Vertrag zur Auftragsverarbeitung

gemäß Art. 28 DSGVO · Stand: 26. Oktober 2026

zwischen dem Kunden von Vonloo Systems
– Verantwortlicher, im Folgenden „Auftraggeber“ –

und
Vonloo Systems, Inh. Matthias Sagorski, Alte Quernheimer Str. 36, 32278 Kirchlengern
– Auftragsverarbeiter, im Folgenden „Auftragnehmer“ –

Dieser Vertrag wird mit Abschluss des Nutzungsvertrags über den Vonloo Systems Managed Hub („Hauptvertrag“, siehe AGB) Bestandteil des Hauptvertrags. Auf Wunsch stellen wir ihn zusätzlich als unterschriebenes Dokument bereit.

§ 1 Gegenstand und Dauer

(1) Der Auftragnehmer stellt dem Auftraggeber den Managed Hub als Software im Browser bereit. Dabei verarbeitet er personenbezogene Daten im Auftrag des Auftraggebers, die dieser in den Hub eingibt, hochlädt oder über den Hub erhebt (z. B. über den Retail Hub oder Club Hub).

(2) Art, Zweck, Datenarten und Betroffene ergeben sich aus Anlage 1.

(3) Die Laufzeit dieses Vertrags richtet sich nach der Laufzeit des Hauptvertrags. Endet der Hauptvertrag, endet auch dieser Vertrag; Pflichten, die ihrer Natur nach fortwirken (z. B. Löschung, Vertraulichkeit), bestehen fort.

§ 2 Verantwortung und Weisungen

(1) Der Auftraggeber ist Verantwortlicher im Sinne von Art. 4 Nr. 7 DSGVO. Er ist dafür verantwortlich, dass die Verarbeitung der Daten rechtmäßig ist und er die Betroffenen informiert.

(2) Der Auftragnehmer verarbeitet die Daten ausschließlich im Rahmen des Hauptvertrags und nach den Weisungen des Auftraggebers, es sei denn, er ist gesetzlich zu einer anderen Verarbeitung verpflichtet; in diesem Fall teilt er dem Auftraggeber die rechtliche Anforderung vorher mit, soweit das Gesetz dies nicht verbietet.

(3) Die Weisungen werden durch diesen Vertrag und die Funktionen des Hubs festgelegt. Weitere Weisungen erteilt der Auftraggeber in Textform (z. B. per E-Mail).

(4) Ist der Auftragnehmer der Ansicht, dass eine Weisung gegen Datenschutzrecht verstößt, weist er den Auftraggeber unverzüglich darauf hin. Er darf die Ausführung aussetzen, bis der Auftraggeber die Weisung bestätigt oder ändert.

(5) Der Auftragnehmer nutzt die Daten nicht für eigene Zwecke, insbesondere nicht für Werbung und nicht zum Training von KI-Modellen.

§ 3 Ort der Verarbeitung

Die Verarbeitung findet ausschließlich in Deutschland statt. Eine Verlagerung in ein Land außerhalb der EU bzw. des EWR erfolgt nur mit vorheriger Zustimmung des Auftraggebers und nur, wenn die Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind.

§ 4 Vertraulichkeit

Der Auftragnehmer setzt nur Personen ein, die zur Vertraulichkeit verpflichtet und mit den Datenschutzvorschriften vertraut sind. Die Verpflichtung gilt über das Vertragsende hinaus.

§ 5 Technische und organisatorische Maßnahmen

(1) Der Auftragnehmer trifft die in Anlage 2 beschriebenen Maßnahmen nach Art. 32 DSGVO, um Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit der Systeme dauerhaft zu gewährleisten.

(2) Die Maßnahmen dürfen an den technischen Fortschritt angepasst werden, sofern das Schutzniveau nicht unterschritten wird. Wesentliche Änderungen dokumentiert der Auftragnehmer.

§ 6 Unterauftragsverarbeiter

(1) Der Auftraggeber genehmigt die in Anlage 3 genannten Unterauftragsverarbeiter.

(2) Der Auftragnehmer informiert den Auftraggeber mindestens 14 Tage vorher in Textform, bevor er weitere Unterauftragsverarbeiter hinzuzieht oder ersetzt. Der Auftraggeber kann innerhalb dieser Frist aus wichtigem datenschutzrechtlichem Grund widersprechen. Finden die Parteien keine Lösung, kann der Auftraggeber den Hauptvertrag zum Zeitpunkt der Änderung kündigen.

(3) Der Auftragnehmer verpflichtet Unterauftragsverarbeiter vertraglich auf gleichwertige Datenschutzpflichten.

(4) Keine Unterauftragsverarbeitung sind Nebenleistungen wie Telekommunikation, Post oder die Wartung von Hard- und Software, soweit dabei kein regelmäßiger Zugriff auf die Daten des Auftraggebers besteht.

§ 7 Unterstützung des Auftraggebers

(1) Der Auftragnehmer unterstützt den Auftraggeber im angemessenen Umfang dabei, Anfragen betroffener Personen zu beantworten (Kapitel III DSGVO). Wendet sich eine betroffene Person direkt an den Auftragnehmer, leitet er die Anfrage unverzüglich an den Auftraggeber weiter.

(2) Er unterstützt den Auftraggeber außerdem bei den Pflichten aus Art. 32 bis 36 DSGVO (Sicherheit, Meldung von Verletzungen, Datenschutz-Folgenabschätzung, Konsultation der Aufsichtsbehörde).

(3) Für Unterstützung, die über die Funktionen des Hubs und die gesetzlichen Pflichten des Auftragnehmers hinausgeht und nicht auf einem Fehler des Auftragnehmers beruht, kann der Auftragnehmer eine angemessene Vergütung nach Aufwand verlangen, die vorher vereinbart wird.

§ 8 Meldung von Datenschutzverletzungen

Der Auftragnehmer meldet dem Auftraggeber eine Verletzung des Schutzes personenbezogener Daten unverzüglich, nachdem sie ihm bekannt geworden ist. Die Meldung enthält, soweit bekannt: Art der Verletzung, betroffene Datenarten und ungefähre Zahl der Betroffenen und Datensätze, wahrscheinliche Folgen, ergriffene oder vorgeschlagene Maßnahmen sowie eine Ansprechperson.

§ 9 Kontrollrechte

(1) Der Auftragnehmer erteilt dem Auftraggeber auf Anfrage die Auskünfte, die zum Nachweis der Pflichten aus diesem Vertrag erforderlich sind, und weist die Umsetzung der technischen und organisatorischen Maßnahmen nach.

(2) Für das Rechenzentrum genügt als Nachweis die Zertifizierung bzw. der Prüfbericht des Hosting-Anbieters, den der Auftragnehmer auf Anfrage im Rahmen von Vertraulichkeitsvereinbarungen zur Verfügung stellt.

(3) Darüber hinaus kann der Auftraggeber nach angemessener Vorankündigung Überprüfungen selbst oder durch einen zur Verschwiegenheit verpflichteten Prüfer durchführen, der nicht im Wettbewerb zum Auftragnehmer steht. Prüfungen finden während der üblichen Geschäftszeiten, ohne Störung des Betriebs und höchstens einmal im Kalenderjahr statt, es sei denn, es gibt einen konkreten Anlass.

§ 10 Löschung und Rückgabe

(1) Der Auftraggeber kann seine Daten während der Vertragslaufzeit im Hub einsehen, herunterladen und löschen.

(2) Nach Vertragsende löscht der Auftragnehmer die Daten des Auftraggebers, soweit keine gesetzliche Pflicht zur Aufbewahrung besteht. Daten in Sicherungskopien werden mit dem regulären Ablauf der Sicherungen gelöscht.

(3) Kopien der Daten erstellt der Auftragnehmer nur, soweit sie für den Betrieb (z. B. Sicherungen) erforderlich oder gesetzlich vorgeschrieben sind.

§ 11 Haftung und Schlussbestimmungen

(1) Für die Haftung gelten die Regelungen des Hauptvertrags, soweit Art. 82 DSGVO nicht zwingend etwas anderes bestimmt.

(2) Werden die Daten beim Auftragnehmer durch Pfändung, Beschlagnahme, Insolvenz oder sonstige Maßnahmen Dritter gefährdet, informiert er den Auftraggeber unverzüglich und weist die Beteiligten darauf hin, dass die Verantwortung für die Daten beim Auftraggeber liegt.

(3) Änderungen dieses Vertrags bedürfen der Textform. Bei Widersprüchen gehen die Regelungen dieses Vertrags zum Datenschutz denen des Hauptvertrags vor.

(4) Es gilt deutsches Recht. Gerichtsstand ist, soweit zulässig, der Sitz des Auftragnehmers.

(5) Sollte eine Bestimmung unwirksam sein, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt.

Anlage 1 – Gegenstand der Verarbeitung

Art und Zweck: Speichern, Bearbeiten, Anzeigen, Exportieren und Löschen von Daten zur Vorbereitung und Abwicklung von Druck-, Textil-, Laser- und Stickaufträgen des Auftraggebers, einschließlich Kunden-Terminal (Retail Hub), Vereinsshops (Club Hub) und Zeiterfassung.

Datenarten:

• Kontakt- und Stammdaten (Name, Firma, Anschrift, E-Mail, Telefon)
• Auftrags- und Bestelldaten (Motive, Größen, Mengen, Notizen)
• hochgeladene Dateien und Fotos, auf denen Personen erkennbar sein können
• Vereins- und Mitgliederangaben aus Vereinsshops
• Benutzerkonten und Zeiteinträge von Mitarbeitern des Auftraggebers
• technische Nutzungsdaten (z. B. Anmeldezeitpunkte, Sitzungen)

Betroffene: Kunden und Interessenten des Auftraggebers, Mitglieder von Vereinen, für die der Auftraggeber Shops betreibt, Mitarbeiter des Auftraggebers sowie Personen, die auf hochgeladenen Bildern abgebildet sind.

Anlage 2 – Technische und organisatorische Maßnahmen

Zutritt: Die Server stehen in Rechenzentren der Hetzner Online GmbH in Deutschland, die nach ISO/IEC 27001 zertifiziert sind (u. a. Zutrittskontrolle, Videoüberwachung, Brandschutz, unterbrechungsfreie Stromversorgung). Der Auftragnehmer betreibt keine eigenen Serverräume.

Zugang zu den Systemen:

• Administrativer Zugang zum Server nur für den Inhaber, nur per SSH mit Schlüssel.
• Anmeldung im Hub mit persönlichem Passwort. Passwörter werden nur als gesalzener scrypt-Hash gespeichert.
• Sitzungen über zufällige Tokens in http-only-Cookies, die nach spätestens 14 Tagen (Terminal: 12 Stunden) ablaufen.

Zugriff und Trennung:

• Jeder Kunde sieht und bearbeitet nur die Daten seines eigenen Shops. Diese Trennung wird durch automatische Tests geprüft.
• Rollen innerhalb eines Kundenkontos (Inhaber und Mitarbeiter); Verwaltungsfunktionen nur für Inhaber.
• Test- und Entwicklungsdaten werden getrennt von Echtdaten gehalten.

Weitergabe:

• Alle Verbindungen sind per TLS (HTTPS mit HSTS) verschlüsselt.
• E-Mails werden verschlüsselt (STARTTLS) an den E-Mail-Dienstleister übergeben.
• KI-Funktionen wie Freistellen und Hochrechnen laufen auf dem eigenen Server. Es erfolgt keine Übermittlung an externe KI-Anbieter.

Eingabekontrolle: Hochgeladene Dateien werden dem jeweiligen Kundenkonto und ihrer Herkunft (z. B. Hub, Terminal, Vereinsshop) zugeordnet.

Verfügbarkeit und Belastbarkeit:

• Vor jeder Änderung der Datenbankstruktur wird automatisch eine Sicherung der Datenbank angelegt.
• Regelmäßige Sicherungen des gesamten Servers (Datenbank und Dateien) mit Aufbewahrung über mehrere Tage.
• Software-Updates werden vorher getestet und kontrolliert eingespielt.

Auftragskontrolle und Überprüfung: Verarbeitung nur nach diesem Vertrag und dokumentierten Weisungen. Unterauftragsverarbeiter werden sorgfältig ausgewählt und vertraglich verpflichtet. Die Maßnahmen werden regelmäßig und anlassbezogen überprüft und angepasst.

Anlage 3 – Unterauftragsverarbeiter

Kontakt in Datenschutzfragen

Vonloo Systems, Inh. Matthias Sagorski
Telefon: 05223 / 183 1805
E-Mail: info@vonloo.de