Auftragsverarbeitungsvertrag nach Art. 28 DSGVO
Stand: 05.11.2026
Zwischen dem Kunden, der den Dienst Virtual Marketer nutzt (nachfolgend „Verantwortlicher“), und der SGS Virtual Marketer GmbH, Frankfurter Landstraße 50, 61352 Bad Homburg vor der Höhe, vertreten durch die Geschäftsführer Jens Göckus und Lisa Stamminger (nachfolgend „Auftragsverarbeiter“).
Vorbemerkung
Dieser Vertrag ergänzt die Nutzungsbedingungen des Auftragsverarbeiters (nachfolgend „Hauptvertrag“) und gilt für alle personenbezogenen Daten, die der Auftragsverarbeiter im Auftrag des Verantwortlichen verarbeitet. Dazu gehören auch Daten aus Shops und Systemen, die der Verantwortliche verbindet, zum Beispiel einem Shopify-Shop.
Für die Verwaltung des Kundenkontos, die Abrechnung und die eigene Betriebssicherheit ist der Auftragsverarbeiter selbst Verantwortlicher. Dafür gilt seine Datenschutzerklärung. Bestehen individuell geschlossene Verträge zur Auftragsverarbeitung, gehen diese vor.
1. Gegenstand, Art, Zweck und Dauer
1.1 Gegenstand ist der Betrieb des Dienstes für den Verantwortlichen, insbesondere der Abruf von Daten aus verbundenen Systemen, die Beantwortung von Fragen, die Erstellung von Texten und Auswertungen durch KI-gestützte Agenten sowie die Speicherung der dabei entstehenden Protokolle.
1.2 Art der Verarbeitung: Erheben, Abfragen, Auslesen, Ordnen, Speichern, Anpassen, Verwenden, Einschränken, Löschen.
1.3 Die Verarbeitung erfolgt ausschließlich zur Bereitstellung des Dienstes, zur Ausführung der vom Verantwortlichen veranlassten Aufgaben sowie zur Fehleranalyse, Wartung und Sicherstellung der Betriebssicherheit. Ein Verkauf von Daten findet nicht statt. Der Auftragsverarbeiter verwendet die Daten nicht zum Training von Modellen für andere Kunden. KI-Dienste nutzt er ausschließlich über geschäftliche Schnittstellen, bei denen die übermittelten Inhalte vertraglich nicht zum Training der Modelle des jeweiligen Anbieters verwendet werden.
1.4 Die Verarbeitung beginnt mit der ersten Nutzung und endet mit Beendigung des Hauptvertrages. Danach gilt Ziffer 10.
2. Betroffene Personen und Datenarten
2.1 Betroffene Personen: Kundinnen und Kunden des Verantwortlichen sowie Interessenten, seine Beschäftigten und die Nutzer seines Zugangs, außerdem Geschäftskontakte, soweit er deren Daten in den Dienst einbringt.
2.2 Datenarten: Kontaktdaten (insbesondere Name und E-Mail-Adresse), Bestell- und Vertragsdaten, Produkt- und Shopdaten mit Personenbezug, Inhalte von Aufgaben und Antworten der Agenten, Zugangs- und Nutzungsdaten sowie technische Protokolle.
2.3 Der Dienst ist nicht für besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO oder Daten von Kindern bestimmt. Der Verantwortliche bringt solche Daten nicht ein.
3. Weisungen
3.1 Der Auftragsverarbeiter verarbeitet personenbezogene Daten nur auf dokumentierte Weisung des Verantwortlichen, auch in Bezug auf Übermittlungen in ein Drittland, sofern er nicht durch das Recht der Union oder der Mitgliedstaaten zur Verarbeitung verpflichtet ist. In diesem Fall teilt er dem Verantwortlichen diese Anforderungen vor der Verarbeitung mit, sofern das Recht dies nicht wegen eines wichtigen öffentlichen Interesses verbietet.
3.2 Weisungen sind dieser Vertrag, der Hauptvertrag und die Nutzung des Dienstes durch den Verantwortlichen, einschließlich der Verbindung eines Systems und jeder an einen Agenten gegebenen Aufgabe. Weitere Weisungen erfolgen in Textform an info@virtual-marketer.de.
3.3 Hält der Auftragsverarbeiter eine Weisung für rechtswidrig, informiert er den Verantwortlichen unverzüglich und darf die Ausführung bis zur Klärung aussetzen.
4. Vertraulichkeit
4.1 Der Auftragsverarbeiter setzt nur Personen ein, die zur Vertraulichkeit verpflichtet sind oder einer gesetzlichen Verschwiegenheitspflicht unterliegen. Die Pflicht besteht nach Ende der Tätigkeit fort.
4.2 Ansprechpartner für den Datenschutz ist Jens Göckus, erreichbar unter info@virtual-marketer.de.
5. Technische und organisatorische Maßnahmen
5.1 Der Auftragsverarbeiter trifft die nach Art. 32 DSGVO erforderlichen Maßnahmen. Sie sind in Anlage A beschrieben.
5.2 Er darf die Maßnahmen anpassen, solange das Schutzniveau nicht unterschritten wird, und überprüft ihre Wirksamkeit mindestens jährlich.
6. Unterauftragsverarbeiter
6.1 Der Verantwortliche erteilt die allgemeine Genehmigung, weitere Auftragsverarbeiter hinzuzuziehen. Die bei Vertragsschluss eingesetzten Unterauftragsverarbeiter sind in Anlage B benannt und genehmigt.
6.2 Über beabsichtigte Änderungen informiert der Auftragsverarbeiter mindestens vier Wochen vorher in Textform. Der Verantwortliche kann innerhalb dieser Frist aus wichtigem datenschutzrechtlichem Grund widersprechen. Findet sich keine Lösung, können beide Parteien den betroffenen Teil des Dienstes zum Wirksamwerden der Änderung kündigen.
6.3 Der Auftragsverarbeiter verpflichtet jeden Unterauftragsverarbeiter vertraglich auf gleichwertige Datenschutzpflichten und haftet für ihn nach Art. 28 Abs. 4 DSGVO.
6.4 Anbieter der vom Verantwortlichen selbst verbundenen Systeme (zum Beispiel Shopify) sind keine Unterauftragsverarbeiter des Auftragsverarbeiters. Der Verantwortliche unterhält diese Vertragsverhältnisse selbst.
7. Unterstützung
7.1 Der Auftragsverarbeiter unterstützt den Verantwortlichen bei der Beantwortung von Anträgen betroffener Personen. Wendet sich eine betroffene Person direkt an ihn, leitet er das Anliegen innerhalb von drei Werktagen weiter und beantwortet es nicht selbst, außer er ist dazu angewiesen.
7.2 Löschanfragen, die über eine verbundene Plattform eingehen, zum Beispiel die Datenschutz-Webhooks von Shopify, setzt er entsprechend um.
7.3 Er unterstützt den Verantwortlichen unter Berücksichtigung der Art der Verarbeitung und der verfügbaren Informationen bei den Pflichten aus Art. 32 bis 36 DSGVO.
8. Verletzung des Schutzes personenbezogener Daten
8.1 Der Auftragsverarbeiter meldet dem Verantwortlichen jede ihm bekannt gewordene Verletzung unverzüglich, möglichst innerhalb von 24 Stunden, in Textform an die Adresse des Unternehmenskontos.
8.2 Die Meldung enthält, soweit verfügbar, Art der Verletzung, betroffene Kategorien und ungefähre Zahl der Personen und Datensätze, wahrscheinliche Folgen, ergriffene Maßnahmen und einen Ansprechpartner. Fehlendes wird unverzüglich nachgereicht.
8.3 Er dokumentiert jede Verletzung und unterstützt bei Meldungen nach Art. 33 und 34 DSGVO. Die Meldung an die Aufsichtsbehörde nimmt der Verantwortliche vor, soweit die Verarbeitung seiner Verantwortlichkeit unterfällt.
9. Nachweise und Kontrollen
9.1 Der Auftragsverarbeiter stellt die zum Nachweis erforderlichen Informationen zur Verfügung und ermöglicht Überprüfungen einschließlich Inspektionen.
9.2 Der Nachweis kann durch Selbstauskunft, Berichte unabhängiger Stellen oder Zertifizierungen geführt werden, bei Unterauftragsverarbeitern durch deren Zertifizierungen und Prüfberichte.
9.3 Vor-Ort-Kontrollen sind nach Anmeldung mit zwei Wochen Frist zu den üblichen Geschäftszeiten möglich, höchstens einmal je Kalenderjahr, bei konkretem Anlass auch häufiger. Der Verantwortliche trägt seine Kosten und setzt keine Wettbewerber ein.
10. Löschung und Rückgabe
10.1 Nach Beendigung löscht der Auftragsverarbeiter die im Auftrag verarbeiteten personenbezogenen Daten oder gibt sie auf Wunsch zurück, soweit keine gesetzliche Aufbewahrungspflicht besteht.
10.2 Der Verantwortliche kann die Rückgabe bis 30 Tage nach Vertragsende in Textform verlangen. Danach werden die Daten innerhalb von 30 Tagen gelöscht.
10.3 Daten in Datensicherungen werden im Rahmen der Rotation überschrieben, spätestens nach 14 Wochen.
10.4 Protokolle von Agentenläufen werden im laufenden Betrieb nach 90 Tagen gelöscht.
10.5 Trennt der Verantwortliche ein verbundenes System, wird der gespeicherte Zugriffsschlüssel gelöscht und es werden keine weiteren Daten abgerufen.
11. Drittlandübermittlung
Die Verarbeitung außerhalb der EU und des EWR erfolgt nur unter den Voraussetzungen der Art. 44 bis 49 DSGVO. Soweit ein Unterauftragsverarbeiter Daten in einem Drittland verarbeitet, stützt sich die Übermittlung auf die Standardvertragsklauseln (Durchführungsbeschluss (EU) 2021/914) oder, soweit einschlägig, auf einen Angemessenheitsbeschluss.
12. Haftung
Für die Haftung gilt der Hauptvertrag. Art. 82 DSGVO bleibt unberührt.
13. Schlussbestimmungen
13.1 Dieser Vertrag kommt in elektronischer Form mit der Annahme der Nutzungsbedingungen zustande (Art. 28 Abs. 9 DSGVO) und endet mit dem Hauptvertrag. Ziffer 10 gilt fort.
13.2 In datenschutzrechtlichen Fragen geht dieser Vertrag dem Hauptvertrag vor.
13.3 Änderungen bedürfen der Textform. Sollte eine Bestimmung unwirksam sein, bleibt der Vertrag im Übrigen wirksam.
13.4 Es gilt deutsches Recht. Gerichtsstand ist Bad Homburg vor der Höhe, soweit gesetzlich zulässig.
Anlage A: Technische und organisatorische Maßnahmen
Verschlüsselung. Verbindungen zu den Diensten sind per TLS verschlüsselt. Datenbanken, Speicher und Sicherungen in der Cloud-Infrastruktur sind auf Speicherebene verschlüsselt. Zugriffsschlüssel zu verbundenen Systemen werden zusätzlich verschlüsselt gespeichert.
Zugang. Die Anmeldung mit E-Mail und Passwort erfordert einen zweiten Faktor. Passwörter werden nur als Streuwert gespeichert. Die Administration ist auf benannte Personen beschränkt und erfordert einen Einmalcode.
Zugriff und Trennung. Rechte werden nach Rollen vergeben. Jede Anfrage wird gegen die Mandantenkennung geprüft, Daten verschiedener Kunden sind logisch getrennt. Produktiv- und Testumgebung sind getrennte Projekte.
Eingabe und Protokollierung. Zugriffe auf die Hauptdatenbank und den Schlüsselspeicher sowie Aufrufe der Administrationskonsole werden protokolliert und 30 Tage aufbewahrt.
Verfügbarkeit. Für die Hauptdatenbank sind tägliche und wöchentliche Datensicherungen, die Wiederherstellung auf einen Zeitpunkt innerhalb der letzten 7 Tage und ein Löschschutz eingerichtet. Die Laufzeitumgebung skaliert automatisch.
Überprüfung. Jährliche Überprüfung dieser Maßnahmen, versionierte Quelltextänderungen, festgelegtes Verfahren für Sicherheitsvorfälle.
Auftragskontrolle. Verträge nach Art. 28 DSGVO mit den Unterauftragsverarbeitern.
Speicherbegrenzung. Abruf aus verbundenen Shops nur bei Bedarf und nur im vom Verantwortlichen erteilten Umfang, Löschfristen nach Ziffer 10.
Anlage B: Unterauftragsverarbeiter
Infrastruktur, Hosting und Betrieb:
- STRATO AG, Berlin (Deutschland): Server-, Speicher- und E-Mail-Infrastruktur
- 1blu AG, Berlin (Deutschland): E-Mail-Versand und Postfächer
- Microsoft Azure: Cloud-Infrastruktur, Speicher und Rechenleistung
- Google Cloud: Cloud-Infrastruktur, Speicher und Rechenleistung
KI-Modelle und KI-Dienste:
- Anthropic: Sprach- und Textmodelle zur Erzeugung und Bearbeitung von Inhalten
- Google: Sprach-, Bild- und Videomodelle sowie die zugehörige Rechenleistung
- OpenAI: Sprach-, Text- und Bildmodelle
- Hugging Face: Bereitstellung und Ausführung offener Modelle
Maßgeblich ist jeweils die für den genutzten Dienst vertraglich verantwortliche Gesellschaft des Anbieters. Firmierung, Anschrift und Verarbeitungsort teilt der Auftragsverarbeiter auf Anfrage unter info@virtual-marketer.de mit.