Stand: 29.05.2026
Vertrag zur Auftragsverarbeitung
Vereinbarung zur Auftragsverarbeitung nach Art. 28 DSGVO zwischen dem Kunden als Verantwortlichem und Proximo Systems Dreessen & Haensch GbR, Bauernholztal 33, 21149 Hamburg, als Auftragsverarbeiter.
1. Gegenstand und Dauer
Gegenstand dieses Vertrags ist die Verarbeitung personenbezogener Daten im Rahmen der Nutzung von clutr. clutr ermöglicht Upload, Speicherung, OCR, KI-gestützte Klassifizierung, Suche, Export, API-Upload, E-Mail-Import, Workspaces und optionale externe Speicherintegrationen. Die Dauer richtet sich nach dem zugrunde liegenden Nutzungsvertrag.
2. Art und Zweck der Verarbeitung
Die Verarbeitung erfolgt zur Bereitstellung der Dokumentenablage, technischen Sicherung, Verschlüsselung, Wiederherstellung, Klassifizierung, Metadatenextraktion, Durchsuchbarkeit, Exportfunktion, Nutzerverwaltung, Abrechnung und Fehleranalyse.
3. Kategorien personenbezogener Daten
Verarbeitet werden können Kontodaten, Kontakt- und Kommunikationsdaten, Authentifizierungsdaten, Rollen- und Berechtigungsdaten, Abrechnungsdaten, technische Protokolldaten sowie alle personenbezogenen Daten, die in hochgeladenen Dokumenten, OCR-Texten, Metadaten, E-Mails, Anhängen oder Suchanfragen enthalten sind.
4. Kategorien betroffener Personen
Betroffen sein können Nutzer des Kunden, Beschäftigte, Kunden, Lieferanten, Vertragspartner, Behördenkontakte, Bewerber, Familienangehörige, Versicherte, Patienten sowie sonstige Personen, deren Daten in Dokumenten oder E-Mails des Kunden enthalten sind.
5. Weisungen des Kunden
Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Kunden, soweit keine gesetzliche Pflicht entgegensteht. Die Weisungen ergeben sich zunächst aus dem Nutzungsvertrag, den Einstellungen in clutr und diesem Vertrag. Einzelweisungen können in Textform erteilt werden.
6. Pflichten des Auftragsverarbeiters
Der Auftragsverarbeiter verpflichtet sich, personenbezogene Daten vertraulich zu behandeln, nur befugten Personen Zugriff zu gewähren, geeignete technische und organisatorische Maßnahmen umzusetzen, Unterauftragsverarbeiter nur nach Maßgabe dieses Vertrags einzusetzen und den Kunden bei Betroffenenrechten, Löschung, Datenübertragbarkeit, Datenschutz-Folgenabschätzungen und Meldungen von Datenschutzverletzungen angemessen zu unterstützen.
7. Vertraulichkeit
Personen, die beim Auftragsverarbeiter Zugriff auf personenbezogene Daten haben, werden auf Vertraulichkeit verpflichtet oder unterliegen einer angemessenen gesetzlichen Verschwiegenheitspflicht.
8. Technische und organisatorische Maßnahmen
Die technischen und organisatorischen Maßnahmen sind in der gesonderten TOM-Dokumentation beschrieben. Der Auftragsverarbeiter darf Maßnahmen weiterentwickeln, sofern das Schutzniveau nicht wesentlich unterschritten wird.
9. Unterauftragsverarbeiter
Der Kunde erteilt eine allgemeine Genehmigung zum Einsatz der in der Subunternehmerliste genannten Unterauftragsverarbeiter. Änderungen werden in geeigneter Weise mitgeteilt. Der Kunde kann aus wichtigem datenschutzrechtlichem Grund widersprechen.
10. Drittlandübermittlungen
Soweit Unterauftragsverarbeiter Daten außerhalb der EU oder des EWR verarbeiten, stellt der Auftragsverarbeiter sicher, dass geeignete Garantien bestehen, etwa Angemessenheitsbeschlüsse, Standardvertragsklauseln oder ergänzende Schutzmaßnahmen.
11. Unterstützungspflichten
Der Auftragsverarbeiter unterstützt den Kunden im zumutbaren Umfang bei Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit, Widerspruch, Datenschutz-Folgenabschätzung und Konsultation von Aufsichtsbehörden.
12. Meldung von Datenschutzverletzungen
Der Auftragsverarbeiter informiert den Kunden unverzüglich, wenn ihm eine Verletzung des Schutzes personenbezogener Daten bekannt wird. Die Information enthält, soweit verfügbar, Art des Vorfalls, betroffene Daten, betroffene Systeme, wahrscheinliche Folgen und ergriffene oder vorgeschlagene Maßnahmen.
13. Nachweise und Kontrollen
Der Auftragsverarbeiter stellt dem Kunden geeignete Informationen zum Nachweis der Einhaltung dieses Vertrags bereit. Prüfungen erfolgen nach angemessener Vorankündigung, während üblicher Geschäftszeiten und unter Wahrung von Sicherheits- und Vertraulichkeitsinteressen anderer Kunden.
14. Löschung und Rückgabe
Nach Ende der Leistungserbringung löscht oder gibt der Auftragsverarbeiter personenbezogene Daten nach Wahl des Kunden zurück, soweit keine gesetzlichen Aufbewahrungspflichten oder berechtigten Nachweispflichten entgegenstehen. Details ergeben sich aus dem Löschkonzept.
15. Rangfolge
Bei Widersprüchen gehen dieser Vertrag und seine Anlagen den allgemeinen Nutzungsbedingungen vor, soweit es um Auftragsverarbeitung personenbezogener Daten geht.