.2 mitgeteilt wurde. Die Meldung enthält, was zu diesem Zeitpunkt bekannt ist; Fehlendes wird ohne weitere Aufforderung nachgereicht. Relevante Protokolle werden gesichert.

9 Nachweise und Kontrollen

9.1 Die verarbeitende Partei stellt die Angaben zur Verfügung, die zum Nachweis der Einhaltung dieses Vertrags erforderlich sind, erforderlichenfalls auch zu ihren weiteren Unterauftragsverarbeitern.

9.2 Die beauftragende Partei, der Verantwortliche oder ein beauftragter, zur Vertraulichkeit verpflichteter Prüfer kann die Einhaltung überprüfen. Prüfungen werden mindestens zwei Wochen vorher angekündigt und auf das Erforderliche beschränkt. Nach einer erheblichen Verletzung oder auf Verlangen einer Aufsichtsbehörde entfällt die Ankündigungsfrist.

10 Löschung und Rückgabe

Nach Ende der Leistung gibt die verarbeitende Partei die Daten nach Wahl der beauftragenden Partei zurück oder löscht sie, einschließlich vorhandener Kopien. Beruht die Wahl auf einer Entscheidung des Verantwortlichen, wird diese umgesetzt. Ohne Mitteilung innerhalb von vier Wochen nach Ende der Leistung wird gelöscht. Gesetzliche Aufbewahrungspflichten bleiben unberührt; die davon erfassten Daten werden bis zum Ablauf der Frist in der Verarbeitung eingeschränkt. Sicherungskopien werden mit dem regulären Sicherungszyklus überschrieben und bis dahin nicht produktiv genutzt. Die Löschung wird auf Verlangen in Textform bestätigt.

11 Verarbeitung außerhalb der EU und des EWR

Eine Verarbeitung außerhalb der EU und des EWR findet nur statt, soweit sie in Anlage 1 oder Anlage 3 vorgesehen ist oder angewiesen wurde, und nur auf einer Grundlage nach Kapitel V DSGVO. Die verarbeitende Partei entscheidet darüber nicht selbst. Entfällt die Grundlage, wird die betroffene Übermittlung ausgesetzt und dies unverzüglich mitgeteilt.

12 Schlussbestimmungen

12.1 Dieser Vertrag gilt, solange die verarbeitende Partei Daten aus diesem Auftrag verarbeitet, und endet mit deren Rückgabe oder Löschung.

12.2 Änderungen bedürfen der Textform. Die Anlagen werden nach dem in Ziffer 5 und Ziffer 6.2 vorgesehenen Verfahren fortgeschrieben.

12.3 Bei Widersprüchen gehen zwingende gesetzliche Vorgaben vor, danach die nach Ziffer 2 mitgeteilten Pflichten aus dem Hauptvertrag, danach dieser Vertrag, danach der zugrunde liegende Leistungsvertrag.

12.4 Es gilt deutsches Recht.

Anlage 1 – Verarbeitung und Kette

Anlage 2 – Technische und organisatorische Maßnahmen der verarbeitenden Partei

[offen: anlage2]

Anlage 3 – Weitere Unterauftragsverarbeiter der verarbeitenden Partei

[offen: anlage3.zeilen]

Anlage 4 – Kontakte

Angenommen am — noch nicht abgeschlossen — durch [offen: annahme.person] ([offen: annahme.funktion]), bestätigt über —.
Diese Fassung entspricht dem Wortlaut, der bei der Annahme angezeigt wurde.