Vertrag über die Auftragsverarbeitung

nach Art. 28 DSGVO · Stand: August 2026 · Bestandteil der Vertragsbedingungen

Warum es diesen Vertrag gibt: In Ihrer CRM-Instanz verarbeiten Sie personenbezogene Daten — Ihre Kunden, deren Ansprechpartner, Ihre Beschäftigten. Datenschutzrechtlich sind Sie dafür verantwortlich; ich verarbeite diese Daten nur in Ihrem Auftrag. Genau das muss nach Art. 28 DSGVO schriftlich geregelt sein. Dieser Vertrag kommt mit dem Vertragsschluss zustande; auf Wunsch erhalten Sie ihn zusätzlich als unterschriebenes Dokument.

§ 1 Parteien und Gegenstand

Verantwortlicher (Auftraggeber) ist der Kunde, Auftragsverarbeiter ist KiNi Solutions, Inhaber Stefan Eschbach, Lehmattweg 3, 79664 Wehr.

Gegenstand ist die Bereitstellung und der Betrieb der Anwendung Kini CRM als Software as a Service einschließlich Hosting, Sicherung, Wartung und Unterstützung.

§ 2 Dauer

Dieser Vertrag läuft, solange der zugrunde liegende Hauptvertrag über die Nutzung von Kini CRM besteht, und endet mit dessen Beendigung einschließlich der Pflichten aus § 9 (Rückgabe und Löschung).

§ 3 Art, Zweck und Umfang der Verarbeitung

Art der Verarbeitung: Erheben, Erfassen, Organisieren, Speichern, Anpassen, Auslesen, Verwenden, Übermitteln (E-Mail-Versand von Belegen), Einschränken, Löschen und Vernichten.

Zweck: Betrieb einer Anwendung zur Kunden-, Angebots-, Auftrags-, Zeit- und Rechnungsverwaltung für den Auftraggeber.

Ort: Ausschließlich Rechenzentren innerhalb der Bundesrepublik Deutschland. Eine Verarbeitung außerhalb der EU beziehungsweise des EWR findet nur im Rahmen des E-Mail-Versands nach § 6 statt.

§ 4 Kategorien betroffener Personen und Daten

Betroffene Personen	Datenarten
Kunden und Interessenten des Auftraggebers	Firma, Ansprechpartner, Anschrift, E-Mail, Telefon, Notizen, Stundensatz, Schriftwechsel einschließlich Anhängen
Beschäftigte und Mitarbeitende des Auftraggebers	Benutzername, Name, Rolle, Anmeldedaten (Passwort ausschließlich als Hashwert), erfasste Arbeitszeiten und Tätigkeiten, Protokolleinträge
Geschäftspartner des Auftraggebers	Angaben aus Angeboten, Aufträgen, Rechnungen und Buchungen

Besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO sind nicht Gegenstand der Verarbeitung. Gibt der Auftraggeber solche Daten dennoch ein, geschieht dies auf seine alleinige Verantwortung.

§ 5 Weisungen

(1) Der Auftragsverarbeiter verarbeitet die Daten ausschließlich auf dokumentierte Weisung des Auftraggebers. Die Nutzung der vereinbarten Funktionen der Anwendung gilt als erteilte Weisung.

(2) Einzelweisungen erteilt der Auftraggeber in Textform an info@kini.solutions.

(3) Hält der Auftragsverarbeiter eine Weisung für rechtswidrig, teilt er dies unverzüglich mit und darf ihre Ausführung aussetzen.

(4) Eine Verarbeitung zu eigenen Zwecken — insbesondere zu Werbe-, Analyse- oder Trainingszwecken — findet nicht statt. Die Daten des Auftraggebers werden nicht zum Training von Systemen künstlicher Intelligenz verwendet.

§ 6 Unterauftragnehmer

(1) Der Auftraggeber stimmt dem Einsatz der nachfolgend genannten Unterauftragnehmer zu:

Unternehmen	Leistung	Ort
Hetzner Online GmbH, Industriestraße 25, 91710 Gunzenhausen	Rechenzentrum, Server, Speicherplatz für Sicherungen	Deutschland
ActiveCampaign, LLC (Postmark), 400 N Michigan Ave, Chicago, IL 60611, USA	Versand und Empfang von E-Mails der Kundenkorrespondenz	USA — abgesichert durch Standardvertragsklauseln nach Art. 46 Abs. 2 lit. c DSGVO

(2) Der E-Mail-Versand über Postmark erfolgt nur, wenn der Auftraggeber die E-Mail-Anbindung in seiner Instanz aktiviert. Ohne diese Aktivierung verlassen keine Daten die deutschen Rechenzentren.

(3) Einen Wechsel oder die Hinzunahme weiterer Unterauftragnehmer teilt der Auftragsverarbeiter mindestens vier Wochen vorher in Textform mit. Der Auftraggeber kann innerhalb von zwei Wochen aus wichtigem, datenschutzrechtlich begründetem Anlass widersprechen; in diesem Fall darf er den Hauptvertrag zum Zeitpunkt der Umstellung kündigen.

(4) Der Auftragsverarbeiter verpflichtet Unterauftragnehmer auf ein Schutzniveau, das diesem Vertrag entspricht.

§ 7 Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

Vertraulichkeit

Zutrittskontrolle: Rechenzentren des Unterauftragnehmers mit Zutrittskontrolle, Videoüberwachung und Alarmanlage.
Zugangskontrolle: Zugriff auf Server ausschließlich über SSH mit Schlüsselverfahren; Anmeldung an der Anwendung mit Benutzername und Passwort, Passwörter ausschließlich als Hashwert (bcrypt) gespeichert.
Zugriffskontrolle: Rollenkonzept in der Anwendung (Mitarbeitende / Administration); Geschäftszahlen und Stammdaten nur für die Administration; getrennte Systembenutzer je Dienst auf dem Server.
Trennungskontrolle: Eigene Instanz und eigener Datenbestand je Auftraggeber; Test- und Demo-Umgebungen sind vollständig getrennt und enthalten keine Echtdaten.

Integrität

Weitergabekontrolle: Ausschließlich verschlüsselte Übertragung (TLS 1.2 / 1.3, HTTP-Aufrufe werden umgeleitet); Sicherungen werden verschlüsselt übertragen.
Eingabekontrolle: Protokoll relevanter Änderungen mit Benutzer, Zeitpunkt und Vorgang; Rechnungsnummern fortlaufend und nicht nachträglich änderbar; abgerechnete Positionen gesperrt.

Verfügbarkeit und Belastbarkeit

Tägliche automatische Sicherung, Aufbewahrung 14 Tage, zusätzlich gespiegelt auf einen zweiten Server in Deutschland.
Regelmäßige Prüfung der Rücksicherbarkeit; Sicherungen werden nach dem Erstellen auf Lesbarkeit geprüft.
Überwachung der Dienste, automatischer Neustart bei Ausfall, zeitnahes Einspielen von Sicherheitsaktualisierungen.

Verfahren zur Überprüfung

Überprüfung und Anpassung der Maßnahmen bei jeder wesentlichen Änderung der Verarbeitung, mindestens jährlich.
Umsetzung von Datenschutz durch Technikgestaltung und datenschutzfreundliche Voreinstellungen (Art. 25 DSGVO): keine Analysewerkzeuge, keine Weitergabe an Dritte, Datensparsamkeit in den Protokollen.

§ 8 Unterstützungspflichten

(1) Der Auftragsverarbeiter unterstützt den Auftraggeber bei der Erfüllung von Betroffenenrechten (Art. 12 bis 23 DSGVO). Anfragen betroffener Personen, die beim Auftragsverarbeiter eingehen, werden unverzüglich an den Auftraggeber weitergeleitet und nicht eigenständig beantwortet.

(2) Der Auftragsverarbeiter unterstützt bei Datenschutz-Folgenabschätzungen (Art. 35, 36 DSGVO) und bei der Einhaltung der Pflichten aus Art. 32 bis 34 DSGVO.

(3) Meldung von Verletzungen: Verletzungen des Schutzes personenbezogener Daten meldet der Auftragsverarbeiter dem Auftraggeber unverzüglich, spätestens innerhalb von 24 Stunden nach Kenntnis, mit allen verfügbaren Angaben zu Art, Umfang, betroffenen Datenkategorien und ergriffenen Maßnahmen.

(4) Der Auftragsverarbeiter führt ein Verzeichnis der im Auftrag durchgeführten Verarbeitungstätigkeiten nach Art. 30 Abs. 2 DSGVO und legt es auf Anforderung vor.

§ 9 Rückgabe und Löschung

(1) Nach Beendigung des Hauptvertrags stellt der Auftragsverarbeiter dem Auftraggeber dessen Daten einmalig in einem gängigen, maschinenlesbaren Format zur Verfügung.

(2) Anschließend löscht er die Daten einschließlich vorhandener Kopien innerhalb von 30 Tagen. Sicherungen laufen turnusgemäß innerhalb von weiteren 14 Tagen aus.

(3) Die Löschung wird auf Wunsch in Textform bestätigt. Gesetzliche Aufbewahrungspflichten bleiben unberührt; betroffene Daten werden für die weitere Verarbeitung gesperrt.

§ 10 Nachweise und Kontrollen

(1) Der Auftragsverarbeiter weist die Einhaltung dieses Vertrags auf Anforderung durch geeignete Unterlagen nach, insbesondere durch die Beschreibung der Maßnahmen nach § 7.

(2) Der Auftraggeber ist berechtigt, sich nach rechtzeitiger Ankündigung (mindestens zwei Wochen) zu üblichen Geschäftszeiten von der Einhaltung zu überzeugen. Der Auftragsverarbeiter kann für den Aufwand einer Vor-Ort-Prüfung eine angemessene Vergütung verlangen.

§ 11 Vertraulichkeit

Der Auftragsverarbeiter ist auf die Vertraulichkeit verpflichtet. Beschäftigte oder eingesetzte Dritte werden vor Aufnahme der Tätigkeit entsprechend verpflichtet; die Verpflichtung gilt über das Ende der Tätigkeit hinaus fort.

§ 12 Haftung und Schlussbestimmungen

(1) Für die Haftung gilt Art. 82 DSGVO; im Übrigen gelten die Regelungen des Hauptvertrags.

(2) Bei Widersprüchen zwischen diesem Vertrag und dem Hauptvertrag gehen die Regelungen dieses Vertrags vor, soweit es die Verarbeitung personenbezogener Daten betrifft.

(3) Sollte eine Bestimmung unwirksam sein oder werden, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt.