Vertrag zur Auftragsverarbeitung (Fernwartung)

Muster · Stand: Oktober 2026

zwischen dem Kunden (nachfolgend „Auftraggeber“) und Nubaris, Inhaber Mikhail Izmailov, Bruckstraße 21, 72160 Horb am Neckar (nachfolgend „Auftragnehmer“). Der Vertrag kommt zustande, indem der Auftraggeber ihn per E-Mail an kontakt@nubaris.de anfordert und der Auftragnehmer ihn in Textform bestätigt (Art. 28 Abs. 9 DSGVO). Auf Wunsch stellen wir ihn auch als unterschriebenes PDF bereit.

1. Gegenstand und Dauer

Der Auftragnehmer erbringt für den Auftraggeber Dienstleistungen per Fernwartung, insbesondere die Einrichtung der Software FolderLift, die Anmeldung am Microsoft-365-Tenant sowie Prüf- und Testläufe (Hauptvertrag: Bestellung im Shop gemäß den AGB). Dabei kann der Auftragnehmer Kenntnis von personenbezogenen Daten erhalten. Die Laufzeit dieses Vertrags richtet sich nach der Laufzeit des Hauptvertrags.

2. Art und Zweck der Verarbeitung, Daten und Betroffene

Art der Verarbeitung ist die Einsichtnahme in Systeme des Auftraggebers während einer von ihm freigegebenen Fernwartungssitzung. Zweck ist ausschließlich die Erbringung der beauftragten Dienstleistung. Betroffen sein können Bestandsdaten von Benutzerkonten (Namen, E-Mail-Adressen, Gruppenmitgliedschaften), Datei- und Ordnernamen sowie Inhalte, die während der Sitzung sichtbar werden. Betroffene sind Beschäftigte, Kunden und Geschäftspartner des Auftraggebers. Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO) werden nicht gezielt verarbeitet.

3. Weisungen

Der Auftragnehmer verarbeitet personenbezogene Daten nur auf dokumentierte Weisung des Auftraggebers, auch in Bezug auf Übermittlungen in Drittländer. Weisungen erteilt der Auftraggeber während der Sitzung oder in Textform. Hält der Auftragnehmer eine Weisung für rechtswidrig, informiert er den Auftraggeber unverzüglich.

4. Vertraulichkeit

Der Auftragnehmer verarbeitet die Daten persönlich. Er ist zur Vertraulichkeit verpflichtet; diese Pflicht gilt über das Ende des Vertrags hinaus. Setzt er Mitarbeiter ein, verpflichtet er diese vorher auf die Vertraulichkeit.

5. Technische und organisatorische Maßnahmen

Der Auftragnehmer trifft die Maßnahmen nach Art. 32 DSGVO, insbesondere:

• Fernwartung nur auf Initiative und mit Freigabe des Auftraggebers, sitzungsbezogen und unter seiner Aufsicht; kein unbeaufsichtigter Zugriff.
• Keine Kopie, Speicherung oder Aufzeichnung von Daten oder Sitzungen des Auftraggebers auf Systemen des Auftragnehmers.
• Anmeldung an Kundensystemen nur mit vom Auftraggeber bereitgestellten oder freigegebenen Konten; Zugänge werden nicht gespeichert.
• Arbeitsplatz des Auftragnehmers mit Festplattenverschlüsselung, aktuellem Patchstand, Virenschutz, Bildschirmsperre und Passwort-Manager; Mehrfaktor-Anmeldung für alle Dienstkonten.
• Dokumentation jeder Sitzung (Datum, Dauer, durchgeführte Tätigkeiten), die der Auftraggeber auf Anfrage erhält.

6. Unterauftragsverarbeiter

Für die Fernwartung nutzt der Auftragnehmer die Bildschirmfreigabe von Microsoft Teams bzw. die Windows-Remotehilfe der Microsoft Ireland Operations Limited, One Microsoft Place, Dublin 18, Irland. Der Auftraggeber stimmt dem zu. Alternativ kann der Auftraggeber ein eigenes Fernwartungswerkzeug bereitstellen; dann ist dessen Anbieter kein Unterauftragsverarbeiter des Auftragnehmers. Weitere Unterauftragsverarbeiter setzt der Auftragnehmer nur nach vorheriger Information des Auftraggebers ein; dieser kann aus wichtigem datenschutzrechtlichem Grund widersprechen.

7. Unterstützung des Auftraggebers

Der Auftragnehmer unterstützt den Auftraggeber im angemessenen Umfang bei der Beantwortung von Anträgen betroffener Personen (Art. 12–23 DSGVO) sowie bei den Pflichten nach Art. 32–36 DSGVO.

8. Meldung von Datenschutzverletzungen

Der Auftragnehmer meldet dem Auftraggeber Verletzungen des Schutzes personenbezogener Daten unverzüglich, spätestens innerhalb von 24 Stunden nach Kenntnis, mit den Angaben nach Art. 33 Abs. 3 DSGVO, soweit sie ihm vorliegen.

9. Löschung und Rückgabe

Da keine Daten des Auftraggebers beim Auftragnehmer gespeichert werden, beschränkt sich die Löschpflicht auf etwaige Notizen zu einer Sitzung; diese löscht der Auftragnehmer nach Abschluss der Leistung, soweit keine gesetzliche Aufbewahrungspflicht besteht.

10. Nachweise und Kontrollen

Der Auftragnehmer stellt dem Auftraggeber alle erforderlichen Informationen zum Nachweis der Einhaltung dieses Vertrags zur Verfügung und ermöglicht Überprüfungen nach rechtzeitiger Anmeldung, in der Regel durch schriftliche Auskunft.

11. Haftung und Schlussbestimmungen

Für die Haftung gilt Art. 82 DSGVO; im Übrigen gelten die Haftungsregeln der AGB. Bei Widersprüchen geht dieser Vertrag dem Hauptvertrag in datenschutzrechtlichen Fragen vor. Es gilt deutsches Recht. Änderungen bedürfen der Textform.