Auftragsverarbeitungsvertrag
Muster gem. Art. 28 DSGVO · Stand: Juni 2026
Hinweis: Dieses Dokument ist ein Muster und dient als Ausgangspunkt für Ihren individuellen Auftragsverarbeitungsvertrag. Ergänzen Sie alle mit [Platzhalter] gekennzeichneten Felder. Wir empfehlen, das ausgefüllte Dokument von einem Datenschutzanwalt prüfen zu lassen. Drucken Sie das Dokument aus und unterzeichnen Sie es in zweifacher Ausfertigung.
Vertragsparteien
Auftraggeber (Verantwortlicher)
Unternehmen: [Name des Unternehmens]
Anschrift: [Straße, PLZ, Ort]
Vertreten durch: [Name Geschäftsführer]
E-Mail: [E-Mail-Adresse]
nachfolgend: „Auftraggeber"
Auftragnehmer (Auftragsverarbeiter)
Name: Werner Müller
Anschrift: Leveringhäuser Str. 94, 45731 Waltrop
Tätig als: Digitales Marketing
E-Mail: info@wernersmarketing.de
nachfolgend: „Auftragnehmer"
Präambel
Der Auftragnehmer erbringt für den Auftraggeber Dienstleistungen im Bereich des digitalen Marketings, insbesondere E-Mail-Marketing und die Verwaltung von Lead-Daten (nachfolgend: „Hauptvertrag"). Im Rahmen dieser Tätigkeiten verarbeitet der Auftragnehmer personenbezogene Daten, für deren Verarbeitung der Auftraggeber als Verantwortlicher im Sinne der DSGVO verantwortlich ist. Dieser Vertrag konkretisiert die datenschutzrechtlichen Pflichten der Vertragsparteien gemäß Art. 28 DSGVO.
§ 1 Gegenstand und Dauer der Verarbeitung
(1) Der Auftragnehmer verarbeitet personenbezogene Daten im Auftrag des Auftraggebers im Rahmen der vereinbarten Dienstleistungen gemäß dem Hauptvertrag.
(2) Die Laufzeit dieses Vertrages entspricht der Laufzeit des Hauptvertrages. Er endet automatisch mit Beendigung des Hauptvertrages, soweit sich aus diesem Vertrag keine weitergehenden Pflichten ergeben.
(3) Die Verarbeitung findet statt ab: [Datum des Vertragsbeginns]
§ 2 Art, Zweck und Umfang der Verarbeitung
| Kategorie | Inhalt |
|---|---|
| Art der Verarbeitung | Erheben, Speichern, Organisieren, Verwenden, Übermitteln, Löschen von personenbezogenen Daten |
| Zweck der Verarbeitung | E-Mail-Marketing (Newsletter, Kampagnen, Automationen), Verwaltung und Pflege von Lead-Daten, Erstellung und Auswertung von Marketing-Berichten |
| Art der Daten | Name, E-Mail-Adresse, Telefonnummer, Unternehmen, Interessen/Tags, E-Mail-Öffnungsraten/-Klickraten (Verhaltensdaten), [ggf. weitere: [Ergänzen]] |
| Betroffene Personen | Kunden, Interessenten und Leads des Auftraggebers |
§ 3 Pflichten des Auftragnehmers
Der Auftragnehmer verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Auftraggebers.
Der Auftragnehmer stellt sicher, dass alle zur Verarbeitung befugten Personen zur Vertraulichkeit verpflichtet sind.
Der Auftragnehmer setzt die erforderlichen technischen und organisatorischen Maßnahmen gem. Art. 32 DSGVO um (siehe § 6).
Der Auftragnehmer unterstützt den Auftraggeber bei der Wahrnehmung der Rechte betroffener Personen.
Der Auftragnehmer unterstützt den Auftraggeber bei der Einhaltung seiner Pflichten nach Art. 32–36 DSGVO.
Der Auftragnehmer löscht oder gibt alle personenbezogenen Daten nach Abschluss der Dienstleistungen zurück und löscht bestehende Kopien.
Der Auftragnehmer stellt dem Auftraggeber alle erforderlichen Informationen zur Nachweisführung zur Verfügung und ermöglicht Überprüfungen.
§ 4 Unterauftragsverarbeiter
(1) Die Einschaltung von Unterauftragsverarbeitern ist nur mit vorheriger schriftlicher Zustimmung des Auftraggebers zulässig. Der Auftragnehmer setzt folgende Unterauftragsverarbeiter ein:
| Dienst | Zweck | Sitz |
|---|---|---|
| [E-Mail-Tool, z.B. Systeme.io / Mailchimp] | E-Mail-Versand, Listenmanagement | [Land / EU] |
| [CRM / Weitere Tools] | [Zweck] | [Land / EU] |
(2) Der Auftragnehmer verpflichtet Unterauftragsverarbeiter in gleichwertiger Weise wie in diesem Vertrag.
§ 5 Betroffenenrechte
(1) Der Auftragnehmer unterstützt den Auftraggeber, soweit möglich und ihm zumutbar, durch geeignete technische und organisatorische Maßnahmen bei der Erfüllung der Anfragen betroffener Personen auf Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit und Widerspruch.
(2) Wendet sich eine betroffene Person direkt an den Auftragnehmer, leitet dieser die Anfrage unverzüglich an den Auftraggeber weiter.
§ 6 Technische und organisatorische Maßnahmen (TOM)
Der Auftragnehmer trifft folgende Maßnahmen gem. Art. 32 DSGVO:
Zutrittskontrolle
Kein unbefugter Zutritt zu Datenverarbeitungsanlagen (Homeoffice, gesicherte Zugänge)
Zugangskontrolle
Passwortschutz, Zwei-Faktor-Authentifizierung für alle verwendeten Systeme
Zugriffskontrolle
Zugriff auf Daten nur durch berechtigte Personen, Rechteverwaltung
Weitergabekontrolle
Verschlüsselte Übertragung von Daten (SSL/TLS), keine unverschlüsselten E-Mail-Anhänge
Eingabekontrolle
Protokollierung von Änderungen und Zugriffen in den verwendeten Systemen
Verfügbarkeitskontrolle
Regelmäßige Datensicherung, Wiederherstellungsplan
Trennungskontrolle
Daten verschiedener Auftraggeber werden getrennt verarbeitet
Datenschutz by Design
Nur notwendige Daten werden erhoben und verarbeitet (Datensparsamkeit)
§ 7 Löschung und Rückgabe von Daten
(1) Nach Abschluss der vertraglichen Leistungen oder auf Anforderung des Auftraggebers löscht der Auftragnehmer alle Verarbeitungsergebnisse sowie Bestände personenbezogener Daten oder gibt diese an den Auftraggeber zurück.
(2) Dokumentationen zum Nachweis der ordnungsgemäßen Datenverarbeitung werden bis zum Ablauf der jeweiligen Dokumentationspflichten aufbewahrt und dann gelöscht.
§ 8 Meldepflicht bei Datenpannen
(1) Der Auftragnehmer informiert den Auftraggeber unverzüglich, spätestens jedoch innerhalb von 24 Stunden, wenn er Kenntnis von einer Verletzung des Schutzes personenbezogener Daten erhält.
(2) Der Auftragnehmer unterstützt den Auftraggeber bei der Erfüllung seiner Meldepflichten gegenüber der Aufsichtsbehörde und den betroffenen Personen.
§ 9 Haftung
(1) Für die Haftung zwischen den Parteien gelten die gesetzlichen Regelungen gemäß Art. 82 DSGVO.
(2) Verstößt der Auftragnehmer gegen diesen Vertrag, indem er die Zwecke und Mittel der Verarbeitung selbst festlegt, gilt er als Verantwortlicher und haftet entsprechend.
§ 10 Schlussbestimmungen
(1) Es gilt das Recht der Bundesrepublik Deutschland. Gerichtsstand ist [Ort].
(2) Änderungen dieses Vertrages bedürfen der Schriftform.
(3) Sollten einzelne Bestimmungen dieses Vertrages unwirksam sein, bleibt der Vertrag im Übrigen wirksam.
Unterschriften
Ort, Datum
[Ort], den ____________
Unterschrift Auftraggeber
[Name, Funktion]
Ort, Datum
Waltrop, den ____________
Unterschrift Auftragnehmer
Werner Müller · Werners Marketing
So verwenden Sie dieses Muster: Klicken Sie auf „Als PDF speichern", wählen Sie im Druckdialog „Als PDF speichern" oder „PDF" als Drucker. Füllen Sie alle [Platzhalter] aus, drucken Sie es zweifach aus und lassen Sie es von beiden Parteien unterzeichnen.