Auftrags­verarbeitung

Wann ein solcher Vertrag nötig ist – und wann nicht

Nötig ist er, wenn CROPs. in deinem Auftrag auf Daten zugreift, die sich auf Personen beziehen: Kundenanfragen, Rechnungen mit Ansprechpartnern, E-Mail-Postfächer, CRM-Einträge oder Dokumente mit Namen.

Nicht nötig ist er bei reiner Beratung, beim Automation-Check und bei der Konzeption, solange dabei kein Zugriff auf echte Datenbestände erfolgt. Wir klären das im Automation-Check ausdrücklich, bevor irgendetwas angebunden wird.

Du bleibst in beiden Fällen Verantwortlicher im Sinne der DSGVO. CROPs. handelt ausschließlich auf deine Weisung.

1. Gegenstand und Dauer

Gegenstand ist die Verarbeitung personenbezogener Daten im Rahmen der beauftragten Automatisierungs- und AI-Leistungen. Der Vertrag gilt für die Laufzeit des zugrunde liegenden Hauptvertrags und endet mit dessen Beendigung. Er kann jederzeit gekündigt werden, wenn ein Verstoß gegen datenschutzrechtliche Vorgaben vorliegt.

2. Art und Zweck der Verarbeitung

Verarbeitet wird ausschließlich, um die vereinbarten Abläufe einzurichten, zu testen, zu betreiben und zu warten. Typische Vorgänge sind:

• Auslesen und Strukturieren von Dokumenten und Nachrichten
• Übertragen von Daten zwischen deinen bestehenden Systemen
• Anlegen und Aktualisieren von Datensätzen in deinen Systemen
• Erzeugen von Antwort- oder Angebotsentwürfen zur Prüfung durch deine Mitarbeitenden
• Fehleranalyse und Wartung der eingerichteten Abläufe

3. Art der Daten und betroffene Personen

Welche Daten konkret verarbeitet werden, hängt vom jeweiligen Prozess ab und wird im Einzelvertrag benannt. In Frage kommen üblicherweise:

• Bestands- und Kontaktdaten
• Vertrags-, Rechnungs- und Zahlungsdaten
• Inhalte aus Nachrichten, Dokumenten und Formularen
• Nutzungs- und Protokolldaten der beteiligten Systeme

Betroffen sind in der Regel Kundinnen und Kunden, Interessenten, Lieferanten sowie Beschäftigte des Auftraggebers.

Besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO werden nur verarbeitet, wenn das ausdrücklich vereinbart und gesondert abgesichert ist.

4. Weisungsbindung

Die Verarbeitung erfolgt ausschließlich auf dokumentierte Weisung des Auftraggebers. Weisungen können in Textform erteilt werden. Erscheint eine Weisung datenschutzrechtlich unzulässig, wird darauf hingewiesen und die Ausführung bis zur Klärung ausgesetzt.

5. Vertraulichkeit

Alle mit der Verarbeitung befassten Personen sind zur Vertraulichkeit verpflichtet. Da CROPs. als Einzelunternehmen geführt wird, betrifft das den Inhaber unmittelbar; werden Dritte hinzugezogen, geschieht das nur nach den Regeln unter Punkt 7.

6. Technische und organisatorische Maßnahmen

Es werden Maßnahmen nach Art. 32 DSGVO getroffen, die dem Risiko des jeweiligen Prozesses angemessen sind. Dazu gehören insbesondere:

• Verschlüsselte Übertragung und verschlüsselte Ablage
• Zugriff nur über persönliche Konten mit Zwei-Faktor-Authentisierung
• Zugriff auf die Systeme des Auftraggebers nur mit den Rechten, die der Prozess tatsächlich benötigt
• Trennung von Test- und Produktivdaten; für Tests werden nach Möglichkeit anonymisierte oder synthetische Fälle verwendet
• Protokollierung der automatisierten Vorgänge, damit nachvollziehbar bleibt, was wann passiert ist
• Menschliche Freigaben an den Stellen, die im Prozess als entscheidungsrelevant festgelegt wurden
• Löschregeln je Prozess statt unbefristeter Ablage

Die für ein konkretes Projekt geltenden Maßnahmen werden im Einzelvertrag als Anlage aufgeführt.

7. Unterauftragsverarbeiter

Automatisierung entsteht fast immer aus mehreren Bausteinen. Welche Dienste in deinem Projekt zum Einsatz kommen, wird vor der Umsetzung festgelegt und im Einzelvertrag namentlich aufgeführt – mit Sitz, Zweck und Rechtsgrundlage für eine etwaige Drittlandsübermittlung.

In Frage kommen je nach Prozess Automatisierungsplattformen, AI-Anbieter, Speicher- und Kollaborationsdienste sowie der Hoster einer selbst betriebenen Komponente. Wo es fachlich vertretbar ist, werden EU-Hosting oder selbst betriebene Varianten bevorzugt.

Ein Wechsel oder die Aufnahme eines weiteren Dienstes wird rechtzeitig vorab mitgeteilt. Dagegen kann Widerspruch eingelegt werden.

8. Unterstützung des Auftraggebers

CROPs. unterstützt dich im erforderlichen Umfang dabei,

• Anfragen betroffener Personen zu beantworten (Art. 12 bis 23 DSGVO),
• die Sicherheit der Verarbeitung sicherzustellen (Art. 32 DSGVO),
• Datenschutzverletzungen zu melden und zu dokumentieren (Art. 33, 34 DSGVO),
• eine Datenschutz-Folgenabschätzung durchzuführen (Art. 35, 36 DSGVO).

Wird eine Verletzung des Schutzes personenbezogener Daten bekannt, erfolgt unverzüglich eine Meldung an dich – mit den bekannten Fakten, der Einschätzung der Folgen und den ergriffenen Maßnahmen.

9. Löschung und Rückgabe

Nach Abschluss des Auftrags werden alle überlassenen Daten und erstellten Kopien nach deiner Wahl gelöscht oder herausgegeben. Ausgenommen ist, was aufgrund gesetzlicher Pflichten aufbewahrt werden muss. Auf Wunsch wird die Löschung schriftlich bestätigt.

Zugänge zu deinen Systemen werden mit Projektende deaktiviert und auf deiner Seite entzogen.

10. Nachweise und Kontrollen

Auf Anfrage werden die Einhaltung der vereinbarten Pflichten und die getroffenen Maßnahmen nachgewiesen. Kontrollen sind nach rechtzeitiger Ankündigung und ohne Störung des Betriebsablaufs möglich.

11. Haftung

Es gelten die Haftungsregelungen des Hauptvertrags sowie Art. 82 DSGVO.

Verbindlichen Vertrag anfordern

Diese Seite ist eine Vorschau auf die Inhalte, nicht der Vertrag selbst. Der verbindliche Auftragsverarbeitungsvertrag wird auf dein Projekt zugeschnitten – insbesondere die Punkte 3, 6 und 7 – und individuell geschlossen.

Schreib an marcel@crops-agentur.de oder ruf an unter +49 160 8284487.