Vertrag zur Auftragsverarbeitung

Vertragsparteien

Auftraggeber (Verantwortlicher im Sinne von Art. 4 Nr. 7 DSGVO) ist das Unternehmen, das Crowd Solution mit einer Leistung beauftragt und in der Mandatsvereinbarung oder im Angebot benannt ist.

Auftragnehmer (Auftragsverarbeiter im Sinne von Art. 4 Nr. 8 DSGVO) ist die Crowd Solution GmbH, Karlstraße 52, 75382 Althengstett, Amtsgericht Stuttgart HRB 766114, vertreten durch die Geschäftsführer Thorsten Mattis und Steffen Pfänder.

§ 1 Gegenstand und Dauer

1. Gegenstand dieses Vertrages ist die Verarbeitung personenbezogener Daten durch den Auftragnehmer im Auftrag des Auftraggebers im Rahmen der vereinbarten Hauptleistung. Einzelheiten zu Art, Umfang, Zweck, Datenarten und betroffenen Personen regelt Anlage 1.
2. Die Laufzeit entspricht der Laufzeit des zugrunde liegenden Hauptvertrages. Eine gesonderte Kündigung dieses Vertrages ist ausgeschlossen, solange der Hauptvertrag besteht und eine Verarbeitung im Auftrag stattfindet.
3. Der Auftraggeber kann diesen Vertrag jederzeit außerordentlich kündigen, wenn der Auftragnehmer schwerwiegend gegen Vorschriften zum Schutz personenbezogener Daten oder gegen Bestimmungen dieses Vertrages verstößt, eine Weisung nicht ausführen kann oder will oder Kontrollrechte des Auftraggebers vertragswidrig verweigert.
4. Die Verarbeitung findet in Mitgliedstaaten der Europäischen Union oder des Europäischen Wirtschaftsraums statt. Verarbeitungen in einem Drittland erfolgen nur unter den Voraussetzungen von § 7.

§ 2 Weisungsrecht

1. Der Auftragnehmer verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Auftraggebers, einschließlich Übermittlungen in Drittländer, es sei denn, er ist nach dem Recht der Union oder der Mitgliedstaaten zu einer Verarbeitung verpflichtet. In diesem Fall teilt er dem Auftraggeber die rechtlichen Anforderungen vor der Verarbeitung mit, sofern das Recht dies nicht wegen eines wichtigen öffentlichen Interesses verbietet.
2. Weisungen erfolgen in Textform. Mündliche Weisungen bestätigt der Auftraggeber unverzüglich in Textform. Als dokumentierte Weisung gelten auch die Festlegungen in der Mandatsvereinbarung und in Anlage 1.
3. Ist der Auftragnehmer der Auffassung, dass eine Weisung gegen datenschutzrechtliche Vorschriften verstößt, informiert er den Auftraggeber unverzüglich (Art. 28 Abs. 3 Satz 3 DSGVO). Er ist berechtigt, die Ausführung der Weisung auszusetzen, bis der Auftraggeber sie bestätigt oder ändert.
4. Weisungsberechtigt und weisungsempfangend sind die in der Mandatsvereinbarung benannten Ansprechpartner. Änderungen teilen die Parteien einander in Textform mit.

§ 3 Pflichten des Auftragnehmers

1. Der Auftragnehmer verarbeitet die Daten ausschließlich im Rahmen der getroffenen Vereinbarungen und nach Weisung des Auftraggebers. Er nutzt die Daten nicht für eigene Zwecke.
2. Der Auftragnehmer verpflichtet alle Personen, die Zugang zu den Daten erhalten, zur Vertraulichkeit, soweit sie nicht bereits einer gesetzlichen Verschwiegenheitspflicht unterliegen (Art. 28 Abs. 3 lit. b, Art. 29 DSGVO). Die Verpflichtung wirkt über das Ende der Tätigkeit hinaus.
3. Der Auftragnehmer schult die mit der Verarbeitung befassten Personen regelmäßig, einschließlich des sachgerechten Umgangs mit KI-Systemen.
4. Der Auftragnehmer setzt die technischen und organisatorischen Maßnahmen nach Anlage 3 um und erhält sie während der Vertragslaufzeit aufrecht. Er darf sie weiterentwickeln, solange das Schutzniveau nicht unterschritten wird. Wesentliche Änderungen dokumentiert er und legt sie auf Verlangen vor.
5. Der Auftragnehmer unterstützt den Auftraggeber angemessen bei dessen Pflichten nach Art. 32 bis 36 DSGVO, insbesondere bei der Sicherheit der Verarbeitung, der Meldung von Verletzungen, der Datenschutz-Folgenabschätzung und einer etwaigen vorherigen Konsultation der Aufsichtsbehörde.
6. Der Auftragnehmer berichtigt, löscht oder sperrt die verarbeiteten Daten auf Weisung des Auftraggebers.
7. Der Auftragnehmer informiert den Auftraggeber unverzüglich, wenn eine Aufsichtsbehörde Maßnahmen gegen ihn ergreift, die die Auftragsverarbeitung betreffen.

§ 4 Pflichten des Auftraggebers

1. Der Auftraggeber ist für die Rechtmäßigkeit der Verarbeitung und für die Wahrung der Rechte betroffener Personen verantwortlich. Er stellt sicher, dass für die Übermittlung der Daten an den Auftragnehmer eine Rechtsgrundlage besteht.
2. Der Auftraggeber informiert den Auftragnehmer unverzüglich, wenn er bei der Prüfung der Auftragsergebnisse Fehler oder Unregelmäßigkeiten feststellt.
3. Der Auftraggeber teilt dem Auftragnehmer mit, wenn die überlassenen Daten besonderen Kategorien nach Art. 9 DSGVO unterliegen oder einem Berufsgeheimnis im Sinne von § 203 StGB. In diesem Fall stimmen die Parteien vor Verarbeitungsbeginn zusätzliche Schutzmaßnahmen ab.

§ 5 Unterauftragsverarbeiter

1. Der Auftraggeber erteilt dem Auftragnehmer die allgemeine Genehmigung nach Art. 28 Abs. 2 Satz 2 DSGVO, weitere Auftragsverarbeiter hinzuzuziehen. Die bei Vertragsschluss eingesetzten Unterauftragsverarbeiter sind in Anlage 2 abschließend aufgeführt und damit genehmigt.
2. Beabsichtigt der Auftragnehmer, einen weiteren Unterauftragsverarbeiter hinzuzuziehen oder einen bestehenden auszutauschen, teilt er dies dem Auftraggeber in Textform mit, unter Angabe von Firma, Sitz, Leistung und Verarbeitungsort. Der Auftraggeber kann der Änderung innerhalb von zehn Werktagen nach Zugang der Mitteilung aus datenschutzrechtlichen Gründen widersprechen. Widerspricht er nicht, gilt die Änderung als genehmigt. Auf diese Wirkung weist der Auftragnehmer in der Mitteilung hin.
3. Widerspricht der Auftraggeber, sind die Parteien berechtigt, nach einer angemessenen Abstimmungsfrist den Hauptvertrag in dem betroffenen Umfang zu kündigen, wenn die Leistung ohne den Unterauftragsverarbeiter nicht oder nur mit unverhältnismäßigem Aufwand erbracht werden kann. Mehraufwand, der dem Auftragnehmer aus einem Widerspruch entsteht, trägt der Auftraggeber nach vorheriger Abstimmung.
4. Der Auftragnehmer erlegt jedem Unterauftragsverarbeiter vertraglich dieselben Datenschutzpflichten auf, die ihn selbst nach diesem Vertrag treffen, insbesondere hinreichende Garantien für geeignete technische und organisatorische Maßnahmen (Art. 28 Abs. 4 DSGVO). Kommt der Unterauftragsverarbeiter seinen Pflichten nicht nach, haftet der Auftragnehmer gegenüber dem Auftraggeber für dessen Verhalten wie für eigenes.
5. Nicht als Unterauftragsverarbeitung gelten Nebenleistungen, die der Auftragnehmer bei Dritten in Anspruch nimmt, etwa Telekommunikationsleistungen, Post- und Transportdienste oder Wartung, sofern dabei kein Zugriff auf die im Auftrag verarbeiteten Daten vorgesehen ist. Für Fernwartung mit Zugriffsmöglichkeit gilt Absatz 1 bis 4.

§ 6 Betroffenenrechte

1. Der Auftragnehmer unterstützt den Auftraggeber mit geeigneten technischen und organisatorischen Maßnahmen dabei, Anträge betroffener Personen auf Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit und Widerspruch zu beantworten (Art. 28 Abs. 3 lit. e DSGVO).
2. Wendet sich eine betroffene Person unmittelbar an den Auftragnehmer, leitet er das Anliegen unverzüglich an den Auftraggeber weiter und beantwortet es nicht selbst, es sei denn, der Auftraggeber weist ihn dazu an.
3. Auskünfte an Dritte oder an die betroffene Person erteilt der Auftragnehmer nur nach vorheriger Weisung des Auftraggebers.

§ 7 Übermittlung in Drittländer

1. Eine Verarbeitung außerhalb der Europäischen Union oder des Europäischen Wirtschaftsraums findet nur statt, soweit die Voraussetzungen der Art. 44 bis 49 DSGVO erfüllt sind und der Auftraggeber zugestimmt hat. Die in Anlage 2 gekennzeichneten Verarbeitungen gelten als zugestimmt.
2. Der Auftragnehmer stützt Übermittlungen in die USA auf die Standardvertragsklauseln der Europäischen Kommission nach Art. 46 Abs. 2 lit. c DSGVO nebst ergänzenden Schutzmaßnahmen. Soweit ein Anbieter zusätzlich unter dem EU-US Data Privacy Framework zertifiziert ist, tritt diese Zertifizierung neben die Standardvertragsklauseln; sie ersetzt sie nicht.
3. Diese Doppelabsicherung ist bewusst gewählt: Der Angemessenheitsbeschluss zum EU-US Data Privacy Framework steht unter rechtlicher Überprüfung. Entfällt er, bleiben die Übermittlungen über die Standardvertragsklauseln abgesichert, ohne dass die Zusammenarbeit unterbrochen werden muss.
4. Auf Verlangen stellt der Auftragnehmer dem Auftraggeber eine Kopie der jeweils einschlägigen Garantien zur Verfügung.

§ 8 Einsatz von KI-Systemen

1. Der Auftragnehmer setzt zur Leistungserbringung KI-gestützte Systeme ein. Die eingesetzten Anbieter sind in Anlage 2 benannt. Der Auftraggeber stimmt deren Einsatz zu, soweit er für die vereinbarte Leistung erforderlich ist.
2. Mit allen eingesetzten Anbietern bestehen Verträge zur Auftragsverarbeitung, die vor Beginn der Verarbeitung geschlossen werden. Die Anbieter sichern vertraglich zu, die eingegebenen Inhalte nicht zum Training, zur Anpassung oder zur Weiterentwicklung ihrer Modelle zu verwenden. Der Auftragnehmer verwendet Daten des Auftraggebers ebenfalls nicht zu diesen Zwecken.
3. Besonders schutzwürdige Informationen gibt der Auftragnehmer nicht in KI-Systeme ein. Soweit der Einsatz dennoch sachdienlich ist, geschieht er nur in anonymisierter oder pseudonymisierter Form und nur nach vorheriger Abstimmung mit dem Auftraggeber.
4. Ergebnisse von KI-Systemen prüft vor jeder Verwendung ein Mensch. Die fachliche Verantwortung und die Prüfpflicht des Auftragnehmers bleiben unberührt. Der Einsatz von KI senkt den geschuldeten Sorgfaltsmaßstab nicht. Eine automatisierte Entscheidung mit rechtlicher Wirkung oder vergleichbarer Beeinträchtigung im Sinne von Art. 22 DSGVO trifft der Auftragnehmer nicht.
5. Der Auftraggeber kann dem Einsatz von KI-Systemen für einzelne Datenbestände oder Vorgänge jederzeit in Textform widersprechen. Der Auftragnehmer setzt den Widerspruch unverzüglich um. Entsteht dadurch erheblicher Mehraufwand, weist der Auftragnehmer vor Fortsetzung der Arbeiten auf die Kostenfolge hin.
6. Der Auftragnehmer dokumentiert auf Verlangen, welche Systeme er für welche Arbeitsschritte eingesetzt hat.
7. Rollenverteilung nach der Verordnung (EU) 2024/1689 (KI-Verordnung): Die Parteien stellen für jedes Projekt fest, wer Anbieter und wer Betreiber im Sinne von Art. 3 Nr. 3 und Nr. 4 der Verordnung ist. Richtet der Auftragnehmer ein KI-System für den Auftraggeber ein, ohne es unter eigenem Namen in Verkehr zu bringen, ist der Auftraggeber Betreiber und trägt die daraus folgenden Pflichten, insbesondere die Transparenzpflichten nach Art. 50 der Verordnung. Der Auftragnehmer unterstützt bei deren Umsetzung.

§ 9 Verletzungen des Schutzes personenbezogener Daten

1. Der Auftragnehmer meldet dem Auftraggeber jede Verletzung des Schutzes personenbezogener Daten unverzüglich nach Bekanntwerden, in der Regel innerhalb von 24 Stunden. Die Meldung geht an den in der Mandatsvereinbarung benannten Ansprechpartner.
2. Die Meldung enthält, soweit verfügbar: Art der Verletzung, betroffene Datenkategorien und ungefähre Zahl der Betroffenen, wahrscheinliche Folgen sowie ergriffene und vorgeschlagene Maßnahmen. Fehlende Angaben reicht der Auftragnehmer unverzüglich nach.
3. Der Auftragnehmer ergreift unverzüglich die erforderlichen Maßnahmen zur Sicherung der Daten und zur Minderung möglicher nachteiliger Folgen und stimmt sich dabei mit dem Auftraggeber ab.
4. Meldungen an die Aufsichtsbehörde nach Art. 33 DSGVO und Benachrichtigungen betroffener Personen nach Art. 34 DSGVO nimmt der Auftraggeber vor. Der Auftragnehmer unterstützt ihn dabei.

§ 10 Nachweise und Kontrollen

1. Der Auftragnehmer weist dem Auftraggeber die Einhaltung der Pflichten aus diesem Vertrag auf Anforderung nach, insbesondere durch die Dokumentation der technischen und organisatorischen Maßnahmen nach Anlage 3.
2. Der Auftraggeber kann sich nach rechtzeitiger Ankündigung von mindestens zwei Wochen während der üblichen Geschäftszeiten und ohne Störung des Betriebsablaufs von der Einhaltung überzeugen. Er kann die Kontrolle selbst durchführen oder durch einen zur Verschwiegenheit verpflichteten Prüfer durchführen lassen, der kein Wettbewerber des Auftragnehmers ist.
3. Der Auftragnehmer kann Nachweise auch durch aktuelle Testate, Berichte oder Zertifikate unabhängiger Stellen führen, soweit diese die vertraglich geschuldeten Maßnahmen abdecken.
4. Für Kontrollen, die über eine jährliche Prüfung hinausgehen und nicht durch einen konkreten Anlass veranlasst sind, kann der Auftragnehmer eine angemessene Aufwandsentschädigung verlangen.

§ 11 Löschung und Rückgabe

1. Nach Abschluss der Verarbeitung löscht der Auftragnehmer die im Auftrag verarbeiteten Daten oder gibt sie nach Wahl des Auftraggebers zurück. Die Wahl teilt der Auftraggeber spätestens bei Beendigung des Hauptvertrages in Textform mit. Trifft er keine Wahl, löscht der Auftragnehmer nach Ablauf von drei Monaten.
2. Von der Löschung ausgenommen sind Daten, für die gesetzliche Aufbewahrungspflichten bestehen. Diese Daten werden gesperrt und nur noch zum Zweck der Erfüllung der Aufbewahrungspflicht verarbeitet. Der Auftragnehmer benennt dem Auftraggeber auf Verlangen die einschlägigen Pflichten und Fristen.
3. Die Löschung erstreckt sich auf Kopien und Sicherungen. Sicherungskopien werden im Rahmen des regulären Löschzyklus entfernt.
4. Die Löschung oder Rückgabe bestätigt der Auftragnehmer auf Verlangen in Textform.
5. Dokumentationen, die dem Nachweis der ordnungsgemäßen Verarbeitung dienen, darf der Auftragnehmer entsprechend den jeweiligen Aufbewahrungsfristen über das Vertragsende hinaus aufbewahren.

§ 12 Haftung

1. Für die Haftung der Parteien gilt Art. 82 DSGVO.
2. Im Innenverhältnis gelten ergänzend die Haftungsregelungen des Hauptvertrages, soweit sie nicht zwingenden gesetzlichen Vorschriften widersprechen.

§ 13 Schlussbestimmungen

1. Änderungen und Ergänzungen dieses Vertrages und seiner Anlagen bedürfen der Textform. Das gilt auch für die Aufhebung dieses Formerfordernisses.
2. Bei Widersprüchen zwischen diesem Vertrag und dem Hauptvertrag gehen die Regelungen dieses Vertrages vor, soweit sie die Verarbeitung personenbezogener Daten betreffen.
3. Es gilt deutsches Recht. Ausschließlicher Gerichtsstand ist, soweit gesetzlich zulässig, der Sitz des Auftragnehmers.
4. Sollte eine Bestimmung dieses Vertrages unwirksam sein oder werden, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt. Die Parteien ersetzen die unwirksame Bestimmung durch eine wirksame, die dem wirtschaftlichen Zweck am nächsten kommt.

Anlage 1: Gegenstand der Verarbeitung

Gegenstand und Art der Verarbeitung

Erhebung, Erfassung, Organisation, Ordnung, Speicherung, Anpassung, Auslesen, Abfrage, Verwendung, Offenlegung durch Übermittlung, Abgleich, Verknüpfung, Einschränkung und Löschung personenbezogener Daten, soweit dies zur Erbringung der vereinbarten Leistung erforderlich ist.

Zweck der Verarbeitung

Erbringung der im Hauptvertrag vereinbarten Leistungen, je nach Mandat: Unternehmensberatung, Begleitung von Finanzierungs- und Nachfolgeprozessen, Restrukturierung, Coaching und Schulung, Analyse und Aufbereitung von Unterlagen sowie Einführung und Betreuung KI-gestützter Arbeitsabläufe.

Kategorien betroffener Personen

• Beschäftigte und Organmitglieder des Auftraggebers
• Gesellschafter und Anteilseigner
• Ansprechpartner bei Kunden, Lieferanten und sonstigen Geschäftspartnern des Auftraggebers
• Ansprechpartner bei Banken, Investoren und Beratern des Auftraggebers
• Bewerber, soweit der Auftrag dies umfasst

Kategorien personenbezogener Daten

• Stamm- und Kontaktdaten (Name, Funktion, Anschrift, Telefon, E-Mail)
• Vertrags- und Abrechnungsdaten
• Kommunikationsinhalte (Korrespondenz, Gesprächsnotizen, Protokolle)
• Unternehmensbezogene Daten mit Personenbezug (Beteiligungen, Bürgschaften, Vergütungen, Geschäftsverteilung)
• Finanz- und Bonitätsdaten, soweit das Mandat Finanzierung, Nachfolge oder Restrukturierung betrifft
• Besondere Kategorien nach Art. 9 DSGVO nur nach ausdrücklicher vorheriger Abstimmung und gesonderter Rechtsgrundlage

Anlage 2: Unterauftragsverarbeiter

Stand: Oktober 2026. Änderungen teilt der Auftragnehmer nach § 5 Abs. 2 mit.

Infrastruktur, Kommunikation und Ablage

KI-gestützte Werkzeuge

Weitere Empfänger

Steuerberatung und Buchhaltung erhalten Rechnungs- und Abrechnungsdaten. Diese Stellen verarbeiten in eigener Verantwortung aufgrund gesetzlicher Berufspflichten und sind keine Unterauftragsverarbeiter.

Anlage 3: Technische und organisatorische Maßnahmen

Maßnahmen nach Art. 32 DSGVO, Stand Oktober 2026. Der Auftragnehmer entwickelt sie fortlaufend weiter, ohne das Schutzniveau zu unterschreiten.

1. Vertraulichkeit

• Zutrittskontrolle: Geschäftsräume sind verschlossen, Zutritt nur für Beschäftigte und begleitete Besucher. Unterlagen in Papierform werden verschlossen aufbewahrt.
• Zugangskontrolle: Persönliche Benutzerkonten, keine Sammelkonten. Mehr-Faktor-Authentifizierung für E-Mail, Dateiablage und administrative Zugänge. Festplattenverschlüsselung auf allen Endgeräten, automatische Bildschirmsperre.
• Zugriffskontrolle: Berechtigungen nach dem Grundsatz der geringsten Rechte, mandatsbezogene Trennung der Ablage, Entzug der Rechte beim Ausscheiden.
• Trennungskontrolle: Daten verschiedener Auftraggeber werden getrennt abgelegt und getrennt verarbeitet.
• Verpflichtung auf Vertraulichkeit: Alle Beschäftigten und eingesetzten Partner sind schriftlich zur Vertraulichkeit verpflichtet, über das Ende der Tätigkeit hinaus.

2. Integrität

• Weitergabekontrolle: Transportverschlüsselung bei E-Mail und Dateiübertragung, TLS auf der Website mit HSTS. Für besonders vertrauliche Unterlagen stehen gesonderte Übertragungswege zur Verfügung.
• Eingabekontrolle: Protokollierung von Anmeldungen und administrativen Änderungen in den eingesetzten Systemen.
• Keine Modellschulung: Bei allen KI-Diensten ist die Nutzung der Inhalte zum Training vertraglich ausgeschlossen, die Rückmeldefunktionen der Werkzeuge sind deaktiviert.

3. Verfügbarkeit und Belastbarkeit

• Regelmäßige automatische Sicherung der Arbeitsdaten, Wiederherstellbarkeit wird geprüft.
• Aktuelle Betriebssysteme und Anwendungen, zeitnahes Einspielen von Sicherheitsaktualisierungen.
• Schutz der Endgeräte vor Schadsoftware, Firewall auf den eingesetzten Systemen.

4. Verfahren zur Überprüfung und Bewertung

• Auftragskontrolle: Verträge zur Auftragsverarbeitung mit allen Dienstleistern, Auswahl nach Eignung und Nachweisen, dokumentierte Liste in Anlage 2.
• Datenschutzmanagement: Verzeichnis der Verarbeitungstätigkeiten, festgelegte Löschfristen, Meldeprozess für Datenschutzvorfälle, regelmäßige Unterweisung der Beschäftigten.
• Datenschutz durch Voreinstellung: Erhebung nur der erforderlichen Daten, sparsame Weitergabe im Netzwerk, Anonymisierung vor dem Einsatz von KI-Systemen, soweit möglich.
• Vorfallreaktion: Festgelegter Ablauf für Verdachtsfälle mit Benachrichtigung des Auftraggebers innerhalb von 24 Stunden.

Unterschriften

Dieser Vertrag gilt mit Bezugnahme in der Mandatsvereinbarung oder im Angebot, spätestens mit Beginn der Verarbeitung. Auf Wunsch zeichnen beide Parteien ihn gesondert.