Auftragsverarbeitungsvertrag (Muster-Vorlage)

Vereinbarung über die Auftragsverarbeitung gemäß Art. 28 DSGVO (Muster-Vorlage)

zwischen

[Name und Anschrift des Auftraggebers — z. B. Schulungsanbieter oder Arbeitgeber]
— nachfolgend „Verantwortlicher" —

und

LTS Media & Verlags GmbH
[Straße und Hausnummer], [PLZ] [Ort]
— nachfolgend „Auftragsverarbeiter" —

§ 1 Gegenstand und Dauer der Verarbeitung

Der Auftragsverarbeiter betreibt eine Plattform zur digitalen Verwaltung von Qualifikations- und Bedienernachweisen. Gegenstand der Verarbeitung ist die Speicherung, Anzeige und Verifikation von Qualifikationsdaten der vom Verantwortlichen verwalteten Personen. Die Dauer entspricht der Laufzeit des Hauptvertrags.

§ 2 Art und Zweck der Verarbeitung, Datenkategorien, Betroffene

• Zweck: Führung eines digitalen Qualifikationsregisters inkl. Fälligkeits-Erinnerungen und QR-Verifikation
• Datenkategorien: Stammdaten, Kontaktdaten, Qualifikations- und Unterweisungsdaten, ggf. Eignungsdaten (nur Ergebnis/Gültigkeit), Protokolldaten
• Kategorien betroffener Personen: Beschäftigte und Kursteilnehmer des Verantwortlichen

§ 3 Pflichten des Auftragsverarbeiters

• Verarbeitung ausschließlich auf dokumentierte Weisung des Verantwortlichen (Art. 28 Abs. 3 lit. a DSGVO)
• Vertraulichkeitsverpflichtung aller mit der Verarbeitung befassten Personen (lit. b)
• Umsetzung technischer und organisatorischer Maßnahmen nach Art. 32 DSGVO (lit. c), siehe Anlage 1
• Unterstützung des Verantwortlichen bei Betroffenenrechten und Pflichten aus Art. 32–36 DSGVO (lit. e, f)
• Löschung oder Rückgabe aller Daten nach Ende der Auftragsverarbeitung, vorbehaltlich gesetzlicher Aufbewahrungspflichten (lit. g)
• Bereitstellung aller erforderlichen Informationen zum Nachweis der Pflichten sowie Ermöglichung von Überprüfungen (lit. h)

§ 4 Unterauftragsverarbeiter

Der Verantwortliche genehmigt allgemein die Hinzuziehung von Unterauftragsverarbeitern. Aktuelle Unterauftragsverarbeiter:

• [Hosting-Provider, z. B. Hetzner Online GmbH, Gunzenhausen, Deutschland — Server-Hosting]
• [E-Mail-Versanddienstleister, Name und Sitz — bei Sitz außerhalb der EU/des EWR zusätzlich Übermittlungsgrundlage nach Art. 46 DSGVO angeben, siehe § 7]

Der Auftragsverarbeiter informiert über beabsichtigte Änderungen; der Verantwortliche kann aus wichtigem Grund widersprechen.

§ 5 Meldung von Verletzungen

Der Auftragsverarbeiter meldet dem Verantwortlichen Verletzungen des Schutzes personenbezogener Daten unverzüglich, spätestens innerhalb von [48 Stunden] nach Bekanntwerden.

§ 6 Weisungsrecht

Weisungen erfolgen in Textform an [Kontaktadresse]. Weisungsberechtigte Personen des Verantwortlichen und empfangsberechtigte Personen des Auftragsverarbeiters werden in Anlage 2 benannt.

§ 7 Ort der Verarbeitung

Hosting und Speicherung der Nachweisdaten finden ausschließlich in Deutschland statt. Ausnahme: der E-Mail-Versand über den in § 4 genannten Dienstleister [sofern mit Sitz außerhalb der EU/des EWR — Übermittlung auf Grundlage von Art. 46 DSGVO i. V. m. Standardvertragsklauseln bzw. EU-US Data Privacy Framework]. Jede weitere Verlagerung in Drittländer bedarf der vorherigen Zustimmung des Verantwortlichen und der Voraussetzungen der Art. 44 ff. DSGVO.

Anlagen

• Anlage 1: Technische und organisatorische Maßnahmen (TOM) [beifügen]
• Anlage 2: Weisungsberechtigte und empfangsberechtigte Personen [beifügen]

Hinweis: Diese Vorlage ist ein unverbindliches Muster und ersetzt keine Rechtsberatung. Vor Verwendung juristisch prüfen und an den Einzelfall anpassen.