Vereinbarung zur Auftragsverarbeitung

Fassung 2026-09-16-v2 · Alle Vertragsunterlagen

Fassung vom 15. September 2026

Anlagen: Technische und organisatorische Maßnahmen, Unterauftragnehmer und Anbieterwechsel, Datenabruf und Löschung.

1. Parteien, Gegenstand und Dauer

1.1 Diese Vereinbarung gilt zwischen dem Kunden als Auftraggeber und der bimetrics GmbH, Kornstraße 1, 77652 Offenburg, Deutschland, als Auftragnehmer für personenbezogene Daten, die bimetrics im Rahmen der vereinbarten Softwareleistung auf Weisung des Auftraggebers verarbeitet („Auftragsdaten“). Sie erfasst auch eine vereinbarte Testphase mit personenbezogenen Daten. Kontakt für Weisungen und Datenschutzanliegen: support@bimetrics.de.

1.2 Auftraggeber ist der Kunde, mit dem der Vertrag über die Nutzung von bimetrics geschlossen wird. Bei Handeln für ein Unternehmen ergibt sich dessen Zuordnung aus der Vertragserklärung und den Umständen des Vertragsschlusses; die Unternehmensangaben werden in der vorgesehenen Stammdatenerfassung ergänzt. Die handelnde Person muss zum Abschluss und zur Erteilung von Weisungen berechtigt sein. Ein Ansprechpartner oder Benutzer ist nicht allein aufgrund seiner Eintragung gesetzlicher Vertreter. Änderungen angezeigter Stammdaten verändern einen bereits dokumentierten Vertragsschluss nicht rückwirkend.

1.3 Der Auftraggeber bestimmt die Zwecke und wesentlichen Mittel der Verarbeitung. Handelt er selbst als Auftragsverarbeiter, setzt er bimetrics nur innerhalb seiner Befugnisse und der Weisungen des Verantwortlichen ein und gibt die maßgeblichen Weisungen dokumentiert weiter. Weitere Unternehmensprofile und Kanzleizugänge begründen für sich weder einen zusätzlichen Vertrag noch eine Vertretungsbefugnis für einen anderen Verantwortlichen. Die Berechtigung und Zuordnung sind für die jeweils betroffenen Unternehmen zu dokumentieren.

1.4 Die Vereinbarung gilt während der Verarbeitung einschließlich Übergang, Rückgabe, Sicherung und Löschung nach Ende der aktiven Softwarenutzung. Schutz-, Vertraulichkeits- und Nachweispflichten bestehen fort, solange bimetrics noch Auftragsdaten verarbeitet.

2. Umfang der Verarbeitung

2.1 Die Software ist keine gesondert vereinbarte Spezialumgebung für eine gezielte Verarbeitung besonderer Kategorien personenbezogener Daten nach Art. 9 oder von Daten nach Art. 10 DSGVO. Sollen solche Daten gezielt verarbeitet werden, sind vorab Rechtsgrundlage, Erforderlichkeit und zusätzliche Schutzmaßnahmen abzustimmen. Enthalten rechtmäßig eingebrachte Geschäftsunterlagen beiläufig solche Angaben, bleiben diese geschützt; ihre Entfernung oder weitere Verarbeitung wird bedarfsgerecht geklärt. Eine allgemeine Uploadmöglichkeit ersetzt diese Prüfung nicht.

2.2 KI-Verarbeitung bleibt an die beauftragte Funktion und die Weisungen gebunden. Der Auftraggeber räumt kein allgemeines Recht ein, Auftragsinhalte für Werbung, unabhängige Kundenbewertung oder das Training allgemein verwendbarer KI-Modelle zu verwenden. Eigene Verarbeitungen von bimetrics, insbesondere Vertragsverwaltung, Abrechnung und gesonderte Produktanalyse, benötigen eine eigene Rechtsgrundlage und werden in den Datenschutzhinweisen beschrieben. Dieser AVV schafft diese Rechtsgrundlage nicht.

3. Weisungen und Mitwirkung

3.1 bimetrics verarbeitet Auftragsdaten ausschließlich auf dokumentierte Weisung, auch bei Übermittlungen in Drittländer. Die Vertragsunterlagen, die vereinbarte Konfiguration und bestimmungsgemäße Bedienhandlungen berechtigter Nutzer bilden die anfänglichen Weisungen. Weitere Weisungen können jederzeit in Textform, insbesondere an support@bimetrics.de, erteilt werden. Dringende mündliche Weisungen werden unverzüglich dokumentiert.

3.2 Der Auftraggeber verantwortet die Rechtmäßigkeit der bereitgestellten Daten und Weisungen, erforderliche Informationen gegenüber Betroffenen sowie die Vergabe seiner Nutzerberechtigungen. Er benennt einen erreichbaren Weisungs- und Sicherheitskontakt. Ohne gesonderte Benennung dient hierzu die Kontaktadresse des berechtigten Vertragskontoinhabers. Änderungen werden zeitnah mitgeteilt. Bei Zweifeln an einer Weisungsbefugnis klärt bimetrics diese vor einem Zugriff oder einer Herausgabe, ohne berechtigte Anliegen unangemessen zu verzögern.

3.3 Verpflichtet Unionsrecht oder das Recht eines Mitgliedstaats bimetrics zu einer abweichenden Verarbeitung, informiert bimetrics den Auftraggeber vorab, soweit die maßgebliche Vorschrift dies nicht aus wichtigen Gründen des öffentlichen Interesses untersagt. Eine behördliche Anfrage aus einem Drittland wird nicht allein deshalb als Kundenweisung behandelt.

3.4 Hält bimetrics eine Weisung für datenschutzwidrig, informiert es den Auftraggeber unverzüglich und darf die betroffene Verarbeitung bis zur Klärung aussetzen. Die übrige rechtmäßige Leistung wird soweit möglich fortgesetzt. Zusätzliche Leistungen außerhalb des vereinbarten Umfangs können nach vorheriger transparenter Vereinbarung vergütet werden; zwingende und zeitkritische Datenschutzpflichten werden dadurch weder eingeschränkt noch verzögert.

4. Vertraulichkeit und Sicherheit

4.1 bimetrics setzt nur Personen ein, die zur Vertraulichkeit verpflichtet sind oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen und die für ihre Aufgabe erforderlichen Datenschutz- und Sicherheitsanweisungen erhalten. Zugriffe werden nach Aufgabe, Umfang und Erforderlichkeit begrenzt. Dies gilt auch für Support und Wartung.

4.2 bimetrics trifft die nach Art. 32 DSGVO erforderlichen technischen und organisatorischen Maßnahmen. Die konkret bei Vertragsschluss bereitgestellte TOM-Anlage beschreibt die vereinbarten Maßnahmen. Dabei sind Risiko, Art, Umfang und Zwecke der Verarbeitung sowie Stand der Technik und Implementierungskosten zu berücksichtigen.

4.3 Maßnahmen dürfen weiterentwickelt werden, wenn das erforderliche Schutzniveau erhalten bleibt. Wesentliche Änderungen werden dokumentiert und dem Auftraggeber mitgeteilt. Die Pflicht zu notwendigen Verbesserungen wird durch einen älteren Anlagenstand nicht begrenzt.

5. Betroffenenrechte und Unterstützung

5.1 bimetrics unterstützt den Auftraggeber unter Berücksichtigung der Verarbeitungsart durch geeignete Maßnahmen bei der Erfüllung von Anträgen nach Kapitel III DSGVO. Direkt eingehende Anträge zu Auftragsdaten werden unverzüglich an den Auftraggeber weitergeleitet und nur auf dessen Weisung beantwortet, soweit keine eigene gesetzliche Pflicht besteht.

5.2 Unter Berücksichtigung der verfügbaren Informationen unterstützt bimetrics die Pflichten nach Art. 32 bis 36 DSGVO, insbesondere Sicherheitsbewertung, Meldung von Datenschutzverletzungen, Datenschutz-Folgenabschätzung und vorherige Konsultation. Erforderliche Informationen über eigene Verarbeitungsschritte werden zur Verfügung gestellt. bimetrics arbeitet mit zuständigen Aufsichtsbehörden zusammen und informiert den Auftraggeber über Anfragen zu dessen Auftragsdaten, soweit rechtlich zulässig.

6. Datenschutzverletzungen

6.1 Wird bimetrics eine Verletzung des Schutzes von Auftragsdaten bekannt, informiert es den Auftraggeber unverzüglich über dessen Sicherheitskontakt. Die Erstmeldung wird weder bis zum Abschluss der Untersuchung noch bis zum Ablauf einer allgemeinen 72-Stunden-Frist zurückgehalten.

6.2 Die Information enthält, soweit verfügbar, Art und Zeitpunkt des Vorfalls, betroffene Daten- und Personenkategorien sowie ungefähren Umfang, wahrscheinliche Folgen, ergriffene oder vorgeschlagene Maßnahmen und eine erreichbare Ansprechstelle. Fehlende Informationen werden ohne unangemessene Verzögerung nachgereicht. bimetrics untersucht den Vorfall, begrenzt seine Auswirkungen, sichert erforderliche Nachweise und unterstützt den Auftraggeber bei seinen Benachrichtigungspflichten.

7. Weitere Auftragsverarbeiter

7.1 Der Auftraggeber genehmigt allgemein die Hinzuziehung weiterer Auftragsverarbeiter nach diesem Verfahren. Bei Abschluss sind die in der konkret bereitgestellten Unterauftragnehmeranlage bezeichneten Anbieter für die dort beschriebenen Aufgaben umfasst. Dienstleister für eigene Zwecke von bimetrics und selbstständig verantwortliche Dritte werden dadurch nicht pauschal zu Unterauftragnehmern des Auftraggebers.

7.2 Über die beabsichtigte Hinzuziehung oder Ersetzung eines unmittelbar von bimetrics eingesetzten Unterauftragnehmers informiert bimetrics mindestens 30 Kalendertage vor dessen Einsatz in Textform. Die Mitteilung bezeichnet Anbieter, Aufgabe, betroffene Daten, Verarbeitungsorte und maßgebliche Schutzvorkehrungen. Änderungen nachgelagerter Unterauftragnehmer werden nach Eingang der Mitteilung unverzüglich vor dem vorgesehenen Einsatz weitergegeben. Auch dafür muss ein ausreichender tatsächlicher Zeitraum zur Prüfung und Ausübung des Widerspruchsrechts verbleiben. Ist dies im konkreten Fall nicht möglich, holt bimetrics vor dem Einsatz eine gesonderte Genehmigung ein oder unterbindet die betroffene Verarbeitung bis zur Klärung. Eine bloße Aktualisierung einer Webseite ersetzt die Mitteilung nicht.

7.3 Der Auftraggeber kann vor dem angekündigten Einsatz aus nachvollziehbaren datenschutzbezogenen Gründen widersprechen. bimetrics prüft den Widerspruch und bietet nach Möglichkeit geeignete zusätzliche Schutzmaßnahmen oder eine zumutbare Alternative an. Bis zur Klärung werden die betroffenen Daten dem beanstandeten neuen Anbieter nicht übermittelt.

7.4 Ist eine rechtmäßige, zumutbare Alternative nicht erreichbar, kann der Auftraggeber die betroffene Leistung vor dem Einsatz außerordentlich beenden; ist ihm die Restleistung nicht zumutbar, den Gesamtvertrag. Vorausbezahlte Entgelte für entfallende Leistungszeiträume werden anteilig erstattet. Gesetzliche Rechte und etwaige Schadensersatzansprüche werden nicht auf dieses Kündigungsrecht beschränkt.

7.5 bimetrics verpflichtet weitere Auftragsverarbeiter vertraglich zu den für ihre Tätigkeit gleichen Datenschutzpflichten, prüft hinreichende Garantien und bleibt dem Auftraggeber für deren Pflichterfüllung verantwortlich. Die Verpflichtung erstreckt sich auf die Kontrolle zulässiger Weiterbeauftragungen. Eine Sicherheitsdringlichkeit begründet keine allgemeine Genehmigung unbekannter Empfänger.

8. Verarbeitungsorte und Übermittlungen

8.1 Die vereinbarten Verarbeitungsorte und relevanten Übermittlungsketten ergeben sich aus der Unterauftragnehmeranlage. Insbesondere umfasst die dort beschriebene Azure-Global-Verarbeitung internationale Inferenz. Ein europäischer Speicherstandort begrenzt nicht automatisch sämtliche Verarbeitung und Fernzugriffe auf EU/EWR.

8.2 Verarbeitungen außerhalb EU/EWR erfolgen nur innerhalb dokumentierter Weisungen und unter Einhaltung von Kapitel V DSGVO. bimetrics dokumentiert den maßgeblichen Angemessenheitsbeschluss oder geeignete Garantien, erforderliche Transferbewertungen und ergänzende Maßnahmen. Auf Anfrage stellt es die erforderlichen Nachweise zur Verfügung; Geschäftsgeheimnisse und fremde Daten dürfen geschützt werden.

8.3 Entfallen die Voraussetzungen für eine erforderliche Übermittlung, informiert bimetrics den Auftraggeber unverzüglich und setzt die betroffene Übermittlung aus, sofern kein rechtmäßiger Ersatzmechanismus besteht. Zwingende Bestimmungen anwendbarer Standardvertragsklauseln bleiben unberührt.

9. Nachweise und Überprüfungen

9.1 bimetrics stellt alle zum Nachweis der Einhaltung dieser Vereinbarung und des Art. 28 DSGVO erforderlichen Informationen bereit und ermöglicht Überprüfungen einschließlich Inspektionen durch den Auftraggeber oder einen von ihm beauftragten geeigneten Prüfer. Vorhandene aktuelle Nachweise können den Aufwand verringern, schließen erforderliche weitere Prüfungen aber nicht aus.

9.2 Regelprüfungen werden mit angemessenem Vorlauf und unter Schutz fremder Kundendaten und von Geschäftsgeheimnissen abgestimmt. Bei begründetem Verdacht, einem Datenschutzvorfall oder behördlicher Anforderung sind zusätzliche oder kurzfristige Prüfungen möglich. Eine ausschließende Jahresobergrenze gilt nicht. Vertraulichkeitsvereinbarungen verhindern keine erforderliche Mitteilung an Behörden oder Rechtsberatung.

9.3 Übliche Nachweise werden ohne besonderes Entgelt bereitgestellt. Weitergehender Zusatzaufwand kann nach vorheriger transparenter Vereinbarung angemessen vergütet werden. Kosten eigener Pflichtverletzungen werden nicht auf den Auftraggeber verlagert; zwingende Kontrollrechte dürfen nicht praktisch vereitelt werden.

10. Rückgabe, Löschung und Ende

10.1 Nach Abschluss der Leistungen gibt bimetrics nach Wahl des Auftraggebers die Auftragsdaten zurück oder löscht sie. Auch bestehende Kopien werden gelöscht, soweit nicht Unionsrecht oder das Recht eines Mitgliedstaats deren Speicherung vorschreibt. Der Auftraggeber kann rechtmäßige Rückgabe-, Berichtigungs-, Einschränkungs- und Löschweisungen auch während der Laufzeit erteilen. Die Anlage „Anbieterwechsel, Datenabruf und Löschung“ konkretisiert den Standardablauf. Zwingende Datenschutzpflichten und rechtmäßige konkrete Weisungen haben Vorrang.

10.2 Ein Übergangs- oder Abrufzeitraum rechtfertigt nur die dafür erforderliche Speicherung und Verarbeitung. Eine Kontosperre hebt gesetzliche Datenzugangsrechte nicht auf. Nach Ende des maßgeblichen Zeitraums erfolgt die dokumentierte Löschung; vorherige Löschung setzt eine entsprechende wirksame Weisung oder einen anderen zulässigen Grund voraus.

10.3 Sicherungskopien und Kopien bei Unterauftragnehmern sind in die Löschung einzubeziehen. Technisch vorübergehend nicht selektiv entfernbare Daten sind gegen produktive Nutzung zu sperren und im Rahmen der rechtmäßigen Löschabwicklung zu entfernen. Wiederherstellungen müssen bestehende Lösch- und Sperrweisungen vor erneuter produktiver Nutzung berücksichtigen. Eine reguläre Sicherungsrotation verlängert keine zwingende Löschfrist, insbesondere keine Pflicht aus dem Data Act.

10.4 Nach Unionsrecht oder dem Recht eines Mitgliedstaats aufzubewahrende Auftragsdaten werden nach Rechtsgrund, Umfang und Dauer abgegrenzt und nur für diesen Zweck verarbeitet. bimetrics koordiniert die erforderliche Rückgabe oder Löschung bei seinen Unterauftragnehmern und bestätigt dem Auftraggeber auf Anfrage den Abschluss sowie noch bestehende gesetzliche oder begründete technische Restbestände mit ihrem vorgesehenen Ende.

11. Rangfolge und Nachweis

11.1 Individualvereinbarungen und zwingendes Recht bleiben vorrangig. Für die Auftragsverarbeitung geht dieser AVV widersprechenden allgemeinen Vertragsbedingungen vor. Anwendbare Standardvertragsklauseln werden nicht eingeschränkt. Rechte betroffener Personen, insbesondere nach Art. 82 DSGVO, und Befugnisse der Aufsicht bleiben unberührt.

11.2 Der Abschluss kann schriftlich oder elektronisch erfolgen. Die Parteien dokumentieren die zugehörige Vertragspartei, handelnde Person, Erklärung, Zeitpunkt und konkreten Fassungen einschließlich Anlagen. Eine bloße Kenntnisnahme der Datenschutzhinweise ersetzt den Abschluss nicht. Später angezeigte aktuelle Unternehmensdaten sind von dem historischen Abschlussnachweis zu unterscheiden.