Auftragsverarbeitungsvertrag (AVV) nach Art. 28 DSGVO
Als Betreiberin oder Betreiber bist Du für die Daten Deiner Kunden verantwortlich. Pfotenbüro verarbeitet sie in Deinem Auftrag. Dieser Vertrag regelt genau das, nach Art. 28 DSGVO. Er gilt mit der Nutzung von Pfotenbüro als geschlossen; für Deine Unterlagen kannst Du ihn hier herunterladen.
AVV als Textdatei herunterladen
Parteien und Präambel
Dieser Vertrag wird geschlossen zwischen dem Kunden von Pfotenbüro als Verantwortlichem im Sinne von Art. 4 Nr. 7 DSGVO (nachfolgend „Verantwortlicher“) und Felix Buchwald, Esquina Juan de Garay No 1702, 001001 Asunción, Paraguay, als Auftragsverarbeiter im Sinne von Art. 4 Nr. 8 DSGVO (nachfolgend „Auftragsverarbeiter“).
Der Verantwortliche nutzt die Software Pfotenbüro zur Organisation seines Betriebs (z. B. Hundesitter-Service, Hundepension oder Hundesalon). Dabei verarbeitet der Auftragsverarbeiter personenbezogene Daten im Auftrag des Verantwortlichen. Dieser Vertrag konkretisiert die datenschutzrechtlichen Pflichten der Parteien nach Art. 28 DSGVO.
§ 1 Gegenstand und Dauer der Verarbeitung
Gegenstand der Verarbeitung ist die Bereitstellung und der Betrieb der Software Pfotenbüro: Terminverwaltung und Belegungsplanung, Kundenkartei mit Tierprofilen, Buchungsanfragen über das Kundenportal, Rechnungsstellung, Benachrichtigungen per E-Mail sowie Fotoberichte.
Die Dauer der Verarbeitung entspricht der Laufzeit des Nutzungsvertrags über Pfotenbüro. Mit dessen Beendigung endet auch dieser Vertrag; § 8 (Löschung und Rückgabe) gilt darüber hinaus.
§ 2 Art und Zweck der Verarbeitung
Die Verarbeitung umfasst das Erheben, Speichern, Ordnen, Verändern, Auslesen, Übermitteln (an die vom Verantwortlichen benannten Empfänger, z. B. seine Kunden per E-Mail) und Löschen personenbezogener Daten.
Zweck der Verarbeitung ist ausschließlich die Erbringung der in § 1 beschriebenen Leistungen für den Verantwortlichen. Eine Verarbeitung zu eigenen Zwecken des Auftragsverarbeiters findet nicht statt.
Die Speicherung und Verarbeitung findet in Rechenzentren innerhalb der Europäischen Union statt (Hetzner, Helsinki, Finnland).
§ 3 Kategorien betroffener Personen
Von der Verarbeitung betroffen sind: Kunden des Verantwortlichen und deren Kontaktpersonen sowie Mitarbeiterinnen und Mitarbeiter des Verantwortlichen, die als Teammitglieder Zugang zur Software erhalten.
§ 4 Art der personenbezogenen Daten
Verarbeitet werden insbesondere folgende Datenkategorien:
| Kategorie | Beispiele |
|---|---|
| Stammdaten | Name, Anschrift der Kunden des Verantwortlichen |
| Kontaktdaten | E-Mail-Adresse, Telefonnummer |
| Termin- und Vertragsdaten | Buchungen, Aufenthalte, Buchungsanfragen, Notizen |
| Rechnungsdaten | Rechnungspositionen, Beträge, Zahlstatus (keine Kartendaten – Zahlungen laufen ausschließlich über den Zahlungsdienstleister) |
| Angaben zu Tieren | Name, Rasse, Fütterungs- und Medikamenten-Notizen der Tiere (keine Gesundheitsdaten von Menschen) |
| Fotos | Bilder aus Fotoberichten |
§ 5 Pflichten des Auftragsverarbeiters
Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen; die Nutzung der Software gemäß ihrer Funktionen gilt als solche Weisung. Ist der Auftragsverarbeiter der Ansicht, dass eine Weisung gegen Datenschutzrecht verstößt, informiert er den Verantwortlichen unverzüglich.
Der Auftragsverarbeiter stellt sicher, dass sich alle zur Verarbeitung befugten Personen zur Vertraulichkeit verpflichtet haben (Art. 28 Abs. 3 lit. b DSGVO).
Der Auftragsverarbeiter trifft technische und organisatorische Maßnahmen nach Art. 32 DSGVO, insbesondere: Transportverschlüsselung (TLS) für sämtliche Verbindungen, Zugriffskontrolle mit personenbezogenen Zugängen, strikte Mandantentrennung auf Datenbankebene, regelmäßige Backups innerhalb der EU sowie Protokollierung sicherheitsrelevanter Vorgänge.
Der Auftragsverarbeiter unterstützt den Verantwortlichen mit geeigneten Mitteln bei der Erfüllung von Betroffenenrechten (Auskunft, Berichtigung, Löschung, Datenübertragbarkeit); die Export- und Löschfunktionen der Software stehen dafür jederzeit zur Verfügung.
Der Auftragsverarbeiter meldet dem Verantwortlichen Verletzungen des Schutzes personenbezogener Daten unverzüglich, nachdem sie ihm bekannt werden, und unterstützt ihn bei seinen Pflichten aus Art. 33 und 34 DSGVO.
§ 6 Unterauftragsverarbeiter
Der Verantwortliche stimmt der Beauftragung der folgenden Unterauftragsverarbeiter zu:
| Unternehmen | Sitz / Ort der Verarbeitung | Leistung |
|---|---|---|
| Hetzner Online GmbH | Gunzenhausen, Deutschland – Rechenzentrum: Helsinki, Finnland (EU) | Hosting und Betrieb der Server, Datenbank, Backups |
| Dodo Payments Inc. (Delaware, USA) | 8 The Green, STE A, Dover, Delaware 19901, USA | Zahlungsabwicklung als Merchant of Record (Abonnement-Zahlungen; Kartendaten liegen ausschließlich dort) |
Soweit ein Unterauftragsverarbeiter personenbezogene Daten außerhalb der Europäischen Union verarbeitet (Dodo Payments Inc., USA), erfolgt die Übermittlung auf Grundlage der EU-Standardvertragsklauseln nach Art. 46 Abs. 2 DSGVO, die Bestandteil des mit ihm geschlossenen Auftragsverarbeitungsvertrags sind. Die Kernbestände (Termine, Kundenkartei, Rechnungen, Fotos) verarbeitet der Auftragsverarbeiter ausschließlich in der EU (Hetzner, Helsinki); an Dodo Payments gelangen nur die für die Zahlungsabwicklung erforderlichen Daten (Name, E-Mail-Adresse, Rechnungsbetrag).
Über beabsichtigte Änderungen (Hinzuziehen oder Ersetzen von Unterauftragsverarbeitern) informiert der Auftragsverarbeiter den Verantwortlichen vorab in Textform. Der Verantwortliche kann der Änderung aus wichtigem datenschutzrechtlichem Grund widersprechen; im Fall des Widerspruchs steht beiden Parteien ein außerordentliches Kündigungsrecht des Nutzungsvertrags zu.
§ 7 Kontrollrechte des Verantwortlichen
Der Verantwortliche hat das Recht, sich von der Einhaltung dieses Vertrags zu überzeugen. Der Auftragsverarbeiter stellt dafür auf Anfrage alle erforderlichen Informationen zur Verfügung, in der Regel durch Auskünfte, Dokumentationen und vorhandene Nachweise oder Berichte.
§ 8 Löschung und Rückgabe
Der Verantwortliche kann seine Daten jederzeit selbst über die Exportfunktion der Software als maschinenlesbare Datei (JSON) herunterladen.
Nach Beendigung des Nutzungsvertrags löscht der Auftragsverarbeiter sämtliche personenbezogenen Daten des Verantwortlichen – entweder unmittelbar durch den Verantwortlichen selbst über die Löschfunktion der Software oder auf Anfrage.
Ausgenommen sind Daten, die gesetzlichen Aufbewahrungspflichten unterliegen: abgeschlossene und stornierte Rechnungen bleiben nach § 147 AO bis zu zehn Jahre gespeichert – ohne Verknüpfung zum gelöschten Konto, beschränkt auf die Rechnungsdaten selbst – und werden nach Ablauf der Frist gelöscht.
§ 9 Schlussbestimmungen
Änderungen und Ergänzungen dieses Vertrags bedürfen der Textform. Sollten einzelne Bestimmungen unwirksam sein, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt; anstelle der unwirksamen Bestimmung gilt die gesetzliche Regelung.
Dieser Vertrag gilt mit Beginn der Nutzung von Pfotenbüro als geschlossen; einer gesonderten Unterschrift bedarf es nach Art. 28 Abs. 9 DSGVO nicht (elektronisches Format genügt).