Auftragsverarbeitungsvertrag
Bluenet Industries GmbH · Quellenprüfung 13.10.2026
Fassung 2026-10-14-bluebrand-entwurf
Status und Rollenprüfung
Dieser Abschnitt ist eine AVV-Vorbereitung, kein abgeschlossener Auftragsverarbeitungsvertrag. Ein Vertrag nach Art. 28 DSGVO ist erforderlich, wenn der Anbieter personenbezogene Daten im Auftrag eines verantwortlichen Kunden verarbeitet. Eigene Verantwortlichkeit des Anbieters wird davon getrennt.
Unterzeichnung, Parteien, Verantwortlichkeiten und tatsächliche Leistung bestätigen.
Gegenstand, Dauer und Weisungen
BLUECRM ist im untersuchten Projekt als Kundenverwaltung mit Kontakten, Vertriebschancen, Aufgaben, Aktivitäten und Dokumentnachweisen angelegt. Datenexport und Kontolöschabläufe sind im Quellstand enthalten; deren produktive Ausführung wurde nicht geprüft.
Der Vertrag muss Gegenstand und Dauer, Art und Zweck, Datenarten und betroffene Personengruppen sowie Rechte und Pflichten des Verantwortlichen konkret festlegen. Verarbeitungen erfolgen nur aufgrund dokumentierter zulässiger Weisungen; rechtswidrige Weisungen sind dem Kunden mitzuteilen.
Leistungsanlage, Weisungsberechtigte und Laufzeit ergänzen.
Daten und betroffene Personen
Kontakt- und Organisationsdaten: Namen, E-Mail-Adressen, Telefonnummern und geschäftliche Zuordnungen.
Vertriebs- und Aktivitätsdaten: Vorgänge, Aufgaben, Notizen, Kommunikationsinhalte und gegebenenfalls Transkripte.
Konten, Rollen, Einwilligungs- und Datenschutzanfrageprotokolle sowie Dokumenthashes und Nachweiskennungen.
Betroffene Personengruppen sind anhand des tatsächlichen Kundenbetriebs festzulegen, beispielsweise Beschäftigte, Geschäftskontakte, Teilnehmer oder Empfänger.
Vertraulichkeit und Sicherheitsmaßnahmen
Zugriffsberechtigte Personen sind zur Vertraulichkeit zu verpflichten. Technische und organisatorische Maßnahmen nach Art. 32 DSGVO müssen dem tatsächlichen Risiko entsprechen, dokumentiert und überprüfbar sein.
TOM-Anlage mit realer Zugriffskontrolle, Verschlüsselung, Schlüsselverwaltung, Wiederherstellung, Protokollierung und Prüfprozessen beilegen; keine Sicherheitsgarantien aus Werbetexten übernehmen.
Unterauftragsverarbeiter und internationale Transfers
Weitere Auftragsverarbeiter dürfen nur nach den vertraglich vereinbarten und gesetzlichen Voraussetzungen eingesetzt werden. Genehmigungs- und Informationsverfahren, Widerspruchsmöglichkeiten und gleichwertige Verpflichtungen sind zu regeln. Drittlandübermittlungen unterliegen zusätzlich Art. 44 ff. DSGVO.
Vollständige Dienstleisterliste, Standorte, Aufgaben und Transfernachweise fehlen noch.
Unterstützung, Vorfälle und Prüfungen
Der Auftragsverarbeiter unterstützt bei Betroffenenrechten, Sicherheit, Meldung von Datenschutzverletzungen, Datenschutz-Folgenabschätzungen und erforderlichen Konsultationen. Datenschutzverletzungen sind dem Verantwortlichen unverzüglich nach Bekanntwerden mitzuteilen. Erforderliche Informationen und vertraglich geregelte Prüfungen müssen ermöglicht werden.
Echte Meldewege, Ansprechpartner, Verantwortlichkeiten und Prüfverfahren vereinbaren.
Rückgabe und Löschung
Nach Ende der Leistungen sind personenbezogene Daten nach Wahl des Verantwortlichen zurückzugeben oder zu löschen, soweit keine gesetzliche Aufbewahrungspflicht entgegensteht. Bestehende Kopien, Backups, Löschbestätigungen und Übergangsprozesse müssen ausdrücklich geregelt werden.
Exportformate, tatsächliche Löschfristen und Backup-Konzept bestätigen.