Vereinbarung nach Art. 28 DSGVO · Stand: 3. August 2026
Diese Vereinbarung ergänzt die Allgemeinen Geschäftsbedingungen und regelt die Verarbeitung personenbezogener Daten, die der Anbieter im Auftrag des Kunden vornimmt. Sie wird mit dem Abschluss des Nutzungsvertrages über Komma wirksam.
(1) Verantwortlicher im Sinne des Art. 4 Nr. 7 DSGVO ist der Kunde, also die Organisation, die Komma nutzt.
(2) Auftragsverarbeiter im Sinne des Art. 4 Nr. 8 DSGVO ist Daniel Hoffmann, Wilhelmshavener Str. 28a, 10551 Berlin, E-Mail info@komma.team.
(3) Gegenstand der Verarbeitung ist die Bereitstellung und der Betrieb der Software Komma einschließlich Hosting, Datensicherung, Wartung und Support.
(4) Die Verarbeitung findet ausschließlich in Mitgliedstaaten der Europäischen Union statt. Eine Verlagerung in ein Drittland erfolgt nur mit vorheriger Zustimmung des Verantwortlichen und nur unter den Voraussetzungen der Art. 44 ff. DSGVO.
Die Vereinbarung beginnt mit dem Nutzungsvertrag über Komma und läuft für dessen Dauer. Sie endet mit dessen Beendigung, ohne dass es einer gesonderten Kündigung bedarf. Die Pflichten aus § 9 (Löschung und Rückgabe) gelten über das Vertragsende hinaus fort.
(1) Zweck der Verarbeitung ist die Verwaltungstätigkeit des Verantwortlichen, insbesondere die Verwaltung von Kontakten und Mitgliedern, die Kommunikation per E-Mail und Brief, die Termin- und Kalenderverwaltung, die Veröffentlichung von Website-Inhalten sowie — soweit gebucht — die Finanz- und Spendenverwaltung.
(2) Art der Verarbeitung: Erheben, Erfassen, Organisieren, Ordnen, Speichern, Anpassen, Auslesen, Abfragen, Verwenden, Übermitteln, Löschen und Vernichten personenbezogener Daten mittels automatisierter Verfahren.
(3) Kategorien betroffener Personen:
(4) Kategorien personenbezogener Daten:
(5) Der Verantwortliche entscheidet allein darüber, welche Daten er in Komma einstellt, und ist für die Zulässigkeit der Verarbeitung verantwortlich.
(1) Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen, es sei denn, er ist nach dem Recht der Union oder der Mitgliedstaaten zur Verarbeitung verpflichtet. In einem solchen Fall teilt er dem Verantwortlichen diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht dies nicht wegen eines wichtigen öffentlichen Interesses verbietet.
(2) Die Nutzung der Funktionen von Komma durch den Verantwortlichen gilt als Weisung. Ergänzende Einzelweisungen sind in Textform an info@komma.team zu richten.
(3) Ist der Auftragsverarbeiter der Ansicht, dass eine Weisung gegen datenschutzrechtliche Vorschriften verstößt, informiert er den Verantwortlichen unverzüglich. Er ist berechtigt, die Ausführung der betreffenden Weisung bis zu deren Bestätigung oder Änderung auszusetzen.
(1) Der Auftragsverarbeiter setzt zur Verarbeitung nur Personen ein, die zur Vertraulichkeit verpflichtet oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen (Art. 28 Abs. 3 lit. b DSGVO).
(2) Die Vertraulichkeitsverpflichtung besteht auch nach Beendigung der Tätigkeit fort.
(3) Ein Zugriff auf Daten des Verantwortlichen erfolgt nur, soweit dies zur Erbringung der vereinbarten Leistungen erforderlich ist, insbesondere zur Fehleranalyse und zum Support. Solche Zugriffe werden protokolliert.
(1) Der Auftragsverarbeiter trifft die nach Art. 32 DSGVO erforderlichen technischen und organisatorischen Maßnahmen. Der jeweils aktuelle Stand ist in Anlage 1 beschrieben.
(2) Die Maßnahmen unterliegen dem technischen Fortschritt. Der Auftragsverarbeiter darf sie anpassen, solange das vereinbarte Schutzniveau nicht unterschritten wird.
(1) Der Verantwortliche erteilt hiermit die allgemeine Genehmigung zur Beauftragung der in Anlage 2 genannten Unterauftragsverarbeiter.
(2) Beabsichtigt der Auftragsverarbeiter, einen weiteren Unterauftragsverarbeiter hinzuzuziehen oder einen bestehenden zu ersetzen, informiert er den Verantwortlichen mindestens vier Wochen vorher in Textform. Der Verantwortliche kann der Änderung innerhalb dieser Frist aus wichtigem datenschutzrechtlichem Grund widersprechen. Widerspricht er, kann jede Partei den Nutzungsvertrag zum geplanten Wirksamwerden der Änderung kündigen.
(3) Der Auftragsverarbeiter wählt Unterauftragsverarbeiter sorgfältig aus und verpflichtet sie vertraglich auf Datenschutzpflichten, die denen dieser Vereinbarung entsprechen.
(4) Leistungen, die der Auftragsverarbeiter als Nebenleistung in Anspruch nimmt (z. B. Telekommunikation, Reinigung, Wartung), gelten nicht als Unterauftragsverarbeitung im Sinne dieser Vereinbarung.
(1) Der Auftragsverarbeiter unterstützt den Verantwortlichen mit geeigneten technischen und organisatorischen Maßnahmen dabei, Anträge betroffener Personen auf Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit und Widerspruch (Art. 12 bis 23 DSGVO) zu erfüllen. Komma stellt hierfür Auskunfts-, Export- und Löschfunktionen bereit.
(2) Wendet sich eine betroffene Person unmittelbar an den Auftragsverarbeiter, leitet dieser das Anliegen unverzüglich an den Verantwortlichen weiter und beantwortet es nicht selbst.
(3) Der Auftragsverarbeiter meldet dem Verantwortlichen Verletzungen des Schutzes personenbezogener Daten unverzüglich, spätestens innerhalb von 48 Stunden nach Kenntniserlangung, und unterstützt ihn bei dessen Pflichten nach Art. 33 und 34 DSGVO. Die Meldung enthält, soweit verfügbar, eine Beschreibung des Vorfalls, der betroffenen Datenkategorien, der wahrscheinlichen Folgen und der ergriffenen Gegenmaßnahmen.
(4) Der Auftragsverarbeiter unterstützt den Verantwortlichen bei Datenschutz-Folgenabschätzungen und vorherigen Konsultationen (Art. 35 und 36 DSGVO), soweit die erforderlichen Informationen nur ihm vorliegen.
(5) Der Auftragsverarbeiter stellt dem Verantwortlichen alle Informationen zur Verfügung, die zum Nachweis der Einhaltung der Pflichten aus Art. 28 DSGVO erforderlich sind.
(1) Nach Beendigung des Nutzungsvertrages stellt der Auftragsverarbeiter dem Verantwortlichen dessen Daten für 30 Tage zum Export bereit.
(2) Nach Ablauf dieser Frist löscht der Auftragsverarbeiter die personenbezogenen Daten einschließlich vorhandener Kopien, soweit keine gesetzliche Aufbewahrungspflicht entgegensteht. Auf ausdrücklichen Wunsch des Verantwortlichen erfolgt die Löschung bereits vorher.
(3) Daten in turnusmäßigen Sicherungskopien werden mit dem Auslaufen des jeweiligen Sicherungszyklus gelöscht, spätestens 90 Tage nach Vertragsende.
(4) Die Löschung wird auf Anforderung in Textform bestätigt.
(1) Der Verantwortliche hat das Recht, die Einhaltung dieser Vereinbarung zu überprüfen, insbesondere durch Einholung von Auskünften und Einsichtnahme in die Nachweise zu den Maßnahmen nach § 6.
(2) Der Auftragsverarbeiter ermöglicht Überprüfungen einschließlich Inspektionen und trägt dazu bei. Kontrollen erfolgen nach angemessener Vorankündigung, zu den üblichen Geschäftszeiten und ohne vermeidbare Störung des Betriebsablaufs.
(3) Der Auftragsverarbeiter kann den Nachweis auch durch geeignete Zertifizierungen, Testate oder Berichte unabhängiger Stellen führen.
(1) Für die Haftung der Parteien untereinander gilt § 14 der Allgemeinen Geschäftsbedingungen. Art. 82 DSGVO bleibt unberührt.
(2) Diese Vereinbarung geht bei Widersprüchen zu den Allgemeinen Geschäftsbedingungen in datenschutzrechtlichen Fragen vor.
(3) Änderungen und Ergänzungen bedürfen der Textform. Es gilt deutsches Recht.
(4) Sollte eine Bestimmung unwirksam sein oder werden, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt.
| Unternehmen | Leistung | Ort der Verarbeitung |
|---|---|---|
| ALL-INKL.COM — Neue Medien Münnich, Hauptstraße 68, 02742 Friedersdorf | Hosting der Anwendung, Datenbank und Dateiablage, Backups | Deutschland |
| A&O Fischer GmbH & Co. KG (LetterXpress), Maybachstraße 9, 21423 Winsen/Luhe | Druck und Versand physischer Briefe | Deutschland |
| Mistral AI SAS, 15 rue des Halles, 75001 Paris | Optionaler KI-Assistent und Belegerkennung | Frankreich (EU) |
Die Inanspruchnahme von LetterXpress und Mistral AI erfolgt nur, soweit der Verantwortliche die jeweilige Funktion nutzt. Vom Verantwortlichen eigenständig angebundene Versand- oder Fundraising-Dienste sind keine allgemeinen Unterauftragsverarbeiter von Komma.