Zurück

Auftragsverarbeitungsvertrag (AVV)

gemäß Art. 28 DSGVO

zwischen

Auftraggeber (Verantwortlicher)
– nachfolgend „Verantwortlicher" –

und

Ian Becker (Einzelunternehmen)
Immanuel-Kant-Straße 3
79331 Teningen
Deutschland
– nachfolgend „Auftragsverarbeiter" –

1. Definition des Vertragsverhältnisses

Vertragsverhältnis im Sinne dieses Vertrages ist die zwischen den Parteien geschlossene Vereinbarung über die Erbringung von Website-Dienstleistungen („Website-as-a-Service").

Dieses Vertragsverhältnis kommt insbesondere zustande durch:

  • den Online-Bestellprozess (Checkout),
  • die Einbeziehung der Allgemeinen Geschäftsbedingungen (AGB),
  • sowie die Bestätigungs-E-Mail nach Vertragsschluss.

2. Gegenstand und Dauer der Verarbeitung

Der Auftragsverarbeiter verarbeitet personenbezogene Daten im Auftrag des Verantwortlichen gemäß Art. 28 DSGVO.

Die Verarbeitung erfolgt im Rahmen der Bereitstellung, Entwicklung, des Hostings, der Wartung sowie des Betriebs von Websites.

Die Dauer der Verarbeitung richtet sich nach der Laufzeit des zugrundeliegenden Vertragsverhältnisses.

3. Art und Zweck der Verarbeitung

Die Verarbeitung umfasst insbesondere:

  • Hosting und Bereitstellung der Website
  • Speicherung und Verwaltung von Website-Inhalten
  • Verarbeitung von Nutzungsdaten (z. B. Server-Logfiles)
  • technische Wartung, Monitoring und Fehleranalyse

Die Verarbeitung erfolgt ausschließlich zur Erfüllung des zugrundeliegenden Vertragsverhältnisses sowie auf dokumentierte Weisung des Verantwortlichen.

4. Art der personenbezogenen Daten

  • Kontaktdaten (z. B. Name, E-Mail-Adresse, Telefonnummer)
  • Kommunikationsdaten (z. B. Inhalte aus Kontaktformularen)
  • Nutzungsdaten (z. B. IP-Adresse, Zeitstempel, Logfiles)
  • Inhaltsdaten (z. B. vom Verantwortlichen bereitgestellte Inhalte)

5. Kategorien betroffener Personen

  • Besucher der Website
  • Kunden und Interessenten des Verantwortlichen
  • Mitarbeiter oder sonstige Nutzer des Verantwortlichen

6. Weisungsrecht

Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen.

Weisungen können insbesondere erfolgen durch:

  • das zugrundeliegende Vertragsverhältnis,
  • den Online-Bestellprozess (Checkout),
  • elektronische oder schriftliche Kommunikation.

Der Auftragsverarbeiter informiert den Verantwortlichen unverzüglich, wenn er der Auffassung ist, dass eine Weisung gegen geltendes Datenschutzrecht verstößt.

7. Pflichten des Auftragsverarbeiters

  • personenbezogene Daten nur im Rahmen der Weisungen zu verarbeiten
  • Vertraulichkeit zu gewährleisten
  • geeignete technische und organisatorische Maßnahmen umzusetzen
  • den Verantwortlichen bei der Wahrnehmung von Betroffenenrechten zu unterstützen
  • Datenschutzverletzungen unverzüglich zu melden

8. Technische und organisatorische Maßnahmen (TOM)

Der Auftragsverarbeiter trifft angemessene Maßnahmen gemäß Art. 32 DSGVO, insbesondere:

  • Zugriffsbeschränkungen (z. B. Rollen- und Berechtigungskonzepte)
  • sichere Authentifizierung (z. B. Passwörter)
  • Verschlüsselung der Datenübertragung (z. B. HTTPS)
  • Datensicherung (Backups)
  • regelmäßige Updates und Sicherheitsmaßnahmen
  • Monitoring der Systeme

Die Maßnahmen werden regelmäßig überprüft und bei Bedarf angepasst.

9. Einsatz von Subunternehmern

Der Auftragsverarbeiter ist berechtigt, Subunternehmer einzusetzen.

Zu den eingesetzten Subunternehmern gehören insbesondere:

  • Lovable Labs (Hosting, Infrastruktur und Plattformbetrieb)

Der Auftragsverarbeiter stellt sicher, dass mit allen Subunternehmern entsprechende Vereinbarungen gemäß Art. 28 DSGVO bestehen. Der Verantwortliche stimmt dem Einsatz dieser Subunternehmer zu.

10. Besonderheit Lovable

Der Verantwortliche nimmt zur Kenntnis, dass Lovable Labs:

  • personenbezogene Daten im Rahmen der Leistungserbringung als Auftragsverarbeiter verarbeitet
  • darüber hinaus bestimmte Daten (z. B. Nutzungs- und Logdaten) als eigener Verantwortlicher verarbeitet (insbesondere zu Analyse-, Sicherheits- und Optimierungszwecken)

Diese eigenständige Verarbeitung erfolgt außerhalb dieses AVV.

11. Drittlandübermittlung

Eine Übermittlung personenbezogener Daten in Drittländer (z. B. USA) kann nicht ausgeschlossen werden. Diese erfolgt ausschließlich unter Einhaltung der gesetzlichen Anforderungen, insbesondere durch:

  • EU-Standardvertragsklauseln (SCC)
  • Angemessenheitsbeschlüsse der EU-Kommission

12. Unterstützungspflichten

  • der Bearbeitung von Betroffenenanfragen
  • Datenschutz-Folgenabschätzungen (soweit erforderlich)
  • der Umsetzung angemessener Sicherheitsmaßnahmen

13. Meldung von Datenschutzverletzungen

Der Auftragsverarbeiter informiert den Verantwortlichen unverzüglich, nachdem ihm eine Verletzung des Schutzes personenbezogener Daten bekannt wird.

14. Kontrollrechte

Der Verantwortliche ist berechtigt, die Einhaltung der datenschutzrechtlichen Pflichten zu überprüfen. Dies erfolgt in der Regel durch:

  • geeignete Nachweise und Dokumentationen

Vor-Ort-Audits sind nur nach vorheriger Ankündigung und in angemessenem Umfang zulässig.

15. Löschung und Rückgabe von Daten

Nach Beendigung des zugrundeliegenden Vertragsverhältnisses wird der Auftragsverarbeiter personenbezogene Daten nach Wahl des Verantwortlichen:

  • löschen oder
  • herausgeben

sofern keine gesetzlichen Aufbewahrungspflichten entgegenstehen.

16. Haftung

Die Haftung richtet sich nach den zwischen den Parteien vereinbarten Regelungen des zugrundeliegenden Vertragsverhältnisses, insbesondere den einbezogenen AGB.

17. Schlussbestimmungen

Es gilt das Recht der Bundesrepublik Deutschland.

Sollten einzelne Bestimmungen dieses Vertrages unwirksam sein oder werden, bleibt die Wirksamkeit der übrigen Regelungen unberührt.