Auftragsverarbeitungsvertrag (Muster)

Dieses Muster bildet die Grundlage des Auftragsverarbeitungsvertrags (AVV), den wir vor Beginn jeder Verarbeitung personenbezogener Daten mit unseren Kunden schließen. Der für Ihr Projekt verbindliche AVV wird individuell ausgefertigt. Zurück zum Compliance-Center.

zwischen dem Kunden (nachfolgend „Verantwortlicher") und der veronto GmbH & Co. KG, Gerichtsstraße 2b, 65185 Wiesbaden (nachfolgend „Auftragsverarbeiter").

§ 1 Gegenstand und Dauer

(1) Der Auftragsverarbeiter verarbeitet personenbezogene Daten im Auftrag des Verantwortlichen im Rahmen der Bereitstellung der veronto-Dienste (insbesondere Anonymisierung/Pseudonymisierung und Betroffenenrechte-Management). Gegenstand und Dauer richten sich nach dem zugrunde liegenden Hauptvertrag.

(2) Dieser AVV gilt für die Laufzeit des Hauptvertrags.

§ 2 Art, Umfang und Zweck

(1) Art der Verarbeitung: Erheben, Speichern, Auslesen, Anonymisieren/Pseudonymisieren, Auswerten, Übermitteln im Rahmen der vereinbarten Funktionen sowie Löschen.

(2) Zweck: Bereitstellung der vertraglich vereinbarten Dienste.

(3) Art der Daten: insbesondere Stammdaten, Kontaktdaten, Inhaltsdaten der vom Verantwortlichen eingebrachten Dokumente; weitere Kategorien nach Maßgabe des Hauptvertrags.

(4) Kategorien betroffener Personen: u. a. Beschäftigte, Kunden, Antragsteller und sonstige Dritte des Verantwortlichen, deren Daten in den verarbeiteten Unterlagen enthalten sind.

§ 3 Pflichten des Auftragsverarbeiters

(1) Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen, es sei denn, er ist nach dem Recht der Union oder der Mitgliedstaaten, dem er unterliegt, zur Verarbeitung verpflichtet (Art. 28 Abs. 3 lit. a DSGVO). In einem solchen Fall teilt der Auftragsverarbeiter dem Verantwortlichen diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht eine solche Mitteilung nicht wegen eines wichtigen öffentlichen Interesses verbietet. Weisungen bedürfen der Textform; weisungsberechtigte und weisungsempfangende Personen werden von den Parteien benannt.

(1a) Ist der Auftragsverarbeiter der Ansicht, dass eine Weisung gegen die DSGVO oder andere Datenschutzbestimmungen der Union oder der Mitgliedstaaten verstößt, informiert er den Verantwortlichen unverzüglich (Art. 28 Abs. 3 UAbs. 2 DSGVO). Er ist berechtigt, die Ausführung der betreffenden Weisung bis zu deren Bestätigung oder Änderung auszusetzen.

(2) Er gewährleistet, dass die zur Verarbeitung befugten Personen zur Vertraulichkeit verpflichtet sind oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen (Art. 28 Abs. 3 lit. b, Art. 29, Art. 32 Abs. 4 DSGVO).

(3) Er trifft die nach Art. 32 DSGVO erforderlichen technischen und organisatorischen Maßnahmen (siehe TOM).

(4) Er unterstützt den Verantwortlichen im Rahmen seiner Möglichkeiten bei der Erfüllung der Pflichten nach Art. 32 bis 36 DSGVO (Sicherheit, Meldung von Verletzungen, Datenschutz-Folgenabschätzung). Aufwände für Unterstützungs- und Prüfleistungen, die über das gesetzlich geschuldete Maß hinausgehen und ihren Anlass nicht in einem Verstoß des Auftragsverarbeiters haben, können nach Maßgabe des Hauptvertrags angemessen vergütet werden.

(5) Er benennt dem Verantwortlichen einen Ansprechpartner für Datenschutzfragen.

§ 4 Technische und organisatorische Maßnahmen

Der Auftragsverarbeiter setzt die in der Anlage „Technische und organisatorische Maßnahmen" beschriebenen Maßnahmen um und entwickelt sie nach dem Stand der Technik fort. Eine Minderung des Schutzniveaus ist unzulässig.

§ 5 Unterauftragsverhältnisse

(1) Die Inanspruchnahme von Unterauftragsverarbeitern erfolgt nur mit allgemeiner schriftlicher Genehmigung des Verantwortlichen. Die zum Zeitpunkt des Vertragsschlusses eingesetzten Unterauftragsverarbeiter werden in der Anlage „Unterauftragsverarbeiter“ zum jeweils verbindlichen AVV konkret benannt und gelten mit Vertragsschluss als genehmigt. Eine aktuelle Übersicht wird zusätzlich im Compliance-Center gepflegt.

(2) Über beabsichtigte Änderungen (Hinzuziehung oder Ersetzung von Unterauftragsverarbeitern) informiert der Auftragsverarbeiter mindestens vier Wochen im Voraus in Textform; der Verantwortliche kann aus wichtigem Grund widersprechen.

(2a) Widerspricht der Verantwortliche aus wichtigem Grund und ist dem Auftragsverarbeiter die Leistungserbringung ohne den betreffenden Unterauftragsverarbeiter nicht zumutbar, steht jeder Partei ein Sonderkündigungsrecht hinsichtlich der betroffenen Leistungen zu.

(3) Der Auftragsverarbeiter erlegt jedem Unterauftragsverarbeiter dieselben Datenschutzpflichten auf, wie sie in diesem Vertrag festgelegt sind (Art. 28 Abs. 4 DSGVO).

§ 6 Verarbeitungsort und Drittlandtransfer

(1) Die Verarbeitung personenbezogener Daten erfolgt ausschließlich in Mitgliedstaaten der Europäischen Union oder des Europäischen Wirtschaftsraums.

(2) Eine Übermittlung in Drittländer erfolgt nur mit vorheriger Zustimmung des Verantwortlichen in Textform und nur, wenn die besonderen Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind (insbesondere Angemessenheitsbeschluss oder geeignete Garantien wie EU-Standardvertragsklauseln, erforderlichenfalls ergänzende Maßnahmen).

§ 7 Unterstützung bei Betroffenenrechten

Der Auftragsverarbeiter unterstützt den Verantwortlichen mit geeigneten technischen und organisatorischen Maßnahmen dabei, Anträge betroffener Personen auf Wahrnehmung ihrer Rechte (Art. 12 bis 23 DSGVO) zu beantworten. Wendet sich eine betroffene Person unmittelbar an den Auftragsverarbeiter, leitet er das Anliegen unverzüglich an den Verantwortlichen weiter.

§ 8 Kontrollrechte

Der Auftragsverarbeiter stellt dem Verantwortlichen alle erforderlichen Informationen zum Nachweis der Einhaltung der Pflichten aus Art. 28 DSGVO zur Verfügung und ermöglicht Überprüfungen, einschließlich Inspektionen, die der Verantwortliche oder ein von ihm beauftragter Prüfer durchführt (Art. 28 Abs. 3 lit. h DSGVO). Prüfungen werden mit angemessenem Vorlauf, während der Geschäftszeiten und ohne unverhältnismäßige Störung des Betriebs durchgeführt.

§ 9 Meldung von Verletzungen

Der Auftragsverarbeiter meldet dem Verantwortlichen jede Verletzung des Schutzes personenbezogener Daten unverzüglich nach Bekanntwerden, in der Regel innerhalb von 48 Stunden, und unterstützt ihn bei dessen Melde- und Benachrichtigungspflichten nach Art. 33 und 34 DSGVO.

§ 10 Löschung und Rückgabe

Nach Abschluss der Verarbeitungsleistungen löscht der Auftragsverarbeiter nach Wahl des Verantwortlichen alle personenbezogenen Daten innerhalb von 30 Tagen oder gibt sie zurück und löscht vorhandene Kopien, sofern keine gesetzliche Aufbewahrungspflicht entgegensteht (Art. 28 Abs. 3 lit. g DSGVO). Auf Anfrage bestätigt er die Löschung in Textform.

§ 11 Schlussbestimmungen

(1) Bei Widersprüchen zwischen diesem AVV und dem Hauptvertrag gehen die Regelungen dieses AVV in Bezug auf die Datenverarbeitung vor.

(2) Es gilt das Recht der Bundesrepublik Deutschland. Gerichtsstand ist, soweit zulässig, Wiesbaden.

(3) Sollten einzelne Bestimmungen unwirksam sein, bleibt die Wirksamkeit der übrigen unberührt.

veronto GmbH & Co. KG · Stand August 2026. Dieses Muster ersetzt keine rechtliche Beratung im Einzelfall.