Auftragsverarbeitungsvertrag (AVV)
Stand: August 2026 · Entwurf gemäß Art. 28 DSGVO
1. Vertragsparteien
Auftraggeber: der jeweilige im Hauptvertrag bezeichnete Kunde.
Auftragnehmer:
Dennis Eizen
Garten ganz nah
Elisabeth-Schwarzhaupt-Str. 27
49504 Lotte
2. Gegenstand und Dauer der Verarbeitung
Der Auftragnehmer stellt die webbasierte Software „CC-Manager“ zur Verwaltung von CC-Containern, CC-Brettern und CC-Verlängerungen bereit. Die Verarbeitung erfolgt während der Laufzeit des Hauptvertrags zuzüglich vereinbarter Rückgabe-, Sicherungs- und Löschfristen.
3. Art und Zweck der Verarbeitung
Die Verarbeitung umfasst insbesondere Erheben, Erfassen, Ordnen, Speichern, Anzeigen, Ändern, Exportieren, Sichern und Löschen von Daten zur Bereitstellung der vereinbarten Softwarefunktionen.
4. Kategorien personenbezogener Daten
- Benutzer-, Rollen- und Berechtigungsdaten
- Namen und geschäftliche Kontaktdaten
- Lieferanten- und Ansprechpartnerdaten
- Buchungs-, Lager- und Belegdaten
- Kennzeichen, Bemerkungen, Fotos und Unterschriften
- Login-, Sicherheits- und technische Protokolldaten
- E-Mail-Adressen und Versanddaten bei Transaktions-E-Mails
5. Kategorien betroffener Personen
- Beschäftigte und Benutzer des Auftraggebers
- Fahrer und Übergeber
- Ansprechpartner bei Lieferanten, Kunden und Geschäftspartnern
6. Weisungsgebundenheit
Der Auftragnehmer verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Auftraggebers, soweit keine gesetzliche Verpflichtung zu einer abweichenden Verarbeitung besteht.
7. Vertraulichkeit
Der Auftragnehmer stellt sicher, dass zur Verarbeitung befugte Personen zur Vertraulichkeit verpflichtet sind und personenbezogene Daten nur im erforderlichen Umfang verarbeiten.
8. Technische und organisatorische Maßnahmen
- verschlüsselte Übertragung über HTTPS/TLS
- individuelle, passwortgeschützte Benutzerkonten
- sichere Speicherung von Passwort-Hashes
- rollenbasierte Berechtigungen
- logische Mandantentrennung
- geschützte Session-Cookies und CSRF-Schutz
- Protokollierung von Änderungen und Loginereignissen
- Zugriffsbeschränkungen auf Server und Datenbank
- regelmäßige Sicherheitsupdates sowie Datensicherungen
9. Unterauftragsverarbeiter
Der Auftraggeber genehmigt den Einsatz der für Hosting, Infrastruktur und Transaktions-E-Mails erforderlichen Unterauftragsverarbeiter. Bei Einsatz der aktuell vorgesehenen Dienste gehören hierzu insbesondere:
- Hetzner Online GmbH – Hosting und Serverinfrastruktur
- Brevo / Sendinblue – Versand sicherheitsrelevanter Transaktions-E-Mails, sofern aktiviert
Der Auftragnehmer informiert den Auftraggeber nach dem vertraglich festgelegten Verfahren über beabsichtigte Änderungen der Unterauftragsverarbeiter und stellt sicher, dass diesen vergleichbare Datenschutzpflichten auferlegt werden.
10. Unterstützungspflichten
Der Auftragnehmer unterstützt den Auftraggeber im angemessenen Umfang bei Betroffenenrechten, Datenschutzverletzungen, Datenschutz-Folgenabschätzungen, Konsultationen mit Aufsichtsbehörden und der Sicherheit der Verarbeitung.
11. Meldung von Datenschutzverletzungen
Der Auftragnehmer informiert den Auftraggeber unverzüglich, nachdem ihm eine Verletzung des Schutzes personenbezogener Daten bekannt geworden ist, soweit Daten des Auftraggebers betroffen sind.
12. Löschung und Rückgabe
Nach Vertragsende werden personenbezogene Daten nach Wahl des Auftraggebers herausgegeben oder gelöscht, soweit keine gesetzlichen Aufbewahrungspflichten entgegenstehen. Sicherungskopien werden im Rahmen der vereinbarten Sicherungs- und Löschzyklen entfernt.
13. Nachweise und Kontrollen
Der Auftragnehmer stellt dem Auftraggeber die zum Nachweis der Pflichten erforderlichen Informationen zur Verfügung. Kontrollen erfolgen mit angemessener Vorankündigung und unter Wahrung von Sicherheits-, Geheimhaltungs- und Betriebsinteressen.
14. Haftung
Die Haftung richtet sich nach dem Hauptvertrag, den AGB und den gesetzlichen Vorschriften.
15. Schlussbestimmungen
Dieser Vertrag ergänzt den Hauptvertrag über die Nutzung des CC-Managers. Es gilt deutsches Recht.
Dieser AVV-Entwurf ist noch nicht unterschriftsreif. Vor Verwendung müssen insbesondere konkrete Löschfristen, Sicherungszyklen, vollständige Kontaktdaten der Unterauftragsverarbeiter, Änderungsverfahren, Weisungskanäle und gegebenenfalls internationale Datenübermittlungen verbindlich geprüft und festgelegt werden.