Zur Startseite
Rechtliches

Vertrag zur Auftragsverarbeitung

Stand: Oktober 2026. Nach Art. 28 DSGVO für die Daten deiner Kunden in Suerto.

Dieser Vertrag gilt für alle Kunden von Suerto und wird mit der Buchung Bestandteil des Nutzungsvertrags (§ 8 der AGB). Du kannst ihn hier jederzeit abrufen, speichern und ausdrucken. Auf Wunsch schicken wir eine unterschriebene Fassung per E-Mail, eine kurze Nachricht an info@suerto.de genügt.

Vertragsparteien

Auftraggeber ist der jeweilige Kunde von Suerto als Verantwortlicher im Sinne von Art. 4 Nr. 7 DSGVO.

Auftragnehmer ist Jan Maurice Janßen, Suerto, Brunostr. 21, 46049 Oberhausen, als Auftragsverarbeiter im Sinne von Art. 28 DSGVO.

§ 1 Gegenstand und Dauer

  1. Der Auftragnehmer stellt dem Auftraggeber die Software Suerto unter app.suerto.de bereit. Dabei verarbeitet er personenbezogene Daten, die der Auftraggeber in Suerto erfasst.
  2. Der Vertrag gilt für die Laufzeit des Nutzungsvertrags und darüber hinaus, bis alle Daten nach § 8 gelöscht sind.

§ 2 Art und Zweck der Verarbeitung, Daten und Betroffene

  1. Art: Erfassen, Speichern, Ordnen, Auslesen, Verwenden für Berechnungen und Darstellungen, Bereitstellen als Export, Kundengutachten oder Folie, Bilden von Kennzahlen nach § 3 Abs. 4 sowie Löschen.
  2. Zweck: Analyse der finanziellen Lage und Absicherung der Kunden des Auftraggebers, Erstellen von Kundengutachten und Beratungsunterlagen sowie Verwaltung von Kunden, Angeboten und Aufgaben.
  3. Datenarten: Stamm- und Kontaktdaten wie Name, Anschrift, Geburtsdatum, Telefon und E-Mail, Familien- und Haushaltsdaten, Beruf und Arbeitgeber, Einkommen, Ausgaben, Vermögen und Verbindlichkeiten, bestehende Verträge zu Vorsorge, Absicherung und Geldanlage, Angaben zu Haustieren, Ziele und Wünsche, Angebote und Abschlüsse sowie Notizen zur Beratung. Soweit der Auftraggeber sie erfasst, auch besondere Kategorien nach Art. 9 DSGVO, insbesondere Angaben zur Gesundheit.
  4. Betroffene: Kunden und Interessenten des Auftraggebers sowie deren Haushaltsangehörige, auch Kinder.

§ 3 Weisungen

  1. Der Auftragnehmer verarbeitet die Daten nur auf dokumentierte Weisung des Auftraggebers, auch bei einer Übermittlung in ein Land außerhalb der EU. Weisungen sind dieser Vertrag, der Nutzungsvertrag und die Nutzung der Funktionen von Suerto durch den Auftraggeber. Weitere Weisungen erteilt der Auftraggeber in Textform.
  2. Hält der Auftragnehmer eine Weisung für rechtswidrig, teilt er das dem Auftraggeber unverzüglich mit.
  3. Eine Verarbeitung aufgrund einer gesetzlichen Pflicht nach Art. 28 Abs. 3 lit. a DSGVO bleibt vorbehalten. Der Auftragnehmer teilt sie dem Auftraggeber vorher mit, soweit das Gesetz es nicht verbietet.
  4. Der Auftraggeber weist den Auftragnehmer an, aus den Daten Kennzahlen zu bilden. Dazu zählt Suerto beim Speichern Kunden, Kundengutachten, Angebote, Abschlüsse und verlorene Angebote im Konto sowie genutzte Analysen und Beratungsfolien. Außerdem bildet Suerto die Summe der Beitragsvolumen und die durchschnittliche Zahl abgesicherter Bereiche je Kunde. Die Kennzahlen enthalten nur Anzahlen und Summen, keine Namen, keine Kontaktdaten, keine Angaben zur Gesundheit und keine anderen Inhalte zu einzelnen Kunden. Der Auftragnehmer wertet sie nur in Summen über alle Konten aus, um Suerto weiterzuentwickeln und die Entwicklung des Angebots zu messen, auch gegenüber Investoren. Er schlüsselt sie nicht nach Konten auf und versucht nicht, Personen zu bestimmen.

§ 4 Pflichten des Auftragnehmers

  1. Alle Personen, die Zugriff auf die Daten haben, sind zur Vertraulichkeit verpflichtet.
  2. Der Auftragnehmer trifft die technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO, die in der Anlage beschrieben sind. Er darf sie weiterentwickeln, solange das Schutzniveau nicht sinkt.
  3. Auf die Inhalte greift der Auftragnehmer nur zu, soweit es für den Betrieb, für Fehlerbehebung auf Wunsch des Auftraggebers oder aufgrund einer gesetzlichen Pflicht nötig ist. Solche Zugriffe dokumentiert er.
  4. Der Auftragnehmer unterstützt den Auftraggeber bei Anfragen betroffener Personen (Art. 12 bis 23 DSGVO) und bei den Pflichten nach Art. 32 bis 36 DSGVO, auch bei einer Datenschutz-Folgenabschätzung. Anfragen betroffener Personen, die direkt bei ihm eingehen, leitet er unverzüglich an den Auftraggeber weiter. Er beantwortet sie nur, wenn der Auftraggeber ihn dazu anweist.
  5. Verletzungen des Schutzes personenbezogener Daten meldet der Auftragnehmer dem Auftraggeber unverzüglich, nachdem er davon erfahren hat. Die Meldung enthält die Angaben, die der Auftraggeber für seine eigene Meldung nach Art. 33 DSGVO braucht, soweit sie vorliegen.
  6. Die Verarbeitung findet ausschließlich in der Europäischen Union statt.

§ 5 Schweigepflicht nach § 203 StGB

  1. Vermittler für Kranken-, Lebens- oder Unfallversicherer können einer Schweigepflicht nach § 203 StGB unterliegen. Unterliegt der Auftraggeber einer solchen Pflicht, wirkt der Auftragnehmer an seiner beruflichen Tätigkeit mit (§ 203 Abs. 3 StGB).
  2. Der Auftragnehmer hält fremde Geheimnisse, die ihm dabei bekannt werden, geheim. Er verschafft sich nur so weit Kenntnis davon, wie es für seine Leistung nötig ist.
  3. Der Auftraggeber weist den Auftragnehmer darauf hin, dass der Auftragnehmer sich nach § 203 Abs. 4 StGB strafbar macht, wenn er ein solches Geheimnis unbefugt offenbart.
  4. Der Auftragnehmer verpflichtet Unterauftragsverarbeiter und Personen, die bei ihm mitwirken, in Textform ebenso zur Geheimhaltung.

§ 6 Unterauftragsverarbeiter

  1. Der Auftraggeber genehmigt folgenden Unterauftragsverarbeiter: IONOS SE, Elgendorfer Str. 57, 56410 Montabaur, für Hosting, Datenbank und E-Mail-Versand in Rechenzentren in Deutschland.
  2. Der Auftragnehmer verpflichtet Unterauftragsverarbeiter vertraglich auf dasselbe Schutzniveau wie in diesem Vertrag. Für die Einhaltung durch Unterauftragsverarbeiter haftet er gegenüber dem Auftraggeber wie für eigenes Handeln (Art. 28 Abs. 4 DSGVO).
  3. Neue oder geänderte Unterauftragsverarbeiter kündigt der Auftragnehmer mindestens 4 Wochen vorher in Textform an. Der Auftraggeber kann aus wichtigem datenschutzrechtlichem Grund widersprechen. Finden die Parteien keine Lösung, kann der Auftraggeber den Nutzungsvertrag zum Wirksamwerden der Änderung kündigen.

§ 7 Kontrollrechte

  1. Der Auftragnehmer weist dem Auftraggeber die Einhaltung seiner Pflichten auf Anfrage nach, vorrangig durch Auskünfte, Unterlagen und Zertifikate seiner Dienstleister.
  2. Prüfungen vor Ort durch den Auftraggeber oder einen von ihm beauftragten Prüfer, der zur Verschwiegenheit verpflichtet ist, sind nach rechtzeitiger Anmeldung zu üblichen Geschäftszeiten möglich, ohne den Betrieb zu stören. Die Kosten trägt der Auftraggeber, es sei denn, die Prüfung deckt einen Verstoß des Auftragnehmers auf.

§ 8 Löschung und Rückgabe

  1. Während der Laufzeit kann der Auftraggeber seine Daten jederzeit selbst exportieren und löschen.
  2. Endet der Vertrag nicht durch Löschen des Kontos, kann der Auftraggeber seine Daten danach noch 30 Tage exportieren. Das ist die Rückgabe der Daten. Danach löscht der Auftragnehmer alle Daten einschließlich früherer Stände und bestätigt das auf Anfrage. Sicherungskopien beim Hosting-Dienstleister laufen nach dessen Angaben nach höchstens 14 Tagen aus.
  3. Löscht der Auftraggeber sein Konto selbst, löscht der Auftragnehmer die Daten sofort.
  4. Kennzahlen nach § 3 Abs. 4 bleiben danach nur als Monatssummen ohne Bezug zum Konto erhalten.

§ 9 Haftung und Schlussbestimmungen

  1. Für die Haftung gilt Art. 82 DSGVO. Wird der Auftragnehmer von einer betroffenen Person oder einem anderen Dritten wegen einer Verarbeitung in Anspruch genommen, die auf einem Verstoß des Auftraggebers beruht, stellt der Auftraggeber ihn im Innenverhältnis frei (Art. 82 Abs. 5 DSGVO). Das gilt nicht, soweit der Auftragnehmer selbst gegen seine Pflichten verstoßen hat. Im Übrigen gelten die Regeln der AGB.
  2. Bei Widersprüchen geht dieser Vertrag den AGB in Fragen des Datenschutzes vor.
  3. Änderungen und Ergänzungen bedürfen der Textform.

Anlage: Technische und organisatorische Maßnahmen

Vertraulichkeit

Integrität

Verfügbarkeit und Belastbarkeit

Datensparsamkeit

Überprüfung