Auftragsverarbeitungsvertrag (AVV) nach Art. 28 DSGVO

Stand: 24.10.2026 · Version 1.1

Dieser Vertrag kommt zustande, wenn der Kunde bei der Einrichtung seines Zugangs (oder nach einer neuen Fassung im Portal) die AGB und diesen AVV annimmt. Angenommene Fassung und Zeitpunkt werden gespeichert.

Zwischen

dem Kunden, der die AGB und diesen AVV bei der Einrichtung seines Zugangs angenommen hat, mit den dort hinterlegten Firmen- und Anschriftsdaten – nachfolgend „Verantwortlicher" –

und

Stephan Schaefer, Einzelunternehmen
Bäckergäßle 18, 75181 Pforzheim
– nachfolgend „Auftragsverarbeiter" –

§ 1 Gegenstand und Dauer

(1) Gegenstand des Auftrags ist die Verarbeitung personenbezogener Daten durch den Auftragsverarbeiter im Rahmen der Bereitstellung und des Betriebs der Software-Plattform „Prozesscode" („Plattform") für den Verantwortlichen.

(2) Die Dauer dieses Vertrags entspricht der Laufzeit des zugrunde liegenden Hauptvertrags (Nutzungs-/Dienstleistungsvertrag), sofern sich aus den nachfolgenden Bestimmungen keine darüber hinausgehenden Pflichten ergeben.

§ 2 Art, Zweck, Umfang der Verarbeitung; Betroffene; Datenkategorien

(1) Zweck: Bereitstellung der Plattform für den Verantwortlichen, insbesondere Erfassung von Aufmaßen, Erstellung von Angebotsentwürfen und Verwaltung der dazu nötigen Kundendaten, sowie die zugehörige technische Verarbeitung. Die Plattform wird ausschließlich vom Verantwortlichen und seinen Mitarbeitenden bedient; dessen Kund:innen nutzen ihn nicht selbst.

(2) Art der Verarbeitung: Erheben, Speichern, Auslesen, Verwenden, Übermitteln (an Subunternehmer nach § 6), Löschen.

(3) Kategorien betroffener Personen:

• Kund:innen und Interessent:innen des Verantwortlichen (Auftraggeber:innen der Angebote),
• Mitarbeitende des Verantwortlichen, die die Plattform nutzen.

(4) Kategorien personenbezogener Daten:

• Kontakt- und Adressdaten der Kund:innen (Name, Anschrift, Telefon, E-Mail),
• Auftragsdaten (Baustellenadresse, Aufmaße, Leistungen, Angebote),
• Fotos von Baustellen, soweit hochgeladen,
• Sprachnachrichten und deren Abschrift,
• Chat- und Nachrichteninhalte zwischen Mitarbeitenden und Plattform,
• Nutzungsdaten der Mitarbeitenden (Name, Zugangsdaten, Zeitstempel, IP-Adresse, Kanal).

Keine besonderen Kategorien nach Art. 9 DSGVO, sofern nicht gesondert vereinbart.

§ 3 Weisungsrecht des Verantwortlichen

(1) Der Auftragsverarbeiter verarbeitet die Daten ausschließlich im Rahmen der getroffenen Vereinbarungen und nach dokumentierten Weisungen des Verantwortlichen, es sei denn, er ist gesetzlich zu einer Verarbeitung verpflichtet (Art. 28 Abs. 3 lit. a DSGVO).

(2) Der Auftragsverarbeiter informiert den Verantwortlichen unverzüglich, wenn er der Auffassung ist, dass eine Weisung gegen datenschutzrechtliche Vorschriften verstößt.

§ 4 Pflichten des Auftragsverarbeiters

(1) Vertraulichkeit (Art. 28 Abs. 3 lit. b, Art. 29, 32 Abs. 4 DSGVO): Verpflichtung der zur Verarbeitung befugten Personen auf Vertraulichkeit.

(2) Datensicherheit (Art. 32 DSGVO): Umsetzung der in Anlage 1 (TOM) beschriebenen technischen und organisatorischen Maßnahmen.

(3) Unterstützung des Verantwortlichen bei Betroffenenrechten (Art. 12–23), bei der Sicherheit der Verarbeitung, bei Meldepflichten (Art. 33/34) und Datenschutz-Folgenabschätzungen (Art. 35/36).

(4) Meldung von Datenschutzverletzungen unverzüglich, spätestens innerhalb von 48 Stunden nach Kenntnis.

(5) Nachweise: Bereitstellung aller zum Nachweis der Einhaltung von Art. 28 erforderlichen Informationen; Ermöglichung von Überprüfungen/Audits (§ 7).

§ 5 Betroffenenrechte

Der Auftragsverarbeiter unterstützt den Verantwortlichen mit geeigneten technischen und organisatorischen Maßnahmen dabei, Anträge betroffener Personen zu beantworten, und leitet an ihn gerichtete Anträge unverzüglich weiter.

§ 6 Subunternehmer (weitere Auftragsverarbeiter)

(1) Der Verantwortliche stimmt dem Einsatz der in Anlage 2 genannten Subunternehmer zu. Der Auftragsverarbeiter informiert den Verantwortlichen über beabsichtigte Änderungen und räumt ein Widerspruchsrecht ein.

(2) Der Auftragsverarbeiter verpflichtet Subunternehmer auf gleichwertige Datenschutzpflichten (Art. 28 Abs. 4 DSGVO).

(3) Drittlandübermittlung nur unter den Voraussetzungen der Art. 44 ff. DSGVO (z. B. EU-Standardvertragsklauseln, Angemessenheitsbeschluss).

§ 7 Kontroll-/Auditrechte

Der Verantwortliche hat das Recht, die Einhaltung der vertraglichen Pflichten in angemessenem Umfang zu überprüfen (Selbstauskunft, Zertifikate oder Audit vor Ort nach angemessener Vorankündigung), Art. 28 Abs. 3 lit. h DSGVO.

§ 8 Löschung und Rückgabe

Nach Abschluss der Verarbeitung löscht oder gibt der Auftragsverarbeiter – nach Wahl des Verantwortlichen – alle personenbezogenen Daten zurück und löscht vorhandene Kopien, sofern keine gesetzliche Aufbewahrungspflicht besteht (Art. 28 Abs. 3 lit. g DSGVO). Backups werden im Rahmen des regulären Rotationszyklus gelöscht.

§ 9 Haftung

(1) Gegenüber betroffenen Personen haften die Parteien nach Art. 82 DSGVO. Die folgenden Absätze regeln allein das Verhältnis der Parteien zueinander.

(2) Der Auftragsverarbeiter haftet für Schäden aus diesem Vertrag, soweit gesetzlich zulässig, je Schadensereignis höchstens bis zur Höhe der Vergütung, die der Verantwortliche in den zwölf Monaten vor dem Schadensereignis an den Auftragsverarbeiter gezahlt hat, in keinem Fall jedoch über 10.000 EUR je Schadensereignis.

(3) Die Begrenzung nach Abs. 2 gilt nicht

• a) bei Vorsatz oder grober Fahrlässigkeit,
• b) bei Verletzung von Leben, Körper oder Gesundheit,
• c) für Ansprüche nach dem Produkthaftungsgesetz.

Verletzt der Auftragsverarbeiter eine wesentliche Vertragspflicht, also eine Pflicht, deren Erfüllung die ordnungsgemäße Durchführung des Vertrags erst ermöglicht und auf deren Einhaltung der Verantwortliche regelmäßig vertrauen darf, haftet er auch bei einfacher Fahrlässigkeit, jedoch begrenzt auf den bei Vertragsschluss vorhersehbaren, vertragstypischen Schaden.

(4) Der Verantwortliche stellt den Auftragsverarbeiter von Ansprüchen Dritter frei, soweit diese darauf beruhen, dass der Verantwortliche

• a) Daten ohne Rechtsgrundlage (Art. 6, Art. 9 DSGVO) verarbeiten lässt,
• b) seine Kunden und sonstige betroffene Personen nicht nach Art. 13, 14 DSGVO informiert hat oder
• c) Weisungen erteilt hat, die gegen Datenschutzrecht verstoßen.

(5) Für Subunternehmer haftet der Auftragsverarbeiter gegenüber dem Verantwortlichen nach Art. 28 Abs. 4 Satz 2 DSGVO. Abs. 2 und 3 gelten entsprechend.

§ 10 Schlussbestimmungen

(1) Bei Widersprüchen zwischen diesem AVV und dem Hauptvertrag gehen die Regelungen dieses AVV in Bezug auf den Datenschutz vor. Für die Haftung gilt § 9 dieses AVV.

(2) Es gilt das Recht der Bundesrepublik Deutschland. Gerichtsstand ist Pforzheim, soweit zulässig.

Anlage 1 – Technische und organisatorische Maßnahmen (TOM), Art. 32 DSGVO

Die TOM werden regelmäßig überprüft und bei relevanten Änderungen angepasst, insbesondere bei einem neuen Subunternehmer, einem Wechsel des Hostings, neuen Funktionen mit Personenbezug oder geänderten Sicherheitsmaßnahmen. Der Verantwortliche wird über wesentliche Änderungen informiert.

Anlage 2 – Zugelassene Subunternehmer

AGBDatenschutzerklärungImpressumHilfe: support@prozesscode.de