Auftragsverarbeitungsvereinbarung (DPA)

Entwurf zur Prüfung

Arbeitsentwurf vom 25.10.2026 zur rechtlichen Prüfung. Dies sind weder geltende Bedingungen noch eine freigegebene Richtlinie oder abgeschlossene Auftragsverarbeitungsvereinbarung. Bestehende Bestellbedingungen bleiben unverändert.

Betreiber: Przedsiębiorstwo Techniczne MTC Wiktor Suska. Anschrift: ul. Jezuicka 24A, 05-230 Kobyłka, Polen. Polnische Steuerkennung (NIP): 1251751514. Kontakt: [email protected], Tel. +48 534 166 163. Datenschutz: [email protected].

1. Parteien und Auftragsverarbeitung

Dies ist der Entwurf einer Auftragsverarbeitungsvereinbarung nach Art. 28 DSGVO. Die nutzende Organisation ist Verantwortlicher der anvertrauten Daten; Auftragsverarbeiter ist das oben bezeichnete Przedsiębiorstwo Techniczne MTC Wiktor Suska. Organisationsangaben und Vertretungsbefugnisse sind vor Abschluss zu erfassen. Öffnen dieser Seite, Zahlung für einen Export oder das Plattforminhaber-Privileg begründen keine Vereinbarung.

2. Gegenstand, Art und Umfang

Die Verarbeitung umfasst Speicherung, Strukturierung, Suche, Offenlegung gegenüber Berechtigten und Export in gewählten Modulen und gespeicherten Dokumenten zur Erbringung der bestellten Leistung. Kategorien können Kunden, Kontaktpersonen, Personal und Dokumentparteien mit Identifikations-, Kontakt- und Betriebsdaten umfassen. Ein Anhang der vereinbarten Fassung bestimmt tatsächlichen Umfang und Dauer. Besondere Datenkategorien und strafrechtliche Daten benötigen gesondert vereinbarte Grundlagen und Schutzmaßnahmen und sind hier nicht standardmäßig enthalten.

3. Dokumentierte Weisungen

Der Auftragsverarbeiter handelt nur auf dokumentierte Weisung einschließlich Übermittlungen, soweit keine gesetzliche Pflicht besteht. Er informiert darüber vorab, sofern rechtlich zulässig, sowie über aus seiner Sicht datenschutzwidrige Weisungen. Anvertraute Inhalte werden ohne gesonderte rechtmäßige Grundlage weder für eigene Werbung noch KI-Training genutzt. Der Verantwortliche trägt die Verantwortung für rechtmäßige Erhebung und eigene Weisungen.

4. Vertraulichkeit und Berechtigungen

Zugriff erhalten nur zur Vertraulichkeit verpflichtete und im erforderlichen Umfang befugte Personen. Aktuelle Organisationsmitgliedschaft und Rechte werden auch beim Lesen der Historie und Herunterladen von Dokumenten geprüft. Eine zahlende Person behält nach Rechteentzug keinen dauerhaften Zugriff auf Organisationsdokumente. Plattformadministration ersetzt keine ausdrückliche Grundlage für Mandantendatenzugriff.

5. Sicherheitsmaßnahmen

Maßnahmen müssen dem Risiko entsprechen und Zugriffskontrolle, Organisationsisolierung, Transportverschlüsselung, Geheimnisschutz, Vorfallbearbeitung und kontrollierte Wiederherstellung umfassen. Uploads unterliegen Quarantäne und Prüfung; ein fehlender Scanner bedeutet nicht, dass eine Datei sicher ist. Ein technischer Anhang muss tatsächliche Verschlüsselung gespeicherter Daten, Sicherungen, Wiederherstellung, Überwachung und Löschfristen bestätigen. Diese Beschreibung behauptet weder Zertifizierung noch abgeschlossene Prüfung dieser Maßnahmen.

6. Unterauftragsverarbeitung und Übermittlungen

Weitere Auftragsverarbeiter benötigen eine vorherige besondere oder allgemeine schriftliche Genehmigung und gleichwertige Datenschutzpflichten. Bei allgemeiner Genehmigung muss der Verantwortliche über geplante Ergänzungen oder Ersetzungen informiert werden und widersprechen können. Die Liste muss genaue Unternehmen, Tätigkeiten, Orte und Übermittlungsgarantien nennen. Die Namen Cloudflare, Supabase, Resend und Stripe allein reichen nicht als Anhang. Die Rolle von Stripe bei Abrechnungen ist gesondert festzustellen, statt es pauschal als Unterauftragsverarbeiter sämtlicher Organisationsdaten anzusehen.

7. Verletzungen und Zusammenarbeit

Der Auftragsverarbeiter meldet Verletzungen des Schutzes anvertrauter Daten unverzüglich nach Bekanntwerden. Er übermittelt verfügbare Angaben zu Art, Umfang, möglichen Folgen und Maßnahmen und ergänzt Erkenntnisse. Er unterstützt Meldungen an Behörden, Benachrichtigungen Betroffener und Risikobewertungen, ersetzt aber keine Entscheidungen des Verantwortlichen. Vorfallkontakte und Eskalationswege sind im betrieblichen Anhang zu bestätigen.

8. Betroffenenrechte und Kontrolle

Unter Berücksichtigung der Verarbeitungsart unterstützt der Auftragsverarbeiter Betroffenenrechte und Pflichten nach Art. 32–36 DSGVO. Er stellt erforderliche Nachweise bereit und ermöglicht vorgeschriebene Audits und Inspektionen. Prüfungen dürfen weder fremde Organisationsdaten noch Sicherheitsgeheimnisse offenlegen. Weisungen erfolgen durch befugte Vertreter der Organisation; die Zahlung allein reicht nicht aus.

9. Leistungsende und Daten

Nach Ende der Verarbeitungsleistungen wählt der Verantwortliche Rückgabe oder Löschung der anvertrauten Daten und Löschung vorhandener Kopien, soweit keine gesetzliche Aufbewahrungspflicht besteht. Der vereinbarte Anhang bestimmt Ausgabeformat, Abwicklungsfrist und Löschzyklus der Sicherungen. Zahlungsablauf ist für sich keine solche Weisung. Eigene Abrechnungspflichten des Betreibers benötigen gesonderte Grundlage und Aufbewahrungsdauer.

10. Vor Abschluss erforderliche Anhänge

Zu bestätigen sind: Parteien und Kontakte; Dienste, Daten- und Personenkategorien sowie Dauer; konkrete technische und organisatorische Maßnahmen; Unterauftragsverarbeiter und Übermittlungen; Verfahren für Vorfälle, Prüfungen, Rückgabe und Löschung. Unvollständige Anhänge bedeuten einen Entwurf und keine abgeschlossene Vereinbarung. Diese Seite ersetzt weder die vereinbarte Fassung noch den Nachweis ihres Abschlusses.

Vor Freigabe zu bestätigen

Aufbewahrungs- und Löschfristen, Anbieter und Übermittlungen, erforderliche Anhänge sowie externe Prüfung von Inhalten und Übersetzungen sind noch zu bestätigen. Bis dahin bleibt diese Fassung ein Entwurf.