Vertrag zur Auftragsverarbeitung

nach Art. 28 DSGVO · Fassung 2026-10
zwischen dem Betrieb, der Core-Em nutzt (Verantwortlicher), und Emamil GmbH, Kurhessenstr. 13, 64546 Mörfelden-Walldorf (Auftragsverarbeiter).

1. Gegenstand und Dauer

Der Auftragsverarbeiter stellt die Software Core-Em als Online-Dienst bereit (Hosting, Betrieb, Datensicherung, Support). Der Vertrag gilt für die Dauer der Nutzung und endet mit der Löschung der Daten nach Vertragsende.

2. Art der Daten und betroffene Personen

• Kunden und Ansprechpartner des Verantwortlichen: Namen, Anschriften, Kontaktdaten, Auftrags-, Termin-, Angebots- und Rechnungsdaten, Fotos, Unterschriften
• Mitarbeiter des Verantwortlichen: Stammdaten, Arbeits- und Abwesenheitszeiten, Termin-Zuordnungen, optional „angekommen/verlassen“-Ereignisse
• Lieferanten: Stamm- und Belegdaten

Besondere Kategorien (Art. 9 DSGVO) werden nur verarbeitet, soweit der Verantwortliche sie eingibt (z. B. „krank“ als Abwesenheitsgrund ohne Diagnose sowie Fotos oder PDFs von Arbeitsunfähigkeitsbescheinigungen, die Beschäftigte selbst hochladen; diese sind nur für die betroffene Person und Benutzer mit vollem Zugriff auf „Team“ abrufbar).

3. Weisungen

Der Auftragsverarbeiter verarbeitet die Daten ausschließlich nach dokumentierter Weisung des Verantwortlichen – in der Regel durch dessen Bedienung der Software. Hält er eine Weisung für rechtswidrig, weist er unverzüglich darauf hin.

4. Vertraulichkeit

Alle Personen mit Zugriff sind zur Vertraulichkeit verpflichtet. Ein Zugriff auf Daten des Verantwortlichen erfolgt nur zur Erbringung des Dienstes oder auf dessen Wunsch (Support-Zugang); jeder Support-Zugang wird im Sicherheitsprotokoll des Betriebs festgehalten.

5. Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

• Server ausschließlich in Rechenzentren in Deutschland; Zugang zum Server nur per SSH-Schlüssel, Firewall, automatische Sicherheitsupdates
• Verschlüsselte Übertragung (TLS 1.2/1.3, HSTS); Dateien je Betrieb mit eigenem Schlüssel verschlüsselt (AES-256-GCM)
• Strikte Mandantentrennung: jede Abfrage ist auf den Betrieb beschränkt; automatisierte Prüfung aller Server-Funktionen auf Zugriffsschutz
• Rollen- und Rechtekonzept je Benutzer; Passwörter nur als Hash; Zwei-Faktor-Anmeldung und Passkeys; Sperre nach Fehlversuchen; Sitzungen widerrufbar
• Sicherheitsprotokoll; manipulationsgeschütztes Journal für steuerrelevante Vorgänge
• Tägliche, verschlüsselte und deduplizierte Sicherung an einem zweiten Standort; regelmäßige Prüfung der Wiederherstellbarkeit
• Updates mit vorheriger Sicherung und automatischem Rückweg bei Fehlern
• Datensparsamkeit: keine Tracking- oder Werbedienste; Protokolle werden nach festen Fristen gekürzt bzw. gelöscht

6. Unterauftragsverarbeiter

Der Verantwortliche stimmt dem Einsatz folgender Unterauftragsverarbeiter zu. Über Änderungen wird er vorab informiert und kann widersprechen.

• netcup GmbH, Karlsruhe – Server, Datenbank und Dateiablage (Hosting) (Deutschland)
• Hetzner Online GmbH (Storage Box, Rechenzentrum Falkenstein) – Verschlüsselte Datensicherung (Deutschland / EU)
• cloud86 – Versand von E-Mails (Dokumente, Erinnerungen) (laut Anbieter)

Dienste, die der Verantwortliche selbst verbindet (z. B. Zahlungsanbieter, Buchhaltungssoftware, Großhandels-Schnittstellen), nutzt er auf Grundlage eigener Verträge mit diesen Anbietern.

7. Unterstützung

Der Auftragsverarbeiter unterstützt den Verantwortlichen bei Anfragen Betroffener (z. B. Datenauskunft und Löschung direkt in der Software), bei Datenschutz-Folgenabschätzungen und bei der Meldung von Datenschutzverletzungen. Verletzungen des Schutzes personenbezogener Daten meldet er unverzüglich, möglichst innerhalb von 24 Stunden nach Kenntnis.

8. Rückgabe und Löschung

Nach Vertragsende erhält der Verantwortliche einen vollständigen Export seiner Daten (inkl. Rechnungs-PDFs und Belege). 30 Tage nach Vertragsende werden alle Daten gelöscht; Sicherungskopien laufen spätestens nach 12 Monaten aus.

9. Nachweise und Kontrollen

Der Auftragsverarbeiter stellt auf Anfrage alle Informationen zum Nachweis der Pflichten bereit und ermöglicht Überprüfungen nach rechtzeitiger Ankündigung.

10. Zustandekommen

Der Vertrag kommt durch Bestätigung in der Software durch einen vertretungsberechtigten Benutzer des Verantwortlichen zustande. Datum und Fassung werden gespeichert.