Auftragsverarbeitung — Muster

§ 1 Wann diese Vereinbarung überhaupt gilt

Für den Regelfall des Dienstes gilt sie nicht. Der Anbieter verarbeitet die E-Mail-Adresse und die Merkmale des Betriebes, die der Kunde im Arbeitgeber-Check angibt, zu eigenen Zwecken — um zu entscheiden, welche Änderung dem Kunden gemeldet wird. Er handelt dabei nicht auf Weisung des Kunden, sondern bestimmt Zweck und Mittel selbst. In dieser Konstellation ist der Anbieter eigener Verantwortlicher im Sinne des Art. 4 Nr. 7 DSGVO; eine Auftragsverarbeitung liegt nicht vor, und es bedarf keiner Vereinbarung nach Art. 28 DSGVO. Maßgeblich ist dafür die Datenschutzerklärung.

Der Dienst verarbeitet ausdrücklich keine Daten der Beschäftigten des Kunden. Der Arbeitgeber-Check fragt Merkmale des Betriebes ab — Größenklasse, Branche, Beschäftigungsformen —, keine Angaben zu einzelnen Personen. Freitext zu konkreten Sachverhalten ist nicht vorgesehen.

Diese Vereinbarung greift deshalb nur, wenn im Einzelfall doch eine Verarbeitung im Auftrag entsteht — etwa weil die Parteien eine über den Regeldienst hinausgehende Leistung vereinbaren.

Dieses Dokument ist ein Vertragsmuster, kein Angebot. Eine Vereinbarung kommt erst zustande, wenn beide Seiten sie annehmen — durch Unterzeichnung oder durch eine andere übereinstimmende Erklärung in Textform. Ist sie zustande gekommen, geht sie den AGB vor, soweit sie ihnen widerspricht.

§ 2 Gegenstand, Dauer, Art und Zweck der Verarbeitung

Gegenstand ist die Verarbeitung personenbezogener Daten, die der Kunde dem Anbieter im Rahmen der vereinbarten Leistung zur Verarbeitung überlässt.

Dauer: Die Vereinbarung läuft, solange der zugrunde liegende Vertrag läuft. Sie endet mit ihm; die Pflichten aus § 9 (Löschung) bestehen darüber hinaus fort.

Art und Zweck: Speichern, Ordnen, Auslesen und Löschen zum Zweck der Erbringung der vereinbarten Leistung. Eine Nutzung zu eigenen Zwecken des Anbieters findet im Rahmen dieser Vereinbarung nicht statt.

Art der Daten: Kontaktdaten (Name, dienstliche E-Mail-Adresse), Merkmale des Betriebes sowie diejenigen weiteren Daten, die die Parteien in Anlage 1 benennen.

Kategorien betroffener Personen: Ansprechpartnerinnen und Ansprechpartner des Kunden sowie die in Anlage 1 benannten Personengruppen.

Besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO sind nicht Gegenstand dieser Vereinbarung. Der Kunde übermittelt keine solchen Daten.

§ 3 Weisungsbindung

Der Anbieter verarbeitet die Daten ausschließlich auf dokumentierte Weisung des Kunden (Art. 28 Abs. 3 lit. a DSGVO). Weisungen sind dieser Vertrag, die AGB und was die Parteien darüber hinaus in Textform vereinbaren. Mündliche Weisungen bestätigt der Kunde unverzüglich in Textform.

Eine Verarbeitung, zu der der Anbieter nach Unionsrecht oder deutschem Recht verpflichtet ist, bleibt zulässig; der Anbieter teilt dem Kunden diese Anforderung vor der Verarbeitung mit, sofern das Recht dies nicht verbietet.

Der Anbieter informiert den Kunden unverzüglich, wenn er der Auffassung ist, dass eine Weisung gegen Datenschutzrecht verstößt (Art. 28 Abs. 3 Satz 3 DSGVO). Er darf die Ausführung bis zur Klärung aussetzen.

§ 4 Vertraulichkeit

Der Anbieter setzt zur Verarbeitung nur Personen ein, die zur Vertraulichkeit verpflichtet sind oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen (Art. 28 Abs. 3 lit. b DSGVO). Die Verpflichtung wirkt über das Ende der Tätigkeit hinaus.

Der Anbieter macht die eingesetzten Personen mit den einschlägigen Vorgaben vertraut und beschränkt den Zugang auf das für die Aufgabe Erforderliche.

§ 5 Technische und organisatorische Maßnahmen

Der Anbieter trifft die Maßnahmen nach Art. 32 DSGVO. Sie sind in Anlage 2 beschrieben und dort nicht mit Allgemeinplätzen, sondern mit den tatsächlich eingerichteten Vorkehrungen benannt.

Der Anbieter darf die Maßnahmen fortentwickeln, solange das Schutzniveau nicht unterschritten wird. Wesentliche Änderungen teilt er in Textform mit.

§ 6 Unterauftragnehmer

Der Kunde stimmt dem Einsatz der in Anlage 3 genannten Unterauftragnehmer zu (allgemeine schriftliche Genehmigung, Art. 28 Abs. 2 DSGVO).

Der Anbieter zeigt jede beabsichtigte Änderung mindestens 30 Tage vorher in Textform an. Der Kunde kann binnen dieser Frist aus wichtigem, datenschutzrechtlichem Grund widersprechen. Widerspricht er, kann jede Seite den zugrunde liegenden Vertrag zum Zeitpunkt der beabsichtigten Änderung kündigen; eine Pflicht des Anbieters, die Leistung ohne den Unterauftragnehmer zu erbringen, besteht nicht.

Der Anbieter verpflichtet jeden Unterauftragnehmer auf dieselben Pflichten, die ihn selbst treffen (Art. 28 Abs. 4 DSGVO), und haftet für dessen Verhalten wie für eigenes.

Nicht Unterauftragnehmer sind Stellen, die eigenverantwortlich verarbeiten. Das betrifft insbesondere den Zahlungsdienstleister: Zahlungsdaten werden ausschließlich dort erhoben und erreichen die Systeme des Anbieters nicht.

§ 7 Unterstützung des Kunden

Der Anbieter unterstützt den Kunden mit geeigneten Maßnahmen dabei, Anträge betroffener Personen nach Art. 12 bis 23 DSGVO zu beantworten (Art. 28 Abs. 3 lit. e DSGVO). Wendet sich eine betroffene Person unmittelbar an den Anbieter, leitet er den Antrag unverzüglich an den Kunden weiter und beantwortet ihn nicht selbst.

Der Anbieter unterstützt den Kunden bei der Einhaltung der Pflichten aus Art. 32 bis 36 DSGVO (Art. 28 Abs. 3 lit. f DSGVO), insbesondere bei Meldungen an die Aufsichtsbehörde und bei einer Datenschutz-Folgenabschätzung.

Für Unterstützung, die über das Übliche hinausgeht, kann der Anbieter eine angemessene Vergütung verlangen; er weist vorher darauf hin.

§ 8 Meldung von Verletzungen des Schutzes personenbezogener Daten

Der Anbieter meldet dem Kunden jede Verletzung des Schutzes personenbezogener Daten unverzüglich, spätestens jedoch 48 Stunden nachdem sie ihm bekannt geworden ist. Die Frist ist so gewählt, dass der Kunde seine eigene Frist von 72 Stunden aus Art. 33 Abs. 1 DSGVO einhalten kann.

Die Meldung beschreibt, soweit bekannt: Art der Verletzung, betroffene Kategorien und ungefähre Zahl der Datensätze, wahrscheinliche Folgen sowie die ergriffenen oder vorgeschlagenen Maßnahmen. Fehlende Angaben reicht der Anbieter unverzüglich nach; er wartet mit der ersten Meldung nicht auf Vollständigkeit.

§ 9 Löschung und Rückgabe nach Ende der Verarbeitung

Nach Ende der Leistung löscht der Anbieter die Daten binnen 30 Tagen oder gibt sie zurück, nach Wahl des Kunden (Art. 28 Abs. 3 lit. g DSGVO). Auf Anforderung bestätigt er die Löschung in Textform.

Sicherungskopien werden nicht gesondert gelöscht, sondern laufen im regulären Rhythmus aus; die Aufbewahrungsdauer der Sicherungen ist in Anlage 2 benannt. Bis dahin bleiben sie durch dieselben Maßnahmen geschützt und werden nicht zu anderen Zwecken verarbeitet.

Unberührt bleiben gesetzliche Aufbewahrungspflichten. Solange sie bestehen, wird die Verarbeitung eingeschränkt (Art. 18 DSGVO) statt gelöscht.

§ 10 Nachweise und Überprüfungen

Der Anbieter stellt dem Kunden die zum Nachweis erforderlichen Informationen zur Verfügung (Art. 28 Abs. 3 lit. h DSGVO). Der Nachweis erfolgt in erster Linie durch Auskunft in Textform und durch Beantwortung eines Fragebogens. Ein Zertifikat oder ein Prüfbericht einer dritten Stelle liegt nicht vor; der Anbieter sagt einen solchen auch nicht zu.

Routineprüfungen erfolgen aus der Ferne nach Ankündigung von 30 Tagen. Ohne besonderen Anlass finden sie höchstens einmal im Kalenderjahr statt.

Soweit es zur Überprüfung der Einhaltung dieser Vereinbarung oder datenschutzrechtlicher Pflichten erforderlich ist — insbesondere nach einem Sicherheitsvorfall, bei begründetem Anlass oder auf Anforderung einer Aufsichtsbehörde —, ermöglicht der Anbieter auch zusätzliche Prüfungen und Inspektionen vor Ort und wirkt daran mit (Art. 28 Abs. 3 lit. h DSGVO). Die Begrenzung des vorstehenden Absatzes gilt dafür nicht.

Prüfungen werden so durchgeführt, dass der laufende Betrieb und die Vertraulichkeit gegenüber anderen Kunden möglichst wenig beeinträchtigt werden. Die Kosten einer Routineprüfung trägt der Kunde; bei einem festgestellten erheblichen Verstoß trägt sie der Anbieter.

§ 11 Verarbeitung außerhalb der Europäischen Union

Die Verarbeitung findet innerhalb der Europäischen Union statt, derzeit in Deutschland und Finnland: Website, Datenbank und Sicherungen laufen auf einem Server in Nürnberg, der Mailversand auf einem Server in Helsinki. Beide betreibt dieselbe Auftragsverarbeiterin (Anlage 3).

Eine Verarbeitung in einem Drittland findet nur statt, wenn die Voraussetzungen der Art. 44 bis 49 DSGVO erfüllt sind. Der Anbieter benennt den jeweiligen Übermittlungsmechanismus in Anlage 3 und zeigt eine Änderung nach § 6 an.

§ 12 Haftung und Schlussbestimmungen

Für die Haftung gelten die Regelungen des zugrunde liegenden Vertrages; Art. 82 DSGVO bleibt unberührt.

Änderungen dieser Vereinbarung bedürfen der Textform. Es gilt deutsches Recht. Ist eine Bestimmung unwirksam, bleibt die Wirksamkeit der übrigen unberührt.

Anlagen: Anlage 1 (Daten und betroffene Personen im Einzelfall) · Anlage 2 (technische und organisatorische Maßnahmen) · Anlage 3 (Unterauftragnehmer).

Anlage 1 — Daten und betroffene Personen

Wird im Einzelfall ausgefüllt. Für den Regeldienst greift § 1: Es gibt keine Verarbeitung im Auftrag, und diese Anlage bleibt leer. Daten von Beschäftigten des Kunden werden in keinem Fall verarbeitet.

Anlage 2 — Technische und organisatorische Maßnahmen

Nach Art. 32 DSGVO. Die folgenden Maßnahmen sind eingerichtet und nachprüfbar; es sind keine Absichtserklärungen.

Anlage 3 — Unterauftragnehmer

Stand 9. September 2026. Änderungen zeigen wir nach § 6 mit einer Frist von 30 Tagen an.

Keine Unterauftragnehmer sind die folgenden Stellen. Sie verarbeiten entweder eigenverantwortlich oder erhalten keine personenbezogenen Daten:

Dieses Vertragsmuster ist keine Rechtsberatung. Es ersetzt die Prüfung durch Ihre eigene Datenschutzbeauftragte oder Ihren eigenen Rechtsbeistand nicht.