Loudaro by 3K
← Zur Startseite

Vertrag zur Auftragsverarbeitung

Entwurf, rechtlich noch nicht geprüft. Dieser Vertrag ist eine Arbeitsfassung für die Pilotphase und wird vor dem ersten Vertrag anwaltlich geprüft.

Stand: November 2026

Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO zwischen dem Kunden des Dienstes Loudaro als Verantwortlichem (im Folgenden „Kunde“) und der 3K Solutions UG (haftungsbeschränkt), Am Kirschgarten 7, 66806 Ensdorf, als Auftragsverarbeiter (im Folgenden „Anbieter“). Er ist Bestandteil des Vertrags über die Nutzung des Dienstes (Nutzungsbedingungen).

1. Gegenstand und Dauer

Der Anbieter betreibt für den Kunden die Verleihsoftware Loudaro als Online-Dienst und verarbeitet dabei personenbezogene Daten im Auftrag des Kunden. Die Dauer entspricht der Laufzeit des Nutzungsvertrags; danach gilt Abschnitt 9.

2. Art und Zweck der Verarbeitung, Daten und Betroffene

Art und Zweck: Speichern, Anzeigen, Ändern, Übermitteln (z. B. Versand von Angeboten und Rechnungen per E-Mail im Auftrag des Kunden), Auswerten und Löschen von Daten, um dem Kunden die Verwaltung seines Verleihbetriebs zu ermöglichen.

Arten von Daten: Stammdaten (Name, Firma, Anschrift), Kontaktdaten (E-Mail, Telefon), Vertrags- und Auftragsdaten (Anfragen, Aufträge, Termine, Mietgegenstände), Zahlungsdaten (Beträge, Zahlungsart, Transaktionsnummern, Bankumsätze zu Rechnungen), Belege, Unterschriften und Fotos bei Übergabe und Rücknahme, Kommunikation mit Kunden (E-Mails, Notizen), Angaben aus Anfragen über die Website des Kunden, Gutscheindaten, Daten der Benutzer des Kunden.

Betroffene: Kunden und Interessenten des Kunden sowie deren Ansprechpartner, Abholer, Beschäftigte und Benutzer des Kunden.

3. Weisungen

Der Anbieter verarbeitet die Daten nur auf dokumentierte Weisung des Kunden. Die Weisungen ergeben sich aus diesem Vertrag, den Nutzungsbedingungen und der Bedienung des Dienstes durch den Kunden; weitere Weisungen erteilt der Kunde in Textform. Hält der Anbieter eine Weisung für rechtswidrig, weist er den Kunden darauf hin. Ist der Anbieter gesetzlich zu einer Verarbeitung verpflichtet, teilt er dies dem Kunden vorher mit, soweit das Gesetz es nicht verbietet.

4. Vertraulichkeit

Der Anbieter setzt nur Personen ein, die zur Vertraulichkeit verpflichtet sind. Er greift auf die Daten des Kunden nur zu, soweit es für Betrieb, Fehlerbehebung oder Unterstützung erforderlich ist.

5. Sicherheit der Verarbeitung

Der Anbieter trifft die technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO, die in Anlage 1 beschrieben sind. Er darf sie weiterentwickeln, wenn das Schutzniveau dadurch nicht sinkt.

6. Unterauftragsverarbeiter

Der Kunde ist mit den Unterauftragsverarbeitern in Anlage 2 einverstanden. Der Anbieter informiert den Kunden mindestens vier Wochen vorher in Textform, wenn er einen Unterauftragsverarbeiter hinzuziehen oder ersetzen will. Der Kunde kann aus wichtigem datenschutzrechtlichen Grund widersprechen; wird keine Einigung erzielt, kann er den Nutzungsvertrag zum Zeitpunkt der Änderung kündigen. Der Anbieter verpflichtet Unterauftragsverarbeiter vertraglich auf ein Schutzniveau, das diesem Vertrag entspricht.

Dienste, die der Kunde selbst mit dem Dienst verbindet (z. B. sein E-Mail-Postfach bei Microsoft 365, sein Kalender, sein Kartenzahlungsanbieter oder seine Website), nutzt er auf Grundlage eigener Verträge. Diese Anbieter sind keine Unterauftragsverarbeiter des Anbieters.

7. Unterstützung des Kunden

Der Anbieter unterstützt den Kunden mit geeigneten Maßnahmen bei der Beantwortung von Anträgen betroffener Personen (Art. 12 bis 22 DSGVO), etwa indem Daten im Dienst berichtigt und gelöscht werden können und der Anbieter bei Auskunft und Datenübertragung hilft. Er unterstützt den Kunden außerdem bei den Pflichten nach Art. 32 bis 36 DSGVO, soweit es die ihm vorliegenden Informationen erlauben. Wendet sich eine betroffene Person direkt an den Anbieter, leitet er die Anfrage an den Kunden weiter.

8. Meldung von Verletzungen

Der Anbieter meldet dem Kunden eine Verletzung des Schutzes personenbezogener Daten unverzüglich, nachdem sie ihm bekannt geworden ist, möglichst innerhalb von 24 Stunden. Die Meldung enthält, soweit bekannt, die Angaben nach Art. 33 Abs. 3 DSGVO.

9. Löschung und Rückgabe

Nach Ende des Nutzungsvertrags stellt der Anbieter die Daten 30 Tage lang zum Export bereit und löscht sie danach einschließlich vorhandener Kopien, soweit keine gesetzliche Pflicht zur Speicherung besteht. Daten in Sicherungen werden mit dem Ablauf der Aufbewahrung der Sicherungen gelöscht, spätestens nach 90 Tagen.

10. Nachweise und Kontrollen

Der Anbieter stellt dem Kunden die Informationen zur Verfügung, die zum Nachweis der Einhaltung dieses Vertrags erforderlich sind. Er ermöglicht Überprüfungen durch den Kunden oder einen von ihm beauftragten, zur Verschwiegenheit verpflichteten Prüfer nach rechtzeitiger Ankündigung während der üblichen Geschäftszeiten und ohne unverhältnismäßige Störung des Betriebs.

11. Ort der Verarbeitung

Die Verarbeitung findet in der Europäischen Union statt. Eine Verarbeitung außerhalb der EU oder des EWR erfolgt nur mit vorheriger Zustimmung des Kunden und unter den Voraussetzungen der Art. 44 ff. DSGVO.

12. Schlussbestimmungen

Für die Haftung gilt Art. 82 DSGVO; im Übrigen gelten die Haftungsregeln der Nutzungsbedingungen. Bei Widersprüchen zwischen diesem Vertrag und den Nutzungsbedingungen geht in Fragen des Datenschutzes dieser Vertrag vor.

Anlage 1: Technische und organisatorische Maßnahmen

Anlage 2: Unterauftragsverarbeiter

Benachrichtigungen aufs Handy (Web Push) laufen über die Push-Dienste der Browser-Hersteller. Deren Inhalt ist verschlüsselt und enthält keine Namen von Kunden.