← Zurück zur Startseite

Vertrag zur Auftragsverarbeitung (Art. 28 DSGVO)

Stand: 27. September 2026

§ 1 Gegenstand, Dauer, Art und Zweck

1. Gegenstand ist die Verarbeitung personenbezogener Daten durch den Auftragnehmer bei der Bereitstellung der Software NeuraPort (Hosting, Betrieb, Support, Datensicherung, auf Wunsch KI-gestützte Analyse von E-Mails und Dokumenten, Versand von Benachrichtigungen).
2. Die Dauer entspricht der Laufzeit des Nutzungsvertrags zuzüglich der Frist zur Datenrückgabe und Löschung (§ 9).
3. Arten von Daten: Kontakt- und Stammdaten (Name, Firma, Funktion, Anschrift, E-Mail, Telefon), Kommunikationsdaten (E-Mails und Anhänge), Vertrags-, Sendungs- und Abrechnungsdaten, Bankverbindungen, Nutzer- und Protokolldaten, ggf. Daten von Fahrern und Beschäftigten des Auftraggebers.
4. Kategorien betroffener Personen: Beschäftigte und Nutzer des Auftraggebers, Ansprechpartner von Kunden, Lieferanten, Dienstleistern, Behörden, Empfängern und Versendern, Fahrer.
5. Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO) sind nicht Gegenstand der Verarbeitung, soweit der Auftraggeber sie nicht selbst einbringt; das HR-Modul ist gesondert zu vereinbaren.

§ 2 Weisungen

1. Der Auftragnehmer verarbeitet Daten nur auf dokumentierte Weisung des Auftraggebers. Weisungen ergeben sich aus diesem Vertrag, dem Nutzungsvertrag und den Einstellungen, die der Auftraggeber in NeuraPort vornimmt (insbesondere Wahl der KI-Anbieter, Automatik-Einstellungen, Portalfreigaben, Löschungen).
2. Hält der Auftragnehmer eine Weisung für rechtswidrig, weist er den Auftraggeber unverzüglich darauf hin.

§ 3 Pflichten des Auftragnehmers

1. Der Auftragnehmer verpflichtet alle mit der Verarbeitung befassten Personen zur Vertraulichkeit.
2. Er trifft die technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO gemäß Anlage 1 und passt sie dem Stand der Technik an, ohne das Schutzniveau zu unterschreiten.
3. Er unterstützt den Auftraggeber bei der Beantwortung von Anfragen betroffener Personen (Art. 12–23 DSGVO), u. a. durch Auskunfts-, Export-, Berichtigungs- und Anonymisierungsfunktionen in NeuraPort, sowie bei den Pflichten nach Art. 32–36 DSGVO.
4. Er meldet dem Auftraggeber Verletzungen des Schutzes personenbezogener Daten unverzüglich, möglichst innerhalb von 24 Stunden nach Kenntnis, mit den Angaben nach Art. 33 Abs. 3 DSGVO, soweit bekannt.

§ 4 KI-Anbieter

1. Die KI-Analyse wird nur mit den Anbietern durchgeführt, die der Auftraggeber in NeuraPort ausgewählt hat (Hauptanbieter und mindestens ein Ausweichanbieter). Der Auftraggeber kann die KI-Analyse jederzeit abschalten.
2. Der Auftragnehmer nutzt ausschließlich geschäftliche API-Zugänge, bei denen die übermittelten Daten nach den Vertragsbedingungen der Anbieter nicht zum Training verwendet werden.

§ 5 Unterauftragsverarbeiter

1. Der Auftraggeber genehmigt die in Anlage 2 genannten Unterauftragsverarbeiter. Der Auftragnehmer verpflichtet sie vertraglich auf ein diesem Vertrag entsprechendes Schutzniveau.
2. Über beabsichtigte Änderungen informiert der Auftragnehmer mindestens 30 Tage im Voraus in Textform. Der Auftraggeber kann aus wichtigem datenschutzrechtlichem Grund widersprechen; ist keine Einigung möglich, kann er den Nutzungsvertrag zum Wirksamwerden der Änderung kündigen. Für KI-Anbieter gilt ergänzend § 4: ein neuer KI-Anbieter wird nur genutzt, wenn der Auftraggeber ihn auswählt.
3. Übermittlungen in Drittländer erfolgen nur unter den Voraussetzungen der Art. 44 ff. DSGVO (Angemessenheitsbeschluss, EU-U.S. Data Privacy Framework oder EU-Standardvertragsklauseln).

§ 6 Kontrollrechte

Der Auftragnehmer weist die Einhaltung seiner Pflichten auf Anfrage durch geeignete Unterlagen nach (u. a. aktuelle TOMs, Nachweise der Unterauftragsverarbeiter). Der Auftraggeber kann nach rechtzeitiger Ankündigung (mindestens 14 Tage) während der Geschäftszeiten Kontrollen durchführen oder durch einen zur Verschwiegenheit verpflichteten Prüfer durchführen lassen, ohne den Betrieb unverhältnismäßig zu stören.

§ 7 Ort der Verarbeitung

Die Hauptverarbeitung (Anwendung, Datenbank, Dateien) erfolgt in Rechenzentren in Deutschland, die Datensicherung in den Niederlanden. Weitere Orte ergeben sich aus Anlage 2.

§ 8 Haftung

Für die Haftung gilt Art. 82 DSGVO. Im Übrigen gelten die Haftungsregelungen des Nutzungsvertrags.

§ 9 Beendigung, Rückgabe und Löschung

Nach Vertragsende stellt der Auftragnehmer die Daten 30 Tage lang zum vollständigen Export bereit und löscht sie danach, soweit keine gesetzliche Pflicht zur Speicherung besteht. Datensicherungen werden im regulären Zyklus (höchstens 30 Tage) überschrieben. Die Löschung wird auf Verlangen bestätigt.

Anlage 1 – Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

1. Vertraulichkeit

• Zutrittskontrolle: Betrieb ausschließlich in Rechenzentren zertifizierter Anbieter (Hetzner, Deutschland; Datensicherung Scaleway, Niederlande) mit Zutrittskontrolle, Videoüberwachung und Sicherheitspersonal; keine Server in Büroräumen.
• Zugangskontrolle: Anmeldung mit personengebundenen Konten, Passwörter nur als sicherer Hash (bcrypt), Zwei-Faktor-Anmeldung (TOTP, Passkeys) verfügbar und für Administratoren vorgesehen; Sitzungen laufen ab; Server-Administration nur per SSH-Schlüssel, Firewall mit Freigabe nur notwendiger Dienste.
• Zugriffskontrolle: Rollen- und Rechtekonzept je Firma, Standort und Modul; Trennung von Finanz- und Kostensicht; Datenbank-seitige Mandantentrennung (Row-Level-Security), die auch bei Programmfehlern keinen Zugriff auf Daten anderer Kunden zulässt.
• Trennungskontrolle: logische Trennung aller Kundendaten per Mandantenkennung und Row-Level-Security; getrennte Test- und Demodaten.
• Pseudonymisierung/Minimierung: vor Übermittlung an KI-Anbieter werden bestimmte Angaben (z. B. Telefonnummern, IBAN) soweit technisch möglich unkenntlich gemacht; Fehlerberichte ohne personenbezogene Standarddaten.

2. Integrität

• Weitergabekontrolle: Übertragung ausschließlich verschlüsselt (TLS 1.2+); Datensicherungen vor Übertragung verschlüsselt (age); Downloads über kurzlebige, signierte Links.
• Eingabekontrolle: Änderungsprotokoll mit Alt- und Neuwert, Benutzer und Zeitpunkt für fachliche Änderungen; KI-Übernahmen mit Quelle und Konfidenz; festgeschriebene Rechnungen gegen Änderung geschützt (GoBD).

3. Verfügbarkeit und Belastbarkeit

• Tägliche verschlüsselte Datensicherung von Datenbank und Dateien mit Kopie an einem zweiten Standort; Prüfung der Sicherungen; zusätzliche Sicherung vor jeder Softwareaktualisierung.
• Überwachung von Erreichbarkeit und Fehlern, öffentliche Statusseite; Virenprüfung hochgeladener Dateien; Begrenzung von Anfragen gegen Missbrauch.

4. Verfahren zur regelmäßigen Überprüfung

• Automatisierte Tests (über 2.000 Testfälle) vor jeder Aktualisierung; regelmäßige interne Prüfungen der Abläufe und Berechtigungen; dokumentiertes Freigabe- und Rückfallverfahren für Aktualisierungen.
• Datenschutzfreundliche Voreinstellungen: automatische KI-Übernahmen, Kundenmails und Freigaben sind standardmäßig nur nach Bestätigung aktiv.
• Meldewege für Sicherheitsvorfälle mit Fristen (72 Stunden gegenüber der Aufsichtsbehörde; Information des Kunden unverzüglich).

Anlage 2 – Unterauftragsverarbeiter

Dienstleister	Zweck	Ort der Verarbeitung	Garantie bei Drittland	Einsatz
Hetzner Online GmbH Industriestr. 25, 91710 Gunzenhausen, Deutschland	Hosting der Anwendung und Datenbank, Server-Protokolle	Deutschland	–	immer
Scaleway SAS 8 rue de la Ville l’Evêque, 75008 Paris, Frankreich	Verschlüsselte Datensicherung (Offsite-Backup), Speicherung vor Übertragung verschlüsselt	Niederlande (Amsterdam)	–	immer
Resend, Inc. San Francisco, USA	Versand von System-E-Mails (Anmeldung, Einladungen, Benachrichtigungen, vom Kunden ausgelöste Mails)	USA	EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO)	immer
Functional Software, Inc. (Sentry) San Francisco, USA	Fehlerüberwachung der Anwendung (technische Fehlerberichte, ohne Übermittlung von Nutzer-IP und Anmeldedaten)	USA	EU-Standardvertragsklauseln; EU-U.S. Data Privacy Framework, soweit zertifiziert	immer
Cloudflare, Inc. 101 Townsend St., San Francisco, CA 94107, USA	Bereitstellung der öffentlichen Statusseite status.neuraport.de	weltweit (Netzwerk)	EU-Standardvertragsklauseln; EU-U.S. Data Privacy Framework	immer
Anthropic (Anthropic PBC) 548 Market St., San Francisco, CA 94104, USA	KI-Analyse (Claude) von E-Mails, Dokumenten und Texten, wenn vom Kunden als KI-Anbieter gewählt	USA	EU-Standardvertragsklauseln; keine Nutzung der API-Daten zum Training	nur bei Auswahl durch den Kunden
OpenAI Ireland Ltd. / OpenAI, L.L.C. 1st Floor, The Liffey Trust Centre, 117–126 Sheriff Street Upper, Dublin 1, Irland	KI-Analyse (GPT), wenn vom Kunden als KI-Anbieter gewählt	USA	EU-Standardvertragsklauseln; keine Nutzung der API-Daten zum Training	nur bei Auswahl durch den Kunden
Mistral AI SAS 15 rue des Halles, 75001 Paris, Frankreich	KI-Analyse (Mistral), wenn vom Kunden als KI-Anbieter gewählt	EU	–	nur bei Auswahl durch den Kunden
OpenRouter, Inc. (Zugang zu MiniMax-Modellen) USA	KI-Analyse (MiniMax) über den Vermittlungsdienst OpenRouter, wenn vom Kunden gewählt	USA und Sitzland des jeweiligen Modellbetreibers	EU-Standardvertragsklauseln	nur bei Auswahl durch den Kunden
Google Ireland Limited Gordon House, Barrow Street, Dublin 4, Irland	KI-Analyse (Gemini), nur wenn vom Kunden gewählt	USA/EU	EU-Standardvertragsklauseln; EU-U.S. Data Privacy Framework	nur bei Auswahl durch den Kunden
Portkey AI, Inc. USA	Technischer Vermittlungsdienst (Gateway) für KI-Anfragen an Anthropic, nur wenn plattformseitig aktiviert	USA	EU-Standardvertragsklauseln	nur bei Nutzung der Funktion
Microsoft Ireland Operations Limited One Microsoft Place, South County Business Park, Leopardstown, Dublin 18, Irland	Anbindung der vom Kunden verbundenen Microsoft-365-Postfächer (Abruf/Versand im Auftrag des Kunden über Microsoft Graph)	EU/USA	EU-Standardvertragsklauseln; EU-U.S. Data Privacy Framework	nur bei Nutzung der Funktion