Vertrag zur Auftrags­verarbeitung

Dieser Vertrag ergänzt die Nutzungsbedingungen von Auftrieb Cloud. Er gilt zwischen dem Kunden als Verantwortlichem und der Weyrich Technologies GmbH, Bahnhofstraße 8, 56068 Koblenz („wir“) als Auftragsverarbeiter nach Art. 28 DSGVO. Er wird mit dem Einzelvertrag über die Plattform vereinbart.

§ 1 Gegenstand und Dauer

(1) Wir betreiben für den Kunden die Plattform Auftrieb Cloud. Soweit der Kunde in seinen Apps und Datenbanken auf der Plattform personenbezogene Daten speichert, verarbeiten wir diese Daten in seinem Auftrag. Wir speichern sie, stellen sie den berechtigten Nutzern bereit, sichern sie und löschen sie.

(2) Der Vertrag gilt, solange wir für den Kunden personenbezogene Daten verarbeiten.

(3) Für Daten, die wir selbst verantworten, zum Beispiel bei der Anmeldung an der Plattform, gilt unsere Datenschutzerklärung.

§ 2 Art der Daten und betroffene Personen

Der Kunde legt fest, welche Daten er in seinen Apps verarbeitet. Üblich sind Stammdaten und Kontaktdaten, Inhalte, die Nutzer in den Apps eingeben oder hochladen, und Daten zur Nutzung der Apps. Betroffen sind die Personen, deren Daten der Kunde in seinen Apps verarbeitet, zum Beispiel seine Mitarbeitenden, Kunden und Geschäftspartner.

§ 3 Weisungen

(1) Wir verarbeiten die Daten nur auf dokumentierte Weisung des Kunden. Als Weisung gelten dieser Vertrag, der Einzelvertrag und die Einstellungen, die der Kunde und seine Nutzer auf der Plattform vornehmen. Weitere Weisungen erteilt der Kunde in Textform.

(2) Sind wir gesetzlich zu einer anderen Verarbeitung verpflichtet, teilen wir das dem Kunden vorher mit, soweit das Gesetz es erlaubt.

(3) Halten wir eine Weisung für rechtswidrig, weisen wir den Kunden unverzüglich darauf hin. Wir dürfen die Ausführung aussetzen, bis der Kunde die Weisung bestätigt oder ändert.

(4) Der Kunde ist dafür verantwortlich, dass die Verarbeitung in seinen Apps rechtmäßig ist.

§ 4 Vertraulichkeit

Zugang zu den Daten erhalten bei uns nur Personen, die ihn für Betrieb und Support brauchen und die zur Vertraulichkeit verpflichtet sind.

§ 5 Sicherheit

Wir treffen die technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO, die in Anlage 1 beschrieben sind. Wir dürfen die Maßnahmen weiterentwickeln, solange das Schutzniveau nicht sinkt.

§ 6 Unterauftragsverarbeiter

(1) Der Kunde stimmt dem Einsatz der in Anlage 2 genannten Unterauftragsverarbeiter zu.

(2) Wollen wir einen Unterauftragsverarbeiter hinzunehmen oder ersetzen, teilen wir das dem Kunden mindestens vier Wochen vorher per E-Mail mit. Der Kunde kann in dieser Zeit aus wichtigem Grund widersprechen. Finden wir keine Lösung, können beide Seiten den betroffenen Teil des Einzelvertrags kündigen.

(3) Wir verpflichten jeden Unterauftragsverarbeiter auf Pflichten, die denen aus diesem Vertrag entsprechen.

(4) Eine Verarbeitung außerhalb der Europäischen Union und des Europäischen Wirtschaftsraums findet nur statt, wenn die Voraussetzungen der Art. 44 bis 49 DSGVO erfüllt sind.

§ 7 Unterstützung des Kunden

(1) Wendet sich eine betroffene Person mit einem Anliegen zu Daten in einer App an uns, leiten wir es an den Kunden weiter. Wir unterstützen den Kunden in angemessenem Umfang dabei, Anfragen betroffener Personen zu beantworten.

(2) Wir unterstützen den Kunden außerdem bei seinen Pflichten nach Art. 32 bis 36 DSGVO, soweit es unsere Verarbeitung betrifft.

§ 8 Verletzungen des Schutzes von Daten

Erfahren wir von einer Verletzung des Schutzes personenbezogener Daten des Kunden, melden wir sie ihm unverzüglich. Wir teilen mit, was wir darüber wissen, und was wir dagegen unternehmen.

§ 9 Nachweise und Prüfungen

Wir stellen dem Kunden auf Anfrage die Informationen bereit, die er braucht, um die Einhaltung dieses Vertrags nachzuweisen. Reichen sie nicht aus, darf der Kunde die Verarbeitung nach Ankündigung mit angemessener Frist selbst oder durch einen zur Vertraulichkeit verpflichteten Prüfer überprüfen, zu den üblichen Geschäftszeiten und ohne den Betrieb zu stören.

§ 10 Ende der Verarbeitung

Nach Vertragsende geben wir dem Kunden seine Daten auf Wunsch heraus und löschen sie danach, wie es die Nutzungsbedingungen vorsehen. Sicherungskopien löschen wir spätestens 90 Tage nach Vertragsende. Das gilt nicht, soweit wir gesetzlich zur Aufbewahrung verpflichtet sind.

§ 11 Schlussbestimmungen

(1) Für die Haftung gelten die Regelungen der Nutzungsbedingungen und des Einzelvertrags sowie Art. 82 DSGVO.

(2) Widersprechen sich dieser Vertrag und die Nutzungsbedingungen in Fragen des Datenschutzes, geht dieser Vertrag vor.

(3) Änderungen dieses Vertrags bedürfen der Textform.

Anlage 1: Technische und organisatorische Maßnahmen

• Die Daten liegen auf Servern in Rechenzentren in Deutschland.
• Der Zugang zur Plattform und zu den Apps erfordert eine persönliche Anmeldung. Wer was sehen und ändern darf, richtet sich nach Teams und Rollen, die der Kunde vergibt.
• Die Übertragung der Daten ist verschlüsselt.
• Die Daten verschiedener Kunden sind voneinander getrennt.
• Änderungen an Apps, Zugängen und Einstellungen halten wir in einem Audit-Log fest, das sich nicht bearbeiten lässt.
• Wir sichern die Daten täglich und bewahren zusätzlich eine verschlüsselte Kopie an einem zweiten Standort auf.
• Wir halten die Plattform mit Sicherheitsupdates aktuell.
• Unsere Mitarbeitenden greifen nur auf Daten des Kunden zu, soweit es für Betrieb und Support nötig ist.

Anlage 2: Unterauftragsverarbeiter

• Hetzner Online GmbH, Industriestraße 25, 91710 Gunzenhausen, Deutschland: Server, Speicher und Sicherungskopien in Rechenzentren in Deutschland.
• Scaleway SAS, 8 rue de la Ville l’Évêque, 75008 Paris, Frankreich: Versand von E-Mails der Plattform und der Apps, sofern der Kunde keinen eigenen E-Mail-Anbieter eingerichtet hat.
• Anthropic Ireland, Limited, Dublin, Irland: KI-Assistent, den wir bei Betrieb und Support der Plattform einsetzen. Eine Verarbeitung in den USA ist dabei nicht ausgeschlossen. Die Daten werden nicht zum Training von KI-Modellen verwendet.

Läuft die Plattform auf einem Server, den der Kunde selbst bei einem Anbieter gemietet hat, ist dieser Anbieter Auftragsverarbeiter des Kunden und nicht unser Unterauftragsverarbeiter. Dasselbe gilt für das Firmenkonto bei Google oder Microsoft, mit dem sich die Nutzer des Kunden anmelden, und für KI-Tools, die der Kunde selbst einsetzt.

Stand: November 2026