Vertrag zur Auftragsverarbeitung

nach Art. 28 DSGVO zwischen dem Kunden („Auftraggeber“) und Luca Krojer, Einzelunternehmen unter der Geschäftsbezeichnung „ki-suchergebnis.de“, Reichersdorf 11a, 85408 Gammelsdorf („Auftragnehmer“)

Stand: Oktober 2026

§ 1 Gegenstand und Dauer

1. Der Auftragnehmer erbringt für den Auftraggeber Leistungen zur Sichtbarkeit in KI-Assistenten nach dem Hauptvertrag und den Allgemeinen Geschäftsbedingungen. Dabei kann er auf personenbezogene Daten zugreifen, für die der Auftraggeber verantwortlich ist.
2. Dieser Vertrag gilt für die Dauer des Hauptvertrags und darüber hinaus, solange der Auftragnehmer Daten des Auftraggebers verarbeitet.

§ 2 Art, Zweck und betroffene Daten

1. Art und Zweck: Pflege des Google-Unternehmensprofils, Anlegen und Bearbeiten von Website-Inhalten, Auswertung und Beantwortung von Bewertungen nach Freigabe sowie Bereitstellung von Vorlagen für Bewertungsanfragen.
2. Arten von Daten: Namen und Inhalte öffentlicher Bewertungen, Kontaktdaten und Inhalte, die auf der Website oder im Google-Profil des Auftraggebers gespeichert sind, Namen und Kontaktdaten von Mitarbeitenden des Auftraggebers.
3. Betroffene Personen: Kundinnen, Kunden, Patientinnen, Patienten, Mandantinnen und Mandanten des Auftraggebers, Verfasser von Bewertungen sowie Mitarbeitende des Auftraggebers.
4. Besondere Kategorien personenbezogener Daten (etwa Gesundheitsdaten) verarbeitet der Auftragnehmer nicht gezielt. Stößt er bei seiner Arbeit darauf, nutzt er sie nicht weiter und informiert den Auftraggeber.
5. Die Messung in KI-Assistenten arbeitet mit Fragen zu Ort, Branche und Schwerpunkten und enthält keine personenbezogenen Daten der betroffenen Personen.

§ 3 Weisungen

1. Der Auftragnehmer verarbeitet die Daten nur auf dokumentierte Weisung des Auftraggebers, auch bei Übermittlungen in Drittländer, sofern er nicht gesetzlich zur Verarbeitung verpflichtet ist. Weisungen ergeben sich aus dem Hauptvertrag, den Freigaben des Auftraggebers und Mitteilungen in Textform.
2. Hält der Auftragnehmer eine Weisung für rechtswidrig, weist er den Auftraggeber unverzüglich darauf hin und darf die Ausführung bis zur Klärung aussetzen.

§ 4 Vertraulichkeit

Der Auftragnehmer verpflichtet alle Personen, die Zugang zu den Daten haben, zur Vertraulichkeit. Ist der Auftraggeber Berufsgeheimnisträger, verpflichtet der Auftragnehmer sich und diese Personen zusätzlich zur Verschwiegenheit nach § 203 StGB.

§ 5 Sicherheit der Verarbeitung

Der Auftragnehmer trifft die technischen und organisatorischen Maßnahmen nach Anlage 1 (Art. 32 DSGVO). Er darf sie weiterentwickeln, solange das Schutzniveau nicht sinkt, und dokumentiert wesentliche Änderungen.

§ 6 Unterauftragsverarbeiter

1. Der Auftraggeber stimmt dem Einsatz der Unterauftragsverarbeiter nach Anlage 2 zu.
2. Über neue oder geänderte Unterauftragsverarbeiter informiert der Auftragnehmer mindestens 4 Wochen vorher in Textform. Der Auftraggeber kann aus wichtigem datenschutzrechtlichem Grund widersprechen; kommt keine Einigung zustande, können beide Seiten den Hauptvertrag zum Wirksamwerden der Änderung kündigen.
3. Der Auftragnehmer verpflichtet Unterauftragsverarbeiter vertraglich auf ein gleichwertiges Datenschutzniveau und bleibt dem Auftraggeber für sie verantwortlich.

§ 7 Ort der Verarbeitung und Drittländer

Die Daten verarbeitet der Auftragnehmer in der Europäischen Union. Übermittlungen in Drittländer finden nur an die in Anlage 2 genannten Anbieter statt und nur, wenn die Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind, insbesondere durch einen Angemessenheitsbeschluss (EU-US Data Privacy Framework) oder Standardvertragsklauseln der EU-Kommission.

§ 8 Meldung von Verletzungen

Der Auftragnehmer meldet dem Auftraggeber Verletzungen des Schutzes personenbezogener Daten unverzüglich, möglichst innerhalb von 24 Stunden nach Kenntnis, mit den Angaben nach Art. 33 Abs. 3 DSGVO, soweit bekannt, und unterstützt ihn bei Meldungen an Behörden und Betroffene.

§ 9 Ende des Auftrags

Nach Ende des Hauptvertrags löscht der Auftragnehmer alle Daten des Auftraggebers und gespeicherte Zugangsdaten innerhalb von 30 Tagen, soweit keine gesetzliche Pflicht zur Aufbewahrung besteht. Auf Wunsch gibt er die Daten vorher heraus. Daten in Sicherungskopien werden mit deren Ablauf nach spätestens 14 Tagen überschrieben. Der Auftraggeber entzieht die Zugänge des Auftragnehmers zu Website und Google-Profil zum Vertragsende.

§ 10 Unterstützung des Auftraggebers

1. Der Auftragnehmer unterstützt den Auftraggeber mit geeigneten Maßnahmen bei der Erfüllung der Rechte betroffener Personen (Art. 15 bis 22 DSGVO) und bei den Pflichten nach Art. 32 bis 36 DSGVO.
2. Wenden sich betroffene Personen direkt an den Auftragnehmer, leitet er die Anfrage unverzüglich an den Auftraggeber weiter und beantwortet sie nicht selbst.

§ 11 Nachweise und Kontrollen

Der Auftragnehmer stellt dem Auftraggeber alle Informationen zur Verfügung, die zum Nachweis der Pflichten aus Art. 28 DSGVO nötig sind, und ermöglicht Überprüfungen durch den Auftraggeber oder einen von ihm beauftragten Prüfer nach rechtzeitiger Ankündigung, in der Regel schriftlich.

§ 12 Haftung und Rangfolge

1. Für die Haftung gilt Art. 82 DSGVO.
2. Bei Widersprüchen geht dieser Vertrag den Allgemeinen Geschäftsbedingungen vor, soweit es um den Schutz personenbezogener Daten geht.

Anlage 1: Technische und organisatorische Maßnahmen

Vertraulichkeit

• Übertragung ausschließlich verschlüsselt (TLS).
• Zugangsdaten wie WordPress-Anwendungspasswörter verschlüsselt gespeichert (AES-256-GCM, Schlüssel nur auf dem Server).
• Datenbank in einem Rechenzentrum in Frankfurt am Main, Anwendung auf einem eigenen Server in Nürnberg (beide Deutschland).
• Server: Firewall, Anmeldung nur mit SSH-Schlüssel, automatische Sicherheitsupdates.
• Zugriff auf Kundendaten nur für den Inhaber: Anmeldung mit starkem Passwort, Passkey (Fingerabdruck) oder auf seinem eingerichteten, durch die Geräteanmeldung geschützten Arbeitsgerät.
• Zugriffsregeln auf Datenbankebene (Row Level Security); jeder Auftraggeber sieht im Kundenportal nur seine eigenen Daten.
• KI-Agenten arbeiten mit eigenem Schlüssel je Aufgabe und nur mit den dafür freigegebenen Funktionen; Schlüssel sind sofort sperrbar.

Integrität

• Unveränderbares Protokoll aller Zugriffe und Änderungen, 24 Monate.
• Neue Website-Inhalte nur als Entwurf, keine Löschung bestehender Inhalte, Sicherung vor Änderungen.
• Freigabe durch einen Menschen, bevor Inhalte veröffentlicht werden, bis sich eine Aufgabenart bewährt hat; danach Stichproben.

Verfügbarkeit und Belastbarkeit

• Nächtliche verschlüsselte Sicherung der Datenbank, 14 Tage aufbewahrt, mit einer Kopie an einem zweiten Ort.
• Überwachung der Zeitpläne und Dienste im System; dokumentierte Abläufe für Störungen und Wiederherstellung.

Verfahren zur regelmäßigen Überprüfung

• Automatische Tests vor jeder Änderung der Software; Tests nur mit erfundenen Daten in einer getrennten Testumgebung.
• Datensparsamkeit und Löschfristen nach festem Löschkonzept; Überprüfung dieser Maßnahmen bei jeder Änderung an Anbietern oder Abläufen.

Anlage 2: Unterauftragsverarbeiter