Auftragsverarbeitungsvertrag — Stand 17. August 2026

Zwischen dem Kunden als Verantwortlichem bzw. Auftraggeber („Kunde“) und der Baldux GmbH als Auftragsbearbeiter/Auftragsverarbeiter („Baldux“).

Welche Dienstleister dabei als Unterauftragsbearbeiter mitwirken, steht auf der Seite Unterauftragsbearbeiter. Der Vorrang der AGB und die Regeln zu Rechten an Software stehen in den Allgemeinen Geschäftsbedingungen. Die zugesagten technischen und organisatorischen Maßnahmen stehen am Ende dieser Seite in der Anlage TOM.

AVV 1. Gegenstand und Rang

1.1 Dieser AVV konkretisiert die datenschutzrechtlichen Pflichten der Parteien, soweit Baldux Personendaten/personenbezogene Daten im Auftrag des Kunden bearbeitet.

1.2 Er gilt ergänzend zum Hauptvertrag und geht diesem bei Widersprüchen in Fragen der Auftragsverarbeitung vor.

1.3 Soweit die DSGVO anwendbar ist, dient dieser AVV insbesondere der Erfüllung von Art. 28 DSGVO; nach Schweizer Recht insbesondere der Auftragsbearbeitung gemäß Art. 9 DSG.

AVV 2. Art, Zweck und Umfang

2.1 Gegenstand der Verarbeitung sind Entwicklungs-, Integrations-, Hosting-, Support-, Betriebs-, Sicherungs- und sonstige im Hauptvertrag vereinbarte Leistungen.

2.2 Verarbeitungsarten können – soweit erforderlich – Erheben, Erfassen, Ordnen, Speichern, Anpassen, Auslesen, Abfragen, Verwenden, Übermitteln, Bereitstellen, Abgleichen, Einschränken, Löschen und Vernichten umfassen.

2.3 Die Verarbeitung erfolgt grundsätzlich für die Dauer des Hauptvertrags und nur im Umfang der dokumentierten Weisungen des Kunden.

AVV 3. Datenkategorien und Betroffene

3.1 Je nach Customer Application können insbesondere Stamm-, Kontakt-, Vertrags-, Kommunikations-, Nutzungs-, Transaktions-, Mitarbeiter-, Kunden-, Lieferanten- oder technische Protokolldaten betroffen sein.

3.2 Betroffene Personen können insbesondere Mitarbeiter, Kunden, Interessenten, Lieferanten, Geschäftspartner und Nutzer des Kunden sein.

3.3 Besondere Kategorien personenbezogener Daten oder Daten, die Berufs-, Bank-, Amts- oder sonstigen gesetzlichen Geheimnissen unterliegen, dürfen nur verarbeitet werden, wenn dies ausdrücklich vereinbart und im Sicherheitskonzept berücksichtigt wurde.

AVV 4. Weisungen

4.1 Baldux verarbeitet die Daten ausschließlich nach dokumentierten Weisungen des Kunden, soweit keine gesetzliche Verpflichtung zu einer abweichenden Verarbeitung besteht.

4.2 Ist Baldux der Ansicht, dass eine Weisung gegen anwendbares Datenschutzrecht verstößt, informiert Baldux den Kunden und darf die betreffende Weisung bis zur Klärung aussetzen, soweit rechtlich zulässig.

4.3 Weisungen können in Textform, über vereinbarte Systeme oder im Rahmen dokumentierter Support-/Projektanforderungen erteilt werden.

AVV 5. Vertraulichkeit und Personal

5.1 Baldux stellt sicher, dass zur Verarbeitung befugte Personen angemessen zur Vertraulichkeit verpflichtet sind und nur im erforderlichen Umfang Zugriff erhalten.

5.2 Zugriffsrechte werden nach dem Need-to-know- und Least-Privilege-Prinzip vergeben und bei Wegfall der Erforderlichkeit entzogen.

AVV 6. Technische und organisatorische Maßnahmen

6.1 Baldux setzt angemessene technische und organisatorische Maßnahmen ein, die dem Risiko, Stand der Technik, Art, Umfang und Zweck der Verarbeitung Rechnung tragen. Die aktuell vorgesehenen Maßnahmen sind in Anlage TOM beschrieben.

6.2 Baldux darf die TOM weiterentwickeln, sofern das vereinbarte Schutzniveau insgesamt nicht wesentlich abgesenkt wird.

AVV 7. Unterauftragsbearbeiter

7.1 Der Kunde erteilt Baldux eine allgemeine Genehmigung zum Einsatz von Unterauftragsbearbeitern, die für die Leistung erforderlich sind.

7.2 Baldux führt eine aktuelle Liste der wesentlichen Unterauftragsbearbeiter unter /unterauftragsbearbeiter. Neue oder ersetzte Unterauftragsbearbeiter werden dem Kunden in angemessener Weise vorab mitgeteilt, soweit sie personenbezogene Kundendaten im Auftrag verarbeiten.

7.3 Der Kunde kann aus berechtigten datenschutzrechtlichen Gründen innerhalb von 14 Tagen widersprechen. Können die Parteien keine angemessene Lösung finden, kann Baldux die betroffene Leistung ändern oder beide Parteien können den betroffenen Leistungsteil außerordentlich beenden.

7.4 Baldux verpflichtet Unterauftragsbearbeiter vertraglich zu einem im Wesentlichen gleichwertigen Datenschutzniveau.

AVV 8. Drittlandübermittlungen

8.1 Übermittlungen in Staaten ohne anerkannt angemessenes Datenschutzniveau erfolgen nur, wenn eine anwendbare Rechtsgrundlage und geeignete Garantien bestehen, insbesondere anerkannte Standardvertragsklauseln und erforderliche ergänzende Maßnahmen.

8.2 Soweit Schweizer DSG anwendbar ist, berücksichtigt Baldux die Anforderungen an Bekanntgaben ins Ausland nach Art. 16 ff. DSG und die jeweils anwendbaren schweizerischen Anpassungen.

8.3 Soweit DSGVO anwendbar ist, berücksichtigt Baldux Kapitel V DSGVO.

AVV 9. Unterstützung des Kunden

9.1 Baldux unterstützt den Kunden unter Berücksichtigung der Art der Verarbeitung und der verfügbaren Informationen angemessen bei Betroffenenrechten, Datenschutz-Folgenabschätzungen, Konsultationen und sonstigen gesetzlichen Pflichten.

9.2 Anfragen betroffener Personen, die erkennbar den Kunden betreffen, leitet Baldux an den Kunden weiter und beantwortet sie nicht eigenständig, soweit keine eigene gesetzliche Pflicht besteht.

9.3 Zusätzlicher Aufwand, der über die reguläre Leistung hinausgeht und nicht auf einer Pflichtverletzung von Baldux beruht, kann nach vorheriger Abstimmung nach Aufwand vergütet werden.

AVV 10. Verletzungen der Datensicherheit

10.1 Baldux informiert den Kunden unverzüglich über Verletzungen der Datensicherheit, die personenbezogene Daten des Kunden betreffen, soweit Baldux hiervon Kenntnis erlangt und eine Mitteilungspflicht besteht.

10.2 Die Mitteilung enthält, soweit verfügbar, Art des Vorfalls, betroffene Daten/Personengruppen, voraussichtliche Folgen und ergriffene oder geplante Maßnahmen.

10.3 Baldux unterstützt den Kunden angemessen bei dessen gesetzlichen Melde- und Benachrichtigungspflichten.

AVV 11. Nachweise und Audits

11.1 Baldux stellt auf angemessene Anfrage Informationen zur Verfügung, die erforderlich sind, um die Einhaltung dieses AVV nachzuweisen.

11.2 Audits sollen vorrangig durch vorhandene Prüfberichte, Zertifizierungen, Dokumentationen oder Remote-Prüfungen erfolgen. Vor-Ort-Prüfungen bedürfen eines berechtigten Grundes, angemessener Vorankündigung und dürfen Sicherheit, Vertraulichkeit anderer Kunden und Betriebsabläufe nicht gefährden.

11.3 Der Kunde trägt seine Auditkosten und angemessenen Zusatzaufwand von Baldux, sofern kein wesentlicher Verstoß von Baldux festgestellt wird.

AVV 12. Rückgabe und Löschung

12.1 Nach Ende der Auftragsverarbeitung löscht oder gibt Baldux personenbezogene Kundendaten nach Wahl des Kunden zurück, soweit keine gesetzliche Aufbewahrungspflicht entgegensteht.

12.2 Backups können bis zum regulären Überschreibungszyklus fortbestehen, sind bis dahin gegen produktive Nutzung geschützt und werden anschließend gelöscht.

12.3 Gesetzlich aufzubewahrende Daten werden gesperrt bzw. nur für den gesetzlichen Zweck aufbewahrt.

AVV 13. Haftung und Schlussbestimmungen

13.1 Haftung und Gerichtsstand richten sich nach dem Hauptvertrag, soweit zwingendes Datenschutzrecht keine abweichenden Regeln vorsieht.

13.2 Änderungen dieses AVV bedürfen der Textform. Aktualisierungen der TOM und Unterauftragsbearbeiterliste sind nach Maßgabe dieses AVV zulässig.

Anlage TOM

Die technischen und organisatorischen Maßnahmen nach AVV 6. Baldux darf sie weiterentwickeln, solange das Schutzniveau insgesamt nicht wesentlich abgesenkt wird.

Version 2026-08-17 · SHA-256 der Textfassung: 76a9c0620e6f25f2b08ab5643b765fd6e10f334e5d8e5fea227268bcafd8935e

Diese Fassung ist die für den Kundenbereich hinterlegte Version.