Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO

Stand: 14. November 2026 · Anlage zu den AGB zum FORMED Anfrage-System

Dieser Vertrag gilt zwischen dem Kunden (Verantwortlicher) und der FORMED AUTOMATION LTD, 71–75 Shelton Street, London WC2H 9JQ, Vereinigtes Königreich (Auftragsverarbeiter). Er wird mit dem Kauf des Anfrage-Systems Vertragsbestandteil.

1. Gegenstand, Dauer, Art und Zweck

FORMED betreibt für den Kunden eine Anfrage-Seite. Interessenten des Kunden beantworten dort Fragen und senden Kontaktdaten. FORMED speichert die Anfrage, ordnet sie nach festen Regeln ein und leitet sie per E-Mail an den Kunden weiter. Es wird kein Sprachmodell eingesetzt. Die Verarbeitung dauert so lange wie der Hauptvertrag zuzüglich der Fristen in Ziffer 9.

2. Art der Daten und betroffene Personen

• Betroffene: Interessenten und Kunden des Verantwortlichen, die eine Anfrage senden.
• Daten: Name, E-Mail-Adresse, Telefonnummer, Ort oder Postleitzahl, Antworten zum Vorhaben (zum Beispiel Leistung, Zeitpunkt, Budget), freie Nachricht, Zeitpunkt der Anfrage, Einwilligungen zur Kontaktaufnahme.
• Besondere Kategorien nach Art. 9 DSGVO werden nicht abgefragt. Der Kunde richtet keine Fragen ein, die solche Daten verlangen.

3. Weisungen

FORMED verarbeitet die Daten nur auf dokumentierte Weisung des Kunden, auch in Bezug auf Übermittlungen in Drittländer, es sei denn, FORMED ist nach Unionsrecht oder dem Recht eines Mitgliedstaats zur Verarbeitung verpflichtet; in diesem Fall teilt FORMED dem Kunden diese Pflicht vor der Verarbeitung mit, sofern das Recht dies nicht verbietet. Die Weisungen ergeben sich aus diesem Vertrag, den AGB und den Einstellungen im Kundenbereich (zum Beispiel Löschfrist, Nachfassen). Weitere Weisungen erteilt der Kunde in Textform. Hält FORMED eine Weisung für rechtswidrig, weist FORMED den Kunden unverzüglich darauf hin.

4. Pflichten von FORMED

• Vertraulichkeit aller zur Verarbeitung befugten Personen.
• Technische und organisatorische Maßnahmen nach Art. 32 DSGVO (Ziffer 5).
• Unterstützung des Kunden bei Anfragen betroffener Personen, bei Meldungen nach Art. 33 und 34 DSGVO und bei Datenschutz-Folgenabschätzungen, soweit es die eigene Verarbeitung betrifft.
• Meldung einer Verletzung des Schutzes personenbezogener Daten an den Kunden ohne unangemessene Verzögerung, möglichst innerhalb von 48 Stunden nach Kenntnis.
• Bereitstellung der Informationen, die zum Nachweis dieser Pflichten nötig sind, und Ermöglichung von Überprüfungen nach vorheriger Abstimmung.

5. Technische und organisatorische Maßnahmen

• Speicherung in einer Datenbank in der Europäischen Union (Frankfurt am Main), Zugriff nur serverseitig mit gesondertem Schlüssel, Zeilenschutz (Row Level Security) ohne öffentlichen Zugriff.
• Verschlüsselte Übertragung (TLS) für alle Seiten, Formulare und Mails an Dienstleister.
• Anmeldung zum Kundenbereich nur mit einmaligem Code an die hinterlegte E-Mail-Adresse, begrenzte Versuche, signierte Sitzung, strikte Trennung der Daten verschiedener Betriebe.
• Schutz der Formulare gegen Missbrauch (Begrenzung je Absender, Prüfung auf automatisierte Eingaben).
• Automatische Löschung nach der eingestellten Frist (Ziffer 9), keine Analyse- oder Werbe-Tracker auf den Anfrage-Seiten.
• Verfügbarkeit durch Hosting und Datenbank bei spezialisierten Dienstleistern mit redundanter Infrastruktur; Zugänge zu den Verwaltungsoberflächen der Dienstleister nur für FORMED.
• Überprüfung der Maßnahmen mindestens einmal jährlich und nach wesentlichen Änderungen am System.

6. Unterauftragsverarbeiter

Der Kunde genehmigt die folgenden Unterauftragsverarbeiter:

• Supabase Inc., USA (Datenbank, Speicherort Rechenzentrum Frankfurt am Main; etwaige Übermittlungen auf Grundlage der EU-Standardvertragsklauseln)
• Vercel Inc., USA (Hosting und Auslieferung der Seiten; Übermittlung auf Grundlage des EU-US Data Privacy Framework bzw. der EU-Standardvertragsklauseln)
• Sendinblue SAS (Brevo), Frankreich (Versand der Benachrichtigungen per E-Mail)

Über neue oder ersetzte Unterauftragsverarbeiter informiert FORMED vorab in Textform. Der Kunde kann aus wichtigem datenschutzrechtlichem Grund innerhalb von 14 Tagen widersprechen; ist eine Einigung nicht möglich, kann er den Hauptvertrag zum Wirksamwerden der Änderung kündigen. FORMED erlegt jedem Unterauftragsverarbeiter vertraglich dieselben Datenschutzpflichten auf, die in diesem Vertrag festgelegt sind, und haftet gegenüber dem Kunden für deren Einhaltung.

7. Ort der Verarbeitung

FORMED hat seinen Sitz im Vereinigten Königreich. Für das Vereinigte Königreich besteht ein Angemessenheitsbeschluss der Europäischen Kommission. Übermittlungen in sonstige Drittländer erfolgen nur unter den Voraussetzungen der Art. 44 ff. DSGVO.

8. Rechte des Kunden

Der Kunde bleibt für die Rechtmäßigkeit der Verarbeitung gegenüber seinen Interessenten verantwortlich, insbesondere für die Informationspflichten auf seiner Anfrage-Seite. FORMED stellt dafür einen Hinweistext bereit, den der Kunde prüft und anpasst.

9. Löschung und Rückgabe

Anfragen werden nach der im Kundenbereich eingestellten Frist automatisch gelöscht, ohne eigene Einstellung nach 90 Tagen. Nach Ende des Hauptvertrags gibt FORMED die Daten nach Wahl des Kunden innerhalb von 30 Tagen als CSV zurück oder löscht sie; nach der Rückgabe werden sie ebenfalls gelöscht, soweit keine Pflicht zur Speicherung nach Unionsrecht oder dem Recht eines Mitgliedstaats besteht. Die Löschung bestätigt FORMED auf Wunsch in Textform.

10. Haftung und Schlussbestimmungen

Für die Haftung gilt Art. 82 DSGVO; im Übrigen gelten die Haftungsregeln der AGB. Bei Widersprüchen zwischen diesem Vertrag und den AGB geht dieser Vertrag in Fragen des Datenschutzes vor. Es gilt deutsches Recht.