Vertrag zur Auftragsverarbeitung

nach Art. 28 DSGVO · Stand: Oktober 2026 · Entwurf, noch nicht anwaltlich geprüft

Dieser Vertrag gilt zwischen dem Betrieb, der Citafix nutzt („Verantwortlicher“, du), und Stefan Schmidt, Citafix, Hannoversche Straße 90, 28309 Bremen („Auftragsverarbeiter“, wir). Er wird Teil des Nutzungsvertrags, sobald du dich registrierst und die AGB annimmst. Er erfüllt die Schriftform nach Art. 28 Abs. 9 DSGVO in elektronischer Form.

1. Gegenstand und Dauer

Wir verarbeiten personenbezogene Daten in deinem Auftrag, wenn du die Programme Citafix Buchungssystem und Citafix Buchhaltung nutzt. Der Vertrag gilt so lange, wie der Nutzungsvertrag läuft, und für die Zeit der Rückgabe oder Löschung danach.

2. Art und Zweck, Daten, Betroffene

• Zweck: Speichern und Bereitstellen deiner Termin-, Kunden-, Rechnungs- und Belegdaten sowie Versand und Anzeige in den Programmen.
• Datenarten: Name, Kontaktdaten (Telefon, E-Mail), Termindaten, Rechnungs- und Belegdaten, Zahlungsinformationen auf Rechnungen. Besondere Kategorien (z. B. Gesundheitsdaten) sollen nur gespeichert werden, wenn du das rechtlich darfst und uns vorher informierst.
• Betroffene: deine Kunden und Interessenten, deine Mitarbeiter, deine Lieferanten.

3. Weisungen

Wir verarbeiten die Daten nur auf deine dokumentierte Weisung. Deine Eingaben und Einstellungen in den Programmen sind die Weisung. Weitere Weisungen gibst du in Textform. Sind wir der Meinung, dass eine Weisung gegen Datenschutzrecht verstößt, sagen wir es dir sofort. Wir dürfen die Ausführung bis zur Klärung aussetzen. Verlangt uns das Recht der EU oder eines Mitgliedstaats eine Verarbeitung ab, informieren wir dich vorher, soweit das Gesetz es nicht verbietet (Art. 28 Abs. 3 lit. a).

4. Vertraulichkeit

Personen, die bei uns Zugriff auf deine Daten haben, sind zur Vertraulichkeit verpflichtet (Art. 28 Abs. 3 lit. b). Der Zugriff ist auf das Nötige beschränkt.

5. Sicherheit der Verarbeitung

Wir treffen geeignete technische und organisatorische Maßnahmen nach Art. 32 DSGVO, unter anderem:

• Verschlüsselte Übertragung (TLS/HTTPS), Passwörter nur als Hash gespeichert.
• Getrennte Datenbereiche je Betrieb, Rechte-Konzept (Inhaber, Mitarbeiter).
• Zugriff auf den Server nur über Schlüssel, Firewall, regelmäßige Updates.
• Tägliche Datensicherung, Wiederherstellung möglich.
• Begrenzung von Anmeldeversuchen gegen automatisierte Angriffe.

6. Weitere Auftragsverarbeiter

Du erlaubst uns allgemein, folgende weitere Auftragsverarbeiter einzusetzen:

• Contabo GmbH, München: Serverbetrieb.
• STRATO AG, Berlin: Domain und E-Mail-Postfächer.
• Anthropic, PBC, USA: nur wenn du eine KI-Funktion benutzt (Belegerkennung, Chat, Übersetzung). Übermittlung auf Grundlage von EU-Standardvertragsklauseln oder eines Angemessenheitsbeschlusses.

Wollen wir einen weiteren Auftragsverarbeiter hinzufügen oder ersetzen, informieren wir dich mindestens 4 Wochen vorher in Textform. Du kannst innerhalb dieser Frist aus wichtigem Datenschutzgrund widersprechen. Bleibt der Widerspruch ohne Einigung, kannst du den Vertrag außerordentlich kündigen. Wir verpflichten jeden weiteren Auftragsverarbeiter zu denselben Datenschutzpflichten wie in diesem Vertrag und haften dir für ihn (Art. 28 Abs. 2 und 4).

7. Unterstützung

Wir helfen dir mit geeigneten Mitteln, Anfragen betroffener Personen nach Art. 15 bis 22 DSGVO zu beantworten, und unterstützen dich bei deinen Pflichten aus Art. 32 bis 36 DSGVO (Sicherheit, Meldung von Datenpannen, Datenschutz-Folgenabschätzung). Eine Datenpanne melden wir dir unverzüglich, nachdem sie uns bekannt wurde. Anfragen Betroffener, die bei uns eingehen, leiten wir an dich weiter.

8. Rückgabe und Löschung

Nach Ende des Nutzungsvertrags kannst du deine Daten 30 Tage lang exportieren. Danach löschen wir sie und vorhandene Kopien (Backups spätestens nach weiteren 30 Tagen), soweit nicht das Recht der EU oder eines Mitgliedstaats eine Speicherung verlangt (Art. 28 Abs. 3 lit. g). Auf Wunsch in Textform löschen wir früher.

9. Nachweise und Kontrollen

Wir geben dir auf Anfrage alle Informationen, die du als Nachweis für die Einhaltung dieser Pflichten brauchst, und ermöglichen Überprüfungen durch dich oder einen von dir beauftragten Prüfer, nach Anmeldung mit angemessener Frist und ohne unseren Betrieb unverhältnismäßig zu stören (Art. 28 Abs. 3 lit. h).

10. Deine Pflichten als Verantwortlicher

Du bist für die Rechtmäßigkeit der Verarbeitung deiner Kundendaten verantwortlich, insbesondere für Rechtsgrundlage, Informationspflichten gegenüber deinen Kunden und Einwilligungen.

11. Haftung und Schluss

Für die Haftung gilt Art. 82 DSGVO, im Verhältnis zwischen uns gilt Ziffer 7 der AGB. Bei Widersprüchen geht dieser Vertrag den AGB beim Thema Datenschutz vor. Ist eine Bestimmung unwirksam, bleibt der Rest wirksam. Es gilt deutsches Recht.

Hinweis: Entwurf auf Grundlage von Art. 28 DSGVO. Vor dem ersten bezahlten Vertrag von einer Rechtsanwältin oder einem Rechtsanwalt prüfen lassen.