Auftragsverarbeitung

Stand: Oktober 2026 · Fassung 1.1

Diese Seite ist für Kunden, deren personenbezogene Daten wir im Auftrag verarbeiten. Der Vertrag ist Teil jedes Auftrags, und zwar über unsere AGB. Sie müssen nichts gesondert unterschreiben. Brauchen Sie eine unterzeichnete Fassung mit den Angaben zu Ihrem Auftrag, schreiben Sie uns an info@mindhaus-consulting.com. Wir senden sie Ihnen zeitnah.

Vertrag zur Auftragsverarbeitung

nach Art. 28 Datenschutz-Grundverordnung (DSGVO)

Parteien

Verantwortlicher: der Kunde, der Mindhaus Consulting beauftragt hat (im Folgenden „Verantwortlicher“)

Auftragsverarbeiter: Mindhaus Consulting FZ-LLC, VUPR0064, Compass Building – Al Hulaila, Al Hulaila Industrial Zone-FZ, Ras Al Khaimah, Vereinigte Arabische Emirate, Lizenz-Nr. 47022702 (RAKEZ), vertreten durch die Managing Director Marwa Ismail (im Folgenden „Auftragsverarbeiter“)

§ 1 Gegenstand und Dauer

1. Grundlage ist der jeweilige Auftrag des Verantwortlichen, also Angebot und Auftragsbestätigung oder Rahmenvertrag mit Leistungsschein (im Folgenden „Hauptvertrag“).
2. Der Auftragsverarbeiter verarbeitet personenbezogene Daten im Auftrag des Verantwortlichen, soweit das für die Leistungen aus dem Hauptvertrag nötig ist. Welche Daten das sind, steht in Anlage 1.
3. Dieser Vertrag gilt, solange der Auftragsverarbeiter für den Verantwortlichen personenbezogene Daten verarbeitet. Das schließt spätere Wartung, Betreuung oder Hosting ein, wenn diese gesondert beauftragt werden. Die Pflichten zu Vertraulichkeit, Löschung und Rückgabe gelten über das Vertragsende hinaus.

§ 2 Weisungen

1. Der Auftragsverarbeiter verarbeitet die Daten nur nach dokumentierter Weisung des Verantwortlichen. Der Hauptvertrag und dieser Vertrag sind die ersten Weisungen. Weitere Weisungen erteilt der Verantwortliche in Textform (z. B. per E-Mail).
2. Hält der Auftragsverarbeiter eine Weisung für rechtswidrig, sagt er das dem Verantwortlichen unverzüglich. Er darf die Ausführung aussetzen, bis der Verantwortliche die Weisung bestätigt oder ändert.
3. Der Auftragsverarbeiter nutzt die Daten nicht für eigene Zwecke.
4. Verlangt das Recht der Union, eines Mitgliedstaats oder der Vereinigten Arabischen Emirate eine andere Verarbeitung, teilt der Auftragsverarbeiter das dem Verantwortlichen vorher mit, es sei denn, das Recht verbietet diese Mitteilung. Das gilt auch für Übermittlungen in Drittländer.

§ 3 Pflichten des Auftragsverarbeiters

1. Vertraulichkeit: Alle Personen, die Zugriff auf die Daten haben, sind schriftlich zur Vertraulichkeit verpflichtet. Zugriff bekommen nur Personen, die ihn für den Auftrag brauchen.
2. Sicherheit: Der Auftragsverarbeiter trifft die technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO aus Anlage 2. Er darf sie weiterentwickeln, solange das Schutzniveau nicht sinkt.
3. Rechte der Betroffenen: Der Auftragsverarbeiter unterstützt den Verantwortlichen bei Anfragen von Betroffenen (z. B. Auskunft, Berichtigung, Löschung). Erreicht eine solche Anfrage den Auftragsverarbeiter direkt, leitet er sie unverzüglich weiter und beantwortet sie nicht selbst.
4. Datenschutzverletzungen: Der Auftragsverarbeiter meldet dem Verantwortlichen jede Verletzung des Schutzes personenbezogener Daten unverzüglich, spätestens 48 Stunden nachdem er davon erfahren hat. Die Meldung enthält die Angaben nach Art. 33 Abs. 3 DSGVO, soweit sie bekannt sind.
5. Weitere Unterstützung: Der Auftragsverarbeiter unterstützt den Verantwortlichen bei einer Datenschutz-Folgenabschätzung und bei Gesprächen mit der Aufsichtsbehörde, soweit es um seine Verarbeitung geht.
6. Ende des Auftrags: Nach Ende des Auftrags gibt der Auftragsverarbeiter die Daten nach Wahl des Verantwortlichen zurück oder löscht sie, spätestens nach 30 Tagen. Das gilt auch für Kopien. Auf Wunsch bestätigt er die Löschung in Textform. Gesetzliche Aufbewahrungspflichten bleiben unberührt.
7. Nachweise und Kontrollen: Der Auftragsverarbeiter stellt alle Informationen bereit, die zum Nachweis seiner Pflichten nötig sind. Kontrollen erfolgen in erster Linie über Unterlagen und schriftliche Auskünfte. Prüfungen vor Ort sind nach einer Ankündigung von mindestens 14 Tagen möglich. Jede Partei trägt ihre eigenen Kosten.
8. Ansprechpartner Datenschutz: info@mindhaus-consulting.com.

§ 4 Unterauftragsverarbeiter

1. Der Verantwortliche ist mit den Unterauftragsverarbeitern aus Anlage 3 einverstanden.
2. Will der Auftragsverarbeiter einen weiteren Unterauftragsverarbeiter einsetzen oder einen ersetzen, teilt er das mindestens 30 Tage vorher in Textform mit. Der Verantwortliche kann aus wichtigem datenschutzrechtlichem Grund widersprechen. Widerspricht er, setzt der Auftragsverarbeiter den neuen Anbieter für diesen Auftrag nicht ein.
3. Der Auftragsverarbeiter verpflichtet jeden Unterauftragsverarbeiter vertraglich auf dasselbe Schutzniveau wie in diesem Vertrag.
4. Werbe- und Analyseplattformen, die in Konten des Verantwortlichen laufen (z. B. Meta, Google Analytics, Google Search Console), nutzt der Verantwortliche auf Grundlage seiner eigenen Verträge mit diesen Anbietern. Sie sind keine Unterauftragsverarbeiter des Auftragsverarbeiters. Der Auftragsverarbeiter erhält dort nur Nutzer- oder Partnerzugriff.

§ 5 Übermittlung in Drittländer

1. Die Vereinigten Arabischen Emirate haben keinen Angemessenheitsbeschluss der EU-Kommission. Jeder Zugriff des Auftragsverarbeiters auf die Daten aus den Emiraten ist deshalb eine Übermittlung in ein Drittland.
2. Für diese Übermittlung schließen die Parteien die Standardvertragsklauseln der EU-Kommission nach Durchführungsbeschluss (EU) 2021/914, Modul 2 (Verantwortlicher an Auftragsverarbeiter). Sie werden durch diesen Verweis Teil dieses Vertrags. Amtlicher Text: https://eur-lex.europa.eu/eli/dec_impl/2021/914/oj
3. Gewählte Optionen: Klausel 7 (Beitritt weiterer Parteien) gilt. Klausel 9 Buchstabe a: Option 2, allgemeine Genehmigung, Frist 30 Tage. Klausel 11: ohne unabhängige Schlichtungsstelle. Klausel 13: zuständig ist die Aufsichtsbehörde, die für den Verantwortlichen zuständig ist. Klausel 17: Option 1, Recht der Bundesrepublik Deutschland. Klausel 18: Gerichte in Deutschland.
4. Die Anhänge der Standardvertragsklauseln sind wie folgt ausgefüllt: Anhang I.A (Parteien) durch den Abschnitt „Parteien“ und § 3 Nr. 8 sowie die Angaben in Anlage 1, Anhang I.B (Beschreibung der Übermittlung) durch Anlage 1, Anhang I.C (Aufsichtsbehörde) durch Abs. 3, Anhang II (Maßnahmen) durch Anlage 2, Anhang III (Unterauftragsverarbeiter) durch Anlage 3.
5. Die Parteien haben die Übermittlung geprüft (Anlage 4). Ergebnis: Mit den Standardvertragsklauseln und den Maßnahmen aus Anlage 2 ist das Schutzniveau gewahrt.
6. Widersprechen sich dieser Vertrag und die Standardvertragsklauseln, gehen die Standardvertragsklauseln vor.
7. Für Verantwortliche in der Schweiz gelten die Standardvertragsklauseln mit den vom Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB) anerkannten Anpassungen: Verweise auf die DSGVO gelten als Verweise auf das Schweizer Datenschutzgesetz, zuständige Aufsichtsbehörde ist der EDÖB, und Betroffene in der Schweiz können ihre Rechte an ihrem gewöhnlichen Aufenthaltsort einklagen.

§ 6 Pflichten des Verantwortlichen

1. Der Verantwortliche ist dafür verantwortlich, dass die Verarbeitung rechtmäßig ist. Das betrifft vor allem die Information der Betroffenen und seine Datenschutzerklärung.
2. Er teilt dem Auftragsverarbeiter unverzüglich mit, wenn er Fehler oder Unregelmäßigkeiten bei der Verarbeitung feststellt.
3. Ansprechpartner Datenschutz beim Verantwortlichen ist die Person, die er im Auftrag benennt.

§ 7 Haftung

Für die Haftung gegenüber Betroffenen gilt Art. 82 DSGVO. Im Verhältnis der Parteien zueinander trägt jede Partei den Schaden, den sie durch einen eigenen Verstoß gegen diesen Vertrag oder die DSGVO verursacht hat.

§ 8 Schlussbestimmungen

1. Dieser Vertrag geht bei Fragen des Datenschutzes dem Hauptvertrag vor.
2. Änderungen bedürfen der Textform. Der Vertrag kann auch elektronisch geschlossen werden (Art. 28 Abs. 9 DSGVO).
3. Ist eine Bestimmung unwirksam, bleibt der Rest wirksam. Die Parteien ersetzen die unwirksame Bestimmung durch eine, die dem Zweck am nächsten kommt.
4. Es gilt das Recht der Bundesrepublik Deutschland.

Abschluss

Dieser Vertrag ist Teil des Auftrags und kommt über die AGB zustande. Es gilt die Fassung, die bei Vertragsschluss auf dieser Seite steht. Er wird elektronisch geschlossen (Art. 28 Abs. 9 DSGVO). Eine gesonderte Unterschrift ist nicht nötig. Auf Anfrage erhält der Verantwortliche eine unterzeichnete Fassung mit den Angaben zu seinem Auftrag. Name und Anschrift des Verantwortlichen ergeben sich aus Angebot oder Auftragsbestätigung. Sie gelten als Angaben nach Anhang I.A der Standardvertragsklauseln.

Anlage 1 – Beschreibung der Verarbeitung

Welche Zeilen gelten, ergibt sich aus den beauftragten Leistungen. Die Zeile Projektarbeit gilt immer.

Art der Verarbeitung: Erheben, Speichern, Bearbeiten, Weiterleiten, Auswerten, Löschen.

Besondere Kategorien (Art. 9 DSGVO): Werden nicht gezielt verarbeitet. Die Formulare fragen nicht danach. Macht eine Person solche Angaben freiwillig, werden sie nur an den Verantwortlichen weitergeleitet und nicht weiter genutzt.

Häufigkeit der Übermittlung: laufend während des Auftrags.

Speicherdauer: Anfragen und Bewerbungen werden beim Auftragsverarbeiter nur so lange gespeichert, wie das für die Weiterleitung und Fehlerbehebung nötig ist, höchstens 30 Tage. Über die weitere Aufbewahrung entscheidet der Verantwortliche. Für alle übrigen Daten gilt § 3 Nr. 6.

Anlage 2 – Technische und organisatorische Maßnahmen

Anlage 3 – Unterauftragsverarbeiter

Weitere Anbieter werden vorher nach § 4 Abs. 2 angezeigt. Die unterzeichnete Fassung enthält nur die Anbieter des jeweiligen Auftrags.

Anlage 4 – Prüfung der Übermittlung (Kurzfassung)