Vereinbarung zur Auftragsverarbeitung

Vertragsgrundlage nach Art. 28 DSGVO ausschließlich für spätere Kundenakten, die ein angebundenes Unternehmen selbst anlegt und eigenverantwortlich steuert. Sie gilt nicht für von fynbase gewonnene Interessenten im Startbetrieb.

1. Parteien, Rang und Laufzeit

Auftragnehmer ist Marco Beyfuß, handelnd unter der Geschäftsbezeichnung fynbase, Langobardenstraße 2b, 81545 München, datenschutz@fynbase.de. Auftraggeber ist das im Einladungs- und Annahmenachweis eindeutig bezeichnete Unternehmen. Diese Vereinbarung ergänzt den Hauptvertrag und geht bei Datenschutzfragen vor.

2. Gegenstand, Art und Zweck

Gegenstand ist die Aufnahme, Speicherung, Organisation, Zuordnung, OCR-gestützte Extraktion, Zusammenführung, Anzeige, fachliche Prüfung, Exportvorbereitung, Protokollierung, Sicherung und Löschung von Kundenakten. Die Verarbeitung erfolgt ausschließlich zur Vertragserfüllung und auf dokumentierte Weisung. Keine Nutzung erfolgt für eigene Werbung, Profilbildung, Anbieter- oder KI-Modelltraining, Beratung, Vermittlung oder Kreditentscheidungen.

3. Personen und Daten

Betroffen sind insbesondere Interessenten und Kunden des Auftraggebers, Mitantragsteller, Haushaltsangehörige sowie Nutzer und Ansprechpartner. Verarbeitet werden können Stamm-, Kontakt-, Identitäts-, Haushalts-, Beschäftigungs-, Einkommens-, Vermögens-, Ausgaben-, Verbindlichkeits-, Immobilien-, Dokument-, Prüf-, Herkunfts-, Korrektur-, Freigabe-, Zugriffs-, Sicherheits- und Exportprotokolldaten.

4. Auftraggeber

Der Auftraggeber gewährleistet die Rechtmäßigkeit, erfüllt Informations- und Betroffenenpflichten, erteilt dokumentierte Weisungen, benennt berechtigte Ansprechpartner und prüft vor jeder Freigabe Richtigkeit, Aktualität, Empfänger und fachliche Zulässigkeit.

5. Weisungsbindung

fynbase verarbeitet Auftragsdaten nur auf dokumentierte Weisung – auch bei Drittlandübermittlungen –, sofern keine bindende gesetzliche Pflicht besteht. Rechtswidrig erscheinende Weisungen werden unverzüglich angezeigt und die betroffene Verarbeitung wird bis zur Klärung ausgesetzt, soweit rechtlich zulässig.

6. Vertraulichkeit und Zugriffe

Zugriffsberechtigte Personen werden zur Vertraulichkeit verpflichtet, verarbeiten Daten nur nach Weisung und erhalten personenbezogene, rollenbasierte Berechtigungen nach dem Erforderlichkeitsprinzip.

7. Sicherheit

fynbase setzt die vereinbarten technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO um. Echtdaten dürfen erst verarbeitet werden, wenn produktive Identität, EU-Speicherung, Malwareprüfung, Verschlüsselung, Backup, Monitoring, Mandantentrennung und Löschung dokumentiert freigegeben sind.

8. Weitere Auftragsverarbeiter

Der Auftraggeber genehmigt die in der aktuellen Anlage konkret bezeichneten weiteren Auftragsverarbeiter allgemein. Änderungen werden mindestens 30 Tage vorher mitgeteilt; ein sachlich begründeter Datenschutzwiderspruch ist möglich. Weitere Auftragsverarbeiter werden mindestens gleichwertig verpflichtet. Ohne vollständige Anbieteranlage bleibt die betroffene Echtdatenfunktion gesperrt.

9. Drittlandübermittlungen

Verarbeitungen finden grundsätzlich in EU/EWR statt. Drittlandübermittlungen erfolgen nur auf dokumentierte Weisung und unter den Voraussetzungen der Art. 44 ff. DSGVO.

10. Unterstützung

fynbase unterstützt angemessen bei Betroffenenrechten, Sicherheit, Datenschutzverletzungen, Datenschutz-Folgenabschätzungen, vorheriger Konsultation und Behördenanfragen. Direkt eingehende Betroffenenanfragen werden unverzüglich weitergeleitet.

11. Datenschutzverletzungen

fynbase meldet Verletzungen des Schutzes von Auftragsdaten unverzüglich nach Bekanntwerden und übermittelt verfügbare Angaben zu Art, Umfang, Folgen, Maßnahmen und Ansprechpartnern. Fehlende Angaben werden ohne unangemessene Verzögerung nachgereicht.

12. Nachweise und Kontrollen

fynbase stellt erforderliche Nachweise bereit und ermöglicht angemessene Prüfungen durch den Auftraggeber oder einen zur Vertraulichkeit verpflichteten Prüfer. Gesetzliche Kontrollrechte bleiben unberührt.

13. Rückgabe und Löschung

Nach Weisung oder Vertragsende werden Auftragsdaten nach Wahl des Auftraggebers zurückgegeben und vorhandene Kopien nachweisbar gelöscht, soweit keine gesetzliche Speicherungspflicht besteht. Eine längerfristige Bereithaltung für spätere Vorhaben ist nicht Bestandteil des aktuellen Live-Piloten und bedürfte vor einer späteren Aktivierung einer gesonderten vertraglichen, datenschutzrechtlichen und technischen Regelung.

14. Anlagen

Vertragsbestandteile sind Auftragsbeschreibung, technische und organisatorische Maßnahmen, Unterauftragnehmerliste, Weisungs- und Ansprechpartnermatrix, Löschfristen sowie Annahme- und Versionsnachweis. Fehlt eine Anlage oder die eindeutige Bezeichnung des Auftraggebers, bleibt der Echtdatenzugang gesperrt.

Stand: 2. September 2026