| Feld | Festlegung |
|---|---|
| Dokument-ID | SIT-AVV-DE |
| Version | 2.1 |
| Gültig ab | 2026-10-22 |
| Maßgebliche Sprache | Deutsch |
| Auftragsverarbeiter | Steinborn IT GmbH |
Diese Vereinbarung zur Auftragsverarbeitung („AVV“) ergänzt den jeweiligen Kundenauftrag, soweit Steinborn IT GmbH personenbezogene Daten weisungsgebunden im Auftrag des Kunden verarbeitet. Sie gilt für entsprechend beauftragte IT-, Forschungs-, Entwicklungs- und Analyseleistungen einschließlich Effizienzuntersuchungen. Ob Auftragsverarbeitung vorliegt, richtet sich nach der tatsächlichen Tätigkeit und Aufgabenverteilung. Eigene Vertrags-, Kontakt- und Abrechnungsdaten werden getrennt nach Abschnitt 3 verarbeitet.
Auftraggeber („Kunde“): das im bestätigten Hauptauftrag bezeichnete Unternehmen. Der Kunde ist Verantwortlicher oder, mit entsprechender Beauftragung, selbst Auftragsverarbeiter.
Auftragnehmer: Steinborn IT GmbH, vertreten durch Pascal Eric Steinborn, Scheidter Str. 13, 66123 Saarbrücken, Deutschland, Amtsgericht Saarbrücken, HRB 112307. Datenschutzkontakt: info@steinborn.it.
Diese AVV geht für die Auftragsverarbeitung widersprechenden Datenschutzregelungen des Hauptvertrags vor. Im Übrigen bleibt der Hauptvertrag unberührt. Begriffe haben die Bedeutung der Datenschutz-Grundverordnung („DSGVO“).
Gegenstand und Zweck sind ausschließlich die im einzelnen Kundenauftrag beschriebenen Leistungen. Vor Beginn der Verarbeitung legen die Parteien Gegenstand, Zweck, Art und Dauer, Datenarten, betroffene Personengruppen, Verarbeitungsorte und eingesetzte Systeme in der Auftragsbeschreibung nach Anlage 2 fest. Diese Beschreibung wird Bestandteil der AVV.
Je nach Auftrag umfasst die Verarbeitung das Einsehen, Erheben, Ordnen, Auswerten, vorübergehende Bearbeiten, sichere Übergeben und Löschen von Daten. Es werden nur die für den vereinbarten Zweck erforderlichen Daten verarbeitet. Die Verarbeitung endet, sobald ihr Zweck erfüllt ist, spätestens mit dem Ende der beauftragten Verarbeitung. Rückgabe und Löschung richten sich nach Abschnitt 8. Eine eigenständige fachliche Tätigkeit wird durch diese AVV nicht allein zur Auftragsverarbeitung.
Die Auftragsbeschreibung begrenzt die tatsächlich benötigten Datenarten, insbesondere Geschäfts- und Prozessdaten, Aufgaben- und Organisationsangaben, technische Daten sowie darin erforderliche personenbezogene Angaben. Betroffene können Beschäftigte, Auftragnehmer, Kunden, Lieferanten und geschäftliche Ansprechpartner des Kunden sein. Besondere Kategorien nach Art. 9 DSGVO oder Daten nach Art. 10 DSGVO werden nur aufgrund einer gesonderten dokumentierten Vereinbarung und geeigneter Schutzmaßnahmen verarbeitet.
Für eigene notwendige Geschäftsunterlagen handelt Steinborn IT GmbH als Verantwortlicher: geschäftliche Kontaktdaten, Auftrags- und Vertragsnachweise, Rechnungen, Buchungsbelege und gesetzlich aufzubewahrende Korrespondenz. Umfang und Dauer beschränken sich auf den jeweiligen Geschäftszweck oder die konkrete gesetzliche Pflicht. Eine Kontaktadresse wird nicht allein wegen eines früheren Auftrags dauerhaft gespeichert. Kundeninhalte werden nicht vorsorglich in Geschäftsunterlagen oder Rechnungen übernommen. Die Datenschutzhinweise beschreiben diese eigene Verarbeitung.
Steinborn IT GmbH verarbeitet Auftragsdaten nur auf dokumentierte Weisung des Kunden, auch hinsichtlich Drittlandübermittlungen, sofern nicht Unionsrecht oder das Recht eines Mitgliedstaats die Verarbeitung verlangt. In diesem Fall wird der Kunde vorher informiert, soweit das Recht dies zulässt. Weisungen ergeben sich aus Hauptauftrag, Auftragsbeschreibung, dieser AVV und Mitteilungen des Kunden in Textform.
Steinborn IT GmbH informiert den Kunden unverzüglich über nach ihrer Auffassung datenschutzwidrige Weisungen und setzt sie bis zur Klärung aus. Der Kunde bleibt für Rechtsgrundlage, Transparenz, Datenrichtigkeit, Datenminimierung und seine Weisungen verantwortlich. Er stellt erforderliche Beteiligungen und Berechtigungen sicher. Handelt er für einen Dritten, muss er Steinborn IT GmbH als weiteren Auftragsverarbeiter beauftragen dürfen.
Befugte Personen sind vor dem Zugriff auf Vertraulichkeit verpflichtet oder unterliegen einer angemessenen gesetzlichen Verschwiegenheitspflicht. Steinborn IT GmbH trifft nach Art. 32 DSGVO geeignete, risikoangemessene technische und organisatorische Maßnahmen nach Anlage 1. Die konkreten Arbeitsumgebungen und zusätzlichen Maßnahmen werden auftragsbezogen festgelegt. Weiterentwicklungen dürfen das vereinbarte Schutzniveau nicht unterschreiten.
Steinborn IT GmbH unterstützt den Kunden unter Berücksichtigung der Art der Verarbeitung und der verfügbaren Informationen angemessen:
Erhält Steinborn IT GmbH einen Betroffenenantrag zu Auftragsdaten, leitet sie ihn an den Kunden weiter und antwortet nicht eigenständig, sofern keine Weisung oder gesetzliche Pflicht besteht. Eine Verletzung des Schutzes von Auftragsdaten wird dem Kunden unverzüglich mit den verfügbaren Angaben zu Art, Umfang, Folgen, Maßnahmen und Kontaktstelle gemeldet. Fehlende Angaben werden nachgereicht.
Weitere Auftragsverarbeiter werden nur mit vorheriger besonderer oder allgemeiner schriftlicher Genehmigung des Kunden eingesetzt. Die für den konkreten Auftrag genehmigten Unternehmen, Leistungen, Datenzugriffe und Verarbeitungsorte werden in Anlage 2 dokumentiert. Ein Anbieter wird nicht allein durch seine Nutzung für andere Projekte oder die eigene Infrastruktur zum genehmigten weiteren Auftragsverarbeiter dieses Kundenauftrags.
Bei allgemeiner Genehmigung informiert Steinborn IT GmbH den Kunden vor jeder beabsichtigten Hinzunahme oder Ersetzung mit angemessener Frist, damit er widersprechen kann. Ein Widerspruch wird vor dem betreffenden Einsatz geklärt. Andernfalls wird die betroffene Verarbeitung mit diesem Anbieter nicht aufgenommen. Weitere Auftragsverarbeiter werden vertraglich mindestens zu denselben Datenschutzpflichten verpflichtet. Steinborn IT GmbH bleibt für deren Leistung verantwortlich. Drittlandübermittlungen erfolgen nur auf dokumentierte Weisung und unter den Voraussetzungen der Art. 44 ff. DSGVO.
Kundenmaterialien, auftragsbezogene Beobachtungen, Notizen, Arbeitsdateien, Analysen und Berichte dienen ausschließlich dem vereinbarten Auftrag. Sie werden nicht für Werbung, Profilbildung, Training, eigene Forschungszwecke oder andere eigene Zwecke genutzt und nicht in dauerhafte Inhalts-Backups aufgenommen.
Kundenspezifische Ergebnisse, insbesondere Untersuchungsberichte und Analysen, werden dem Kunden über den vereinbarten sicheren Weg übergeben. Danach verbleibt die Ergebnisdokumentation beim Kunden. Steinborn IT GmbH führt kein eigenes inhaltliches Projektarchiv und löscht nicht mehr benötigte Arbeitskopien, Notizen und Zwischenstände unverzüglich. Bei Ende der Verarbeitung werden die Auftragsdaten nach Wahl des Kunden zurückgegeben oder gelöscht. Nach der Rückgabe werden bestehende Kopien gelöscht. Frühere dokumentierte Löschweisungen bleiben maßgeblich. Für abgebrochene Aufträge gilt dasselbe, sobald die Daten für die angewiesene Abwicklung nicht mehr erforderlich sind.
Eine Ausnahme gilt ausschließlich, soweit Unionsrecht oder anwendbares Recht eines Mitgliedstaats die Aufbewahrung einer konkreten Unterlage verlangt. Dann werden nur die pflichtigen Unterlagen und notwendigen Angaben getrennt, zugriffsbeschränkt und ausschließlich für diese Pflicht aufbewahrt und nach Fristende gelöscht. Der Kunde wird über Rechtsgrundlage und Dauer informiert, soweit rechtlich zulässig. Eine tatsächlich aufbewahrungspflichtige Ergebnisunterlage fällt ebenfalls darunter. Daraus folgt keine allgemeine Erlaubnis, Kundenanalysen oder Arbeitsdateien zu archivieren. Eigene Kontakt-, Vertrags- und Rechnungsdaten nach Abschnitt 3 begründen keine zusätzliche Vorratsspeicherung von Kundeninhalten. Auf Wunsch erhält der Kunde einen inhaltsfreien Nachweis über Rückgabe und Löschung.
Steinborn IT GmbH stellt dem Kunden die zum Nachweis der Einhaltung dieser AVV erforderlichen Informationen zur Verfügung und ermöglicht angemessene Kontrollen durch den Kunden oder einen von ihm beauftragten, unabhängigen und zur Vertraulichkeit verpflichteten Prüfer. Kontrollen werden grundsätzlich mit angemessener Frist angekündigt. Bei begründetem dringendem Anlass bleiben kurzfristige Prüfungen möglich. Sie sind auf die Auftragsverarbeitung zu begrenzen und so durchzuführen, dass Sicherheit, Geschäftsgeheimnisse und Rechte anderer Kunden gewahrt bleiben. Geeignete Nachweise, Zertifikate und Remote-Prüfungen können berücksichtigt werden, ohne das Recht auf erforderliche Vor-Ort-Prüfungen einzuschränken. Die zuständige Aufsichtsbehörde bleibt unbeschränkt.
Diese AVV und die konkrete Auftragsbeschreibung werden spätestens vor Beginn der Auftragsverarbeitung in Textform vereinbart. Die dokumentierte Annahme ordnet dem Kunden die Dokument-ID, Version und maßgebliche Fassung zu. Bei elektronischer Dokumentation können SHA-256 und UTC-Zeitpunkt hinzukommen. Die Vereinbarung setzt kein Softwarekonto, Login oder Downloadverfahren voraus.
Deutsch ist maßgeblich, sofern ein individuell geschlossener Vertrag nicht ausdrücklich etwas anderes bestimmt. Übersetzungen dienen nur als Lesehilfe. Änderungen werden als neue, eindeutig identifizierte Version veröffentlicht. Eine neue Version ersetzt eine angenommene Version nicht rückwirkend.
Vor Beginn werden im Hauptauftrag oder einem zugehörigen Auftragsblatt in Textform folgende Angaben festgelegt:
Diese Beschreibung ist Bestandteil dieser Anlage.
sales@steinborn.itinfo@steinborn.itsupport@steinborn.itDer Kunde benennt seine weisungsberechtigten geschäftlichen Ansprechpartner im Hauptauftrag oder Auftragsblatt.
Maschinenlesbare aktuelle Fassung: SIT-AVV-DE.txt
SHA-256: d2ae7f643e951530121a76d7c2ace8e3f91f5de5bc708721de25d8fa3fa0abcb