Auftragsverarbeitungsvertrag (AVV)

Vertragsparteien

Gemeinsam nachfolgend „die Parteien".

§ 1 Gegenstand und Dauer

(1) Dieser Vertrag konkretisiert die datenschutzrechtlichen Pflichten der Parteien aus dem Werkvertrag (Hauptvertrag) in Bezug auf die Auftragsverarbeitung personenbezogener Daten. Das Datum des Hauptvertrages wird bei Vertragsabschluss schriftlich festgehalten.

(2) Der Auftragsverarbeiter verarbeitet personenbezogene Daten im Auftrag des Verantwortlichen ausschließlich im Rahmen der im Hauptvertrag vereinbarten Leistungen.

(3) Dieser Vertrag gilt für die Dauer des Hauptvertrages. Er endet automatisch mit Beendigung des Hauptvertrages, soweit sich aus § 7 (Löschung und Rückgabe) nichts anderes ergibt.

§ 2 Art und Zweck der Verarbeitung, Datenkategorien, betroffene Personen

(1) Art der Verarbeitung:
Erhebung, Übermittlung (Weiterleitung per E-Mail), keine dauerhafte Speicherung.

(2) Zweck der Verarbeitung:
Betrieb des Kontaktformulars auf der für den Verantwortlichen erstellten Website. Eingehende Formulardaten werden über eine vom Auftragsverarbeiter betriebene Forms-API (Hetzner VPS, Standort Deutschland) in Echtzeit per E-Mail an den Verantwortlichen weitergeleitet. Es findet keine persistente Speicherung durch den Auftragsverarbeiter statt.

Sofern im Hauptvertrag die Directus CMS-Option gebucht wurde, umfasst der Zweck zusätzlich den Betrieb des CMS-Systems zur Inhaltsverwaltung durch den Verantwortlichen (ebenfalls auf dem Hetzner VPS).

(3) Kategorien personenbezogener Daten:

• Vor- und Nachname
• E-Mail-Adresse
• Freitextinhalt der Kontaktanfrage (kann weitere personenbezogene Angaben enthalten)
• Bei CMS-Nutzung: Login-Daten (E-Mail, gehashtes Passwort) des CMS-Nutzers

(4) Kategorien betroffener Personen:

• Website-Besucher des Verantwortlichen, die das Kontaktformular ausfüllen
• Bei CMS-Nutzung: Mitarbeiter/Beauftragte des Verantwortlichen mit CMS-Zugang

§ 3 Weisungsgebundenheit

(1) Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen — auch in Bezug auf die Übermittlung personenbezogener Daten in Drittländer — es sei denn, er ist durch Unionsrecht oder das Recht der Mitgliedstaaten, dem er unterliegt, zur Verarbeitung verpflichtet. In einem solchen Fall teilt er dem Verantwortlichen diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht eine solche Mitteilung nicht aus wichtigen Gründen des öffentlichen Interesses verbietet.

(2) Der Verantwortliche erteilt Weisungen grundsätzlich in Textform (E-Mail genügt). Mündliche Weisungen werden unverzüglich schriftlich bestätigt.

(3) Der Auftragsverarbeiter informiert den Verantwortlichen unverzüglich, wenn er der Ansicht ist, dass eine Weisung gegen die DSGVO oder andere datenschutzrechtliche Bestimmungen verstößt.

§ 4 Pflichten des Auftragsverarbeiters

§ 5 Unterauftragsverarbeiter

(1) Der Verantwortliche erteilt hiermit seine allgemeine Genehmigung zum Einsatz der nachfolgend aufgeführten Unterauftragsverarbeiter. Der Auftragsverarbeiter schließt mit diesen Unterauftragsverhältnisse ab, die dem Verantwortlichen gegenüber gleichwertige Datenschutzverpflichtungen auferlegen wie dieser Vertrag.

(2) Der Auftragsverarbeiter informiert den Verantwortlichen über beabsichtigte Änderungen hinsichtlich der Hinzuziehung oder Ersetzung weiterer Unterauftragsverarbeiter, wodurch dem Verantwortlichen die Möglichkeit eingeräumt wird, gegen diese Änderungen Einspruch zu erheben. Der Einspruch ist schriftlich und mit Begründung binnen 14 Tagen nach Mitteilung zu erheben.

§ 6 Unterstützung des Verantwortlichen

(1) Betroffenenrechte: Der Auftragsverarbeiter unterstützt den Verantwortlichen bei der Erfüllung von Anfragen betroffener Personen (Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit, Widerspruch) in dem Maß, in dem ihm dies unter Berücksichtigung der Art der Verarbeitung möglich ist.

(2) Da keine persistente Speicherung von Formulardaten erfolgt, können Auskunfts- oder Löschanfragen i. d. R. nur den Transit betreffen. Der Auftragsverarbeiter stellt auf Anfrage verfügbare Protokollinformationen zur Verfügung.

(3) Datenschutz-Folgenabschätzung: Sofern vom Verantwortlichen angefordert, unterstützt der Auftragsverarbeiter bei der Durchführung einer DSFA gemäß Art. 35 DSGVO durch Bereitstellung der erforderlichen Informationen (TOMs, Verarbeitungsdetails, Unterauftragsverarbeiter).

§ 7 Löschung und Rückgabe

(1) Nach Abschluss der Erbringung der Verarbeitungsleistungen löscht oder gibt der Auftragsverarbeiter — nach Wahl des Verantwortlichen — alle personenbezogenen Daten zurück und löscht vorhandene Kopien, sofern nicht nach Unionsrecht oder dem Recht der Mitgliedstaaten eine Verpflichtung zur Speicherung der personenbezogenen Daten besteht.

(2) Bei CMS-Option (Directus): Der Auftragsverarbeiter stellt innerhalb von 14 Tagen nach Vertragsende einen vollständigen Datenbank-Export (SQL-Dump) und alle Mediendateien bereit, danach werden die Daten vom Server gelöscht.

(3) Bei Standard-Website: Da keine Formulardaten gespeichert werden, entfällt eine gesonderte Löschaktion für Formulardaten.

§ 8 Nachweise und Audits

(1) Der Auftragsverarbeiter stellt dem Verantwortlichen alle erforderlichen Informationen zur Verfügung, um die Einhaltung der in Art. 28 DSGVO niedergelegten Pflichten nachzuweisen.

(2) Der Auftragsverarbeiter ermöglicht Überprüfungen — einschließlich Inspektionen — durch den Verantwortlichen oder einen vom Verantwortlichen beauftragten Prüfer. Inspektionen vor Ort sind mit angemessenem Vorlauf (min. 4 Wochen) schriftlich anzukündigen und auf das erforderliche Minimum zu beschränken.

(3) Alternativ zur Inspektion kann der Auftragsverarbeiter geeignete Nachweise (aktueller TOMs-Stand, Bestätigungen abgeschlossener AVVs mit Unterauftragsverarbeitern) vorlegen.

§ 9 Schlussbestimmungen

(1) Dieser Vertrag unterliegt deutschem Recht.

(2) Im Falle von Widersprüchen zwischen diesem Vertrag und dem Hauptvertrag in Datenschutzfragen hat dieser Vertrag Vorrang.

(3) Änderungen und Ergänzungen dieses Vertrages bedürfen der Schriftform. E-Mail gilt als Schriftform.

(4) Sollten einzelne Bestimmungen dieses Vertrages unwirksam sein oder werden, bleibt die Wirksamkeit des Vertrages im Übrigen unberührt (Salvatorische Klausel).

Anlage 1 — Technische und Organisatorische Maßnahmen (TOMs)

Die aktuell geltenden TOMs des Auftragsverarbeiters (Stand: April 2026, Version 1.1) sind unter manuelgiesel.de/rechtliches/toms/ veröffentlicht und Bestandteil dieses Vertrages.