Vereinbarung über die Auftragsverarbeitung bei SimpleDPP

Version 2026-10-15 · 15. Oktober 2026

Vertragssprache: Deutsch. Die Anlagen dieser Version sind Bestandteil der Vereinbarung. Die Informationen zum Startbetrieb ohne externe Sicherung sind ausdrücklich zu beachten; gesetzliche Sicherheitsanforderungen werden dadurch nicht abbedungen.

1. Parteien und Gegenstand

1. Auftraggeber ist das in der zugehörigen SimpleDPP-Bestellung bezeichnete Kundenunternehmen. Auftragnehmer ist die Simplarix GmbH, Voßhorst 9, 45699 Herten, Deutschland, contact@simple-dpp.com. Die in der Bestellung dokumentierte Annahme dieser Vereinbarung erfasst auch ihre versionierten Anlagen.
2. Diese Vereinbarung gilt für personenbezogene Daten, die der Auftragnehmer im Zusammenhang mit SimpleDPP nach Weisung des Auftraggebers verarbeitet. Gegenstand, Dauer, Zwecke, Verarbeitungsarten, Datenarten und betroffene Personen werden in Anlage 1 beschrieben.
3. Der Auftraggeber ist für die Rechtmäßigkeit der von ihm bestimmten Verarbeitung, die erforderliche Rechtsgrundlage, Informationen gegenüber Betroffenen und die Richtigkeit seiner Weisungen verantwortlich. Handelt er selbst als Auftragsverarbeiter, stellt er seine Berechtigung zur Unterbeauftragung und zur Erteilung der Weisungen sicher. Gesetzliche Eigenpflichten des Auftragnehmers bleiben bestehen.
4. Eigene Verarbeitung des Auftragnehmers für dessen Vertragsverwaltung, gesetzliche Rechnungsaufbewahrung oder eigene Sicherheitszwecke ist nur im jeweils zulässigen Umfang möglich und in den Datenschutzhinweisen gesondert beschrieben. Dieser AVV erlaubt keine Umwidmung der beauftragten Kundeninhalte für eigenständige Zwecke.

2. Weisungen

1. Der Auftragnehmer verarbeitet die Daten ausschließlich auf dokumentierte Weisung des Auftraggebers. Die Nutzung der vereinbarten Funktionen, etwa Speichern, Veröffentlichen, Rechtevergabe oder Export, konkretisiert die Weisungen im vereinbarten Umfang. Weitere Weisungen können in Textform erteilt werden. Mündliche Weisungen in dringenden Fällen werden unverzüglich dokumentiert.
2. Weisungsberechtigt sind die in Bestellung beziehungsweise Unternehmensverwaltung hierfür legitimierten Personen. Der Auftragnehmer prüft die Berechtigung angemessen. Zuständige Kontakte und Änderungen werden in Anlage 1 dokumentiert.
3. Hält der Auftragnehmer eine Weisung für datenschutzwidrig, informiert er den Auftraggeber unverzüglich und darf die betroffene Verarbeitung bis zur Klärung aussetzen. Er setzt dabei nur die konkret betroffene Verarbeitung aus, soweit eine weitergehende Maßnahme nicht erforderlich ist.
4. Eine durch Unionsrecht oder mitgliedstaatliches Recht vorgeschriebene Verarbeitung außerhalb einer Weisung wird dem Auftraggeber vorab mitgeteilt, soweit dieses Recht eine solche Mitteilung nicht aus wichtigen Gründen des öffentlichen Interesses verbietet. Übermittlungen in Drittländer bedürfen einer dokumentierten Weisungsgrundlage und der Voraussetzungen des Kapitels V DSGVO.

3. Vertraulichkeit und Sicherheit

1. Der Auftragnehmer gewährt personenbezogenen Daten nur solchen Personen Zugang, die ihn für ihre Aufgaben benötigen und zur Vertraulichkeit verpflichtet sind oder einer entsprechenden gesetzlichen Pflicht unterliegen. Sie werden angemessen über Datenschutz und sichere Verarbeitung unterrichtet. Berechtigungen werden regelmäßig und bei Aufgabenwechsel überprüft.
2. Der Auftragnehmer gewährleistet die unter Berücksichtigung von Art, Umfang, Umständen, Zwecken und Risiken der Verarbeitung erforderlichen Maßnahmen nach Art. 32 DSGVO. Die vereinbarten Maßnahmen sind in Anlage 2 konkretisiert.
3. Maßnahmen dürfen an die technische Entwicklung angepasst werden, wenn das vereinbarte Schutzniveau mindestens erhalten bleibt. Wesentliche Änderungen werden dokumentiert und dem Auftraggeber verfügbar gemacht. Eine wesentliche Absenkung erfordert eine vorherige Vereinbarung; gesetzliche Mindestanforderungen sind nicht abdingbar.

4. Weitere Auftragsverarbeiter

1. Der Auftraggeber erteilt eine allgemeine Genehmigung zum Einsatz weiterer Auftragsverarbeiter nach den folgenden Bedingungen. Die zum Vertragsabschluss eingesetzten und genehmigten Dienstleister ergeben sich aus Anlage 3. Nicht benannte neue Auftragsverarbeiter sind von dieser Aufstellung nicht umfasst.
2. Über eine beabsichtigte Hinzuziehung oder Ersetzung informiert der Auftragnehmer mindestens 30 Kalendertage vor Beginn der Verarbeitung in Textform. Die Information umfasst Identität, Aufgabe, betroffene Daten, Verarbeitungsorte und gegebenenfalls Übermittlungsgrundlage. Der Auftraggeber kann innerhalb dieser Frist aus nachvollziehbaren Datenschutzgründen widersprechen.
3. Bei einem Widerspruch prüfen die Parteien eine Lösung, etwa zusätzliche Schutzmaßnahmen oder eine geeignete Alternative. Die beanstandete neue Verarbeitung beginnt für diesen Auftraggeber erst nach Klärung oder anderweitiger zulässiger Genehmigung. Ist eine Fortführung ohne den Wechsel nicht möglich, vereinbaren die Parteien eine geordnete Beendigung des betroffenen Dienstes mit Rückgabe beziehungsweise Übergabe; bereits bezahlte, nicht mehr erbrachte Leistungen werden anteilig erstattet. Eine notwendige regulatorische Kontinuität wird gesondert abgesichert.
4. Der Auftragnehmer verpflichtet weitere Auftragsverarbeiter vertraglich auf Datenschutzpflichten, die den für ihre Leistung maßgeblichen Pflichten dieser Vereinbarung entsprechen. Er prüft deren Eignung und bleibt gegenüber dem Auftraggeber für die Erfüllung der weitergegebenen Verpflichtungen verantwortlich.
5. Bloße Nebenleistungen ohne beauftragte Verarbeitung von Kundendaten sind keine pauschale Erlaubnis zum Datenzugriff. Rollen und Schutzpflichten werden auch bei solchen Dienstleistern geprüft. Ein eigenständig Verantwortlicher wird nicht allein durch seine Aufnahme in eine Dienstleisterliste zum Unterauftragsverarbeiter.

5. Unterstützung und Vorfälle

1. Der Auftragnehmer unterstützt den Auftraggeber mit geeigneten technischen und organisatorischen Maßnahmen bei der Bearbeitung von Betroffenenrechten. Direkt eingehende Anfragen zu beauftragten Inhalten leitet er unverzüglich an den Auftraggeber weiter. Ohne entsprechende Weisung beantwortet er sie nicht in dessen Namen, soweit keine eigene gesetzliche Pflicht besteht.
2. Unter Berücksichtigung der Verarbeitungsart und verfügbarer Informationen unterstützt er den Auftraggeber bei der Einhaltung der Pflichten zu Sicherheit, Meldungen von Datenschutzverletzungen, Datenschutz-Folgenabschätzungen und erforderlicher vorheriger Konsultation der Aufsichtsbehörde.
3. Nach Bekanntwerden einer Verletzung des Schutzes personenbezogener Daten im Auftrag informiert er den Auftraggeber unverzüglich. Die erste Mitteilung wird nicht bis zum Abschluss der Untersuchung zurückgehalten. Sie beschreibt, soweit bekannt, Art und Umfang, betroffene Daten-/Personengruppen, wahrscheinliche Folgen, ergriffene oder geplante Maßnahmen und einen Ansprechpartner. Fehlende Angaben werden schrittweise nachgereicht.
4. Der Auftragnehmer sichert relevante Nachweise, begrenzt Schäden und stimmt erforderliche Mitwirkung ab. Gesetzliche Meldepflichten des Auftraggebers und eigene gesetzliche Pflichten bleiben unberührt. Meldungen im Namen des Auftraggebers erfolgen nur mit entsprechender Beauftragung oder gesetzlicher Verpflichtung.
5. Notwendige Mitwirkung wird nicht bis zu einer Preisverhandlung aufgeschoben. Die regulären Pflichten aus diesem AVV sind im vereinbarten Dienstentgelt enthalten. Darüber hinausgehende, rechtlich nicht geschuldete Beratungs- oder Entwicklungsleistungen können nach gesondertem Angebot beauftragt werden.

6. Nachweise und Kontrollen

1. Der Auftragnehmer stellt alle zur Prüfung der Einhaltung dieser Vereinbarung erforderlichen Informationen zur Verfügung und ermöglicht angemessene Überprüfungen einschließlich Inspektionen durch den Auftraggeber oder einen von ihm beauftragten unabhängigen Prüfer. Er wirkt an ihnen mit.
2. Vorhandene aussagekräftige Prüfberichte und Dokumentationen können zur Vermeidung unnötiger Eingriffe verwendet werden. Sie ersetzen ein begründetes weitergehendes Kontrollrecht nicht. Regelmäßige Kontrollen werden mit angemessener Vorankündigung und unter Schutz anderer Kunden, Betriebsgeheimnisse und Sicherheit durchgeführt. Bei konkreten Vorfällen oder behördlichen Anforderungen sind kürzere Fristen möglich.
3. Vertraulichkeitspflichten für Prüfer dürfen erforderliche Feststellungen und deren zulässige Weitergabe an den Auftraggeber oder Behörden nicht verhindern. Gesetzliche Befugnisse der Aufsichtsbehörden werden nicht eingeschränkt.
4. Der Auftragnehmer informiert den Auftraggeber unverzüglich über ihn betreffende wesentliche behördliche Maßnahmen oder Prüfungen dieser Auftragsverarbeitung, soweit dies zulässig ist, und unterstützt die erforderliche Aufklärung.

7. Vertragsende, Rückgabe und Löschung

1. Die Vereinbarung gilt während der Hauptleistung und danach, solange der Auftragnehmer noch personenbezogene Daten im Auftrag verarbeitet, insbesondere während Export, vereinbarter Aufbewahrung und Auslaufen zulässiger Sicherungen.
2. Nach Ende der Leistungen gibt der Auftragnehmer die Daten nach Wahl des Auftraggebers zurück oder löscht sie; verbleibende Kopien werden ebenfalls gelöscht, soweit keine gesetzliche Pflicht ihre weitere Speicherung verlangt. Der standardmäßige 90-Tage-Abrufzeitraum und die Datenwechselregelung gelten vorbehaltlich einer zulässigen abweichenden Weisung des Auftraggebers. Eine besondere regulatorische Fortführung wird vorab gesondert vereinbart.
3. Eine gesetzlich erforderliche weitere Speicherung wird hinsichtlich Datenumfang, Rechtsgrundlage, Dauer beziehungsweise Endereignis und Zugriffsbeschränkung dokumentiert und dem Auftraggeber mitgeteilt, soweit zulässig. Die Daten werden nicht zu anderen Zwecken genutzt. Eigene Buchhaltungsunterlagen werden von beauftragten Produktinhalten getrennt behandelt.
4. Im aktuellen Betriebsumfang werden keine externen Sicherungskopien erstellt. Wird später ein Sicherungsverfahren vereinbart, werden Fristen und die erneute Anwendung von Löschungen nach einer Wiederherstellung vor dessen Einsatz festgelegt. Es wird kein unbegrenzter Vorbehalt für „technisch nicht löschbare Backups“ vereinbart.
5. Der Auftragnehmer dokumentiert die Rückgabe beziehungsweise Löschung und bestätigt sie auf Verlangen, einschließlich noch zulässig verbleibender Kategorien und deren Endfristen. Offene Entgeltforderungen begründen kein Zurückbehaltungsrecht an Daten, deren Rückgabe oder Übertragung geschuldet ist.

8. Schlussregeln

Diese Vereinbarung begründet keine Beschränkung gesetzlicher Rechte betroffener Personen oder behördlicher Befugnisse. Im Übrigen gelten die Haftungs- und Schlussregelungen des Hauptvertrags, soweit sie mit zwingendem Datenschutzrecht vereinbar sind. Änderungen und Weisungsnachweise werden in schriftlicher oder elektronischer Form dokumentiert. Die vollständigen versionierten Anlagen werden dem Auftraggeber bei Abschluss speicherbar bereitgestellt.

Rechtsgrundlage: Art. 28 DSGVO und ergänzende Vorgaben.