Auftragsverarbeitungsvertrag
Vertrag nach Art. 28 Abs. 3 DSGVO. Er wird beim Anlegen eines Betriebs in inncomo mit Versionsstand akzeptiert.
Stand: 23.10.2026
zwischen dem Kunden, der in inncomo einen Betrieb anlegt („Verantwortlicher“), und WM-Ostalb – Werbe Medien Ostalb, Gschwender Str. 24, 73565 Spraitbach („Auftragsverarbeiter“).
1. Gegenstand und Dauer
Der Auftragsverarbeiter stellt dem Verantwortlichen die Software inncomo nach den Allgemeinen Geschäftsbedingungen bereit und verarbeitet dabei personenbezogene Daten in dessen Auftrag. Der Vertrag gilt für die Dauer des Hauptvertrags und darüber hinaus, solange der Auftragsverarbeiter Daten des Verantwortlichen verarbeitet.
2. Art und Zweck der Verarbeitung
Speichern, Organisieren, Abfragen, Anzeigen, Übermitteln auf Veranlassung des Verantwortlichen (etwa E-Mail-Versand von Belegen), Sichern und Löschen von Daten, um dem Verantwortlichen die Abwicklung seiner Aufträge zu ermöglichen: Kundenverwaltung, Angebote, Projekte, Zeiterfassung, Rechnungen und Zahlungen sowie die weiteren von ihm aktivierten Module.
3. Art der Daten und Kategorien betroffener Personen
| Betroffene Personen | Datenarten |
|---|---|
| Kunden und Interessenten des Verantwortlichen sowie deren Ansprechpartner | Name, Firma, Anschrift, E-Mail, Telefon, USt-IdNr., Leitweg-ID, Notizen, Werbe-Einwilligung mit Zeitpunkt, Angebots-, Projekt-, Rechnungs- und Zahlungsdaten |
| Beschäftigte und Nutzer des Verantwortlichen | Name, E-Mail, Rolle, Arbeitszeiten und Projektzuordnung aus der Zeiterfassung, Einträge im Änderungsprotokoll mit gekürzter IP-Adresse |
| Ansprechpartner von Lieferanten und Partnern, soweit erfasst | Name und Kontaktdaten |
Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO) sind nicht Gegenstand der Verarbeitung. Der Verantwortliche erfasst solche Daten nicht in Freitextfeldern.
4. Weisungen
Der Auftragsverarbeiter verarbeitet die Daten nur auf dokumentierte Weisung des Verantwortlichen. Die Weisungen ergeben sich aus diesem Vertrag, dem Hauptvertrag und der Nutzung der Software durch den Verantwortlichen. Hält der Auftragsverarbeiter eine Weisung für rechtswidrig, informiert er den Verantwortlichen unverzüglich (Art. 28 Abs. 3 Satz 3 DSGVO).
5. Pflichten des Auftragsverarbeiters
- Alle mit der Verarbeitung befassten Personen sind zur Vertraulichkeit verpflichtet.
- Er trifft die technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO, die in den technischen und organisatorischen Maßnahmen beschrieben sind. Er darf sie weiterentwickeln, solange das Schutzniveau nicht sinkt.
- Er trennt die Daten des Verantwortlichen technisch von den Daten anderer Kunden und nutzt sie nicht für eigene Zwecke.
- Er unterstützt den Verantwortlichen bei Datenschutz-Folgenabschätzungen und vorherigen Konsultationen (Art. 35, 36 DSGVO), soweit es die Verarbeitung betrifft.
6. Unterauftragsverarbeiter
Der Verantwortliche stimmt dem Einsatz folgender Unterauftragsverarbeiter zu:
| Unternehmen | Leistung | Ort, Garantien |
|---|---|---|
| Vercel Inc., USA | Hosting und Ausführung der Anwendung | Funktionsregion fra1 (Frankfurt am Main); EU-US Data Privacy Framework, Standardvertragsklauseln |
| MongoDB Limited, Dublin, Irland (MongoDB Atlas), mit Amazon Web Services als Infrastruktur | Datenbank und Datensicherung | EU-Region Frankfurt (AWS eu-central-1); Standardvertragsklauseln für etwaigen Support-Zugriff |
| STRATO GmbH, Berlin, Deutschland | Versand von E-Mails auf Veranlassung des Verantwortlichen | Deutschland |
Der Zahlungsdienstleister Stripe verarbeitet nur Abrechnungsdaten des Verantwortlichen selbst, für die der Auftragsverarbeiter eigener Verantwortlicher ist, und ist deshalb kein Unterauftragsverarbeiter.
Über beabsichtigte Änderungen informiert der Auftragsverarbeiter mindestens vier Wochen vorher in Textform. Der Verantwortliche kann aus wichtigem datenschutzrechtlichem Grund widersprechen; kommt keine Einigung zustande, kann er den Hauptvertrag kündigen. Der Auftragsverarbeiter verpflichtet Unterauftragsverarbeiter vertraglich auf ein gleichwertiges Schutzniveau.
7. Unterstützung bei Betroffenenrechten
Der Auftragsverarbeiter unterstützt den Verantwortlichen mit geeigneten Maßnahmen bei Anfragen nach Art. 15 bis 22 DSGVO. Wendet sich eine betroffene Person direkt an ihn, leitet er die Anfrage unverzüglich weiter. In der Software kann der Verantwortliche Daten selbst berichtigen und archivieren und unter Einstellungen → Datenschutz alle Daten seines Betriebs als JSON-Datei exportieren. Auskunft über die Daten einer einzelnen Person oder deren Löschung erledigt der Auftragsverarbeiter auf Anfrage des Verantwortlichen über seinen Support.
8. Verletzungen des Schutzes personenbezogener Daten
Der Auftragsverarbeiter meldet dem Verantwortlichen eine Verletzung unverzüglich, spätestens innerhalb von 24 Stunden nach Kenntnis, mit den Angaben nach Art. 33 Abs. 3 DSGVO, soweit bekannt. Er unterstützt den Verantwortlichen bei Meldung und Benachrichtigung (Art. 33, 34 DSGVO).
9. Kontrollrechte
Der Auftragsverarbeiter stellt dem Verantwortlichen alle Informationen zum Nachweis der Pflichten aus Art. 28 DSGVO zur Verfügung, vorrangig durch aktuelle Nachweise wie Zertifikate oder Prüfberichte seiner Dienstleister. Darüber hinaus ermöglicht er Überprüfungen durch den Verantwortlichen oder einen von ihm beauftragten, zur Verschwiegenheit verpflichteten Prüfer nach rechtzeitiger Anmeldung, in der Regel mit vier Wochen Vorlauf und während der Geschäftszeiten.
10. Löschung und Rückgabe nach Vertragsende
Nach Ende des Hauptvertrags kann der Verantwortliche seine Daten innerhalb von 30 Tagen in einem maschinenlesbaren Format exportieren. Danach löscht der Auftragsverarbeiter alle Daten des Verantwortlichen einschließlich Kopien, sofern nicht eine Pflicht zur Speicherung nach Unionsrecht oder deutschem Recht besteht. Daten in Sicherungskopien werden mit Ablauf des Sicherungszyklus überschrieben. Die Löschung bestätigt er auf Anfrage in Textform.
11. Schlussbestimmungen
Für die Haftung gilt Art. 82 DSGVO, im Übrigen die Haftungsregelung des Hauptvertrags. Bei Widersprüchen geht dieser Vertrag dem Hauptvertrag vor, soweit es um den Schutz personenbezogener Daten geht. Es gilt deutsches Recht.