Vertrag zur Auftragsverarbeitung

nach Art. 28 der Verordnung (EU) 2016/679 (DSGVO)

§ 1 Gegenstand und Dauer

(1) Gegenstand. Der Auftragnehmer betreibt den Dienst „MVO-Doku“: die Speicherung, Versionierung und dauerhafte Bereitstellung technischer Dokumentation zu Maschinen des Auftraggebers über eine feste Adresse (QR-Code), einschließlich einer passwortgeschützten Betreiber-Ebene und eines befristeten, protokollierten Zugangs für Marktüberwachungsbehörden.

(2) Dauer. Die Laufzeit dieses Vertrags entspricht der Laufzeit des zugrunde liegenden Nutzungsverhältnisses (AGB). Er endet nicht vor Ablauf der in § 10 geregelten Aufbewahrungspflichten.

§ 2 Konkretisierung des Auftrags

(1) Art und Zweck. Erhebung, Speicherung, Bereitstellung, Übermittlung an die vom Auftraggeber bestimmten Empfänger sowie Löschung. Zweck ist die Erfüllung der Pflichten des Auftraggebers aus der Verordnung (EU) 2023/1230 (Maschinenverordnung), insbesondere Art. 10 Abs. 7 und 8.

(2) Datenarten.

• Konto- und Firmendaten des Auftraggebers: Firmenname, Anschrift, E-Mail-Adressen, Name und Rolle der angelegten Benutzer, Anmeldedaten (Passwörter ausschließlich als Prüfwert nach scrypt, nie im Klartext)
• Maschinenstammdaten: Bezeichnung, Typ, Serien-Nummer, Baujahr, Datum des Inverkehrbringens, elektronische Kontaktadresse
• Inhalte der hochgeladenen Dokumente, soweit der Auftraggeber dort personenbezogene Daten einstellt (z. B. Name der nach Anhang V bevollmächtigten Person, Unterzeichner der Konformitätserklärung, Ansprechpartner)
• Protokolldaten: Zeitpunkt und Art jeder Änderung mit Namen des handelnden Benutzers; Zugriffe über einen Behörden-Zugangslink mit Zeitpunkt und aufgerufenem Dokument
• Angaben aus Anfragen zur Papierform der Betriebsanleitung, die Dritte über den QR-Code an den Auftraggeber richten

(3) Betroffenenkreise. Beschäftigte und Bevollmächtigte des Auftraggebers; in Dokumenten genannte natürliche Personen; Betreiber und Instandhalter der Maschinen; Beschäftigte von Marktüberwachungsbehörden; Personen, die eine Papierform anfordern.

(4) Keine besonderen Kategorien. Der Dienst ist nicht für Daten nach Art. 9 DSGVO bestimmt. Der Auftraggeber stellt solche Daten nicht ein.

§ 3 Weisungsrecht

(1) Der Auftragnehmer verarbeitet personenbezogene Daten ausschließlich im Rahmen der getroffenen Vereinbarungen und nach dokumentierten Weisungen des Auftraggebers, es sei denn, er ist nach Unionsrecht oder dem Recht eines Mitgliedstaats zur Verarbeitung verpflichtet. In diesem Fall teilt er dem Auftraggeber diese Anforderungen vor der Verarbeitung mit, sofern das Recht dies nicht wegen eines wichtigen öffentlichen Interesses verbietet.

(2) Weisungen werden in Textform erteilt. Die Bedienung des Dienstes durch den Auftraggeber — insbesondere das Hochladen, Zuordnen, Freigeben und Löschen von Dokumenten — gilt als Weisung.

(3) Hält der Auftragnehmer eine Weisung für rechtswidrig, teilt er dies unverzüglich mit und darf die Ausführung bis zur Bestätigung aussetzen.

§ 4 Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

Der Auftragnehmer trifft die in Anlage 1 beschriebenen Maßnahmen. Er darf sie fortentwickeln, solange das dort festgelegte Sicherheitsniveau nicht unterschritten wird. Wesentliche Änderungen sind zu dokumentieren.

§ 5 Unterauftragsverhältnisse

(1) Der Auftraggeber genehmigt die Inanspruchnahme der in Anlage 2 aufgeführten weiteren Auftragsverarbeiter.

(2) Beabsichtigt der Auftragnehmer, einen weiteren Auftragsverarbeiter hinzuzuziehen oder auszutauschen, teilt er dies dem Auftraggeber mindestens vier Wochen vorher in Textform mit. Der Auftraggeber kann binnen zwei Wochen ab Zugang aus einem wichtigen datenschutzrechtlichen Grund widersprechen. Widerspricht er, kann jede Partei den Vertrag zum geplanten Einsatzzeitpunkt kündigen; die Erreichbarkeit bereits freigegebener Maschinen nach § 10 Abs. 3 bleibt hiervon unberührt.

(3) Der Auftragnehmer verpflichtet weitere Auftragsverarbeiter auf Pflichten, die denen dieses Vertrags entsprechen (Art. 28 Abs. 4 DSGVO).

(4) Nicht als Unterauftragsverhältnis gelten Nebenleistungen, die der Auftragnehmer zur Ausübung seiner Geschäftstätigkeit in Anspruch nimmt und bei denen ein Zugriff auf personenbezogene Daten des Auftraggebers nicht bestimmungsgemäß erfolgt.

§ 6 Kontrollrechte des Auftraggebers

(1) Der Auftraggeber hat das Recht, die Einhaltung dieses Vertrags zu überprüfen. Der Auftragnehmer erteilt hierzu die erforderlichen Auskünfte und weist die Maßnahmen nach Anlage 1 nach.

(2) Vor-Ort-Kontrollen sind nach Ankündigung mit angemessener Frist während der üblichen Geschäftszeiten und ohne Störung des Betriebsablaufs zulässig. Der Auftragnehmer kann sie von einer Verschwiegenheitserklärung abhängig machen, soweit Geschäftsgeheimnisse oder Daten anderer Kunden betroffen sind.

§ 7 Meldepflichten

Der Auftragnehmer meldet dem Auftraggeber unverzüglich, spätestens innerhalb von 48 Stunden nach Kenntnis, jede Verletzung des Schutzes personenbezogener Daten (Art. 33 DSGVO) sowie jeden begründeten Verdacht darauf. Die Meldung enthält die nach Art. 33 Abs. 3 DSGVO erforderlichen Angaben, soweit verfügbar. Der Auftragnehmer unterstützt den Auftraggeber bei dessen Melde- und Benachrichtigungspflichten.

§ 8 Unterstützung bei Betroffenenrechten

(1) Wendet sich eine betroffene Person unmittelbar an den Auftragnehmer, leitet dieser das Anliegen unverzüglich an den Auftraggeber weiter und beantwortet es nicht selbst.

(2) Der Auftragnehmer unterstützt den Auftraggeber mit geeigneten Maßnahmen bei der Erfüllung der Rechte nach Kapitel III DSGVO. Der Dienst stellt hierfür bereit: den vollständigen Export aller Daten und Dokumente einer Maschine, das Änderungsprotokoll sowie Funktionen zur Berichtigung und Löschung.

§ 9 Vertraulichkeit

Der Auftragnehmer verpflichtet alle mit der Verarbeitung befassten Personen zur Vertraulichkeit (Art. 28 Abs. 3 lit. b, Art. 29, Art. 32 Abs. 4 DSGVO). Die Verpflichtung besteht auch nach Beendigung dieses Vertrags fort.

§ 10 Löschung und Rückgabe

(1) Nach Abschluss der Verarbeitung löscht der Auftragnehmer die personenbezogenen Daten oder gibt sie zurück, nach Wahl des Auftraggebers. Der vollständige Export steht jederzeit selbst zur Verfügung.

(2) Kopien werden ohne Wissen des Auftraggebers nicht erstellt; ausgenommen sind Sicherungskopien zur Gewährleistung einer ordnungsgemäßen Verarbeitung sowie Daten, die zur Einhaltung gesetzlicher Aufbewahrungspflichten erforderlich sind.

(4) Protokolldaten zum Nachweis der Bereitstellung gegenüber Marktüberwachungs­behörden bleiben bis zum Ablauf der Frist nach Absatz 3 erhalten. Der Name eines gelöschten Benutzers bleibt im Änderungsprotokoll lesbar, damit nachvollziehbar bleibt, wer welche Änderung vorgenommen hat; dies dient dem berechtigten Interesse beider Parteien an der Nachweisbarkeit.

§ 11 Haftung

Es gilt Art. 82 DSGVO. Im Übrigen gelten die Haftungsregelungen der AGB des Auftragnehmers.

§ 12 Schlussbestimmungen

(1) Änderungen und Ergänzungen bedürfen der Textform. Das gilt auch für die Aufhebung dieses Formerfordernisses.

(2) Bei Widersprüchen zwischen diesem Vertrag und den AGB geht dieser Vertrag in datenschutzrechtlichen Fragen vor.

(3) Sollten einzelne Bestimmungen unwirksam sein, bleibt der Vertrag im Übrigen wirksam.

(4) Es gilt deutsches Recht. Gerichtsstand ist, soweit zulässig, Siegen.

Anlage 1 · Technische und organisatorische Maßnahmen

Stand 05.09.2026. Alle Angaben beziehen sich auf den tatsächlichen Betrieb und sind überprüfbar.

Anlage 2 · Weitere Auftragsverarbeiter

Die freiwillige Prüfung einer USt-IdNr. über den Bestätigungsdienst der Europäischen Kommission (VIES) ist keine Auftragsverarbeitung; übertragen werden nur Länderkürzel und Nummer.

Diese Seite können Sie ausdrucken oder als PDF sichern (Strg + P). Der Anforderungsbereich wird dabei nicht mitgedruckt.