§ 1 Gegenstand und Dauer der Verarbeitung
Gegenstand dieser Vereinbarung ist die Verarbeitung personenbezogener Daten durch den Auftragnehmer im Rahmen der folgenden Leistung: IT-Zweitmeinung / allgemeine Bewertung. Grundlage ist die Anfrage des Auftraggebers vom 22.07.2026 (Vorgang AVV-2026-XXXX). Die Vereinbarung beginnt mit ihrer Bestätigung durch beide Parteien und endet mit dem Abschluss der beauftragten Leistung einschließlich der vereinbarten Löschfristen nach § 8.
§ 2 Art und Zweck der Verarbeitung
Der Auftragnehmer verarbeitet personenbezogene Daten ausschließlich, soweit dies zur Erbringung der beauftragten gutachterlichen bzw. IT-Dienstleistung erforderlich ist: Sichtung und Bewertung von Unterlagen und Systemen, Dokumentation von Befunden, Kommunikation mit dem Auftraggeber sowie Erstellung des vereinbarten Berichts. Eine Verarbeitung zu anderen Zwecken, insbesondere zu Werbezwecken oder zur Weitergabe an Dritte, findet nicht statt.
§ 3 Art der Daten
Folgende Datenarten sind nach Angabe des Auftraggebers voraussichtlich Gegenstand der Verarbeitung:
Kontakt- und Kommunikationsdaten (Namen, E-Mail, Telefon)
Vertrags- und Angebotsunterlagen
Systemdaten (Konfigurationen, Logdateien, Inventarlisten)
Beschäftigtendaten (z. B. Benutzerkonten, Arbeitsplatzdaten)
Kunden- bzw. Mandanten-/Patientendaten in geprüften Systemen
Abrechnungs- und Finanzdaten
§ 4 Kategorien betroffener Personen
Von der Verarbeitung sind folgende Personengruppen betroffen:
Ansprechpartner und Beschäftigte des Auftraggebers
Kunden, Mandanten bzw. Patienten des Auftraggebers, soweit deren Daten in den geprüften Systemen enthalten sind
Beschäftigte des Auftraggebers, deren Benutzer- oder Arbeitsplatzdaten Gegenstand der Prüfung sind
§ 5 Pflichten des Auftragnehmers
Der Auftragnehmer verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Auftraggebers (Art. 28 Abs. 3 lit. a DSGVO). Alle mit der Verarbeitung befassten Personen sind zur Vertraulichkeit verpflichtet (Art. 28 Abs. 3 lit. b DSGVO). Der Auftragnehmer trifft technische und organisatorische Maßnahmen gemäß Art. 32 DSGVO; eine Übersicht der Maßnahmen stellt der Auftragnehmer auf Anforderung bereit. Der Auftragnehmer unterstützt den Auftraggeber bei der Erfüllung von Betroffenenrechten (Art. 12–23 DSGVO) sowie der Pflichten aus Art. 32–36 DSGVO und informiert ihn unverzüglich, wenn er der Auffassung ist, dass eine Weisung gegen Datenschutzrecht verstößt. Verletzungen des Schutzes personenbezogener Daten meldet der Auftragnehmer dem Auftraggeber unverzüglich.
§ 6 Unterauftragsverhältnisse
Der Auftragnehmer setzt für die Verarbeitung folgende Unterauftragnehmer ein: ALL-INKL.COM – Neue Medien Münnich (Hosting und E-Mail, Rechenzentren in Deutschland). Die Beauftragung weiterer Unterauftragnehmer bedarf der vorherigen Information des Auftraggebers; dieser kann aus wichtigem datenschutzrechtlichem Grund widersprechen. Eine Verarbeitung außerhalb der EU bzw. des EWR findet nicht statt.
§ 7 Kontrollrechte des Auftraggebers
Der Auftraggeber ist berechtigt, sich vor Beginn und während der Verarbeitung von der Einhaltung dieser Vereinbarung zu überzeugen — durch Auskünfte, vorgelegte Nachweise oder nach Terminabstimmung durch Kontrollen beim Auftragnehmer während der üblichen Geschäftszeiten (Art. 28 Abs. 3 lit. h DSGVO).
§ 8 Löschung und Rückgabe
Nach Abschluss der Leistung gibt der Auftragnehmer sämtliche überlassenen Unterlagen und Daten nach Wahl des Auftraggebers zurück oder löscht sie datenschutzgerecht, soweit keine gesetzlichen Aufbewahrungspflichten entgegenstehen. Der erstellte Bericht selbst sowie diese Vereinbarung werden im Rahmen der gesetzlichen Aufbewahrungsfristen archiviert.
§ 9 Haftung und Schlussbestimmungen
Für die Haftung gelten Art. 82 DSGVO sowie die gesetzlichen Regelungen. Änderungen und Ergänzungen dieser Vereinbarung bedürfen der Textform. Sollten einzelne Bestimmungen unwirksam sein, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt. Diese Vereinbarung wird gemäß Art. 28 Abs. 9 DSGVO in einem elektronischen Format geschlossen. Zur Beweissicherung des Vertragsschlusses werden Name des Bestätigenden, Zeitstempel, IP-Adresse, technische Systemmerkmale des verwendeten Endgeräts (User-Agent, Betriebssystem, Browser, Browsersprache) sowie ein SHA-256-Fingerprint des vollständigen Vertragstextes erfasst und zusammen mit dieser Vereinbarung revisionssicher beim Auftragnehmer dokumentiert; beide Parteien können sich im Streitfall auf diese Dokumentation berufen.
Im nächsten Schritt erstellen wir daraus ein persönliches PDF, das Sie prüfen und behalten.
