Vertrag zur Auftragsverarbeitung

Fassung 2026-11-08, gültig ab 8. November 2026.

Zwischen dem Kunden (Verantwortlicher) und Maik Gossen, DD-Gossen, Anschrift laut Impressum („Mapasso“, Auftragsverarbeiter), nach Art. 28 der Verordnung (EU) 2016/679 (DSGVO). Der Vertrag wird elektronisch geschlossen (Art. 28 Abs. 9 DSGVO), indem der Kunde ihm beim Anlegen der Organisation zustimmt. Mapasso speichert Organisation, zustimmende Person, Zeitpunkt und Fassung.

§ 1 Gegenstand und Dauer

(1) Mapasso verarbeitet personenbezogene Daten im Auftrag des Kunden, soweit sie in den Inhalten enthalten sind, die der Kunde im Portal anlegt, übernimmt oder veröffentlicht. Grundlage ist der Vertrag über die Nutzung des Portals nach den AGB.

(2) Für Daten zum Konto, zur Anmeldung, zur Sicherheit und zur Abrechnung ist Mapasso selbst Verantwortlicher. Dafür gilt die Datenschutzerklärung des Portals, nicht dieser Vertrag.

(3) Der Vertrag gilt so lange wie der Nutzungsvertrag und darüber hinaus, solange Mapasso nach § 9 Daten des Kunden verarbeitet.

§ 2 Art, Zweck und Umfang


Zweck	Anlegen, Speichern, Pflegen und Veröffentlichen digitaler Produktpässe, Übernahme von Produktdaten aus Systemen des Kunden, Export
Art der Verarbeitung	Erheben über Formulare, Dateien, Verbindungen und Schnittstelle, Speichern, Ordnen, Anzeigen, Veröffentlichen auf öffentlichen Pass-Seiten, Bereitstellen als Datei, Löschen
Kategorien von Daten	Namen, Anschriften und Kontaktdaten von Herstellern, Importeuren, Lieferanten, Prüfstellen und deren Ansprechpartnern, soweit es natürliche Personen sind oder Personen genannt werden; Namen von Mitarbeitern des Kunden in Verlauf und Versionen
Betroffene Personen	Ansprechpartner und Inhaber bei Herstellern, Lieferanten und Prüfstellen, Mitarbeiter des Kunden
Ort	Rechenzentren in der EU (Frankfurt am Main) nach der Liste der Unterauftragsverarbeiter; Übermittlungen in Drittländer nur nach § 7

Aufrufe der öffentlichen Pass-Seiten zählt Mapasso ohne IP-Adresse und ohne Cookie (Land, Gerätetyp, Sprache, nur die Domain der verweisenden Website). Diese Statistik enthält keine personenbezogenen Daten.

§ 3 Weisungen

(1) Mapasso verarbeitet die Daten nur auf dokumentierte Weisung des Kunden, auch bei Übermittlungen in ein Drittland, es sei denn, Mapasso ist nach Unionsrecht oder deutschem Recht dazu verpflichtet. Dann teilt Mapasso dem Kunden diese Pflicht vorher mit, soweit das Recht es nicht verbietet.

(2) Weisungen sind dieser Vertrag, die AGB und die Bedienung des Portals durch den Kunden, etwa Anlegen, Veröffentlichen, Archivieren oder Löschen. Weitere Weisungen erteilt der Kunde in Textform an info@mapasso.de.

(3) Der Kunde weist Mapasso ausdrücklich an, veröffentlichte Pässe nach Vertragsende nach § 8 der AGB öffentlich zu halten, in der letzten veröffentlichten Fassung ohne Kontakt-E-Mail.

(4) Hält Mapasso eine Weisung für rechtswidrig, informiert Mapasso den Kunden unverzüglich und darf die Ausführung bis zur Bestätigung aussetzen.

§ 4 Vertraulichkeit

Mapasso setzt für die Verarbeitung nur Personen ein, die zur Vertraulichkeit verpflichtet sind oder einer gesetzlichen Verschwiegenheitspflicht unterliegen.

§ 5 Sicherheit der Verarbeitung

Mapasso trifft die technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO, die in der Anlage Technische und organisatorische Maßnahmen beschrieben sind. Mapasso darf sie an den Stand der Technik anpassen, wenn das Schutzniveau nicht sinkt.

§ 6 Unterauftragsverarbeiter

(1) Der Kunde erteilt die allgemeine Genehmigung, Unterauftragsverarbeiter einzusetzen. Die aktuell eingesetzten stehen in der Liste der Unterauftragsverarbeiter.

(2) Über jeden neuen oder ersetzten Unterauftragsverarbeiter informiert Mapasso den Kunden mindestens vier Wochen vorher per E-Mail. Der Kunde kann innerhalb dieser Frist aus wichtigem datenschutzrechtlichem Grund widersprechen. Findet sich keine Lösung, kann der Kunde den Nutzungsvertrag zum Wirksamwerden der Änderung kündigen.

(3) Mapasso verpflichtet jeden Unterauftragsverarbeiter vertraglich auf die Pflichten dieses Vertrags und bleibt gegenüber dem Kunden für ihn verantwortlich.

§ 7 Übermittlung in Drittländer

Übermittlungen in Länder außerhalb des Europäischen Wirtschaftsraums erfolgen nur, wenn die Voraussetzungen der Art. 44 bis 49 DSGVO erfüllt sind, insbesondere auf Grundlage eines Angemessenheitsbeschlusses wie des EU-US Data Privacy Framework oder der Standardvertragsklauseln der EU-Kommission. Die Grundlage je Unterauftragsverarbeiter steht in der Liste.

§ 8 Unterstützung des Kunden

(1) Mapasso unterstützt den Kunden mit geeigneten Maßnahmen bei der Beantwortung von Anträgen betroffener Personen (Art. 12 bis 23 DSGVO). Wendet sich eine betroffene Person direkt an Mapasso, leitet Mapasso den Antrag unverzüglich an den Kunden weiter. Inhalte kann der Kunde im Portal selbst ändern, exportieren und löschen.

(2) Mapasso unterstützt den Kunden bei den Pflichten aus Art. 32 bis 36 DSGVO, soweit es die Verarbeitung durch Mapasso betrifft.

(3) Mapasso meldet dem Kunden eine Verletzung des Schutzes personenbezogener Daten unverzüglich, möglichst innerhalb von 24 Stunden nach Kenntnis, mit den Angaben nach Art. 33 Abs. 3 DSGVO, soweit sie vorliegen.

§ 9 Löschung und Rückgabe

(1) Nach Ende des Nutzungsvertrags kann der Kunde seine Daten nach § 9 der AGB exportieren. Danach löscht Mapasso die Daten des Kunden, soweit keine Pflicht zur Speicherung besteht.

(2) Ausgenommen sind die veröffentlichten Pässe nach der Weisung in § 3 Absatz 3. Mapasso löscht sie auf Verlangen des Kunden innerhalb eines Monats, spätestens mit dem Ende des Betriebs nach § 8 der AGB.

(3) Gelöschte Daten verschwinden aus den Sicherungskopien der Datenbank, wenn diese im regulären Rhythmus überschrieben werden, spätestens nach 30 Tagen.

§ 10 Nachweise und Kontrollen

(1) Mapasso stellt dem Kunden auf Anfrage die Informationen zur Verfügung, die zum Nachweis der Pflichten aus Art. 28 DSGVO nötig sind.

(2) Der Kunde kann die Einhaltung prüfen oder durch einen zur Verschwiegenheit verpflichteten Prüfer prüfen lassen, nach Anmeldung mit angemessener Frist, während der Geschäftszeiten und ohne den Betrieb zu stören. Vorrangig genügen schriftliche Auskünfte und aktuelle Nachweise der Unterauftragsverarbeiter. Kosten einer Vor-Ort-Prüfung trägt der Kunde, außer sie deckt einen erheblichen Verstoß auf.

§ 11 Schlussbestimmungen

(1) Bei Widersprüchen zwischen diesem Vertrag und den AGB geht dieser Vertrag für den Datenschutz vor.

(2) Die Haftung richtet sich nach Art. 82 DSGVO und im Übrigen nach den AGB.