Vertrag zur Auftragsverarbeitung

nach Art. 28 DSGVO · Stand: Juli 2026

Dieser Vertrag konkretisiert die Pflichten der Parteien, die sich aus der Nutzung von AmanaFlow gemäß den Allgemeinen Geschäftsbedingungen ergeben. Er wird mit Abschluss des Hauptvertrages wirksam.

§ 1 Gegenstand und Dauer

(1) Gegenstand ist die Verarbeitung personenbezogener Daten durch den Auftragsverarbeiter im Auftrag des Verantwortlichen im Rahmen der Bereitstellung und des Betriebs von AmanaFlow.

(2) Die Dauer entspricht der Laufzeit des Hauptvertrages. Eine Kündigung dieses Vertrages allein ist ausgeschlossen.

§ 2 Art, Umfang und Zweck der Verarbeitung

(1) Art der Verarbeitung: Erheben, Erfassen, Organisieren, Speichern, Anpassen, Auslesen, Verwenden, Übermitteln (Versand erzeugter Dokumente an vom Verantwortlichen bestimmte Empfänger), Löschen.

(2) Zweck: Verwaltung von Sterbefällen, Erstellung amtlicher und geschäftlicher Dokumente, Rechnungsstellung sowie Entgegennahme digital ausgefüllter Bestattervollmachten – jeweils zur Erfüllung der Aufgaben des Verantwortlichen als Bestattungsunternehmen.

Kategorien betroffener Personen

• verstorbene Personen sowie deren Angehörige
• Auftraggeber und Vollmachtgeber (Rechnungsempfänger)
• Mitarbeitende und Ansprechpartner des Verantwortlichen
• Kontaktpersonen bei Behörden, Friedhöfen und weiteren Beteiligten

Arten personenbezogener Daten

• Stammdaten (Name, Geburtsname, Geburtsdatum, Geburtsort, Staatsangehörigkeit, Familienstand)
• Kontaktdaten (Anschrift, Telefonnummer, E-Mail-Adresse)
• Angaben zum Sterbefall (Sterbedatum, Sterbeort, Bestattungsart, Zielort)
• Ausweisdokumente in Bild- oder Dateiform sowie Unterschriften
• Vertrags- und Abrechnungsdaten
• Nutzungsdaten der Anwendung (Anmeldezeitpunkte, Protokolldaten)

§ 3 Weisungsrecht

(1) Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen, es sei denn, er ist nach dem Recht der Union oder der Mitgliedstaaten zur Verarbeitung verpflichtet. In diesem Fall teilt er dem Verantwortlichen die rechtlichen Anforderungen vor der Verarbeitung mit, sofern das Recht dies nicht wegen eines wichtigen öffentlichen Interesses verbietet.

(2) Die Einstellungen und Eingaben des Verantwortlichen in AmanaFlow gelten als Weisung. Darüber hinausgehende Weisungen erfolgen in Textform an info@amanaflow.de.

(3) Der Auftragsverarbeiter informiert den Verantwortlichen unverzüglich, wenn er der Auffassung ist, dass eine Weisung gegen datenschutzrechtliche Vorschriften verstößt. Er ist berechtigt, die Ausführung einer solchen Weisung auszusetzen.

§ 4 Vertraulichkeit

(1) Der Auftragsverarbeiter setzt zur Verarbeitung nur Personen ein, die zur Vertraulichkeit verpflichtet oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen.

(2) Diese Verpflichtung besteht auch nach Beendigung der jeweiligen Tätigkeit fort.

§ 5 Technische und organisatorische Maßnahmen

(1) Der Auftragsverarbeiter trifft die in Anlage 1 beschriebenen technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO.

(2) Die Maßnahmen unterliegen dem technischen Fortschritt. Der Auftragsverarbeiter darf sie anpassen, sofern das vereinbarte Schutzniveau nicht unterschritten wird.

§ 6 Unterauftragsverarbeiter

(1) Der Verantwortliche erteilt seine allgemeine Genehmigung zur Beauftragung der in Anlage 2 genannten Unterauftragsverarbeiter.

(2) Beabsichtigt der Auftragsverarbeiter, weitere Unterauftragsverarbeiter hinzuzuziehen oder bestehende zu ersetzen, informiert er den Verantwortlichen mindestens vier Wochen vorher in Textform. Der Verantwortliche kann hiergegen innerhalb von zwei Wochen aus wichtigem datenschutzrechtlichem Grund Einspruch erheben. Im Fall eines berechtigten Einspruchs, der eine Leistungserbringung unmöglich macht, sind beide Parteien zur außerordentlichen Kündigung berechtigt.

(3) Der Auftragsverarbeiter verpflichtet Unterauftragsverarbeiter auf ein Schutzniveau, das diesem Vertrag entspricht.

§ 7 Unterstützung des Verantwortlichen

(1) Der Auftragsverarbeiter unterstützt den Verantwortlichen mit geeigneten Maßnahmen bei der Erfüllung von Anfragen betroffener Personen (Art. 12 bis 23 DSGVO). Wendet sich eine betroffene Person unmittelbar an den Auftragsverarbeiter, leitet dieser die Anfrage unverzüglich an den Verantwortlichen weiter.

(2) Der Auftragsverarbeiter unterstützt den Verantwortlichen bei der Einhaltung der Pflichten aus den Art. 32 bis 36 DSGVO, insbesondere bei Datenschutz-Folgenabschätzungen, soweit dies erforderlich und dem Auftragsverarbeiter möglich ist.

§ 8 Meldung von Verletzungen des Schutzes personenbezogener Daten

(1) Der Auftragsverarbeiter meldet dem Verantwortlichen jede ihm bekannt gewordene Verletzung des Schutzes personenbezogener Daten unverzüglich, spätestens innerhalb von 24 Stunden nach Kenntniserlangung, in Textform.

(2) Die Meldung enthält, soweit verfügbar, eine Beschreibung der Art der Verletzung, die betroffenen Kategorien und die ungefähre Zahl der betroffenen Personen und Datensätze, wahrscheinliche Folgen sowie ergriffene oder vorgeschlagene Gegenmaßnahmen.

§ 9 Löschung und Rückgabe

(1) Nach Beendigung des Hauptvertrages stellt der Auftragsverarbeiter die Daten für 30 Kalendertage zum Export bereit.

(2) Nach Ablauf dieser Frist löscht der Auftragsverarbeiter die personenbezogenen Daten einschließlich vorhandener Kopien, es sei denn, das Recht der Union oder der Mitgliedstaaten verpflichtet zur Speicherung. Sicherungskopien werden im Rahmen der regulären Sicherungszyklen überschrieben.

(3) Die Löschung wird auf Verlangen in Textform bestätigt.

§ 10 Nachweise und Kontrollen

(1) Der Auftragsverarbeiter weist die Einhaltung der Pflichten aus diesem Vertrag auf Anfrage in geeigneter Weise nach, insbesondere durch Auskunft und Vorlage der Dokumentation der Maßnahmen nach Anlage 1.

(2) Der Verantwortliche ist berechtigt, sich nach vorheriger Ankündigung mit angemessener Frist während der üblichen Geschäftszeiten von der Einhaltung zu überzeugen. Der Auftragsverarbeiter kann hierfür einen angemessenen Aufwandsersatz verlangen, sofern die Kontrolle über eine Auskunft hinausgeht.

§ 11 Haftung

Es gilt Art. 82 DSGVO. Im Innenverhältnis gelten ergänzend die Haftungsregelungen des Hauptvertrages, soweit dies nach Art. 82 DSGVO zulässig ist.

§ 12 Schlussbestimmungen

(1) Bei Widersprüchen zwischen diesem Vertrag und dem Hauptvertrag gehen die Regelungen dieses Vertrages vor, soweit sie die Verarbeitung personenbezogener Daten betreffen.

(2) Es gilt das Recht der Bundesrepublik Deutschland. Gerichtsstand ist Berlin, soweit gesetzlich zulässig.

(3) Sollte eine Bestimmung unwirksam sein oder werden, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt.

Anlage 1 — Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

Vertraulichkeit

• Zutrittskontrolle: Die Verarbeitung erfolgt ausschließlich in zertifizierten Rechenzentren der in Anlage 2 genannten Dienstleister. Eigene Serverräume werden nicht betrieben.
• Zugangskontrolle: Zugang nur über persönliche Benutzerkonten mit individuellem Passwort; Passwörter werden ausschließlich als bcrypt-Hash gespeichert. Zwei-Faktor-Anmeldung (TOTP) steht zur Verfügung und wird empfohlen. Automatische Begrenzung fehlgeschlagener Anmeldeversuche.
• Zugriffskontrolle: Rollenkonzept (Inhaber / Mitarbeitende). Strikte Mandantentrennung: Jeder Datensatz ist einem Betrieb fest zugeordnet; ein Zugriff über Betriebsgrenzen hinweg ist technisch ausgeschlossen.
• Trennungskontrolle: Logische Trennung der Daten je Betrieb auf Datenbankebene.
• Pseudonymisierung: Bild- und Ausweisdateien werden nach dem Versand an die vom Verantwortlichen bestimmten Empfänger nicht dauerhaft im Datenbestand vorgehalten.

Integrität

• Weitergabekontrolle: Übertragung ausschließlich TLS-verschlüsselt (HTTPS). E-Mail-Versand über TLS-gesicherte Verbindungen.
• Eingabekontrolle: Protokollierung von Anmeldungen und Änderungszeitpunkten; Löschvorgänge werden nachgehalten, sodass gelöschte Datensätze nicht unbemerkt wiederhergestellt werden.

Verfügbarkeit und Belastbarkeit

• Automatische Datensicherung durch den Datenbankdienstleister mit Wiederherstellungsmöglichkeit auf einen früheren Zeitpunkt.
• Sicherung des vorherigen Datenstandes vor jedem Schreibvorgang; ein leerer Datenstand überschreibt vorhandene Daten nicht.
• Redundante Infrastruktur des Hosting-Dienstleisters.

Verfahren zur regelmäßigen Überprüfung

• Datenschutz-Management durch den Inhaber; Verarbeitungsverzeichnis wird geführt.
• Regelmäßige Aktualisierung eingesetzter Software-Komponenten, insbesondere bei bekannt gewordenen Sicherheitslücken.
• Auftragskontrolle: Bindung der Unterauftragsverarbeiter durch AV-Verträge.
• Grundsatz der Datenminimierung: Es werden nur die für den Zweck erforderlichen Daten erhoben.

Anlage 2 — Unterauftragsverarbeiter

Änderungen dieser Liste werden dem Verantwortlichen nach § 6 Abs. 2 mitgeteilt.

AmanaFlow · Inhaber: Ahmad El-Ali · Pankower Allee 86 · 13409 Berlin · info@amanaflow.de