Vertrag über die Auftragsverarbeitung

Nach Art. 28 Abs. 3 DSGVO · Anlage zu den Nutzungsbedingungen · Stand 08/2026

Zwischen den Parteien

1. Gegenstand, Art und Zweck der Verarbeitung

1. Gegenstand ist die Bereitstellung und der Betrieb der Anwendung „ToJo Navigator, Modul KI Governance“ nach Maßgabe des Hauptvertrags.
2. Art der Verarbeitung: Erheben, Auslesen und Verwenden der vom Verantwortlichen übermittelten Eingaben zur Erzeugung des Decision Record (flüchtige Verarbeitung im Arbeitsspeicher, keine Speicherung); bei lizenzierter Nutzung zusätzlich Speichern und Löschen von Zugangs- und Kontingentdaten; ferner die kurzzeitige Verarbeitung der IP-Adresse zur Abwehr automatisierter Massenzugriffe.
3. Zweck ist ausschließlich die Erbringung der vertraglich vereinbarten Leistung. Eine Nutzung zu eigenen Zwecken des Auftragsverarbeiters, eine Profilbildung sowie ein Training von Modellen mit den Daten des Verantwortlichen finden nicht statt.
4. Dauer: Die Verarbeitung erfolgt für die Laufzeit des Hauptvertrags. Dieser Vertrag endet mit dem Hauptvertrag; die Pflichten nach Ziffer 9 gelten fort.

2. Art der Daten und Kreis der betroffenen Personen

Kreis der betroffenen Personen: Beschäftigte und Organmitglieder des Verantwortlichen, dessen Ansprechpartner sowie externe Beauftragte, die der Verantwortliche im Decision Record benennt (etwa Datenschutzbeauftragte oder IT-Dienstleister).

Abgrenzung der Rollen (Art. 28 Abs. 10 DSGVO). Gegenstand dieses Vertrags ist die Verarbeitung der fachlichen Eingaben des Verantwortlichen zur Erzeugung des Decision Record. Für die übrigen in der Tabelle genannten Daten bestimmt der Auftragsverarbeiter Zweck und Mittel selbst; insoweit ist er eigener Verantwortlicher und nicht Auftragsverarbeiter:

• Zugangs- und Kontingentdaten — verarbeitet zur Durchsetzung der vereinbarten Lizenz, zur Begrenzung der Endgeräte und zur Zählung freigeschalteter Vorgänge (Art. 6 Abs. 1 lit. b und f DSGVO).
• Verbindungsdaten und Protokolle — verarbeitet zur Abwehr automatisierter Massenzugriffe und zur Sicherheit des Systembetriebs (Art. 6 Abs. 1 lit. f DSGVO, Art. 32 DSGVO).
• Kontaktdaten aus Anfragen und der Vergabe von Zugängen — verarbeitet zur Anbahnung und Durchführung des Hauptvertrags (Art. 6 Abs. 1 lit. b DSGVO).

Über diese Verarbeitungen informiert der Auftragsverarbeiter in seiner eigenen Datenschutzerklärung. Sie unterliegen nicht der Weisungsbindung nach Ziffer 3; die Pflichten dieses Vertrags im Übrigen bleiben unberührt.

3. Weisungsbindung (Art. 28 Abs. 3 lit. a)

1. Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen. Der Hauptvertrag und dieser Vertrag stellen die Erstweisung dar; weitere Weisungen erfolgen in Textform.
2. Eine Übermittlung in ein Drittland oder an eine internationale Organisation findet nicht statt. Ist der Auftragsverarbeiter nach dem Recht der Union oder eines Mitgliedstaats zu einer Verarbeitung verpflichtet, unterrichtet er den Verantwortlichen vor der Verarbeitung, sofern das Recht dies nicht wegen eines wichtigen öffentlichen Interesses verbietet.
3. Der Auftragsverarbeiter informiert den Verantwortlichen unverzüglich, wenn er der Auffassung ist, dass eine Weisung gegen Datenschutzrecht verstößt. Er darf die Ausführung bis zur Bestätigung oder Änderung aussetzen.

4. Vertraulichkeit (Art. 28 Abs. 3 lit. b)

Der Auftragsverarbeiter setzt zur Verarbeitung nur Personen ein, die zur Vertraulichkeit verpflichtet sind oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen, und die vor Aufnahme der Tätigkeit mit den einschlägigen Vorgaben des Datenschutzes vertraut gemacht wurden. Unterliegt der Verantwortliche einer besonderen Schweigepflicht, insbesondere nach § 203 StGB, ist eine gesonderte Verpflichtungserklärung erforderlich; dieser Vertrag ersetzt sie nicht. Der Auftragsverarbeiter stellt eine solche Erklärung auf Anforderung aus.

5. Technische und organisatorische Maßnahmen (Art. 28 Abs. 3 lit. c, Art. 32)

Der Auftragsverarbeiter trifft die in Anlage 1 beschriebenen Maßnahmen. Er darf sie fortentwickeln, sofern das Schutzniveau nicht unterschritten wird; wesentliche Änderungen werden dokumentiert und dem Verantwortlichen auf Anfrage mitgeteilt.

6. Weitere Auftragsverarbeiter (Art. 28 Abs. 2 und 4)

1. Der Verantwortliche erteilt die allgemeine Genehmigung zur Beauftragung weiterer Auftragsverarbeiter. Die derzeit eingesetzten sind in Anlage 2 aufgeführt.
2. Beabsichtigte Änderungen teilt der Auftragsverarbeiter mindestens vier Wochen vorher in Textform mit. Der Verantwortliche kann innerhalb von zwei Wochen aus wichtigem, datenschutzbezogenem Grund widersprechen. Kann die Beanstandung nicht ausgeräumt werden, steht dem Verantwortlichen ein Sonderkündigungsrecht hinsichtlich des Hauptvertrags zu.
3. Der Auftragsverarbeiter verpflichtet weitere Auftragsverarbeiter auf dasselbe Schutzniveau und haftet für deren Verhalten wie für eigenes.

7. Unterstützung bei Betroffenenrechten (Art. 28 Abs. 3 lit. e)

Der Auftragsverarbeiter unterstützt den Verantwortlichen mit geeigneten Maßnahmen bei der Erfüllung von Anträgen betroffener Personen nach Kapitel III DSGVO, insbesondere auf Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit und Widerspruch. Wendet sich eine betroffene Person unmittelbar an den Auftragsverarbeiter, leitet er den Antrag unverzüglich an den Verantwortlichen weiter und beantwortet ihn nicht selbst. Aufgrund der Architektur der Anwendung liegen die fachlichen Eingaben regelmäßig nur beim Verantwortlichen; der Auftragsverarbeiter kann Auskunft daher nur zu den in Ziffer 2 genannten Zugangs- und Verbindungsdaten erteilen.

8. Unterstützung bei Sicherheit, Meldungen und Folgenabschätzung (Art. 28 Abs. 3 lit. f)

1. Der Auftragsverarbeiter unterstützt den Verantwortlichen bei der Einhaltung der Art. 32 bis 36 DSGVO, insbesondere bei der Sicherheit der Verarbeitung, bei Meldungen von Verletzungen des Schutzes personenbezogener Daten und bei einer Datenschutz-Folgenabschätzung.
2. Er meldet dem Verantwortlichen eine Verletzung des Schutzes personenbezogener Daten unverzüglich, spätestens innerhalb von 24 Stunden nach Kenntniserlangung, in Textform an eine vom Verantwortlichen benannte Adresse und teilt die zur Meldung nach Art. 33 DSGVO erforderlichen Informationen mit, soweit sie ihm vorliegen.

9. Löschung und Rückgabe (Art. 28 Abs. 3 lit. g)

1. Die fachlichen Eingaben werden nicht gespeichert; eine Rückgabe erübrigt sich insoweit. Die Arbeitsergebnisse verbleiben im Verfügungsbereich des Verantwortlichen.
2. Zugangs- und Kontingentdaten werden spätestens zwölf Monate nach Ablauf der Lizenz gelöscht. Die Löschung erfolgt automatisiert; sie wird auf Anforderung bestätigt.
3. Server-Protokolle werden nach sieben Tagen gelöscht.
4. Gesetzliche Aufbewahrungspflichten bleiben unberührt; die betroffenen Daten werden bis zum Ablauf der Frist in ihrer Verarbeitung eingeschränkt.

10. Nachweise und Überprüfungen (Art. 28 Abs. 3 lit. h)

1. Der Auftragsverarbeiter stellt dem Verantwortlichen alle Informationen zur Verfügung, die zum Nachweis der Einhaltung der Pflichten aus Art. 28 DSGVO erforderlich sind.
2. Er ermöglicht Überprüfungen einschließlich Inspektionen und trägt dazu bei. Überprüfungen werden mit angemessenem Vorlauf, während der üblichen Geschäftszeiten und ohne Störung des Betriebsablaufs durchgeführt; der Verantwortliche trägt die ihm hierdurch entstehenden Kosten.
3. Der Auftragsverarbeiter führt ein Verzeichnis aller Kategorien von Verarbeitungstätigkeiten nach Art. 30 Abs. 2 DSGVO.

11. Haftung und Schlussbestimmungen

1. Für die Haftung gilt Art. 82 DSGVO. Im Innenverhältnis gelten ergänzend die Haftungsregelungen des Hauptvertrags.
2. Bei Widersprüchen zwischen diesem Vertrag und dem Hauptvertrag gehen die Regelungen dieses Vertrags vor, soweit sie die Verarbeitung personenbezogener Daten betreffen.
3. Änderungen und Ergänzungen bedürfen der Textform. Es gilt deutsches Recht.

Anlage 1 — Technische und organisatorische Maßnahmen

Anlage 2 — Weitere Auftragsverarbeiter

Weitere Auftragsverarbeiter werden derzeit nicht eingesetzt. Insbesondere kommen keine Analyse-, Werbe- oder Content-Delivery-Dienste und keine Anbieter generativer KI zum Einsatz.

Stand: August 2026 · ToJo Verwaltungs GmbH, Mainz · Anlage zu den Nutzungsbedingungen