Vertrag zur Auftragsverarbeitung

Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO · Stand: Oktober 2026 · Version 1.0

Dieser Vertrag wird zwischen dem Kunden als Verantwortlichem („Kunde“) und der Obsidian Global F.Z.E., Office C1-1F-SF5376, Ajman Free Zone C1 Building, Ajman, Vereinigte Arabische Emirate, handelnd unter der Marke Obsidian Digital, als Auftragsverarbeiter („Auftragnehmer“) geschlossen. Er wird mit der Bestellung des Einsatzkalenders abgeschlossen und ist Bestandteil des Hauptvertrags.

§ 1 Gegenstand und Dauer

(1) Gegenstand ist die Verarbeitung personenbezogener Daten beim Betrieb des Einsatzkalenders für den Kunden.

(2) Die Laufzeit entspricht der Laufzeit des Betriebs nach dem Hauptvertrag.

§ 2 Art, Zweck und Umfang der Verarbeitung

(1) Zweck: Anzeige der Verfügbarkeit des Kunden, Entgegennahme von Terminanfragen und deren Übermittlung per E-Mail an den Kunden sowie Versand einer Eingangsbestätigung an den Anfragenden.

(2) Arten der Daten: Name, Firma, E-Mail-Adresse, Telefonnummer, Nachricht und angefragte Tage der Anfragenden; Belegungszeiten aus dem Kalender des Kunden; Einträge des Kunden im Admin-Bereich; technische Verbindungsdaten wie IP-Adressen.

(3) Kategorien betroffener Personen: Auftraggeber und Interessenten des Kunden, der Kunde und seine Beschäftigten.

(4) Kalenderdaten werden nur abgerufen, um Belegungszeiten auszuwerten. Titel, Orte und weitere Inhalte von Terminen werden nicht gespeichert.

§ 3 Weisungen

(1) Der Auftragnehmer verarbeitet die Daten nur auf dokumentierte Weisung des Kunden. Der Hauptvertrag und dieser Vertrag sind die Weisungen. Weitere Weisungen erteilt der Kunde in Textform.

(2) Hält der Auftragnehmer eine Weisung für rechtswidrig, informiert er den Kunden unverzüglich.

§ 4 Vertraulichkeit

Der Auftragnehmer setzt nur Personen ein, die zur Vertraulichkeit verpflichtet sind.

§ 5 Technische und organisatorische Maßnahmen

Der Auftragnehmer trifft die in Anlage 1 beschriebenen Maßnahmen nach Art. 32 DSGVO. Er darf sie weiterentwickeln, soweit das Schutzniveau nicht sinkt.

§ 6 Unterauftragsverarbeiter

(1) Der Kunde genehmigt die in Anlage 2 genannten Unterauftragsverarbeiter.

(2) Der Auftragnehmer informiert den Kunden mindestens vier Wochen vor Hinzuziehung oder Ersetzung eines Unterauftragsverarbeiters in Textform. Der Kunde kann aus wichtigem datenschutzrechtlichem Grund widersprechen. Kommt keine Einigung zustande, können beide Parteien den Betrieb außerordentlich kündigen.

(3) Der Auftragnehmer verpflichtet Unterauftragsverarbeiter vertraglich auf ein gleichwertiges Schutzniveau.

§ 7 Übermittlung in Drittländer

(1) Der Auftragnehmer hat seinen Sitz in den Vereinigten Arabischen Emiraten, für die kein Angemessenheitsbeschluss der EU-Kommission besteht.

(2) Für Übermittlungen an den Auftragnehmer vereinbaren die Parteien die Standardvertragsklauseln der EU-Kommission nach Durchführungsbeschluss (EU) 2021/914, Modul 2 (Übermittlung von Verantwortlichen an Auftragsverarbeiter). Sie werden durch Verweis in diesen Vertrag einbezogen. Dabei gilt: Klausel 7 findet keine Anwendung; in Klausel 9 gilt Option 2 mit der Frist nach § 6 Abs. 2; die optionale Formulierung in Klausel 11 findet keine Anwendung; zuständige Aufsichtsbehörde nach Klausel 13 ist die für den Kunden zuständige Behörde; anwendbares Recht nach Klausel 17 ist deutsches Recht; Gerichtsstand nach Klausel 18 sind die Gerichte in Deutschland. Die Anhänge der Klauseln ergeben sich aus diesem Vertrag und seinen Anlagen.

(3) Im Widerspruchsfall gehen die Standardvertragsklauseln diesem Vertrag vor.

§ 8 Unterstützung des Kunden

Der Auftragnehmer unterstützt den Kunden mit geeigneten Maßnahmen bei der Erfüllung der Rechte betroffener Personen sowie bei den Pflichten nach Art. 32 bis 36 DSGVO. Anfragen betroffener Personen leitet er unverzüglich an den Kunden weiter.

§ 9 Meldung von Verletzungen

Der Auftragnehmer meldet dem Kunden eine Verletzung des Schutzes personenbezogener Daten unverzüglich, möglichst innerhalb von 48 Stunden nach Kenntnis, mit den Angaben nach Art. 33 Abs. 3 DSGVO, soweit verfügbar.

§ 10 Löschung und Rückgabe

Nach Ende des Betriebs löscht der Auftragnehmer alle im Auftrag verarbeiteten Daten innerhalb von 30 Tagen, sofern keine gesetzliche Pflicht zur Speicherung besteht. Auf Wunsch stellt er dem Kunden vorher die Einträge seines Admin-Bereichs bereit.

§ 11 Nachweise und Kontrollen

Der Auftragnehmer stellt dem Kunden die zum Nachweis der Pflichten erforderlichen Informationen zur Verfügung und ermöglicht Überprüfungen nach vorheriger Abstimmung. Dabei dürfen Nachweise von Unterauftragsverarbeitern, etwa Zertifizierungen, herangezogen werden.

§ 12 Schlussbestimmungen

Es gilt das Recht der Bundesrepublik Deutschland. Im Übrigen gelten die Regelungen des Hauptvertrags.

Anlage 1 · Technische und organisatorische Maßnahmen

Verschlüsselung: Alle Verbindungen zum Einsatzkalender sind per TLS verschlüsselt. Kalender-Links des Kunden werden verschlüsselt gespeichert und nicht angezeigt.

Zugangs- und Zugriffskontrolle: Der Admin-Bereich ist passwortgeschützt; der Vergleich erfolgt über Hashwerte. Fehlversuche werden begrenzt. Der Zugang des Auftragnehmers zur Infrastruktur ist durch Passwort und Zwei-Faktor-Authentifizierung geschützt.

Trennung: Die Daten jedes Kunden werden logisch getrennt verarbeitet.

Datenminimierung: Inhalte von Anfragen werden nicht im Kalender gespeichert, sondern per E-Mail übermittelt. Gespeichert wird nur, an welchen Tagen Anfragen eingegangen sind; diese Markierungen werden nach spätestens 3 Tagen gelöscht. Kalenderdaten werden höchstens 5 Minuten zwischengespeichert.

Missbrauchsschutz: Formulare sind gegen automatisierte Zugriffe geschützt; die Zahl der Anfragen ist begrenzt.

Verfügbarkeit: Der Betrieb erfolgt auf der verteilten Infrastruktur von Cloudflare.

Anlage 2 · Unterauftragsverarbeiter

Cloudflare, Inc., 101 Townsend St., San Francisco, CA 94107, USA: Hosting, Datenspeicherung und E-Mail-Versand. Übermittlungsgrundlage: EU-US Data Privacy Framework und Standardvertragsklauseln.