Auftragsverarbeitungsvertrag (AVV)

Fassung 2026-10 · nach Art. 28 Abs. 3 DSGVO

Entwurfsfassung. Dieser Vertrag wird vor seiner Verwendung anwaltlich geprüft.

zwischen dem Kunden („Verantwortlicher“) und Heliotos, Inhaber Constantin Sobotta, c/o Postflex #9464, Emsdettener Str. 10, 48268 Greven („Auftragsverarbeiter“). Dieser Vertrag ist Bestandteil des Vertrags über die Nutzung des Heliotos-Solarkonfigurators („Hauptvertrag“, siehe AGB) und wird mit dessen Abschluss wirksam.

§ 1 Gegenstand und Dauer

(1) Der Auftragsverarbeiter verarbeitet personenbezogene Daten im Auftrag des Verantwortlichen, soweit dieser den Konfigurator gegenüber seinen Website-Besuchern und Interessenten („Endkunden“) einsetzt. Art, Zweck, Datenarten und Betroffene ergeben sich aus Anlage 1.

(2) Die Laufzeit entspricht der des Hauptvertrags; § 8 gilt über das Vertragsende hinaus.

§ 2 Weisungen

(1) Der Auftragsverarbeiter verarbeitet die Daten nur auf dokumentierte Weisung des Verantwortlichen. Die Weisungen ergeben sich aus dem Hauptvertrag, diesem Vertrag und den Einstellungen des Verantwortlichen im Kundenbereich. Weitere Weisungen erteilt der Verantwortliche in Textform.

(2) Ist der Auftragsverarbeiter der Ansicht, dass eine Weisung gegen Datenschutzrecht verstößt, informiert er den Verantwortlichen unverzüglich.

(3) Der Auftragsverarbeiter verwendet die Daten nicht für eigene Zwecke, insbesondere nicht für Werbung, Profilbildung oder die Übermittlung an Werbeplattformen.

§ 3 Pflichten des Auftragsverarbeiters

• Er verpflichtet alle Personen, die Zugang zu den Daten haben, auf Vertraulichkeit.
• Er trifft die technischen und organisatorischen Maßnahmen nach Anlage 2 (Art. 32 DSGVO) und darf sie an den technischen Fortschritt anpassen, ohne das Schutzniveau zu unterschreiten.
• Er unterstützt den Verantwortlichen bei Anfragen betroffener Personen (Art. 12–22 DSGVO), insbesondere durch Export und Löschung von Anfragen im Kundenbereich, sowie bei den Pflichten nach Art. 32–36 DSGVO.
• Er meldet Verletzungen des Schutzes personenbezogener Daten unverzüglich, möglichst innerhalb von 48 Stunden nach Kenntnis, mit den Angaben nach Art. 33 Abs. 3 DSGVO, soweit verfügbar.
• Er leitet Anfragen betroffener Personen, die an ihn gerichtet werden, unverzüglich an den Verantwortlichen weiter.

§ 4 Pflichten des Verantwortlichen

Der Verantwortliche ist für die Rechtmäßigkeit der Verarbeitung verantwortlich, insbesondere für die Information der Endkunden (Datenschutzerklärung, im Kundenbereich verlinkt), die Einholung erforderlicher Einwilligungen auf seiner Website und die Wahl einer gültigen Empfängeradresse für Anfragen.

§ 5 Unterauftragsverarbeiter

(1) Der Verantwortliche genehmigt die in Anlage 3 genannten Unterauftragsverarbeiter. Der Auftragsverarbeiter schließt mit ihnen Verträge, die den Anforderungen dieses Vertrags entsprechen.

(2) Über die Hinzuziehung oder den Austausch eines Unterauftragsverarbeiters informiert der Auftragsverarbeiter mindestens 4 Wochen vorher in Textform. Der Verantwortliche kann aus wichtigem datenschutzrechtlichem Grund widersprechen; kann keine Lösung gefunden werden, darf er den Hauptvertrag zum Zeitpunkt der Änderung kündigen.

§ 6 Übermittlung in Drittländer

Eine Verarbeitung außerhalb der EU/des EWR erfolgt nur, wenn die Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind, insbesondere auf Grundlage eines Angemessenheitsbeschlusses (z. B. EU-US Data Privacy Framework) oder von Standardvertragsklauseln.

§ 7 Nachweise und Kontrollen

Der Auftragsverarbeiter stellt dem Verantwortlichen auf Anfrage die zum Nachweis der Einhaltung dieses Vertrags erforderlichen Informationen zur Verfügung. Kontrollen vor Ort sind nach rechtzeitiger Ankündigung während der Geschäftszeiten möglich, ohne den Betrieb unangemessen zu stören. Nachweise von Unterauftragsverarbeitern (z. B. Zertifizierungen, Prüfberichte) können herangezogen werden.

§ 8 Löschung und Rückgabe

Nach Ende des Hauptvertrags stehen die Anfragen 30 Tage im Kundenbereich zum Export bereit. Danach löscht der Auftragsverarbeiter die im Auftrag verarbeiteten Daten, soweit keine gesetzliche Aufbewahrungspflicht besteht. Datensicherungen werden im Rahmen ihrer regulären Rotation gelöscht.

§ 9 Haftung und Schlussbestimmungen

(1) Für die Haftung gilt Art. 82 DSGVO; im Übrigen gelten die Haftungsregeln des Hauptvertrags.

(2) Bei Widersprüchen geht dieser Vertrag dem Hauptvertrag in Fragen des Datenschutzes vor. Änderungen bedürfen der Textform.

Anlage 1 – Gegenstand der Verarbeitung

Anlage 2 – Technische und organisatorische Maßnahmen

• Vertraulichkeit: Hosting in Rechenzentren zertifizierter Anbieter (Anlage 3); Zugang zum Kundenbereich nur nach Anmeldung (Auth0), Sitzungs-Cookies mit Secure- und HttpOnly-Attribut; Datenzugriff je Kunde getrennt; administrativer Zugriff nur durch den Inhaber über einen geschützten Schlüssel [ZU AKTUALISIEREN, sobald personenbezogene Admin-Zugänge mit Zwei-Faktor-Anmeldung eingeführt sind].
• Integrität: Übertragung ausschließlich verschlüsselt (TLS); Prüfung und Bereinigung von Eingaben; Protokollierung wesentlicher Vertrags- und Zahlungsereignisse.
• Verfügbarkeit und Belastbarkeit: Datenbank-Sicherungen beim Hosting-Anbieter [ZU PRÜFEN: Sicherungsintervall und Aufbewahrung]; Begrenzung der Anfragen je Absender gegen Missbrauch; Wiederherstellungsverfahren dokumentiert.
• Datenminimierung: Anonymisierung von IP-Adresse und Browserkennung nach 30 Tagen; keine Weitergabe an Werbeplattformen; keine Verwendung für eigene Zwecke.
• Verfahren zur Überprüfung: automatisierte Tests vor jeder Veröffentlichung; regelmäßige Prüfung der Maßnahmen und Unterauftragsverarbeiter.

Anlage 3 – Unterauftragsverarbeiter