Vertrag über die Verarbeitung personenbezogener Daten im Auftrag

nach Art. 28 DSGVO · Stand: 1. August 2026

Vertragsparteien

Verantwortlicher (nachfolgend „Auftraggeber“):
der Kunde gemäß der zugrunde liegenden Hauptvereinbarung, mit den im Kundenkonto
hinterlegten Angaben

und

Auftragsverarbeiter (nachfolgend „Auftragnehmer“):
Syntico GmbH, Försterlingstraße 2, 01259 Dresden
Amtsgericht Dresden, HRB 38223, vertreten durch den Geschäftsführer Stefan Klöhn

§ 1 Gegenstand, Dauer und Rangfolge

(1) Gegenstand dieses Vertrages ist die Verarbeitung personenbezogener Daten durch
den Auftragnehmer im Auftrag des Auftraggebers im Rahmen der Bereitstellung, des
Hostings, der Einrichtung und des Supports der Perfex-Instanz gemäß der zwischen
den Parteien geschlossenen Hauptvereinbarung (nachfolgend „Hauptvertrag“).

(2) Dieser Vertrag beginnt mit dem Hauptvertrag und endet mit dessen Beendigung.
Er kann unabhängig vom Hauptvertrag nicht gesondert gekündigt werden.

(3) Bei Widersprüchen zwischen diesem Vertrag und dem Hauptvertrag geht dieser
Vertrag in Fragen des Datenschutzes vor.

(4) Der Auftraggeber ist für die Rechtmäßigkeit der Verarbeitung als
Verantwortlicher im Sinne des Art. 4 Nr. 7 DSGVO allein verantwortlich. Er ist
insbesondere für die Zulässigkeit der Erhebung, für die Erfüllung der
Informationspflichten und für die Wahrung der Rechte betroffener Personen
verantwortlich.

§ 2 Art und Zweck der Verarbeitung

Der Auftragnehmer verarbeitet personenbezogene Daten ausschließlich, um dem
Auftraggeber die vertraglich geschuldeten Leistungen bereitzustellen. Dies umfasst:

• Betrieb und Bereitstellung der Perfex-Instanz einschließlich Datenbank,
  Dateispeicher und E-Mail-Funktionen;
• Erstellung, Vorhaltung und Rückspielung von Datensicherungen;
• Aktualisierung von Software, Modulen und Serverumgebung;
• Störungsanalyse und -beseitigung;
• Bearbeitung von Supportanfragen des Auftraggebers;
• Maßnahmen zur Gewährleistung von Sicherheit und Verfügbarkeit.

Eine Verarbeitung zu eigenen Zwecken des Auftragnehmers findet nicht statt. Der
Auftragnehmer nimmt nur dann Einsicht in die Inhalte der Instanz, wenn dies zur
Erbringung einer der vorgenannten Leistungen erforderlich ist.

§ 3 Art der Daten und Kategorien betroffener Personen

(1) Welche personenbezogenen Daten in der Instanz verarbeitet werden, bestimmt
allein der Auftraggeber. Typischerweise sind dies:

• Stammdaten (Name, Anschrift, Firmierung);
• Kontaktdaten (E-Mail, Telefon, Fax);
• Vertrags- und Abrechnungsdaten (Angebote, Rechnungen, Zahlungen);
• Projekt-, Aufgaben- und Zeiterfassungsdaten;
• Kommunikationsinhalte (Tickets, Nachrichten, Notizen, E-Mails);
• Dokumente und Dateianhänge;
• Nutzungs- und Protokolldaten der Instanz (Anmeldezeitpunkte, IP-Adressen).

(2) Kategorien betroffener Personen sind typischerweise: Kunden, Interessenten,
Lieferanten und Dienstleister des Auftraggebers, dessen Beschäftigte sowie
Ansprechpersonen bei Geschäftspartnern.

(3) Besondere Kategorien personenbezogener Daten im Sinne des
Art. 9 DSGVO sowie Daten über strafrechtliche Verurteilungen (Art. 10 DSGVO) dürfen
in der Instanz nur nach vorheriger Abstimmung mit dem Auftragnehmer verarbeitet
werden, damit die erforderlichen zusätzlichen Schutzmaßnahmen getroffen werden
können.

§ 4 Weisungsrecht des Auftraggebers

(1) Der Auftragnehmer verarbeitet personenbezogene Daten ausschließlich auf
dokumentierte Weisung des Auftraggebers. Der Hauptvertrag und dieser Vertrag stellen
die vollständige Erstweisung dar.

(2) Weitere Weisungen erteilt der Auftraggeber in Textform an
datenschutz@perfex-crm.de. Mündlich
erteilte Weisungen sind unverzüglich in Textform zu bestätigen.

(3) Ist der Auftragnehmer der Auffassung, dass eine Weisung gegen datenschutz­rechtliche
Vorschriften verstößt, teilt er dies dem Auftraggeber unverzüglich mit. Er ist
berechtigt, die Ausführung der Weisung bis zu deren Bestätigung oder Änderung
auszusetzen.

(4) Der Auftragnehmer verarbeitet Daten nur dann abweichend von einer Weisung, wenn
er dazu nach dem Recht der Union oder der Mitgliedstaaten verpflichtet ist. In
diesem Fall unterrichtet er den Auftraggeber vor der Verarbeitung, sofern das
betreffende Recht dies nicht wegen eines wichtigen öffentlichen Interesses
verbietet.

(5) Weisungen, die über den vertraglich vereinbarten Leistungsumfang hinausgehen und
beim Auftragnehmer zusätzlichen Aufwand verursachen, werden nach Aufwand vergütet.

§ 5 Ort der Verarbeitung

Die Verarbeitung findet ausschließlich auf Servern in Rechenzentren innerhalb der
Bundesrepublik Deutschland statt. Eine Verarbeitung in einem Drittland außerhalb der
Europäischen Union oder des Europäischen Wirtschaftsraums findet nicht statt und
bedarf der vorherigen Zustimmung des Auftraggebers in Textform sowie der Einhaltung
der Voraussetzungen der Art. 44 ff. DSGVO.

§ 6 Vertraulichkeit

(1) Der Auftragnehmer verpflichtet alle Personen, die Zugang zu personenbezogenen
Daten des Auftraggebers haben, vor Aufnahme der Tätigkeit schriftlich zur
Vertraulichkeit. Die Verpflichtung besteht auch nach Beendigung der Tätigkeit fort.

(2) Der Auftragnehmer stellt sicher, dass die zur Verarbeitung befugten Personen mit
den einschlägigen datenschutzrechtlichen Vorschriften vertraut und entsprechend
geschult sind.

§ 7 Technische und organisatorische Maßnahmen

(1) Der Auftragnehmer trifft die in Anlage 1 beschriebenen
technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO und hält sie während
der Vertragslaufzeit aufrecht.

(2) Der Auftragnehmer darf die Maßnahmen an den technischen Fortschritt anpassen.
Das vereinbarte Schutzniveau darf dabei nicht unterschritten werden. Wesentliche
Änderungen dokumentiert der Auftragnehmer und teilt sie dem Auftraggeber auf
Anfrage mit.

§ 8 Unterauftragsverarbeiter

(1) Der Auftraggeber erteilt dem Auftragnehmer die allgemeine
Genehmigung zur Hinzuziehung von Unterauftragsverarbeitern. Die zum
Zeitpunkt des Vertragsschlusses eingesetzten Unterauftragsverarbeiter sind in
Anlage 2 aufgeführt und werden hiermit genehmigt.

(2) Beabsichtigt der Auftragnehmer, einen weiteren Unterauftragsverarbeiter
hinzuzuziehen oder einen bestehenden zu ersetzen, informiert er den Auftraggeber
mindestens vier Wochen vorher in Textform. Der Auftraggeber kann
innerhalb von zwei Wochen ab Zugang aus einem wichtigen datenschutzrechtlichen
Grund in Textform widersprechen. Widerspricht er, sind die Parteien verpflichtet,
gemeinsam nach einer Lösung zu suchen. Kommt keine Einigung zustande, ist der
Auftraggeber berechtigt, den Hauptvertrag zum geplanten Wechseltermin außerordentlich
zu kündigen.

(3) Der Auftragnehmer verpflichtet jeden Unterauftragsverarbeiter vertraglich auf
Datenschutzpflichten, die denen dieses Vertrages entsprechen. Er bleibt gegenüber
dem Auftraggeber für die Einhaltung verantwortlich.

(4) Keine Unterauftragsverarbeitung im Sinne dieser Regelung sind Nebenleistungen,
die der Auftragnehmer bei Dritten in Anspruch nimmt und bei denen ein Zugriff auf
personenbezogene Daten des Auftraggebers nicht zu erwarten ist, etwa
Telekommunikationsleistungen, Post- und Transportdienste oder Wartung an Hardware
ohne Datenzugriff.

§ 9 Unterstützungspflichten des Auftragnehmers

(1) Der Auftragnehmer unterstützt den Auftraggeber im Rahmen seiner Möglichkeiten
bei der Erfüllung von Anträgen betroffener Personen nach den Art. 12 bis 23 DSGVO.

(2) Wendet sich eine betroffene Person unmittelbar an den Auftragnehmer, leitet
dieser die Anfrage unverzüglich an den Auftraggeber weiter und beantwortet sie
nicht selbst.

(3) Der Auftragnehmer unterstützt den Auftraggeber bei der Einhaltung der Pflichten
aus den Art. 32 bis 36 DSGVO, insbesondere bei Datenschutz-Folgenabschätzungen und
vorherigen Konsultationen der Aufsichtsbehörde.

(4) Der Auftragnehmer meldet dem Auftraggeber jede Verletzung des Schutzes
personenbezogener Daten unverzüglich, spätestens innerhalb von
24 Stunden nach Kenntniserlangung, in Textform. Die Meldung enthält, soweit
bekannt, die Art der Verletzung, die betroffenen Datenkategorien, die ungefähre
Zahl der Betroffenen, die wahrscheinlichen Folgen sowie die ergriffenen oder
vorgeschlagenen Gegenmaßnahmen.

(5) Der Auftragnehmer führt ein Verzeichnis aller Verarbeitungstätigkeiten im Auftrag
nach Art. 30 Abs. 2 DSGVO und stellt es dem Auftraggeber auf Anfrage zur Verfügung.

(6) Für Unterstützungsleistungen, die über eine geringfügige Mitwirkung hinausgehen
und nicht auf einem Verschulden des Auftragnehmers beruhen, kann der Auftragnehmer
eine angemessene Vergütung nach Aufwand verlangen.

§ 10 Kontrollrechte des Auftraggebers

(1) Der Auftraggeber hat das Recht, die Einhaltung dieses Vertrages zu überprüfen.
Er kann hierzu vom Auftragnehmer eine Selbstauskunft und die Dokumentation der
technischen und organisatorischen Maßnahmen anfordern.

(2) Reicht dies im Einzelfall nicht aus, kann der Auftraggeber nach vorheriger
Anmeldung mit einer Frist von mindestens zwei Wochen während der
üblichen Geschäftszeiten und ohne Störung des Betriebsablaufs eine Kontrolle
durchführen oder durch einen zur Verschwiegenheit verpflichteten Prüfer durchführen
lassen. Der Prüfer darf kein Wettbewerber des Auftragnehmers sein.

(3) Kontrollen finden in der Regel höchstens einmal je Kalenderjahr statt. Anlassbezogene
Kontrollen bei konkretem Verdacht auf einen Datenschutzverstoß bleiben hiervon
unberührt.

(4) Der Auftragnehmer kann für den Aufwand, der ihm durch eine Vor-Ort-Kontrolle
entsteht, eine angemessene Vergütung verlangen, sofern die Kontrolle nicht durch
einen von ihm zu vertretenden Verstoß veranlasst ist.

§ 11 Löschung und Rückgabe

(1) Nach Beendigung des Hauptvertrages löscht der Auftragnehmer die
personenbezogenen Daten des Auftraggebers nach Maßgabe des Hauptvertrages. Der
Auftraggeber kann innerhalb der dort genannten Frist einmalig einen vollständigen
Export in einem gängigen, maschinenlesbaren Format anfordern.

(2) Nach Ablauf dieser Frist löscht der Auftragnehmer die Daten unwiderruflich
einschließlich sämtlicher Kopien. Datensicherungen werden im Rahmen des regulären
Sicherungszyklus überschrieben, spätestens jedoch nach 14 Tagen.

(3) Von der Löschung ausgenommen sind Daten, deren Aufbewahrung dem Auftragnehmer
nach dem Recht der Union oder der Mitgliedstaaten vorgeschrieben ist. Diese Daten
werden für die weitere Verarbeitung gesperrt und nach Ablauf der Aufbewahrungsfrist
gelöscht.

(4) Die Löschung dokumentiert der Auftragnehmer und weist sie dem Auftraggeber auf
Anfrage nach.

§ 12 Haftung

(1) Für die Haftung der Parteien untereinander gelten die Regelungen des
Hauptvertrages.

(2) Art. 82 DSGVO bleibt unberührt.

§ 13 Schlussbestimmungen

(1) Änderungen und Ergänzungen dieses Vertrages bedürfen der Textform. Das gilt auch
für die Abbedingung dieses Formerfordernisses.

(2) Sollte eine Bestimmung dieses Vertrages unwirksam sein oder werden, bleibt die
Wirksamkeit der übrigen Bestimmungen unberührt.

(3) Es gilt deutsches Recht. Gerichtsstand ist Dresden.

Anlage 1 – Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

1. Vertraulichkeit

Zutrittskontrolle (physischer Zugang zu den Systemen):

• Betrieb ausschließlich in zertifizierten Rechenzentren in Deutschland;
• Zutritt nur für autorisiertes Personal des Rechenzentrumsbetreibers;
• Vereinzelungsanlagen, Videoüberwachung, 24/7-Bewachung und Protokollierung des
  Zutritts durch den Rechenzentrumsbetreiber;
• Mitarbeiter des Auftragnehmers haben keinen physischen Zutritt zu den Servern.

Zugangskontrolle (Zugang zu Systemen):

• administrativer Zugang ausschließlich über SSH mit Public-Key-Verfahren;
  Passwort-Anmeldung und direkter Root-Login sind deaktiviert;
• Zwei-Faktor-Authentifizierung für alle administrativen Oberflächen;
• individuelle, personenbezogene Benutzerkonten – keine Sammelkonten;
• automatische Sperrung nach mehrfacher Fehlanmeldung (Fail2Ban);
• Firewall auf Server- und Netzwerkebene; nur benötigte Ports sind geöffnet;
• unverzüglicher Entzug von Berechtigungen beim Ausscheiden von Mitarbeitern.

Zugriffskontrolle (Zugriff auf Daten):

• jede Kundeninstanz erhält einen eigenen Systembenutzer, einen eigenen
  PHP-Prozess, eine eigene Datenbank und einen eigenen Datenbankbenutzer;
• Trennung der Dateisysteme, sodass keine Instanz auf Daten einer anderen
  zugreifen kann;
• Zugriff auf Kundendaten nur nach dem Grundsatz der geringsten Rechte und nur
  bei konkretem Anlass;
• Protokollierung administrativer Zugriffe.

Trennungskontrolle:

• strikte Mandantentrennung – jede Instanz ist eine eigenständige Installation
  mit eigener Datenbank, kein gemeinsamer Datenbestand mehrerer Kunden;
• logische und physische Trennung von Produktiv-, Test- und Sicherungsumgebungen.

Pseudonymisierung und Verschlüsselung:

• Transportverschlüsselung mit TLS ab Version 1.2 für alle Verbindungen,
  erzwungene Weiterleitung von HTTP auf HTTPS, HSTS aktiv;
• Verschlüsselung der Datensicherungen vor der Ablage auf dem Sicherungsziel;
• Speicherung von Passwörtern ausschließlich als Hash mit modernem Verfahren
  und Salt;
• sichere Löschung von Datenträgern vor Rückgabe oder Austausch.

2. Integrität

Weitergabekontrolle:

• Datenübertragung ausschließlich verschlüsselt;
• Fernwartung nur über verschlüsselte Verbindungen;
• keine Übermittlung personenbezogener Daten auf Wechseldatenträgern.

Eingabekontrolle:

• Protokollierung von Anmeldungen und administrativen Änderungen;
• Aufbewahrung der Protokolle für 30 Tage;
• Änderungen an der Serverkonfiguration werden dokumentiert.

3. Verfügbarkeit und Belastbarkeit

• tägliche automatische Datensicherung, Aufbewahrung 14 Tage;
• Speicherung der Sicherungen getrennt vom Produktivsystem;
• regelmäßige Prüfung der Wiederherstellbarkeit;
• RAID-Verbund zur Absicherung gegen Ausfall einzelner Datenträger;
• unterbrechungsfreie Stromversorgung, Netzersatzanlage, redundante Klimatisierung
  und Brandfrüherkennung durch den Rechenzentrumsbetreiber;
• Monitoring der Systeme mit automatischer Benachrichtigung bei Störungen;
• zeitnahes Einspielen sicherheitsrelevanter Aktualisierungen.

4. Verfahren zur regelmäßigen Überprüfung

• regelmäßige Überprüfung und Anpassung dieser Maßnahmen, mindestens jährlich;
• Verpflichtung aller Beschäftigten auf die Vertraulichkeit;
• Auswahl von Unterauftragsverarbeitern nach dokumentierten Kriterien und
  Abschluss von Verträgen nach Art. 28 DSGVO;
• Verzeichnis der Verarbeitungstätigkeiten nach Art. 30 Abs. 2 DSGVO;
• dokumentiertes Verfahren zur Behandlung von Datenschutzverletzungen.

Anlage 2 – Genehmigte Unterauftragsverarbeiter

Hinweis zu Zahlungsdienstleistern: Stripe, PayPal und Kreditinstitute
verarbeiten die Zahlungsdaten des Auftraggebers als eigene Verantwortliche und nicht
im Auftrag. Sie sind daher keine Unterauftragsverarbeiter im Sinne dieses Vertrages.