Auftragsverarbeitungsvertrag

Zuletzt aktualisiert: 13. Juli 2026

Zweck

Dieser Vertrag regelt die Verarbeitung personenbezogener Daten durch den Auftragsverarbeiter im Auftrag des Verantwortlichen gemäß Artikel 28 der DSGVO. Die Verarbeitung erfolgt im Rahmen der Bereitstellung der Complir-Compliance-Plattform und damit verbundener Dienstleistungen.

Art der Verarbeitung

Der Auftragsverarbeiter verarbeitet personenbezogene Daten, um dem Verantwortlichen Werkzeuge zur Verwaltung der Produktcompliance bereitzustellen, darunter:

Speicherung von Lieferantenkontaktdaten
Verarbeitung hochgeladener produktbezogener Dokumentation
Unterstützung KI-gestützter Workflows für Klassifizierung, Übersetzung und Risikobewertung

Arten personenbezogener Daten

Die verarbeiteten Datenarten können unter anderem Folgendes umfassen:

Name
E-Mail
Telefonnummer
Unternehmenszugehörigkeit
Rolle/Funktion
Lieferantenunternehmensdaten
Hochgeladene Dokumente mit personenbezogenen oder Lieferanteninformationen

Kategorien betroffener Personen

Der Auftragsverarbeiter kann im Auftrag des Verantwortlichen personenbezogene Daten folgender Kategorien betroffener Personen verarbeiten:

Mitarbeiter und berechtigte Nutzer des Verantwortlichen, die auf die Complir-Plattform zugreifen oder diese nutzen.
Lieferantenkontakte und Vertreter, deren Informationen vom Verantwortlichen in der Plattform hochgeladen oder verwaltet werden.
Subunternehmer oder externe Partner, deren Angaben in vom Verantwortlichen bereitgestellten Dokumentationen oder Compliancedaten vorkommen können.

Es ist nicht beabsichtigt, besondere Kategorien personenbezogener Daten (im Sinne von Artikel 9 der DSGVO) im Rahmen dieses Vertrags zu verarbeiten.

Sicherheitsmaßnahmen

Der Auftragsverarbeiter implementiert geeignete technische und organisatorische Maßnahmen, darunter:

Verschlüsselte Kommunikation (TLS)
Rollenbasierte Zugriffskontrolle
Regelmäßige Zugriffsüberprüfungen
Protokollierung und Überwachung über Sentry
Regelmäßige Backups
Nutzung von ISO 27001-zertifizierten Infrastrukturanbietern

Unterauftragsverarbeiter

Der Verantwortliche erteilt dem Auftragsverarbeiter eine allgemeine schriftliche Genehmigung zur Beauftragung von Unterauftragsverarbeitern, soweit dies zur Bereitstellung, Absicherung, Überwachung, Unterstützung oder Verbesserung der Complir-Plattform und damit verbundener Dienstleistungen in angemessener Weise erforderlich ist.

Die aktuelle Liste der genehmigten Unterauftragsverarbeiter ist unter complir.io/legal/sub-processors verfügbar. Der Verantwortliche genehmigt den Einsatz der dort zum Zeitpunkt des Inkrafttretens des Vertrags aufgeführten Unterauftragsverarbeiter durch den Auftragsverarbeiter, einschließlich Cloud-Hosting-Anbieter, Infrastrukturanbieter, Überwachungsanbieter, Workflow-Anbieter und Anbieter von KI-Modellen, die zur Erbringung der Dienstleistungen eingesetzt werden.

Der Auftragsverarbeiter bleibt für Handlungen und Unterlassungen seiner Unterauftragsverarbeiter verantwortlich, soweit das anwendbare Datenschutzrecht dies verlangt. Der Auftragsverarbeiter stellt sicher, dass jeder Unterauftragsverarbeiter durch schriftliche Verpflichtungen gebunden ist, die mindestens das gleiche Schutzniveau für personenbezogene Daten gewährleisten wie dieser Vertrag, einschließlich Vertraulichkeit, Sicherheit, Meldung von Verletzungen und, soweit anwendbar, Garantien für Datenübermittlungen.

Der Auftragsverarbeiter wird mindestens 30 Tage im Voraus informieren, bevor er einen Unterauftragsverarbeiter hinzufügt oder ersetzt, der personenbezogene Daten im Auftrag des Verantwortlichen in wesentlichem Umfang verarbeiten wird, es sei denn, eine kürzere Vorankündigungsfrist ist aus Sicherheits-, rechtlichen, betrieblichen oder Notfallgründen erforderlich. Die Mitteilung kann an die Plattform-Administratoren des Verantwortlichen oder andere benannte Kundenkontakte per E-Mail, als Hinweis im Produkt oder durch Aktualisierung der veröffentlichten Unterauftragsverarbeiter-Liste erfolgen.

Der Verantwortliche kann einem neuen oder ersetzenden Unterauftragsverarbeiter innerhalb von 14 Tagen nach der Mitteilung widersprechen, jedoch nur aus angemessenen, dokumentierten Gründen des Datenschutzes oder der Informationssicherheit. Der Auftragsverarbeiter wird wirtschaftlich angemessene Anstrengungen unternehmen, um dem Widerspruch Rechnung zu tragen; dies kann die Bereitstellung zusätzlicher Informationen, zusätzlicher Garantien oder einer Alternative umfassen, soweit dies wirtschaftlich und technisch möglich ist.

Können die Parteien den Widerspruch nicht innerhalb eines angemessenen Zeitraums beilegen, kann der Verantwortliche die betroffene Dienstleistung durch schriftliche Mitteilung beenden. Lässt sich die betroffene Dienstleistung nicht in angemessener Weise von der Plattform als Ganzem trennen, kann der Verantwortliche den Vertrag beenden. In beiden Fällen ist der einzige Rechtsbehelf des Verantwortlichen eine anteilige Rückerstattung vorausbezahlter Gebühren für die beendete Dienstleistung für den Zeitraum nach dem Wirksamwerden der Beendigung. Der Auftragsverarbeiter ist nicht verpflichtet, seine Infrastruktur zu ändern, die Nutzung des Unterauftragsverarbeiters für andere Kunden einzustellen oder eine kundenspezifische Verarbeitungsumgebung zu unterhalten.

Betroffenenrechte und Unterstützung

Der Auftragsverarbeiter unterstützt den Verantwortlichen bei der Erfüllung seiner Pflichten gemäß Kapitel 3 der DSGVO (Betroffenenrechte), einschließlich Auskunft, Berichtigung, Löschung und Widerspruch.

Löschung oder Rückgabe von Daten

Bei Beendigung des Vertrags löscht oder gibt der Auftragsverarbeiter alle personenbezogenen Daten auf Verlangen des Verantwortlichen zurück, sofern nicht gesetzlich anders vorgeschrieben.

Prüfungsrechte

Der Verantwortliche kann die Datenverarbeitungspraktiken des Auftragsverarbeiters einmal jährlich mit 30 Tagen schriftlicher Vorankündigung prüfen. Die Prüfungskosten trägt der Verantwortliche, sofern kein wesentlicher Verstoß festgestellt wird.

Meldung von Verletzungen

Der Auftragsverarbeiter benachrichtigt den Verantwortlichen unverzüglich und spätestens innerhalb von 48 Stunden nach Kenntniserlangung von einer Verletzung des Schutzes personenbezogener Daten.

Laufzeit

Dieser Vertrag bleibt so lange in Kraft, wie der Auftragsverarbeiter personenbezogene Daten im Auftrag des Verantwortlichen verarbeitet.