Data processing agreement

Parteien und Gegenstand dieses Vertrags

Dieser Vertrag regelt die Verarbeitung personenbezogener Daten im Auftrag nach Art. 28 DSGVO zwischen dem Kunden als Verantwortlichem und Vitaly Litvinchuk, Grandkuhle 10D, 30823 Garbsen, Deutschland (nachfolgend „Auftragsverarbeiter").

Verantwortlicher ist der Kunde mit den Angaben, die er in seinem Konto hinterlegt hat — Name beziehungsweise Firma, Anschrift und E-Mail-Adresse. Diese Angaben sind Bestandteil dieses Vertrags; der Kunde hält sie aktuell. Eine namentliche Aufzählung im Vertragstext unterbleibt, weil sie bei jedem neuen Kunden eine neue Fassung erzwänge.

Der Vertrag ergänzt die Allgemeinen Geschäftsbedingungen und gilt für alle personenbezogenen Daten, die der Auftragsverarbeiter für den Verantwortlichen verarbeitet.

Fassung dieses Vertrags: Fassung 1.0 vom 18. August 2026.

Abgrenzung der Rollen

Für die Daten, die der Verantwortliche über seine Formulare und Funnels erhebt, ist er Verantwortlicher nach Art. 4 Nr. 7 DSGVO. Er entscheidet, welche Fragen gestellt werden, zu welchem Zweck, auf welcher Rechtsgrundlage und wie lange die Antworten aufbewahrt werden. Der Auftragsverarbeiter kennt diese Entscheidungen nicht und trifft sie nicht.

Für die Daten des Kunden selbst — Registrierung, Anmeldung, Nutzung des Studios, Abrechnung und Schriftwechsel — ist der Auftragsverarbeiter eigener Verantwortlicher. Diese Verarbeitung ist nicht Gegenstand dieses Vertrags; sie ist in der Datenschutzerklärung beschrieben. Dasselbe gilt für die Benutzerkonten, die der Kunde für sein Team anlegt.

Wendet sich eine betroffene Person mit einem Anliegen unmittelbar an den Auftragsverarbeiter, das Daten aus einem Formular des Verantwortlichen betrifft, leitet er es unverzüglich an den Verantwortlichen weiter oder verweist die Person an ihn. Eigene Auskünfte über diese Daten erteilt er nicht — das wäre eine Verarbeitung ohne Weisung.

Verarbeitet der Auftragsverarbeiter die Daten entgegen diesem Vertrag zu eigenen Zwecken oder bestimmt er Zwecke und Mittel selbst, gilt er insoweit als Verantwortlicher (Art. 28 Abs. 10 DSGVO).

Gegenstand, Dauer, Art und Zweck der Verarbeitung

Gegenstand: Der Auftragsverarbeiter stellt dem Verantwortlichen die Plattform asksteps bereit. Mit ihr erstellt der Verantwortliche dialogorientierte Formulare, Funnels und PDF-Formulare, bindet sie auf eigenen Websites ein oder lässt sie unter einer Adresse der Plattform ausliefern, und ruft die eingegangenen Antworten in seinem Konto ab.

Art der Verarbeitung: Erheben über das ausgelieferte Formular, Erfassen, Speichern in der Datenbank und in der Dateiablage des Auftragsverarbeiters, Ordnen und Auslesen für die Anzeige im Konto des Verantwortlichen, Zusammenführen mit einer von ihm hochgeladenen PDF-Vorlage zu einem ausgefüllten Dokument, Bereitstellen zum Abruf und zum Export, Übermitteln an die vom Verantwortlichen eingerichteten Empfänger sowie Einschränken und Löschen.

Zweck: allein die Erbringung der vertraglich vereinbarten Leistung. Der Auftragsverarbeiter verwendet die Daten zu keinem eigenen Zweck — insbesondere nicht für Werbung, nicht zum Aufbau eigener Datenbestände, nicht für Auswertungen über den einzelnen Mandanten hinaus und nicht zum Trainieren von Modellen.

Dauer: Die Verarbeitung beginnt mit der Registrierung und endet mit dem Ende des zugrunde liegenden Vertragsverhältnisses zuzüglich der im Abschnitt „Löschung und Rückgabe" genannten Frist. Einzelne Datensätze verarbeitet der Auftragsverarbeiter darüber hinaus so lange, wie der Verantwortliche sie in seinem Konto belässt; ihre Aufbewahrungsdauer bestimmt allein er.

Ort der Verarbeitung: die Anlagen der in Anlage 2 genannten Unterauftragnehmer. Einzelheiten stehen im Abschnitt „Übermittlung in Drittländer".

Art der personenbezogenen Daten

Welche personenbezogenen Daten verarbeitet werden, bestimmt allein der Verantwortliche mit den Fragen, die er stellt, und den Feldern, die er einschaltet. Der Auftragsverarbeiter kann den Umfang weder vorgeben noch begrenzen; die folgende Aufzählung beschreibt deshalb die Felder und Antworttypen, die das Produkt anbietet.

Im Kontaktschritt: Anrede, Vorname, Nachname, E-Mail-Adresse, Telefonnummer, Straße mit Hausnummer, Postleitzahl und Ort — jeweils, soweit der Verantwortliche das Feld eingeschaltet hat — sowie zusätzliche Felder, die er selbst anlegt.

In den Fragen und Formularschritten: die Antworten der betroffenen Personen. Das sind Auswahlantworten, Ja/Nein-Angaben, Zahlen, Datums- und Zeitangaben, frei geschriebene Texte, Mehrfachauswahlen, Tabellenzellen, hochgeladene Dateien und gezeichnete Unterschriften.

Bei PDF-Formularen zusätzlich die Werte, die in die Felder der vom Verantwortlichen hochgeladenen Vorlage übernommen werden. Das ausgefüllte Dokument wird bei jedem Abruf neu erzeugt und nicht gespeichert; gespeichert sind die einzelnen Werte und die Vorlage.

Zu jedem Eingang außerdem technische Begleitangaben: der Zeitpunkt des Beginns, der Zeitpunkt des Abschlusses und der Bearbeitungsstand, den der Verantwortliche vergibt.

Besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO — etwa Gesundheitsdaten — fallen an, wenn der Verantwortliche entsprechende Fragen stellt. Er entscheidet darüber allein und schafft zuvor die dafür erforderliche Rechtsgrundlage. Er berücksichtigt bei dieser Entscheidung die in Anlage 1 beschriebenen Maßnahmen und prüft, ob sie für die von ihm beabsichtigte Verarbeitung ausreichen.

Kategorien betroffener Personen

Betroffene Personen sind die Personen, die ein Formular oder einen Funnel des Verantwortlichen ausfüllen, sowie die Personen, über die dabei Angaben gemacht werden.

Nach den typischen Einsatzfällen der Plattform sind das insbesondere: Bewerberinnen und Bewerber, Interessentinnen und Interessenten, Kundinnen und Kunden des Verantwortlichen, Patientinnen und Patienten sowie deren Angehörige, Antragstellerinnen und Antragsteller sowie Beschäftigte des Verantwortlichen, soweit er interne Formulare einsetzt.

Nicht erfasst sind die Konten des Verantwortlichen und seines Teams. Für sie ist der Auftragsverarbeiter eigener Verantwortlicher — siehe „Abgrenzung der Rollen".

Weisungen

Der Auftragsverarbeiter verarbeitet die Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen. Dieser Vertrag ist die Erstweisung.

Die Einstellungen, die der Verantwortliche in seinem Konto vornimmt, sind die Weisungen des Alltags: welche Fragen gestellt werden, welche Felder Pflicht sind, wer in seinem Team Zugriff hat, wohin Benachrichtigungen gehen, was exportiert und was gelöscht wird. Sie sind dokumentiert, weil sie im System gespeichert sind; eines gesonderten Schriftwechsels bedarf es dafür nicht.

Weitergehende Weisungen erteilt der Verantwortliche in Textform an datenschutz@asksteps.co. Eine mündlich erteilte Weisung bestätigt er unverzüglich in Textform.

Hält der Auftragsverarbeiter eine Weisung für rechtswidrig, teilt er das dem Verantwortlichen unverzüglich mit und darf die Ausführung bis zu dessen Bestätigung aussetzen (Art. 28 Abs. 3 Satz 3 DSGVO). Eine Weisung, deren Ausführung gegen die Datenschutz-Grundverordnung oder gegen andere Datenschutzbestimmungen der Union oder der Mitgliedstaaten verstieße, führt er nicht aus.

Ist der Auftragsverarbeiter nach dem Recht der Union oder eines Mitgliedstaats zu einer Verarbeitung verpflichtet, unterrichtet er den Verantwortlichen vor der Verarbeitung über diese Anforderung, sofern das betreffende Recht eine solche Mitteilung nicht wegen eines wichtigen öffentlichen Interesses verbietet.

Der Auftragsverarbeiter unterrichtet den Verantwortlichen unverzüglich, wenn eine Behörde Auskunft über dessen Daten verlangt oder Zugriff darauf nimmt, soweit ihm das rechtlich erlaubt ist.

Vertraulichkeit der eingesetzten Personen

Sicherheit der Verarbeitung

Der Auftragsverarbeiter trifft die nach Art. 32 DSGVO erforderlichen technischen und organisatorischen Maßnahmen. Sie sind in Anlage 1 beschrieben und Bestandteil dieses Vertrags.

Anlage 1 beschreibt den tatsächlichen Zustand. Maßnahmen, die noch nicht umgesetzt sind, sind dort ausdrücklich als offen gekennzeichnet und damit nicht zugesagt. Eine Zertifizierung besteht nicht: Es gibt kein Testat nach ISO/IEC 27001, keinen Bericht nach einem Prüfstandard und keinen externen Prüfbericht.

Die Maßnahmen sind dem Stand der Technik, den Implementierungskosten sowie der Art, dem Umfang, den Umständen und den Zwecken der Verarbeitung anzupassen. Der Auftragsverarbeiter darf sie fortentwickeln; das vereinbarte Schutzniveau darf dabei nicht unterschritten werden. Wesentliche Änderungen werden in Anlage 1 nachgeführt und ergeben eine neue Fassung dieses Vertrags.

Der Verantwortliche prüft vor dem Einsatz der Plattform, ob dieses Schutzniveau für die von ihm beabsichtigte Verarbeitung angemessen ist. Diese Prüfung kann ihm der Auftragsverarbeiter nicht abnehmen: Nur der Verantwortliche kennt Zweck, Umfang und Risiko der Daten, die er erheben will.

Unterauftragnehmer

Der Verantwortliche erteilt dem Auftragsverarbeiter die allgemeine Genehmigung, weitere Auftragsverarbeiter hinzuzuziehen (Art. 28 Abs. 2 Satz 2 DSGVO). Die zum Stand dieser Fassung eingesetzten Unterauftragnehmer stehen in Anlage 2; ihrem Einsatz stimmt der Verantwortliche mit diesem Vertrag zu.

Der Auftragsverarbeiter wählt jeden Unterauftragnehmer sorgfältig aus und erlegt ihm dieselben Datenschutzpflichten auf, die ihn nach diesem Vertrag treffen. Kommt der Unterauftragnehmer diesen Pflichten nicht nach, haftet der Auftragsverarbeiter gegenüber dem Verantwortlichen für deren Einhaltung (Art. 28 Abs. 4 DSGVO).

Beabsichtigt der Auftragsverarbeiter, einen Unterauftragnehmer hinzuzuziehen oder auszutauschen, teilt er das dem Verantwortlichen mindestens 30 Tage vorher in Textform an die im Konto hinterlegte E-Mail-Adresse mit. Die Mitteilung nennt Namen, Sitz, Leistung und den vorgesehenen Zeitpunkt.

Der Verantwortliche kann der Änderung innerhalb von 14 Tagen nach Zugang der Mitteilung aus datenschutzrechtlichen Gründen in Textform widersprechen. Der Widerspruch ist zu begründen — ohne Begründung kann der Auftragsverarbeiter ihn nicht prüfen.

Widerspricht der Verantwortliche, suchen beide Seiten eine einvernehmliche Lösung. Kommt sie nicht zustande und kann der Auftragsverarbeiter die Leistung ohne den Unterauftragnehmer nicht erbringen, kann der Verantwortliche das Vertragsverhältnis zum Zeitpunkt des Wechsels außerordentlich kündigen. Im Voraus gezahlte Entgelte werden für die Zeit nach der Beendigung anteilig erstattet; weitergehende Ansprüche wegen des Wechsels bestehen nicht.

Muss ein Unterauftragnehmer aus zwingenden Gründen sofort ausgetauscht werden — etwa bei seinem Ausfall oder bei einer Kündigung durch ihn —, darf der Auftragsverarbeiter den Wechsel vorab vornehmen und unterrichtet den Verantwortlichen unverzüglich. Das Widerspruchsrecht bleibt bestehen und wirkt dann für die Zukunft.

Nicht als Unterauftragnehmer gelten Nebenleistungen ohne Bezug zu den verarbeiteten Daten, etwa Telekommunikation, Post- und Transportdienste, die Wartung von Endgeräten sowie die Prüfung durch Steuerberater oder Rechtsanwälte.

Unterstützung bei den Rechten betroffener Personen

Der Auftragsverarbeiter unterstützt den Verantwortlichen mit geeigneten technischen und organisatorischen Maßnahmen dabei, Anträge betroffener Personen auf Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit und Widerspruch zu beantworten.

Die Anträge beantwortet der Verantwortliche selbst. Die dafür nötigen Mittel stehen ihm in seinem Konto zur Verfügung: Er sieht jeden Eingang vollständig, kann ihn ändern und löschen, kann seine Eingänge als CSV-Datei exportieren und ruft hochgeladene Dateien sowie das ausgefüllte PDF-Dokument je Eingang ab.

Reichen diese Mittel im Einzelfall nicht aus, unterstützt der Auftragsverarbeiter auf Anfrage an datenschutz@asksteps.co. Die Unterstützung ist unentgeltlich, soweit sie nicht auf einem Umstand beruht, den der Verantwortliche zu vertreten hat.

Wendet sich eine betroffene Person unmittelbar an den Auftragsverarbeiter, leitet er den Antrag unverzüglich weiter — siehe „Abgrenzung der Rollen".

Unterstützung bei den Pflichten nach Art. 32 bis 36 DSGVO

Der Auftragsverarbeiter unterstützt den Verantwortlichen bei der Einhaltung der Pflichten aus Art. 32 bis 36 DSGVO, soweit die Art der Verarbeitung es erfordert und ihm die dafür erforderlichen Informationen zur Verfügung stehen.

Für eine Datenschutz-Folgenabschätzung nach Art. 35 DSGVO stellt er die Angaben zur Verfügung, die nur er kennt: Anlage 1, Anlage 2, die Beschreibung der Verarbeitung in diesem Vertrag sowie Auskünfte zu den eingesetzten Systemen. Die Folgenabschätzung selbst führt der Verantwortliche durch; sie betrifft seine Verarbeitung.

Ein Aufwand, der über die Erteilung solcher Auskünfte hinausgeht, kann nach vorheriger Ankündigung und Abstimmung nach Aufwand berechnet werden. Das gilt nicht, soweit der Aufwand auf einem Umstand beruht, den der Auftragsverarbeiter zu vertreten hat.

Verletzungen des Schutzes personenbezogener Daten

Wird dem Auftragsverarbeiter eine Verletzung des Schutzes personenbezogener Daten bekannt, die Daten des Verantwortlichen betrifft, meldet er sie diesem unverzüglich nach Kenntnis in Textform an die im Konto hinterlegte E-Mail-Adresse.

Die Meldung enthält, soweit bekannt: die Art der Verletzung, die betroffenen Kategorien und die ungefähre Zahl der betroffenen Personen und Datensätze, die wahrscheinlichen Folgen, die ergriffenen und vorgeschlagenen Gegenmaßnahmen sowie eine Stelle für Rückfragen. Fehlende Angaben reicht der Auftragsverarbeiter unverzüglich nach; eine unvollständige Meldung wird nicht zurückgehalten, bis sie vollständig ist.

Die Meldung an die Aufsichtsbehörde nach Art. 33 DSGVO und die Benachrichtigung der betroffenen Personen nach Art. 34 DSGVO obliegen dem Verantwortlichen. Der Auftragsverarbeiter nimmt sie nicht in dessen Namen vor, es sei denn, der Verantwortliche weist ihn ausdrücklich dazu an.

Der Auftragsverarbeiter dokumentiert jede Verletzung und die getroffenen Maßnahmen und stellt die Dokumentation dem Verantwortlichen auf Anforderung zur Verfügung.

Löschung und Rückgabe nach Vertragsende

Nachweise und Überprüfungen

Der Auftragsverarbeiter stellt dem Verantwortlichen alle Informationen zur Verfügung, die zum Nachweis der Einhaltung der Pflichten aus Art. 28 DSGVO erforderlich sind, und ermöglicht Überprüfungen einschließlich Inspektionen.

Der Nachweis erfolgt in erster Linie durch Auskunft in Textform: Anlage 1 und Anlage 2 in ihrer jeweils geltenden Fassung, ergänzende Auskünfte zu einzelnen Maßnahmen und — sobald sie vorliegen — Prüfberichte oder Zertifikate. Solche Berichte gibt es zum Stand dieser Fassung nicht.

Genügt das im Einzelfall nicht, kann der Verantwortliche eine Überprüfung verlangen. Sie wird mit einer Frist von 30 Tagen angekündigt, findet zu den üblichen Geschäftszeiten statt, stört den Betrieb nicht unangemessen und beschränkt sich auf die Verarbeitung für diesen Verantwortlichen. Ohne besonderen Anlass ist sie auf eine Überprüfung je Kalenderjahr begrenzt.

Der Verantwortliche darf einen unabhängigen Prüfer beauftragen, der nicht Wettbewerber des Auftragsverarbeiters ist und zur Verschwiegenheit verpflichtet wird. Ein Zugriff auf Daten anderer Mandanten ist ausgeschlossen — er wäre selbst ein Datenschutzverstoß.

Der Auftragsverarbeiter wird als Einzelunternehmen geführt; der Aufwand einer Überprüfung vor Ort trifft ihn unmittelbar. Er kann sie nach vorheriger Ankündigung nach Aufwand berechnen, wenn sie ohne konkreten Anlass verlangt wird. Bei einer Überprüfung aus Anlass einer festgestellten Verletzung des Schutzes personenbezogener Daten oder einer Anordnung der Aufsichtsbehörde entfällt die Berechnung.

Der Auftragsverarbeiter unterrichtet den Verantwortlichen unverzüglich, wenn eine Aufsichtsbehörde bei ihm eine Prüfung durchführt, die dessen Daten betreffen kann.

Übermittlung in Drittländer

Die für den Verantwortlichen verarbeiteten Daten werden nicht in ein Land außerhalb der Europäischen Union und des Europäischen Wirtschaftsraums übermittelt. Die in Anlage 2 genannten Unterauftragnehmer für Hosting und E-Mail-Versand haben ihren Sitz in Deutschland.

Der Zahlungsdienstleister verarbeitet ausschließlich die Vertrags- und Zahlungsdaten des Verantwortlichen selbst und keine Daten aus dessen Formularen. Diese Verarbeitung ist nicht Gegenstand dieses Vertrags; sie ist in der Datenschutzerklärung beschrieben.

Wird eine Übermittlung in ein Drittland künftig erforderlich, erfolgt sie nur auf einer Grundlage nach Kapitel V DSGVO — einem Angemessenheitsbeschluss oder den Standardvertragsklauseln nach Art. 46 Abs. 2 lit. c DSGVO nebst der erforderlichen Prüfung zusätzlicher Schutzmaßnahmen. Der Auftragsverarbeiter behandelt eine solche Übermittlung wie den Wechsel eines Unterauftragnehmers; das dort geregelte Widerspruchsrecht gilt.

Das betrifft insbesondere die Funktionen mit künstlicher Intelligenz. Sie sind ab Werk abgeschaltet; solange der Hauptschalter aus ist, wird kein Anbieter aufgerufen und kein Inhalt übermittelt. Einzelheiten stehen in Anlage 2.

Haftung, Rangfolge und Schlussbestimmungen

Für die Haftung gilt Art. 82 DSGVO. Im Verhältnis der Parteien untereinander gelten ergänzend die Haftungsregelungen der Allgemeinen Geschäftsbedingungen; sie beschränken die Haftung gegenüber betroffenen Personen und gegenüber Aufsichtsbehörden nicht.

Bei Widersprüchen gehen die Regelungen dieses Vertrags den Allgemeinen Geschäftsbedingungen vor, soweit die Auftragsverarbeitung betroffen ist. Im Übrigen bleiben die Allgemeinen Geschäftsbedingungen unberührt.

Ist eine Bestimmung dieses Vertrags unwirksam oder wird sie es, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt. An die Stelle der unwirksamen Bestimmung treten die gesetzlichen Vorschriften.

Es gilt das Recht der Bundesrepublik Deutschland. Für den Gerichtsstand gilt der Abschnitt „Schlussbestimmungen" der Allgemeinen Geschäftsbedingungen.

Dieser Vertrag endet mit dem Vertragsverhältnis, das ihm zugrunde liegt. Die Pflichten zur Löschung, zur Vertraulichkeit und zum Nachweis bestehen darüber hinaus fort, bis sie erfüllt sind.

Zustandekommen, Fassung und Nachweis der Zustimmung

Dieser Vertrag wird in elektronischer Form geschlossen; Art. 28 Abs. 9 DSGVO lässt das ausdrücklich zu. Eine Unterschrift ist nicht erforderlich, und der Kunde muss den Vertrag nicht mehr einzeln anfordern.

Er kommt zustande, indem der Kunde ihn bei der Registrierung bestätigt — mit einer eigenen Erklärung, getrennt von der Zustimmung zu den Allgemeinen Geschäftsbedingungen. Getrennt deshalb, weil es zwei verschiedene Verträge sind: Die Allgemeinen Geschäftsbedingungen regeln die Leistung, dieser Vertrag die Verarbeitung im Auftrag. Eine gemeinsame Zustimmung ließe später nicht mehr feststellen, worauf sie sich bezog.

Als Nachweis gespeichert werden die Fassung des Vertrags (Fassung 1.0 vom 18. August 2026), der Zeitpunkt der Bestätigung und die IP-Adresse, von der sie abgegeben wurde. Rechtsgrundlage dieser Speicherung ist Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit Art. 5 Abs. 2 und Art. 28 Abs. 9 DSGVO: Der Auftragsverarbeiter muss nachweisen können, dass und in welcher Fassung der Vertrag geschlossen wurde.

Jede inhaltliche Änderung dieses Vertrags erhält eine neue Fassungsnummer und ein neues Datum. Der Auftragsverarbeiter teilt eine neue Fassung mindestens 30 Tage vor ihrem Wirksamwerden in Textform mit und holt die Bestätigung erneut ein. Bis zur Bestätigung gilt die bisherige Fassung weiter; eine Zustimmung durch Schweigen tritt nicht ein.

Der Kunde kann diese Seite jederzeit abrufen, speichern und ausdrucken. Welche Fassung er bestätigt hat, teilt ihm der Auftragsverarbeiter auf Anfrage mit.

Anlage 1: Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

Anlage 2: Unterauftragnehmer

Stand

Fassung 1.0 vom 18. August 2026. Dies ist die erste Fassung; sie ersetzt keine frühere.

Jede inhaltliche Änderung erhält eine neue Nummer und ein neues Datum. Welche Fassung ein Kunde bestätigt hat, wird zu seinem Konto gespeichert — siehe „Zustandekommen, Fassung und Nachweis der Zustimmung".