Vertrag zur Auftragsverarbeitung (Art. 28 DSGVO)

Stand: Oktober 2026

Dieser Vertrag gilt zwischen dem Kunden von CBAMfix („Verantwortlicher“) und GambTec, Inhaber Toni Gambino, Meldenweg 18, 12357 Berlin („Auftragsverarbeiter“). Er ist Bestandteil des Nutzungsvertrags und wird mit der Anmeldung geschlossen. Eine unterschriebene Fassung senden wir auf Wunsch zu.

1. Gegenstand und Dauer

Der Auftragsverarbeiter betreibt die Anwendung CBAMfix und verarbeitet dabei personenbezogene Daten im Auftrag des Verantwortlichen. Der Vertrag läuft so lange wie der Nutzungsvertrag.

2. Art, Zweck, Daten und Betroffene

• Zweck: Erfassen und Auswerten von Einfuhren für das CO₂-Grenzausgleichssystem (CBAM), Auslesen hochgeladener Einfuhrbelege, Überwachung der Mengenschwelle, Benachrichtigungen.
• Betroffene: Mitarbeiter des Verantwortlichen, die einen Zugang haben; Ansprechpartner bei Lieferanten, Speditionen und Zollagenturen, soweit sie auf Belegen genannt sind.
• Belege: hochgeladene Dateien (Zollbescheide, Zollanmeldungen, Rechnungen) mit den darin enthaltenen Angaben, etwa Namen, Anschriften und Kontaktdaten von Ansprechpartnern.
• Einfuhrdaten: Datum, Warennummer, Bezeichnung, Eigenmasse, Ursprungsland, Lieferant, Registriernummer der Zollanmeldung, Notizen.
• Zugänge der Mitarbeiter: Name, E-Mail-Adresse, Passwort als Hash, Zeitpunkt der letzten Anmeldung.

3. Weisungen

Der Auftragsverarbeiter verarbeitet die Daten nur nach dokumentierter Weisung des Verantwortlichen. Als Weisung gelten dieser Vertrag und die Einstellungen, die der Verantwortliche in der Anwendung vornimmt. Hält der Auftragsverarbeiter eine Weisung für rechtswidrig, weist er darauf hin.

4. Pflichten des Auftragsverarbeiters

• Personen mit Zugriff auf die Daten sind zur Vertraulichkeit verpflichtet.
• Er trifft die technischen und organisatorischen Maßnahmen nach Anlage 1 und hält sie auf dem Stand der Technik.
• Er unterstützt den Verantwortlichen im zumutbaren Rahmen bei Anfragen Betroffener (Auskunft, Berichtigung, Löschung) sowie bei Meldepflichten und Datenschutz-Folgenabschätzungen.
• Er meldet Verletzungen des Schutzes personenbezogener Daten unverzüglich, nachdem er davon erfahren hat, per E-Mail an die hinterlegte Adresse des Inhabers.
• Wendet sich ein Betroffener direkt an den Auftragsverarbeiter, leitet dieser die Anfrage an den Verantwortlichen weiter.

5. Unterauftragsverarbeiter

Der Verantwortliche stimmt den in Anlage 2 genannten Unterauftragsverarbeitern zu. Neue oder ausgetauschte Unterauftragsverarbeiter kündigt der Auftragsverarbeiter mindestens vier Wochen vorher per E-Mail an. Der Verantwortliche kann aus wichtigem Grund widersprechen; lässt sich keine Lösung finden, kann er den Nutzungsvertrag zum Zeitpunkt der Änderung kündigen. Unterauftragsverarbeiter werden vertraglich auf ein gleichwertiges Schutzniveau verpflichtet.

6. Übermittlung in Drittländer

Zum Auslesen wird ein hochgeladener Beleg an die Anthropic, PBC (USA) übermittelt, gestützt auf die EU-Standardvertragsklauseln. Die Inhalte werden dort nicht zum Training von Modellen verwendet. Alle übrigen Daten bleiben in Deutschland.

7. Kontrollrechte

Der Auftragsverarbeiter weist die Einhaltung dieses Vertrags auf Anfrage durch geeignete Auskünfte und Unterlagen nach. Reichen diese nicht aus, kann der Verantwortliche nach Ankündigung mit angemessener Frist selbst oder durch einen zur Verschwiegenheit verpflichteten Prüfer kontrollieren, höchstens einmal im Jahr und ohne den Betrieb unverhältnismäßig zu stören.

8. Löschung und Rückgabe

Nach Vertragsende löscht der Auftragsverarbeiter die im Auftrag verarbeiteten Daten spätestens nach 90 Tagen, auf Wunsch früher, soweit keine gesetzliche Pflicht zur Aufbewahrung besteht. Sicherungskopien werden rollierend überschrieben. Einfuhrdaten kann der Verantwortliche vorher als CSV-Datei exportieren.

9. Haftung

Es gelten die Haftungsregeln der AGB; Art. 82 DSGVO bleibt unberührt.

Anlage 1 – Technische und organisatorische Maßnahmen

• Standort: Server der Hetzner Online GmbH in Rechenzentren in Deutschland.
• Zutritt und Zugang: Rechenzentrum mit Zutrittskontrolle des Betreibers. Zugriff auf den Server nur für den Inhaber, nur mit persönlichem Schlüssel; Firewall, nur die nötigen Dienste von außen erreichbar; automatische Sperre auffälliger Zugriffe; tägliche Sicherheitsprüfung mit Meldung.
• Zugriff in der Anwendung: persönliche Zugänge, Passwörter nur als Hash, Zwei-Faktor-Anmeldung (Authenticator-App) und Passkeys verfügbar, Rollen (Inhaber und Mitarbeiter), widerrufbare Sitzungen, Begrenzung von Fehlversuchen.
• Trennung: Daten jedes Kunden sind seiner Organisation zugeordnet; jede Abfrage ist auf die eigene Organisation beschränkt.
• Verschlüsselung: Übertragung ausschließlich über TLS. Geheimnisse der Zwei-Faktor-Anmeldung liegen verschlüsselt (AES-256-GCM) in der Datenbank. Belege liegen außerhalb des öffentlichen Webbereichs und werden nur angemeldeten Nutzern des eigenen Kunden ausgeliefert.
• Verfügbarkeit: tägliche Datensicherung, verschlüsselt und zusätzlich außerhalb des Servers abgelegt; Überwachung des Betriebs.
• Löschung: Belege und Einfuhren kann der Verantwortliche jederzeit selbst löschen; Löschung aller Daten nach Vertragsende.
• Pflege: regelmäßige Sicherheitsupdates von Betriebssystem und Anwendung; Änderungen an der Anwendung werden versioniert und nachvollziehbar eingespielt.

Anlage 2 – Unterauftragsverarbeiter

• Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen – Server und Speicher für die verschlüsselten Sicherungen (Deutschland).
• Strato AG, Otto-Ostrowski-Str. 7, 10249 Berlin – Versand von E-Mails (Benachrichtigungen, Einladungen, Passwort-Links).
• Anthropic, PBC, San Francisco, USA – Auslesen hochgeladener Belege (EU-Standardvertragsklauseln; keine Verwendung zum Training).

Kein Unterauftragsverarbeiter ist der Zahlungsdienst Stripe; mit ihm steht der Verantwortliche für die Zahlung selbst im Vertrag.