Auftrags-
verarbeitungsvertragAuftragsverarbeitungsvertrag
Vereinbarung zur Auftragsverarbeitung gemäß Art. 28 DSGVO
1. Vertragsparteien
Auftragsverarbeiter:
smiit GmbH, Reiherweg 96, 89584 Ehingen, Deutschland
E-Mail: kontakt@smiit.de
Telefon: +49 160 4073198
Datenschutzbeauftragter: Noah Neßlauer
Verantwortlicher: der Kunde, der smiit Analytics gemäß den Allgemeinen Geschäftsbedingungen nutzt (nachfolgend „Verantwortlicher“).
Diese Vereinbarung konkretisiert die datenschutzrechtlichen Pflichten der Parteien für die Verarbeitung personenbezogener Daten im Rahmen der Bereitstellung und des Betriebs von smiit Analytics.
2. Gegenstand und Dauer der Verarbeitung
Gegenstand der Verarbeitung ist die Erbringung der in den Allgemeinen Geschäftsbedingungen und im jeweiligen Einzelvertrag beschriebenen Leistungen rund um smiit Analytics — insbesondere die Anbindung der Datenquellen des Verantwortlichen, der Aufbau und Betrieb des Datenmodells sowie die Bereitstellung von Dashboards, Auswertungen und KI-gestützten Analysefunktionen.
Die Dauer der Verarbeitung entspricht der Laufzeit des zugrunde liegenden Hauptvertrags. Sie endet mit dessen Beendigung, sofern nicht gesetzliche Aufbewahrungspflichten eine längere Speicherung erfordern.
3. Art und Zweck der Verarbeitung
Die Verarbeitung erfolgt ausschließlich zu dem Zweck, die vertraglich vereinbarten Leistungen zu erbringen. Eine Verarbeitung zu eigenen Zwecken des Auftragsverarbeiters findet nicht statt.
Die Verarbeitung umfasst insbesondere folgende Tätigkeiten:
- Erheben, Erfassen und Auslesen von Daten aus den vom Verantwortlichen freigegebenen Quellsystemen
- Speichern, Organisieren und Strukturieren der Daten im Datenmodell
- Auswerten, Aggregieren und Visualisieren der Daten in Dashboards und Berichten
- Verarbeitung durch KI-gestützte Analyse- und Assistenzfunktionen, soweit vom Verantwortlichen aktiviert
- Löschen und Vernichten von Daten nach Weisung oder nach Vertragsende
4. Art der Daten und Kategorien betroffener Personen
Je nach den vom Verantwortlichen angebundenen Quellsystemen können folgende Datenarten verarbeitet werden:
- Stammdaten (z. B. Name, Firmenzugehörigkeit, Kunden- und Lieferantennummer)
- Kontaktdaten (z. B. Anschrift, E-Mail-Adresse, Telefonnummer)
- Vertrags- und Abrechnungsdaten (z. B. Angebote, Aufträge, Rechnungen, Zahlungsinformationen)
- Leistungs- und Zeiterfassungsdaten, soweit im Quellsystem vorhanden
- Nutzungs- und Protokolldaten der Analyseplattform (z. B. Anmeldezeitpunkte, aufgerufene Berichte)
5. Kategorien betroffener Personen
- Kunden und Interessenten des Verantwortlichen
- Lieferanten und Dienstleister des Verantwortlichen
- Beschäftigte und Ansprechpartner des Verantwortlichen
- Nutzerinnen und Nutzer der Analyseplattform
6. Rechte und Pflichten des Verantwortlichen
Der Verantwortliche ist für die Rechtmäßigkeit der Verarbeitung sowie für die Wahrung der Rechte betroffener Personen allein verantwortlich.
Der Verantwortliche erteilt alle Weisungen grundsätzlich in Textform. Mündliche Weisungen sind unverzüglich in Textform zu bestätigen.
Der Verantwortliche informiert den Auftragsverarbeiter unverzüglich, wenn er Fehler oder Unregelmäßigkeiten bei der Prüfung der Verarbeitungsergebnisse feststellt.
7. Pflichten des Auftragsverarbeiters
a) Weisungsgebundenheit
Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen, es sei denn, er ist nach Unionsrecht oder dem Recht eines Mitgliedstaats zur Verarbeitung verpflichtet. In diesem Fall teilt er dem Verantwortlichen diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht dies nicht wegen eines wichtigen öffentlichen Interesses verbietet.
Ist der Auftragsverarbeiter der Auffassung, dass eine Weisung gegen datenschutzrechtliche Vorschriften verstößt, weist er den Verantwortlichen unverzüglich darauf hin. Er ist berechtigt, die Durchführung der betreffenden Weisung bis zu deren Bestätigung oder Änderung auszusetzen.
b) Vertraulichkeit
Der Auftragsverarbeiter stellt sicher, dass sich alle zur Verarbeitung befugten Personen zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen. Die Verpflichtung besteht auch nach Beendigung des Vertragsverhältnisses fort.
c) Datensicherheit
Der Auftragsverarbeiter trifft alle nach Art. 32 DSGVO erforderlichen technischen und organisatorischen Maßnahmen (siehe Ziffer 9) und hält diese während der gesamten Vertragslaufzeit aufrecht. Maßnahmen dürfen fortentwickelt werden, sofern das vereinbarte Schutzniveau nicht unterschritten wird.
d) Unterstützung des Verantwortlichen
Der Auftragsverarbeiter unterstützt den Verantwortlichen mit geeigneten technischen und organisatorischen Maßnahmen bei der Erfüllung von Anträgen betroffener Personen (Art. 12 bis 23 DSGVO) sowie bei der Einhaltung der Pflichten aus Art. 32 bis 36 DSGVO, insbesondere bei Datenschutz-Folgenabschätzungen.
Wendet sich eine betroffene Person unmittelbar an den Auftragsverarbeiter, leitet dieser das Anliegen unverzüglich an den Verantwortlichen weiter.
e) Meldung von Datenschutzverletzungen
Der Auftragsverarbeiter meldet dem Verantwortlichen jede Verletzung des Schutzes personenbezogener Daten unverzüglich, spätestens jedoch innerhalb von 24 Stunden nach Kenntniserlangung, und unterstützt ihn bei der Erfüllung der Melde- und Benachrichtigungspflichten nach Art. 33 und 34 DSGVO.
f) Nachweise und Kontrollen
Der Auftragsverarbeiter stellt dem Verantwortlichen alle Informationen zur Verfügung, die zum Nachweis der Einhaltung der Pflichten aus Art. 28 DSGVO erforderlich sind, und ermöglicht Überprüfungen einschließlich Inspektionen.
Kontrollen sind mit angemessener Vorlaufzeit von mindestens 14 Tagen anzukündigen, während der üblichen Geschäftszeiten durchzuführen und dürfen den Betriebsablauf nicht unverhältnismäßig beeinträchtigen. Der Nachweis kann auch durch aktuelle Zertifikate, Testate oder Prüfberichte unabhängiger Stellen erbracht werden.
8. Unterauftragsverarbeiter
Der Verantwortliche erteilt dem Auftragsverarbeiter die allgemeine Genehmigung, weitere Auftragsverarbeiter hinzuzuziehen. Der Auftragsverarbeiter informiert den Verantwortlichen über beabsichtigte Änderungen in Bezug auf die Hinzuziehung oder Ersetzung von Unterauftragsverarbeitern; der Verantwortliche kann hiergegen innerhalb von 14 Tagen aus wichtigem Grund Einspruch erheben.
Der Auftragsverarbeiter verpflichtet jeden Unterauftragsverarbeiter vertraglich auf ein Datenschutzniveau, das dem dieser Vereinbarung entspricht, und haftet für dessen Verhalten wie für eigenes.
Zum Zeitpunkt des Vertragsschlusses sind insbesondere folgende Unterauftragsverarbeiter eingesetzt:
- Microsoft Ireland Operations Ltd., Irland — Hosting und Betrieb der Datenplattform (Microsoft Azure, Microsoft Fabric, Power BI)
- GitHub Inc., USA — Hosting dieser Website
- EmailJS Pte. Ltd., Singapur — technischer Versand von Kontaktformular-Nachrichten
- Calendly LLC, USA — Terminvereinbarung
9. Technische und organisatorische Maßnahmen
Der Auftragsverarbeiter hat die folgenden Maßnahmen nach Art. 32 DSGVO umgesetzt:
- Zutrittskontrolle: Verarbeitung in zertifizierten Rechenzentren der eingesetzten Cloud-Anbieter mit physischen Zugangssicherungen
- Zugangskontrolle: individuelle Benutzerkonten, Mehr-Faktor-Authentifizierung, Passwortrichtlinien, automatische Sperrung inaktiver Sitzungen
- Zugriffskontrolle: rollenbasiertes Berechtigungskonzept nach dem Prinzip der geringsten Rechte, Trennung von Administrations- und Anwenderrollen
- Weitergabekontrolle: Transportverschlüsselung (TLS 1.2 oder höher) für alle Übertragungen, Verschlüsselung ruhender Daten
- Eingabekontrolle: Protokollierung von Anmeldungen, administrativen Änderungen und Zugriffen auf Berichte
- Verfügbarkeitskontrolle: regelmäßige Sicherungen, redundante Speicherung, dokumentierte Wiederherstellungsverfahren
- Trennungskontrolle: mandantengetrennte Speicherung und Verarbeitung der Daten je Verantwortlichem
- Verfahren zur regelmäßigen Überprüfung, Bewertung und Evaluierung der Wirksamkeit der Maßnahmen
10. Verarbeitung in Drittländern
Eine Verarbeitung personenbezogener Daten in einem Drittland findet nur statt, wenn die besonderen Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind — insbesondere auf Grundlage eines Angemessenheitsbeschlusses oder der Standardvertragsklauseln der Europäischen Kommission nebst ergänzender Schutzmaßnahmen.
Der Betrieb der Datenplattform erfolgt standardmäßig in Rechenzentren innerhalb der Europäischen Union.
11. Löschung und Rückgabe der Daten
Nach Abschluss der Erbringung der Verarbeitungsleistungen löscht der Auftragsverarbeiter alle personenbezogenen Daten oder gibt sie nach Wahl des Verantwortlichen zurück, sofern keine gesetzliche Pflicht zur Speicherung besteht.
Die Rückgabe erfolgt in einem gängigen, maschinenlesbaren Format. Sicherungskopien werden im Rahmen der regulären Backup-Zyklen gelöscht.
Die Löschung wird dem Verantwortlichen auf Anfrage in Textform bestätigt.
12. Haftung
Für die Haftung der Parteien gilt Art. 82 DSGVO. Im Übrigen gelten die Haftungsregelungen des Hauptvertrags.
13. Schlussbestimmungen
Änderungen und Ergänzungen dieser Vereinbarung bedürfen der Textform. Dies gilt auch für die Aufhebung dieses Formerfordernisses.
Sollten einzelne Bestimmungen dieser Vereinbarung unwirksam sein oder werden, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt.
Bei Widersprüchen zwischen dieser Vereinbarung und dem Hauptvertrag gehen die Regelungen dieser Vereinbarung vor, soweit die Verarbeitung personenbezogener Daten betroffen ist.
Es gilt das Recht der Bundesrepublik Deutschland.
Stand: August 2026