Vertrag über die Verarbeitung personenbezogener Daten im Auftrag (Art. 28 DSGVO)

Stand: 2026-09-18 · Entwurf, juristisch zu prüfen

zwischen

dem Kunden — der Organisation, die den Dienst nutzt, im Folgenden Verantwortlicher —

und

⟨Firma des Betreibers, Anschrift, vertreten durch⟩ — im Folgenden Auftragsverarbeiter —

Dieser Vertrag kommt mit der Zustimmung durch eine vertretungsberechtigte Person des Verantwortlichen zustande. Zeitpunkt, Fassung und zustimmende Person werden vom Dienst nachweisbar festgehalten.

1. Gegenstand und Dauer

(1) Gegenstand ist die Verarbeitung personenbezogener Daten, die der Auftragsverarbeiter im Rahmen des Dienstes Qualifikat für den Verantwortlichen erbringt. Der Dienst verwaltet Qualifikationen von Personen und deren Lebenszyklus: Anforderungen, Schulungen, Prüfungen, Nachweise, Fortbildung und Wiederholung.

(2) Die Verarbeitung dauert so lange, wie der Nutzungsvertrag besteht. Sie endet mit dessen Beendigung; es gilt Ziffer 10.

2. Art, Zweck und Umfang der Verarbeitung

Die Verarbeitung erfolgt ausschließlich zur Erbringung des Dienstes und umfasst: Erfassen, Speichern, Anzeigen, Auswerten, Exportieren, Versenden von Benachrichtigungen sowie Löschen und Anonymisieren. Eine Verarbeitung zu eigenen Zwecken des Auftragsverarbeiters findet nicht statt. Der Auftragsverarbeiter wertet Kundendaten nicht aus, um das Produkt zu verbessern, und nutzt sie nicht zum Trainieren von Modellen.

3. Art der Daten und Kategorien betroffener Personen

(1) Kategorien betroffener Personen: Beschäftigte, ehrenamtlich Tätige und sonstige Angehörige der Organisation des Verantwortlichen, deren Qualifikationen verwaltet werden; Ausbilderinnen und Ausbilder; Ansprechpersonen externer Anbieter; Personen, die sich auf öffentlich ausgeschriebene Lehrgänge bewerben.

(2) Arten der Daten:

- Stammdaten: Name, Personalnummer oder vergleichbares Kennzeichen, Organisationseinheit, Funktion, Eintritts- und Austrittsdatum - Kontaktdaten: dienstliche E-Mail-Adresse, ggf. Telefonnummer - Qualifikationsdaten: Anforderungen, Nachweise, Erwerbs- und Ablaufdaten, Prüfungsergebnisse, Teilnahmen, Fortbildungsstunden, Unterweisungen, Gerätezuweisungen - Zugangsdaten: Benutzerkonto, Kennwort-Hash, Anmeldezeitpunkte, Rollen - Protokolldaten: durchgeführte Änderungen mit Zeitpunkt, handelnder Person und IP-Adresse - optional: Kostendaten zu Schulungen, sofern der Verantwortliche diese Funktion nutzt - optional: Dokumente, die der Verantwortliche hochlädt (z. B. Bescheinigungen)

(3) Besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO sind nicht vorgesehen. Der Verantwortliche stellt sicher, dass solche Daten nicht in Freitextfeldern erfasst werden, soweit dafür keine eigene Rechtsgrundlage besteht. Gesundheitsbezogene Eignungsuntersuchungen werden als Ja/Nein-Nachweis mit Ablaufdatum geführt, nicht als Befund.

4. Pflichten des Auftragsverarbeiters

(1) Der Auftragsverarbeiter verarbeitet die Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen. Die Nutzung des Dienstes durch den Verantwortlichen gilt als Weisung. Weisungen in Textform sind an ⟨Kontakt⟩ zu richten. Hält der Auftragsverarbeiter eine Weisung für rechtswidrig, teilt er dies unverzüglich mit und darf ihre Ausführung aussetzen.

(2) Der Auftragsverarbeiter verpflichtet die zur Verarbeitung befugten Personen zur Vertraulichkeit und stellt deren Unterweisung sicher.

(3) Der Auftragsverarbeiter trifft die Maßnahmen nach Art. 32 DSGVO. Sie sind in Anlage 2 (Technisch-organisatorische Maßnahmen) beschrieben und können mit dem Stand der Technik fortgeschrieben werden; das Schutzniveau darf dabei nicht unterschritten werden.

(4) Der Auftragsverarbeiter unterstützt den Verantwortlichen bei der Beantwortung von Anträgen betroffener Personen. Der Dienst stellt dafür Auskunfts-Export, Berichtigung und Anonymisierung unmittelbar im Mandanten bereit; darüber hinausgehende Unterstützung erfolgt nach Aufwand.

(5) Der Auftragsverarbeiter unterstützt den Verantwortlichen bei Datenschutz-Folgenabschätzung, vorheriger Konsultation und bei der Einhaltung der Art. 32 bis 36 DSGVO, soweit die dafür nötigen Informationen nur ihm vorliegen.

(6) Verletzungen des Schutzes personenbezogener Daten meldet der Auftragsverarbeiter dem Verantwortlichen unverzüglich, spätestens innerhalb von 24 Stunden nach Kenntnis, mit den Angaben nach Art. 33 Abs. 3 DSGVO, soweit sie ihm vorliegen.

(7) Der Auftragsverarbeiter führt ein Verzeichnis aller Kategorien von Verarbeitungstätigkeiten nach Art. 30 Abs. 2 DSGVO und stellt es dem Verantwortlichen auf Anforderung zur Verfügung.

(8) Ein Datenschutzbeauftragter ist ⟨benannt: Name, Kontakt / nicht benannt, weil die Voraussetzungen des Art. 37 DSGVO nicht vorliegen; Kontakt für Datenschutzfragen: ⟨…⟩⟩.

5. Pflichten des Verantwortlichen

(1) Der Verantwortliche ist für die Rechtmäßigkeit der Verarbeitung verantwortlich, insbesondere für die Rechtsgrundlage der von ihm erfassten Daten und für die Information der betroffenen Personen.

(2) Der Verantwortliche verwaltet die Zugänge seines Mandanten selbst: er legt Rollen fest, vergibt und entzieht Berechtigungen und stellt sicher, dass ausgeschiedene Personen keinen Zugang mehr haben.

(3) Der Verantwortliche legt Aufbewahrungsfristen im Rahmen der gesetzlichen Vorgaben fest. Der Dienst setzt sie automatisiert um.

6. Unterauftragsverarbeiter

(1) Der Verantwortliche stimmt der Beauftragung der in Anlage 1 genannten Unterauftragsverarbeiter zu.

(2) Weitere Unterauftragsverarbeiter werden dem Verantwortlichen mindestens vier Wochen vorher in Textform angekündigt. Der Verantwortliche kann innerhalb von zwei Wochen aus einem wichtigen datenschutzrechtlichen Grund widersprechen; kommt keine Einigung zustande, kann er den Nutzungsvertrag zum Wirksamwerden der Änderung kündigen.

(3) Der Auftragsverarbeiter verpflichtet Unterauftragsverarbeiter auf dieselben Pflichten, die ihn nach diesem Vertrag treffen.

7. Drittlandtransfer

Eine Verarbeitung findet ausschließlich in der Europäischen Union oder im Europäischen Wirtschaftsraum statt. Eine Übermittlung in Drittländer findet nicht statt. Soweit ein künftiger Unterauftragsverarbeiter davon abweicht, wird dies nach Ziffer 6 angekündigt und durch geeignete Garantien nach Kapitel V DSGVO abgesichert.

8. Kontrollrechte

(1) Der Verantwortliche kann sich von der Einhaltung dieses Vertrags überzeugen. Der Auftragsverarbeiter weist die Einhaltung vorrangig durch Anlage 2 und durch die Nachweise seiner Unterauftragsverarbeiter nach.

(2) Darüber hinausgehende Prüfungen vor Ort sind nach Ankündigung von mindestens vier Wochen, während der üblichen Geschäftszeiten, höchstens einmal jährlich und ohne Störung des Betriebs möglich. Der Aufwand wird nach Aufwand vergütet, es sei denn, die Prüfung deckt einen Verstoß auf.

9. Haftung

Es gilt Art. 82 DSGVO. Im Übrigen gelten die Haftungsregelungen des Nutzungsvertrags.

10. Beendigung: Rückgabe und Löschung

(1) Nach Beendigung des Nutzungsvertrags stellt der Auftragsverarbeiter dem Verantwortlichen die Daten für 30 Tage zum Export bereit.

(2) Danach löscht er die Daten des Mandanten einschließlich der Dateien im Objektspeicher. Sicherungskopien werden nach ihrem Aufbewahrungszyklus überschrieben; bis dahin bleiben sie durch die Maßnahmen nach Anlage 2 geschützt.

(3) Die Löschung wird auf Anforderung in Textform bestätigt.

---

Anlage 1 — Unterauftragsverarbeiter

Welche Zeile gilt, hängt von den gewählten Varianten ab; die letzte Spalte sagt es.

| Unternehmen | Leistung | Ort der Verarbeitung | Grundlage | gilt bei | | ---------------------------- | ----------------------------------------------------------------------------------------- | -------------------- | -------------------------------------- | ----------- | | ⟨Anbieter⟩ | Rechenzentrum, Server | ⟨Standort, Land⟩ | AVV vom ⟨Datum⟩ | Variante A2 | | ⟨Anbieter⟩ | E-Mail-Versand | ⟨Land⟩ | AVV vom ⟨Datum⟩ | Variante B2 | | Cloudflare, Inc. | Vorgeschalteter Proxy, Angriffsabwehr, TLS | USA / weltweit | AVV, EU-US Data Privacy Framework, SCC | Variante C1 | | Cloudflare, Inc. | nur DNS — kein Zugriff auf Inhalte | — | kein Auftragsverarbeiter | Variante C2 | | Stripe Payments Europe, Ltd. | Zahlungsabwicklung und Rechnungsstellung (Abrechnung des Dienstes, nicht der Kundendaten) | Irland (EU) | eigener Verantwortlicher | immer |

Anlage 2 — Technisch-organisatorische Maßnahmen

Es gilt die jeweils veröffentlichte Fassung des Dokuments Technisch-organisatorische Maßnahmen; der Verantwortliche kann sie jederzeit im Dienst einsehen.