Auftragsverarbeitung (AVV)
Diese Muster-Vereinbarung regelt die Verarbeitung personenbezogener Daten im Auftrag gemäß Art. 28 DSGVO — relevant, sobald wir für Kunden personenbezogene Daten verarbeiten (z.B. Betrieb einer Website mit Kontaktformular).
Musterinhalt der Demo-Website — keine Rechtsberatung. Vor einem echten Einsatz anwaltlich prüfen und um Anlagen (TOMs, Subunternehmer-Liste) ergänzen.
1. Gegenstand und Dauer
Der Auftragsverarbeiter (Formwerk Architekten & Ingenieure GmbH, Musterstraße 12, 10115 Berlin) verarbeitet personenbezogene Daten ausschließlich im Auftrag und nach Weisung des Verantwortlichen. Gegenstand, Art und Zweck der Verarbeitung, die Datenkategorien und die betroffenen Personen werden in Anlage 1 zum Hauptvertrag konkretisiert. Die Vereinbarung gilt für die Laufzeit des Hauptvertrags.
2. Weisungsrecht
Verarbeitungen erfolgen nur auf dokumentierte Weisung des Verantwortlichen. Hält der Auftragsverarbeiter eine Weisung für datenschutzwidrig, informiert er den Verantwortlichen unverzüglich und darf die Ausführung bis zur Klärung aussetzen.
3. Technische und organisatorische Maßnahmen
Der Auftragsverarbeiter trifft geeignete technische und organisatorische Maßnahmen nach Art. 32 DSGVO (u.a. Verschlüsselung, Zugriffskontrolle, EU-Hosting, Protokollierung). Die Maßnahmen werden in Anlage 2 dokumentiert und dem Stand der Technik angepasst.
4. Unterauftragsverhältnisse
Die Beauftragung von Subunternehmern ist nur mit vorheriger schriftlicher Genehmigung des Verantwortlichen zulässig. Eingesetzte Subunternehmer (Anlage 3) werden auf dasselbe Datenschutzniveau verpflichtet; alle eingesetzten Dienste verarbeiten Daten ausschließlich in der EU.
5. Unterstützung des Verantwortlichen
Der Auftragsverarbeiter unterstützt den Verantwortlichen bei der Beantwortung von Betroffenenanfragen (Art. 12–23 DSGVO), bei Datenschutz-Folgenabschätzungen und meldet Verletzungen des Schutzes personenbezogener Daten unverzüglich, spätestens binnen 48 Stunden nach Kenntnis.
6. Löschung und Rückgabe
Nach Abschluss der Leistungen werden alle personenbezogenen Daten nach Wahl des Verantwortlichen zurückgegeben oder datenschutzgerecht gelöscht, soweit keine gesetzlichen Aufbewahrungspflichten entgegenstehen. Die Löschung wird auf Verlangen schriftlich bestätigt.