Vereinbarung zur Auftragsverarbeitung
1. Parteien und Gegenstand
Diese Vereinbarung nach Art. 28 DSGVO gilt zwischen dem Kunden als Verantwortlichem („Auftraggeber“) und Cihan Cavusoglu Webservices, Inhaber Cihan Cavusoglu, Ruppinstraße 9a, 15749 Mittenwalde, als Auftragsverarbeiter („Auftragnehmer“). Sie ist Bestandteil der AGB und wird mit der Registrierung geschlossen. Gegenstand ist die Verarbeitung personenbezogener Daten, die der Auftraggeber in Kamvara eingibt oder hochlädt. Die Vereinbarung gilt, solange der Auftragnehmer solche Daten verarbeitet.
2. Art und Zweck, Daten und Betroffene
Zweck ist der Betrieb von Kamvara für den Auftraggeber: Speichern, Anzeigen, Auswerten, Übermitteln (z. B. als Export) und Löschen seiner Daten. Betroffen sind insbesondere Beschäftigte und Bewerber, Kunden und Ansprechpartner sowie Lieferanten des Auftraggebers. Verarbeitet werden je nach genutzten Modulen Stamm- und Kontaktdaten, Arbeitszeiten, Dienstpläne und Verfügbarkeiten, Abwesenheiten einschließlich Krankmeldungen (ohne Diagnose – dennoch Gesundheitsdaten nach Art. 9 DSGVO), Lohn- und Bankdaten, Vertrags- und Zahlungsdaten, Belege, Dokumente und Nachrichten.
3. Weisungen
Der Auftragnehmer verarbeitet die Daten nur auf dokumentierte Weisung des Auftraggebers – die Einstellungen und Aktionen in Kamvara sowie diese Vereinbarung gelten als Weisung –, es sei denn, er ist gesetzlich zu einer Verarbeitung verpflichtet; dann teilt er dies vorher mit, soweit zulässig. Hält er eine Weisung für rechtswidrig, weist er den Auftraggeber unverzüglich darauf hin. Er verwendet die Daten für keine eigenen Zwecke.
4. Vertraulichkeit
Der Auftragnehmer setzt nur Personen ein, die zur Vertraulichkeit verpflichtet sind. Auf Daten des Auftraggebers greift er nur zu, soweit es für Betrieb, Sicherheit oder eine Support-Anfrage des Auftraggebers erforderlich ist.
5. Technische und organisatorische Maßnahmen
Der Auftragnehmer trifft Maßnahmen nach Art. 32 DSGVO, insbesondere: verschlüsselte Übertragung (TLS) und verschlüsselte Speicherung in Rechenzentren in Frankfurt am Main; strikte Trennung der Daten je Betrieb durch Zugriffsregeln in der Datenbank (Row Level Security); privater, je Betrieb getrennter Dateispeicher; Anmeldung mit gehashten Passwörtern beim Dienstleister, Begrenzung von Anmeldeversuchen; geheime Schlüssel nur auf dem Server; tägliche Sicherungen beim Datenbank-Dienstleister; Zugriff des Auftragnehmers auf die Verwaltung nur mit persönlichem, geschütztem Konto; laufende Aktualisierung der eingesetzten Software. Die Maßnahmen dürfen weiterentwickelt werden, solange das Schutzniveau nicht sinkt.
6. Unterauftragsverarbeiter
Der Auftraggeber stimmt dem Einsatz folgender Unterauftragsverarbeiter zu: Supabase Inc. (Datenbank, Anmeldung und Dateispeicher; Rechenzentrum Frankfurt am Main), Vercel Inc., USA (Hosting der Anwendung; Server-Funktionen in Frankfurt am Main, Auslieferung über ein weltweites Netz), IONOS SE, Montabaur (Versand von E-Mails zum Konto). Übermittlungen in Drittländer erfolgen nur auf Grundlage eines Angemessenheitsbeschlusses (z. B. EU-US Data Privacy Framework) oder von EU-Standardvertragsklauseln. Neue oder geänderte Unterauftragsverarbeiter kündigt der Auftragnehmer mindestens vier Wochen vorher per E-Mail an; der Auftraggeber kann aus wichtigem datenschutzrechtlichem Grund widersprechen und den Vertrag dann zum Zeitpunkt der Änderung kündigen. Der Auftragnehmer verpflichtet Unterauftragsverarbeiter vertraglich auf ein gleichwertiges Schutzniveau.
7. Unterstützung des Auftraggebers
Der Auftragnehmer unterstützt den Auftraggeber mit geeigneten Maßnahmen bei Anfragen Betroffener (Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit – Kamvara bietet dafür Bearbeiten, Löschen und Export) sowie bei den Pflichten nach Art. 32 bis 36 DSGVO. Wendet sich eine betroffene Person direkt an den Auftragnehmer, leitet er die Anfrage an den Auftraggeber weiter.
8. Meldung von Verletzungen
Der Auftragnehmer informiert den Auftraggeber unverzüglich, möglichst innerhalb von 24 Stunden nach Kenntnis, über eine Verletzung des Schutzes personenbezogener Daten, mit den ihm bekannten Angaben nach Art. 33 Abs. 3 DSGVO, und unterstützt ihn bei Meldung und Aufklärung.
9. Löschung und Rückgabe
Der Auftraggeber kann seine Daten jederzeit als Sicherung herunterladen und einzelne Daten oder das gesamte Konto löschen. Mit dem Löschen des Kontos werden alle Daten und Dateien des Betriebs sofort entfernt; Sicherungskopien beim Dienstleister werden nach spätestens 7 Tagen überschrieben. Nach Vertragsende löscht der Auftragnehmer die Daten spätestens sechs Monate nach vorheriger Ankündigung, sofern keine gesetzliche Pflicht zur Speicherung besteht.
10. Nachweise und Kontrollen
Der Auftragnehmer stellt dem Auftraggeber auf Anfrage die Informationen zur Verfügung, die zum Nachweis der Einhaltung dieser Pflichten nötig sind, insbesondere eine aktuelle Beschreibung der Maßnahmen und die Nachweise der Unterauftragsverarbeiter (z. B. Zertifizierungen). Überprüfungen vor Ort sind nach rechtzeitiger Ankündigung während der Geschäftszeiten möglich, soweit die Informationen nicht ausreichen; der Auftraggeber trägt die eigenen Kosten.
11. Schlussbestimmungen
Die Haftung richtet sich nach Art. 82 DSGVO; im Übrigen gelten die Regelungen der AGB. Bei Widersprüchen geht diese Vereinbarung den AGB vor, soweit es um den Schutz personenbezogener Daten geht. Fragen zum Datenschutz beantwortet der Auftragnehmer unter info@kamvara.de. Maßgeblich ist die deutsche Fassung.
Stand: 19.10.2026
Zur Startseite