Vertrag zur Auftragsverarbeitung

(1) Gegenstand ist die Verarbeitung personenbezogener Daten durch den Auftragsverarbeiter im Auftrag des Verantwortlichen im Rahmen der telefonischen Anrufannahme und der Erstellung von Anrufnotizen.

(2) Art und Zweck: Entgegennahme eingehender Telefonanrufe im Namen des Verantwortlichen, Erfassung des Anliegens anhand des vom Verantwortlichen definierten Formulars, Bereitstellung der Anrufnotizen sowie Erstellung von Anruf-Statistiken.

(3) Art der Daten und Kategorien betroffener Personen ergeben sich aus Anlage 1.

(4) Die Dauer der Verarbeitung entspricht der Laufzeit des Hauptvertrags. Der AVV endet automatisch mit dessen Beendigung.

(1) Der Auftragsverarbeiter verarbeitet die Daten ausschließlich im Rahmen der getroffenen Vereinbarungen und nach dokumentierten Weisungen des Verantwortlichen, es sei denn, er ist gesetzlich zur Verarbeitung verpflichtet.

(2) Weisungen werden zunächst durch den Hauptvertrag, die Konfiguration des Anrufformulars und die hinterlegten Hinweise festgelegt und können vom Verantwortlichen in Textform geändert werden.

(3) Hält der Auftragsverarbeiter eine Weisung für datenschutzrechtlich unzulässig, informiert er den Verantwortlichen unverzüglich.

Der Auftragsverarbeiter

• verarbeitet die Daten nur weisungsgebunden und zu den vereinbarten Zwecken;
• stellt sicher, dass die zur Verarbeitung befugten Personen zur Vertraulichkeit verpflichtet sind (Art. 28 Abs. 3 lit. b, Art. 29, 32 Abs. 4 DSGVO);
• trifft die erforderlichen technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO (siehe Anlage 2);
• unterstützt den Verantwortlichen im Rahmen des Möglichen bei der Beantwortung von Anträgen betroffener Personen sowie bei der Einhaltung der Pflichten aus Art. 32–36 DSGVO;
• meldet dem Verantwortlichen Verletzungen des Schutzes personenbezogener Daten unverzüglich (§ 6);
• löscht oder gibt die Daten nach Beendigung zurück (§ 8);
• stellt dem Verantwortlichen die zum Nachweis der Einhaltung erforderlichen Informationen zur Verfügung (§ 7).

(1) Der Verantwortliche erteilt dem Auftragsverarbeiter die allgemeine Genehmigung zur Beauftragung der in Anlage 3 genannten Unterauftragsverarbeiter.

(2) Der Auftragsverarbeiter informiert den Verantwortlichen über beabsichtigte Änderungen (Hinzuziehung oder Ersetzung) rechtzeitig in Textform. Der Verantwortliche kann einer Änderung binnen zwei Wochen aus wichtigem datenschutzrechtlichem Grund widersprechen; in diesem Fall sind beide Parteien zur Kündigung berechtigt, wenn keine einvernehmliche Lösung gefunden wird.

(3) Der Auftragsverarbeiter verpflichtet Unterauftragsverarbeiter auf ein gleichwertiges Datenschutzniveau (Art. 28 Abs. 4 DSGVO).

Der Auftragsverarbeiter setzt die in Anlage 2 beschriebenen technischen und organisatorischen Maßnahmen um und hält sie während der Vertragslaufzeit auf dem Stand der Technik. Maßnahmen dürfen fortentwickelt werden, solange das vereinbarte Schutzniveau nicht unterschritten wird.

Der Auftragsverarbeiter meldet dem Verantwortlichen jede Verletzung des Schutzes der im Auftrag verarbeiteten personenbezogenen Daten unverzüglich, in der Regel innerhalb von 48 Stunden nach Kenntnis, und stellt die zur Erfüllung der Melde- und Benachrichtigungspflichten (Art. 33, 34 DSGVO) erforderlichen Informationen bereit.

(1) Der Auftragsverarbeiter weist die Einhaltung seiner Pflichten auf Anfrage in geeigneter Weise nach (z. B. durch aktuelle Bescheinigungen, Zertifikate oder eine Beschreibung der Maßnahmen).

(2) Der Verantwortliche ist berechtigt, sich von der Einhaltung zu überzeugen. Kontrollen erfolgen nach angemessener Vorankündigung, während der üblichen Geschäftszeiten und ohne Störung des Betriebsablaufs; sie können auch durch beauftragte Prüfer erfolgen.

Nach Beendigung des Auftrags löscht der Auftragsverarbeiter die im Auftrag verarbeiteten Daten nach Wahl des Verantwortlichen oder gibt sie zurück, sofern nicht gesetzliche Aufbewahrungspflichten entgegenstehen. Der Verantwortliche kann seine Anrufnotizen bis zur Beendigung jederzeit selbst über den Kundenbereich exportieren.

Der Verantwortliche ist für die Zulässigkeit der Verarbeitung sowie für die Wahrung der Rechte der betroffenen Personen (Anrufer) verantwortlich. Er informiert die betroffenen Personen, soweit erforderlich, und erteilt rechtmäßige Weisungen.

(1) Für die Haftung gelten die gesetzlichen Regelungen, insbesondere Art. 82 DSGVO, sowie ergänzend die Haftungsregelungen des Hauptvertrags.

(2) Bei Widersprüchen zwischen diesem AVV und dem Hauptvertrag gehen in datenschutzrechtlichen Fragen die Regelungen dieses AVV vor.

(3) Es gilt das Recht der Bundesrepublik Deutschland. Änderungen bedürfen der Textform.

Stand: Juli 2026