Formendi-Vertrag zur Auftragsverarbeitung

Version: dpa-2026-10-09. Gültig ab: Datum der Annahme dieses Dokuments durch eine berechtigte Person.

1. Parteien, Umfang und Vorrang

Dieser Vertrag zur Auftragsverarbeitung ist Bestandteil der Formendi-Nutzungsbedingungen zwischen dem im Annahmenachweis angegebenen Kunden („Kunde“) und Glavrio, UAB, Unternehmenscode 307648878, mit Sitz unter wie im litauischen Register juristischer Personen unter Unternehmenscode 307648878 eingetragen, Litauen, Kontakt info@formendi.com („Formendi“).

Er gilt für personenbezogene Daten, die Formendi im Arbeitsbereich im Auftrag des Kunden verarbeitet („personenbezogene Kundendaten“). Der Kunde ist Verantwortlicher und Formendi sein Auftragsverarbeiter. Ist der Kunde selbst Auftragsverarbeiter, bestätigt er die Befugnis des jeweiligen Verantwortlichen, Formendi als Unterauftragsverarbeiter zu beauftragen und rechtmäßige Weisungen weiterzugeben. Diese Bedingungen gelten entsprechend für diese Kette.

Eigenständige Tätigkeiten von Formendi als Verantwortlicher, etwa Kontoverwaltung und eigene Sicherheits- oder Rechtsnachweise, werden in den Datenschutzhinweisen beschrieben. Die Rollen richten sich nach der tatsächlichen Verarbeitung, nicht allein nach dieser Bezeichnung. Bei personenbezogenen Kundendaten hat dieser Vertrag Vorrang vor widersprechenden allgemeinen Nutzungsbedingungen. Anwendbare Standardvertragsklauseln für Übermittlungen haben erforderlichenfalls Vorrang vor beiden.

2. Weisungen und Pflichten des Kunden

Gegenstand, Art, Zwecke, Dauer, Datenkategorien und betroffene Personen stehen in Anlage A. Nutzungsbedingungen, dieser Vertrag, aktivierte Einstellungen und authentifizierte Aktionen bilden dokumentierte Weisungen. Weitere Weisungen müssen rechtmäßig sein und vom vereinbarten Dienst umfasst oder gesondert schriftlich vereinbart werden.

Formendi verarbeitet personenbezogene Kundendaten nur nach diesen Weisungen, auch bei Übermittlungen, sofern Unionsrecht oder Recht eines Mitgliedstaats nichts anderes verlangt. Soweit rechtlich zulässig, informiert Formendi den Kunden vor einer gesetzlich vorgeschriebenen Verarbeitung. Erscheint eine Weisung datenschutzrechtswidrig, informiert Formendi unverzüglich und darf ihre Umsetzung bis zur Klärung aussetzen.

Der Kunde bestimmt eine Rechtsgrundlage, erteilt erforderliche Informationen, begrenzt Daten auf das Notwendige und verwaltet Nutzer und Empfänger. Die in Anlage A ausgeschlossenen Kategorien dürfen nicht eingereicht werden. Diese Pflichten entlasten Formendi nicht von eigenen gesetzlichen Verpflichtungen.

Formendi verkauft keine personenbezogenen Kundendaten, verwendet sie nicht für eigene Werbung und trainiert damit keine allgemeinen KI-Modelle.

3. Vertraulichkeit und Sicherheit

Formendi gewährt Zugriff nur berechtigten Personen mit erforderlichem Zugang, die einer Vertraulichkeitsverpflichtung oder entsprechenden gesetzlichen Pflicht unterliegen. Formendi setzt risikogerechte Maßnahmen nach Art. 32 DSGVO einschließlich der Mindestkontrollen in Anlage B um und hält sie aufrecht.

Maßnahmen dürfen verbessert werden, ohne das Gesamtschutzniveau wesentlich zu verringern. Formendi stellt angemessen erforderliche Informationen über wesentliche Änderungen bereit, die die Compliance des Kunden betreffen.

4. Unterauftragsverarbeiter

Der Kunde erteilt eine allgemeine schriftliche Genehmigung für die im aktuellen Dienstleisterverzeichnis genannten Unterauftragsverarbeiter und die angegebenen Zwecke. Formendi verpflichtet sie zu materiell gleichwertigen Datenschutzpflichten und bleibt nach Art. 28 Abs. 4 DSGVO gegenüber dem Kunden für deren Leistung verantwortlich.

Formendi kündigt beabsichtigte Ergänzungen oder Ersetzungen mindestens 30 Tage vorher schriftlich mit Dienst, Ort und Schutzmaßnahmen an. Der Kunde darf innerhalb von 14 Tagen aus angemessenen Datenschutzgründen widersprechen. Die Parteien suchen eine praktikable Lösung. Ohne Lösung darf die betroffene Verarbeitung nicht beginnen; jede Partei darf den betroffenen Dienst mit Export- oder Rückgabemöglichkeit beenden. Schweigen genehmigt keine neue eigenständige Datennutzung.

Das Verzeichnis unterscheidet auch eigenständige Verarbeitung als Verantwortlicher durch Anbieter. Diese wird durch die Klausel nicht zur Verarbeitung nach Kundenweisungen.

5. Unterstützung und Anfragen

Unter Berücksichtigung der Verarbeitung und verfügbaren Informationen unterstützt Formendi Auskunft, Berichtigung, Löschung, Einschränkung, Übertragbarkeit und Widerspruch mit geeigneten technischen und organisatorischen Maßnahmen. Anfragen zu personenbezogenen Kundendaten werden unverzüglich weitergeleitet. Ohne Weisung antwortet Formendi nicht inhaltlich im Namen des Kunden, soweit keine gesetzliche Pflicht besteht.

Formendi unterstützt außerdem erforderliche Sicherheitsmaßnahmen, Meldungen von Datenschutzverletzungen, Datenschutz-Folgenabschätzungen und vorherige Konsultationen von Aufsichtsbehörden. Gewöhnliche, diesem Vertrag innewohnende Unterstützung ist enthalten. Außergewöhnliche Gebühren müssen angemessen und vorher vereinbart sein und dürfen gesetzlich erforderliche Unterstützung nicht verhindern.

6. Verletzungen des Schutzes personenbezogener Daten

Nach Bekanntwerden einer Datenschutzverletzung mit Auswirkungen auf personenbezogene Kundendaten informiert Formendi den Kunden ohne unangemessene Verzögerung und strebt eine Erstmeldung innerhalb von 24 Stunden an. Eine abgeschlossene Untersuchung wird nicht abgewartet.

Die Meldung enthält verfügbare Angaben zu Vorfall, betroffenen Kategorien und ungefähren Zahlen, wahrscheinlichen Folgen, Eindämmung und Abhilfe sowie einer Kontaktstelle. Fehlende Informationen dürfen ohne unangemessene Verzögerung schrittweise folgen. Formendi untersucht den Vorfall, sichert notwendige Nachweise, begrenzt Schäden und kooperiert. Der Kunde entscheidet über Meldungen als Verantwortlicher; eigene gesetzliche Meldepflichten von Formendi bleiben unberührt.

7. Internationale Übermittlungen

Formendi übermittelt personenbezogene Kundendaten nicht ohne rechtmäßige Weisungen und gültigen Mechanismus nach Kapitel V DSGVO außerhalb des EWR. Relevante Orte und Garantien stehen im Verzeichnis. Erforderliche Kommissionsklauseln, Bewertungen und ergänzende Maßnahmen müssen vor der Übermittlung bestehen.

Ein EU-Hostingort allein belegt nicht, dass sämtliche Netzwerk-, Support- oder Unterauftragsverarbeitung im EWR bleibt. Vom Kunden veranlasste externe Exporte oder Integrationen erfordern eigene rechtmäßige Offenlegung und klare Vorabinformation.

8. Rückgabe und Löschung

Während der Nutzung kann der Kunde verfügbare, vom Inhaber autorisierte Exporte verwenden. Bei Vertragsende kann er Rückgabe im unterstützten Exportformat mit anschließender Löschung oder Löschung ohne Rückgabe wählen. Gewöhnliche Rückgabe und Löschung sind enthalten.

Bei angefragtem Anbieterwechsel gelten Übergang und geschützter Abrufzeitraum nach Abschnitt 12 der Nutzungsbedingungen vor Beginn der Löschfrist. Abrufzugang ist auf berechtigte Exporte begrenzt; normaler Zugang und öffentliche Freigaben enden wie dort angegeben. Zwingende Wechsel- und Löschanforderungen haben Vorrang vor widersprechenden Fristen dieses Vertrags.

Bei bestätigter Schließung werden Zugang, öffentliche Veröffentlichung und aktive zugangsgewährende Links widerrufen. Personenbezogene Kundendaten werden innerhalb von 30 Tagen aus aktiven Systemen entfernt, bei gesetzlicher Pflicht früher. Zugriffsbeschränkte Sicherungen verfallen innerhalb weiterer 30 Tage. Sie bleiben bis dahin von gewöhnlicher Verarbeitung getrennt; vor erneutem Zugriff auf wiederhergestellte Daten werden Löschungen erneut angewendet.

Nur gesetzlich erforderliche Daten dürfen länger aufbewahrt werden, mit eingeschränktem Zugriff und zweckgebundener Nutzung. Formendi erläutert die Grundlage, soweit zulässig. Auf Anfrage bestätigt Formendi den Abschluss der jeweiligen Löschschritte. Kein Export kann Kopien bei unabhängigen Empfängern zurückrufen.

9. Informationen, Audits und Compliance

Formendi stellt erforderliche Informationen zum Nachweis der Einhaltung bereit und ermöglicht und unterstützt Audits einschließlich Inspektionen durch den Kunden oder einen beauftragten unabhängigen Prüfer. Zunächst können geeignete Unterlagen oder unabhängige Nachweise genutzt werden, soweit ausreichend. Sie ersetzen aber kein notwendiges Auditrecht.

Regelmäßige Audits sollen mit angemessener Ankündigung, Vertraulichkeit und Schutz anderer Kunden organisiert werden. Häufigkeit, Umfang und Kosten müssen verhältnismäßig sein. Dies beschränkt weder Aufsichtsbehörden noch dringende Vorfallsuntersuchungen oder zwingende gesetzliche Zugangsrechte.

10. Verantwortung und Dauer

Jede Partei bleibt für ihre anwendbaren Pflichten verantwortlich. Haftungsregeln der Nutzungsbedingungen gelten nur im rechtlich zulässigen Umfang und beseitigen niemals zwingende Datenschutzhaftung, Betroffenenrechte oder Formendis gesetzliche Verantwortung für Unterauftragsverarbeiter. Dieser Vertrag gilt bis zur Rückgabe beziehungsweise Löschung personenbezogener Kundendaten oder bis zum Ende einer gesetzlich erforderlichen zugriffsbeschränkten Aufbewahrung.

Anlage A – Beschreibung der Verarbeitung

• Gegenstand: gehosteter professioneller Arbeitsbereich für Projektmanagement.
• Art und Vorgänge: weisungsgemäße Erhebung, Organisation, Speicherung, Abruf, Berechnungen, Berichtserstellung, berechtigungsabhängige Offenlegung, kundengewählte Veröffentlichung und Exporte sowie Löschung.
• Zwecke: Bereitstellung von Budgets, Kosten und Bestellungen, Terminplanung, Kunden- und Lieferantenverwaltung, Fragebögen, Zusammenarbeit, Nachrichten sowie kundengesteuerten Berichten oder Veröffentlichungen.
• Dauer: Geschäftsbeziehung und begrenzter Rückgabe-, Lösch- und Sicherungszeitraum nach Abschnitt 8.
• Betroffene Personen: Beschäftigte und Mitwirkende des Kunden, Kunden und Interessenten, Lieferanten und Fachbetriebe samt Vertretungen, Fragebogenantwortende und Nachrichtenempfänger.
• Daten: Namen, Geschäfts- und Kontaktangaben, eingegebene Projektorte und Kennungen, personenbeziehbare Budget-, Rechnungs- und Zahlungsreferenzen und Beträge, Aufgabentermine, Kommunikation, berufliche Präferenzen und relevante Projektnotizen.
• Ausgeschlossen: besondere Kategorien nach Art. 9 DSGVO, Daten über strafrechtliche Verurteilungen und Straftaten nach Art. 10, Ausweiskopien, Passwörter anderer Dienste und vollständige Zahlungskartendaten. Unnötige Kinder- und Haushaltsdaten dürfen nicht eingegeben werden.
• Identität und Kontakt des Verantwortlichen: der bei Annahme dokumentierte Kunde und seine berechtigte Vertretung; Aktualisierung über authentifizierte Kontoverwaltung. Ein als Auftragsverarbeiter handelnder Kunde nennt auf Anfrage seinen jeweiligen Verantwortlichen, soweit für Compliance erforderlich.
• Unterauftragsverarbeiter, Orte und Übermittlungsregelungen: die aktuelle Fassung des Dienstleisterverzeichnisses, für die dort genannten Dienste einbezogen.

Anlage B – Mindestsicherheitsmaßnahmen

Formendi hält folgende Maßnahmen aufrecht:

1. Risikobasierte Zugriffskontrollen, minimale Rechte, authentifizierte individuelle Zugänge, Projekt- und Arbeitsbereichsautorisierung sowie unverzüglicher Entzug von Zugriffen.
2. Vertraulichkeitspflichten für Beschäftigte und dokumentierter beschränkter Support- und Verwaltungszugriff.
3. Verschlüsselte Netzwerkübertragung mit geprüftem TLS zum Ursprungsserver, sichere Sitzungsverarbeitung, CSRF-/Origin-Schutz sowie Schutz von Anwendungseingaben und -ausgaben.
4. Geschützte gespeicherte Daten und verschlüsselte Sicherungen mit kontrollierten Schlüsseln und Zugriffen; keine Produktionsinhalte in öffentlichem Code, Protokollen oder Testdaten.
5. Wiederherstellbare Sicherungen, regelmäßige Wiederherstellungsprüfungen, altersabhängiger Ablauf und erneute Anwendung von Löschweisungen nach Wiederherstellung.
6. Schwachstellen- und Patchmanagement, auf notwendige Daten begrenzte Protokollierung sowie Erkennung und Eskalation von Vorfällen.
7. Verfahren zur Reaktion auf Datenschutzverletzungen und Unterstützung bei Betroffenenanfragen, Folgenabschätzungen und erforderlichen Behördenkonsultationen.
8. Verzeichnis von Verarbeitung und Unterauftragsverarbeitern, Übermittlungskontrollen, dokumentierte Aufbewahrung und regelmäßige Prüfung dieser Maßnahmen.

Diese Kontrollen betreffen Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit. Die Anlage bedeutet keine Zertifizierung, Ende-zu-Ende-Verschlüsselung oder Zusage von Mehrfaktorauthentifizierung für ein Kundenkonto, sofern diese Funktion nicht ausdrücklich angeboten wird.