Vertrag zur Auftragsverarbeitung

Vertrag nach Art. 28 Abs. 3 DSGVO zwischen dem Kunden (Verantwortlicher) und
der Kowalczyk GmbH, Silberschlag 23, 31789 Hameln, eingetragen im
Handelsregister des Amtsgerichts Hannover unter HRB 231508, vertreten durch den
Geschäftsführer Philipp Kowalczyk, als Anbieter von Normkreis
(Auftragsverarbeiter).

Dieser Vertrag entsteht im Produkt selbst: Normkreis ist eigener Mandant in
Normkreis, und das eigene Verzeichnis der Verarbeitungstätigkeiten sowie die
technischen und organisatorischen Maßnahmen sind dort geführt.

1. Gegenstand und Dauer

Gegenstand: Bereitstellung der Anwendung Normkreis.
Dauer: für die Laufzeit des Hauptvertrags.

2. Art und Zweck der Verarbeitung

Speichern, Ordnen, Auslesen und Löschen der vom Verantwortlichen eingegebenen
Daten zum Zweck der Führung seiner Compliance-Unterlagen.

3. Art der Daten

Stammdaten der Nutzerinnen und Nutzer (Name, E-Mail-Adresse, Rolle), die vom
Verantwortlichen eingestellten Inhalte einschließlich hochgeladener
Belegdateien, Protokolldaten über Änderungen.

4. Kategorien betroffener Personen

Beschäftigte und Beauftragte des Verantwortlichen, von ihm benannte Prüfer.

5. Weisungsrecht

Der Auftragsverarbeiter verarbeitet die Daten ausschließlich auf dokumentierte
Weisung des Verantwortlichen. [auszufüllen – Form der Weisung, Ansprechpartner]

6. Vertraulichkeit

[auszufüllen – Verpflichtung der eingesetzten Personen auf Vertraulichkeit]

7. Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

[auszufüllen – als Anlage; die Grundlage steht in docs/muster/ und im eigenen
Mandanten. Zu nennen sind unter anderem: Mandantentrennung durch
Row-Level-Security in der Datenbank, Verschlüsselung der Belegdateien,
Passwort-Hashing mit argon2id, zweiter Faktor, unveränderliches Protokoll]

8. Unterauftragsverarbeiter

netcup GmbH, [auszufüllen – Sitz mit dem AV-Vertrag abgleichen]: Hosting des
Servers im Rechenzentrum Nürnberg.
[auszufüllen – Anbieter der Storage Box mit Sitz]: Sicherung außer Haus,
verschlüsselt.
Nach der eigenen Zusage keiner mit Sitz in den USA.

9. Unterstützung des Verantwortlichen

Bei Betroffenenanfragen, Datenschutz-Folgenabschätzungen und der Meldung von
Verletzungen des Schutzes personenbezogener Daten (Art. 28 Abs. 3 lit. e und f
DSGVO). Eine Verletzung des Schutzes personenbezogener Daten meldet der
Auftragsverarbeiter dem Verantwortlichen binnen 24 Stunden, nachdem sie ihm
bekannt wird. [auszufüllen – Weg der Meldung und Frist für Betroffenenanfragen]

10. Löschung und Rückgabe

Nach Ende des Vertrags löscht der Auftragsverarbeiter die Daten. Der
Verantwortliche kann seinen Bestand zuvor jederzeit als Nachweismappe
herunterladen. [auszufüllen – die Frage der Aufbewahrung von Rechnungen ist
offen, siehe TODO.md]

11. Nachweise und Kontrollen

Der Auftragsverarbeiter weist die Einhaltung nach (Art. 28 Abs. 3 lit. h
DSGVO). [auszufüllen – Form: Selbstauskunft, Zertifikat, Vor-Ort-Kontrolle]

Stand: November 2026

Vertrag zur Auftragsverarbeitung · Normkreis