Vertrag zur Auftragsverarbeitung (AVV)

Vertrag zur Auftragsverarbeitung (AVV)

gemäß Art. 28 DSGVO · Version 1.4 · Stand: 2026-09-06

zwischen

Ihnen als Verantwortlicher
– nachfolgend „Verantwortlicher" (Auftraggeber) –

und

Geiger & Pauly GbR, vertreten durch die Gesellschafter Michael Geiger und Haiyan Pauly, Hindenburgstr. 1, 72631 Aichtal, Deutschland
– nachfolgend „Auftragsverarbeiter" (Auftragnehmer) –

Präambel

Der Auftragsverarbeiter stellt dem Verantwortlichen eine ERP-Software als Software-as-a-Service bereit. Grundlage hierfür ist der zwischen den Parteien geschlossene Nutzungsvertrag, der durch die Allgemeinen Geschäftsbedingungen (AGB) des Auftragsverarbeiters gebildet wird (nachfolgend „Hauptvertrag"). Im Rahmen dieser Leistung verarbeitet der Auftragsverarbeiter personenbezogene Daten im Auftrag des Verantwortlichen. Dieser Vertrag konkretisiert die datenschutzrechtlichen Pflichten der Parteien nach Art. 28 DSGVO und ist integraler Bestandteil des Hauptvertrags.

§ 1 Gegenstand, Art und Zweck der Verarbeitung, Dauer

(1) Gegenstand ist die Verarbeitung personenbezogener Daten durch den Auftragsverarbeiter im Rahmen der Bereitstellung und des Betriebs der ERP-Software.
(2) Art der Verarbeitung: Erheben, Erfassen, Organisieren, Speichern, Anpassen, Auslesen, Verwenden, Übermitteln (Versand von Dokumenten/E-Mails), Löschen und Vernichten – im Umfang der vom Verantwortlichen genutzten Funktionen der Software.
(3) Zweck: Bereitstellung der ERP-Funktionen, insbesondere Kundenverwaltung (CRM), Erstellung und Verwaltung von Angeboten und Rechnungen, Dokumentenablage und E-Mail-Versand sowie – soweit vom Verantwortlichen genutzt – die Suche und Vervollständigung von Anschriften, die Ermittlung von Entfernungen und Routen sowie die Kartendarstellung, ausschließlich im Auftrag des Verantwortlichen. Hinzu tritt – bei kostenpflichtigen Tarifen – die Abwicklung der Zahlungen für das Nutzungsverhältnis zwischen den Parteien; insoweit ist der Auftragsverarbeiter zugleich eigener Verantwortlicher (§ 6 Abs. 6).
(4) Dauer: Die Laufzeit dieses Vertrages entspricht der Laufzeit des Hauptvertrags. Pflichten zur Löschung und Rückgabe (§ 9) sowie zur Verschwiegenheit bestehen über das Vertragsende hinaus fort.

§ 2 Art der Daten und Kategorien betroffener Personen

(1) Datenarten: Stammdaten (z. B. Name, Anschrift, Kontaktdaten wie E-Mail und Telefon), Vertrags- und Abrechnungsdaten (z. B. Angebote, Rechnungen, Leistungspositionen, Bankverbindung soweit erfasst), Kommunikations- und Inhaltsdaten (z. B. Notizen, E-Mail-Inhalte) sowie Protokoll- und Nutzungsdaten.
(2) Kategorien betroffener Personen: Kundinnen und Kunden, Interessenten (Leads) und Ansprechpartner des Verantwortlichen sowie dessen Beschäftigte bzw. Nutzer.
(3) Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO) sind nicht Gegenstand des Auftrags. Sollen solche Daten verarbeitet werden, bedarf dies einer gesonderten Vereinbarung und geeigneter zusätzlicher Schutzmaßnahmen.

§ 3 Weisungsrecht des Verantwortlichen

(1) Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen, einschließlich im Hinblick auf Übermittlungen in Drittländer, sofern nicht eine Rechtsvorschrift, der der Auftragsverarbeiter unterliegt, eine Verarbeitung verlangt; in einem solchen Fall teilt der Auftragsverarbeiter dies vor der Verarbeitung mit, sofern das Recht dies nicht verbietet.
(2) Die Nutzung der vertraglich vereinbarten Funktionen der Software gilt als dokumentierte Weisung. Weitergehende Einzelweisungen sind in Textform zu erteilen.
(3) Ist der Auftragsverarbeiter der Auffassung, dass eine Weisung gegen datenschutzrechtliche Vorschriften verstößt, informiert er den Verantwortlichen unverzüglich. Er ist berechtigt, die Durchführung der betreffenden Weisung bis zu deren Bestätigung oder Änderung auszusetzen.

§ 4 Pflichten des Auftragsverarbeiters

Der Auftragsverarbeiter verpflichtet sich insbesondere:
a) personenbezogene Daten nur im Rahmen des Auftrags und der Weisungen zu verarbeiten;
b) die zur Verarbeitung befugten Personen zur Vertraulichkeit zu verpflichten, soweit sie nicht bereits einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen (Art. 28 Abs. 3 lit. b, Art. 29, Art. 32 Abs. 4 DSGVO);
c) die technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO umzusetzen und einzuhalten (§ 5 und Anlage 1);
d) die Bedingungen für die Inanspruchnahme weiterer Auftragsverarbeiter einzuhalten (§ 6);
e) den Verantwortlichen bei der Erfüllung der Betroffenenrechte sowie der Pflichten nach Art. 32–36 DSGVO zu unterstützen (§ 7);
f) nach Wahl des Verantwortlichen alle personenbezogenen Daten nach Abschluss der Verarbeitung zu löschen oder zurückzugeben (§ 9);
g) dem Verantwortlichen alle erforderlichen Informationen zum Nachweis der Einhaltung der Pflichten zur Verfügung zu stellen und Überprüfungen zu ermöglichen (§ 10);
h) ein Verzeichnis aller Verarbeitungstätigkeiten im Auftrag gemäß Art. 30 Abs. 2 DSGVO zu führen.

§ 5 Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

Der Auftragsverarbeiter trifft die in Anlage 1 beschriebenen technischen und organisatorischen Maßnahmen. Die Maßnahmen unterliegen dem technischen Fortschritt; der Auftragsverarbeiter darf sie anpassen, sofern das vereinbarte Schutzniveau nicht unterschritten wird.

§ 6 Inanspruchnahme weiterer Auftragsverarbeiter (Sub-Auftragsverarbeiter)

(1) Der Verantwortliche erteilt die allgemeine Genehmigung zur Hinzuziehung der in Anlage 2 genannten Sub-Auftragsverarbeiter.
(2) Beabsichtigt der Auftragsverarbeiter, einen Sub-Auftragsverarbeiter hinzuzuziehen oder zu ersetzen, informiert er den Verantwortlichen vorab in Textform. Der Verantwortliche kann der Änderung innerhalb von 14 Tagen aus wichtigem datenschutzrechtlichem Grund widersprechen.
(3) Der Auftragsverarbeiter verpflichtet jeden Sub-Auftragsverarbeiter vertraglich auf Datenschutzpflichten, die denen dieses Vertrages entsprechen (Art. 28 Abs. 4 DSGVO). Kommt der Sub-Auftragsverarbeiter seinen Pflichten nicht nach, haftet der Auftragsverarbeiter gegenüber dem Verantwortlichen für die Einhaltung von dessen Pflichten.
(4) Nicht als Sub-Auftragsverarbeitung gelten Nebenleistungen (z. B. Telekommunikation, Wartung), die der Auftragsverarbeiter als Nebenleistung in Anspruch nimmt.
(5) Die in Anlage 3 genannten Empfänger sind keine Sub-Auftragsverarbeiter. Sie erhalten Daten als eigenständig Verantwortliche und verarbeiten diese zu eigenen Zwecken auf Grundlage ihrer eigenen Bedingungen. Die Absätze 1 bis 3 gelten für sie nicht; der Auftragsverarbeiter kann sie insbesondere nicht nach Art. 28 Abs. 4 DSGVO verpflichten. Die Übermittlung erfolgt jeweils nur, soweit der Verantwortliche die betreffende – durchweg optionale – Funktion nutzt. Für Änderungen an Anlage 3 gilt Absatz 2 entsprechend.
(6) Bei der Abwicklung der Zahlungen für das Nutzungsverhältnis zwischen den Parteien (§ 1 Abs. 3) ist der Auftragsverarbeiter eigener Verantwortlicher, nicht Auftragsverarbeiter des Verantwortlichen. Der hierfür eingesetzte Zahlungsdienstleister ist in Anlage 2 gleichwohl aufgeführt, damit der Verantwortliche sämtliche Empfänger aus einer Liste ersehen kann; die Rechte aus diesem Vertrag bleiben davon unberührt.

§ 7 Unterstützung des Verantwortlichen

(1) Der Auftragsverarbeiter unterstützt den Verantwortlichen im Rahmen des Möglichen mit geeigneten technischen und organisatorischen Maßnahmen bei der Erfüllung von Anträgen betroffener Personen auf Wahrnehmung ihrer Rechte (Art. 12–23 DSGVO).
(2) Wendet sich eine betroffene Person unmittelbar an den Auftragsverarbeiter, leitet dieser das Anliegen unverzüglich an den Verantwortlichen weiter.
(3) Der Auftragsverarbeiter unterstützt den Verantwortlichen bei der Einhaltung der Pflichten nach Art. 32–36 DSGVO (Datensicherheit, Meldung von Verletzungen, Datenschutz-Folgenabschätzung, vorherige Konsultation), unter Berücksichtigung der Art der Verarbeitung und der ihm zur Verfügung stehenden Informationen.

§ 8 Meldung von Verletzungen des Schutzes personenbezogener Daten

Der Auftragsverarbeiter meldet dem Verantwortlichen Verletzungen des Schutzes personenbezogener Daten unverzüglich nach Bekanntwerden. Die Meldung enthält die nach Art. 33 Abs. 3 DSGVO erforderlichen Angaben, soweit diese dem Auftragsverarbeiter vorliegen.

§ 9 Löschung und Rückgabe nach Abschluss

Nach Abschluss der Verarbeitung löscht der Auftragsverarbeiter nach Wahl des Verantwortlichen alle personenbezogenen Daten oder gibt sie zurück und löscht vorhandene Kopien, sofern keine gesetzliche Aufbewahrungspflicht zur weiteren Speicherung verpflichtet. Die Löschung ist auf Verlangen zu bestätigen.

§ 10 Nachweise und Überprüfungen

(1) Der Auftragsverarbeiter stellt dem Verantwortlichen alle erforderlichen Informationen zum Nachweis der Einhaltung der Pflichten nach Art. 28 DSGVO zur Verfügung.
(2) Er ermöglicht und unterstützt Überprüfungen – einschließlich Inspektionen –, die der Verantwortliche oder eine von diesem beauftragte Prüferin/ein Prüfer durchführt. Überprüfungen erfolgen nach angemessener Vorankündigung, während der üblichen Geschäftszeiten und ohne Beeinträchtigung des Betriebsablaufs. Der Nachweis kann auch durch geeignete Zertifikate, Testate oder Berichte erbracht werden.

§ 11 Haftung

Für die Haftung gilt Art. 82 DSGVO. Im Innenverhältnis tragen die Parteien die Verantwortung nach ihrem jeweiligen Verursachungs- und Verschuldensanteil. Ergänzend gelten die Haftungsregelungen des Hauptvertrags, soweit sie zwingenden gesetzlichen Vorgaben nicht widersprechen.

§ 12 Administrations- und Supportzugriff des Auftragsverarbeiters

(1) Der Auftragsverarbeiter unterhält eine interne, nicht öffentlich erreichbare Verwaltungsoberfläche, über die er die vertraglich geschuldete Bereitstellung der Software erbringt. Über sie werden ausschließlich Verwaltungsmerkmale des Mandanten verarbeitet: Kennung und Name des Mandanten, zugeordnete Domains, gebuchter Tarif und Abrechnungsdaten, freigeschaltete Funktionsmodule, Sperr- und Demostatus sowie das Dokumentkontingent.
(2) Kein Zugriff auf Inhaltsdaten. Die Verwaltungsoberfläche gewährt keinen Zugriff auf Belege, Kundendaten, Nachrichten oder sonstige vom Verantwortlichen eingestellte Inhalte. Ein Zugriff auf solche Daten erfolgt ausschließlich auf ausdrückliche Weisung des Verantwortlichen nach § 3 — insbesondere im Rahmen einer von ihm angeforderten Fehleranalyse.
(3) Kennzahlen auf Anforderung. Aggregierte Kennzahlen aus der Datenbank des Verantwortlichen (Anzahl Benutzer, Anzahl Belege, verbrauchtes Kontingent, Zeitpunkt der letzten Anmeldung) werden nicht laufend erhoben, sondern nur auf ausdrückliche Anforderung im Einzelfall abgerufen. Sie enthalten keine Namen, Belegnummern oder Freitexte.
(4) Protokollierung. Jeder Zugriff über die Verwaltungsoberfläche und jede dort ausgelöste Änderung wird beim Auftragsverarbeiter in einem gegen nachträgliche Veränderung gesicherten Protokoll festgehalten (handelnde Person, Zeitpunkt, betroffener Mandant, Vorgang, Herkunftsadresse). Das Protokoll wird drei Jahre aufbewahrt und anschließend gelöscht. Der Verantwortliche kann Auskunft über die ihn betreffenden Einträge verlangen.
(5) Absicherung. Der Zugang zu dieser Oberfläche ist auf einen eigenen, nicht beworbenen Host beschränkt, setzt eine Freigabe der Herkunftsadresse voraus und verlangt Benutzername, Passwort und einen zweiten Faktor (TOTP). Besonders eingriffsintensive Vorgänge verlangen zusätzlich eine erneute Bestätigung beider Faktoren. Die Zahl der berechtigten Personen ist auf das für den Betrieb erforderliche Maß begrenzt.
(6) Änderungen am Tarif eines Mandanten, die der Auftragsverarbeiter vornimmt, werden dem Verantwortlichen in der Anwendung als Tarifhistorie angezeigt.

§ 13 Schlussbestimmungen

(1) Änderungen und Ergänzungen bedürfen der Textform; dies gilt auch für die Aufhebung dieses Textformerfordernisses. Der Abschluss in elektronischer Form (Art. 28 Abs. 9 DSGVO) ist zulässig.
(2) Bei Widersprüchen zwischen diesem Vertrag und dem Hauptvertrag gehen in datenschutzrechtlichen Fragen die Regelungen dieses Vertrages vor.
(3) Sollten einzelne Bestimmungen unwirksam sein oder werden, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt.
(4) Es gilt das Recht der Bundesrepublik Deutschland.

---

Anlage 1 — Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

• Vertraulichkeit – Zutrittskontrolle: Betrieb in einem Rechenzentrum in Deutschland mit kontrolliertem physischem Zugang (verantwortet durch den Hosting-Dienstleister).
• Vertraulichkeit – Zugangskontrolle: Zugang zur Anwendung nur nach Authentifizierung; verpflichtende Zwei-Faktor-Authentisierung (TOTP); Passwort-Hashing; Schutzmechanismen gegen automatisierte Anmeldeversuche (Rate Limiting / Sperrzeiten).
• Vertraulichkeit – Zugriffskontrolle: rollenbasiertes Berechtigungskonzept (Admin/Nutzer); Beschränkung auf das erforderliche Maß (Need-to-know).
• Vertraulichkeit – Trennungskontrolle: strikte Mandantentrennung durch separate Datenbanken je Mandant.
• Integrität – Weitergabe-/Übertragungskontrolle: Transportverschlüsselung (TLS/HTTPS) für sämtliche Verbindungen.
• Integrität – Eingabekontrolle: Protokollierung sicherheitsrelevanter Vorgänge (z. B. Anmeldungen) sowie revisionssichere Dokumenten-Protokollierung.
• Vertraulichkeit – Administrationszugriff: Die interne Verwaltungsoberfläche des Auftragsverarbeiters (§ 12) liegt auf einem eigenen, nicht beworbenen Host, ist über eine Freigabeliste von Herkunftsadressen beschränkt (fail-closed: ohne Eintrag kein Zugang) und verlangt Passwort und zweiten Faktor. Sitzungen sind an Person, Netz und Zeit gebunden und lassen sich serverseitig entwerten. Jeder Vorgang wird in einem hashverketteten Protokoll festgehalten.
• Verschlüsselung/Pseudonymisierung: Verschlüsselung besonders schützenswerter personenbezogener Felder in der Datenbank.
• Verfügbarkeit und Belastbarkeit: regelmäßige Datensicherungen; Maßnahmen zur Wiederherstellbarkeit nach einem Zwischenfall.
• Verfahren zur regelmäßigen Überprüfung, Bewertung und Evaluierung: die Maßnahmen werden regelmäßig überprüft und an den Stand der Technik angepasst.

Anlage 2 — Genehmigte Sub-Auftragsverarbeiter

Die Liste wird bei Änderungen aktualisiert; Änderungen werden gemäß § 6 mitgeteilt.

Anlage 3 — Empfänger als eigenständig Verantwortliche

Die folgenden Empfänger sind keine Sub-Auftragsverarbeiter (§ 6 Abs. 5). Sie verarbeiten die ihnen übermittelten Daten zu eigenen Zwecken und auf eigener Rechtsgrundlage; ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO ist mit ihnen weder geschlossen noch – nach ihren eigenen Bedingungen – vorgesehen. Die Übermittlung erfolgt jeweils nur, soweit der Verantwortliche die betreffende optionale Funktion nutzt.

Für Änderungen an dieser Liste gilt § 6 Abs. 2 entsprechend.