Vertrag über die Verarbeitung personenbezogener Daten im Auftrag

Auftragsverarbeitungsvertrag nach Art. 28 Abs. 3 DSGVO · Stand: 18. Oktober 2026 · Fassung av-vertrag-2026-11

In einfachen Worten

Wenn Sie Dateien hochladen, in denen Angaben zu Personen stehen, bleiben Sie derjenige, der über diese Daten bestimmt — wir arbeiten nur nach Ihrer Anweisung. Genau das muss nach europäischem Datenschutzrecht schriftlich vereinbart werden, und das leistet dieses Dokument. Es legt fest, was wir mit Ihren Daten tun dürfen und was nicht, wie wir sie schützen, wen wir dabei einsetzen und wann wir sie löschen. Sie brauchen dieses Dokument, wenn eine Aufsichtsbehörde, ein Prüfer oder ein Kunde von Ihnen nachweisen möchte, dass Ihre Dienstleister ordentlich eingebunden sind. Sie können es hier lesen, ausdrucken und zu Ihren Unterlagen nehmen.

§ 1 Parteien und Gegenstand

1. Dieser Vertrag wird geschlossen zwischen dem Kunden von TitanCore24 als Verantwortlichem (nachfolgend „Verantwortlicher“) und Robin Knecht, Einzelunternehmen, handelnd unter dem Geschäftsnamen TitanCore24, Ringstraße 25a, 61118 Bad Vilbel, Deutschland, als Auftragsverarbeiter (nachfolgend „Auftragsverarbeiter“).
2. Verantwortlicher ist, wer über Zwecke und Mittel der Verarbeitung entscheidet. Auftragsverarbeiter ist, wer personenbezogene Daten ausschließlich nach Weisung des Verantwortlichen verarbeitet, ohne selbst über die Zwecke zu bestimmen.
3. Der Vertrag konkretisiert die Pflichten aus Art. 28 DSGVO für die Verarbeitung, die der Auftragsverarbeiter im Rahmen des zwischen den Parteien bestehenden Nutzungsvertrags (Hauptvertrag, siehe Allgemeine Geschäftsbedingungen) durchführt.
4. Er gilt für alle personenbezogenen Daten, die der Verantwortliche im Rahmen der Nutzung des Dienstes hochlädt oder eingibt, sowie für die daraus erzeugten Ergebnisse.
5. Er gilt nicht für die Bestandsdaten des Kundenkontos, für Abrechnungs- und Zahlungsdaten und für die Server-Protokolldaten. Insoweit ist TitanCore24 selbst Verantwortlicher; Einzelheiten stehen in der Datenschutzerklärung.
6. Dieser Vertrag kommt mit der Nutzung des Dienstes zustande und bedarf keiner gesonderten Unterschrift. Der Vertragstext ist jederzeit auf dieser Seite abrufbar und erfüllt damit die Anforderung der Textform nach Art. 28 Abs. 9 DSGVO.

§ 2 Art, Zweck und Dauer der Verarbeitung

1. Art der Verarbeitung. Erheben durch Entgegennahme hochgeladener Dateien, Speichern, Auslesen, Umwandeln, Verändern, Schwärzen, Maskieren oder Pseudonymisieren, Ordnen, Zusammenführen, Bereitstellen zum Abruf, Löschen. Eine Anonymisierung wird nur dann so bezeichnet, wenn die Voraussetzungen der Anonymität für den konkreten Datenbestand geprüft und dokumentiert sind. Bei einzelnen vom Verantwortlichen ausgewählten Aufgaben tritt hinzu: maschinelle Text-, Sprach-, Bild- und Entitätenerkennung sowie Sprachmodelle mit KI-gestützten Diensten (Auslesen von Belegangaben, Umwandlung von Sprache in Text, Erkennen von Personenangaben und Gesichtern zum Zweck der Unkenntlichmachung, Zusammenfassen, Nachprüfen und Volltext) — die eingesetzten Dienste sind in § 7 einzeln benannt. Die Verarbeitung erfolgt ausschließlich automatisiert; eine inhaltliche Sichtung durch Menschen findet nicht statt.
2. Zweck. Durchführung genau derjenigen Aufgabe, die der Verantwortliche für den jeweiligen Auftrag im Dienst ausgewählt hat — zum Beispiel Umbenennen, Umwandeln in PDF- oder PDF/A-Dateien, Auslesen von Rechnungsangaben, Unkenntlichmachen personenbezogener Daten, Prüfen und Sortieren von Tabellen. Ein darüber hinausgehender eigener Zweck des Auftragsverarbeiters besteht nicht.
3. Keine Zweckentfremdung. Der Auftragsverarbeiter nutzt die Daten des Verantwortlichen insbesondere nicht für eigene Auswertungen, nicht für Werbung, nicht zur Erstellung von Profilen und nicht zum Training von Verfahren des maschinellen Lernens.
4. Auch nicht durch den Unterauftragnehmer. Für die in § 7 genannten KI-Dienste hat der Auftragsverarbeiter der Nutzung von Kundeninhalten zur Verbesserung und Weiterentwicklung dieser Dienste gegenüber dem Anbieter ausdrücklich widersprochen (Abbestellung auf Kontoebene, „AI services opt-out“). Damit werden Inhalte des Verantwortlichen weder zum Training verwendet noch zu diesem Zweck außerhalb der Verarbeitungsregion gespeichert.
5. Ort der Verarbeitung. Die Kernverarbeitung ist für Amazon Web Services, Region Frankfurt (eu-central-1), konfiguriert. Optionale KI-Dienste können nach ausgewiesener Freigabe innerhalb der EU verarbeitet werden. Drittlandbezüge und kundenseitig bestimmte Ziele oder Quellen sind in diesem Vertrag einzeln benannt; eine pauschale Zusage „ausschließlich Deutschland“ wird nicht abgegeben.
6. Die erste planmäßige Ausnahme. Wählt der Verantwortliche die Aufgabe Audio-Metadaten abgleichen, werden zum Abgleich Titel-, Interpreten- und Albumangaben sowie Angaben aus dem Dateinamen an die öffentliche Musikdatenbank MusicBrainz und das Cover Art Archive übermittelt (Betreiber: MetaBrainz Foundation Inc., Kalifornien, USA). Die Anfrage geht von unseren Servern aus; Ihre IP-Adresse wird dabei nicht übermittelt. Für die USA besteht insoweit kein für diese Abfrage dokumentierter Angemessenheitsmechanismus und keine Standardvertragsklauseln. Art. 49 DSGVO ist keine allgemeine Grundlage für planmäßige oder wiederkehrende Übermittlungen. Die Funktion ist deshalb für Suchbegriffe mit Personenbezug nicht freigegeben; eine ausdrückliche Auswahl allein beseitigt diesen Vorbehalt nicht.
7. Die zweite planmäßige Ausnahme. Bucht der Verantwortliche eine Aufgabe, die fertige Ergebnisse an ein von ihm angegebenes Ziel ausliefert, eine Fertigmeldung an ein von ihm angegebenes System sendet oder Dateien von einer von ihm angegebenen Quelle abholt, so bestimmt der Verantwortliche dieses Ziel oder diese Quelle und damit deren Ort. Liegt ein solches Ziel außerhalb der Europäischen Union, so verlassen die dorthin ausgelieferten Inhalte auf seine Veranlassung die Europäische Union; für den Ort eines vom Verantwortlichen bestimmten Ziels kann der Auftragsverarbeiter nicht einstehen. Diese Übermittlung ist eine Weisung des Verantwortlichen (Art. 28 Abs. 3 lit. a DSGVO); für ihre Zulässigkeit nach Art. 44 ff. DSGVO hat der Verantwortliche einzustehen. Anders als bei der ersten Ausnahme findet sie nicht bei einer einzelnen Aufgabe statt, sondern überall dort, wo ein Ziel oder eine Quelle angegeben werden kann.
8. Dauer. Der Vertrag beginnt mit dem Hauptvertrag und endet mit ihm. Für die einzelnen Datenbestände gilt:
   • Eingangsordner (1, 2 und 3): hochgeladene, noch nicht in einen Auftrag übernommene Dateien werden 7 Tage nach dem ersten Hochladen in den leeren Ordner automatisch und unwiderruflich gelöscht, einschließlich aller gespeicherten Fassungen. Der Verantwortliche erteilt diese Löschung als dauerhafte Weisung; er kann Dateien jederzeit vorher selbst löschen. Vorher erinnert der Auftragsverarbeiter per E-Mail an die im Konto hinterlegte Adresse; zwischen dem Versand der Erinnerung und der Löschung liegen mindestens etwa 23 Stunden. Die Löschung kann sich deshalb im Regelfall um bis zu rund 23 Stunden verschieben; verzögert sich der Versand der Erinnerung, verschiebt sie sich entsprechend. Ein Anspruch auf die Erinnerung besteht nicht; für die Löschung maßgeblich ist ihr Versand, nicht ihr Zugang. Dateien, deren Frist bei der Inbetriebnahme der automatischen Löschung bereits abgelaufen war, werden ohne vorherige Erinnerung gelöscht, auch wenn im Konto keine Adresse hinterlegt ist. Für alle übrigen Dateien gilt: Ist im Konto keine Adresse hinterlegt, wird nicht erinnert und werden die Dateien dann nicht automatisch gelöscht. Mit dem Start eines Auftrags werden die Dateien dem Eingangsordner entnommen und in den Auftrag übernommen (Entnahme).
   • Ergebnisse und aussortierte Dateien (Ordner 02, 02b, 03, 04, 04b, 05) sowie in einen Auftrag übernommene Dateien: automatische, unwiderrufliche Löschung nach Auftragsende zuzüglich der festen Aufbewahrungsfrist von 7 Tagen (nicht wählbar).
   • Auftragsberichte (Ordner 01): bleiben von der automatischen Löschung ausgenommen und können vom Verantwortlichen im Kundenbereich selbst gelöscht werden; gelöschte Berichte sind über das Konto des Verantwortlichen nicht wiederherstellbar. Nicht gelöschte Berichte bleiben bis zum Ende des Hauptvertrags erhalten; mit dem Ende des Hauptvertrags gilt § 11. Daten zur Menge und Abrechnung des Auftrags (Mengennachweis, Ereignisprotokoll mit Zeitstempel, Vermerk über die Löschung des Berichts) bewahrt der Auftragsverarbeiter getrennt vom Bericht auf; die Löschung des Berichts berührt sie nicht. Wird die CSV-Fassung eines Berichts abgerufen, legt der Auftragsverarbeiter zusätzlich eine Kopie im Ordner 02 ab. Die Frist beginnt mit der Ablage der Kopie, nicht mit dem Auftragsende; der erste Abruf der CSV-Fassung löst die Ablage aus. Die Kopie ist für eine automatische Entfernung 7 Tage nach ihrer Ablage vorgesehen und bis dahin abrufbar.
   • Systeminterne Zwischenablagen: 7 Tage, durchgesetzt über eine eigene automatische Löschregel auf der Speicherebene.
   • Kundenarchiv: Eine gesonderte langfristige oder unveränderbare Archivierungsleistung wird derzeit nicht angeboten.

§ 3 Art der Daten und Kategorien betroffener Personen

Welche personenbezogenen Daten verarbeitet werden, bestimmt allein der Verantwortliche durch die Auswahl der Dateien, die er hochlädt. Der Auftragsverarbeiter hat darauf keinen Einfluss. Die folgende Aufstellung ist deshalb bewusst offen formuliert und beschreibt, was typischerweise vorkommt.

Der Verantwortliche prüft vor dem Hochladen, ob die Verarbeitung der jeweiligen Daten zulässig ist, und lädt keine Daten hoch, für die er keine Rechtsgrundlage hat.

Zum Erkennen von Gesichtern. Bei der Aufgabe „Personenbezogene Daten schwärzen“ werden in Bildern Gesichter und Kennzeichen erkannt, um sie unkenntlich zu machen. Es wird dabei kein biometrisches Muster gebildet, gespeichert oder mit anderen Personen abgeglichen; eine Wiedererkennung oder Identifizierung findet nicht statt. Nach dem gegenwärtigen Verständnis der Aufsichtsbehörden liegt darin keine Verarbeitung biometrischer Daten zum Zweck der eindeutigen Identifizierung im Sinne von Art. 9 Abs. 1 DSGVO. Die Verarbeitung bleibt eine gewöhnliche Verarbeitung personenbezogener Daten nach Art. 6 DSGVO im Auftrag des Verantwortlichen.

§ 4 Weisungsrecht des Verantwortlichen

1. Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen. Das gilt auch für eine Übermittlung in ein Drittland, es sei denn, der Auftragsverarbeiter ist dazu nach dem Recht der Union oder der Mitgliedstaaten verpflichtet; in diesem Fall teilt er dies dem Verantwortlichen vor der Verarbeitung mit, sofern das Recht dies nicht wegen eines wichtigen öffentlichen Interesses verbietet.
2. Form der Weisungen. Die Auswahl der Aufgabe, die Konfiguration des Auftrags und die Auswahl der hochgeladenen Dateien im Dienst gelten als Weisung; sie werden im Auftragsprotokoll dokumentiert. Darüber hinausgehende Einzelweisungen erteilt der Verantwortliche in Textform an datenschutz@titancore24.de. Mündliche Weisungen sind unverzüglich in Textform zu bestätigen.
3. Weisungsberechtigte. Weisungsberechtigt ist, wer auf Seiten des Verantwortlichen Zugang zum Kundenkonto hat oder von diesem in Textform benannt wurde. Der Verantwortliche hält diese Angaben aktuell.
4. Hinweispflicht. Ist der Auftragsverarbeiter der Auffassung, dass eine Weisung gegen die DSGVO oder gegen andere Datenschutzvorschriften der Union oder der Mitgliedstaaten verstößt, weist er den Verantwortlichen unverzüglich darauf hin. Er ist berechtigt, die Ausführung der betreffenden Weisung auszusetzen, bis der Verantwortliche sie bestätigt oder ändert.
5. Weisungen, die über den vertraglich vereinbarten Leistungsumfang hinausgehen, muss der Auftragsverarbeiter nur ausführen, wenn sich die Parteien über den Mehraufwand verständigt haben.

§ 5 Vertraulichkeit und Verpflichtung der eingesetzten Personen

1. Der Auftragsverarbeiter stellt sicher, dass sich alle Personen, die zur Verarbeitung der Daten befugt sind, zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen (Art. 28 Abs. 3 lit. b DSGVO). Die Verpflichtung wirkt über das Ende der Tätigkeit hinaus.
2. TitanCore24 wird als Einzelunternehmen ohne Beschäftigte geführt. Zugriff hat derzeit ausschließlich der Inhaber Robin Knecht. Werden künftig Beschäftigte, freie Mitarbeiter oder Dienstleister eingesetzt, werden diese vor der Aufnahme ihrer Tätigkeit in Textform auf die Vertraulichkeit verpflichtet und in den Grundzügen des Datenschutzrechts unterwiesen.
3. Der Auftragsverarbeiter sieht die Inhalte hochgeladener Dateien nicht ein. Ein Einblick erfolgt ausnahmsweise nur zur Behebung einer konkreten Störung und nur, wenn der Verantwortliche dies ausdrücklich verlangt; ein solcher Zugriff wird protokolliert.
4. Der Auftragsverarbeiter macht die Personen, die Zugriff haben, mit den für sie geltenden Bestimmungen dieses Vertrags vertraut.
5. Was dieser Paragraf leistet — und was nicht. Die Absätze 1 bis 4 erfüllen Art. 28 Abs. 3 lit. b DSGVO, also das Datenschutzrecht. Sie erfüllen nicht die Verschwiegenheitspflicht nach § 203 StGB und den berufsrechtlichen Vorschriften (§ 43e BRAO, § 62a StBerG, § 26a BNotO, § 50a WPO). Unterliegt der Verantwortliche einer solchen Pflicht, ist dafür die gesonderte Vereinbarung über die Verschwiegenheit mitwirkender Personen zu schließen (Verweis im Hinweis unter diesem Paragrafen); dieser Vertrag ist ihre Anlage 4 und gilt neben ihr, nicht statt ihrer. Die Verpflichtung in Textform nach Absatz 2 bleibt davon unberührt — sie ist ein Baustein, nicht der Nachweis des Berufsrechts.

§ 6 Technische und organisatorische Maßnahmen

Der Auftragsverarbeiter trifft die nachfolgenden Maßnahmen nach Art. 32 DSGVO und hält sie während der Vertragslaufzeit aufrecht. Aufgeführt sind ausschließlich Maßnahmen, die tatsächlich umgesetzt sind. Maßnahmen dürfen weiterentwickelt werden, solange das Schutzniveau nicht unterschritten wird.

Hinweis zur Verschlüsselung: Sie schützt gegen unbefugten Zugriff auf Datenträger und Übertragungswege. Sie schließt technisch nicht aus, dass der Betreiber der Rechenzentren im Rahmen seiner Systeme auf Daten zugreifen könnte, da die Schlüsselverwaltung dort betrieben wird. Ein solcher Zugriff ist vertraglich untersagt.

§ 7 Unterauftragnehmer

1. Der Verantwortliche erteilt dem Auftragsverarbeiter die allgemeine Genehmigung zur Beauftragung weiterer Auftragsverarbeiter (Art. 28 Abs. 2 Satz 2 DSGVO) nach Maßgabe der folgenden Absätze.
2. Bei Vertragsschluss sind für die Verarbeitung nach diesem AVV folgende Unterauftragnehmer eingesetzt und genehmigt. Die Zahlungsabwicklung ist hiervon getrennt und in der Tabelle ausdrücklich als nicht Teil dieses AVV gekennzeichnet:

Diese Liste ist mit Anlage 2 der Vereinbarung über die Verschwiegenheit mitwirkender Personen und mit den Abschnitten 8 bis 11 der Datenschutzerklärung deckungsgleich. Weicht eine der drei Stellen ab, ist das ein Fehler, der zu schließen ist — und kein zweiter, eigenständiger Stand.

3. Ergänzende Verweise zur Tabelle. Die Abbestellung der Nutzung von Inhalten zur Weiterentwicklung der KI-Dienste (Gruppe 1, zweite Zeile) ist in § 2 Absatz 4 geregelt; Inhalte verlassen die Region auch zu diesem Zweck nicht. Die Abfrage der öffentlichen Musikdatenbanken (Gruppe 4) findet nur auf ausdrückliche Auswahl des Verantwortlichen statt (§ 2 Absatz 6). Die von der Amazon Web Services EMEA SARL ihrerseits eingesetzten Unterauftragnehmer veröffentlicht der Anbieter unter aws.amazon.com/compliance/sub-processors; er aktualisiert diese Liste nach seinen Angaben mindestens 30 Tage, bevor er einen neuen Unterauftragnehmer einsetzt.
4. Die zweite Gruppe wirkt nur bei Buchung. Die KI-gestützte Verarbeitung mit Sprachmodellen wird nur wirksam, wenn Sie eine Aufgabe oder Zusatzoption buchen, die sie ausdrücklich verwendet. Ohne eine solche Buchung werden die Dienste dieser Gruppe nicht angesprochen.
5. Stripe verarbeitet keine Inhalte hochgeladener Dateien, sondern ausschließlich Zahlungs- und Kontaktdaten des Verantwortlichen selbst. Der Eintrag dient der Vollständigkeit.
6. Der Auftragsverarbeiter wählt Unterauftragnehmer sorgfältig aus und verpflichtet sie vertraglich auf Datenschutzpflichten, die den hier vereinbarten mindestens gleichwertig sind. Kommt ein Unterauftragnehmer seinen Pflichten nicht nach, haftet der Auftragsverarbeiter gegenüber dem Verantwortlichen für dessen Verhalten wie für eigenes.
7. Ankündigung von Änderungen. Beabsichtigte Änderungen — die Hinzuziehung eines neuen oder der Austausch eines bestehenden Unterauftragnehmers — teilt der Auftragsverarbeiter dem Verantwortlichen mindestens vier Wochen vorher in Textform an die im Konto hinterlegte E-Mail-Adresse mit. Für Verantwortliche, die der Vereinbarung über die Verschwiegenheit mitwirkender Personen zugestimmt haben, gilt die dort zugesagte längere Frist von mindestens 30 Tagen (§ 4 Absatz 2 der Vereinbarung); dasselbe gilt, wenn der Anbieter den Kreis der EU-Regionen für die KI-gestützte Verdichtung erweitert (§ 4 Absatz 5 der Vereinbarung).
8. Widerspruchsrecht. Der Verantwortliche kann einer angekündigten Änderung binnen vier Wochen ab Zugang der Mitteilung aus einem datenschutzrechtlichen Grund in Textform widersprechen. Der Widerspruch ist zu begründen. Lässt sich die Leistung ohne den betreffenden Unterauftragnehmer nicht mit vertretbarem Aufwand erbringen, kann jede Partei den Hauptvertrag zum Zeitpunkt der geplanten Umstellung kündigen; ein etwaiges Restguthaben wird dabei wie bei jeder anderen Vertragsbeendigung nach § 13 der Allgemeinen Geschäftsbedingungen behandelt.
9. Nicht als Unterauftragsverhältnis gelten reine Nebenleistungen ohne Zugriff auf personenbezogene Daten des Verantwortlichen, etwa Telekommunikations- oder Reinigungsleistungen.

§ 8 Unterstützung bei Betroffenenrechten

1. Der Auftragsverarbeiter unterstützt den Verantwortlichen mit geeigneten technischen und organisatorischen Maßnahmen dabei, Anträge betroffener Personen auf Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit und Widerspruch zu erfüllen (Art. 28 Abs. 3 lit. e DSGVO).
2. Wendet sich eine betroffene Person unmittelbar an den Auftragsverarbeiter, beantwortet dieser den Antrag nicht selbst, sondern leitet ihn unverzüglich an den Verantwortlichen weiter und teilt der betroffenen Person mit, dass er dies getan hat.
3. Der Auftragsverarbeiter unterstützt den Verantwortlichen ferner bei der Einhaltung der Art. 32 bis 36 DSGVO, insbesondere bei der Sicherheit der Verarbeitung, bei der Meldung von Datenschutzverletzungen und bei einer Datenschutz-Folgenabschätzung, jeweils unter Berücksichtigung der Art der Verarbeitung und der ihm zur Verfügung stehenden Informationen.
4. Die Unterstützung erfolgt unentgeltlich, soweit sie sich auf die im Dienst ohnehin vorhandenen Funktionen und Auskünfte beschränkt. Für darüber hinausgehenden Aufwand, der nicht auf einem Fehlverhalten des Auftragsverarbeiters beruht, kann eine angemessene Vergütung verlangt werden; sie ist vorher abzustimmen.

§ 9 Meldung von Datenschutzverletzungen

1. Der Auftragsverarbeiter meldet dem Verantwortlichen jede Verletzung des Schutzes personenbezogener Daten unverzüglich nach Bekanntwerden (Art. 33 Abs. 2 DSGVO), in der Regel innerhalb von 24 Stunden. Eine Verletzung ist jeder Vorfall, der zur Vernichtung, zum Verlust, zur Veränderung oder zur unbefugten Offenlegung von oder zum unbefugten Zugang zu Daten führt.
2. Die Meldung erfolgt in Textform an die im Konto hinterlegte E-Mail-Adresse und enthält, soweit bekannt: Art der Verletzung, betroffene Datenkategorien, ungefähre Zahl der betroffenen Personen und Datensätze, wahrscheinliche Folgen, ergriffene und vorgeschlagene Gegenmaßnahmen sowie eine Kontaktstelle für Rückfragen.
3. Sind noch nicht alle Angaben verfügbar, meldet der Auftragsverarbeiter zunächst den bekannten Sachverhalt und liefert die weiteren Angaben unverzüglich nach.
4. Der Auftragsverarbeiter ergreift unverzüglich Maßnahmen zur Sicherung der Daten und zur Begrenzung nachteiliger Folgen und dokumentiert den Vorfall.
5. Meldungen an die Aufsichtsbehörde und Benachrichtigungen betroffener Personen obliegen dem Verantwortlichen. Der Auftragsverarbeiter nimmt solche Meldungen nicht ohne vorherige Abstimmung selbst vor.

§ 10 Nachweise und Kontrollrechte

1. Der Auftragsverarbeiter stellt dem Verantwortlichen alle Informationen zur Verfügung, die zum Nachweis der Einhaltung der Pflichten aus Art. 28 DSGVO erforderlich sind, und ermöglicht Überprüfungen einschließlich Inspektionen (Art. 28 Abs. 3 lit. h DSGVO).
2. Nachweis ohne Vor-Ort-Prüfung. Der Nachweis kann geführt werden durch Selbstauskunft in Textform, durch Vorlage dieser Maßnahmenübersicht in der jeweils aktuellen Fassung, durch Beantwortung eines Fragebogens des Verantwortlichen sowie durch Vorlage der öffentlich zugänglichen Prüfberichte und Zertifikate der eingesetzten Unterauftragnehmer. Der Auftragsverarbeiter beantwortet solche Anfragen innerhalb von 30 Tagen.
3. Eine Prüfung vor Ort ist nur erforderlich, wenn ein konkreter Anlass besteht und die Auskünfte nach Absatz 2 nicht ausreichen. Sie ist mit angemessener Vorlaufzeit von mindestens zwei Wochen anzukündigen, auf die üblichen Geschäftszeiten zu beschränken und so durchzuführen, dass der Betrieb nicht unangemessen gestört wird. Da keine eigenen Serverräume betrieben werden, bezieht sich eine solche Prüfung auf Organisation, Dokumentation und Konfiguration.
4. Prüfer dürfen keine Wettbewerber des Auftragsverarbeiters sein und sind zur Vertraulichkeit zu verpflichten.
5. Für Prüfungen, die über Absatz 2 hinausgehen und nicht durch ein Fehlverhalten des Auftragsverarbeiters veranlasst sind, kann eine angemessene Aufwandsentschädigung verlangt werden.
6. Der Auftragsverarbeiter führt ein Verzeichnis aller Kategorien von Verarbeitungen, die er im Auftrag durchführt (Art. 30 Abs. 2 DSGVO), und legt es dem Verantwortlichen und der Aufsichtsbehörde auf Verlangen vor.

§ 11 Löschung und Rückgabe nach Vertragsende

1. Bereits während der Vertragslaufzeit sind Ergebnisse, aussortierte Dateien und in einen Auftrag übernommene Dateien für eine Löschung nach Auftragsende zuzüglich der festen Aufbewahrungsfrist von 7 Tagen vorgesehen; die Frist ist nicht wählbar. Der Verantwortliche ist verpflichtet, Ergebnisse innerhalb dieser Frist abzurufen. Für die Eingangsordner gilt § 2 Absatz 8 (Löschung 7 Tage nach dem ersten Hochladen). Auftragsberichte sind von der automatischen Löschung ausgenommen (§ 2 Absatz 8).
2. Nach Beendigung des Hauptvertrags löscht der Auftragsverarbeiter alle noch vorhandenen personenbezogenen Daten des Verantwortlichen, spätestens innerhalb von 30 Tagen. Der Verantwortliche kann stattdessen die Rückgabe verlangen; das Verlangen ist vor Vertragsende in Textform zu stellen.
3. Von der Löschung ausgenommen sind Daten, für die eine gesetzliche Aufbewahrungspflicht des Auftragsverarbeiters besteht. Diese Daten werden bis zum Ablauf der jeweiligen Frist aufbewahrt und in ihrer Verwendung auf den Aufbewahrungszweck beschränkt. Eine Kundenarchivierung wird nicht angeboten.
4. Der Auftragsverarbeiter bestätigt die Löschung auf Verlangen in Textform.
5. Die Löschung erstreckt sich auch auf Kopien bei Unterauftragnehmern nach Maßgabe der dort vereinbarten Fristen.

§ 12 Haftung und Schlussbestimmungen

1. Für die Haftung gilt Art. 82 DSGVO. Im Verhältnis der Parteien untereinander gelten ergänzend die Haftungsregelungen des Hauptvertrags (§ 10 der Allgemeinen Geschäftsbedingungen). Zwingende gesetzliche Haftung bleibt unberührt.
2. Der Verantwortliche ist für die Zulässigkeit der Verarbeitung und für die Wahrung der Rechte betroffener Personen verantwortlich. Er stellt sicher, dass er über eine Rechtsgrundlage verfügt und seine Informationspflichten erfüllt.
3. Änderungen dieses Vertrags bedürfen der Textform. Der Auftragsverarbeiter darf diesen Vertrag anpassen, wenn dies zur Anpassung an geänderte Rechtsvorschriften, an eine geänderte Aufsichtspraxis oder an eine Weiterentwicklung des Dienstes erforderlich ist und das Schutzniveau nicht sinkt; er kündigt solche Änderungen mindestens vier Wochen vorher in Textform an. § 7 Absatz 6 gilt für das Widerspruchsrecht entsprechend.
4. Bei Widersprüchen zwischen diesem Vertrag und dem Hauptvertrag gehen die Regelungen dieses Vertrags in datenschutzrechtlicher Hinsicht vor.
5. Sollte eine Bestimmung dieses Vertrags unwirksam sein oder werden, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt. An die Stelle der unwirksamen Bestimmung tritt die gesetzliche Regelung.
6. Es gilt deutsches Recht. Gegenüber Kaufleuten ist Gerichtsstand der Sitz des Auftragsverarbeiters; gegenüber Verbrauchern gelten die gesetzlichen Gerichtsstände.

§ 13 Dieses Dokument sichern

Dieser Vertrag gilt mit der Nutzung des Dienstes; eine gesonderte Unterschrift ist nach Art. 28 Abs. 9 DSGVO nicht erforderlich, weil Textform genügt. Für Ihre Unterlagen können Sie ihn hier sichern:

Wenn Sie ein von uns unterzeichnetes Exemplar benötigen — etwa für eine Prüfung oder für Ihre eigenen Kunden —, schreiben Sie an datenschutz@titancore24.de. Nennen Sie dabei bitte Ihren vollständigen Firmen- oder Namenseintrag und die Anschrift. Sie erhalten das gegengezeichnete Exemplar per E-Mail zurück.

Weitere Rechtstexte

• Impressum
• Datenschutzerklärung
• Allgemeine Geschäftsbedingungen
• Widerrufsbelehrung für Verbraucher