Vertrag über die Verarbeitung personenbezogener Daten im Auftrag

Nach Art. 28 DSGVO · Bestandteil der Nutzungsbedingungen von FristenManagement · Stand: Oktober 2026

Vertragsparteien

Auftraggeber ist der Kunde, der ein Konto in FristenManagement führt (nachfolgend „Verantwortlicher").

Auftragnehmer ist Riedl Consulting, Inhaber Johannes Riedl, Oberer Steinweg 9, 75438 Knittlingen, Deutschland (nachfolgend „Auftragsverarbeiter").

Dieser Vertrag kommt mit der Registrierung eines Kontos zustande. Er wird in Textform im Sinne des Art. 28 Abs. 9 DSGVO geschlossen; einer Unterschrift bedarf es nicht. Auf Wunsch stellt der Auftragsverarbeiter eine unterzeichnete Ausfertigung zur Verfügung.

§ 1 Gegenstand und Dauer

Der Auftragsverarbeiter stellt dem Verantwortlichen die Anwendung FristenManagement zur Verfügung. Soweit der Verantwortliche darin personenbezogene Daten erfasst, verarbeitet der Auftragsverarbeiter diese ausschließlich in dessen Auftrag.

Gegenstand, Art und Zweck der Verarbeitung, die Arten der Daten sowie die Kategorien betroffener Personen ergeben sich aus Anlage 1.

Die Dauer dieses Vertrags entspricht der Laufzeit des Nutzungsvertrags. Er endet mit dessen Beendigung, ohne dass es einer gesonderten Kündigung bedarf.

§ 2 Weisungsbindung

Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen. Als Weisung gelten die Vereinbarungen dieses Vertrags sowie die Nutzung der in der Anwendung vorgesehenen Funktionen durch den Verantwortlichen und die von ihm berechtigten Personen.

Einzelweisungen über den vereinbarten Leistungsumfang hinaus sind in Textform an die in diesem Vertrag genannte Adresse zu richten. Hält der Auftragsverarbeiter eine Weisung für rechtswidrig, teilt er dies unverzüglich mit und darf ihre Ausführung bis zur Klärung aussetzen.

Eine Verarbeitung zu eigenen Zwecken, insbesondere zu Werbezwecken oder zur Erstellung von Profilen, findet nicht statt. Eine Nutzung der Inhalte zum Training automatisierter Systeme findet nicht statt.

§ 3 Vertraulichkeit

Der Auftragsverarbeiter setzt zur Verarbeitung nur Personen ein, die zur Vertraulichkeit verpflichtet sind. Der Auftragsverarbeiter ist ein Einzelunternehmen ohne Beschäftigte; die Verpflichtung betrifft daher derzeit ausschließlich den Inhaber. Werden künftig Beschäftigte eingesetzt, werden diese vor Aufnahme der Tätigkeit schriftlich verpflichtet.

Unterliegt der Verantwortliche einer besonderen Geheimhaltungspflicht, etwa nach § 203 StGB, teilt er dies mit. Der Auftragsverarbeiter lässt sich in diesem Fall gesondert auf die Wahrung dieser Pflicht verpflichten.

§ 4 Technische und organisatorische Maßnahmen

Der Auftragsverarbeiter trifft die in Anlage 2 beschriebenen Maßnahmen nach Art. 32 DSGVO. Er darf sie weiterentwickeln, sofern das Schutzniveau nicht unterschritten wird. Wesentliche Änderungen werden dem Verantwortlichen mitgeteilt.

§ 5 Unterauftragsverhältnisse

Der Verantwortliche stimmt dem Einsatz der in Anlage 3 genannten weiteren Auftragsverarbeiter zu.

Der Auftragsverarbeiter verpflichtet diese auf ein Datenschutzniveau, das diesem Vertrag entspricht. Soweit eine Verarbeitung außerhalb der Europäischen Union stattfindet, erfolgt sie auf Grundlage der Standardvertragsklauseln der Europäischen Kommission.

Beabsichtigt der Auftragsverarbeiter, einen weiteren Auftragsverarbeiter hinzuzuziehen oder auszutauschen, teilt er dies mindestens vier Wochen vorher in Textform mit. Der Verantwortliche kann innerhalb von zwei Wochen nach Zugang aus einem wichtigen datenschutzrechtlichen Grund widersprechen. Im Fall eines Widerspruchs ist der Auftragsverarbeiter berechtigt, den Nutzungsvertrag zum beabsichtigten Zeitpunkt der Änderung zu kündigen; bereits im Voraus gezahlte Entgelte werden anteilig erstattet.

§ 6 Unterstützung bei Betroffenenrechten

Wenden sich betroffene Personen unmittelbar an den Auftragsverarbeiter, leitet er das Anliegen unverzüglich an den Verantwortlichen weiter und beantwortet es nicht selbst.

Der Auftragsverarbeiter unterstützt den Verantwortlichen bei der Erfüllung von Auskunfts-, Berichtigungs-, Löschungs- und Einschränkungsbegehren. Die Anwendung ist so gestaltet, dass der Verantwortliche die in seinem Konto gespeicherten Daten selbst einsehen, ändern und löschen kann. Soweit ein darüber hinausgehender Aufwand entsteht, wird dieser nach Aufwand vergütet.

§ 7 Unterstützung bei weiteren Pflichten

Der Auftragsverarbeiter unterstützt den Verantwortlichen bei der Einhaltung der Pflichten nach Art. 32 bis 36 DSGVO.

Wird dem Auftragsverarbeiter eine Verletzung des Schutzes personenbezogener Daten bekannt, teilt er dies dem Verantwortlichen unverzüglich mit, spätestens innerhalb von 24 Stunden nach Kenntnis, und stellt die ihm bekannten Angaben nach Art. 33 Abs. 3 DSGVO zur Verfügung. Die Meldung an die Aufsichtsbehörde obliegt dem Verantwortlichen.

§ 8 Nachweise und Kontrollen

Der Auftragsverarbeiter weist die Einhaltung seiner Pflichten auf Anfrage in Textform nach, insbesondere durch Vorlage dieses Vertrags, der Beschreibung der technischen und organisatorischen Maßnahmen sowie der Liste der weiteren Auftragsverarbeiter. Anfragen werden innerhalb von 14 Tagen beantwortet.

Darüber hinaus kann der Verantwortliche eine Überprüfung vor Ort verlangen. Diese ist mindestens vier Wochen vorher anzukündigen, findet während der üblichen Geschäftszeiten statt, darf den Betrieb nicht unangemessen beeinträchtigen und erfolgt höchstens einmal jährlich. Die Kosten trägt der Verantwortliche. Ein Anlass zur Überprüfung außerhalb dieses Rahmens besteht, wenn eine Verletzung des Schutzes personenbezogener Daten festgestellt wurde.

§ 9 Löschung und Rückgabe

Vor Beendigung des Vertrags kann der Verantwortliche die in seinem Konto gespeicherten Daten jederzeit einsehen und sichern.

Nach Beendigung werden die Daten 30 Tage aufbewahrt und anschließend vollständig gelöscht. Innerhalb dieser Frist kann der Verantwortliche die Wiederherstellung oder eine frühere Löschung verlangen. Gesetzliche Aufbewahrungspflichten, insbesondere für Rechnungsunterlagen, bleiben unberührt; die davon erfassten Daten werden für weitere Zwecke gesperrt.

§ 10 Schlussbestimmungen

Änderungen dieses Vertrags bedürfen der Zustimmung beider Parteien. Die Regelung in den Nutzungsbedingungen über die einseitige Änderung von Bedingungen gilt für diesen Vertrag nicht. Ausgenommen sind Anpassungen, die durch Änderungen der Rechtslage oder durch Vorgaben einer Aufsichtsbehörde zwingend erforderlich werden; diese werden mitgeteilt.

Sollte eine Bestimmung unwirksam sein, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt. Im Übrigen gelten die Nutzungsbedingungen. Bei Widersprüchen zwischen diesem Vertrag und den Nutzungsbedingungen geht dieser Vertrag vor, soweit die Verarbeitung personenbezogener Daten im Auftrag betroffen ist.