Auftragsverarbeitungsvertrag.

1. Parteien, Geltung und Rangfolge

Dieser Auftragsverarbeitungsvertrag (DPA) ist Bestandteil der Vereinbarung, nach der Amerged B.V., Op de Smelen 1, 5863 BN Blitterswijck, Niederlande, Handelskammernummer 42154221, USt-IdNr. NL869953308B01 (Amerged), Leistungen für den im jeweiligen Auftrag oder in der Leistungsbeschreibung bezeichneten Kunden (Kunde) erbringt. Er gilt, soweit Amerged dabei personenbezogene Daten im Auftrag des Kunden verarbeitet. Auftrag, Leistungsbeschreibung und Rahmenvertrag für Dienstleistungen bilden gemeinsam den Vertrag.

Dieser DPA wird verbindlich, wenn er in einen von beiden Parteien angenommenen Vertrag einbezogen wird. Veröffentlichung oder Download allein begründen keinen Vertragsschluss. Diese Fassung gilt für Verträge, die sie einbeziehen; eine Änderung auf der Website ändert einen bestehenden Vertrag nicht rückwirkend.

Dieser DPA und seine Anlagen gehen widersprechenden Vertragsbestimmungen zur Verarbeitung von personenbezogenen Kundendaten vor. Anwendbare, wirksam vereinbarte Standardvertragsklauseln haben bei einem Widerspruch Vorrang vor diesem DPA. Zwingendes Datenschutzrecht bleibt unberührt. Maßgeblich ist die niederländische Fassung; die englische und deutsche Fassung dienen als Übersetzungen. Diese Sprachregel ändert weder einen amtlichen SCC-Text noch zwingende Rechte betroffener Personen.

2. Begriffe und Rollen

DSGVO bezeichnet die Verordnung (EU) 2016/679. Anwendbares Datenschutzrecht umfasst die DSGVO und einschlägige nationale Durchführungs- und Ergänzungsvorschriften. Personenbezogene Daten, Verarbeitung, Verantwortlicher, Auftragsverarbeiter, betroffene Person und Verletzung des Schutzes personenbezogener Daten haben die Bedeutung der DSGVO. Personenbezogene Kundendaten sind personenbezogene Daten, die Amerged nach dem Vertrag im Auftrag des Kunden verarbeitet. Ein Unterauftragsverarbeiter ist ein weiterer Auftragsverarbeiter, den Amerged hierfür einsetzt.

Der Kunde handelt als Verantwortlicher und Amerged als Auftragsverarbeiter. Handelt der Kunde für einen anderen Verantwortlichen als Auftragsverarbeiter, wird Amerged als dessen Unterauftragsverarbeiter tätig. Der Kunde muss zur Beauftragung von Amerged, zur Erteilung von Weisungen und zur Genehmigung weiterer Unterauftragsverarbeiter durch diesen Verantwortlichen befugt sein. In beiden Fällen gilt derselbe materielle Schutz. Die tatsächlichen Tätigkeiten und das anwendbare Recht bestimmen die Verantwortlichkeiten unabhängig von vertraglichen Bezeichnungen.

Dieser DPA erfasst keine personenbezogenen Daten, die Amerged als eigenständiger Verantwortlicher verarbeitet, etwa notwendige Geschäftskontaktdaten, Vertragsverwaltung und gesetzliche Buchführung. Diese Tätigkeiten beschreibt die Datenschutzerklärung. Ein eigener Verarbeitungszweck erlaubt Amerged keine zweckfremde Nutzung von Workflow-Inhalten des Kunden.

3. Pflichten und Weisungen des Kunden

Der Kunde bestimmt Verarbeitungszwecke, Rechtsgrundlagen, erforderliche Informationen an Betroffene und die Rechtmäßigkeit bereitgestellter Daten. Er prüft, ob Leistungen und vereinbarte Schutzmaßnahmen für die beabsichtigte Verarbeitung geeignet sind, verwaltet angemessene Kontoberechtigungen und liefert Informationen zur Ausführung rechtmäßiger Weisungen. Seine Verantwortung entbindet Amerged nicht von eigenen Pflichten.

Der Vertrag, dieser DPA, der ausgefüllte Auftrag und autorisierte Dienstkonfigurationen bilden dokumentierte Weisungen. Zusätzliche Weisungen sind über den benannten vertraglichen Ansprechpartner des Kunden in dauerhaft dokumentierter schriftlicher Form zu erteilen. Amerged darf dessen Befugnis prüfen. Weisungen müssen die beabsichtigte Handlung ausreichend für eine sichere Umsetzung beschreiben. Änderungen von Leistungsumfang, Kosten oder technischer Machbarkeit werden besprochen und dokumentiert; dies darf notwendige Unterstützung oder gesetzliche Pflichterfüllung nicht verzögern.

Amerged verarbeitet personenbezogene Kundendaten ausschließlich auf dokumentierte Weisung, auch hinsichtlich Übermittlungen, sofern nicht Unionsrecht oder das Recht eines Mitgliedstaats eine andere Verarbeitung verlangt. Amerged informiert den Kunden vorab über diese Pflicht, sofern das betreffende Recht dies nicht aus wichtigen Gründen des öffentlichen Interesses untersagt. Hält Amerged eine Weisung für datenschutzrechtswidrig, informiert sie den Kunden unverzüglich und darf die betroffene Handlung bis zur Klärung aussetzen. Amerged bestimmt keinen eigenständigen neuen Zweck und verkauft keine personenbezogenen Kundendaten.

4. Vertraulichkeit, Personal und Sicherheit

Amerged verpflichtet zugriffsberechtigte Personen zur Vertraulichkeit oder stellt eine angemessene gesetzliche Verschwiegenheitspflicht sicher. Zugriff bleibt auf Personen beschränkt, die ihn für ihre Aufgaben benötigen, und wird entzogen, sobald diese Notwendigkeit entfällt. Personal erhält angemessene Anweisungen zum sicheren Umgang mit Daten und zur Eskalation von Vorfällen.

Amerged trifft und unterhält geeignete technische und organisatorische Maßnahmen unter Berücksichtigung des Stands der Technik, der Umsetzungskosten, des Verarbeitungskontexts und der Risiken für Personen. Die vertraglichen Mindestmaßnahmen stehen in den Technischen und organisatorischen Maßnahmen, die Anlage II dieses DPA bilden. Sie umfassen Zugriffsverwaltung, Transport- und Speicherschutz, Betriebssicherheit, Wiederherstellung und Vorfallmanagement.

Amerged darf einzelne Maßnahmen verbessern oder ersetzen, ohne das insgesamt zugesagte Schutzniveau zu mindern. Wesentliche Änderungen vereinbarter Schutzmaßnahmen werden dokumentiert und mitgeteilt. Zusätzliche Maßnahmen für ungewöhnliche Verarbeitungen oder hohe Risiken sind vor Beginn zu vereinbaren. Dieser DPA enthält keine Aussage über Zertifizierungen, Ergebnisse unabhängiger Prüfungen oder ein festes Verfügbarkeitsniveau.

5. Unterauftragsverarbeiter

Der Kunde erteilt die allgemeine schriftliche Genehmigung zum Einsatz von Unterauftragsverarbeitern nach diesem Abschnitt. Die anfänglich anwendbaren Anbieter, Funktionen und Standortangaben beschreibt die Liste der Unterauftragsverarbeiter als Anlage III. Ein optional aufgeführter Anbieter ist für einen bestimmten Kunden nur genehmigt, wenn die zugehörige Leistung ausdrücklich beauftragt wurde.

Amerged prüft Anbieter vor ihrer Beauftragung angemessen und schließt schriftliche Vereinbarungen, die für die übertragene Verarbeitung inhaltlich gleichwertige Datenschutzpflichten auferlegen. Gegenüber dem Kunden bleibt Amerged für deren Erfüllung durch den Unterauftragsverarbeiter verantwortlich. Sie hält Informationen über die Verarbeitungskette vor und stellt auf Anfrage Informationen bereit, die für die Compliance-Prüfung des Kunden notwendig sind.

Amerged informiert den benannten vertraglichen Ansprechpartner mindestens 30 Tage, bevor ein neuer oder ersetzender Unterauftragsverarbeiter personenbezogene Kundendaten verarbeitet, über dessen Aufgabe, Verarbeitungsstandort und relevante Übermittlungsgarantien. Eine bloße Aktualisierung der öffentlichen Liste ersetzt diese Mitteilung nicht. Der Kunde kann innerhalb dieser Frist aus begründeten Datenschutzbelangen widersprechen. Die Parteien suchen nach Treu und Glauben eine Lösung, etwa einen anderen Anbieter, eine andere Konfiguration oder den Ausschluss der betroffenen Funktion.

Amerged beginnt die beanstandete Verarbeitung nicht, solange ein fristgerechter begründeter Widerspruch ungeklärt ist. Steht vor der geplanten Änderung keine zumutbare Lösung zur Verfügung, kann jede Partei die betroffene Leistung schriftlich ohne Gebühr für deren vorzeitige Beendigung kündigen. Amerged erstattet vorausbezahlte Entgelte für den ungenutzten Zeitraum und unterstützt Rückgabe oder Löschung nach Abschnitt 10. Unbetroffene Leistungen bleiben bestehen. Eine vom Kunden gewählte unabhängige Integration wird nicht allein durch ihre Anbindung zum Unterauftragsverarbeiter von Amerged; Amerged bleibt für tatsächlich von ihr beauftragte Anbieter verantwortlich.

6. Standorte und internationale Übermittlungen

Vereinbarte Grundlage für das Hosting der Kernanwendungen von Kunden ist Contabo-Infrastruktur in München, Deutschland. Der Auftrag oder eine dokumentierte Infrastrukturübersicht bezeichnet die Bereitstellung und einen gegebenenfalls gesondert vereinbarten Standort. Back-up- und Supportregelungen sind in die Standortprüfung einzubeziehen. Ein anderer Standort für das Kernhosting erfordert vorherige dokumentierte Vereinbarung; der Sitz eines Anbieters allein belegt keinen Serverstandort.

Cloudflare schützt internetzugängliche Dienste und kann die öffentliche Website über sein Edge-Netzwerk ausliefern. Je nach Konfiguration verarbeitet Cloudflare Verbindungsinformationen, Sicherheitsereignisse und Datenverkehr am geschützten Endpunkt. Der weltweite Betrieb kann Verarbeitung außerhalb des Europäischen Wirtschaftsraums (EWR) umfassen; dieser DPA verspricht keine ausschließlich europäische Cloudflare-Verarbeitung.

Für ausdrücklich beauftragte KI-Dienste setzt Amerged AI-Act-konforme Modelle über Orq.ai auf in der EU gehosteter Infrastruktur ein; die Modellinferenz erfolgt innerhalb der EU. Dies ist eine verbindliche Auswahl- und Einsatzpflicht für die für diesen Dienst freigegebenen Modelle: Amerged prüft die Anforderungen der Verordnung (EU) 2024/1689, die für das Modell, dessen Anbieter, Amergeds Rolle und den vereinbarten Anwendungsfall gelten. Vor Aktivierung dokumentiert Amerged Modellanbieter, die Grundlagen dieser Bewertung, EU-Endpunkte und EU-Ausweichrouten. Zusätzliche Anforderungen des Anwendungsfalls werden vor Beginn der betreffenden Verarbeitung vereinbart und erfüllt. Ein EU-Gateway allein genügt nicht. Eine Abweichung von der vereinbarten EU-Inferenz erfordert eine ausdrückliche, von beiden Parteien angenommene Änderung des betreffenden Auftrags; eine gewöhnliche Verarbeitungsweisung allein genügt nicht. Gesondert erlaubte Support- oder Telemetrieübermittlungen unterliegen weiterhin den anwendbaren Übermittlungsgarantien und erlauben keine Inferenz außerhalb der EU. Diese Zusage zertifiziert nicht jedes Modell im Katalog von Orq.ai.

Amerged führt keine Übermittlung durch, die Garantien nach Kapitel V DSGVO erfordert, ohne einen gültigen Rechtsmechanismus und notwendige ergänzende Maßnahmen. Soweit passend nutzt sie einen anwendbaren Angemessenheitsbeschluss einschließlich einer gültigen einschlägigen Teilnahme des Empfängers an einem anerkannten Rahmenwerk oder wirksam vereinbarte SCC. Module und Anlagen müssen tatsächliche Exporteure, Importeure und Rollen abbilden; Übermittlungen von Auftragsverarbeitern an Unterauftragsverarbeiter benötigen regelmäßig Modul 3, soweit diese SCC anwendbar sind. Amerged bewertet die Umstände und prüft wesentliche Änderungen erneut. Kann ausreichender Schutz nicht aufrechterhalten werden, wird die Übermittlung ausgesetzt oder ersetzt. Der SCC- und Übermittlungsrahmen beschreibt die Dokumentation; eine Verlinkung gilt nicht als Unterzeichnung oder Genehmigung jeder denkbaren Übermittlung.

7. Unterstützung und Betroffenenanfragen

Unter Berücksichtigung von Verarbeitung und verfügbaren Informationen unterstützt Amerged den Kunden bei DSGVO-Rechteanfragen, Sicherheitsverpflichtungen, Bewertung und Meldung von Datenschutzverletzungen, Datenschutz-Folgenabschätzungen und vorheriger Konsultation einer Aufsichtsbehörde. Die Unterstützung umfasst relevante Verarbeitungsinformationen und durchführbare technische oder organisatorische Hilfe.

Erhält Amerged eine Anfrage zu personenbezogenen Kundendaten, leitet sie diese unverzüglich an den benannten vertraglichen Ansprechpartner weiter. Ohne Weisung beantwortet sie die Anfrage nicht inhaltlich, gibt keine Daten heraus und entscheidet nicht über das Ergebnis, sofern keine gesetzliche Pflicht besteht. Der Kunde prüft die Identität und bestimmt die rechtmäßige Antwort. Amerged darf den Eingang bestätigen und ihre Rolle als Auftragsverarbeiter erläutern.

Übliche Unterstützung, die vernünftigerweise zum Betrieb der Leistungen gehört, ist enthalten. Erhebliche zusätzliche Arbeiten können nach Beschreibung von Umfang und Kosten zu vereinbarten angemessenen Sätzen berechnet werden. Gebühren, Vorauszahlung oder ein kaufmännischer Streit dürfen gesetzlich erforderliche Unterstützung, Behördenkooperation oder zeitkritischen Schutz von Personen nicht behindern. Kosten infolge eines eigenen Verstoßes gegen diesen DPA trägt Amerged.

8. Verletzungen des Schutzes personenbezogener Daten

Amerged benachrichtigt den Kunden ohne unangemessene Verzögerung, nachdem sie von einer Verletzung des Schutzes personenbezogener Kundendaten Kenntnis erlangt. Ihr operatives Ziel ist eine erste Mitteilung innerhalb von 48 Stunden nach Kenntniserlangung. Dieses Ziel ist weder eine Wartefrist noch eine Verlängerung des gesetzlichen Maßstabs oder ein Ersatz für eigene Meldefristen des Kunden.

Die Mitteilung beschreibt, sobald Informationen verfügbar sind, Art der Verletzung, betroffene Daten und Personen, ungefähre Anzahl, wahrscheinliche Folgen, Gegenmaßnahmen und einen Folgekontakt. Amerged darf Informationen ohne unangemessene Verzögerung schrittweise ergänzen und verzögert die erste Mitteilung nicht allein wegen einer noch unvollständigen Untersuchung.

Amerged begrenzt und untersucht den Vorfall unverzüglich, sichert relevante Nachweise, dokumentiert ihre Bewertung und folgt angemessenen Weisungen zur Reaktion. Der Kunde entscheidet über Meldungen an Behörden und Betroffene, soweit das Gesetz Amerged nicht unmittelbar verpflichtet. Eine erste Mitteilung oder Unterstützung ist für sich genommen kein Schuldeingeständnis oder Anerkenntnis einer Haftung.

9. Nachweise, Informationen und Prüfungen

Amerged führt die erforderlichen Verzeichnisse und stellt dem Kunden Informationen bereit, die zur Darlegung der Einhaltung dieses DPA und von Artikel 28 DSGVO nötig sind. Die Parteien nutzen zunächst angemessene Dokumentation, Fragebögen und Fernprüfungen, soweit diese ausreichen.

Der Kunde oder ein von ihm beauftragter unabhängiger Prüfer darf erforderliche Audits einschließlich Inspektionen durchführen. Routineprüfungen sind grundsätzlich auf einmal innerhalb von zwölf Monaten bei angemessener Vorankündigung zu Geschäftszeiten begrenzt. Diese Begrenzung gilt nicht bei begründeten Compliance-Bedenken, einer relevanten Datenschutzverletzung, einer wesentlichen prüfbedürftigen Änderung, einem Behördenverlangen oder einer sonstigen zwingenden gesetzlichen Vorgabe.

Die Parteien vereinbaren angemessene Vertraulichkeits- und Sicherheitsvorkehrungen, schützen Daten anderer Kunden und vermeiden unnötige Störungen. Diese Vorkehrungen dürfen eine wirksame Prüfung oder gesetzlich erforderlichen Zugang nicht verhindern. Amerged wirkt mit, beseitigt belegte Mängel ohne unangemessene Verzögerung und berichtet angemessen über die Abhilfe. Jede Partei trägt grundsätzlich eigene Routineprüfungskosten; angemessene außergewöhnliche Unterstützungskosten können vereinbart werden, dürfen gesetzliche Prüfrechte aber nicht vereiteln. Zuständige Aufsichtsbehörden behalten ihre vollständigen Befugnisse.

10. Rückgabe, Aufbewahrung und Löschung

Der Kunde kann bei Ende der Leistungen Rückgabe oder Löschung personenbezogener Kundendaten anweisen und diese Wahl bis zur Durchführung ändern. Verlangt er keine frühere Löschung, gewährt Amerged nach Kündigung oder Ablauf ein Exportfenster von 30 Tagen. Der Export erfolgt in einem angemessen nutzbaren, allgemein unterstützten Format, das zur Leistung passt. Individuelle Migrationsarbeiten können gesondert vereinbart werden.

Nach diesem Fenster löscht Amerged die Daten innerhalb der nächsten 30 Tage aus aktiven Systemen, spätestens 60 Tage nach Leistungsende. Verbleibende Back-up-Kopien werden innerhalb von 90 Tagen nach aktiver Löschung und spätestens 150 Tage nach Leistungsende entfernt. Bis dahin bleiben sie zugriffsbeschränkt, von gewöhnlicher Nutzung ausgeschlossen und ausschließlich für Wiederherstellung oder Sicherheit verfügbar. Nach Wiederherstellung werden geltende Löschweisungen erneut umgesetzt.

Sicherheits- und Betriebsprotokolle haben normalerweise eine maximale Aufbewahrungsdauer von 180 Tagen ab Erstellung. Enthalten sie personenbezogene Kundendaten, die im Auftrag des Kunden verarbeitet werden, geht die früher eintretende Löschfrist nach Leistungsende vor. Kürzere dienstspezifische Fristen können vereinbart werden. Amerged leitet Löschweisungen an relevante Unterauftragsverarbeiter weiter und bestätigt die Durchführung auf angemessene Anfrage.

Verlangt Unionsrecht oder das Recht eines Mitgliedstaats weitere Speicherung, benennt Amerged soweit zulässig Grundlage und Dauer, isoliert notwendige Daten, beschränkt die Verarbeitung auf diesen gesetzlichen Zweck und löscht nach Wegfall der Pflicht. Ein Rechtsstreit ist keine pauschale Ausnahme für die Aufbewahrung von Dienstinhalten. Strikt notwendige Unterlagen für eigene Rechtsansprüche darf Amerged nur auf gesonderter rechtmäßiger Grundlage als Verantwortlicher mit beschränktem Zugang und verhältnismäßiger Dauer aufbewahren; dies verdrängt keine Löschpflichten als Auftragsverarbeiter.

11. Dauer, Haftung und Kontakt

Dieser DPA gilt, solange Amerged personenbezogene Kundendaten verarbeitet, einschließlich zulässiger Rückgabe, Löschung und des Ablaufs von Back-up-Fristen. Kann Amerged Pflichten nicht erfüllen, informiert sie den Kunden unverzüglich, trifft Abhilfemaßnahmen und setzt erforderlichenfalls die betroffene Verarbeitung aus. Wesentliche Verstöße unterliegen den Rechtsbehelfen des Vertrags und zwingendem Recht.

Der Vertrag regelt die vertragliche Haftung im gesetzlich zulässigen Umfang. Gesetzliche Betroffenenrechte, Verantwortlichkeiten nach Artikel 82 DSGVO und Aufsichtsbefugnisse werden nicht beschränkt. Änderungen werden dokumentiert und dürfen zwingenden Schutz nicht mindern. Fragen, Weisungen und Meldungen erfolgen über die benannten vertraglichen Ansprechpartner. Kunden können Amerged auch über das Kontaktformular erreichen; Amerged prüft erforderlichenfalls die Befugnis und vereinbart einen sicheren Kanal für sensible Einzelheiten. Schriftliche Korrespondenz kann alternativ mit dem Zusatz „Datenschutz“ an die Anschrift in Abschnitt 1 gerichtet werden.

12. Anlage I — Beschreibung der Verarbeitung

Der Auftrag konkretisiert oder ergänzt diese Beschreibung, soweit das tatsächliche Projekt dies erfordert. Er darf sensible Verarbeitung nicht stillschweigend erweitern oder eine ungenehmigte Übermittlung einführen. Anlage II: TOMs und Anlage III: Unterauftragsverarbeiter sind wesentliche Bestandteile dieses DPA.