Vertrag zur Auftragsverarbeitung

Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO

zwischen

dem Kunden nach dem Nutzungsvertrag über ewc.de — nachfolgend Verantwortlicher —

und

Digital Diamant GmbH, Max-Reger-Straße 2, 50931 Köln, vertreten durch den Geschäftsführer Frank Mühlenbeck — nachfolgend Auftragsverarbeiter —

Dieser Vertrag konkretisiert die Pflichten der Parteien zum Datenschutz, die sich aus dem Nutzungsvertrag über ewc.de (nachfolgend "Hauptvertrag") ergeben. Er gilt für alle Verarbeitungen, die der Auftragsverarbeiter bei der Erbringung seiner Leistungen im Auftrag des Verantwortlichen vornimmt.

Bei Widersprüchen zwischen diesem Vertrag und dem Hauptvertrag geht dieser Vertrag vor, soweit es um die Verarbeitung personenbezogener Daten geht.

§ 1 Gegenstand und Dauer

(1) Gegenstand des Auftrags ist die Verarbeitung personenbezogener Daten durch den Auftragsverarbeiter im Rahmen der Bereitstellung und des Betriebs der Plattform ewc.de.

(2) Die Dauer dieses Vertrags entspricht der Laufzeit des Hauptvertrags. Er endet mit diesem, ohne dass es einer gesonderten Kündigung bedarf. Die Pflichten aus § 5 (Vertraulichkeit) und § 11 (Löschung und Rückgabe) bestehen über das Ende hinaus fort.

(3) Der Verantwortliche kann diesen Vertrag jederzeit aus wichtigem Grund kündigen, insbesondere bei einem schwerwiegenden Verstoß des Auftragsverarbeiters gegen diesen Vertrag oder gegen Vorschriften der DSGVO. Die Kündigung dieses Vertrags berechtigt beide Parteien zugleich zur Kündigung des Hauptvertrags.

§ 2 Art, Umfang und Zweck der Verarbeitung

(1) Art und Zweck der Verarbeitung, die Arten der verarbeiteten personenbezogenen Daten und die Kategorien betroffener Personen ergeben sich aus Anlage 1.

(2) Die Verarbeitung findet ausschließlich in Mitgliedstaaten der Europäischen Union oder in Vertragsstaaten des Abkommens über den Europäischen Wirtschaftsraum statt, soweit in Anlage 3 nichts anderes angegeben ist. Jede Verlagerung in ein Drittland bedarf der Voraussetzungen der Art. 44 bis 49 DSGVO; die dafür bestehenden Garantien sind in Anlage 3 je Unterauftragsverarbeiter benannt.

(3) Der Verantwortliche bleibt für die Rechtmäßigkeit der Verarbeitung verantwortlich. Er entscheidet insbesondere darüber, welche Daten er in ewc.de einstellt, an wen er Sales Rooms und Angebote versendet und auf welcher Rechtsgrundlage die Auswertung des Nutzungsverhaltens erfolgt.

§ 3 Weisungen

(1) Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen. Als Weisung gelten dieser Vertrag, der Hauptvertrag sowie die Einstellungen und Eingaben, die der Verantwortliche über die Oberfläche von ewc.de vornimmt.

(2) Einzelweisungen, die über den vertraglich vereinbarten Umfang hinausgehen, bedürfen der Textform. Der Auftragsverarbeiter kann für deren Umsetzung eine angemessene Vergütung verlangen.

(3) Der Auftragsverarbeiter informiert den Verantwortlichen unverzüglich, wenn er der Auffassung ist, dass eine Weisung gegen die DSGVO oder gegen andere Datenschutzvorschriften verstößt. Er darf die Ausführung der Weisung aussetzen, bis der Verantwortliche sie bestätigt oder ändert.

(4) Ist der Auftragsverarbeiter nach dem Recht der Union oder eines Mitgliedstaats zu einer Verarbeitung verpflichtet, teilt er dem Verantwortlichen diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das Recht dies nicht wegen eines wichtigen öffentlichen Interesses verbietet.

§ 4 Pflichten des Auftragsverarbeiters

(1) Der Auftragsverarbeiter verarbeitet die Daten nur im Rahmen des Auftrags und dieses Vertrags.

(2) Er führt ein Verzeichnis aller Kategorien von Verarbeitungstätigkeiten nach Art. 30 Abs. 2 DSGVO und stellt es dem Verantwortlichen auf Anfrage zur Verfügung.

(3) Er hat keinen Datenschutzbeauftragten benannt; nach § 38 BDSG besteht dazu keine Pflicht. Ansprechpartner für den Datenschutz ist: datenschutz@ewc.de.

(4) Er unterstützt den Verantwortlichen bei der Einhaltung der Pflichten aus Art. 32 bis 36 DSGVO, insbesondere bei einer Datenschutz-Folgenabschätzung und bei einer vorherigen Konsultation der Aufsichtsbehörde, soweit dies unter Berücksichtigung der Art der Verarbeitung und der ihm zur Verfügung stehenden Informationen möglich ist.

(5) Er informiert den Verantwortlichen unverzüglich über Kontrollhandlungen und Maßnahmen einer Aufsichtsbehörde, soweit sie sich auf diesen Auftrag beziehen.

(6) Werden die Daten des Verantwortlichen bei ihm durch Pfändung, Beschlagnahme, ein Insolvenz- oder Vergleichsverfahren oder durch sonstige Ereignisse oder Maßnahmen Dritter gefährdet, unterrichtet er den Verantwortlichen unverzüglich.

§ 5 Vertraulichkeit

(1) Der Auftragsverarbeiter setzt zur Verarbeitung nur Personen ein, die zur Vertraulichkeit verpflichtet oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen. Die Verpflichtung wird vor Aufnahme der Tätigkeit erteilt und dokumentiert.

(2) Die Verpflichtung zur Vertraulichkeit besteht auch nach Beendigung der Tätigkeit und nach Ende dieses Vertrags fort.

(3) Der Auftragsverarbeiter stellt sicher, dass die eingesetzten Personen mit den für sie maßgeblichen Vorschriften des Datenschutzes vertraut sind.

§ 6 Technische und organisatorische Maßnahmen

(1) Der Auftragsverarbeiter trifft die nach Art. 32 DSGVO erforderlichen technischen und organisatorischen Maßnahmen. Sie sind in Anlage 2 beschrieben.

(2) Die Maßnahmen unterliegen dem technischen Fortschritt. Der Auftragsverarbeiter darf sie ändern, solange das vereinbarte Schutzniveau nicht unterschritten wird. Wesentliche Änderungen teilt er dem Verantwortlichen in Textform mit.

(3) Der Verantwortliche hat sich vor Beginn der Verarbeitung von der Angemessenheit der Maßnahmen überzeugt und überzeugt sich während der Vertragslaufzeit regelmäßig davon. Anlage 2 und die dort genannten Nachweise dienen diesem Zweck.

§ 7 Unterauftragsverarbeiter

(1) Der Verantwortliche erteilt dem Auftragsverarbeiter die allgemeine Genehmigung, die in Anlage 3 genannten Unterauftragsverarbeiter einzusetzen.

(2) Der Auftragsverarbeiter teilt dem Verantwortlichen in Textform mit, bevor er einen weiteren Unterauftragsverarbeiter hinzuzieht oder einen bestehenden austauscht. Die Mitteilung erfolgt unverzüglich, nachdem der Auftragsverarbeiter selbst davon Kenntnis erlangt hat, spätestens jedoch 14 Tage vor dem Wirksamwerden der Änderung. Erhält der Auftragsverarbeiter selbst eine kürzere Vorankündigung, informiert er unverzüglich nach eigener Kenntnis; das Recht des Verantwortlichen aus Absatz 3 bleibt in diesem Fall unberührt.

(3) Der Verantwortliche kann der Änderung innerhalb von 14 Tagen nach Zugang der Mitteilung aus wichtigem Grund widersprechen. Widerspricht er, kann jede Partei den Hauptvertrag zum Wirksamwerden der Änderung kündigen. Widerspricht er nicht, gilt die Änderung als genehmigt. Kann ein Widerspruch aus Gründen, die beim Unterauftragsverarbeiter liegen, nicht mehr berücksichtigt werden, steht dem Verantwortlichen ein außerordentliches Kündigungsrecht zu.

(4) Der Auftragsverarbeiter schließt mit jedem Unterauftragsverarbeiter einen Vertrag, der diesem im Wesentlichen dieselben Pflichten auferlegt, die ihm nach diesem Vertrag obliegen. Er bleibt dem Verantwortlichen gegenüber für die Einhaltung verantwortlich.

(5) Nicht als Unterauftragsverarbeitung im Sinne dieser Vorschrift gelten Nebenleistungen, die der Auftragsverarbeiter bei Dritten in Anspruch nimmt, ohne dass diese Zugriff auf die Daten des Verantwortlichen erhalten.

§ 8 Betroffenenrechte

(1) Wendet sich eine betroffene Person unmittelbar an den Auftragsverarbeiter, leitet dieser die Anfrage unverzüglich an den Verantwortlichen weiter und beantwortet sie nicht selbst.

(2) Der Auftragsverarbeiter unterstützt den Verantwortlichen mit geeigneten technischen und organisatorischen Maßnahmen dabei, Anfragen betroffener Personen nach Kapitel III DSGVO zu beantworten — insbesondere Auskunft, Berichtigung, Löschung, Einschränkung und Datenübertragbarkeit.

(3) Die Oberfläche von ewc.de bietet dem Verantwortlichen dafür eigene Funktionen an. Insbesondere kann er die Daten einer Person über die Funktion "Personendaten löschen" endgültig entfernen lassen; die Anwendung nennt dabei vor der Ausführung, was aus welchem Grund bestehen bleibt.

(4) Ein maschineller Export des gesamten Datenbestands steht derzeit nicht zur Verfügung. Der Auftragsverarbeiter stellt die Daten auf Anfrage in einem gängigen Format zusammen.

(5) Für Unterstützungsleistungen, die über die in der Oberfläche verfügbaren Funktionen hinausgehen, kann der Auftragsverarbeiter eine angemessene Vergütung verlangen, soweit der Aufwand nicht auf einem Umstand beruht, den er zu vertreten hat.

§ 9 Verletzung des Schutzes personenbezogener Daten

(1) Der Auftragsverarbeiter meldet dem Verantwortlichen jede Verletzung des Schutzes personenbezogener Daten, die Daten aus diesem Auftrag betrifft, unverzüglich nach Bekanntwerden, spätestens innerhalb von 48 Stunden.

(2) Die Meldung enthält, soweit bekannt: eine Beschreibung der Art der Verletzung, die betroffenen Kategorien und die ungefähre Zahl betroffener Personen und Datensätze, die wahrscheinlichen Folgen, die ergriffenen oder vorgeschlagenen Gegenmaßnahmen sowie einen Ansprechpartner. Liegen nicht alle Angaben sofort vor, meldet der Auftragsverarbeiter zunächst, was bekannt ist, und ergänzt unverzüglich.

(3) Meldungen an die Aufsichtsbehörde nach Art. 33 DSGVO und Benachrichtigungen betroffener Personen nach Art. 34 DSGVO nimmt allein der Verantwortliche vor. Der Auftragsverarbeiter unterstützt ihn dabei.

(4) Der Auftragsverarbeiter dokumentiert jede Verletzung einschließlich der ergriffenen Maßnahmen.

§ 10 Nachweise und Kontrollen

(1) Der Auftragsverarbeiter weist die Einhaltung der Pflichten aus diesem Vertrag auf Anfrage nach, insbesondere durch Anlage 2, durch aktuelle Prüfberichte seiner Unterauftragsverarbeiter (etwa Berichte nach SOC 2 Typ 2) und durch Auskunft in Textform.

(2) Genügen diese Nachweise im Einzelfall nicht, kann der Verantwortliche oder ein von ihm beauftragter, zur Verschwiegenheit verpflichteter Prüfer, der kein Wettbewerber des Auftragsverarbeiters ist, eine Kontrolle durchführen. Die Kontrolle wird mit einer Frist von mindestens 14 Tagen in Textform angekündigt, findet während der üblichen Geschäftszeiten statt und darf den Betrieb nicht unangemessen beeinträchtigen.

(3) Kontrollen finden höchstens einmal jährlich statt, es sei denn, es besteht ein konkreter Anlass — etwa eine Verletzung nach § 9 oder eine Anordnung einer Aufsichtsbehörde.

(4) Jede Partei trägt ihre eigenen Kosten. Für einen Aufwand, der über eine jährliche Kontrolle hinausgeht und nicht auf einem Umstand beruht, den der Auftragsverarbeiter zu vertreten hat, kann dieser eine angemessene Vergütung verlangen.

§ 11 Löschung und Rückgabe

(1) Nach Ende des Auftrags löscht der Auftragsverarbeiter die im Auftrag verarbeiteten personenbezogenen Daten oder gibt sie zurück, nach Wahl des Verantwortlichen.

(2) Der Verantwortliche kann innerhalb von 30 Tagen nach Vertragsende verlangen, dass ihm die Daten in einem gängigen Format zur Verfügung gestellt werden. Danach beginnt die Löschung.

(3) Die Löschung erfolgt innerhalb von 90 Tagen nach Ablauf der Frist aus Absatz 2. Davon ausgenommen sind Daten, für die eine gesetzliche Aufbewahrungspflicht besteht; diese werden gesperrt und nach Ablauf der Frist gelöscht.

(4) Sicherungskopien werden im Rahmen der üblichen Aufbewahrungszyklen überschrieben. Eine gezielte Löschung einzelner Datensätze aus Sicherungskopien erfolgt nicht.

(5) Der Auftragsverarbeiter bestätigt die Löschung auf Verlangen in Textform.

§ 12 Schlussbestimmungen

(1) Für die Haftung gelten die Regelungen des Hauptvertrags, soweit nicht Art. 82 DSGVO zwingend etwas anderes bestimmt.

(2) Änderungen und Ergänzungen dieses Vertrags bedürfen der Textform. Das gilt auch für die Aufhebung dieser Klausel.

(3) Ist eine Bestimmung dieses Vertrags unwirksam, bleibt der übrige Vertrag wirksam. An die Stelle der unwirksamen Bestimmung tritt die gesetzliche Regelung.

(4) Es gilt das Recht der Bundesrepublik Deutschland.

(5) Die Anlagen 1 bis 3 sind Bestandteil dieses Vertrags.

Anlage 1 — Gegenstand der Verarbeitung

Gegenstand: Bereitstellung und Betrieb der Plattform ewc.de, mit der der Verantwortliche digitale Verkaufsräume anlegt, Angebote erstellt, freigibt und versendet, deren Annahme entgegennimmt und die Nutzung dieser Inhalte auswertet.

Dauer: Laufzeit des Hauptvertrags.

Art der Verarbeitung: Erheben, Erfassen, Speichern, Ordnen, Auslesen, Verwenden, Übermitteln an die vom Verantwortlichen bestimmten Empfänger, Einschränken und Löschen.

Zweck: Erbringung der vertraglich vereinbarten Leistung. Eine Verarbeitung zu eigenen Zwecken des Auftragsverarbeiters findet nicht statt.

• Mitarbeiter des Verantwortlichen, die ewc.de nutzen: E-Mail-Adresse, Name, Funktion, Telefonnummer, Profilfoto, Anmeldedaten, IP-Adresse und Browserkennung je Anmeldesitzung
• Kontakte und Interessenten des Verantwortlichen: Name, Anrede, E-Mail-Adresse, Telefonnummer, Funktion, Abteilung, LinkedIn-Adresse, Notizen; Unternehmensangaben wie Name und Anschrift
• Empfänger von Sales Rooms und Seiten: Geräteart, Browserfamilie, Verweisseite, gelesene Abschnitte, Verweildauer, Scrolltiefe, Klicks; bei persönlichem Freigabelink zugeordnet zu einer benannten Person
• Empfänger von Angeboten: Empfängerblock des Angebots (Firma, Name, Anschrift, Umsatzsteuer-Identifikationsnummer); bei Annahme zusätzlich Name, E-Mail-Adresse, Funktion, Ort und Datum, Unterschriftsbild oder hochgeladene Datei, Zeitpunkt, Hashwert der IP-Adresse und Browserkennung
• Personen, die im Raum eine Frage stellen oder den Rechner nutzen: Name, E-Mail-Adresse, Unternehmen, Inhalt der Frage, Eingaben im Rechner

Besondere Kategorien nach Art. 9 DSGVO werden nicht verarbeitet. Der Verantwortliche stellt sicher, dass er solche Daten nicht in ewc.de einstellt.

Ort der Verarbeitung: siehe Anlage 3.

Anlage 2 — Technische und organisatorische Maßnahmen

Stand: 21.10.2026. Die hier beschriebenen Maßnahmen sind gebaut und geprüft; Zusagen über Geplantes enthält diese Anlage nicht.

Vertraulichkeit

• Zutritt: Die Verarbeitung findet in Rechenzentren der in Anlage 3 genannten Unterauftragsverarbeiter statt. Der Auftragsverarbeiter betreibt keine eigenen Server. Die Zutrittskontrolle der Rechenzentren ist durch Prüfberichte nach SOC 2 Typ 2 und ISO 27001 belegt.
• Zugang: Der Zugang zur Anwendung setzt ein Konto voraus. Konten entstehen ausschließlich auf Einladung; eine offene Registrierung ist technisch unterbunden und wird bei jedem Versuch abgelehnt. Passwörter werden ausschließlich als Hashwert gespeichert.
• Zugriff: Die Daten der Mandanten sind in der Datenbank getrennt, nicht durch Filter in der Anwendung. Die Trennung wird mit automatisierten Prüfungen überwacht, die als fremder Mandant zuzugreifen versuchen und fehlschlagen müssen. Rollen innerhalb eines Mandanten begrenzen den Zugriff zusätzlich.
• Trennung: Produktions- und Entwicklungsumgebung sind getrennt. Daten des Verantwortlichen werden nicht in Entwicklungsumgebungen verwendet.

Integrität

• Weitergabe: Alle Verbindungen zur Anwendung erfolgen verschlüsselt über HTTPS. Daten werden im Ruhezustand verschlüsselt gespeichert.
• Eingabe: Das Anlegen eines Mandanten, die Freigabe von Zugangsanfragen und die Zustimmung zu diesem Vertrag, die Annahme von Einladungen, Änderungen von Rolle und Status einer Mitgliedschaft, Statuswechsel eines Angebots durch Nutzer, neue Fassungen eines Angebots, seine Annahme und Unterschrift einschließlich der Prüfung hochgeladener Unterschriften, das Anlegen und Kopieren von Sales Rooms, das Anlegen von Freigabelinks, das Abrufen und Erneuern der Links zu Angeboten und Sales Rooms sowie die Löschung eines Kontakts werden in einem Revisionsprotokoll festgehalten, das durch einen Datenbank-Wächter gegen nachträgliche Änderung und Löschung geschützt ist. Änderungen an Inhalten — Kontakten, Deals, Seiten und Produkten — werden nicht protokolliert.
• Unveränderlichkeit von Dokumenten: Ein freigegebenes Angebot wird eingefroren und kann von keiner Seite mehr geändert werden. Zu jeder Annahme wird eine Prüfsumme des unterschriebenen Dokuments gespeichert.

Verfügbarkeit und Belastbarkeit

• Die Unterauftragsverarbeiter führen Sicherungen durch und betreiben redundante Infrastruktur.
• Eine Verfügbarkeit wird nicht zugesagt; siehe Hauptvertrag.
• Ein Anspruch des Verantwortlichen auf Wiederherstellung einzelner Daten aus Sicherungen besteht nicht.

Verfahren zur Prüfung und Bewertung

• Prüfung vor jeder Veröffentlichung: Der Stand der Anwendung wird vor jeder Veröffentlichung automatisiert geprüft. Prüfungen, die eine Schutzgrenze betreffen, müssen einmal nachweislich fehlschlagen, wenn die geprüfte Maßnahme abgeschaltet wird; andernfalls gelten sie nicht als wirksam.
• Datenschutz durch Voreinstellung: Für Besucher von Sales Rooms setzt die Anwendung keine Cookies und legt keine Daten im Browser ab. Ein eingebettetes Video wird erst geladen, wenn der Besucher es startet; ab dann kann der Anbieter des Videos eigene Cookies setzen. Die Besucherkennung wird aus der Kennung des Freigabelinks mit einem täglich wechselnden Zufallswert gebildet, nicht aus IP-Adresse oder Gerät. IP-Adressen von Besuchern werden in keiner Tabelle der Anwendung im Klartext gespeichert. Gespeichert werden nur Hashwerte, gebildet mit einem geheimen Schlüssel: zur Abwehr von Missbrauch für höchstens eine Stunde und zwanzig Minuten, bei der Annahme eines Angebots für die Dauer der Aufbewahrung des Annahmebelegs als Nachweis der Annahme. Die Anmeldung protokolliert die IP-Adresse angemeldeter Nutzer im Klartext; diese Protokolle führt der Unterauftragsverarbeiter nach Anlage 3. Die Protokolle des Hostings erfassen darüber hinaus jeden Aufruf mit IP-Adresse und Browserkennung; sie werden 30 Tage lang beim Unterauftragsverarbeiter nach Anlage 3 vorgehalten.
• Auftragskontrolle: Mit allen Unterauftragsverarbeitern bestehen Verträge nach Art. 28 DSGVO.

Verfahren für Datenschutzvorfälle: Ein dokumentiertes Verfahren besteht. Es benennt die Meldewege, die Fristen nach § 9 dieses Vertrags und nach Art. 33 DSGVO sowie die Dokumentation nach Art. 33 Abs. 5 DSGVO.

Anlage 3 — Genehmigte Unterauftragsverarbeiter

Stand: 19.10.2026.

• Supabase Pte. Ltd., 65 Chulia Street #38-02/03, OCBC Centre, Singapur 049513 — Leistung: Datenbank, Anmeldung, Dateiablage — Ort der Verarbeitung: Frankfurt am Main (Region eu-central-1); der Vertrag sagt den gewählten Speicherort zu — Grundlage für Drittlandtransfer: Standardvertragsklauseln (Beschluss (EU) 2021/914), Module 2 und 3
• Vercel Inc., 440 N Barranca Ave #4133, Covina, CA 91723, USA — Leistung: Hosting, Serverfunktionen, Bildaufbereitung — Ort der Verarbeitung: Serverfunktionen in Frankfurt am Main (fra1); eine Verarbeitung in anderen Regionen ist nicht ausgeschlossen — Grundlage für Drittlandtransfer: Standardvertragsklauseln (Beschluss (EU) 2021/914), Module 1, 2 und 3
• Plus Five Five, Inc. (Resend), 2261 Market Street #5039, San Francisco, CA 94114, USA — Leistung: Versand von E-Mails — Ort der Verarbeitung: Vereinigte Staaten; der Vertrag nennt die USA ausdrücklich als Hauptverarbeitungsort — Grundlage für Drittlandtransfer: Standardvertragsklauseln (Beschluss (EU) 2021/914)

Die jeweils aktuellen Listen der Unterauftragnehmer dieser Unternehmen sind öffentlich abrufbar und werden auf Anfrage genannt.

Terminvereinbarung: Für die Vereinbarung von Terminen mit Interessenten des Auftragsverarbeiters wird ein weiterer Dienst eingesetzt. Dieser verarbeitet keine Daten aus diesem Auftrag und ist deshalb kein Unterauftragsverarbeiter im Sinne dieses Vertrags.