Vertrag zur Auftragsverarbeitung
Nach Art. 28 DSGVO, zwischen dem Kunden des Advisordesk („Auftraggeber“) und [Firmenname] („Auftragnehmer“). Der Vertrag kommt mit der Bestätigung bei der Anmeldung zustande und gilt, solange der Hauptvertrag besteht.
Entwurf: Die markierten Angaben müssen vor dem Start ersetzt und der Text rechtlich geprüft werden.
§ 1 Gegenstand und Dauer
Der Auftragnehmer betreibt für den Auftraggeber die Software Advisordesk (Hauptvertrag: AGB). Dabei verarbeitet er personenbezogene Daten, für die der Auftraggeber verantwortlich ist. Die Dauer dieses Vertrags richtet sich nach der des Hauptvertrags.
§ 2 Art, Zweck und Umfang der Verarbeitung
Speichern, Anzeigen, Auswerten und Übermitteln von Daten im Rahmen der Funktionen der Software: Mandantenakte, Angebotsseiten, Fragebögen, Beratungsprotokolle, Aufgaben, Courtage, Diktat und – nur wenn der Auftraggeber sie einrichtet – KI-Assistenten.
Arten von Daten: Stamm- und Kontaktdaten, Vertrags- und Bestandsdaten, Angaben zu Einkommen und Vermögen, Beratungsinhalte, Dokumente; soweit der Auftraggeber sie erfasst, auch Gesundheitsdaten (Art. 9 DSGVO), etwa aus Gesundheitsfragen.
Betroffene Personen: Mandanten und Interessenten des Auftraggebers, deren Angehörige und mitversicherte Personen, Beschäftigte des Auftraggebers.
§ 3 Weisungen
Der Auftragnehmer verarbeitet die Daten nur auf dokumentierte Weisung des Auftraggebers. Die Weisungen sind mit diesem Vertrag und der Nutzung der Software erteilt; weitere Weisungen erteilt der Auftraggeber in Textform. Hält der Auftragnehmer eine Weisung für rechtswidrig, teilt er das unverzüglich mit.
§ 4 Vertraulichkeit
Personen, die beim Auftragnehmer Zugang zu den Daten haben, sind zur Vertraulichkeit verpflichtet. Zugriff auf Daten des Auftraggebers erfolgt nur, soweit er für Betrieb, Fehlerbehebung oder Unterstützung nötig ist.
§ 5 Technische und organisatorische Maßnahmen
Der Auftragnehmer trifft die Maßnahmen nach Art. 32 DSGVO, insbesondere: Betrieb in einem Rechenzentrum in Deutschland, getrennte Datenbereiche je Büro, verschlüsselte Übertragung (TLS), Verschlüsselung sensibler Felder, Anmeldung je Person mit zweitem Faktor, Protokollierung sicherheitsrelevanter Vorgänge, regelmäßige Sicherungen. Die Beschreibung auf der Seite Sicherheit ist Bestandteil dieses Vertrags. [ausführliche TOM-Anlage beifügen]
§ 6 Unterauftragsverarbeiter
Der Auftraggeber stimmt dem Einsatz folgender Unterauftragsverarbeiter zu:
- Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen – Hosting, Rechenzentrum in Deutschland
- [Anbieter des Mailversands der Plattform, falls genutzt]
- [Langdock GmbH, Anschrift] – KI-Assistenten der Pakete mit KI, nur für Anfragen, die der Auftraggeber an einen Assistenten richtet (Verarbeitung in der EU)
Über neue oder geänderte Unterauftragsverarbeiter informiert der Auftragnehmer mindestens [vier Wochen] vorher in Textform. Der Auftraggeber kann aus wichtigem datenschutzrechtlichem Grund widersprechen; kommt keine Einigung zustande, darf er den Hauptvertrag außerordentlich kündigen.
§ 7 Unterstützung des Auftraggebers
Der Auftragnehmer unterstützt den Auftraggeber bei Anfragen betroffener Personen (Art. 12–22 DSGVO), bei Datenschutz-Folgenabschätzungen und bei der Meldung von Verletzungen.
§ 8 Verletzungen des Schutzes personenbezogener Daten
Der Auftragnehmer meldet dem Auftraggeber eine Verletzung unverzüglich, spätestens innerhalb von [24 Stunden] nach Kenntnis, mit den Angaben nach Art. 33 Abs. 3 DSGVO, soweit bekannt.
§ 9 Nachweise und Kontrollen
Der Auftragnehmer weist die Einhaltung seiner Pflichten auf Anfrage nach. Kontrollen vor Ort sind nach rechtzeitiger Anmeldung zu den üblichen Geschäftszeiten möglich, ohne den Betrieb zu stören.
§ 10 Ende des Auftrags
Nach Ende des Hauptvertrags stellt der Auftragnehmer die Daten noch [30 Tage] zum Export bereit und löscht sie danach einschließlich aller Kopien, soweit keine gesetzliche Pflicht zur Aufbewahrung besteht. Sicherungen werden im regulären Turnus überschrieben.
§ 11 Schlussbestimmungen
Bei Widersprüchen geht dieser Vertrag dem Hauptvertrag vor, soweit es um den Schutz personenbezogener Daten geht. Änderungen bedürfen der Textform. Es gilt das Recht der Bundesrepublik Deutschland.
Fassung 2026-10 · Stand: Oktober 2026