VERTRAG ZUR AUFTRAGSVERARBEITUNG

nach Art. 28 DSGVO

Fassung 1.0, gültig ab 2026-08-18

zwischen

[offen: auftraggeber.organisation]
[offen: auftraggeber.strasse]
[offen: auftraggeber.plz] [offen: auftraggeber.ort]
vertreten durch [offen: auftraggeber.vertretung], [offen: auftraggeber.funktion]
– nachfolgend „Verantwortlicher" –

und

skriptura GmbH
[offen: skriptura.strasse]
[offen: skriptura.plz] [offen: skriptura.ort]
– nachfolgend „skriptura" –

Vorbemerkung

Dieser Vertrag regelt nur, was die DSGVO dem Vertrag überlässt. Was unmittelbar gilt, wird nicht wiederholt – insbesondere die Rechte betroffener Personen nach Kapitel III DSGVO, die Haftung nach Art. 82 DSGVO und die Befugnisse der Aufsichtsbehörden nach Art. 58 DSGVO. Diese Regelungen gelten unabhängig von diesem Vertrag und werden durch ihn weder eingeschränkt noch erweitert.

1 Gegenstand

skriptura verarbeitet personenbezogene Daten für den Verantwortlichen. Gegenstand, Art, Zweck und Dauer der Verarbeitung, die Arten personenbezogener Daten und die Kategorien betroffener Personen ergeben sich aus Anlage 1. Die Anlagen sind Bestandteil dieses Vertrags.

2 Weisungen

2.1 skriptura verarbeitet die Daten nur auf dokumentierte Weisung des Verantwortlichen. Als dokumentiert gelten auch Weisungen per E-Mail an die in Anlage 4 genannte Adresse sowie über vereinbarte Ticket- oder Projektsysteme.

2.2 Weisungsberechtigt sind die in Anlage 4 genannten Personen. Änderungen teilt der Verantwortliche in Textform mit.

2.3 Hält skriptura eine Weisung für rechtswidrig, teilt sie dies unverzüglich mit und darf die Ausführung bis zur Klärung aussetzen.

3 Vertraulichkeit

skriptura setzt nur Personen ein, die zur Vertraulichkeit verpflichtet sind oder einer gesetzlichen Verschwiegenheitspflicht unterliegen und die vor dem ersten Zugriff zum Datenschutz unterwiesen wurden.

4 Sicherheit der Verarbeitung

skriptura trifft die in Anlage 2 beschriebenen technischen und organisatorischen Maßnahmen. Einzelne Maßnahmen dürfen durch gleichwertige oder bessere ersetzt werden; das Schutzniveau darf dabei nicht sinken. Wesentliche Änderungen teilt skriptura vorher mit.

5 Unterauftragsverarbeiter

5.1 Der Verantwortliche genehmigt die in Anlage 3 aufgeführten Unterauftragsverarbeiter.

5.2 Einen weiteren Unterauftragsverarbeiter oder dessen Austausch teilt skriptura mindestens sechs Wochen vorher mit, unter Angabe von Name, Anschrift, Leistung, Verarbeitungsort und – bei Verarbeitung außerhalb der EU und des EWR – der Übermittlungsgrundlage.

5.3 Der Verantwortliche kann innerhalb von vier Wochen aus datenschutzrechtlichem Grund widersprechen. Bis zur Klärung verarbeitet der beanstandete Unterauftragsverarbeiter keine Daten aus diesem Vertrag. Kommt keine Einigung zustande, kann jede Partei den betroffenen Leistungsteil kündigen.

5.4 skriptura verpflichtet jeden Unterauftragsverarbeiter vorab auf dieselben Datenschutzpflichten, die sich aus diesem Vertrag ergeben, und bleibt für dessen Einhaltung verantwortlich.

6 Unterstützung

6.1 Wendet sich eine betroffene Person unmittelbar an skriptura, beantwortet skriptura das Anliegen nicht selbst, sondern leitet es innerhalb eines Arbeitstags an den Verantwortlichen weiter.

6.2 skriptura unterstützt den Verantwortlichen bei dessen Pflichten nach Art. 32 bis 36 DSGVO und bei Anfragen von Aufsichtsbehörden, soweit die dafür erforderlichen Angaben nur skriptura vorliegen.

7 Verletzungen des Schutzes personenbezogener Daten

skriptura meldet jede Verletzung unverzüglich, spätestens innerhalb von 24 Stunden ab Kenntnis einer der in Anlage 4 genannten Stellen, an den Meldekanal des Verantwortlichen. Die Meldung enthält, was zu diesem Zeitpunkt bekannt ist; Fehlendes wird ohne weitere Aufforderung nachgereicht. Relevante Protokolle werden gesichert.

8 Nachweise und Kontrollen

8.1 skriptura stellt dem Verantwortlichen die Angaben zur Verfügung, die er zum Nachweis der Einhaltung dieses Vertrags benötigt.

8.2 Der Verantwortliche oder ein von ihm beauftragter, zur Vertraulichkeit verpflichteter Prüfer kann die Einhaltung überprüfen. Prüfungen werden mindestens zwei Wochen vorher angekündigt und auf das Erforderliche beschränkt. Nach einer erheblichen Verletzung oder auf Verlangen einer Aufsichtsbehörde entfällt die Ankündigungsfrist.

9 Löschung und Rückgabe

Nach Ende der Leistung gibt skriptura die Daten nach Wahl des Verantwortlichen zurück oder löscht sie, einschließlich vorhandener Kopien. Der Verantwortliche teilt seine Wahl innerhalb von vier Wochen nach Ende der Leistung mit; ohne Mitteilung wird gelöscht. Gesetzliche Aufbewahrungspflichten bleiben unberührt; die davon erfassten Daten werden bis zum Ablauf der Frist in der Verarbeitung eingeschränkt. Sicherungskopien werden mit dem regulären Sicherungszyklus überschrieben und bis dahin nicht produktiv genutzt. Die Löschung wird auf Verlangen in Textform bestätigt.

10 Verarbeitung außerhalb der EU und des EWR

Eine Verarbeitung außerhalb der EU und des EWR findet nur statt, soweit sie in Anlage 1 oder Anlage 3 vorgesehen ist oder der Verantwortliche sie angewiesen hat, und nur auf einer Grundlage nach Kapitel V DSGVO. Entfällt die Grundlage, setzt skriptura die betroffene Übermittlung aus und teilt dies unverzüglich mit.

11 Schlussbestimmungen

11.1 Dieser Vertrag gilt, solange skriptura Daten des Verantwortlichen verarbeitet, und endet mit deren Rückgabe oder Löschung.

11.2 Änderungen bedürfen der Textform. Die Anlagen werden nach dem in Ziffer 4 und Ziffer 5.2 vorgesehenen Verfahren fortgeschrieben.

11.3 Bei Widersprüchen gehen zwingende gesetzliche Vorgaben vor, danach dieser Vertrag, danach der zugrunde liegende Leistungsvertrag.

11.4 Es gilt deutsches Recht.

Anlage 1 – Verarbeitung

Anlage 2 – Technische und organisatorische Maßnahmen

[offen: anlage2]

Anlage 3 – Unterauftragsverarbeiter

[offen: anlage3.zeilen]

Anlage 4 – Kontakte

Angenommen am — noch nicht abgeschlossen — durch [offen: auftraggeber.vertretung] ([offen: auftraggeber.funktion]), bestätigt über —.
Diese Fassung entspricht dem Wortlaut, der bei der Annahme angezeigt wurde.