Vertrag zur Auftragsverarbeitung (Art. 28 DSGVO)

Stand: 28.09.2026

zwischen dem jeweiligen Kunden der Plattform NFM+ als Verantwortlichem (nachfolgend „Auftraggeber“)

und der NFM Recycling GmbH, Innungstr. 22, 50354 Hürth, als Auftragsverarbeiter (nachfolgend „Auftragnehmer“).

Dieser Vertrag ist Bestandteil jedes Vertrags über die Nutzung der Plattform NFM+ (Hauptvertrag) und wird mit dessen Abschluss in elektronischer Form geschlossen (Art. 28 Abs. 9 DSGVO). Auf Wunsch stellt der Auftragnehmer eine zu unterzeichnende Fassung zur Verfügung.

§ 1 Gegenstand und Dauer

1. Der Auftragnehmer verarbeitet personenbezogene Daten im Auftrag des Auftraggebers, soweit dies für die Bereitstellung der Plattform NFM+ nach dem Hauptvertrag erforderlich ist. Gegenstand, Art und Zweck der Verarbeitung, Datenarten und Kategorien betroffener Personen ergeben sich aus Anlage 1.
2. Nicht erfasst sind Verarbeitungen, die der Auftragnehmer als eigener Verantwortlicher durchführt, insbesondere zur Freischaltung von Kunden, zur Vertragsabwicklung und Abrechnung, zum Sicherheitsprotokoll und manipulationsgeschützten Prüfjournal, zum Betrieb der öffentlichen Prüfseite und zur Erfüllung eigener gesetzlicher Pflichten (siehe Datenschutzerklärung), sowie der Austausch von Daten zwischen verschiedenen Kunden im Rahmen einer Übergabekette, für den jeder Kunde selbst verantwortlich ist.
3. Die Laufzeit dieses Vertrags entspricht der Laufzeit des Hauptvertrags. Pflichten, die über das Vertragsende hinaus fortbestehen (insbesondere § 11), bleiben unberührt.

§ 2 Weisungsrecht des Auftraggebers

1. Der Auftragnehmer verarbeitet die Daten ausschließlich auf dokumentierte Weisung des Auftraggebers, auch in Bezug auf die Übermittlung in Drittländer, es sei denn, er ist durch Unionsrecht oder das Recht eines Mitgliedstaats hierzu verpflichtet; in einem solchen Fall teilt er dem Auftraggeber diese Anforderungen vor der Verarbeitung mit, sofern das Recht dies nicht wegen eines wichtigen öffentlichen Interesses verbietet (Art. 28 Abs. 3 lit. a DSGVO).
2. Die Weisungen werden anfänglich durch den Hauptvertrag, diesen Vertrag und die Konfiguration der Plattform durch den Auftraggeber (z. B. Anlage von Nutzern, Aktivierung von Funktionen, Veröffentlichung von Berichten) festgelegt. Einzelweisungen erteilt der Auftraggeber in Textform.
3. Der Auftragnehmer informiert den Auftraggeber unverzüglich, wenn eine Weisung nach seiner Auffassung gegen die DSGVO oder andere Datenschutzvorschriften verstößt (Art. 28 Abs. 3 Satz 3 DSGVO). Er darf die Umsetzung aussetzen, bis der Auftraggeber sie bestätigt oder ändert.

§ 3 Pflichten des Auftraggebers

1. Der Auftraggeber ist für die Rechtmäßigkeit der Verarbeitung, insbesondere für das Vorliegen einer Rechtsgrundlage und die Erfüllung der Informationspflichten gegenüber den betroffenen Personen (z. B. seinen Beschäftigten und Fahrern), verantwortlich.
2. Setzt der Auftraggeber die Standortübermittlung bei Transporten ein, stellt er sicher, dass die betroffenen Fahrer vorab informiert werden und – soweit vorhanden – der Betriebsrat beteiligt wurde.
3. Der Auftraggeber informiert den Auftragnehmer unverzüglich, wenn er Fehler oder Unregelmäßigkeiten bei der Verarbeitung feststellt.

§ 4 Vertraulichkeit

Der Auftragnehmer gewährleistet, dass sich die zur Verarbeitung befugten Personen zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen (Art. 28 Abs. 3 lit. b DSGVO) und über die einschlägigen Datenschutzvorschriften unterrichtet sind. Die Verpflichtung besteht über das Ende der Tätigkeit hinaus fort.

§ 5 Sicherheit der Verarbeitung

1. Der Auftragnehmer trifft alle nach Art. 32 DSGVO erforderlichen technischen und organisatorischen Maßnahmen. Die zum Vertragsschluss geltenden Maßnahmen sind in Anlage 2 (TOM) beschrieben.
2. Die Maßnahmen unterliegen dem technischen Fortschritt. Der Auftragnehmer darf sie durch gleichwertige oder bessere Maßnahmen ersetzen; das vereinbarte Schutzniveau darf nicht unterschritten werden. Wesentliche Änderungen sind zu dokumentieren.

§ 6 Unterauftragsverarbeiter

1. Der Auftraggeber erteilt die allgemeine Genehmigung zur Beauftragung weiterer Auftragsverarbeiter (Art. 28 Abs. 2 DSGVO). Die bei Vertragsschluss eingesetzten Unterauftragsverarbeiter sind in Anlage 3 aufgeführt und gelten als genehmigt.
2. Der Auftragnehmer informiert den Auftraggeber mindestens 30 Tage vorab in Textform (z. B. per E-Mail oder Mitteilung in der Plattform) über jede beabsichtigte Hinzuziehung oder Ersetzung. Der Auftraggeber kann innerhalb dieser Frist aus wichtigem datenschutzrechtlichem Grund widersprechen. Können sich die Parteien nicht einigen, kann der Auftraggeber den Hauptvertrag zum Zeitpunkt des Wechsels kündigen.
3. Der Auftragnehmer erlegt jedem Unterauftragsverarbeiter vertraglich dieselben Datenschutzpflichten auf, die in diesem Vertrag festgelegt sind, insbesondere hinreichende Garantien für geeignete technische und organisatorische Maßnahmen (Art. 28 Abs. 4 DSGVO). Er haftet gegenüber dem Auftraggeber für die Einhaltung der Pflichten durch den Unterauftragsverarbeiter.
4. Keine Unterauftragsverhältnisse im Sinne dieser Regelung sind Nebenleistungen, die der Auftragnehmer bei Dritten in Anspruch nimmt, ohne dass diese Zugriff auf personenbezogene Daten des Auftraggebers erhalten (z. B. Telekommunikationsleistungen, Reinigung).

§ 7 Ort der Verarbeitung und Drittlandübermittlung

Die Verarbeitung findet in der Europäischen Union statt; der Serverstandort ist Frankfurt am Main (Deutschland). Eine Übermittlung in ein Drittland erfolgt nur, wenn die Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind, insbesondere auf Grundlage eines Angemessenheitsbeschlusses oder der Standardvertragsklauseln der EU-Kommission, und wenn der Auftraggeber dem zugestimmt hat; die in Anlage 3 genannten Übermittlungen gelten als genehmigt.

§ 8 Unterstützung bei Betroffenenrechten

Der Auftragnehmer unterstützt den Auftraggeber angesichts der Art der Verarbeitung nach Möglichkeit mit geeigneten technischen und organisatorischen Maßnahmen bei der Erfüllung der Rechte betroffener Personen nach Kapitel III DSGVO (Art. 28 Abs. 3 lit. e DSGVO). Wendet sich eine betroffene Person unmittelbar an den Auftragnehmer, leitet er die Anfrage unverzüglich an den Auftraggeber weiter und beantwortet sie nicht selbst, soweit nicht anders vereinbart. Soweit die Plattform Funktionen zur Auskunft, Berichtigung, Löschung oder zum Export bereitstellt, nutzt der Auftraggeber diese vorrangig.

§ 9 Unterstützung bei weiteren Pflichten; Meldung von Verletzungen

1. Der Auftragnehmer unterstützt den Auftraggeber unter Berücksichtigung der Art der Verarbeitung und der ihm zur Verfügung stehenden Informationen bei der Einhaltung der Pflichten aus Art. 32 bis 36 DSGVO (Sicherheit, Meldung und Benachrichtigung bei Datenschutzverletzungen, Datenschutz-Folgenabschätzung, vorherige Konsultation).
2. Der Auftragnehmer meldet dem Auftraggeber eine Verletzung des Schutzes personenbezogener Daten unverzüglich, möglichst innerhalb von 24 Stunden, spätestens jedoch innerhalb von 48 Stunden nach Bekanntwerden (Art. 33 Abs. 2 DSGVO). Die Meldung enthält, soweit bekannt, die Angaben nach Art. 33 Abs. 3 DSGVO; fehlende Angaben werden unverzüglich nachgereicht.
3. Der Auftragnehmer trifft unverzüglich die erforderlichen Maßnahmen zur Sicherung der Daten und zur Minderung möglicher nachteiliger Folgen und stimmt sich hierzu mit dem Auftraggeber ab.

§ 10 Nachweise und Kontrollen

1. Der Auftragnehmer stellt dem Auftraggeber alle erforderlichen Informationen zum Nachweis der Einhaltung der in Art. 28 DSGVO niedergelegten Pflichten zur Verfügung (Art. 28 Abs. 3 lit. h DSGVO). Als Nachweis genügen in der Regel aktuelle Selbstauskünfte, die Dokumentation der TOM sowie Zertifikate oder Prüfberichte des Hosting-Anbieters.
2. Der Auftraggeber ist berechtigt, Überprüfungen einschließlich Inspektionen selbst oder durch einen zur Verschwiegenheit verpflichteten, nicht im Wettbewerb mit dem Auftragnehmer stehenden Prüfer durchzuführen. Vor-Ort-Kontrollen sind mit einer Frist von mindestens 14 Tagen anzukündigen, während der üblichen Geschäftszeiten durchzuführen und dürfen den Betriebsablauf sowie die Vertraulichkeit der Daten anderer Kunden nicht beeinträchtigen. Rechenzentren von Unterauftragsverarbeitern werden grundsätzlich über deren Zertifikate und Prüfberichte kontrolliert.
3. Kontrollen finden grundsätzlich höchstens einmal jährlich statt, es sei denn, es besteht ein konkreter Anlass (z. B. eine Datenschutzverletzung) oder eine Aufsichtsbehörde verlangt sie. Der Auftragnehmer kann für Kontrollen, die über eine jährliche Prüfung hinausgehen und nicht durch einen Verstoß des Auftragnehmers veranlasst sind, eine angemessene Vergütung seines Aufwands verlangen.

§ 11 Löschung und Rückgabe nach Vertragsende

1. Nach Beendigung der Leistungen löscht der Auftragnehmer nach Wahl des Auftraggebers alle personenbezogenen Daten oder gibt sie zurück, sofern nicht nach Unionsrecht oder dem Recht der Mitgliedstaaten eine Verpflichtung zur Speicherung besteht (Art. 28 Abs. 3 lit. g DSGVO). Für die Rückgabe gilt § 18 der AGB (Datenexport, mindestens 30 Tage Abrufzeitraum).
2. Nicht erfasst sind Daten, die der Auftragnehmer als eigener Verantwortlicher verarbeitet (§ 1 Abs. 2), insbesondere veröffentlichte Berichte auf der Prüfseite und das Prüfjournal, sowie Daten, die im Rahmen einer Übergabe Bestandteil des Datenbestands eines anderen Kunden geworden sind; für diese gelten die Datenschutzerklärung bzw. der Vertrag mit dem jeweiligen Kunden.
3. Datensicherungen werden im Rahmen des regulären Rotationszyklus überschrieben. Die Löschung wird dem Auftraggeber auf Verlangen in Textform bestätigt.

§ 12 Haftung

Für die Haftung gilt Art. 82 DSGVO. Im Innenverhältnis gelten die Haftungsregelungen des Hauptvertrags, soweit Art. 82 DSGVO nicht zwingend etwas anderes vorsieht.

§ 13 Schlussbestimmungen

1. Bei Widersprüchen gehen die Regelungen dieses Vertrags denen des Hauptvertrags vor, soweit es um den Schutz personenbezogener Daten geht.
2. Änderungen und Ergänzungen bedürfen der Textform. Im Übrigen gelten die Schlussbestimmungen des Hauptvertrags (anwendbares Recht, Gerichtsstand).
3. Sollte das Eigentum oder die Daten des Auftraggebers beim Auftragnehmer durch Maßnahmen Dritter (z. B. Pfändung, Insolvenz) gefährdet werden, informiert der Auftragnehmer den Auftraggeber unverzüglich.

Anlage 1 – Gegenstand, Art und Zweck, Datenarten, betroffene Personen

Anlage 2 – Technische und organisatorische Maßnahmen

Siehe Technische und organisatorische Maßnahmen (Art. 32 DSGVO) in der jeweils bei Vertragsschluss geltenden Fassung.

Anlage 3 – Genehmigte Unterauftragsverarbeiter

Veri İşleme Sözleşmesi (AVV – Md. 28 GDPR)

Güncelleme tarihi: 28.09.2026

Bu metin Almanca aslının Türkçe çevirisidir. Aralarında bir farklılık olması hâlinde Almanca metin esas alınır.

Veri sorumlusu sıfatıyla NFM+ platformunun ilgili müşterisi (bundan sonra “Talimat Veren”)

ile veri işleyen sıfatıyla NFM Recycling GmbH, Innungstr. 22, 50354 Hürth (bundan sonra “Veri İşleyen”) arasında.

Bu sözleşme, NFM+ platformunun kullanımına ilişkin her sözleşmenin (Ana Sözleşme) parçasıdır ve onun kurulmasıyla elektronik biçimde akdedilir (GDPR md. 28/9). İstenirse Veri İşleyen imzalanacak bir nüsha sağlar.

§ 1 Konu ve süre

1. Veri İşleyen, Ana Sözleşme uyarınca NFM+ platformunun sağlanması için gerekli olduğu ölçüde kişisel verileri Talimat Veren adına işler. İşlemenin konusu, türü ve amacı, veri türleri ve ilgili kişi kategorileri Ek 1’de yer alır.
2. Veri İşleyenin kendi sorumluluğunda yaptığı işlemeler – özellikle müşterilerin onaylanması, sözleşmenin yürütülmesi ve faturalama, güvenlik kaydı ve değiştirilemez denetim günlüğü, açık doğrulama sayfasının işletilmesi ve kendi yasal yükümlülüklerinin yerine getirilmesi (bkz. Gizlilik Politikası) – ile farklı müşteriler arasında bir devir-teslim zinciri kapsamında yapılan ve her müşterinin kendisinin sorumlu olduğu veri paylaşımı bu sözleşmenin kapsamı dışındadır.
3. Bu sözleşmenin süresi Ana Sözleşmenin süresine eşittir. Sözleşme sona erdikten sonra da devam eden yükümlülükler (özellikle § 11) saklıdır.

§ 2 Talimat Verenin talimat hakkı

1. Veri İşleyen, verileri – üçüncü ülkelere aktarım dâhil – yalnızca Talimat Verenin belgelenmiş talimatı üzerine işler; Birlik hukuku veya bir üye devletin hukuku gereği yükümlü olduğu hâller hariçtir. Bu durumda, hukuk önemli bir kamu yararı gerekçesiyle yasaklamadıkça bu gereklilikleri işlemeden önce Talimat Verene bildirir (GDPR md. 28/3-a).
2. Talimatlar başlangıçta Ana Sözleşme, bu sözleşme ve Talimat Verenin platformu yapılandırması (ör. kullanıcı açma, işlevleri etkinleştirme, rapor yayımlama) ile belirlenir. Tekil talimatlar metin biçiminde verilir.
3. Veri İşleyen, bir talimatın GDPR’ye veya diğer veri koruma hükümlerine aykırı olduğu kanaatindeyse Talimat Vereni gecikmeksizin bilgilendirir (GDPR md. 28/3, 3. cümle). Talimat Veren teyit edene veya değiştirene kadar uygulamayı durdurabilir.

§ 3 Talimat Verenin yükümlülükleri

1. İşlemenin hukuka uygunluğundan, özellikle bir hukuki sebebin bulunmasından ve ilgili kişilere (ör. çalışanları ve şoförleri) karşı aydınlatma yükümlülüğünün yerine getirilmesinden Talimat Veren sorumludur.
2. Talimat Veren taşımalarda konum paylaşımını kullanıyorsa ilgili şoförlerin önceden bilgilendirilmesini ve – varsa – işyeri temsilciliğinin sürece katılmasını sağlar.
3. Talimat Veren, işlemede hata veya düzensizlik tespit ettiğinde Veri İşleyeni gecikmeksizin bilgilendirir.

§ 4 Gizlilik

Veri İşleyen, verileri işlemeye yetkili kişilerin gizlilik taahhüdünde bulunmasını veya uygun bir yasal sır saklama yükümlülüğüne tabi olmasını (GDPR md. 28/3-b) ve ilgili veri koruma hükümleri hakkında bilgilendirilmesini sağlar. Bu yükümlülük görev sona erdikten sonra da devam eder.

§ 5 İşleme güvenliği

1. Veri İşleyen GDPR md. 32 uyarınca gerekli tüm teknik ve idari tedbirleri alır. Sözleşme tarihinde geçerli tedbirler Ek 2 (TOM)’de açıklanmıştır.
2. Tedbirler teknik gelişmeye tabidir. Veri İşleyen bunları eşdeğer veya daha iyi tedbirlerle değiştirebilir; kararlaştırılan koruma seviyesinin altına düşülemez. Önemli değişiklikler belgelenir.

§ 6 Alt veri işleyenler

1. Talimat Veren, başka veri işleyenlerin görevlendirilmesi için genel izin verir (GDPR md. 28/2). Sözleşme tarihinde kullanılan alt veri işleyenler Ek 3’te listelenmiştir ve onaylanmış sayılır.
2. Veri İşleyen, planlanan her ekleme veya değişikliği en az 30 gün önceden metin biçiminde (ör. e-posta veya platform içi bildirim) Talimat Verene bildirir. Talimat Veren bu süre içinde veri korumaya ilişkin önemli bir sebeple itiraz edebilir. Taraflar anlaşamazsa Talimat Veren Ana Sözleşmeyi değişiklik tarihi itibarıyla feshedebilir.
3. Veri İşleyen, her alt veri işleyene sözleşmeyle bu sözleşmedeki veri koruma yükümlülüklerinin aynısını, özellikle uygun teknik ve idari tedbirlere ilişkin yeterli güvenceleri yükler (GDPR md. 28/4). Alt veri işleyenin yükümlülüklere uymasından Talimat Verene karşı sorumludur.
4. Veri İşleyenin, Talimat Verenin kişisel verilerine erişim sağlamadan üçüncü kişilerden aldığı yan hizmetler (ör. telekomünikasyon hizmetleri, temizlik) bu anlamda alt veri işleme sayılmaz.

§ 7 İşleme yeri ve üçüncü ülkelere aktarım

İşleme Avrupa Birliği içinde yapılır; sunucu konumu Frankfurt am Main’dir (Almanya). Üçüncü ülkeye aktarım ancak GDPR md. 44 vd. şartları, özellikle bir yeterlilik kararı veya AB Komisyonu’nun standart sözleşme hükümleri temelinde sağlanmışsa ve Talimat Veren onaylamışsa yapılır; Ek 3’te belirtilen aktarımlar onaylanmış sayılır.

§ 8 İlgili kişi haklarına destek

Veri İşleyen, işlemenin niteliğini dikkate alarak ilgili kişilerin GDPR III. Bölüm’deki haklarının yerine getirilmesinde Talimat Verene mümkün olduğunca uygun teknik ve idari tedbirlerle destek olur (GDPR md. 28/3-e). Bir ilgili kişi doğrudan Veri İşleyene başvurursa, aksi kararlaştırılmadıkça Veri İşleyen talebi kendisi yanıtlamaz, gecikmeksizin Talimat Verene iletir. Platform bilgi verme, düzeltme, silme veya dışa aktarım işlevleri sunduğu ölçüde Talimat Veren öncelikle bunları kullanır.

§ 9 Diğer yükümlülüklere destek; ihlal bildirimi

1. Veri İşleyen, işlemenin niteliğini ve elindeki bilgileri dikkate alarak GDPR md. 32–36’daki yükümlülüklerin (güvenlik, veri ihlallerinin bildirimi ve ilgililere duyurulması, veri koruma etki değerlendirmesi, ön istişare) yerine getirilmesinde Talimat Verene destek olur.
2. Veri İşleyen, bir kişisel veri ihlalini öğrendikten sonra gecikmeksizin, mümkünse 24 saat içinde, en geç 48 saat içinde Talimat Verene bildirir (GDPR md. 33/2). Bildirim, bilindiği ölçüde GDPR md. 33/3’teki bilgileri içerir; eksik bilgiler gecikmeksizin tamamlanır.
3. Veri İşleyen, verilerin güvence altına alınması ve olası olumsuz sonuçların azaltılması için gerekli tedbirleri gecikmeksizin alır ve bunları Talimat Veren ile koordine eder.

§ 10 Belgeler ve denetimler

1. Veri İşleyen, GDPR md. 28’deki yükümlülüklere uyduğunu göstermek için gerekli tüm bilgileri Talimat Verene sağlar (GDPR md. 28/3-h). Kanıt olarak kural olarak güncel öz beyanlar, TOM dokümantasyonu ve barındırma sağlayıcısının sertifikaları veya denetim raporları yeterlidir.
2. Talimat Veren, yerinde incelemeler dâhil denetimleri kendisi veya sır saklama yükümlülüğü altındaki ve Veri İşleyenle rekabet hâlinde olmayan bir denetçi aracılığıyla yapma hakkına sahiptir. Yerinde denetimler en az 14 gün önceden bildirilir, olağan çalışma saatlerinde yapılır ve işleyişi ve diğer müşterilerin verilerinin gizliliğini bozamaz. Alt veri işleyenlerin veri merkezleri kural olarak onların sertifikaları ve denetim raporları üzerinden denetlenir.
3. Somut bir sebep (ör. veri ihlali) bulunmadıkça veya bir denetim makamı talep etmedikçe denetimler kural olarak yılda en fazla bir kez yapılır. Yıllık denetimi aşan ve Veri İşleyenin bir ihlalinden kaynaklanmayan denetimler için Veri İşleyen makul bir masraf karşılığı isteyebilir.

§ 11 Sözleşme sonunda silme ve iade

1. Hizmetler sona erdikten sonra Veri İşleyen, Birlik hukuku veya üye devlet hukuku saklamayı zorunlu kılmadıkça, Talimat Verenin tercihine göre tüm kişisel verileri siler veya iade eder (GDPR md. 28/3-g). İade için Genel Koşulların 18. maddesi (veri dışa aktarımı, en az 30 günlük alma süresi) uygulanır.
2. Veri İşleyenin kendi sorumluluğunda işlediği veriler (§ 1/2), özellikle doğrulama sayfasındaki yayımlanmış raporlar ve denetim günlüğü ile bir devir-teslim kapsamında başka bir müşterinin veri varlığının parçası olmuş veriler bu hükmün kapsamı dışındadır; bunlar için Gizlilik Politikası veya ilgili müşteriyle yapılan sözleşme geçerlidir.
3. Yedekler olağan döngü içinde üzerine yazılarak silinir. Silme işlemi talep hâlinde Talimat Verene metin biçiminde teyit edilir.

§ 12 Sorumluluk

Sorumluluk için GDPR md. 82 uygulanır. Taraflar arasındaki iç ilişkide, GDPR md. 82 zorunlu olarak aksini öngörmedikçe Ana Sözleşmenin sorumluluk hükümleri geçerlidir.

§ 13 Son hükümler

1. Kişisel verilerin korunması söz konusu olduğunda, çelişki hâlinde bu sözleşmenin hükümleri Ana Sözleşmenin hükümlerinden önce gelir.
2. Değişiklik ve eklemeler metin biçimine tabidir. Diğer konularda Ana Sözleşmenin son hükümleri (uygulanacak hukuk, yetkili mahkeme) geçerlidir.
3. Talimat Verenin Veri İşleyendeki verileri üçüncü kişilerin işlemleri (ör. haciz, iflas) nedeniyle tehlikeye girerse Veri İşleyen Talimat Vereni gecikmeksizin bilgilendirir.

Ek 1 – Konu, tür ve amaç, veri türleri, ilgili kişiler

Ek 2 – Teknik ve idari tedbirler

Sözleşme tarihinde geçerli sürümüyle Teknik ve İdari Tedbirler (GDPR md. 32) belgesine bakınız.

Ek 3 – Onaylanmış alt veri işleyenler