Auftragsverarbeitung (AVV)
Stand: 3. Oktober 2026
Dieser Vertrag nach Art. 28 DSGVO ist Bestandteil jedes Vertrags über die Nutzung von Web-Anwendungen von zadeo Digital & Media. Die Parteien sind:
- Verantwortlicher („Auftraggeber"): der Kunde
- Auftragsverarbeiter („Auftragnehmer"): Mischa Stäbler-Kern, zadeo Digital & Media, Am Altenberg 17, 74915 Waibstadt
1. Gegenstand und Dauer
Der Auftragnehmer verarbeitet personenbezogene Daten im Auftrag des Auftraggebers, um die gebuchten Web-Anwendungen bereitzustellen, also Speicherung, Hosting, Sicherung, Wartung und Support. Der Vertrag gilt für die Dauer des Hauptvertrags.
2. Art der Daten und betroffene Personen
Welche Daten verarbeitet werden, hängt von der Nutzung durch den Auftraggeber ab.
Typische Datenkategorien:
- Kontakt- und Stammdaten
- Kommunikations- und Vertragsdaten
- Projekt- und Auftragsdaten
- Bilder und Dokumente
- Nutzungs- und Protokolldaten
Typische Betroffene:
- Beschäftigte und Nutzer des Auftraggebers
- dessen Kunden, Interessenten und Lieferanten
Besondere Kategorien nach Art. 9 DSGVO dürfen nur nach gesonderter Absprache verarbeitet werden.
3. Weisungen
Der Auftragnehmer verarbeitet die Daten nur auf dokumentierte Weisung des Auftraggebers. Die Weisungen ergeben sich aus dem Hauptvertrag und den Einstellungen in der Software. Hält der Auftragnehmer eine Weisung für rechtswidrig, weist er den Auftraggeber unverzüglich darauf hin.
4. Vertraulichkeit
Personen, die Zugriff auf die Daten haben, sind zur Vertraulichkeit verpflichtet. Derzeit erbringt der Inhaber die Leistungen persönlich.
5. Technische und organisatorische Maßnahmen
Der Auftragnehmer trifft angemessene Maßnahmen nach Art. 32 DSGVO, insbesondere:
- Betrieb auf eigenen Servern in Deutschland in einem nicht öffentlich zugänglichen Raum
- Verschlüsselte Übertragung (TLS) für alle Verbindungen
- Rollenbasierte Zugriffsrechte und Trennung der Daten verschiedener Kunden (Mandantentrennung)
- Passwörter nur als sicherer Hash, Zwei-Faktor-Anmeldung für administrative Zugänge
- Regelmäßige Sicherheitsupdates von Betriebssystem und Software
- Regelmäßige Datensicherung mit Wiederherstellungstests
- Protokollierung administrativer Zugriffe
Die Maßnahmen dürfen dem technischen Fortschritt angepasst werden, solange das Schutzniveau nicht sinkt.
6. Unterauftragsverarbeiter
Der Auftraggeber genehmigt folgende Unterauftragsverarbeiter:
| Dienstleister | Zweck | Ort |
|---|---|---|
| STRATO AG, Berlin | E-Mail-Versand (z. B. Benachrichtigungen aus der Anwendung) | Deutschland |
Neue oder geänderte Unterauftragsverarbeiter kündigt der Auftragnehmer mindestens vier Wochen vorher in Textform an. Der Auftraggeber kann aus wichtigem datenschutzrechtlichem Grund widersprechen. Kommt keine Einigung zustande, können beide Seiten den betroffenen Dienst kündigen.
7. Unterstützung des Auftraggebers
Der Auftragnehmer unterstützt den Auftraggeber im zumutbaren Umfang bei:
- Anfragen betroffener Personen (Art. 12–23 DSGVO)
- Datenschutz-Folgenabschätzungen
- Meldepflichten nach Art. 33 und 34 DSGVO
8. Datenschutzverletzungen
Der Auftragnehmer meldet dem Auftraggeber Verletzungen des Schutzes personenbezogener Daten unverzüglich, möglichst innerhalb von 48 Stunden nach Kenntnis. Die Meldung enthält die Informationen, die der Auftraggeber für seine eigene Meldung braucht.
9. Löschung und Rückgabe
Nach Vertragsende kann der Auftraggeber seine Daten 30 Tage lang exportieren. Danach löscht der Auftragnehmer die Daten, soweit keine gesetzliche Pflicht zur Aufbewahrung besteht. Kopien in Datensicherungen werden im regulären Sicherungszyklus überschrieben, spätestens nach 90 Tagen.
10. Nachweise und Kontrollen
Der Auftragnehmer weist die Einhaltung dieses Vertrags auf Anfrage durch geeignete Unterlagen nach. Vor-Ort-Kontrollen sind nach rechtzeitiger Anmeldung zu üblichen Geschäftszeiten möglich, höchstens einmal jährlich, außer es gibt einen konkreten Anlass.
11. Schlussbestimmungen
Im Übrigen gelten der Hauptvertrag und die AGB. Bei Widersprüchen geht dieser Vertrag in Fragen des Datenschutzes vor.