Rechtliches
Entwurf, Stand 08.09.2026 — vor Verwendung anwaltlich prüfen lassen. Erstellt auf Grundlage des Wortlauts von Art. 28 DSGVO und einer Bestandsaufnahme des Systems. Die mit markierten Stellen kann nur der Betreiber füllen.
Auftraggeber (Verantwortlicher im Sinne von Art. 4 Nr. 7 DSGVO)
Firma: ________________________________ Anschrift: ________________________________ vertreten durch: ___________________________
— nachfolgend „Kunde" —
und
Auftragnehmer (Auftragsverarbeiter im Sinne von Art. 4 Nr. 8 DSGVO)
Albus IT, Inhaber Marco Albus Am Park 2, 61169 Friedberg USt-IdNr. DE235980757 Telefon +49 173 3262124 · office@albus-it.de
— nachfolgend „Albus IT" —
(1) Albus IT stellt dem Kunden die Software AITwork als Dienst bereit und verarbeitet dabei personenbezogene Daten im Auftrag des Kunden. Gegenstand, Art, Zweck, Datenarten und Betroffenenkreise sind in Anlage 1 beschrieben.
(2) Der Vertrag läuft, solange der Kunde AITwork nutzt. Er endet mit dem Hauptvertrag; §§ 8 und 9 gelten fort.
(3) Der Kunde bleibt Verantwortlicher. Er beurteilt die Zulässigkeit der Verarbeitung und die Wahrung der Rechte der Betroffenen.
(1) Albus IT verarbeitet die Daten ausschließlich auf dokumentierte Weisung des Kunden. Die Nutzung der Software durch den Kunden und seine Beschäftigten gilt als solche Weisung, ebenso die in Anlage 1 beschriebenen Funktionen.
(2) Weisungen darüber hinaus erfolgen in Textform an office@albus-it.de. Mündliche Weisungen bestätigt der Kunde unverzüglich in Textform.
(3) Hält Albus IT eine Weisung für rechtswidrig, teilt es dies unverzüglich mit und darf ihre Ausführung bis zur Klärung aussetzen.
(4) Eine Übermittlung in ein Drittland erfolgt nur auf Weisung des Kunden oder wenn Albus IT dazu rechtlich verpflichtet ist; in diesem Fall teilt Albus IT dem Kunden die Rechtsgrundlage vor der Verarbeitung mit, sofern das Recht dies nicht verbietet.
(1) Albus IT setzt zur Verarbeitung nur Personen ein, die zur Vertraulichkeit verpflichtet sind oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen. Die Verpflichtung wird dokumentiert und dem Kunden auf Verlangen nachgewiesen.
(2) Die Verpflichtung besteht auch nach Beendigung der Tätigkeit fort.
(1) Albus IT trifft die in Anlage 2 beschriebenen Maßnahmen.
(2) Die Maßnahmen unterliegen der technischen Entwicklung. Albus IT darf sie anpassen, sofern das Schutzniveau nicht unterschritten wird. Wesentliche Änderungen werden dokumentiert.
(1) Der Kunde erteilt die allgemeine Genehmigung, weitere Auftragsverarbeiter hinzuzuziehen. Die zum Zeitpunkt des Vertragsschlusses eingesetzten sind in Anlage 3 benannt.
(2) Albus IT informiert den Kunden über jede beabsichtigte Hinzuziehung oder Ersetzung mindestens vier Wochen im Voraus in Textform. Der Kunde kann innerhalb von zwei Wochen ab Zugang aus einem wichtigen datenschutzrechtlichen Grund widersprechen. Widerspricht er, kann jede Partei den Vertrag zum Zeitpunkt der beabsichtigten Änderung kündigen.
(3) Albus IT erlegt jedem weiteren Auftragsverarbeiter vertraglich dieselben Datenschutzpflichten auf, die dieser Vertrag vorsieht, und haftet dem Kunden gegenüber für deren Einhaltung (Art. 28 Abs. 4).
(4) Nicht als weitere Auftragsverarbeiter gelten Nebenleistungen wie Telekommunikation, Post, Wartung von Endgeräten oder Entsorgung, sofern dabei kein Zugriff auf die Daten des Kunden erfolgt.
(1) Albus IT unterstützt den Kunden mit geeigneten technischen und organisatorischen Maßnahmen dabei, Anträge auf Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit und Widerspruch zu beantworten.
(2) Wendet sich ein Betroffener unmittelbar an Albus IT, leitet Albus IT den Antrag unverzüglich an den Kunden weiter und beantwortet ihn nicht selbst.
(3) Der Kunde kann Auskunft, Berichtigung, Löschung und Export jederzeit selbst über die Software vornehmen; eine gesonderte Beauftragung ist dafür nicht nötig.
(1) Albus IT unterstützt den Kunden bei der Einhaltung der Art. 32 bis 36 DSGVO, insbesondere bei der Sicherheit der Verarbeitung, der Meldung von Verletzungen und der Datenschutz-Folgenabschätzung.
(2) Albus IT meldet dem Kunden jede Verletzung des Schutzes personenbezogener Daten unverzüglich, spätestens innerhalb von 24 Stunden nach Kenntnis, damit der Kunde seine Frist aus Art. 33 Abs. 1 DSGVO (72 Stunden) wahren kann. Die Meldung enthält, soweit bekannt: Art der Verletzung, betroffene Kategorien und ungefähre Zahl der Betroffenen und Datensätze, wahrscheinliche Folgen und ergriffene Maßnahmen.
(1) Nach Beendigung des Vertrages hält Albus IT die Daten 30 Tage zum Abruf bereit. Der Kunde kann sie in dieser Zeit selbst über die Software in einem gängigen, maschinenlesbaren Format exportieren. Auf Wunsch stellt Albus IT den Export zur Verfügung.
(2) Nach Ablauf dieser 30 Tage löscht Albus IT die Daten aus dem Produktivsystem.
(3) Die Datensicherungen werden täglich erstellt und nach drei Tagen automatisch überschrieben. Die Daten sind daher spätestens drei Tage nach der Löschung aus dem Produktivsystem — also spätestens 33 Tage nach Vertragsende — auch aus den Sicherungen entfernt. Ein gezieltes Herauslösen einzelner Datensätze aus einer bestehenden Sicherung erfolgt nicht; dies wäre technisch nur unter Beschädigung der Sicherung möglich und liefe dem Schutz der übrigen Kunden zuwider.
(4) Die Löschung wird dem Kunden auf Verlangen in Textform bestätigt.
(5) Ausgenommen sind Daten, für die eine gesetzliche Aufbewahrungspflicht besteht. Diese werden gesperrt und nach Ablauf der Frist gelöscht.
(6) Verlangt der Kunde die Löschung vor Ablauf der 30 Tage, kommt Albus IT dem unverzüglich nach. Die 30 Tage sind eine Frist zu seinen Gunsten, keine Mindestspeicherdauer.
(1) Albus IT stellt dem Kunden alle Informationen zur Verfügung, die zum Nachweis der Einhaltung dieses Vertrages erforderlich sind.
(2) Der Kunde kann sich von der Einhaltung überzeugen — durch Einholung von Auskünften, durch Vorlage vorhandener Nachweise oder, nach vorheriger Anmeldung mit angemessener Frist und während der üblichen Geschäftszeiten, durch eine Kontrolle vor Ort. Die Kontrolle darf den Betrieb nicht unangemessen stören.
(3) Albus IT darf für Kontrollen, die über eine einfache Auskunft hinausgehen und nicht durch einen konkreten Anlass veranlasst sind, eine angemessene Vergütung verlangen.
(1) Änderungen bedürfen der Textform. Das gilt auch für die Abbedingung dieser Klausel.
(2) Bei Widersprüchen zwischen diesem Vertrag und dem Hauptvertrag geht dieser Vertrag vor.
(3) Ist eine Bestimmung unwirksam, bleibt der Vertrag im Übrigen wirksam.
(4) Es gilt deutsches Recht.
Ort, Datum Ort, Datum
_______________________ _______________________ Kunde Albus IT · Marco Albus