Data processing agreement

Version 1, as of 14/10/2026

These terms are available in German only. The German version is binding.

(Art. 28 DSGVO)

zwischen

Hesham Al Hariri
Anschrift: siehe Impressum
— nachstehend "Auftragsverarbeiter" —

und

dem im Kopf dieses Vertrages genannten Mandanten
— nachstehend "Verantwortlicher" —

Stand dieser Fassung: 2026-10-14

§ 1 Gegenstand und Dauer

Der Auftragsverarbeiter erbringt für den Verantwortlichen die Leistungen der MEVARIA-Betriebsplattform. Er verarbeitet dabei personenbezogene Daten im Auftrag. Dieser Vertrag gilt für die Dauer des zugrunde liegenden Nutzungsvertrages und endet mit ihm.

§ 2 Art, Zweck und Umfang der Verarbeitung, Datenarten, Betroffene

Art und Zweck der Verarbeitung, die Kategorien betroffener Personen und die Arten personenbezogener Daten ergeben sich aus den vom Verantwortlichen gebuchten Modulen. Sie sind je Modul im Verzeichnis der Verarbeitungstätigkeiten nach Art. 30 Abs. 2 DSGVO beschrieben, das der Auftragsverarbeiter führt und dem Verantwortlichen auf Anforderung als Stichtagsauszug übergibt.

§ 3 Weisungsbindung (Art. 28 Abs. 3 lit. a)

Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen. Das gilt auch für eine Übermittlung in ein Drittland oder an eine internationale Organisation, es sei denn, der Auftragsverarbeiter ist dazu nach dem Recht der Union oder eines Mitgliedstaats verpflichtet; in diesem Fall teilt er dem Verantwortlichen die rechtlichen Anforderungen vor der Verarbeitung mit.

Weisungen werden im Weisungsprotokoll der Plattform mit Eingangsdatum, Kanal, weisender Person, Gegenstand und Wortlaut festgehalten. Der Verantwortliche kann dieses Protokoll jederzeit einsehen.

Hält der Auftragsverarbeiter eine Weisung für rechtswidrig, informiert er den Verantwortlichen unverzüglich (Art. 28 Abs. 3 Unterabsatz 2 DSGVO); der Hinweis wird zur betroffenen Weisung protokolliert.

§ 4 Vertraulichkeit (Art. 28 Abs. 3 lit. b)

Der Auftragsverarbeiter setzt zur Verarbeitung nur Personen ein, die zur Vertraulichkeit verpflichtet sind oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen. Die Verpflichtung besteht auch nach dem Ende der Tätigkeit fort.

§ 5 Sicherheit der Verarbeitung (Art. 28 Abs. 3 lit. c, Art. 32)

Der Auftragsverarbeiter trifft die nach Art. 32 DSGVO erforderlichen technischen und organisatorischen Maßnahmen. Sie sind im Nachweisbereich der Plattform je Maßnahme mit Zustand und Fundstelle beschrieben und dort abrufbar. Maßnahmen, die ein Unterauftragsverarbeiter erbringt und die der Auftragsverarbeiter nicht selbst geprüft hat, sind als solche gekennzeichnet.

§ 6 Weitere Auftragsverarbeiter (Art. 28 Abs. 2 und Abs. 3 lit. d)

Der Verantwortliche erteilt die allgemeine Genehmigung zur Inanspruchnahme weiterer Auftragsverarbeiter. Die jeweils geltende Liste ist Anlage 1 zu diesem Vertrag; bei Vertragsschluss gilt Fassung 1.

Der Auftragsverarbeiter informiert den Verantwortlichen über jede beabsichtigte Änderung in Bezug auf die Hinzuziehung oder Ersetzung weiterer Auftragsverarbeiter. Der Verantwortliche kann innerhalb von 30 Tagen nach Zugang der Mitteilung aus einem wichtigen datenschutzrechtlichen Grund widersprechen. Widerspricht er nicht, gilt die Änderung als genehmigt.

Der Auftragsverarbeiter erlegt jedem weiteren Auftragsverarbeiter dieselben Datenschutzpflichten auf, die ihn selbst treffen.

§ 7 Unterstützung bei Betroffenenrechten (Art. 28 Abs. 3 lit. e)

Der Auftragsverarbeiter unterstützt den Verantwortlichen mit geeigneten technischen und organisatorischen Maßnahmen dabei, Anträgen auf Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit und Widerspruch nachzukommen. Dazu stehen der Datenexport des Mandanten und die Löschfunktionen der Plattform zur Verfügung. Wendet sich eine betroffene Person unmittelbar an den Auftragsverarbeiter, leitet er den Antrag unverzüglich an den Verantwortlichen weiter und beantwortet ihn nicht selbst.

§ 8 Unterstützung bei den Pflichten der Art. 32 bis 36 (lit. f)

Der Auftragsverarbeiter meldet dem Verantwortlichen jede Verletzung des Schutzes personenbezogener Daten unverzüglich nach Bekanntwerden (Art. 33 Abs. 2 DSGVO) und stellt die Angaben bereit, die der Verantwortliche für seine eigene Meldung benötigt. Er unterstützt ihn bei Datenschutz-Folgenabschätzungen und vorherigen Konsultationen.

§ 9 Löschung und Rückgabe nach Vertragsende (lit. g)

Nach Beendigung der Leistungen löscht der Auftragsverarbeiter alle personenbezogenen Daten oder gibt sie nach Wahl des Verantwortlichen zurück, sofern nicht nach dem Recht der Union oder eines Mitgliedstaats eine Verpflichtung zur Speicherung besteht.

Solche Verpflichtungen bestehen: Bücher und Aufzeichnungen einschließlich der Kassenaufzeichnungen und DSFinV-K-Exporte zehn Jahre (§ 147 Abs. 1 Nr. 1 in Verbindung mit Abs. 3 Satz 1 AO); Buchungsbelege acht Jahre (§ 147 Abs. 1 Nr. 4 in Verbindung mit Abs. 3 Satz 1 AO); Rechnungen acht Jahre (§ 14b Abs. 1 Satz 1 UStG); Handelsbriefe und sonstige Unterlagen sechs Jahre (§ 147 AO, § 257 Abs. 4 HGB). Die Frist beginnt jeweils mit dem Schluss des Kalenderjahres der Entstehung (§ 147 Abs. 4 AO) und läuft nicht ab, solange die Unterlagen für eine noch nicht festsetzungsverjährte Steuer von Bedeutung sind (§ 147 Abs. 3 Satz 5 AO).

Für die Dauer dieser Fristen wird der Mandant in einen gesperrten Aufbewahrungszustand versetzt: der produktive Zugriff endet, die Daten bleiben. Teilt der Verantwortliche der Finanzbehörde mit, dass seine Daten beim Auftragsverarbeiter liegen, gewährt dieser der Finanzbehörde Einsicht und macht die Daten nach deren Vorgaben maschinell auswertbar (§ 147 Abs. 6 Satz 2 AO). Nach Fristablauf wird gelöscht; über jede Löschung entsteht ein Protokolleintrag, der die gelöschten Daten überdauert.

§ 10 Nachweise und Überprüfungen (lit. h)

Der Auftragsverarbeiter stellt dem Verantwortlichen alle Informationen zur Verfügung, die dieser zum Nachweis der Einhaltung der Pflichten aus Art. 28 DSGVO benötigt, und ermöglicht Überprüfungen einschließlich Inspektionen.

Dazu gehören der Nachweisbereich der technischen und organisatorischen Maßnahmen, das Weisungsprotokoll, die Liste der weiteren Auftragsverarbeiter und der Stichtagsauszug aus dem Verzeichnis nach Art. 30 Abs. 2 DSGVO. Sie sind für den Verantwortlichen jederzeit abrufbar.

§ 11 Form

Dieser Vertrag wird nach Art. 28 Abs. 9 DSGVO in elektronischer Form geschlossen. Der abgeschlossene Wortlaut wird unveränderlich gespeichert; über ihn wird eine Prüfsumme gebildet und mit Abschlussdatum, Name, Funktion und E-Mail-Adresse der abschließenden Person festgehalten.

§ 12 Schlussbestimmungen

Es gilt deutsches Recht. Sollte eine Bestimmung unwirksam sein, bleibt der übrige Vertrag wirksam.

HINWEIS: Dieser Text ist eine vom System erzeugte Fassung und ersetzt keine anwaltliche Prüfung. Vor dem Abschluss mit dem ersten Kunden ist er durch Rechtsberatung freizugeben.