Auftragsverarbeitungsvertrag

nach Art. 28 der Datenschutz-Grundverordnung (DSGVO) · Fassung vom 16.10.2026

zwischen dem jeweiligen Kunden („Auftraggeber“, Verantwortlicher)

und

Höcker Unternehmensberatungs GmbH
Am Kirchenhölzl 14
82166 Gräfelfing
Deutschland
vertreten durch Martin Höcker (Geschäftsführer)
(„Auftragsverarbeiter“)

Der Vertrag wird im Einrichtungsassistenten der Plattform mit den Angaben des Kunden elektronisch geschlossen; danach steht er unter Einstellungen → Rechtsdokumente als PDF bereit.

§ 1 Gegenstand und Dauer

(1) Gegenstand dieses Vertrags ist die Verarbeitung personenbezogener Daten durch den Auftragsverarbeiter im Auftrag des Auftraggebers bei der Bereitstellung und dem Betrieb der Befragungsplattform „Höcker Mitarbeiterbefragung“ auf Grundlage des zwischen den Parteien geschlossenen Vertrags über die Nutzung der Plattform (Hauptvertrag).

(2) Dieser Vertrag gilt für die Dauer des Hauptvertrags und endet mit ihm, ohne dass es einer gesonderten Kündigung bedarf. Pflichten, die über das Vertragsende hinaus wirken (insbesondere Löschung, Vertraulichkeit), bleiben bestehen.

§ 2 Art und Zweck der Verarbeitung, Datenarten, betroffene Personen

(1) Art der Verarbeitung: Erheben, Speichern, Ordnen, Auslesen, Auswerten, Übermitteln (Versand von Einladungen und Erinnerungen per E-Mail), Bereitstellen von Auswertungen und Berichten sowie Löschen.

(2) Zweck: Durchführung und Auswertung von Mitarbeiterbefragungen und der damit verbundenen Funktionen der Plattform für den Auftraggeber (je nach gebuchtem Umfang z. B. Benefit- und Vorsorgebefragungen, Gefährdungsbeurteilung psychischer Belastung, betriebliches Gesundheitsmanagement, Zufriedenheitsbefragungen, Schulungsnachweise, Hinweisgeber-Meldestelle).

(3) Datenarten:

  • Kontakt- und Organisationsdaten der Teilnehmenden (Name, dienstliche E-Mail-Adresse, Abteilung, Standort) – nur bei personalisierter Einladung;
  • Befragungsantworten (Auswahl- und Skalenantworten, ggf. Freitexte) und freiwillige Angaben zur Person (z. B. Altersgruppe, Lebensphase);
  • Nutzungs- und Protokolldaten (Teilnahmestatus, Zeitstempel, Aktionen von Administratoren);
  • Stamm- und Kontaktdaten der Ansprechpartner und Administratoren des Auftraggebers;
  • soweit gebucht: Schulungsteilnahmen und -nachweise sowie Inhalte von Hinweisgebermeldungen.

(4) Betroffene Personen: Beschäftigte des Auftraggebers einschließlich Auszubildender und Leiharbeitnehmer, sonstige zur Befragung eingeladene Personen, Ansprechpartner und Administratoren des Auftraggebers, ggf. hinweisgebende Personen.

(5) Antworten zu Gesundheit und Belastung können besondere Kategorien personenbezogener Daten (Art. 9 DSGVO) berühren. Sie werden nur ohne Personenbezug gespeichert und ausschließlich aggregiert ausgewertet.

§ 3 Weisungen

(1) Der Auftragsverarbeiter verarbeitet die Daten ausschließlich auf dokumentierte Weisung des Auftraggebers, auch in Bezug auf Übermittlungen in ein Drittland, sofern er nicht durch Unionsrecht oder das Recht eines Mitgliedstaats hierzu verpflichtet ist; in einem solchen Fall teilt er dem Auftraggeber diese Anforderungen vor der Verarbeitung mit, sofern das Recht dies nicht verbietet.

(2) Weisungen ergeben sich aus diesem Vertrag, dem Hauptvertrag und den Einstellungen, die der Auftraggeber in der Plattform vornimmt. Ergänzende Weisungen erteilt der Auftraggeber in Textform; weisungsberechtigt sind die gesetzlichen Vertreter und die vom Auftraggeber benannten Administratoren.

(3) Ist der Auftragsverarbeiter der Ansicht, dass eine Weisung gegen Datenschutzvorschriften verstößt, informiert er den Auftraggeber unverzüglich. Er darf die Ausführung aussetzen, bis der Auftraggeber die Weisung bestätigt oder ändert.

§ 4 Vertraulichkeit

Der Auftragsverarbeiter gewährleistet, dass sich alle Personen, die Zugang zu den Daten haben, zur Vertraulichkeit verpflichtet haben oder einer gesetzlichen Verschwiegenheitspflicht unterliegen und mit den Anforderungen des Datenschutzes vertraut gemacht wurden.

§ 5 Sicherheit der Verarbeitung

(1) Der Auftragsverarbeiter trifft die in Anlage 1 beschriebenen technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO.

(2) Die Maßnahmen dürfen an den technischen Fortschritt angepasst werden, sofern das Schutzniveau nicht unterschritten wird. Wesentliche Änderungen werden dokumentiert und dem Auftraggeber auf Anfrage mitgeteilt.

§ 6 Unterauftragsverarbeiter

(1) Der Auftraggeber erteilt die allgemeine Genehmigung zum Einsatz weiterer Auftragsverarbeiter (Unterauftragsverarbeiter). Die bei Vertragsschluss eingesetzten Unterauftragsverarbeiter sind in Anlage 2 aufgeführt und gelten als genehmigt.

(2) Der Auftragsverarbeiter informiert den Auftraggeber mindestens 30 Tage im Voraus in Textform über jede beabsichtigte Hinzuziehung oder Ersetzung. Der Auftraggeber kann innerhalb von 14 Tagen aus wichtigem datenschutzrechtlichem Grund widersprechen. Kommt keine Einigung zustande, kann der Auftraggeber den Hauptvertrag zum Zeitpunkt des Wechsels kündigen.

(3) Der Auftragsverarbeiter erlegt jedem Unterauftragsverarbeiter vertraglich dieselben Datenschutzpflichten auf, die in diesem Vertrag festgelegt sind, insbesondere hinreichende Garantien für geeignete technische und organisatorische Maßnahmen (Art. 28 Abs. 4 DSGVO).

(4) Kommt ein Unterauftragsverarbeiter seinen Datenschutzpflichten nicht nach, haftet der Auftragsverarbeiter gegenüber dem Auftraggeber für die Einhaltung dieser Pflichten.

(5) Nicht als Unterauftragsverhältnis gelten Nebenleistungen ohne Zugriff auf personenbezogene Daten (z. B. Telekommunikationsleistungen).

§ 7 Unterstützung des Auftraggebers

(1) Der Auftragsverarbeiter unterstützt den Auftraggeber mit geeigneten technischen und organisatorischen Maßnahmen bei der Erfüllung der Rechte betroffener Personen (Art. 12 bis 22 DSGVO). Wenden sich Betroffene direkt an den Auftragsverarbeiter, leitet er die Anfrage unverzüglich an den Auftraggeber weiter.

(2) Er unterstützt den Auftraggeber unter Berücksichtigung der Art der Verarbeitung und der ihm zur Verfügung stehenden Informationen bei der Einhaltung der Pflichten aus Art. 32 bis 36 DSGVO (Sicherheit, Meldung von Datenschutzverletzungen, Datenschutz-Folgenabschätzung, vorherige Konsultation).

§ 8 Meldung von Datenschutzverletzungen

Der Auftragsverarbeiter meldet dem Auftraggeber eine Verletzung des Schutzes personenbezogener Daten unverzüglich, möglichst innerhalb von 24 Stunden nach Bekanntwerden. Die Meldung enthält, soweit bekannt, die Angaben nach Art. 33 Abs. 3 DSGVO; fehlende Angaben werden nachgereicht. Der Auftragsverarbeiter ergreift unverzüglich Maßnahmen zur Eindämmung und unterstützt den Auftraggeber bei der Meldung an die Aufsichtsbehörde und der Benachrichtigung der Betroffenen.

§ 9 Ort der Verarbeitung

Die Verarbeitung findet ausschließlich in der Europäischen Union bzw. im Europäischen Wirtschaftsraum statt. Eine Übermittlung in ein Drittland erfolgt nur auf dokumentierte Weisung des Auftraggebers und nur, wenn die Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind. Abweichungen sind in Anlage 2 ausdrücklich genannt.

§ 10 Löschung und Rückgabe

(1) Nach Ende des Hauptvertrags stellt der Auftragsverarbeiter dem Auftraggeber die Daten 30 Tage lang in einem gängigen Format zum Export bereit und löscht sie anschließend innerhalb von weiteren 60 Tagen, sofern keine gesetzliche Pflicht zur Speicherung besteht.

(2) In Datensicherungen enthaltene Daten werden im Rahmen der rollierenden Löschung (Anlage 1) spätestens 7 Tage danach überschrieben.

(3) Auf Verlangen bestätigt der Auftragsverarbeiter die Löschung in Textform. Der Auftraggeber kann jederzeit während der Vertragslaufzeit die Herausgabe oder Löschung einzelner Daten über die Funktionen der Plattform veranlassen.

§ 11 Nachweise und Kontrollen

(1) Der Auftragsverarbeiter stellt dem Auftraggeber alle Informationen zur Verfügung, die zum Nachweis der Einhaltung der Pflichten aus Art. 28 DSGVO erforderlich sind.

(2) Der Auftraggeber ist berechtigt, Überprüfungen einschließlich Inspektionen selbst oder durch einen zur Verschwiegenheit verpflichteten Prüfer durchzuführen. Kontrollen vor Ort sind mit angemessener Frist (in der Regel 14 Tage) anzukündigen und während der üblichen Geschäftszeiten ohne vermeidbare Störung des Betriebs durchzuführen. Der Nachweis kann auch durch aktuelle Testate, Berichte oder Zertifikate erbracht werden.

§ 12 Haftung

Für die Haftung gegenüber betroffenen Personen gilt Art. 82 DSGVO. Im Innenverhältnis gelten die Haftungsregelungen des Hauptvertrags, soweit nicht zwingendes Recht entgegensteht.

§ 13 Schlussbestimmungen

(1) Bei Widersprüchen zwischen diesem Vertrag und dem Hauptvertrag gehen die Regelungen dieses Vertrags zum Datenschutz vor.

(2) Dieser Vertrag kann in elektronischer Form geschlossen werden (Art. 28 Abs. 9 DSGVO). Änderungen und Ergänzungen bedürfen der Textform.

(3) Es gilt das Recht der Bundesrepublik Deutschland. Hat der Auftraggeber seinen Sitz in Österreich, gelten ergänzend das österreichische Datenschutzgesetz (DSG); zuständige Aufsichtsbehörde ist dann die Österreichische Datenschutzbehörde (Barichgasse 40–42, 1030 Wien).

(4) Sollte eine Bestimmung unwirksam sein, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt.

Anlage 1 – Technische und organisatorische Maßnahmen

nach Art. 32 DSGVO

1. Pseudonymisierung und Verschlüsselung

  • Befragungsantworten werden ohne Verknüpfung zur Identität der teilnehmenden Person gespeichert; Einladungscodes werden nach der Abgabe nicht mit der Antwort verbunden.
  • Auswertungen erfolgen ausschließlich aggregiert; Gruppen mit weniger als fünf Antworten werden nicht ausgewiesen.
  • Transportverschlüsselung (HTTPS/TLS 1.2 oder höher) für alle Zugriffe auf die Plattform; Übertragung der Datensicherungen über eine verschlüsselte Verbindung (SSH).
  • Datensicherungen werden vor der Auslagerung verschlüsselt (age, X25519/ChaCha20-Poly1305); der Schlüssel zur Entschlüsselung wird nicht auf dem Server aufbewahrt.
  • Passwörter werden ausschließlich als Hash mit bcrypt (Kostenfaktor 12) gespeichert.
  • Zugangsdaten für kundeneigene Mail-Server werden verschlüsselt (AES-256-GCM) gespeichert.

2. Vertraulichkeit

  • Zutrittskontrolle: Betrieb der Server in Rechenzentren der Hetzner Online GmbH mit Zertifizierung nach ISO/IEC 27001; Zutritt nur für autorisiertes Personal des Rechenzentrumsbetreibers.
  • Zugangskontrolle: persönliche Benutzerkonten; Zwei-Faktor-Authentifizierung (TOTP) für administrative Zugänge, standardmäßig aktiviert; Serverzugang nur per SSH-Schlüssel und über eine Verwaltungsoberfläche mit Zwei-Faktor-Anmeldung; automatische Abmeldung nach spätestens 12 Stunden; Drosselung von Anmeldeversuchen und vorübergehende Sperre des Kontos nach fünf aufeinanderfolgenden Fehlversuchen (stufenweise verlängert) mit Benachrichtigung der betroffenen Person.
  • Zugriffskontrolle: rollenbasiertes Berechtigungskonzept (Plattform-Administration, Unternehmens-Administration, Teilnehmende); jede Datenbankabfrage ist an das jeweilige Unternehmen gebunden.
  • Trennungskontrolle: logische Trennung der Unternehmen innerhalb einer Instanz; jede Instanz (Marke) läuft mit eigener Datenbank, eigenem Datenverzeichnis und eigenem Systembenutzer; Test- und Demonstrationsumgebungen sind von den Produktivdaten getrennt.
  • Verpflichtung auf die Vertraulichkeit aller Personen mit Zugriff auf personenbezogene Daten.

3. Integrität

  • Weitergabekontrolle: verschlüsselte Übertragung (TLS); Exporte nur durch berechtigte Administratoren.
  • Eingabekontrolle: Protokollierung administrativer Aktionen (Audit-Log) mit Zeitpunkt, Benutzer und Aktion.
  • Prüfung von Eingaben auf der Serverseite; Schutz gegen SQL-Injection durch parametrisierte Abfragen.

4. Verfügbarkeit und Belastbarkeit

  • Tägliche Datensicherung auf einen vom Anwendungsserver getrennten Speicher (Hetzner Storage Box) mit Integritätsprüfung jeder Datenbanksicherung; Aufbewahrung der Sicherungen 7 Tage, danach rollierende Löschung.
  • Test der Wiederherstellbarkeit der Datensicherungen mindestens quartalsweise mit Protokollierung des Ergebnisses.
  • Zusätzliche Sicherung der Datenbank vor jeder Programmaktualisierung.
  • Ressourcenbegrenzung je Instanz, damit eine Überlastung einer Instanz andere nicht beeinträchtigt; automatischer Neustart von Diensten bei Ausfall.
  • Zeitnahes Einspielen sicherheitsrelevanter Updates von Betriebssystem und Software.

5. Verfahren zur regelmäßigen Überprüfung

  • Überprüfung der technischen und organisatorischen Maßnahmen mindestens jährlich sowie anlassbezogen.
  • Wöchentliche automatisierte Schwachstellenprüfung (bekannte Schwachstellen in Software-Abhängigkeiten, Transportverschlüsselung und Sicherheits-Header, ausstehende Sicherheitsupdates, von außen erreichbare Dienste, Firewall).
  • Dokumentation von Sicherheitsvorfällen und der ergriffenen Maßnahmen.

6. Auftragskontrolle

  • Verarbeitung ausschließlich nach dokumentierter Weisung (Vertrag, Konfiguration der Plattform durch den Auftraggeber, Weisungen in Textform).
  • Verträge nach Art. 28 DSGVO mit allen Unterauftragsverarbeitern.

Anlage 2 – Unterauftragsverarbeiter

  1. Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, Deutschland
    Leistung: Rechenzentrum und Server für den Betrieb der Plattform (Hosting), Speicherplatz für die tägliche Datensicherung (Storage Box) · Betroffene Daten: alle in der Plattform gespeicherten Daten · Ort der Verarbeitung: Deutschland (Falkenstein/Vogtland); Datensicherung in einem Hetzner-Rechenzentrum in der EU

Höcker Unternehmensberatungs GmbH · Datenschutzbeauftragte(r): Thomas Höcker, c/o Höcker Unternehmensberatungs GmbH, Am Kirchenhölzl 14, 82166 Gräfelfing, info@hoecker-unternehmensberatung.de