Anlage 1: Auftragsverarbeitung

(1) Auftraggeber und Verantwortlicher im Sinne von Art. 4 Nr. 7 DSGVO ist der Kunde. Auftragnehmer und Auftragsverarbeiter im Sinne von Art. 4 Nr. 8 DSGVO ist Velo Automation, Einzelunternehmen, Inhaber Markus Knigge, Warnestr. 10, 38259 Salzgitter.

(2) Gegenstand ist die Verarbeitung personenbezogener Daten im Rahmen von Einrichtung und Betrieb der im Hauptvertrag beschriebenen Website und des Betriebs-Dashboards.

(3) Die Verarbeitung beginnt nicht vor beiderseitiger Unterzeichnung dieser Anlage.

(1) Art der Verarbeitung: Erheben, Erfassen, Organisieren, Ordnen, Speichern, Anpassen, Auslesen, Abfragen, Verwenden, Übermitteln an den Kunden, Einschränken, Löschen und Vernichten.

(2) Zweck: Betrieb der Website und des Anfrageformulars, Aufnahme und Bearbeitung von Anfragen, Verwaltung von Kunden, Aufträgen, Terminen, Angeboten, Rechnungen, Dokumenten und Belegen sowie die im Hauptvertrag vereinbarten Zusatzmodule.

(3) Dauer: Für die Laufzeit des Hauptvertrags. Danach gilt § 9.

Daten besonderer Kategorien (Art. 9 DSGVO) sollen im System nicht verarbeitet werden. Bei gebuchter Zeiterfassung können jedoch mittelbar Rückschlüsse etwa auf Abwesenheiten entstehen. Der Kunde stellt sicher, dass er die arbeitsrechtlichen Voraussetzungen dafür erfüllt, insbesondere eine etwaige Beteiligung der Arbeitnehmervertretung.

(1) Der Auftragnehmer verarbeitet die Daten ausschließlich auf dokumentierte Weisung des Kunden. Das gilt auch für eine Übermittlung in ein Drittland oder an eine internationale Organisation.

(2) Weisungen erfolgen in Textform an kontakt@velo-automation.de. Mündliche Weisungen bestätigt der Kunde unverzüglich in Textform.

(3) Ist der Auftragnehmer gesetzlich zu einer Verarbeitung verpflichtet, teilt er dem Kunden diese Anforderungen vor der Verarbeitung mit, sofern das Recht dies nicht verbietet.

(4) Der Auftragnehmer informiert den Kunden unverzüglich, wenn eine Weisung nach seiner Auffassung gegen Datenschutzrecht verstößt, und darf deren Ausführung bis zur Bestätigung aussetzen.

(5) Eine Verwendung der Daten zum Training allgemeiner Sprachmodelle findet nicht statt.

Der Auftragnehmer setzt zur Verarbeitung nur Personen ein, die zur Vertraulichkeit verpflichtet oder einer gesetzlichen Verschwiegenheitspflicht unterworfen sind. Die Verpflichtung wird dokumentiert, wirkt über das Ende der Tätigkeit hinaus fort und wird auf Verlangen nachgewiesen.

Der Auftragnehmer darf die Maßnahmen fortentwickeln, solange das Schutzniveau nicht unterschritten wird.

(1) Der Kunde erteilt die allgemeine Genehmigung zur Hinzuziehung der folgenden Unterauftragnehmer:

(2) Kommt für eine KI-Funktion ein Sprachmodell zum Einsatz, das nicht auf dem Server des Kunden läuft, wird der betreibende Anbieter hier vor Vertragsschluss namentlich mit Leistung und Verarbeitungsort ergänzt. Ohne eine solche Ergänzung findet keine Verarbeitung außerhalb der oben genannten Infrastruktur statt.

(3) Wechsel oder Hinzuziehung weiterer Unterauftragnehmer zeigt der Auftragnehmer mindestens vier Wochen vorher in Textform an. Der Kunde kann innerhalb von zwei Wochen aus einem datenschutzrechtlichen Grund in Textform widersprechen; in diesem Fall kann der Auftragnehmer die Änderung unterlassen oder den Hauptvertrag zum Zeitpunkt der beabsichtigten Umstellung kündigen.

(4) Der Auftragnehmer erlegt jedem Unterauftragnehmer dieselben Datenschutzpflichten auf, die ihm nach dieser Anlage obliegen, und haftet für dessen Verhalten wie für eigenes.

(1) Betroffenenrechte: Der Auftragnehmer unterstützt den Kunden dabei, Anträge nach Kapitel III DSGVO zu erfüllen, und stellt Export-, Such-, Berichtigungs- und Löschfunktionen bereit. Wendet sich eine betroffene Person unmittelbar an den Auftragnehmer, leitet dieser den Antrag innerhalb von drei Werktagen an den Kunden weiter und beantwortet ihn nicht selbst.

(2) Datenschutzverletzungen: Der Auftragnehmer meldet jede Verletzung des Schutzes personenbezogener Daten unverzüglich, spätestens innerhalb von 24 Stunden nach Bekanntwerden, in Textform an die vom Kunden benannte Ansprechperson — mit Art der Verletzung, betroffenen Kategorien und Umfang, wahrscheinlichen Folgen und Abhilfemaßnahmen. Er unterstützt den Kunden bei dessen Meldung nach Art. 33 und bei einer Benachrichtigung nach Art. 34.

(3) Folgenabschätzung: Der Auftragnehmer unterstützt bei einer Datenschutz-Folgenabschätzung nach Art. 35 und einer vorherigen Konsultation nach Art. 36 und stellt dafür eine Systembeschreibung bereit.

(4) Kosten: Unterstützung im Rahmen der bereitgestellten Systemfunktionen ist mit dem monatlichen Entgelt abgegolten. Darüber hinausgehende Unterstützung vergütet der Kunde nach Aufwand zum jeweils gültigen Stundensatz nach vorheriger Ankündigung.

(1) Nach Wahl des Kunden gibt der Auftragnehmer die im Auftrag verarbeiteten Daten nach Beendigung zurück oder löscht sie.

(2) Trifft der Kunde binnen 30 Tagen nach Vertragsende keine Wahl in Textform, gibt der Auftragnehmer die Daten in einem offenen, maschinenlesbar auswertbaren Format heraus und löscht den Bestand anschließend vollständig einschließlich aller Sicherungen. Die Löschung bestätigt er in Textform.

(3) Unberührt bleiben Daten, deren Aufbewahrung der Auftragnehmer gesetzlich schuldet. Diese werden gesperrt, nicht weiterverarbeitet und nach Fristablauf gelöscht.

(1) Der Auftragnehmer stellt alle Informationen bereit, die zum Nachweis der Einhaltung der Pflichten aus Art. 28 DSGVO erforderlich sind.

(2) Er ermöglicht Überprüfungen einschließlich Inspektionen durch den Kunden oder einen von ihm beauftragten Prüfer, nach Ankündigung mit zwei Wochen Frist, während der üblichen Geschäftszeiten und ohne vermeidbare Betriebsstörung. Einmal jährlich im Entgelt enthalten, darüber hinaus nach Aufwand.

(3) Der Prüfer darf kein Wettbewerber des Auftragnehmers sein und ist zur Verschwiegenheit zu verpflichten.

(1) Für die Haftung gilt Art. 82 DSGVO. Ansprüche betroffener Personen und der Innenausgleich nach Art. 82 Abs. 5 DSGVO bleiben von den Haftungsbeschränkungen des Hauptvertrags unberührt, soweit der Auftragnehmer den ihm speziell auferlegten Pflichten nicht nachgekommen ist oder gegen eine rechtmäßige Weisung gehandelt hat.

(2) Bei Widersprüchen zwischen dieser Anlage und dem Hauptvertrag geht diese Anlage in Fragen der Datenverarbeitung vor.

(3) Änderungen bedürfen der Textform. Es gilt deutsches Recht.

Entwurfsfassung vom August 2026. Diese Anlage ist keine Rechtsberatung und muss vor der ersten Verwendung anwaltlich geprüft werden. Der Hauptvertrag steht unter AGB, die Verarbeitung auf dieser Website beschreibt die Datenschutzerklärung.