KundenportalKennenlernen

Stand 25. Oktober 2026

Auftragsverarbeitung

Vertragsgrundlage nach Art. 28 DSGVO für personenbezogene Daten im deaFlow-Arbeitsbereich.

AVV-Muster mit kundenspezifischen AnlagenDiese Seite enthält die vorgesehenen Vertragsbedingungen. Sie ist noch kein abgeschlossener Auftragsverarbeitungsvertrag und kein Nachweis eines geprüften Betriebs. Vor der Verarbeitung echter Kundendaten müssen beide Parteien die vollständige Vereinbarung einschließlich der unten beschriebenen Anlagen verbindlich abschließen.

1. Vertrag und erforderliche Anlagen

Die SCHURR IT UG (haftungsbeschränkt), Schützenstraße 47, 63263 Neu-Isenburg, übernimmt als Auftragsverarbeiter die im Hauptvertrag festgelegten deaFlow-Leistungen. Der im Auftrag benannte Kunde ist Verantwortlicher oder, bei einer eigenen Auftragsverarbeitungskette, berechtigter weiterer Auftragsverarbeiter.

Die Vereinbarung wird schriftlich oder in einem elektronischen Format geschlossen. Bestandteil sind der konkret bezeichnete Hauptvertrag und die versionierten Anlagen zu Verarbeitung, Schutzmaßnahmen, Unterauftragnehmern, Verarbeitungsorten und Löschung. Bei Widersprüchen geht diese AVV für Datenschutzfragen anderen Vertragsbedingungen vor. Gesetzliche Pflichten und Rechte betroffener Personen bleiben unberührt.

2. Gegenstand, Dauer und Rollen

Gegenstand ist die Bereitstellung der beauftragten deaFlow-Module einschließlich Speicherung, Organisation, Abfrage, Änderung, berechtigter Bereitstellung, Sicherung, Wiederherstellung und Löschung der darin verarbeiteten personenbezogenen Daten. Die Verarbeitung dient ausschließlich den dokumentierten betrieblichen Zwecken des Kunden. Der konkrete Umfang ergibt sich aus Anlage 1.

Die Dauer richtet sich nach dem Hauptvertrag einschließlich eines vereinbarten Übergangs- und Rückgabezeitraums. Datenschutzpflichten gelten bis zur vollständigen Löschung oder Rückgabe und, soweit erforderlich, darüber hinaus. Der Kunde bleibt für die Rechtmäßigkeit der Verarbeitung, seine Informationspflichten und Weisungen verantwortlich; SCHURR IT erfüllt die eigenen gesetzlichen Pflichten als Auftragsverarbeiter.

Der Kunde darf nur vereinbarte Datenarten einstellen. Art.-9- und Art.-10-Daten sowie Berufsgeheimnisse oder Sozialdaten sind nur nach ausdrücklicher Aufnahme in Anlage 1 und Prüfung zusätzlicher Anforderungen zugelassen. Eine allgemeine Freigabe „aller sensiblen Daten“ ist damit nicht verbunden.

3. Weisungen und Vertraulichkeit

SCHURR IT verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Kunden, auch bei Übermittlungen an ein Drittland. Eine gesetzlich zwingende abweichende Verarbeitung wird dem Kunden vorher mitgeteilt, soweit das betreffende Recht dies nicht aus wichtigen Gründen des öffentlichen Interesses verbietet.

Weisungsberechtigte Personen und Kommunikationswege werden in Anlage 1 festgehalten. Mündliche Notfallweisungen werden unverzüglich dokumentiert. Hält SCHURR IT eine Weisung für datenschutzrechtswidrig, informiert SCHURR IT den Kunden unverzüglich und setzt die betroffene Verarbeitung bis zur rechtmäßigen Klärung aus.

Zugriffsberechtigte Personen werden vor ihrer Tätigkeit zur Vertraulichkeit verpflichtet oder unterliegen einer entsprechenden gesetzlichen Pflicht. Zugriff wird auf das erforderliche Maß begrenzt. Kundeninhalte dürfen nicht eigenmächtig zu Werbezwecken, für allgemeines KI-Training oder für andere eigene Zwecke genutzt werden.

4. Technische und organisatorische Maßnahmen

SCHURR IT trifft die nach Art. 32 DSGVO erforderlichen Maßnahmen unter Berücksichtigung des Stands der Technik, der Implementierungskosten, von Art, Umfang, Umständen und Zwecken der Verarbeitung sowie Eintrittswahrscheinlichkeit und Schwere der Risiken. Die für den konkreten Betrieb umgesetzten Maßnahmen werden in Anlage 2 beschrieben und vor Beginn überprüft.

Die Anlage behandelt Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit, angemessene Verschlüsselung und gegebenenfalls Pseudonymisierung, Wiederherstellbarkeit sowie regelmäßige Wirksamkeitsprüfungen. Weiterentwicklungen dürfen das vereinbarte Schutzniveau nicht unterschreiten. Wesentliche Änderungen werden dokumentiert und dem Kunden mitgeteilt. Ein Marketingtext oder eine geplante Architektur ersetzt keinen Umsetzungsnachweis.

5. Unterauftragnehmer und Verarbeitungsorte

Die bei Vertragsschluss genehmigten weiteren Auftragsverarbeiter werden in Anlage 3 mit vollständiger Firma, Anschrift, Aufgabe, Datenumfang und Verarbeitungsland aufgeführt. Die Erlaubnis erstreckt sich nicht auf beliebige, unbenannte Dienstleister. Für die Aufnahme oder Ersetzung weiterer Auftragsverarbeiter erhält der Kunde mindestens 30 Kalendertage vorab die erforderlichen Informationen und Gelegenheit zum begründeten datenschutzrechtlichen Widerspruch.

Bei einem Widerspruch klären die Parteien eine geeignete Alternative. Bis zur Klärung wird der beanstandete Dienstleister nicht für die betroffenen Kundendaten eingesetzt. Ist eine vertragsgemäße Alternative nicht möglich, kann der Kunde die betroffene Leistung vor dem geplanten Einsatz ohne zusätzliche Beendigungsgebühr kündigen. Gesetzliche Rechte bleiben unberührt.

SCHURR IT legt weiteren Auftragsverarbeitern mindestens dieselben datenschutzrechtlichen Pflichten auf und bleibt dem Kunden gegenüber für deren Erfüllung verantwortlich. Erforderliche Informationen über die Verarbeitungskette werden bereitgestellt.

Maßgeblich sind die vereinbarten Verarbeitungsorte einschließlich Fernzugriffen, Sicherungen und Support. Verarbeitung außerhalb von EU/EWR setzt eine dokumentierte Weisung beziehungsweise Genehmigung und die Erfüllung der Art. 44 ff. DSGVO voraus. Garantien, Transferprüfung und erforderliche zusätzliche Maßnahmen sind vor dem Einsatz festzuhalten; eine pauschale Drittlandfreigabe ist nicht vorgesehen.

6. Betroffenenrechte und Unterstützung

SCHURR IT unterstützt den Kunden unter Berücksichtigung der Art der Verarbeitung mit geeigneten Maßnahmen bei Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit und Widerspruch. Direkt eingehende Anträge werden unverzüglich an den Kunden weitergeleitet; eine eigenständige Entscheidung über Kundendaten erfolgt nur auf Weisung oder aufgrund gesetzlicher Pflicht.

Unter Berücksichtigung der verfügbaren Informationen unterstützt SCHURR IT den Kunden bei den Pflichten nach Art. 32 bis 36 DSGVO, insbesondere Sicherheitsbewertungen, Vorfallmeldungen, Datenschutz-Folgenabschätzungen und vorherigen Konsultationen. Der Kunde erhält rechtzeitig die hierfür erforderlichen Informationen. Gesetzlich geschuldete Unterstützung darf nicht wegen einer ungeklärten zusätzlichen Vergütung verzögert werden.

7. Datenschutzverletzungen

SCHURR IT meldet dem Kunden eine bekannt gewordene Verletzung des Schutzes personenbezogener Daten unverzüglich nach Art. 33 Abs. 2 DSGVO. Die Erstmeldung erfolgt auch dann, wenn die Untersuchung noch nicht abgeschlossen ist; weitere Informationen werden ohne unangemessene Verzögerung nachgereicht. Die Meldewege und erreichbaren Kontakte beider Parteien stehen in Anlage 1.

Die Meldung beschreibt soweit bekannt Art und Umfang des Vorfalls, Kategorien und ungefähre Zahl betroffener Personen und Datensätze, wahrscheinliche Folgen, getroffene oder vorgeschlagene Gegenmaßnahmen sowie eine Kontaktstelle. SCHURR IT sichert erforderliche Nachweise, begrenzt die Auswirkungen und unterstützt den Kunden bei seiner Bewertung und den gesetzlichen Meldungen. Die grundsätzlich 72-stündige Behördenfrist des Verantwortlichen ist keine Wartefrist für die Meldung des Auftragsverarbeiters.

8. Nachweise und Kontrollen

SCHURR IT stellt dem Kunden alle erforderlichen Informationen zum Nachweis der Pflichten aus Art. 28 DSGVO zur Verfügung und ermöglicht Überprüfungen einschließlich Inspektionen durch den Kunden oder einen von ihm beauftragten Prüfer. Dokumente und vorhandene geeignete Prüfberichte können die Vorbereitung unterstützen, ersetzen aber nicht pauschal das gesetzliche Kontrollrecht.

Kontrollen werden unter Berücksichtigung von Sicherheit, Vertraulichkeit anderer Kunden und Betriebsabläufen abgestimmt. Bei einem konkreten Vorfall oder einer aufsichtsbehördlichen Anforderung darf eine erforderliche zeitnahe Kontrolle nicht durch starre Vorankündigungsfristen verhindert werden. Gesetzliche Befugnisse der Aufsichtsbehörden bleiben unberührt.

SCHURR IT informiert den Kunden unverzüglich über behördliche Maßnahmen oder Zugriffe, die seine Auftragsdaten betreffen, soweit dies rechtlich erlaubt ist, und weist auf das Verfügungsrecht des Kunden hin.

9. Rückgabe und Löschung

Nach Abschluss der Verarbeitungsleistungen gibt SCHURR IT nach Wahl des Kunden sämtliche personenbezogenen Daten zurück oder löscht sie und löscht vorhandene Kopien, sofern keine gesetzliche Speicherungspflicht besteht. Vereinbarte Abruffristen und zwingende Wechselrechte nach dem Data Act bleiben gewahrt. Die Durchführung wird dokumentiert und dem Kunden auf Verlangen nachgewiesen.

Anlage 4 bestimmt aktive Löschfristen, maximale Backup-Aufbewahrung und den Umgang mit Replikaten, Protokollen und Exporten. Sicherungskopien werden bis zum festgelegten Ablauf gesperrt und ausschließlich zur notwendigen Wiederherstellung genutzt; bei einer Wiederherstellung werden bereits erteilte Löschweisungen erneut umgesetzt. Eine unbegrenzte Aufbewahrung „zu Sicherungszwecken“ ist nicht zulässig.

Gesetzlich erforderliche Restbestände werden hinsichtlich Rechtsgrundlage, Datenumfang und Frist dokumentiert, auf diesen Zweck beschränkt und nach Wegfall der Pflicht gelöscht. Eigene Rechnungsunterlagen von SCHURR IT rechtfertigen keine Aufbewahrung vollständiger Kundendatenbanken.

10. Inhalt der kundenspezifischen Anlagen

Die folgenden Anlagen werden vor Vertragsabschluss mit dem Kunden vervollständigt. Die Übersicht beschreibt notwendige Vertragsinhalte und behauptet keine bereits vereinbarten Standorte, Dienstleister oder Service-Level.

Für die Vorbereitung Ihrer Vereinbarung kontaktieren Sie info@deaflow.de. Beschreiben Sie zunächst nur Datenkategorien und Schutzbedarf, ohne echte Personal- oder Kundendatensätze zu übersenden.