VERTRAG ZUR AUFTRAGSVERARBEITUNG

nach Art. 28 DSGVO

Fassung 1.0, gültig ab 2026-08-18

zwischen

[offen: auftraggeber.organisation]
[offen: auftraggeber.strasse]
[offen: auftraggeber.plz] [offen: auftraggeber.ort]
vertreten durch [offen: auftraggeber.vertretung], [offen: auftraggeber.funktion]
– nachfolgend „Verantwortlicher" –

und

skriptura GmbH
Wohlenbergstraße 6
30179 Hannover
– nachfolgend „skriptura" –

Vorbemerkung

Dieser Vertrag regelt nur, was die DSGVO dem Vertrag überlässt. Was unmittelbar gilt, wird nicht wiederholt – insbesondere die Rechte betroffener Personen nach Kapitel III DSGVO, die Haftung nach Art. 82 DSGVO und die Befugnisse der Aufsichtsbehörden nach Art. 58 DSGVO. Diese Regelungen gelten unabhängig von diesem Vertrag und werden durch ihn weder eingeschränkt noch erweitert.

1 Gegenstand

skriptura verarbeitet personenbezogene Daten für den Verantwortlichen. Gegenstand, Art, Zweck und Dauer der Verarbeitung, die Arten personenbezogener Daten und die Kategorien betroffener Personen ergeben sich aus Anlage 1. Die Anlagen sind Bestandteil dieses Vertrags.

2 Weisungen

2.1 skriptura verarbeitet die Daten nur auf dokumentierte Weisung des Verantwortlichen. Als dokumentiert gelten auch Weisungen per E-Mail an die in Anlage 4 genannte Adresse sowie über vereinbarte Ticket- oder Projektsysteme.

2.2 Weisungsberechtigt sind die in Anlage 4 genannten Personen. Änderungen teilt der Verantwortliche in Textform mit.

2.3 Hält skriptura eine Weisung für rechtswidrig, teilt sie dies unverzüglich mit und darf die Ausführung bis zur Klärung aussetzen.

3 Vertraulichkeit

skriptura setzt nur Personen ein, die zur Vertraulichkeit verpflichtet sind oder einer gesetzlichen Verschwiegenheitspflicht unterliegen und die vor dem ersten Zugriff zum Datenschutz unterwiesen wurden.

4 Sicherheit der Verarbeitung

skriptura trifft die in Anlage 2 beschriebenen technischen und organisatorischen Maßnahmen. Einzelne Maßnahmen dürfen durch gleichwertige oder bessere ersetzt werden; das Schutzniveau darf dabei nicht sinken. Wesentliche Änderungen teilt skriptura vorher mit.

5 Unterauftragsverarbeiter

5.1 Der Verantwortliche genehmigt die in Anlage 3 aufgeführten Unterauftragsverarbeiter.

5.2 Einen weiteren Unterauftragsverarbeiter oder dessen Austausch teilt skriptura mindestens sechs Wochen vorher mit, unter Angabe von Name, Anschrift, Leistung, Verarbeitungsort und – bei Verarbeitung außerhalb der EU und des EWR – der Übermittlungsgrundlage.

5.3 Der Verantwortliche kann innerhalb von vier Wochen aus datenschutzrechtlichem Grund widersprechen. Bis zur Klärung verarbeitet der beanstandete Unterauftragsverarbeiter keine Daten aus diesem Vertrag. Kommt keine Einigung zustande, kann jede Partei den betroffenen Leistungsteil kündigen.

5.4 skriptura verpflichtet jeden Unterauftragsverarbeiter vorab auf dieselben Datenschutzpflichten, die sich aus diesem Vertrag ergeben, und bleibt für dessen Einhaltung verantwortlich.

6 Unterstützung

6.1 Wendet sich eine betroffene Person unmittelbar an skriptura, beantwortet skriptura das Anliegen nicht selbst, sondern leitet es innerhalb eines Arbeitstags an den Verantwortlichen weiter.

6.2 skriptura unterstützt den Verantwortlichen bei dessen Pflichten nach Art. 32 bis 36 DSGVO und bei Anfragen von Aufsichtsbehörden, soweit die dafür erforderlichen Angaben nur skriptura vorliegen.

7 Verletzungen des Schutzes personenbezogener Daten

skriptura meldet jede Verletzung unverzüglich, spätestens innerhalb von 24 Stunden ab Kenntnis einer der in Anlage 4 genannten Stellen, an den Meldekanal des Verantwortlichen. Die Meldung enthält, was zu diesem Zeitpunkt bekannt ist; Fehlendes wird ohne weitere Aufforderung nachgereicht. Relevante Protokolle werden gesichert.

8 Nachweise und Kontrollen

8.1 skriptura stellt dem Verantwortlichen die Angaben zur Verfügung, die er zum Nachweis der Einhaltung dieses Vertrags benötigt.

8.2 Der Verantwortliche oder ein von ihm beauftragter, zur Vertraulichkeit verpflichteter Prüfer kann die Einhaltung überprüfen. Prüfungen werden mindestens zwei Wochen vorher angekündigt und auf das Erforderliche beschränkt. Nach einer erheblichen Verletzung oder auf Verlangen einer Aufsichtsbehörde entfällt die Ankündigungsfrist.

9 Löschung und Rückgabe

Nach Ende der Leistung gibt skriptura die Daten nach Wahl des Verantwortlichen zurück oder löscht sie, einschließlich vorhandener Kopien. Der Verantwortliche teilt seine Wahl innerhalb von vier Wochen nach Ende der Leistung mit; ohne Mitteilung wird gelöscht. Gesetzliche Aufbewahrungspflichten bleiben unberührt; die davon erfassten Daten werden bis zum Ablauf der Frist in der Verarbeitung eingeschränkt. Sicherungskopien werden mit dem regulären Sicherungszyklus überschrieben und bis dahin nicht produktiv genutzt. Die Löschung wird auf Verlangen in Textform bestätigt.

10 Verarbeitung außerhalb der EU und des EWR

Eine Verarbeitung außerhalb der EU und des EWR findet nur statt, soweit sie in Anlage 1 oder Anlage 3 vorgesehen ist oder der Verantwortliche sie angewiesen hat, und nur auf einer Grundlage nach Kapitel V DSGVO. Entfällt die Grundlage, setzt skriptura die betroffene Übermittlung aus und teilt dies unverzüglich mit.

11 Schlussbestimmungen

11.1 Dieser Vertrag gilt, solange skriptura Daten des Verantwortlichen verarbeitet, und endet mit deren Rückgabe oder Löschung.

11.2 Änderungen bedürfen der Textform. Die Anlagen werden nach dem in Ziffer 4 und Ziffer 5.2 vorgesehenen Verfahren fortgeschrieben.

11.3 Bei Widersprüchen gehen zwingende gesetzliche Vorgaben vor, danach dieser Vertrag, danach der zugrunde liegende Leistungsvertrag.

11.4 Es gilt deutsches Recht.

Anlage 1 – Verarbeitung

Anlage 2 – Technische und organisatorische Maßnahmen

Technische und organisatorische Maßnahmen
Die nachfolgenden Maßnahmen konkretisieren das nach Art. 32 DSGVO geschuldete, dem Risiko angemessene Schutzniveau. Sie gelten für die vom jeweiligen Auftrag erfassten Verarbeitungsvorgänge und Systeme.
1. Vertraulichkeit
1.1 Zutrittskontrolle (Art. 32 Abs. 1 Buchst. b DSGVO)
Maßnahmen, die Unbefugten den physischen Zutritt zu Anlagen verwehren, in denen personenbezogene Daten verarbeitet werden.
• Unterteilung der Bereiche in verschiedene Sicherheitsbereiche
• Sicherung der Zugänge gegen unbefugten Zutritt
• Zugangsauthentisierung und geregelte Schlüsselvergabe
• Einsatz von Sicherheitsschlössern
• Besucherregelung durch Begleitung oder Verschwiegenheitserklärung
• Sicherheits- und Wachdienst nachts und am Wochenende
1.2 Zugangskontrolle (Art. 32 Abs. 1 Buchst. b DSGVO)
Maßnahmen, die eine unbefugte Nutzung von Datenverarbeitungssystemen verhindern.
• Zugangsschutz zu allen IT-Systemen durch Benutzerauthentisierung
• Verbindliche Passwortkonventionen
• Authentisierung mit Benutzername und Passwort
• Zuordnung individueller Benutzerrechte und Benutzerprofile
• Sperrung externer Schnittstellen (z. B. USB), soweit erforderlich
• Einsatz von Anti-Viren-Software
• Einsatz von Hard- und Software-Firewalls
• Verschlüsselung im E-Mail-Verkehr sowie bei Datenübertragungen über Partner-Login oder Cloudlösung
1.3 Zugriffskontrolle (Art. 32 Abs. 1 Buchst. b DSGVO)
Maßnahmen, die den Zugriff Berechtigter auf die ihnen zugeordneten Daten begrenzen und unbefugtes Lesen, Kopieren, Verändern oder Entfernen verhindern.
• Beschränkung der Anzahl der Administratoren auf das erforderliche Mindestmaß
• Regelungen und Verfahren zum Anlegen, Ändern und Löschen von Berechtigungsprofilen
• Dokumentierter Prozess zur Beantragung, Genehmigung, Vergabe und Rückgabe von Zugriffsberechtigungen
• Protokollierung von Anwendungszugriffen, insbesondere bei Eingabe, Änderung und Löschung von Daten
• Einsatz von Aktenvernichtern
• Sichere Aufbewahrung von Datenträgern
• Ordnungsgemäße Vernichtung von Datenträgern
1.4 Trennungskontrolle (Art. 32 Abs. 1 Buchst. b DSGVO)
Maßnahmen, die die getrennte Verarbeitung von zu unterschiedlichen Zwecken erhobenen Daten gewährleisten.
• Trennung von Produktiv-, Entwicklungs- und Testsystemen
• Erhebung, Speicherung und Verarbeitung nur solcher Daten, die dem jeweiligen Zweck unmittelbar dienen
• Physisch getrennte Speicherung auf gesonderten Systemen, Datenträgern oder in getrennten Verzeichnissen
• Technische und organisatorische Regelungen zur Sicherstellung der getrennten Verarbeitung
1.5 Pseudonymisierung (Art. 32 Abs. 1 Buchst. a und Art. 25 Abs. 1 DSGVO)
Verarbeitung in einer Weise, dass Daten ohne gesondert aufbewahrte Zusatzinformationen keiner bestimmten Person zugeordnet werden können.
Status: Derzeit nicht eingesetzt.
2. Integrität
2.1 Übertragungs- und Weitergabekontrolle (Art. 32 Abs. 1 Buchst. b DSGVO)
Maßnahmen zum Schutz personenbezogener Daten bei elektronischer Übertragung, Transport und Speicherung auf Datenträgern sowie zur Nachvollziehbarkeit vorgesehener Empfänger.
• Protokollierung von Übertragungen und Weitergaben
• Dokumentierte Festlegung der zulässigen Übermittlungen und Unterrichtung der betroffenen Beschäftigten
• Schutz der Verbindungen zu Backend-Systemen
• Verfahrensregelung für den Einsatz von Datenträgern
• Datenträgerverwaltung mit regelmäßigen Bestandskontrollen
• Regelungen zur datenschutzkonformen Vernichtung von Datenträgern
• Dokumentation der Datenträgervernichtung
• Einsatz dem Stand der Technik entsprechender Verschlüsselungsverfahren bei Übertragungen
2.2 Eingabekontrolle (Art. 32 Abs. 1 Buchst. b DSGVO)
Maßnahmen, die nachträglich erkennen lassen, ob und von wem personenbezogene Daten eingegeben, verändert oder entfernt wurden.
• Nachvollziehbarkeit von Eingabe, Änderung und Löschung durch individuelle Benutzerkennungen und Protokollierung
• Dokumentation der Eingabeberechtigungen
3. Verfügbarkeit und Belastbarkeit
3.1 Verfügbarkeits- und Wiederherstellungskontrolle (Art. 32 Abs. 1 Buchst. b und c DSGVO)
• Maßnahmen zum Schutz personenbezogener Daten vor zufälliger Zerstörung oder Verlust und zur Wiederherstellung ihrer Verfügbarkeit.
• Dokumentiertes Backup-Konzept
• Benennung verantwortlicher Personen und ihrer Vertretungen
• Unterbrechungsfreie Stromversorgung (USV)
• Überwachung von Temperatur und Luftfeuchtigkeit in Betriebsräumen
• Lagerung von Datensicherungen in feuer- und wassergeschützten Sicherheitsschränken beziehungsweise zusätzlich an einem externen Standort
4. Regelmäßige Überprüfung, Bewertung und Evaluierung
4.1 Kontroll- und Verbesserungsverfahren (Art. 32 Abs. 1 Buchst. d und Art. 25 Abs. 1 DSGVO)
Maßnahmen zur regelmäßigen Prüfung der Wirksamkeit der Schutzmaßnahmen und zur weisungsgebundenen Durchführung der Auftragsverarbeitung.
• Datenschutzmanagement
• Vorfallsreaktionsplan
• Datenschutzfreundliche Voreinstellungen gemäß Art. 25 Abs. 2 DSGVO
• Eindeutige Vertragsgestaltung und formalisiertes Auftragsmanagement
• Sorgfältige Auswahl eingesetzter Dienstleister sowie angemessene Vorab- und Nachkontrollen

Anlage 3 – Unterauftragsverarbeiter

Kießling Werbung GmbH & Co. KG
Baumgart – die Print Agentur
30916 Isernhagen (HB)
Tel. 0511 – 4581211
E-Mail info@print-agentur.de

Anlage 4 – Kontakte

Angenommen am — noch nicht abgeschlossen — durch [offen: auftraggeber.vertretung] ([offen: auftraggeber.funktion]), bestätigt über —.
Diese Fassung entspricht dem Wortlaut, der bei der Annahme angezeigt wurde.