[Seite 1]
FO_F00X_Vereinbarung zur Auftragsverarbeitung (Art. 28 DSGVO)
Vereinbarung zur Auftragsverarbeitung
(Art. 28 DSGVO)
Zwischen
Center for the Transformation of Chemistry gGmbH (nachfolgend „CTC")
Anschrift Richard-Wagner-Strae 7a, 05409 Delitzsch
und
Auftragnehmer (Name, Firma) – nachfolgend vertreten durch „Auftragsverarbeiter"
Anschrift
§ 1 Gegenstand, Dauer, Art und Zweck der Verarbeitung
(1) Der Auftragsverarbeiter verarbeitet personenbezogene Daten im Auftrag des Verantwortlichen im Rahmen des nachfolgend bezeichneten Hauptvertrages.
Bezeichnung des Hauptvertrages / Vergabe- / Vertragsnummer der Leistung 21-2026-UVgO / Personalberatungsleistungen zur Besetzung der Position Administrative Geschäftsführung
(2) Gegenstand, Art und Zweck der Verarbeitung, die Art der personenbezogenen Daten und die Kategorien betroffener Personen ergeben sich abschließend aus Anlage 1.
(3) Die Dauer der Verarbeitung entspricht der Laufzeit des Hauptvertrages, soweit sich aus Anlage 1 nichts anderes ergibt.
(4) Die Verarbeitung erfolgt ausschließlich innerhalb der Europäischen Union oder des Europäischen Wirtschaftsraums. Eine Verarbeitung in einem Drittland ist nur zulässig, wenn die Voraussetzungen der Art. 44 bis 49 DSGVO erfüllt sind und der Verantwortliche zuvor in Textform zugestimmt hat.
§ 2 Weisungsrecht
(1) Der Auftragsverarbeiter verarbeitet die Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen, einschließlich in Bezug auf Drittlandübermittlungen, sofern er nicht durch das Unionsrecht oder das Recht eines Mitgliedstaats zur Verarbeitung verpflichtet ist; in einem solchen Fall teilt er dem Verantwortlichen diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht eine solche Mitteilung nicht wegen eines wichtigen öffentlichen Interesses verbietet.
(2) Weisungen erfolgen grundsätzlich in Textform. Mündliche Weisungen sind unverzüglich in Textform zu bestätigen.
1 Stand 09/2026
[Seite 2]
FO_F00X_Vereinbarung zur Auftragsverarbeitung (Art. 28 DSGVO)
(3) Der Auftragsverarbeiter informiert den Verantwortlichen unverzüglich, wenn er der Auffassung ist, dass eine Weisung gegen die DSGVO oder andere Datenschutzvorschriften verstößt. Er ist berechtigt, die Ausführung einer solchen Weisung bis zu deren Bestätigung oder Änderung auszusetzen.
Weisungsberechtigt beim Verantwortlichen Weisungsempfänger beim Auftragsverarbeiter
Vorsitzende der Findungskommission oder die Projektleitung gemäß Angebot des von der CTC gGmbH benannte Projektleitung Auftragnehmers
§ 3 Vertraulichkeit Der Auftragsverarbeiter setzt zur Verarbeitung ausschließlich Personen ein, die zur Vertraulichkeit verpflichtet oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen, und die vor Aufnahme der Tätigkeit mit den einschlägigen Datenschutzvorschriften vertraut gemacht wurden. Der Nachweis ist auf Verlangen vorzulegen.
Der Auftragsverarbeiter darf personenbezogene Daten von Bewerberinnen und Bewerbern weder dauerhaft in eigene Kandidatenpools übernehmen noch für andere Suchmandate verwenden. Eine Weiterverarbeitung außerhalb des konkreten Such- und Auswahlverfahrens bedarf der vorherigen schriftlichen Zustimmung des Verantwortlichen.
§ 4 Technische und organisatorische Maßnahmen
(1) Der Auftragsverarbeiter trifft die erforderlichen Maßnahmen nach Art. 32 DSGVO. Die zum Zeitpunkt des Vertragsschlusses getroffenen Maßnahmen sind in Anlage 2 beschrieben und Vertragsbestandteil.
(2) Die Maßnahmen sind während der Vertragslaufzeit fortzuentwickeln. Änderungen dürfen das vereinbarte Schutzniveau nicht unterschreiten; wesentliche Änderungen sind dem Verantwortlichen unverzüglich in Textform anzuzeigen.
§ 5 Unterauftragsverarbeiter
(1) Der Verantwortliche erteilt hiermit die allgemeine Genehmigung zur Beauftragung der in Anlage 3 aufgeführten Unterauftragsverarbeiter.
(2) Der Auftragsverarbeiter informiert den Verantwortlichen mindestens vier Wochen vor jeder beabsichtigten Hinzuziehung oder Ersetzung eines Unterauftragsverarbeiters in Textform. Der Verantwortliche kann hiergegen innerhalb von zwei Wochen aus wichtigem datenschutzrechtlichem Grund Einspruch erheben.
(3) Dem Unterauftragsverarbeiter sind dieselben Pflichten aufzuerlegen, die in dieser Vereinbarung festgelegt sind. Der Auftragsverarbeiter haftet gegenüber dem Verantwortlichen für die Einhaltung dieser Pflichten.
(4) Nicht als Unterauftragsverarbeitung gelten Nebenleistungen wie Telekommunikation, Post- und Transportdienste oder Wartung, soweit kein Zugriff auf personenbezogene
2 Stand 09/2026
[Seite 3]
FO_F00X_Vereinbarung zur Auftragsverarbeitung (Art. 28 DSGVO)
Daten erfolgt. Für Fernwartung mit möglichem Datenzugriff gilt Absatz 1 bis 3 entsprechend.
(5) Der Einsatz externer Recherche- oder Recruitingdienstleister, cloudbasierter Bewerbermanagementsysteme sowie externer Assessment- oder Diagnostikdienstleister gilt als Unterauftragsverarbeitung und ist dem Verantwortlichen vor Einsatz offenzulegen.
§ 6 Unterstützungspflichten
(1) Der Auftragsverarbeiter unterstützt den Verantwortlichen mit geeigneten technischen und organisatorischen Maßnahmen bei der Erfüllung von Anträgen betroffener Personen nach Art. 12 bis 23 DSGVO. Anträge, die unmittelbar an ihn gerichtet werden, leitet er unverzüglich an den Verantwortlichen weiter und beantwortet sie nicht selbst.
(2) Er unterstützt den Verantwortlichen bei der Einhaltung der Art. 32 bis 36 DSGVO, insbesondere bei Datenschutz-Folgenabschätzungen und vorherigen Konsultationen.
(3) Er stellt dem Verantwortlichen alle Informationen zur Verfügung, die zum Nachweis der Einhaltung der Pflichten aus Art. 28 DSGVO erforderlich sind, und führt ein Verzeichnis aller Verarbeitungstätigkeiten nach Art. 30 Abs. 2 DSGVO.
§ 7 Meldung von Verletzungen des Schutzes personenbezogener Daten Der Auftragsverarbeiter meldet dem Verantwortlichen jede Verletzung des Schutzes personenbezogener Daten unverzüglich, spätestens innerhalb von 24 Stunden nach Kenntniserlangung, in Textform. Die Meldung enthält mindestens die Angaben nach Art. 33 Abs. 3 DSGVO. Er ergreift unverzüglich angemessene Maßnahmen zur Sicherung der Daten und zur Minderung nachteiliger Folgen und unterstützt den Verantwortlichen bei dessen Melde- und Benachrichtigungspflichten nach Art. 33 und 34 DSGVO.
§ 8 Nachweise und Kontrollrechte
(1) Der Auftragsverarbeiter ermöglicht dem Verantwortlichen Überprüfungen einschließlich Inspektionen und trägt zu ihnen bei. Kontrollen erfolgen nach angemessener Vorankündigung während der üblichen Geschäftszeiten und ohne Störung des Betriebsablaufs.
(2) Der Nachweis kann auch durch die Einhaltung genehmigter Verhaltensregeln, Zertifizierungen nach Art. 42 DSGVO oder aktuelle Prüfberichte unabhängiger Stellen geführt werden. Verbleiben begründete Zweifel, bleibt das Recht auf Vor-Ort-Kontrolle unberührt.
(3) Der Verantwortliche ist berechtigt, Kontrollrechte durch beauftragte Dritte ausüben zu lassen, sofern diese nicht in einem Wettbewerbsverhältnis zum Auftragsverarbeiter stehen und zur Verschwiegenheit verpflichtet sind.
§ 9 Löschung und Rückgabe Nach Abschluss der Verarbeitungstätigkeiten löscht der Auftragsverarbeiter nach Wahl des Verantwortlichen alle personenbezogenen Daten oder gibt sie zurück und löscht vorhandene Kopien, sofern nicht nach dem Unionsrecht oder dem Recht eines Mitgliedstaats eine Verpflichtung zur Speicherung besteht. Die Löschung ist dem Verantwortlichen auf
3 Stand 09/2026
[Seite 4]
FO_F00X_Vereinbarung zur Auftragsverarbeitung (Art. 28 DSGVO)
Verlangen in Textform zu bestätigen. Für Daten aus zuwendungsfinanzierten Vorhaben sind die Aufbewahrungsfristen des Zuwendungsgebers zu beachten.
§ 10 Haftung und Schlussbestimmungen
(1) Für die Haftung gilt Art. 82 DSGVO. Im Innenverhältnis stellt der Auftragsverarbeiter den Verantwortlichen von Ansprüchen frei, soweit die Verletzung auf einer Pflichtverletzung des Auftragsverarbeiters beruht.
(2) Bei Widersprüchen zwischen dieser Vereinbarung und dem Hauptvertrag gehen die Regelungen dieser Vereinbarung vor, soweit die Verarbeitung personenbezogener Daten betroffen ist.
(3) Änderungen bedürfen der Textform. Es gilt das Recht der Bundesrepublik Deutschland. Sollte eine Bestimmung unwirksam sein, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt.
4 Stand 09/2026
[Seite 5]
FO_F00X_Vereinbarung zur Auftragsverarbeitung (Art. 28 DSGVO)
Anlage 1 – Gegenstand der Verarbeitung
Gegenstand und Art der Verarbeitung (z. B. Erheben, Speichern, Auswerten, Löschen) Entgegennahme, Erfassung, Strukturierung, Speicherung, Sichtung, Bewertung, Dokumentation,
Übermittlung, Aktualisierung und Löschung personenbezogener Daten von Bewerberinnen und
Bewerbern im Rahmen des Such- und Auswahlverfahrens zur Besetzung der Position
„Administrative Geschäftsführung“ der CTC gGmbH.
Zweck der Verarbeitung Durchführung des Such- und Auswahlverfahrens zur Besetzung der Position „Administrative
Geschäftsführung“ der CTC gGmbH einschließlich Bewerbermanagement, Vorauswahl,
Kandidatenbewertung und Unterstützung der Findungskommission.
Eine Nutzung der personenbezogenen Daten für eigene Recruiting-, Marketing-, Talentpool- oder
Akquisitionszwecke des Auftragsverarbeiters ist ausgeschlossen.
Kategorien betroffener Personen (z. B. Beschäftigte, Bewerbende, Gäste, Projektpartner) Bewerberinnen und Bewerber,
aktiv angesprochene Kandidatinnen und Kandidaten (Executive Search),
Referenzgeber der Kandidaten,
Mitglieder der Findungskommission,
Ansprechpartner des Auftraggebers.
Kategorien personenbezogener Daten (z. B. Stammdaten, Kontaktdaten, Nutzungsdaten) Stammdaten
Kontaktdaten
Lebenslaufdaten
Ausbildungs- und Qualifikationsnachweise
Beschäftigungs- und Karrieredaten
Angaben zu bisherigen Vergütungen und Vergütungserwartungen
Verfügbarkeitsdaten
Interviewnotizen
Bewertungs- und Eignungseinschätzungen
Kommunikationsdaten
Referenzauskünfte
Korrespondenz im Auswahlverfahren
Besondere Kategorien nach Art. 9 DSGVO (falls einschlägig) Grundsätzlich nicht beabsichtigt.
Sollten Bewerber freiwillig besondere Kategorien personenbezogener Daten gemäß Art. 9 DSGVO
offenlegen (z. B. Gesundheitsdaten, Angaben zur Schwerbehinderung oder
Gewerkschaftszugehörigkeit), dürfen diese nur verarbeitet werden, soweit dies
datenschutzrechtlich zulässig und für die Durchführung des Auswahlverfahrens erforderlich ist.
5 Stand 09/2026
[Seite 6]
FO_F00X_Vereinbarung zur Auftragsverarbeitung (Art. 28 DSGVO)
Dauer der Verarbeitung / Löschfristen Die Verarbeitung erfolgt für die Dauer des Such- und Auswahlverfahrens sowie bis zur
vollständigen Übergabe der Verfahrensdokumentation an den Auftraggeber.
Nach Abschluss des Verfahrens sind sämtliche personenbezogenen Daten nach Weisung des
Auftraggebers zurückzugeben oder datenschutzgerecht zu löschen.
Gesetzliche Aufbewahrungspflichten bleiben unberührt.
Ort der Verarbeitung (Land, Rechenzentrum) Europäische Union (EU) bzw. Europäischer Wirtschaftsraum (EWR).
Die Verarbeitung außerhalb der EU bzw. des EWR ist ausgeschlossen, sofern der Auftraggeber nicht
ausdrücklich vorher schriftlich zugestimmt hat.
6 Stand 09/2026