AV-Vertragsmuster für Lieferanten

Fassung 2026-10-06.1 · 6. Oktober 2026. Dieses Muster ist zur Vorbereitung einer Vereinbarung bestimmt. Es ist kein Nachweis, dass mit einem bestimmten Lieferanten bereits ein vollständiger Vertrag geschlossen wurde. Alle nachfolgend genannten Anlagen müssen partnerbezogen ausgefüllt, geprüft und von beiden Parteien vereinbart werden, bevor Kundendaten zugänglich werden.

Parteien, Rolle und Leistungsbeschreibung

Auftraggeber ist Nakaryu GmbH, Franz-Liszt str. 3, 90571 Schwaig, Deutschland. Auftragnehmer ist das konkret im abgeschlossenen Vertrag identifizierte Lieferantenunternehmen mit vollständiger Anschrift und vertretungsberechtigter Person. Vor Vertragsabschluss ist zu prüfen, ob die tatsächliche Tätigkeit Auftragsverarbeitung ist. Dieses Muster dient nicht dazu, eine abweichende tatsächliche Rolle durch ein Etikett zu ändern.

Im Rahmen freigegebener Aufträge verarbeitet der Auftragnehmer Daten ausschließlich zur vereinbarten Herstellung, Konfiguration, Verpackung, Lieferung und erforderlichen Nachbearbeitung. Datenarten sind, soweit benötigt: Kundenname und Lieferanschrift, Bestellpositionen, Konfiguration und notwendige Versandangaben. Telefonnummer, freie Notizen und Produktionsdateien sind nur im konkret dokumentierten Umfang umfasst. Betroffene Personen sind Kunden beziehungsweise benannte Empfänger. Besondere Kategorien personenbezogener Daten sind nicht pauschal zur Verarbeitung freigegeben.

Gegenstand, Beginn, Dauer, Datenarten, Betroffenengruppen, Arbeitsschritte, Zugriffsländer und Löschfristen werden verbindlich in Anlage 1 festgelegt. Änderungen bedürfen dokumentierter Vereinbarung. Verarbeitung für eigene Werbung, Datenverkauf oder eigene Kundenakquise ist ausgeschlossen.

Weisungen und Vertraulichkeit

Der Auftragnehmer verarbeitet Daten nur nach dokumentierten Weisungen des Auftraggebers, auch hinsichtlich Drittlandübermittlungen. Gesetzlich zwingende abweichende Verarbeitungspflichten teilt er vorab mit, soweit dies rechtlich erlaubt ist. Hält er eine Weisung für datenschutzwidrig, weist er den Auftraggeber unverzüglich darauf hin und führt die zweifelhafte Verarbeitung bis zur zulässigen Klärung nicht aus.

Nur befugte, zur Vertraulichkeit verpflichtete und angemessen unterwiesene Personen erhalten aufgabenbezogenen Zugriff. Kontaktpersonen und weisungsberechtigte Stellen werden in Anlage 1 bezeichnet. Zugriffsrechte werden bei Rollenwechsel und Vertragsende entzogen.

Technische und organisatorische Maßnahmen

Vor Beginn werden die tatsächlich umgesetzten Maßnahmen in Anlage 2 beschrieben und geprüft. Dazu gehören abhängig vom Risiko Zugangsschutz, rollenbasierte Berechtigungen, sichere Übertragung, geschützte Endgeräte und Dateien, Wiederherstellbarkeit, Protokollierung, regelmäßige Wirksamkeitskontrollen und Umgang mit Papierunterlagen. Eine allgemeine Erklärung „DSGVO-konform“ ersetzt diese konkrete Beschreibung nicht.

Änderungen dürfen das vereinbarte Schutzniveau nicht vermindern. Wesentliche Änderungen und erkennbar unzureichende Maßnahmen werden unverzüglich mitgeteilt. Der Auftraggeber kann vor weiterer Datenbereitstellung geeignete Nachweise verlangen.

Unterauftragnehmer und Drittstaaten

Unterauftragnehmer dürfen nur entsprechend der zuvor vereinbarten schriftlichen Genehmigung eingesetzt werden. Anlage 3 nennt Unternehmen, Leistung, Anschrift, tatsächliche Zugriffsorte und Sicherheitsprüfung. Bei allgemeiner Genehmigung sind beabsichtigte Änderungen rechtzeitig anzuzeigen, damit der Auftraggeber begründet widersprechen kann. Unterauftragnehmer werden zu gleichwertigen Datenschutzpflichten verpflichtet; der Auftragnehmer bleibt für deren Einhaltung gegenüber dem Auftraggeber verantwortlich.

Datenzugriffe außerhalb des EWR bedürfen vor Beginn dokumentierter Freigabe und eines anwendbaren Übermittlungsmechanismus. Gegebenenfalls erforderliche Standardvertragsklauseln, Transferprüfung und ergänzende Maßnahmen werden in Anlage 4 festgehalten. Dieses AV-Muster ersetzt sie nicht. Sitz, Lager, Support und Unterauftragnehmer sind gleichermaßen zu berücksichtigen.

Unterstützung, Vorfälle und Nachweise

Der Auftragnehmer unterstützt den Auftraggeber im vereinbarten notwendigen Umfang bei Betroffenenanfragen, Datensicherheit, Datenschutz-Folgenabschätzungen und erforderlichen Konsultationen. Er beantwortet Betroffenenanfragen nicht eigenmächtig im Namen des Auftraggebers, sondern leitet sie unverzüglich an die vereinbarte Kontaktstelle weiter.

Eine Verletzung des Schutzes personenbezogener Daten meldet der Auftragnehmer unverzüglich nach Bekanntwerden. Die erste Meldung enthält die verfügbaren Angaben zu Art, betroffenen Daten und Personen, wahrscheinlichen Folgen, Abhilfemaßnahmen und Kontaktstelle; fehlende Informationen werden ohne unnötige Verzögerung nachgereicht. Eine eigene 72-Stunden-Wartefrist wird damit nicht eingeräumt.

Der Auftragnehmer stellt erforderliche Informationen zum Nachweis seiner Pflichten bereit und ermöglicht angemessene Prüfungen durch den Auftraggeber oder dessen beauftragte Prüfer. Modalitäten werden in Anlage 2 vereinbart; sie dürfen die gesetzlichen Kontrollrechte nicht leerlaufen lassen.

Rückgabe, Löschung und Abschluss

Nach Abschluss der Verarbeitung werden Daten nach Wahl des Auftraggebers zurückgegeben oder gelöscht; vorhandene Kopien werden ebenfalls gelöscht, soweit kein Gesetz ihre Aufbewahrung verlangt. Ausnahmen werden mit Rechtsgrundlage, Umfang, Zugriffsbeschränkung und Endfrist dokumentiert. Löschung und Rückgabe werden nachvollziehbar bestätigt. Auftragnehmerseitige Systeme, Papierunterlagen und Unterauftragnehmer sind einzubeziehen.

Der konkrete Vertrag benennt beide Parteien, die vertretungsberechtigten Personen, die vereinbarte Fassung, alle vollständigen Anlagen sowie den Zeitpunkt und Nachweis des beiderseitigen Abschlusses. Elektronischer Abschluss ist möglich; ein bloßer Download oder die Kenntnisnahme dieses Musters genügt nicht.

Verbindlich auszufüllende Anlagen

1. Leistung und Daten: Parteien, Kontakte, Weisungsbefugnis, Dauer, Arbeitsschritte, Datenarten, Betroffenengruppen, Zweck, Zugriffsorte, Lösch- und Rückgabefristen; erforderliche Telefonnummern, Notizen und Dateien einzeln begründen.
2. TOMs und Kontrollen: Tatsächlich umgesetzte Maßnahmen, Verantwortlichkeiten, Prüfung und Nachweisdatum, Vorfallkontakt sowie Kontrollmodalitäten.
3. Unterauftragnehmer: Vollständige Liste, Standorte, Aufgaben, Genehmigungsmodell, Informations- und Widerspruchsverfahren; auch „keine“ ausdrücklich bestätigen, wenn geprüft.
4. Drittlandtransfers: Alle Zugriffsorte, konkreter Übermittlungsmechanismus und Geltungsbereich, erforderliche Vertragsanlagen und Transferprüfung, Zusatzmaßnahmen und Aktualisierung.

Vor Freigabe prüft Nakaryu GmbH die tatsächlich abgeschlossene Vereinbarung und die Anlagen. Ohne diese Nachweise wird kein AV-Vertrag als abgeschlossen im Supplier Hub eingetragen.

Lieferantenbedingungen · Datenschutz für Partner · Kontakt: info@cosplayhero.de.