Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO für IT-Betreuung und KI-Einrichtung der JG Enterprise Capital GmbH. Stand: Oktober 2026
§ 1 Parteien und Gegenstand
(1) Verantwortlicher („Auftraggeber“) ist der Kunde, der diesen Vertrag bei der Beauftragung (Online-Bestellung oder Annahme eines Angebots) bestätigt.
(2) Auftragsverarbeiter („Auftragnehmer“): JG Enterprise Capital GmbH, Bergfeld 18, 21647 Moisburg, HRB 212141 Amtsgericht Tostedt, vertreten durch den Geschäftsführer Johannes Günther. Datenschutzkontakt: office@jg-enterprise-capital.com.
(3) Gegenstand dieses Vertrags ist die Verarbeitung personenbezogener Daten durch den Auftragnehmer im Auftrag des Auftraggebers bei Leistungen nach dem Hauptvertrag (Angebot bzw. Betreuungs-Abo samt AGB). Dieser Vertrag konkretisiert die datenschutzrechtlichen Pflichten nach Art. 28 DSGVO. Bei Widerspruch geht er dem Hauptvertrag vor.
§ 2 Art, Zweck, Daten und Betroffene
(1) Art und Zweck: Einrichtung, Betreuung, Wartung und Fehlerbehebung der IT- und KI-Systeme des Auftraggebers, aus der Ferne und vor Ort. Dabei kann der Auftragnehmer personenbezogene Daten einsehen, verarbeiten oder technisch verändern. Eine Nutzung für eigene Zwecke des Auftragnehmers ist ausgeschlossen.
(2) Arten von Daten: Kontakt- und Stammdaten, Kommunikationsdaten (E-Mails, Nachrichten, Kalender), Vertrags- und Rechnungsdaten, Dokumente und Dateien, Nutzungs- und Protokolldaten sowie Buchhaltungsdaten. Besondere Kategorien nach Art. 9 DSGVO (z. B. Gesundheitsdaten) verarbeitet der Auftragnehmer nicht gezielt; enthalten die Systeme des Auftraggebers solche Daten (z. B. in einer Praxis), kann er bei Wartungsarbeiten technisch darauf zugreifen.
(3) Betroffene: Kunden und Interessenten, Mitarbeiter, Lieferanten und sonstige Kontakte des Auftraggebers.
(4) Ort: Die Verarbeitung erfolgt in der EU bzw. im EWR. Eine Übermittlung in Drittländer erfolgt nur über die in Anlage 2 genannten Dienste und nur auf Grundlage von Art. 44 ff. DSGVO (z. B. Angemessenheitsbeschluss oder Standardvertragsklauseln).
§ 3 Weisungen und Pflichten des Auftragnehmers
(1) Der Auftragnehmer verarbeitet Daten nur auf dokumentierte Weisung des Auftraggebers. Weisungen erfolgen in Textform (z. B. E-Mail oder WhatsApp); mündliche Weisungen bestätigt der Auftraggeber unverzüglich in Textform. Die Freigabe eines Eingriffs nach AGB § 5 Abs. 3 gilt als Weisung.
(2) Hält der Auftragnehmer eine Weisung für rechtswidrig, weist er den Auftraggeber unverzüglich darauf hin und darf die Ausführung bis zur Klärung aussetzen.
(3) Der Auftragnehmer verpflichtet alle Personen, die Zugang zu den Daten haben, zur Vertraulichkeit, soweit sie nicht einer gesetzlichen Verschwiegenheitspflicht unterliegen.
(4) Der Auftragnehmer trifft die technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO aus Anlage 1. Er darf sie weiterentwickeln, solange das Schutzniveau nicht sinkt.
(5) Der Auftragnehmer greift nur über die nach AGB § 5 Abs. 4 eingerichteten oder überlassenen Zugänge zu und nur so weit, wie es für die jeweilige Aufgabe nötig ist. Daten werden nicht auf eigene Geräte kopiert, außer der Auftraggeber weist dies für eine bestimmte Aufgabe an; solche Kopien werden nach Abschluss der Aufgabe gelöscht.
(6) Unterliegt der Auftraggeber einer Berufsgeheimnispflicht (z. B. Ärzte, Zahnärzte, Steuerberater, Rechtsanwälte), verpflichtet sich der Auftragnehmer nach § 203 Abs. 4 StGB zur Verschwiegenheit und belehrt seine Mitwirkenden entsprechend.
§ 4 Unterauftragsverarbeiter
(1) Der Auftraggeber stimmt den in Anlage 2 genannten Unterauftragsverarbeitern zu.
(2) Neue oder ersetzte Unterauftragsverarbeiter kündigt der Auftragnehmer mindestens 4 Wochen vorher in Textform an. Der Auftraggeber kann innerhalb dieser Frist aus wichtigem datenschutzrechtlichem Grund widersprechen. Kommt keine Einigung zustande, können beide Seiten die betroffene Leistung kündigen.
(3) Der Auftragnehmer legt Unterauftragsverarbeitern vertraglich dieselben Datenschutzpflichten auf wie in diesem Vertrag.
(4) Keine Unterauftragsverarbeiter im Sinne dieses Vertrags sind Dienste, die der Auftraggeber selbst unmittelbar beauftragt (AGB § 6 Abs. 1), etwa sein Server-Hoster, sein KI-Anbieter oder sein E-Mail-Anbieter. Für diese schließt der Auftraggeber eigene Verträge zur Auftragsverarbeitung.
§ 5 Unterstützung, Meldungen und Kontrollen
(1) Der Auftragnehmer unterstützt den Auftraggeber bei Anfragen Betroffener (Art. 15–22 DSGVO), bei Datenschutz-Folgenabschätzungen und bei den Pflichten nach Art. 32–36 DSGVO. Unterstützung, die über einen geringen Aufwand hinausgeht, wird nach den Stundensätzen des Hauptvertrags vergütet, außer sie beruht auf einem Verstoß des Auftragnehmers.
(2) Erfährt der Auftragnehmer von einer Verletzung des Schutzes personenbezogener Daten, meldet er dies dem Auftraggeber unverzüglich, spätestens innerhalb von 24 Stunden, mit den ihm bekannten Angaben nach Art. 33 Abs. 3 DSGVO. Die Meldung an die Aufsichtsbehörde obliegt dem Auftraggeber.
(3) Der Auftraggeber darf die Einhaltung dieses Vertrags prüfen, vorrangig durch Auskünfte und Unterlagen in Textform, bei begründetem Anlass auch vor Ort nach Anmeldung mit angemessener Frist während der Geschäftszeiten. Der Auftragnehmer stellt alle nötigen Informationen zum Nachweis bereit.
(4) Der Auftragnehmer teilt dem Auftraggeber unverzüglich mit, wenn eine Behörde Maßnahmen ergreift, die die Daten des Auftraggebers betreffen.
§ 6 Laufzeit, Löschung, Haftung und Schluss
(1) Dieser Vertrag gilt, solange der Auftragnehmer für den Auftraggeber personenbezogene Daten verarbeitet oder Zugang zu ihnen hat, und endet nicht vor dem Hauptvertrag.
(2) Nach Ende der Leistungen gibt der Auftragnehmer nach Wahl des Auftraggebers alle Daten zurück oder löscht sie, löscht etwaige Kopien und gibt seine Zugänge zurück. Der Auftraggeber sperrt die Zugänge des Auftragnehmers bzw. ändert überlassene Passwörter. Gesetzliche Aufbewahrungspflichten bleiben unberührt. Die Löschung bestätigt der Auftragnehmer in Textform.
(3) Für die Haftung gilt Art. 82 DSGVO. Im Innenverhältnis gelten die Haftungsregeln des Hauptvertrags (AGB § 8), soweit Art. 82 DSGVO nicht zwingend etwas anderes vorsieht.
(4) Änderungen bedürfen der Textform. Sollte eine Bestimmung unwirksam sein, bleibt der Vertrag im Übrigen wirksam. Es gilt deutsches Recht.
Anlage 1 – Technische und organisatorische Maßnahmen (Art. 32 DSGVO)
Der Auftragnehmer ist ein Ein-Personen-Betrieb; Zugriff auf Daten des Auftraggebers hat nur der Geschäftsführer. Die Maßnahmen werden jährlich überprüft und bei Bedarf ergänzt.
Speicherort: Die Systeme des Auftraggebers laufen auf seinem eigenen Server (VPS). Kundendaten verbleiben dort; der Auftragnehmer greift nur per verschlüsseltem Fernzugang darauf zu und speichert sie nicht auf eigenen Geräten.
KI-Dienste: KI-Dienste (z. B. Claude, Claude Code) laufen über das eigene Konto des Auftraggebers. Über eigene KI-Konten verarbeitet der Auftragnehmer keine personenbezogenen Daten von Endkunden des Auftraggebers.
Zutritt: Arbeit im häuslichen Büro, abschließbar; keine Papierakten mit Kundendaten.
Zugang: Eigene Zugänge je Kunde, wo der Dienst es ermöglicht; überlassene Zugangsdaten des Auftraggebers und eigene Passwörter im Google-Passwortmanager, geschützt durch das Google-Konto mit Zwei-Faktor-Anmeldung; Zwei-Faktor-Anmeldung bei den zentralen Konten des Auftragnehmers (Google Workspace, Claude).
Zugriff: Nur die für die Aufgabe nötigen Rechte; keine Weitergabe von Zugangsdaten an Dritte.
Geräte: Geschützter Start des Arbeitsrechners, automatische Bildschirmsperre, aktuelle Updates und Virenschutz.
Weitergabe: Fernzugriff und Datenübertragung nur verschlüsselt (z. B. SSH, TLS).
Eingabekontrolle: Eingriffe nur nach Freigabe; Dokumentation durchgeführter Arbeiten im Leistungsnachweis bzw. in der Rechnung.
Verfügbarkeit: Datensicherung liegt beim Auftraggeber (AGB § 5 Abs. 2); Eingriffe erst nach bestätigtem Backup.
Trennung: Getrennte Zugänge je Kunde; keine Zusammenführung von Kundendaten.
Zugesandte Unterlagen: Der Auftraggeber sendet Screenshots, Fehlermeldungen und weitergeleitete Nachrichten ohne Daten seiner Endkunden (geschwärzt oder anonymisiert). Gehen dennoch solche Daten ein, nutzt der Auftragnehmer sie nur für die Anfrage, wertet sie nicht mit KI-Diensten aus und löscht sie nach Abschluss der Anfrage.
Organisation: Schriftliche Vertraulichkeitsverpflichtung etwaiger Hilfspersonen; jährliche Überprüfung dieser Maßnahmen.
Anlage 2 – Unterauftragsverarbeiter
Nur Dienste, die der Auftragnehmer selbst beauftragt und über die Daten des Auftraggebers laufen können. Änderungen kündigt der Auftragnehmer nach § 4 Abs. 2 an.
Google Ireland Ltd. (Google Workspace): E-Mail, Ablage und Kalender des Auftragnehmers, soweit der Auftraggeber trotz Anlage 1 Daten seiner Endkunden darüber sendet. Ort: EU, ggf. USA (Angemessenheitsbeschluss / Standardvertragsklauseln).
Nicht aufgeführt sind Dienste, die der Auftraggeber selbst beauftragt (z. B. sein VPS-Anbieter oder sein Claude-Konto bei Anthropic); dafür schließt er eigene Vereinbarungen (§ 4 Abs. 4).
Abschluss
Dieser Vertrag wird in elektronischer Form geschlossen (Art. 28 Abs. 9 DSGVO), indem der Auftraggeber ihn bei der Beauftragung bestätigt. Der Auftraggeber erhält die geltende Fassung per E-Mail.