Vertrag zur Auftragsverarbeitung gemäß Art. 28 der Datenschutz-Grundverordnung (DSGVO) zwischen dem Kunden als Verantwortlichem (nachfolgend „Auftraggeber“) und der SHD IT UG (haftungsbeschränkt), Friedenshöhe 23, 89564 Nattheim, als Auftragsverarbeiter (nachfolgend „Auftragnehmer“).

Stand: November 2026

§ 1 Gegenstand und Dauer

(1) Dieser Vertrag konkretisiert die datenschutzrechtlichen Pflichten der Parteien, die sich aus den zwischen ihnen geschlossenen Verträgen über IT-Leistungen (nachfolgend „Hauptvertrag“) ergeben, soweit der Auftragnehmer dabei personenbezogene Daten im Auftrag des Auftraggebers verarbeitet.

(2) Gegenstand der Verarbeitung sind insbesondere die Betreuung, Wartung und Administration von IT-Systemen, Managed Services, Fernwartung und Support, die Einrichtung und Verwaltung von Cloud-Diensten, die Durchführung von Datensicherungen und Wiederherstellungen sowie Security-Audits.

(3) Die Dauer dieses Vertrags richtet sich nach der Laufzeit des Hauptvertrags. Er endet automatisch mit Beendigung des letzten Hauptvertrags, im Rahmen dessen der Auftragnehmer personenbezogene Daten im Auftrag verarbeitet.

§ 2 Art und Zweck der Verarbeitung, Art der Daten, betroffene Personen

(1) Art und Zweck der Verarbeitung ergeben sich aus dem Hauptvertrag. Der Auftragnehmer erhält Zugriff auf personenbezogene Daten in der Regel nur, soweit dies für die Betreuung der IT-Systeme technisch unvermeidbar ist, etwa bei Wartung, Fehlerbehebung oder Datensicherung.

(2) Art der Daten, Kategorien betroffener Personen und Zwecke sind in Anlage 1 beschrieben.

§ 3 Weisungsbefugnis des Auftraggebers

(1) Der Auftragnehmer verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Auftraggebers, es sei denn, er ist durch das Recht der Union oder eines Mitgliedstaats zur Verarbeitung verpflichtet. In einem solchen Fall teilt er dem Auftraggeber diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht dies nicht verbietet.

(2) Weisungen werden grundsätzlich in Textform erteilt. Mündliche Weisungen bestätigt der Auftraggeber unverzüglich in Textform.

(3) Ist der Auftragnehmer der Auffassung, dass eine Weisung gegen datenschutzrechtliche Vorschriften verstößt, informiert er den Auftraggeber unverzüglich. Er darf die Ausführung der Weisung aussetzen, bis sie vom Auftraggeber bestätigt oder geändert wird.

§ 4 Pflichten des Auftragnehmers

(1) Der Auftragnehmer gewährleistet, dass sich die zur Verarbeitung befugten Personen zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen.

(2) Der Auftragnehmer trifft alle nach Art. 32 DSGVO erforderlichen technischen und organisatorischen Maßnahmen. Die zum Vertragsschluss getroffenen Maßnahmen sind in den technischen und organisatorischen Maßnahmen (TOM) beschrieben. Der Auftragnehmer darf die Maßnahmen an den Stand der Technik anpassen, sofern das Schutzniveau nicht unterschritten wird.

(3) Der Auftragnehmer unterstützt den Auftraggeber mit geeigneten Maßnahmen bei der Erfüllung der Rechte der betroffenen Personen nach Kapitel III der DSGVO. Wendet sich eine betroffene Person direkt an den Auftragnehmer, leitet er das Anliegen unverzüglich an den Auftraggeber weiter.

(4) Der Auftragnehmer unterstützt den Auftraggeber unter Berücksichtigung der Art der Verarbeitung und der ihm zur Verfügung stehenden Informationen bei der Einhaltung der Pflichten aus Art. 32 bis 36 DSGVO, insbesondere bei Meldungen von Datenschutzverletzungen und bei Datenschutz-Folgenabschätzungen.

(5) Der Auftragnehmer informiert den Auftraggeber unverzüglich, nachdem ihm eine Verletzung des Schutzes personenbezogener Daten bekannt geworden ist. Die Meldung enthält, soweit möglich, die in Art. 33 Abs. 3 DSGVO genannten Angaben.

(6) Der Auftragnehmer verarbeitet die Daten getrennt von Daten anderer Auftraggeber und nutzt sie nicht für eigene Zwecke.

(7) Sofern gesetzlich vorgeschrieben, benennt der Auftragnehmer einen Datenschutzbeauftragten und teilt dessen Kontaktdaten dem Auftraggeber mit.

§ 5 Unterauftragsverhältnisse

(1) Der Auftraggeber erteilt dem Auftragnehmer die allgemeine Genehmigung, weitere Auftragsverarbeiter (Unterauftragsverarbeiter) einzusetzen. Die zum Vertragsschluss eingesetzten Unterauftragsverarbeiter sind in Anlage 2 aufgeführt und gelten als genehmigt.

(2) Der Auftragnehmer informiert den Auftraggeber vorab in Textform über jede beabsichtigte Hinzuziehung oder Ersetzung eines Unterauftragsverarbeiters. Der Auftraggeber kann innerhalb von 14 Tagen aus wichtigem datenschutzrechtlichem Grund widersprechen. Erfolgt kein Widerspruch, gilt die Änderung als genehmigt.

(3) Der Auftragnehmer verpflichtet Unterauftragsverarbeiter vertraglich auf dieselben Datenschutzpflichten, die in diesem Vertrag festgelegt sind. Er bleibt gegenüber dem Auftraggeber für die Einhaltung dieser Pflichten verantwortlich.

(4) Nicht als Unterauftragsverhältnis gelten Nebenleistungen, die der Auftragnehmer bei Dritten in Anspruch nimmt, etwa Telekommunikationsleistungen, Post- und Transportdienste oder die Entsorgung von Datenträgern. Für die datenschutzgerechte Durchführung solcher Leistungen trifft der Auftragnehmer angemessene vertragliche Vereinbarungen.

(5) Software, Lizenzen und Cloud-Dienste, die der Auftraggeber direkt beim Hersteller bezieht oder für die er direkt einen Vertrag mit dem Hersteller schließt (zum Beispiel Microsoft 365 im Rahmen des Cloud Solution Provider Programms mit Annahme der Microsoft-Kundenvereinbarung), sind keine Unterauftragsverhältnisse des Auftragnehmers. Für diese gilt das Vertragsverhältnis zwischen Auftraggeber und Hersteller.

§ 6 Übermittlung in Drittländer

Eine Verarbeitung in einem Land außerhalb der Europäischen Union oder des Europäischen Wirtschaftsraums erfolgt nur, wenn die besonderen Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind und der Auftraggeber zuvor zugestimmt hat.

§ 7 Kontrollrechte des Auftraggebers

(1) Der Auftragnehmer stellt dem Auftraggeber alle erforderlichen Informationen zum Nachweis der Einhaltung der in diesem Vertrag festgelegten Pflichten zur Verfügung.

(2) Der Auftraggeber ist berechtigt, Überprüfungen einschließlich Inspektionen selbst oder durch einen von ihm beauftragten, zur Verschwiegenheit verpflichteten Prüfer durchzuführen. Inspektionen sind mit angemessener Frist, in der Regel mindestens 14 Tage, anzukündigen und während der üblichen Geschäftszeiten ohne vermeidbare Störung des Betriebs durchzuführen.

(3) Der Nachweis kann auch durch geeignete Zertifikate, Prüfberichte oder Selbstauskünfte erbracht werden.

§ 8 Pflichten des Auftraggebers

(1) Der Auftraggeber ist für die Rechtmäßigkeit der Verarbeitung sowie für die Wahrung der Rechte der betroffenen Personen verantwortlich.

(2) Der Auftraggeber informiert den Auftragnehmer unverzüglich, wenn er Fehler oder Unregelmäßigkeiten bei der Prüfung der Auftragsergebnisse feststellt.

(3) Der Auftraggeber benennt dem Auftragnehmer einen Ansprechpartner für Datenschutzfragen.

§ 9 Löschung und Rückgabe von Daten

(1) Nach Abschluss der Leistungen löscht der Auftragnehmer nach Wahl des Auftraggebers alle personenbezogenen Daten oder gibt sie zurück, sofern nicht nach dem Unionsrecht oder dem Recht eines Mitgliedstaats eine Verpflichtung zur Speicherung besteht. Dies gilt auch für Kopien und Datensicherungen.

(2) Die Löschung wird auf Anforderung in Textform bestätigt.

(3) Dokumentationen, die dem Nachweis der ordnungsgemäßen Datenverarbeitung dienen, darf der Auftragnehmer entsprechend den gesetzlichen Aufbewahrungsfristen über das Vertragsende hinaus aufbewahren.

§ 10 Haftung

Für die Haftung der Parteien gegenüber betroffenen Personen gilt Art. 82 DSGVO. Im Verhältnis der Parteien zueinander gelten die Haftungsregelungen des Hauptvertrags bzw. der Allgemeinen Geschäftsbedingungen, soweit nicht zwingendes Recht entgegensteht.

§ 11 Schlussbestimmungen

(1) Bei Widersprüchen zwischen diesem Vertrag und dem Hauptvertrag gehen die Regelungen dieses Vertrags vor, soweit sie den Schutz personenbezogener Daten betreffen.

(2) Änderungen und Ergänzungen dieses Vertrags bedürfen der Textform. Dieser Vertrag kann auch in einem elektronischen Format abgeschlossen werden (Art. 28 Abs. 9 DSGVO).

(3) Sollte eine Bestimmung dieses Vertrags unwirksam sein oder werden, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt.

(4) Es gilt das Recht der Bundesrepublik Deutschland. Gerichtsstand ist der Sitz des Auftragnehmers, soweit gesetzlich zulässig.

Anlage 1: Art der Daten, betroffene Personen und Zwecke

Kategorien betroffener Personen

Beschäftigte und sonstige Nutzer der IT-Systeme des Auftraggebers
Kunden, Interessenten und Geschäftspartner des Auftraggebers
Bürgerinnen und Bürger, soweit der Auftraggeber eine öffentliche Stelle ist
Ansprechpartner und sonstige Personen, deren Daten in den Systemen des Auftraggebers gespeichert sind

Arten personenbezogener Daten

Stammdaten und Kontaktdaten (z. B. Name, Anschrift, E-Mail-Adresse, Telefonnummer)
Benutzer- und Zugangsdaten (z. B. Benutzerkonten, Gruppen, Berechtigungen)
Kommunikationsdaten (z. B. E-Mails, Kalender, Dateien in Postfächern und Freigaben)
Protokoll- und Nutzungsdaten (z. B. Anmeldeprotokolle, IP-Adressen, Geräteinformationen)
Inhaltsdaten, die in den betreuten Systemen gespeichert sind (z. B. Dokumente, Datenbanken, Datensicherungen)

Besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO werden nur verarbeitet, soweit sie in den Systemen des Auftraggebers gespeichert sind und ein Zugriff zur Leistungserbringung unvermeidbar ist.

Zwecke

Betrieb, Wartung, Überwachung und Absicherung der IT-Infrastruktur
Fehleranalyse, Support und Fernwartung
Einrichtung, Migration und Verwaltung von Server-, Netzwerk- und Cloud-Diensten
Datensicherung, Wiederherstellung und Notfallvorsorge
Durchführung von Security-Audits und Sicherheitsprüfungen

Anlage 2: Unterauftragsverarbeiter

Zum Zeitpunkt des Vertragsschlusses setzt der Auftragnehmer folgende Unterauftragsverarbeiter ein:

[Name, Anschrift, Leistung, Ort der Verarbeitung – vor Veröffentlichung ergänzen]

Anlage 3: Technische und organisatorische Maßnahmen

Die technischen und organisatorischen Maßnahmen des Auftragnehmers sind unter Technische und organisatorische Maßnahmen (TOM) beschrieben und Bestandteil dieses Vertrags.

Vertrag zur Auftrags­verarbeitung