Vertrag zur Auftragsverarbeitung (AVV) nach Art. 28 DSGVO
Zwischen dem Kunden (Verantwortlicher, „Auftraggeber“) und JH, Inhaber Jakob Hohmann, Schulstraße 7A, 07927 Hirschberg („Auftragnehmer“). Der Vertrag wird mit der Registrierung abgeschlossen.
1. Gegenstand und Dauer
Der Auftragnehmer verarbeitet personenbezogene Daten im Auftrag des Auftraggebers, um die Software Antwortwerk nach den AGB bereitzustellen. Der Vertrag gilt, solange der Hauptvertrag läuft.
2. Art der Daten und betroffene Personen
| Betroffene | Daten | Zweck |
|---|---|---|
| Kunden und Interessenten des Auftraggebers | Name, E-Mail-Adresse, Inhalt der E-Mails, Terminwunsch | Anfragen zuordnen, Antworten entwerfen, Termine vormerken |
| Mitarbeiter des Auftraggebers | Name, E-Mail, Rolle, Signatur, Anmeldedaten | Nutzerkonten, Freigaben |
| Kalendereinträge des Auftraggebers | Zeitpunkt, Titel, Beschreibung | freie Zeiten ermitteln, Termine eintragen |
Besondere Kategorien nach Art. 9 DSGVO (z. B. Gesundheitsdaten) sollen nicht verarbeitet werden. Gelangen sie in E-Mails, verarbeitet der Auftragnehmer sie nur wie alle anderen E-Mails.
3. Weisungen
Der Auftragnehmer verarbeitet die Daten nur auf dokumentierte Weisung des Auftraggebers. Die Weisungen ergeben sich aus diesem Vertrag, den AGB und den Einstellungen in der Software. Hält der Auftragnehmer eine Weisung für rechtswidrig, teilt er das unverzüglich mit.
4. Pflichten des Auftragnehmers
- Er verpflichtet alle Personen mit Zugriff auf die Daten zur Vertraulichkeit.
- Er trifft die technischen und organisatorischen Maßnahmen nach Anlage 1.
- Er unterstützt den Auftraggeber bei Anfragen betroffener Personen und bei Meldungen an die Aufsichtsbehörde.
- Er meldet Verletzungen des Schutzes personenbezogener Daten unverzüglich, möglichst innerhalb von 24 Stunden nach Kenntnis.
- Er stellt die nötigen Informationen zum Nachweis dieser Pflichten bereit und ermöglicht Überprüfungen nach vorheriger Absprache.
5. Unterauftragsverarbeiter
Der Auftraggeber stimmt den Unterauftragsverarbeitern in Anlage 2 zu. Über neue oder ersetzte Unterauftragsverarbeiter informiert der Auftragnehmer mindestens 4 Wochen vorher per E-Mail. Der Auftraggeber kann aus wichtigem datenschutzrechtlichem Grund widersprechen und den Vertrag dann kündigen.
6. Datenübermittlung in Drittländer
Eine Übermittlung außerhalb der EU erfolgt nur an die in Anlage 2 genannten Empfänger und nur mit geeigneten Garantien nach Art. 44 ff. DSGVO (Angemessenheitsbeschluss, EU-US Data Privacy Framework oder EU-Standardvertragsklauseln).
7. Löschung und Rückgabe
Nach Vertragsende kann der Auftraggeber seine Daten 30 Tage lang exportieren. Danach löscht der Auftragnehmer sie, auch in Sicherungskopien spätestens nach weiteren 30 Tagen, und bestätigt die Löschung auf Wunsch in Textform.
Anlage 1: Technische und organisatorische Maßnahmen
| Bereich | Maßnahme |
|---|---|
| Zutritt | Server in einem gesicherten Rechenzentrum des Hosters in der EU |
| Zugang | Anmeldung mit persönlichem Passwort; Server-Zugang nur per SSH-Schlüssel |
| Zugriff | Rollen (Inhaber, Mitarbeiter); jeder Betrieb sieht nur seine eigenen Daten |
| Weitergabe | Verbindungen per TLS verschlüsselt; Postfach- und Kalender-Zugänge verschlüsselt gespeichert (AES) |
| Eingabekontrolle | Protokoll, wer welche Antwort freigegeben und gesendet hat |
| Verfügbarkeit | tägliche Sicherung, verschlüsselt, 7 Tage aufbewahrt |
| Trennung | Daten der Betriebe in der Datenbank nach Betrieb getrennt |
| Überprüfung | Prüfung der Maßnahmen mindestens einmal jährlich |
Anlage 2: Unterauftragsverarbeiter
| Name | Leistung | Ort der Verarbeitung | Garantie |
|---|---|---|---|
| Hostinger International Ltd., Larnaka, Zypern | Server-Hosting | EU | Auftragsverarbeitungsvertrag des Hosters |
| Anthropic | KI-Auswertung und Antwortentwürfe | USA | Auftragsverarbeitungsvertrag, EU-Standardvertragsklauseln |
Google (Kalender) und der E-Mail-Anbieter des Betriebs sind keine Unterauftragsverarbeiter: Der Betrieb hat mit ihnen eigene Verträge und verbindet sein Konto selbst.
Stand: Oktober 2026