Stand: 29. September 2026
§ 1 Geltungsbereich und Vertragspartner
(1) Diese Allgemeinen Geschäftsbedingungen gelten für alle Verträge zwischen der MFM Datenschutz-Consulting GmbH, Kaiser-Friedrich-Promenade 6, 61348 Bad Homburg v.d.H. (nachfolgend „Auftragnehmerin“) und ihren Auftraggebern über Beratungs-, Schulungs-, Prüf- und Unterstützungsleistungen im Datenschutz und in der IT-Compliance, einschließlich der Übernahme der Aufgaben eines externen Datenschutzbeauftragten.
(2) Die Leistungen richten sich ausschließlich an Unternehmer im Sinne des § 14 BGB, an juristische Personen des öffentlichen Rechts und an öffentlich-rechtliche Sondervermögen. Verträge mit Verbrauchern kommen nicht zustande.
(3) Abweichende oder ergänzende Bedingungen des Auftraggebers werden nicht Vertragsinhalt, auch wenn die Auftragnehmerin ihnen nicht ausdrücklich widerspricht oder in Kenntnis solcher Bedingungen leistet. Abweichungen gelten nur, wenn die Auftragnehmerin ihnen in Textform zustimmt.
§ 2 Vertragsschluss
(1) Angebote der Auftragnehmerin sind freibleibend, sofern sie nicht ausdrücklich als verbindlich bezeichnet sind. Preisangaben auf dieser Website sind unverbindliche Richtwerte und kein Angebot im Rechtssinne.
(2) Der Vertrag kommt durch die Auftragsbestätigung der Auftragnehmerin oder durch die Aufnahme der Leistung zustande. Für Erklärungen im Rahmen des Vertragsschlusses genügt die Textform nach § 126b BGB.
§ 3 Leistungsgegenstand
(1) Art und Umfang der Leistungen ergeben sich aus dem Angebot, der Auftragsbestätigung oder einer gesonderten Leistungsbeschreibung. Ergänzende Angaben auf dieser Website beschreiben das Leistungsangebot, begründen aber für sich genommen keine Leistungspflicht.
(2) Die Auftragnehmerin schuldet eine Tätigkeit nach den Regeln des Dienstvertragsrechts (§ 611 BGB), nicht einen bestimmten Erfolg. Ein Werkerfolg wird nur geschuldet, soweit er ausdrücklich vereinbart ist.
(3) Datenschutz-Compliance ist eine Daueraufgabe und hängt von Umständen ab, die außerhalb des Einflussbereichs der Auftragnehmerin liegen, etwa von Systemänderungen beim Auftraggeber, vom Verhalten Dritter und von der Rechtsentwicklung. Die Auftragnehmerin sagt daher weder einen bestimmten Bewertungsstand gegenüber Aufsichtsbehörden noch die Freiheit von behördlichen Maßnahmen zu.
(4) Prüfberichte, Bewertungen und Einschätzungen beziehen sich auf den Kenntnisstand und den Prüfzeitpunkt. Spätere Änderungen erfasst ein Bericht nicht.
(5) Beschreibt die Website eine Leistung als „rechtssicher“ oder eine Einstufung als „verbindlich“, bedeutet das: Die Auftragnehmerin richtet die Leistung am Stand von Gesetz, Rechtsprechung und Aufsichtspraxis zum Zeitpunkt der Leistung aus, und die Einstufung ist ihre abschließende Bewertung auf Grundlage der vom Auftraggeber mitgeteilten Tatsachen. Behörden und Gerichte bindet sie nicht; Absatz 3 bleibt unberührt.
§ 4 Abgrenzung zur Rechtsberatung
(1) Die Auftragnehmerin erbringt Beratung zur Datenschutzorganisation und zur technischen und organisatorischen Umsetzung. Eine Rechtsberatung im Einzelfall ist nicht Gegenstand des Vertrages, soweit sie über das hinausgeht, was als Nebenleistung nach § 5 RDG zulässig ist.
(2) Die Wahrnehmung der Aufgaben eines Datenschutzbeauftragten nach Art. 39 DSGVO bleibt davon unberührt. Ist eine darüber hinausgehende rechtliche Vertretung oder Bewertung erforderlich, vermittelt die Auftragnehmerin auf Wunsch ihren Kooperationspartner. Ein Mandatsverhältnis kommt in diesem Fall unmittelbar zwischen dem Auftraggeber und der Kanzlei zustande.
§ 5 Mitwirkungspflichten des Auftraggebers
(1) Der Auftraggeber stellt der Auftragnehmerin rechtzeitig, vollständig und unentgeltlich alle Informationen, Unterlagen und Zugänge zur Verfügung, die für die Leistungserbringung erforderlich sind. Dazu gehören insbesondere Angaben zu Verarbeitungstätigkeiten, eingesetzten Systemen, Dienstleistern und Datenflüssen.
(2) Der Auftraggeber benennt eine verantwortliche Ansprechperson mit ausreichender Entscheidungsbefugnis und teilt Änderungen unverzüglich mit. Er unterrichtet die Auftragnehmerin ohne schuldhaftes Zögern über Vorgänge, die für den Datenschutz erheblich sind, insbesondere über mögliche Verletzungen des Schutzes personenbezogener Daten und über Anfragen von Aufsichtsbehörden.
(3) Die Verantwortlichkeit im Sinne des Art. 4 Nr. 7 DSGVO verbleibt beim Auftraggeber. Entscheidungen über Zwecke und Mittel der Verarbeitung trifft er selbst. Empfehlungen der Auftragnehmerin entbinden ihn nicht von dieser Verantwortung.
(4) Verzögert sich die Leistung, weil eine Mitwirkung ausbleibt, verschieben sich vereinbarte Termine entsprechend. Mehraufwand, der dadurch entsteht, wird nach dem vereinbarten Stundensatz abgerechnet.
(5) Fristen, die an die Kenntnis des Auftraggebers anknüpfen, insbesondere die Meldung einer Datenschutzverletzung binnen 72 Stunden nach Art. 33 DSGVO, kann die Auftragnehmerin nur wahren, wenn der Auftraggeber sie nach Absatz 2 unverzüglich unterrichtet und die nötigen Angaben macht.
§ 6 Vergütung, Auslagen und Zahlung
(1) Es gilt die vereinbarte Vergütung, je nach Leistung als monatliche Pauschale, als Festpreis oder nach Zeitaufwand. Alle Preise verstehen sich netto zuzüglich der gesetzlichen Umsatzsteuer.
(2) Leistungen, die über den vereinbarten Umfang hinausgehen, bedürfen einer gesonderten Vereinbarung und werden nach Zeitaufwand abgerechnet, soweit nichts anderes vereinbart ist. Angefangene Viertelstunden werden viertelstundengenau abgerechnet.
(3) Reisezeiten und Reisekosten für Termine werden nach Aufwand berechnet, sofern nichts anderes vereinbart ist.
(4) Rechnungen sind innerhalb von 14 Tagen ab Zugang ohne Abzug zur Zahlung fällig. Für die Folgen des Zahlungsverzugs gelten die §§ 286 und 288 BGB.
(5) Gerät der Auftraggeber mit einer fälligen Zahlung erheblich in Verzug, kann die Auftragnehmerin die weitere Leistung nach vorheriger Ankündigung in Textform bis zum Ausgleich zurückstellen.
§ 7 Laufzeit und Beendigung
(1) Verträge über die externe Datenschutzbeauftragung und andere laufende Leistungen mit monatlicher Pauschale werden auf unbestimmte Zeit geschlossen, ohne Mindestlaufzeit. Beide Seiten können sie mit einer Frist von drei Monaten zum Ende eines Kalendermonats kündigen. Abweichend davon läuft die Nutzung des Datenschutz-Siegels jeweils ein Jahr ab dem Datum des Audits und verlängert sich um ein weiteres Jahr, wenn sie nicht mit einer Frist von drei Monaten zum Ende der jeweiligen Laufzeit gekündigt wird; das gilt auch bei monatlicher Zahlweise. Für jede Kündigung genügt die Textform, etwa eine E-Mail.
(2) Das Recht zur Kündigung aus wichtigem Grund bleibt für beide Seiten unberührt. Ein wichtiger Grund liegt für die Auftragnehmerin insbesondere vor, wenn der Auftraggeber Mitwirkungspflichten trotz Fristsetzung nicht erfüllt oder von ihr verlangt, an einer erkennbar rechtswidrigen Verarbeitung mitzuwirken.
(3) Für die Benennung als Datenschutzbeauftragter gelten Besonderheiten. Die Abberufung richtet sich nach Art. 38 Abs. 3 DSGVO; eine Abberufung oder Benachteiligung wegen der Erfüllung der Aufgaben ist unzulässig. Endet der Vertrag, wirkt der Auftraggeber an der Abberufung und an der Meldung des Wechsels gegenüber der Aufsichtsbehörde mit und benennt rechtzeitig eine Nachfolge, soweit eine Benennungspflicht besteht.
(4) Nach Vertragsende gibt die Auftragnehmerin überlassene Unterlagen zurück oder löscht sie. Die Wahl zwischen Rückgabe und Löschung trifft der Auftraggeber, soweit keine gesetzliche Aufbewahrungspflicht entgegensteht. Eine Kopie darf die Auftragnehmerin ausschließlich zur Erfüllung eigener gesetzlicher Nachweis- und Aufbewahrungspflichten behalten; sie wird gelöscht, sobald die jeweilige Frist abgelaufen ist.
§ 8 Verschwiegenheit
(1) Beide Parteien behandeln alle Informationen, die ihnen aus der Zusammenarbeit zugänglich werden und die nicht offenkundig sind, vertraulich. Die Pflicht gilt über das Vertragsende hinaus fort.
(2) Ausgenommen sind Informationen, die nachweislich bereits bekannt waren, die ohne Verstoß gegen diese Vereinbarung allgemein bekannt werden oder deren Offenlegung gesetzlich oder behördlich vorgeschrieben ist.
(3) Für die Tätigkeit als Datenschutzbeauftragter gilt zusätzlich die Geheimhaltungspflicht nach Art. 38 Abs. 5 DSGVO.
§ 9 Datenschutz und Auftragsverarbeitung
(1) Soweit die Auftragnehmerin im Rahmen einer Leistung personenbezogene Daten im Auftrag des Auftraggebers verarbeitet, schließen die Parteien vor Beginn der Verarbeitung einen Vertrag nach Art. 28 DSGVO.
(2) Die Wahrnehmung der gesetzlichen Aufgaben eines Datenschutzbeauftragten nach Art. 39 DSGVO ist keine Auftragsverarbeitung. Der Datenschutzbeauftragte handelt nach Art. 38 Abs. 3 DSGVO weisungsfrei und ist insoweit weder Auftragsverarbeiter noch Verantwortlicher. Absatz 1 bleibt davon unberührt.
(3) Die Auftragnehmerin trifft geeignete technische und organisatorische Maßnahmen nach Art. 32 DSGVO. Sie werden im Vertrag nach Art. 28 DSGVO beschrieben und auf Verlangen nachgewiesen. Der Einsatz weiterer Auftragsverarbeiter richtet sich nach Art. 28 Abs. 2 DSGVO. Eine Verarbeitung in einem Drittland findet nur statt, wenn die Voraussetzungen des Kapitels V der DSGVO erfüllt sind.
(4) Bei Anfragen betroffener Personen unterstützt die Auftragnehmerin den Auftraggeber im Rahmen des Art. 28 Abs. 3 lit. e DSGVO.
§ 10 Arbeitsergebnisse und Nutzungsrechte
(1) An den für den Auftraggeber erstellten Berichten, Konzepten, Richtlinien und Mustern erhält dieser mit vollständiger Bezahlung ein einfaches, zeitlich und räumlich unbeschränktes Recht zur Nutzung für eigene Zwecke innerhalb seines Unternehmens und verbundener Unternehmen.
(2) Eine Weitergabe an Dritte, eine Veröffentlichung oder eine Verwendung zu Werbezwecken bedarf der vorherigen Zustimmung der Auftragnehmerin in Textform. Auszüge dürfen nicht in sinnentstellender Weise verwendet werden.
(3) Methoden, Prüfraster, Vorlagen und allgemeines Know-how, die die Auftragnehmerin einsetzt oder im Rahmen der Tätigkeit entwickelt, bleiben ihr uneingeschränkt erhalten.
(4) Das Datenschutz-Siegel darf nur für den geprüften Auftritt, nur unverändert und nur für die Dauer der Gültigkeit verwendet werden. Entfallen die Voraussetzungen, ist die Verwendung unverzüglich einzustellen.
§ 11 Haftung
(1) Die Auftragnehmerin haftet unbeschränkt bei Vorsatz und grober Fahrlässigkeit, bei der Verletzung von Leben, Körper oder Gesundheit, bei arglistigem Verschweigen eines Mangels, im Umfang einer übernommenen Garantie sowie nach dem Produkthaftungsgesetz.
(2) Bei leicht fahrlässiger Verletzung einer wesentlichen Vertragspflicht ist die Haftung auf den bei Vertragsschluss vorhersehbaren, vertragstypischen Schaden begrenzt. Wesentlich ist eine Pflicht, deren Erfüllung die ordnungsgemäße Durchführung des Vertrages überhaupt erst ermöglicht und auf deren Einhaltung der Auftraggeber regelmäßig vertrauen darf.
(3) Im Übrigen ist die Haftung für leichte Fahrlässigkeit ausgeschlossen.
(4) Die Haftung nach Absatz 2 ist je Schadensfall auf die Höhe der im betreffenden Vertragsjahr vereinbarten Nettovergütung begrenzt, höchstens jedoch auf die Deckungssumme der bestehenden Vermögensschadenhaftpflichtversicherung.
(5) Die vorstehenden Begrenzungen gelten auch zugunsten der Mitarbeitenden, gesetzlichen Vertreter und Erfüllungsgehilfen der Auftragnehmerin.
§ 12 Einsatz Dritter
(1) Die Auftragnehmerin darf zur Erfüllung ihrer Pflichten fachkundige Dritte einsetzen, insbesondere ihre Kooperationskanzlei für Rechtsdienstleistungen. Sie bleibt Vertragspartner des Auftraggebers und verpflichtet eingesetzte Dritte zur Verschwiegenheit. Werden Dritte als eigenständige Vertragspartner des Auftraggebers tätig, weist die Auftragnehmerin vorher darauf hin.
(2) Werden dabei personenbezogene Daten im Auftrag des Auftraggebers verarbeitet, bleibt es bei Art. 28 Abs. 2 DSGVO. Ein weiterer Auftragsverarbeiter wird nur mit Genehmigung des Auftraggebers eingesetzt. Die Verschwiegenheitsverpflichtung nach Absatz 1 ersetzt diese Genehmigung nicht.
§ 13 Höhere Gewalt
Ereignisse, die außerhalb des Einflussbereichs einer Partei liegen und die Leistungserbringung erheblich erschweren oder unmöglich machen, befreien für ihre Dauer von der Leistungspflicht. Dazu zählen insbesondere Naturereignisse, Arbeitskämpfe, behördliche Anordnungen und großflächige Ausfälle von Strom- oder Telekommunikationsnetzen. Die betroffene Partei unterrichtet die andere unverzüglich. Dauert die Behinderung länger als drei Monate, kann jede Partei den betroffenen Teil des Vertrages kündigen.
§ 14 Schlussbestimmungen
(1) Änderungen und Ergänzungen des Vertrages bedürfen der Textform. Das gilt auch für die Aufhebung dieses Formerfordernisses.
(2) Der Auftraggeber kann nur mit unbestrittenen oder rechtskräftig festgestellten Forderungen aufrechnen. Ein Zurückbehaltungsrecht steht ihm nur wegen Ansprüchen aus demselben Vertragsverhältnis zu.
(3) Es gilt das Recht der Bundesrepublik Deutschland unter Ausschluss des UN-Kaufrechts.
(4) Ausschließlicher Gerichtsstand für alle Streitigkeiten aus und im Zusammenhang mit dem Vertragsverhältnis ist der Sitz der Auftragnehmerin, soweit der Auftraggeber Kaufmann, juristische Person des öffentlichen Rechts oder öffentlich-rechtliches Sondervermögen ist. Die Auftragnehmerin darf den Auftraggeber auch an dessen allgemeinem Gerichtsstand verklagen.
(5) Da Verträge mit Verbrauchern nach § 1 Abs. 2 nicht zustande kommen, ist die Auftragnehmerin weder bereit noch verpflichtet, an Streitbeilegungsverfahren vor einer Verbraucherschlichtungsstelle teilzunehmen (§ 36 VSBG).
(6) Sollte eine Bestimmung dieser Bedingungen unwirksam sein oder werden, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt. An die Stelle der unwirksamen Bestimmung tritt die gesetzliche Regelung.
Verantwortlich und Anschrift: siehe Impressum. Fragen zu diesen Bedingungen beantworten wir unter info@datenschutzfrankfurt.de.