Vertrag zur Auftragsverarbeitung (Art. 28 DSGVO)

Fassung 2 vom 21.10.2026

Verantwortlicher: der Kunde laut Hauptvertrag („Auftraggeber“).

Auftragsverarbeiter: Neretha Services, Inhaber Cumali Oruc, Im Scheidpatt 16, 41542 Dormagen, kontakt@neretha.de („Neretha“).

1. Gegenstand und Dauer

Neretha verarbeitet personenbezogene Daten im Auftrag des Auftraggebers ausschließlich, um die gebuchten Dienste nach den AGB bereitzustellen (Hosting, Speicherung, Anzeige, Export, Versand auf Veranlassung des Auftraggebers). Die Dauer entspricht der Laufzeit des Hauptvertrags einschließlich der Exportfrist nach Vertragsende.

2. Art, Zweck, Datenarten, Betroffene

3. Weisungen

Neretha verarbeitet nur auf dokumentierte Weisung des Auftraggebers, auch in Bezug auf Übermittlungen in Drittländer. Weisungen sind die AGB, dieser Vertrag, die Bedienung der Software durch den Auftraggeber sowie Einzelweisungen in Textform an kontakt@neretha.de. Hält Neretha eine Weisung für datenschutzwidrig, informiert Neretha den Auftraggeber unverzüglich (Art. 28 Abs. 3 UAbs. 2 DSGVO). Eine Verarbeitung aufgrund gesetzlicher Pflicht teilt Neretha vorher mit, soweit das erlaubt ist.

4. Pflichten von Neretha

1. Vertraulichkeit: Alle Personen mit Zugriff sind zur Vertraulichkeit verpflichtet.
2. Sicherheit: Neretha trifft die Maßnahmen nach Art. 32 DSGVO gemäß Anlage 1 (TOM) und passt sie dem Stand der Technik an, ohne das Schutzniveau zu senken.
3. Unterstützung: Neretha unterstützt den Auftraggeber bei Anfragen Betroffener (Art. 12–22), bei den Pflichten aus Art. 32–36 und bei Datenschutz-Folgenabschätzungen, soweit es Neretha betrifft. Aufwand außerhalb der Selbstbedienung kann nach Absprache vergütet werden.
4. Meldung von Datenschutzverletzungen an den Auftraggeber: unverzüglich, möglichst innerhalb von 24 Stunden nach Kenntnis, mit den Angaben nach Art. 33 Abs. 3 DSGVO, soweit bekannt.
5. Keine Nutzung der Auftragsdaten für eigene Zwecke, keine Werbung, kein Training externer KI-Modelle.
6. Neretha benennt als Ansprechpartner für Datenschutz: Cumali Oruc, kontakt@neretha.de. Ein Datenschutzbeauftragter ist derzeit nicht benannt, weil keine Pflicht nach § 38 BDSG besteht.

5. Unterauftragsverarbeiter

1. Der Auftraggeber stimmt dem Einsatz der in Anlage 2 genannten Unterauftragsverarbeiter zu (allgemeine Genehmigung, Art. 28 Abs. 2 DSGVO).
2. Neue oder ersetzte Unterauftragsverarbeiter kündigt Neretha mindestens 30 Tage vorher in Textform an. Der Auftraggeber kann aus wichtigem datenschutzrechtlichem Grund widersprechen; ist keine Lösung möglich, kann er den Hauptvertrag zum Wechselzeitpunkt kündigen.
3. Neretha verpflichtet Unterauftragsverarbeiter vertraglich auf ein gleichwertiges Schutzniveau.
4. Übermittlungen in Drittländer erfolgen nur unter den Voraussetzungen der Art. 44 ff. DSGVO (z. B. Angemessenheitsbeschluss EU-US Data Privacy Framework oder Standardvertragsklauseln).

6. Rechte des Auftraggebers, Kontrollen

Neretha weist die Einhaltung durch Selbstauskunft, Vorlage der TOM und der Verträge mit Unterauftragsverarbeitern (in den nicht vertraulichen Teilen) nach. Vor-Ort-Kontrollen sind nach Ankündigung von mindestens 14 Tagen, während der Geschäftszeiten und ohne Zugriff auf Daten anderer Kunden möglich; der Auftraggeber trägt deren Kosten.

7. Löschung und Rückgabe

Nach Vertragsende gibt Neretha die Auftragsdaten nach Wahl des Auftraggebers zurück (Export nach AGB § 7 Abs. 4, mindestens 30 Kalendertage abrufbar) oder löscht sie. Danach löscht Neretha die Auftragsdaten einschließlich Kopien; Datensicherungen werden spätestens nach 90 Tagen überschrieben oder gelöscht. Ausgenommen sind Daten, die Neretha selbst gesetzlich aufbewahren muss. Die Löschung bestätigt Neretha auf Anfrage in Textform.

8. Haftung, Schlussbestimmungen

Die Haftung richtet sich nach Art. 82 DSGVO; im Innenverhältnis gelten ergänzend die Regeln der AGB, soweit Art. 82 nichts anderes bestimmt. Bei Widersprüchen geht dieser Vertrag den AGB in Fragen des Datenschutzes vor.

Anlagen: 1 TOM · 2 Unterauftragsverarbeiter

Anlage 1 · Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

Stand 21.10.2026, ehrlicher Ist-Stand. „Geplant“ heißt: noch nicht umgesetzt.

Anlage 2 · Unterauftragsverarbeiter

Stand 21.10.2026.

Fassung 2 vom 21.10.2026