Auftragsverarbeitungsvertrag (DPA)

Zuletzt aktualisiert am 31. Juli 2026

Dieser Auftragsverarbeitungsvertrag (nachfolgend „DPA") ist Bestandteil des Vertragsverhältnisses zwischen dem Kunden (nachfolgend „Verantwortlicher") und der flow office GmbH, Beethovenstraße 8, 67098 Bad Dürkheim (nachfolgend „Auftragsverarbeiter", gemeinsam die „Parteien") über die Nutzung der Software FlowOffice („Leistung").

§ 1 Geltungsbereich und Verhältnis zum Hauptvertrag

Soweit im Rahmen der Leistung personenbezogene Daten im Auftrag des Verantwortlichen verarbeitet werden, gelten die Regelungen dieses DPA ergänzend zum jeweiligen Hauptvertrag (insbesondere den Allgemeinen Geschäftsbedingungen sowie gegebenenfalls bestehenden Einzelverträgen). Der DPA regelt die Verarbeitung personenbezogener Daten gemäß Art. 28 DSGVO. Im Fall von Widersprüchen zwischen diesem DPA und dem Hauptvertrag hat dieser DPA Vorrang.

§ 2 Gegenstand und Dauer der Verarbeitung

Gegenstand der Verarbeitung ist die im Rahmen der Leistung durch den Verantwortlichen veranlasste Verarbeitung personenbezogener Daten, insbesondere im Zusammenhang mit der Verwaltung von Projekten, Prozessen, Kunden, Mitarbeitern, Zeiten und Dokumenten. Die Verarbeitung erfolgt während der Laufzeit des Hauptvertrags und endet mit dessen Beendigung, unbeschadet gesetzlicher Aufbewahrungspflichten.

§ 3 Umfang, Art und Zweck der Verarbeitung

Der Auftragsverarbeiter verarbeitet die personenbezogenen Daten ausschließlich weisungsgebunden und zu dem Zweck, die Leistung vertragsgemäß zu erbringen. Art und Umfang der Verarbeitung ergeben sich aus dem Hauptvertrag sowie aus diesem DPA.

• Arten personenbezogener Daten: Stammdaten (z. B. Name, Anschrift), Kontaktdaten (z. B. E-Mail-Adresse, Telefonnummer), Bestandsdaten, Inhaltsdaten, Nutzungsdaten.
• Kategorien betroffener Personen: Kunden, Interessenten, Mitarbeiter sowie sonstige im Rahmen der Leistung verarbeitete Personen.

§ 4 Pflichten des Auftragsverarbeiters

Der Auftragsverarbeiter verpflichtet sich, insbesondere:

• die personenbezogenen Daten ausschließlich gemäß den dokumentierten Weisungen des Verantwortlichen zu verarbeiten (Art. 28 Abs. 3 Satz 2 lit. a DSGVO);
• die Vertraulichkeit der personenbezogenen Daten zu gewährleisten und sicherzustellen, dass sich die zur Verarbeitung befugten Personen zur Vertraulichkeit verpflichtet haben (Art. 28 Abs. 3 Satz 2 lit. b DSGVO);
• unter Berücksichtigung von Art. 32 DSGVO alle erforderlichen technischen und organisatorischen Maßnahmen zu treffen (Art. 28 Abs. 3 Satz 2 lit. c DSGVO);
• die Bedingungen des Art. 28 Abs. 2 und Abs. 4 DSGVO für die Inanspruchnahme von Unterauftragsverarbeitern einzuhalten (Art. 28 Abs. 3 Satz 2 lit. d DSGVO);
• den Verantwortlichen unter Berücksichtigung der Art der Verarbeitung nach Möglichkeit mit geeigneten technischen und organisatorischen Maßnahmen bei der Erfüllung der Pflichten des Verantwortlichen auf Anfragen von betroffenen Personen auf Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit sowie Widerspruch zu unterstützen (Art. 28 Abs. 3 Satz 2 lit. e DSGVO);
• den Verantwortlichen bei der Einhaltung der Pflichten gemäß Art. 32 bis 36 DSGVO zu unterstützen (Art. 28 Abs. 3 Satz 2 lit. f DSGVO);
• nach Wahl des Verantwortlichen alle personenbezogenen Daten nach Beendigung der Leistung zu löschen oder zurückzugeben und vorhandene Kopien zu löschen (Art. 28 Abs. 3 Satz 2 lit. g DSGVO);
• dem Verantwortlichen alle Informationen, die zum Nachweis der Einhaltung der Pflichten erforderlich sind, zur Verfügung zu stellen und Kontrollen zu ermöglichen (Art. 28 Abs. 3 Satz 2 lit. h DSGVO).

§ 5 Weisungsrecht und Benachrichtigungspflicht

Der Verantwortliche erteilt dem Auftragsverarbeiter die Weisungen. Weisungsänderungen und -ergänzungen erfolgen schriftlich oder in Textform. Der Auftragsverarbeiter hat den Verantwortlichen unverzüglich zu informieren, wenn eine Weisung des Verantwortlichen gegen datenschutzrechtliche Vorschriften verstößt.

Stellt der Auftragsverarbeiter fest, dass eine Verarbeitung personenbezogener Daten gegen die DSGVO oder andere datenschutzrechtliche Vorschriften verstößt, hat er den Verantwortlichen unverzüglich zu informieren.

§ 6 Unterauftragsverarbeiter

Der Auftragsverarbeiter darf Unterauftragsverarbeiter nur mit vorheriger allgemeiner oder besonderer schriftlicher Genehmigung des Verantwortlichen einsetzen (Art. 28 Abs. 2 DSGVO). Aktuelle Informationen zu den eingesetzten Unterauftragsverarbeitern kann der Verantwortliche jederzeit beim Auftragsverarbeiter anfordern.

Setzt der Auftragsverarbeiter einen Unterauftragsverarbeiter ein, hat er sicherzustellen, dass diesem dieselben datenschutzrechtlichen Verpflichtungen auferlegt werden, wie sie in diesem DPA vorgesehen sind (Art. 28 Abs. 4 DSGVO). Kommt der Unterauftragsverarbeiter seinen datenschutzrechtlichen Pflichten nicht nach, bleibt der Auftragsverarbeiter dem Verantwortlichen gegenüber voll verantwortlich.

§ 7 Rechte betroffener Personen

Der Auftragsverarbeiter unterstützt den Verantwortlichen nach Maßgabe des Art. 28 Abs. 3 Satz 2 lit. e DSGVO bei der Erfüllung von Anfragen betroffener Personen. Der Auftragsverarbeiter wird Anfragen betroffener Personen, die ihn unmittelbar erreichen, unverzüglich an den Verantwortlichen weiterleiten.

§ 8 Meldung von Datenschutzverletzungen

Der Auftragsverarbeiter meldet dem Verantwortlichen Verletzungen des Schutzes personenbezogener Daten („Datenpanne") unverzüglich und, soweit möglich, innerhalb von 72 Stunden, nachdem er hiervon Kenntnis erlangt hat, gemäß Art. 33 Abs. 2 DSGVO. Die Meldung erfolgt an folgende Stelle: info@flow-office.eu.

§ 9 Technische und organisatorische Maßnahmen

Der Auftragsverarbeiter hat unter Berücksichtigung des Stands der Technik, der Implementierungskosten und der Art, des Umfangs, der Umstände und der Zwecke der Verarbeitung sowie der unterschiedlichen Eintrittswahrscheinlichkeit und Schwere des Risikos für die Rechte und Freiheiten natürlicher Personen geeignete technische und organisatorische Maßnahmen gemäß Art. 32 DSGVO getroffen, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten. Dazu gehören unter anderem die Pseudonymisierung und die Verschlüsselung personenbezogener Daten, Maßnahmen zur Gewährleistung der Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit der Systeme sowie die Fähigkeit, die Verfügbarkeit der personenbezogenen Daten bei einem physischen oder technischen Zwischenfall rasch wiederherzustellen. Der Verantwortliche kann die Maßnahmen beim Auftragsverarbeiter anfordern.

§ 10 Kontrollrechte des Verantwortlichen

Der Verantwortliche hat das Recht, sich durch geeignete Prüfungen oder Kontrollen von der Einhaltung der in diesem DPA festgelegten Pflichten durch den Auftragsverarbeiter zu überzeugen (Art. 28 Abs. 3 Satz 2 lit. h DSGVO). Der Auftragsverarbeiter stellt dem Verantwortlichen hierzu die erforderlichen Informationen zur Verfügung. Auf Verlangen sind die Unterlagen in dem Umfang vorzulegen, der zum Nachweis der Einhaltung der Pflichten erforderlich ist.

§ 11 Übermittlungen in Drittländer

Eine Übermittlung personenbezogener Daten in ein Drittland erfolgt durch den Auftragsverarbeiter nur auf dokumentierte Weisung des Verantwortlichen, soweit die Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind.

§ 12 Beendigung und Löschung

Nach Beendigung der Leistung hat der Auftragsverarbeiter nach Wahl des Verantwortlichen alle personenbezogenen Daten zu löschen oder an den Verantwortlichen zurückzugeben und vorhandene Kopien zu löschen, sofern nicht eine gesetzliche Pflicht zur Speicherung besteht.

§ 13 Haftung

Die Haftung der Parteien richtet sich nach den Regelungen des Hauptvertrags sowie den gesetzlichen Vorschriften. Für Schäden, die dem Verantwortlichen aus einer Verletzung der Pflichten aus diesem DPA entstehen, haftet der Auftragsverarbeiter nach Maßgabe der gesetzlichen Bestimmungen und des Hauptvertrags.

§ 14 Schlussbestimmungen

Es gilt das Recht der Bundesrepublik Deutschland. Für den Fall, dass einzelne Bestimmungen dieses DPA unwirksam sein sollten, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt. Die unwirksame Bestimmung ist durch eine wirksame Regelung zu ersetzen, die dem wirtschaftlichen Zweck der unwirksamen Bestimmung am nächsten kommt.

§ 15 Kontakt

Fragen zu diesem Auftragsverarbeitungsvertrag richten Sie bitte an: info@flow-office.eu oder an die flow office GmbH, Beethovenstraße 8, 67098 Bad Dürkheim.