Auftragsverarbeitungsvertrag

Vertrag über die Verarbeitung personenbezogener Daten im Auftrag nach Art. 28 Abs. 3 Datenschutz-Grundverordnung (DSGVO)

zwischen dem Kunden von Formkurier (nachfolgend „Auftraggeber“)

und

IT-Services GbR - Rauchel & Nemitz (Gesellschaft bürgerlichen Rechts), vertreten durch Felix Rauchel und Lars Nemitz, Löh 70, 42929 Wermelskirchen (nachfolgend „Auftragnehmer“).

§ 1 Gegenstand und Dauer

1. Gegenstand dieses Vertrags ist die Verarbeitung personenbezogener Daten durch den Auftragnehmer im Auftrag des Auftraggebers bei der Bereitstellung des Onlinedienstes Formkurier nach dem Nutzungsvertrag und den Allgemeinen Geschäftsbedingungen („Hauptvertrag“).
2. Dieser Vertrag wird mit Abschluss des Hauptvertrags, einschließlich eines kostenlosen Testzeitraums, wirksam. Seine Laufzeit richtet sich nach der Laufzeit des Hauptvertrags. Er endet nicht vor Abschluss der Löschung oder Rückgabe der Daten nach § 10.
3. Betreibt der Auftraggeber Formkurier für eigene Kunden („Endkunden“) und ist er selbst Auftragsverarbeiter dieser Endkunden, ist der Auftragnehmer insoweit weiterer Auftragsverarbeiter (Unterauftragsverarbeiter) des Auftraggebers. Der Auftraggeber stellt sicher, dass seine Vereinbarungen mit den Endkunden diese Unterbeauftragung erlauben. Weisungen der Endkunden leitet der Auftraggeber an den Auftragnehmer weiter.

§ 2 Art, Zweck und Umfang der Verarbeitung

1. Art der Verarbeitung: Erheben, Speichern, Organisieren, Ordnen, Auslesen, Abfragen, Anzeigen, Übermitteln per E-Mail und Push-Benachrichtigung, Exportieren, Einschränken und Löschen von Daten.
2. Zweck der Verarbeitung: Annahme von Formularanfragen, die über Websites des Auftraggebers oder seiner Endkunden eingehen; Speicherung der Anfragen und hochgeladenen Dateien; Benachrichtigung der vom Auftraggeber festgelegten Empfänger und, sofern eingerichtet, Bestätigung an die anfragende Person; Protokollierung der Zustellung; Bereitstellung der Anfragen im Kundenportal mit Status, Labels und Notizen; Spamschutz; Support nach ausdrücklicher Freigabe.
3. Arten personenbezogener Daten:
   • Inhalte von Formularanfragen der Endkunden des Auftraggebers, einschließlich aller Angaben, die anfragende Personen in Formularfelder eingeben (zum Beispiel Name, Anschrift, Telefonnummer, E-Mail-Adresse, Nachrichtentext und weitere vom Auftraggeber festgelegte Felder);
   • von anfragenden Personen hochgeladene Dateien (Dokumente, Bilder, Videos) und deren Metadaten;
   • Kontaktdaten von Empfängern, Ansprechpartnern und Benutzern des Kundenportals (Name, E-Mail-Adresse);
   • Versandprotokolle und archivierte Inhalte versendeter E-Mails (Empfänger, Betreff, Inhalt, Anhangliste, Zeitpunkte, Zustellstatus und Fehlercodes);
   • Notizen, Status und Labels zu Anfragen;
   • Änderungsprotokolle mit E-Mail-Adresse der handelnden Person;
   • technische Daten bei Formularübermittlung (Herkunft der Anfrage, Zeitpunkt). IP-Adressen werden nicht gespeichert; sie werden nur flüchtig zur Begrenzung der Anfragen je Absender und, sofern aktiviert, durch den Spamschutz verarbeitet.
4. Besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO verarbeitet der Auftragnehmer nur, soweit der Auftraggeber Formulare so gestaltet, dass anfragende Personen solche Daten eingeben. Der Auftraggeber prüft in diesem Fall die Zulässigkeit und die Angemessenheit der Maßnahmen nach Anlage 1.
5. Kategorien betroffener Personen: Personen, die Formulare auf Websites des Auftraggebers oder seiner Endkunden ausfüllen (Interessenten, Kunden, Bewerber und sonstige Anfragende); Beschäftigte und Beauftragte des Auftraggebers und seiner Endkunden, insbesondere Empfänger von Benachrichtigungen und Benutzer des Kundenportals.
6. Die Verarbeitung findet grundsätzlich in Mitgliedstaaten der Europäischen Union statt. Anfragen und Dateien werden in Datenspeichern mit EU-Jurisdiktion abgelegt (Cloudflare D1 und Cloudflare R2). Eine Verarbeitung in Drittländern erfolgt nur unter den Voraussetzungen der Art. 44 ff. DSGVO und nach Maßgabe der Anlage 2.

§ 3 Weisungsbefugnis

1. Der Auftragnehmer verarbeitet die Daten ausschließlich auf dokumentierte Weisung des Auftraggebers, auch in Bezug auf die Übermittlung in ein Drittland, sofern er nicht durch das Recht der Union oder eines Mitgliedstaats, dem er unterliegt, hierzu verpflichtet ist. In einem solchen Fall teilt er dem Auftraggeber diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht eine solche Mitteilung nicht wegen eines wichtigen öffentlichen Interesses verbietet (Art. 28 Abs. 3 lit. a DSGVO).
2. Die Weisungen werden durch den Hauptvertrag, diesen Vertrag und durch die Einstellungen festgelegt, die der Auftraggeber in Formkurier vornimmt (zum Beispiel Formularfelder, Empfänger, Versandwege, Aufbewahrungsfristen, Uploadrichtlinien). Weitere Weisungen erteilt der Auftraggeber in Textform.
3. Der Auftragnehmer informiert den Auftraggeber unverzüglich, wenn er der Auffassung ist, dass eine Weisung gegen datenschutzrechtliche Vorschriften verstößt. Er darf die Ausführung der Weisung aussetzen, bis der Auftraggeber sie bestätigt oder ändert.

§ 4 Vertraulichkeit

Der Auftragnehmer gewährleistet, dass sich die zur Verarbeitung befugten Personen zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen (Art. 28 Abs. 3 lit. b DSGVO). Die Pflicht besteht auch nach Beendigung ihrer Tätigkeit fort.

§ 5 Technische und organisatorische Maßnahmen

1. Der Auftragnehmer trifft alle nach Art. 32 DSGVO erforderlichen Maßnahmen (Art. 28 Abs. 3 lit. c DSGVO). Die zum Vertragsschluss umgesetzten Maßnahmen sind in Anlage 1 beschrieben.
2. Die Maßnahmen unterliegen dem technischen Fortschritt. Der Auftragnehmer darf sie durch gleichwertige oder bessere Maßnahmen ersetzen. Das Schutzniveau darf dabei nicht unterschritten werden. Wesentliche Änderungen dokumentiert der Auftragnehmer.

§ 6 Unterauftragsverarbeiter

1. Der Auftraggeber erteilt dem Auftragnehmer die allgemeine Genehmigung, weitere Auftragsverarbeiter (Unterauftragsverarbeiter) hinzuzuziehen (Art. 28 Abs. 2 DSGVO). Die bei Vertragsschluss eingesetzten Unterauftragsverarbeiter sind in Anlage 2 aufgeführt und gelten als genehmigt.
2. Der Auftragnehmer informiert den Auftraggeber mindestens 30 Tage vor jeder beabsichtigten Hinzuziehung oder Ersetzung eines Unterauftragsverarbeiters in Textform. Der Auftraggeber kann der Änderung innerhalb dieser Frist aus wichtigem datenschutzrechtlichem Grund in Textform widersprechen. Können sich die Parteien nicht einigen, kann der Auftraggeber den Hauptvertrag zum Zeitpunkt des Wirksamwerdens der Änderung kündigen.
3. Der Auftragnehmer erlegt jedem Unterauftragsverarbeiter vertraglich dieselben Datenschutzpflichten auf, die in diesem Vertrag festgelegt sind, insbesondere hinreichende Garantien für geeignete technische und organisatorische Maßnahmen (Art. 28 Abs. 4 DSGVO). Kommt ein Unterauftragsverarbeiter seinen Pflichten nicht nach, haftet der Auftragnehmer gegenüber dem Auftraggeber für dessen Einhaltung.
4. Nicht als Unterauftragsverarbeitung gelten Leistungen, die der Auftragnehmer als Nebenleistung bei Dritten in Anspruch nimmt, etwa Telekommunikationsleistungen, sowie Empfänger, die der Auftraggeber selbst festlegt, insbesondere der vom Auftraggeber hinterlegte SMTP-Anbieter und die Mailserver der Empfänger.

§ 7 Unterstützung des Auftraggebers

1. Der Auftragnehmer unterstützt den Auftraggeber angesichts der Art der Verarbeitung nach Möglichkeit mit geeigneten technischen und organisatorischen Maßnahmen bei der Erfüllung der Rechte der betroffenen Personen nach Kapitel III DSGVO (Art. 28 Abs. 3 lit. e DSGVO). Formkurier stellt dafür insbesondere Suche, Export, Bearbeitung von Status und Notizen sowie das Löschen von Anfragen und Dateien bereit. Wendet sich eine betroffene Person direkt an den Auftragnehmer, verweist er sie an den Auftraggeber und leitet das Ersuchen unverzüglich weiter.
2. Der Auftragnehmer unterstützt den Auftraggeber unter Berücksichtigung der Art der Verarbeitung und der ihm zur Verfügung stehenden Informationen bei der Einhaltung der Pflichten nach Art. 32 bis 36 DSGVO (Art. 28 Abs. 3 lit. f DSGVO), insbesondere bei der Meldung von Verletzungen des Schutzes personenbezogener Daten und bei Datenschutz-Folgenabschätzungen.
3. Der Auftragnehmer meldet dem Auftraggeber eine Verletzung des Schutzes personenbezogener Daten unverzüglich, nachdem sie ihm bekannt geworden ist, möglichst innerhalb von 24 Stunden. Die Meldung enthält, soweit bekannt, die Angaben nach Art. 33 Abs. 3 DSGVO.
4. Für Unterstützungsleistungen, die über die in Formkurier bereitgestellten Funktionen hinausgehen und nicht auf einem Verstoß des Auftragnehmers beruhen, kann der Auftragnehmer eine angemessene Vergütung nach Aufwand verlangen.

§ 8 Pflichten des Auftraggebers

1. Der Auftraggeber ist für die Rechtmäßigkeit der Verarbeitung, insbesondere für die Zulässigkeit der Datenerhebung über seine Formulare und für die Information der betroffenen Personen, allein verantwortlich.
2. Der Auftraggeber informiert den Auftragnehmer unverzüglich, wenn er Fehler oder Unregelmäßigkeiten bei der Verarbeitung feststellt.

§ 9 Nachweise und Kontrollen

1. Der Auftragnehmer stellt dem Auftraggeber alle erforderlichen Informationen zum Nachweis der Einhaltung der Pflichten aus Art. 28 DSGVO zur Verfügung (Art. 28 Abs. 3 lit. h DSGVO). Er informiert den Auftraggeber unverzüglich, falls er der Auffassung ist, dass eine Weisung gegen Datenschutzvorschriften verstößt.
2. Der Auftraggeber oder ein von ihm beauftragter, zur Verschwiegenheit verpflichteter Prüfer, der kein Wettbewerber des Auftragnehmers ist, darf Überprüfungen einschließlich Inspektionen durchführen. Der Nachweis kann vorrangig durch aktuelle Dokumentation, Selbstauskünfte und Nachweise der Unterauftragsverarbeiter (zum Beispiel Zertifikate oder Prüfberichte) erbracht werden. Inspektionen vor Ort sind mit einer Frist von mindestens 14 Tagen anzukündigen, während der üblichen Geschäftszeiten durchzuführen und dürfen den Betrieb nicht unverhältnismäßig stören.
3. Für den Aufwand von Inspektionen, die über einmal je Kalenderjahr hinausgehen und nicht durch einen begründeten Verdacht auf einen Verstoß veranlasst sind, kann der Auftragnehmer eine angemessene Vergütung verlangen.

§ 10 Löschung und Rückgabe nach Vertragsende

1. Nach Beendigung des Hauptvertrags löscht der Auftragnehmer alle im Auftrag verarbeiteten personenbezogenen Daten, einschließlich Kopien und gespeicherter Dateien, sofern nicht nach dem Unionsrecht oder dem Recht der Mitgliedstaaten eine Verpflichtung zur Speicherung besteht (Art. 28 Abs. 3 lit. g DSGVO).
2. Der Auftraggeber kann die Daten bis zur Löschung über die Exportfunktionen von Formkurier selbst herunterladen. Die Löschung erfolgt 30 Tage nach Vertragsende. Auf Verlangen bestätigt der Auftragnehmer die Löschung in Textform.
3. Während der Vertragslaufzeit löscht Formkurier Anfragen einschließlich ihrer Versandprotokolle und Zustellereignisse automatisch nach Ablauf der Aufbewahrungsfrist, die der Auftraggeber je Formular festlegt.

§ 11 Haftung

Für die Haftung gilt Art. 82 DSGVO. Im Übrigen gelten die Haftungsregelungen des Hauptvertrags, soweit Art. 82 DSGVO nicht entgegensteht.

§ 12 Schlussbestimmungen

1. Bei Widersprüchen zwischen diesem Vertrag und dem Hauptvertrag gehen die Regelungen dieses Vertrags vor, soweit es um den Schutz personenbezogener Daten geht.
2. Änderungen dieses Vertrags bedürfen der Textform. Dieser Vertrag kann auch elektronisch geschlossen werden (Art. 28 Abs. 9 DSGVO).
3. Es gilt das Recht der Bundesrepublik Deutschland. Gerichtsstand ist der im Hauptvertrag vereinbarte Gerichtsstand.
4. Sollte eine Bestimmung dieses Vertrags unwirksam sein, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt.

---

Anlage 1: Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

1. Vertraulichkeit

Zutrittskontrolle. Formkurier betreibt keine eigenen Server oder Rechenzentren. Die Verarbeitung erfolgt in Rechenzentren von Cloudflare; deren physische Sicherung (Zutrittskontrollen, Überwachung, Besucherregelungen) ist durch Cloudflare nach dessen Sicherheitsnachweisen gewährleistet (siehe Anlage 2).

Zugangskontrolle.

• Die Verwaltungsoberfläche und die Programmierschnittstellen sind nur nach Anmeldung erreichbar. Jede Anfrage an die Verwaltungs- und Kundenschnittstellen prüft ein signiertes Anmeldetoken (Aussteller, Zielgruppe, Signatur); ohne gültiges Token wird der Zugriff abgewiesen.
• Die Schnittstelle für KI-Assistenten (MCP) ist eine eigene, gesondert geschützte Anwendung mit eigener Anmeldung; Löschfunktionen sind darüber nicht verfügbar.
• Administrative Zugänge zur Cloudflare-Infrastruktur sind auf die Inhaber beschränkt und durch Mehr-Faktor-Authentisierung geschützt.
• Geheimnisse (API-Schlüssel, private Schlüssel) werden ausschließlich als verschlüsselte Secrets der Laufzeitumgebung gespeichert, nie im Quellcode.

Zugriffskontrolle.

• Mandantentrennung: Jeder Zugang ist genau einem Mandanten beziehungsweise einem Endkunden zugeordnet. Benutzer des Kundenportals sehen ausschließlich Anfragen und Dateien ihres eigenen Kunden; interne Notizen und Versandtechnik sind für sie nicht zugänglich.
• Ein entzogener Zugang sperrt weitere Zugriffe sofort, auch bei einer noch laufenden Sitzung.
• Hochgeladene Dateien liegen in einem privaten Speicher (Cloudflare R2) ohne öffentliche Links. Abrufe erfolgen nur über die authentifizierte Anwendung; Zugriff, Formular, Kunde und Datei werden bei jedem Schritt erneut geprüft. Upload-Berechtigungen sind kurzlebig und werden nur als Hashwert gespeichert.
• Zugriffe des Auftragnehmers auf Daten eines Mandanten für Supportzwecke erfolgen nur nach ausdrücklicher, zeitlich begrenzter Freigabe durch den Auftraggeber in der Anwendung.

Trennungskontrolle.

• Logische Trennung der Daten je Mandant und je Endkunde in der Datenbank; alle Abfragen sind auf den angemeldeten Mandanten beschränkt.
• Testdaten des Testbereichs werden getrennt von produktiven Anfragen gespeichert, lösen keine echten Mails oder Benachrichtigungen aus und verfallen nach 24 Stunden.

Verschlüsselung und Pseudonymisierung.

• Übertragung ausschließlich verschlüsselt über HTTPS (TLS).
• Zugangsdaten für SMTP-Postfächer des Auftraggebers werden mit einem öffentlichen Schlüssel asymmetrisch verschlüsselt (RSA-OAEP, SHA-256). Entschlüsseln kann ausschließlich der Versanddienst, der den privaten Schlüssel als Secret hält; die Verwaltungsoberfläche zeigt das Passwort nie wieder an.
• Geheimnisse der Spamschutz-Widgets (Cloudflare Turnstile) werden mit AES-GCM verschlüsselt in der Datenbank gespeichert.
• Push-Abonnements werden verschlüsselt gespeichert; Push-Nachrichten werden Ende-zu-Ende verschlüsselt (RFC 8291) und mit VAPID signiert (RFC 8292). Der Sperrbildschirm zeigt nur einen allgemeinen Hinweistext.
• IP-Adressen anfragender Personen werden nicht gespeichert.
• Cloudflare verschlüsselt gespeicherte Daten in D1 und R2 im Ruhezustand.

2. Integrität

Weitergabekontrolle.

• Formularannahme nur von freigegebenen Herkünften (Origin-Liste), begrenzte Anfragegröße, keine offenen Weiterleitungen, keine Rückgabe von Eingaben.
• Dateiuploads werden auf Endung, MIME-Typ, tatsächliche Größe und Formatsignatur geprüft; ausführbare Dateien, HTML und SVG sind ausgeschlossen.
• Feldwerte werden in E-Mail-Vorlagen stets maskiert; Betreff und Antwortadresse enthalten keine Zeilenumbrüche. Mailvorschauen werden in einer abgeschotteten Umgebung ohne Skriptausführung angezeigt.
• Schreibende Schnittstellenaufrufe werden nur mit passendem Herkunfts-Header und Inhaltstyp akzeptiert (Schutz gegen Cross-Site Request Forgery); die Oberfläche nutzt eine strikte Content-Security-Policy.

Eingabekontrolle.

• Änderungsprotokoll: Jede Änderung über Verwaltungsoberfläche und Schnittstellen wird mit Zeitpunkt, Aktion, betroffenem Objekt und E-Mail-Adresse der handelnden Person protokolliert. Änderungen an Labels und Zuordnungen werden atomar protokolliert.
• Übermittelte Antworten und die zum Zeitpunkt der Anfrage gültige Formularfassung bleiben unveränderbar; gleichzeitige Änderungen werden über Revisionen erkannt.
• Versandprotokoll: Jeder Versandversuch wird mit Status, Fehlercode und, für neue Versandversuche, dem unveränderten Inhalt der übergebenen Mail protokolliert.
• Anwendungslogs enthalten keine Formularinhalte.

3. Verfügbarkeit und Belastbarkeit

• Betrieb auf der verteilten Infrastruktur von Cloudflare mit Schutz gegen Überlastungsangriffe.
• Spamschutz durch Honeypot-Feld, Begrenzung der Anfragen je Formular und Absender sowie optional Cloudflare Turnstile.
• Versandaufträge laufen über Warteschlangen; nicht abgeschlossene Aufträge werden automatisch erneut eingestellt, fehlgeschlagene Mails über einen Ausweichversandweg zugestellt. Anfrage, Anhänge, Mailaufträge und Push-Ereignis werden gemeinsam gespeichert, sodass keine Anfrage ohne Benachrichtigungsauftrag entsteht.
• Die Datenbank verfügt über eine Wiederherstellung auf frühere Zeitpunkte (Cloudflare D1 Time Travel); vor Schemaänderungen wird der Stand gesichert.
• Mengenbegrenzungen für Dateien und Speicher je Kunde verhindern, dass einzelne Mandanten die Verfügbarkeit für andere beeinträchtigen.

4. Verfahren zur regelmäßigen Überprüfung, Bewertung und Evaluierung

• Automatisierte Tests der Sicherheits- und Mandantengrenzen in der realen Laufzeitumgebung bei jeder Änderung; Prüfung von Typen und Codequalität vor jeder Auslieferung.
• Abhängigkeiten werden mit festen Versionen geführt und regelmäßig aktualisiert.
• Datenschutzfreundliche Voreinstellungen: Uploads, Bestätigungsmails und Push-Benachrichtigungen sind standardmäßig deaktiviert und werden nur ausdrücklich aktiviert.
• Löschkonzept: Anfragen werden nach der je Formular eingestellten Aufbewahrungsfrist (Voreinstellung 365 Tage) gemeinsam mit Versandprotokollen und Zustellereignissen automatisch gelöscht. Der Löschlauf läuft täglich. Testmails und nicht zuordenbare Zustellereignisse werden nach 180 Tagen gelöscht, nicht abgeschlossene Uploads nach 30 Minuten, Testdaten nach 24 Stunden und Push-Ereignisse nach einem Tag. Fehlgeschlagene Dateilöschungen werden automatisch wiederholt, bis die Löschung im Speicher bestätigt ist.
• Überprüfung dieser Maßnahmen mindestens einmal jährlich und anlassbezogen bei wesentlichen Änderungen.

---

Anlage 2: Unterauftragsverarbeiter

Folgende Dienstleister verarbeiten keine Daten im Auftrag des Auftraggebers, sondern ausschließlich Vertrags- und Zahlungsdaten des Auftraggebers selbst. Sie sind hier zur Transparenz aufgeführt und werden in der Datenschutzerklärung beschrieben:

Stand: 30. Oktober 2026