Auftragsverarbeitungs­vertrag

Vorlage nach Art. 28 DSGVO für Mandate, in denen JM Energy Consulting personenbezogene Daten Dritter im Auftrag und nach Weisung des Auftraggebers verarbeitet. Mit Annahme eines Beratungs- oder Projektauftrags ist der ausgefüllte und unterzeichnete AVV obligatorischer Vertragsbestandteil, soweit eine entsprechende Datenverarbeitung erfolgt.

Vertragsparteien

1. Gegenstand & Dauer der Verarbeitung

Gegenstand des Auftrags ist die Verarbeitung personenbezogener Daten durch den Auftragsverarbeiter im Rahmen der zwischen den Parteien vereinbarten Beratungs- und Projektleistungen (nachfolgend „Hauptvertrag"). Die Einzelheiten dieser Leistungen ergeben sich aus dem Hauptvertrag bzw. dem zugrundeliegenden Angebot mit der Vorgangsnummer [ANG-Nr.].

Die Verarbeitung erfolgt für die Laufzeit des Hauptvertrags. Sie endet mit dessen Beendigung, sofern keine gesetzlichen Aufbewahrungspflichten eine längere Speicherung erfordern.

2. Art und Zweck der Verarbeitung

Der Auftragsverarbeiter erbringt im Auftrag und nach Weisung des Verantwortlichen folgende Leistungen, die eine Verarbeitung personenbezogener Daten umfassen können:

• Konzeption, Aufbau und Betreuung KI-gestützter Prozesse, Drehscheiben und Vorlagen
• Migration, Bereinigung und Strukturierung von Bestandsdaten
• Erstellung und Optimierung von Kommunikations- und Marketinginhalten
• Beratung bei der Auswahl und Implementierung von Software-Werkzeugen
• [weitere im Hauptvertrag konkretisierte Tätigkeiten]

Zweck der Verarbeitung ist ausschließlich die Erbringung der vereinbarten Leistungen. Eine darüber hinausgehende Verarbeitung — insbesondere zu eigenen Zwecken des Auftragsverarbeiters — ist ausgeschlossen.

3. Art der personenbezogenen Daten

Im Rahmen der Verarbeitung können — abhängig vom konkreten Mandat — folgende Datenkategorien betroffen sein:

• Stammdaten (Name, Anschrift, Geburtsdatum, Kundennummer)
• Kontaktdaten (E-Mail, Telefon)
• Vertragsdaten (Vertragsnummer, Versicherungsschein, Laufzeit)
• Kommunikationsdaten (E-Mail-Inhalte, Notizen)
• ggf. Gesundheits- oder Schadendaten (Art. 9 DSGVO) — sofern vom Verantwortlichen vorab anonymisiert oder pseudonymisiert übergeben
• [ggf. weitere im Mandat relevante Kategorien]

Der Verantwortliche stellt sicher, dass besonders schützenswerte Datenkategorien (Art. 9 DSGVO) nur dann übergeben werden, wenn eine entsprechende Einwilligung der betroffenen Personen vorliegt oder eine andere zulässige Rechtsgrundlage gegeben ist. Anonymisierung oder Pseudonymisierung erfolgt vor der Übergabe durch den Verantwortlichen, soweit nicht ausdrücklich anders vereinbart.

4. Kategorien betroffener Personen

• Kunden, Mitglieder, Versicherte des Verantwortlichen
• Mitarbeitende des Verantwortlichen
• Geschäftspartner, Lieferanten, Vermittler
• [ggf. weitere Personenkreise]

5. Pflichten des Auftragsverarbeiters

Der Auftragsverarbeiter verpflichtet sich, die personenbezogenen Daten ausschließlich im Rahmen der Vereinbarungen und nach den Weisungen des Verantwortlichen zu verarbeiten, es sei denn, er ist gesetzlich zur Verarbeitung verpflichtet. In einem solchen Fall teilt er dies dem Verantwortlichen vor Beginn der Verarbeitung mit.

Der Auftragsverarbeiter

• verpflichtet alle mit der Verarbeitung befassten Personen zur Vertraulichkeit, sofern sie nicht bereits einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen;
• setzt geeignete technische und organisatorische Maßnahmen gemäß Art. 32 DSGVO um (siehe § 7);
• unterstützt den Verantwortlichen, soweit möglich, bei der Erfüllung von Anfragen betroffener Personen sowie bei der Einhaltung der Pflichten gemäß Art. 32 bis 36 DSGVO;
• benennt einen Ansprechpartner für Datenschutzangelegenheiten: Jessica Mauch, hallo@jmenergyconsulting.de;
• verarbeitet die Daten ausschließlich innerhalb der EU/des EWR; eine Verarbeitung in einem Drittland erfolgt nur unter den Voraussetzungen des Kapitels V DSGVO und unter Bedingungen, die in dieser Vereinbarung oder durch separate Vereinbarung niedergelegt sind.

Die Verschwiegenheits­verpflichtung besteht über das Ende dieses Vertrages hinaus fort. Soweit der Verantwortliche als Versicherungsmakler oder anderer Berufsträger einer gesetzlichen Schweigepflicht (insbesondere § 203 StGB) unterliegt, unterwirft sich der Auftragsverarbeiter dieser Schweigepflicht ausdrücklich.

6. Pflichten des Verantwortlichen

Der Verantwortliche ist im Sinne der DSGVO für die Rechtmäßigkeit der Datenverarbeitung sowie für die Wahrung der Betroffenenrechte allein verantwortlich. Er stellt sicher,

• dass eine Rechtsgrundlage nach Art. 6 DSGVO (bzw. Art. 9 DSGVO bei besonderen Datenkategorien) gegeben ist;
• dass betroffene Personen entsprechend Art. 13/14 DSGVO informiert wurden;
• dass die übergebenen Daten zutreffend, aktuell und für den vereinbarten Zweck erforderlich sind;
• dass besonders schützenswerte Daten vor Übergabe an den Auftragsverarbeiter ausreichend anonymisiert oder pseudonymisiert wurden, soweit nicht ausdrücklich anders vereinbart.

7. Technische und organisatorische Maßnahmen (TOM)

Der Auftragsverarbeiter trifft folgende Maßnahmen nach Art. 32 DSGVO:

8. Sub-Auftragsverarbeiter

Der Verantwortliche stimmt der Einbindung folgender Sub-Auftragsverarbeiter zu:

Der Auftragsverarbeiter teilt Änderungen am Bestand der Sub-Auftragsverarbeiter mindestens 30 Tage vor Wirksamwerden mit. Der Verantwortliche kann einer Änderung innerhalb von 14 Tagen widersprechen; in diesem Fall vereinbaren die Parteien eine einvernehmliche Lösung oder eines der Parteien kann den Hauptvertrag außerordentlich kündigen.

9. Mitteilungs- und Unterstützungspflichten

Der Auftragsverarbeiter benachrichtigt den Verantwortlichen unverzüglich, spätestens jedoch innerhalb von 24 Stunden, wenn ihm ein Verstoß gegen den Schutz personenbezogener Daten bekannt wird, der die durch diesen Vertrag verarbeiteten Daten betrifft. Die Mitteilung umfasst die nach Art. 33 Abs. 3 DSGVO erforderlichen Angaben.

Der Auftragsverarbeiter unterstützt den Verantwortlichen bei der Beantwortung von Anfragen betroffener Personen (Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit, Widerspruch) und bei der Erfüllung der Pflichten aus Art. 33 bis 36 DSGVO.

10. Kontrollrechte

Der Verantwortliche ist berechtigt, die Einhaltung der Vorschriften zum Datenschutz beim Auftragsverarbeiter zu kontrollieren oder durch beauftragte Dritte kontrollieren zu lassen. Der Auftragsverarbeiter ermöglicht hierzu auf Anfrage des Verantwortlichen den Zugang zu seinen Verarbeitungsräumlichkeiten und stellt Nachweise (z. B. Zertifikate, TOM-Dokumentation, Audit-Berichte) zur Verfügung.

Kontrollen finden in der Regel nach vorheriger Ankündigung mit angemessener Vorlaufzeit (mindestens 14 Tage) während der üblichen Geschäftszeiten statt. Bei Vorliegen besonderer Umstände (etwa eines Datenschutzvorfalls) kann eine kurzfristigere Prüfung erforderlich sein.

11. Beendigung & Rückgabe/Löschung

Nach Beendigung des Hauptvertrags gibt der Auftragsverarbeiter alle ihm überlassenen Datenträger und sonstigen Unterlagen sowie sämtliche im Rahmen der Auftragsverarbeitung erstellten Datenbestände nach Wahl des Verantwortlichen entweder an diesen zurück oder löscht sie. Die Löschung ist auf Verlangen zu dokumentieren.

Gesetzliche Aufbewahrungspflichten (insbesondere § 257 HGB, § 147 AO) bleiben unberührt. Soweit eine Löschung deshalb nicht möglich ist, werden die Daten von der weiteren Verarbeitung ausgeschlossen und gegen unbefugten Zugriff geschützt.

12. Schlussbestimmungen

Im Falle eines Widerspruchs zwischen diesem AVV und dem Hauptvertrag gehen die Regelungen dieses AVV vor, soweit sie den Datenschutz betreffen.

Änderungen und Ergänzungen dieser Vereinbarung bedürfen der Textform. Mündliche Nebenabreden bestehen nicht.

Sollten einzelne Bestimmungen dieses Vertrags unwirksam sein oder werden, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt.

Es gilt deutsches Recht. Gerichtsstand ist — soweit der Verantwortliche Kaufmann, juristische Person des öffentlichen Rechts oder öffentlich-rechtliches Sondervermögen ist — der Sitz des Auftragsverarbeiters.

Vorlage in der Fassung vom 12. Mai 2026 · Version 1.0