Vertrag zur Auftragsverarbeitung

nach Art. 28 DSGVO

Rechtliche Prüfung ausstehend. Dieser Entwurf bildet ab, was das System technisch tatsächlich tut. Er ist vor dem ersten Vertragsschluss anwaltlich zu prüfen.

Zwischen dem Kunden (Verantwortlicher) und Newsite GmbH (Auftragsverarbeiter).

1. Gegenstand und Dauer

Gegenstand ist die Verarbeitung personenbezogener Daten, die der Verantwortliche im Rahmen der Nutzung von newsite Business Tools hochlädt oder eingibt. Die Verarbeitung dauert so lange wie der Hauptvertrag.

2. Art, Zweck und Umfang

Speicherung, Strukturierung, Auswertung und Bereitstellung von Unternehmensunterlagen und Angaben des Verantwortlichen zu den Zwecken der jeweils eingeschalteten Werkzeuge: Beantwortung von Fragebögen, die der Verantwortliche gegenüber Geschäftspartnern zu beantworten hat; Erfassung und Aufbereitung von Nachhaltigkeitsangaben; Auswertung von Vergabeunterlagen zur Vorbereitung einer Bietentscheidung.

3. Art der Daten und Kategorien betroffener Personen

Art der Daten: Inhalte der hochgeladenen Unterlagen. Diese sind in aller Regel Unternehmensdaten; personenbezogene Daten treten typischerweise als Kontaktangaben, Namen von Ansprechpartnern, Unterschriften und Zertifikatsinhabern auf, in Vergabeunterlagen zusätzlich als Kontaktangaben der Vergabestelle, in Nachhaltigkeitsangaben als zusammengefasste Beschäftigtenzahlen.
Betroffene Personen: Beschäftigte und Ansprechpartner des Verantwortlichen sowie Personen, die in den hochgeladenen Unterlagen benannt sind.

Der Verantwortliche entscheidet, welche Unterlagen er hochlädt. Das System fordert keine besonderen Kategorien personenbezogener Daten nach Art. 9 DSGVO an und ist für deren Verarbeitung nicht vorgesehen.

4. Weisungsbindung

Wir verarbeiten die Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen. Die Nutzung des Dienstes durch den Verantwortlichen gilt als Weisung. Halten wir eine Weisung für rechtswidrig, weisen wir darauf hin und dürfen die Ausführung aussetzen.

5. Vertraulichkeit

Alle mit der Verarbeitung befassten Personen sind zur Vertraulichkeit verpflichtet.

6. Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

Die getroffenen Maßnahmen sind auf der Sicherheitsseite im Einzelnen und überprüfbar beschrieben. Im Kern:

Mandantentrennung auf Datenbankebene durch Row Level Security, nicht durch Filterbedingungen in der Anwendung
Verschlüsselung hochgeladener Dateien im Ruhezustand (AES-256-GCM)
Transportverschlüsselung (TLS) für alle Zugriffe
Passwörter ausschließlich als Argon2id-Prüfwert; Sitzungs- und Einladungstoken ausschließlich als SHA-256-Abdruck
Verschlüsselte, auf Wiederherstellbarkeit geprüfte Sicherungen
Protokollierung sicherheitsrelevanter Vorgänge

7. Unterauftragsverarbeiter

Der Verantwortliche stimmt der Hinzuziehung der auf der Seite Unterauftragsverarbeiter genannten Dienstleister zu. Weitere ziehen wir nur nach vorheriger Information in Textform hinzu; ein Widerspruchsrecht aus wichtigem Grund bleibt unberührt.

8. Unterstützung des Verantwortlichen

Wir unterstützen den Verantwortlichen bei der Beantwortung von Anträgen betroffener Personen. Auskunft und Datenübertragbarkeit kann der Verantwortliche jederzeit selbst und ohne unser Zutun ausüben: die Anwendung stellt unter Ihre Daten ein vollständiges, maschinenlesbares Archiv bereit.

9. Meldung von Verletzungen

Wir melden dem Verantwortlichen jede uns bekannt gewordene Verletzung des Schutzes personenbezogener Daten unverzüglich, spätestens innerhalb von 24 Stunden nach Kenntnis, mit den uns vorliegenden Angaben.

10. Löschung und Rückgabe

Nach Beendigung der Verarbeitung löschen wir die Daten. Der Verantwortliche kann die Löschung jederzeit selbst auslösen; sie wird nach Ablauf einer Frist von 30 Tagen unwiderruflich ausgeführt. Die Frist dient allein dem Schutz vor einer versehentlichen Löschung und kann vom Verantwortlichen jederzeit durch Rücknahme beendet werden.

Verschlüsselte Sicherungen werden nicht einzeln bereinigt. Sie laufen nach 14 Tagen turnusmäßig ab; danach ist die Löschung auch dort vollzogen. Diese Einschränkung wird hier ausdrücklich genannt, weil sie technisch unvermeidlich ist.

11. Nachweise und Kontrollen

Wir stellen dem Verantwortlichen die zum Nachweis erforderlichen Informationen zur Verfügung und ermöglichen Überprüfungen. Vor-Ort-Prüfungen sind mit angemessener Vorankündigung und ohne Beeinträchtigung des Betriebs anderer Kunden möglich.

12. Ort der Verarbeitung

Die Verarbeitung findet innerhalb der Europäischen Union statt. Die Speicherung erfolgt in einem Rechenzentrum in Deutschland. Eine Übermittlung in ein Drittland findet nur statt, soweit sie sich aus einem auf der Seite Unterauftragsverarbeiter genannten Dienst ergibt und dort ausgewiesen ist.

13. Keine Nutzung zu Trainingszwecken

Die Daten des Verantwortlichen werden nicht zum Training von KI-Modellen verwendet.

Stand dieser Fassung: 22.09.2026. Bei Fragen erreichen Sie uns unter kontakt@newsite-gmbh.de.