Auftragsverarbeitungsvertrag (AVV)

Hinweis für die Leseseite: Dies ist die Mustervorlage zum Nachlesen. Die kundenbezogenen Felder (Firma, Anschrift, Vertreter, E-Mail) und die Unterschriften bleiben leer bzw. als Platzhalter — sie werden erst im individuellen, unterschriebenen Exemplar ausgefüllt.

Anwendungsbereich. Diese Vereinbarung gilt nur, soweit INREMA personenbezogene Daten im Auftrag und nach Weisung des Kunden verarbeitet. Sie macht einen reinen Gestaltungs- oder Beratungsauftrag ohne Zugriff auf personenbezogene Daten nicht künstlich zur Auftragsverarbeitung. Welche Leistungsmodule tatsächlich gelten, ergibt sich automatisch aus dem jeweiligen Hauptvertrag; zusätzliche Auswahlfelder sind nicht erforderlich.

Parteien

Auftragsverarbeiter INREMA Unternehmensberatung GmbH Rentmeister-Wilthelm-Weg 16 33181 Bad Wünnenberg Geschäftsführerin: Tanja Rüdiger Amtsgericht Paderborn, HRB 14352 USt-IdNr.: DE328873726 Datenschutzkontakt: [email protected]

Verantwortlicher Firma: [Firma des Auftraggebers] Anschrift: [Anschrift] Vertreten durch: [vertretungsberechtigte Person] E-Mail Datenschutzkontakt: [E-Mail]

– gemeinsam die „Parteien" –

1. Gegenstand, Einordnung und Rangfolge

(1) Diese Vereinbarung konkretisiert die datenschutzrechtlichen Rechte und Pflichten der Parteien für alle Hauptverträge über Website-Erstellung, Veröffentlichung, Hosting, Wartung, Support, Suchmaschinenoptimierung, Domain-/DNS-Verwaltung oder verwaltete E-Mail-Dienste, soweit dabei eine Auftragsverarbeitung vorliegt.

(2) Der Kunde ist Verantwortlicher im Sinne von Art. 4 Nr. 7 DSGVO. INREMA ist für die von dieser Vereinbarung erfassten Vorgänge Auftragsverarbeiter im Sinne von Art. 4 Nr. 8 DSGVO. Der Kunde bestimmt Zwecke und wesentliche Mittel der Verarbeitung; INREMA verarbeitet die Daten ausschließlich im dokumentierten Auftrag.

(3) Verarbeitungen, bei denen INREMA eigene Zwecke und gesetzliche Pflichten verfolgt, fallen nicht unter diese Vereinbarung. Dies betrifft insbesondere Kundenstamm-, Kommunikations-, Vertrags-, Forderungs- und Rechnungsdaten für Angebot, Vertragsverwaltung, Buchhaltung, Steuer- und Nachweispflichten sowie Rechtsverteidigung. Hierfür ist INREMA selbst Verantwortlicher.

(4) Bei Widersprüchen haben diese Vereinbarung und ihre Anlagen für datenschutzrechtliche Fragen Vorrang vor dem Hauptvertrag. Im Übrigen bleibt der Hauptvertrag, einschließlich Vergütung, Laufzeit und Leistungsumfang, unberührt.

2. Gegenstand und Dauer der Verarbeitung

(1) Gegenstand, Art, Zweck, Datenarten, betroffene Personen und die jeweils anwendbaren Leistungsmodule sind in Anlage 1 beschrieben. Anlage 1 gilt nur im Umfang der tatsächlich beauftragten und erbrachten Leistungen.

(2) Die Verarbeitung beginnt frühestens mit dem tatsächlichen Zugriff von INREMA auf personenbezogene Daten und dauert für die Laufzeit des jeweiligen Hauptvertrags beziehungsweise bis zur vollständigen Rückgabe oder Löschung. Gesetzliche Aufbewahrungspflichten und technisch erforderliche Löschläufe bleiben vorbehalten.

(3) Eine Änderung des fachlichen Leistungsumfangs erweitert diese Vereinbarung nur, wenn die neue Verarbeitung noch von Anlage 1 gedeckt ist. Neue Zwecke, besondere Datenrisiken oder wesentlich andere Verarbeitungsvorgänge werden vor Beginn in Textform ergänzt.

3. Weisungen des Verantwortlichen

(1) Die anfänglichen Weisungen ergeben sich aus Hauptvertrag, Leistungsbeschreibung, dieser Vereinbarung und den vom Kunden vorgenommenen Einstellungen. Weitere Weisungen können durch die vom Kunden benannten berechtigten Personen in Textform, insbesondere per E-Mail oder Ticketsystem, erteilt werden.

(2) Mündliche Weisungen sind vom Kunden unverzüglich in Textform zu bestätigen. INREMA dokumentiert wesentliche Weisungen und bewahrt sie für die Dauer der Verarbeitung auf.

(3) INREMA verarbeitet personenbezogene Daten nur auf dokumentierte Weisung, einschließlich Übermittlungen in Drittländer, es sei denn, eine unions- oder mitgliedstaatliche Rechtsvorschrift verpflichtet INREMA zur Verarbeitung. Soweit rechtlich zulässig, informiert INREMA den Kunden vorab über eine solche Verpflichtung.

(4) Hält INREMA eine Weisung für datenschutzwidrig, informiert INREMA den Kunden unverzüglich und darf die betroffene Umsetzung bis zur Bestätigung oder Änderung aussetzen. Bleibt eine rechtswidrige Weisung bestehen, darf INREMA die betroffene Verarbeitung einstellen; weitergehende Rechte aus dem Hauptvertrag bleiben unberührt.

(5) Weisungen, die den vereinbarten Leistungsumfang überschreiten, werden nach vorheriger Information über Aufwand und Kosten gesondert vergütet, sofern die Unterstützung nicht wegen eines von INREMA verursachten Verstoßes erforderlich ist.

4. Pflichten von INREMA

(1) INREMA gewährleistet, dass nur befugte Personen personenbezogene Daten verarbeiten. Diese Personen sind vor Tätigkeitsbeginn auf Vertraulichkeit verpflichtet oder unterliegen einer angemessenen gesetzlichen Verschwiegenheitspflicht. Die Verpflichtung gilt nach Ende ihrer Tätigkeit fort.

(2) INREMA trifft die in Anlage 2 beschriebenen technischen und organisatorischen Maßnahmen gemäß Art. 32 DSGVO unter Berücksichtigung von Stand der Technik, Implementierungskosten, Art, Umfang, Umständen und Zwecken der Verarbeitung sowie Eintrittswahrscheinlichkeit und Schwere der Risiken.

(3) INREMA führt, soweit gesetzlich erforderlich, ein Verzeichnis der Kategorien von Verarbeitungstätigkeiten nach Art. 30 Abs. 2 DSGVO, arbeitet mit der zuständigen Aufsichtsbehörde zusammen und stellt dem Kunden die zur Erfüllung von Art. 28 DSGVO erforderlichen Informationen zur Verfügung.

(4) INREMA setzt Datenschutz durch Technikgestaltung und datenschutzfreundliche Voreinstellungen in dem Umfang um, in dem dies zur vertraglichen Leistung gehört und INREMA über die technischen Einstellungen entscheiden kann. Entscheidungen des Kunden über Inhalte, Formulare, Tracking, Einwilligungsmechanismen, Aufbewahrungsfristen und Zugriffsrollen bleiben in dessen Verantwortung.

(5) Eine Verarbeitung für eigene Werbezwecke, ein Verkauf der Auftragsdaten oder eine Nutzung zur Entwicklung eigener Kundenprofile erfolgt nicht. Gesetzlich zulässige, vollständig anonymisierte statistische Auswertungen bleiben möglich, sofern kein Personenbezug wiederhergestellt werden kann.

5. Unterstützung des Verantwortlichen

(1) INREMA leitet Anfragen betroffener Personen, die erkennbar Daten des Kunden betreffen, unverzüglich an den Kunden weiter und beantwortet sie nicht selbst, sofern keine dokumentierte Ermächtigung oder gesetzliche Pflicht besteht.

(2) Unter Berücksichtigung der Art der Verarbeitung unterstützt INREMA den Kunden nach Möglichkeit durch geeignete technische und organisatorische Maßnahmen bei Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit und Widerspruch.

(3) INREMA unterstützt den Kunden unter Berücksichtigung der verfügbaren Informationen bei der Einhaltung der Art. 32 bis 36 DSGVO, insbesondere bei Sicherheitsbewertungen, Meldungen von Datenschutzverletzungen, Benachrichtigungen betroffener Personen, Datenschutz-Folgenabschätzungen und vorherigen Konsultationen.

(4) Zusätzlicher Unterstützungsaufwand wird nach den vereinbarten oder üblichen Stundensätzen vergütet, sofern er nicht durch einen von INREMA zu vertretenden Vertrags- oder Datenschutzverstoß ausgelöst wurde. Gesetzliche Mindestpflichten von INREMA bleiben unberührt.

6. Datenschutzverletzungen und Sicherheitsereignisse

(1) INREMA informiert den Kunden unverzüglich, möglichst innerhalb von 24 Stunden nach Bekanntwerden, über eine Verletzung des Schutzes personenbezogener Daten, soweit Auftragsdaten betroffen sind. Eine erste Meldung darf vorläufig sein und wird ergänzt, sobald weitere Informationen vorliegen.

(2) Die Meldung enthält, soweit verfügbar: Art des Vorfalls; betroffene Systeme, Datenarten und Personengruppen; ungefähre Anzahl betroffener Personen und Datensätze; wahrscheinliche Folgen; bereits getroffene oder vorgeschlagene Maßnahmen; Kontakt für Rückfragen.

(3) INREMA trifft unverzüglich angemessene Maßnahmen zur Eindämmung, Beweissicherung, Ursachenanalyse und Risikominderung. Meldungen an Aufsichtsbehörden oder betroffene Personen gibt grundsätzlich der Kunde ab, sofern keine eigene gesetzliche Pflicht von INREMA besteht.

(4) Der Kunde informiert INREMA unverzüglich über Sicherheitsvorfälle oder Schwachstellen in seinem Verantwortungsbereich, die die Auftragsverarbeitung berühren können, und unterlässt öffentliche Aussagen, die eine laufende technische Abwehr oder Untersuchung gefährden.

7. Weitere Auftragsverarbeiter

(1) Der Kunde erteilt INREMA die allgemeine schriftliche Genehmigung, die in Anlage 3 aufgeführten weiteren Auftragsverarbeiter für die dort bezeichneten, tatsächlich genutzten Leistungen einzusetzen. Eine Aufnahme in Anlage 3 bedeutet nicht, dass der Dienst in jedem Projekt verwendet wird.

(2) INREMA informiert den Kunden in Textform mindestens 14 Kalendertage vor einer beabsichtigten Hinzuziehung oder Ersetzung eines weiteren Auftragsverarbeiters. Der Kunde kann innerhalb dieser Frist aus einem konkreten, nachvollziehbaren datenschutzrechtlichen Grund widersprechen.

(3) Die Parteien bemühen sich bei einem berechtigten Widerspruch um eine datenschutzkonforme und wirtschaftlich vertretbare Alternative. Ist die Leistung ohne den betreffenden Anbieter nicht zumutbar erbringbar, darf jede Partei den allein betroffenen Leistungsteil aus wichtigem Grund beenden. Bereits erbrachte Leistungen und davon unabhängige Vertragsmodule bleiben unberührt.

(4) INREMA verpflichtet weitere Auftragsverarbeiter vertraglich mindestens zu den Datenschutzpflichten, die für deren Tätigkeit aus dieser Vereinbarung folgen. INREMA bleibt dem Kunden gegenüber für die Erfüllung der Pflichten des weiteren Auftragsverarbeiters nach Maßgabe von Art. 28 Abs. 4 DSGVO verantwortlich.

(5) Auf Anforderung stellt INREMA die Identität und den vorgesehenen Standort der relevanten weiteren Auftragsverarbeiter und – soweit aufgrund veröffentlichter Anbieterlisten verfügbar – der nachgelagerten Verarbeitungskette bereit. Geschäftsgeheimnisse und Sicherheitsinteressen sind angemessen zu schützen.

8. Drittlandübermittlungen

(1) Verarbeitungen erfolgen grundsätzlich im Europäischen Wirtschaftsraum, soweit Anlage 3 oder die konkrete Leistungsbeschreibung nichts anderes ausweist. Internationale Netzdienste und KI-Dienste können eine Verarbeitung in Drittländern oder einen Zugriff aus Drittländern erfordern.

(2) Eine Übermittlung in ein Drittland erfolgt nur auf dokumentierte Weisung und bei Vorliegen der Voraussetzungen der Art. 44 ff. DSGVO, insbesondere auf Grundlage eines Angemessenheitsbeschlusses, einer wirksamen Zertifizierung nach einem anerkannten Datenschutzrahmen oder der EU-Standardvertragsklauseln einschließlich erforderlicher zusätzlicher Maßnahmen.

(3) Soweit INREMA selbst als Auftragsverarbeiter Daten an einen Anbieter außerhalb des EWR übermittelt, wird – sofern erforderlich – Modul 3 der Standardvertragsklauseln 2021/914 (Auftragsverarbeiter an Unterauftragsverarbeiter) verwendet. Eine vom Anbieter wirksam einbezogene gleichwertige Übermittlungsregelung genügt.

9. Kontrollen und Nachweise

(1) INREMA stellt dem Kunden auf Anfrage die erforderlichen Informationen zum Nachweis der Einhaltung dieser Vereinbarung bereit. Geeignete Zertifikate, Prüfberichte, Anbieter-Nachweise, TOM-Dokumentationen und schriftliche Auskünfte haben Vorrang vor Vor-Ort-Prüfungen.

(2) Der Kunde darf höchstens einmal pro Kalenderjahr und zusätzlich bei einem begründeten Verdacht auf einen erheblichen Verstoß prüfen oder durch einen unabhängigen, fachkundigen und zur Verschwiegenheit verpflichteten Prüfer prüfen lassen. Gesetzliche Rechte von Aufsichtsbehörden bleiben unberührt.

(3) Prüfungen sind mindestens 14 Kalendertage vorher anzukündigen, während üblicher Geschäftszeiten durchzuführen und so zu gestalten, dass Betrieb, Sicherheit, Rechte anderer Kunden und Geschäftsgeheimnisse nicht unverhältnismäßig beeinträchtigt werden. Unmittelbare Wettbewerber von INREMA können als Prüfer abgelehnt werden.

(4) Der Kunde trägt angemessene Kosten einer von ihm verlangten Sonderprüfung, sofern diese keinen von INREMA zu vertretenden erheblichen Verstoß ergibt. INREMA informiert vorab über voraussichtliche Kosten.

10. Rückgabe, Löschung und Vertragsende

(1) Nach Ende der Verarbeitungsleistungen gibt INREMA auf rechtzeitige Weisung die Auftragsdaten in einem technisch üblichen, vorhandenen Format zurück oder löscht sie. Erfolgt bis zum Vertragsende keine abweichende Weisung, gilt die Löschung als gewählt.

(2) Produktive Daten und verbleibende Arbeitskopien werden grundsätzlich innerhalb von 30 Tagen nach Vertragsende gelöscht oder anonymisiert. Sicherungskopien werden im Rahmen der regulären, technisch festgelegten Sicherungszyklen überschrieben, grundsätzlich spätestens innerhalb von 90 Tagen, und bis dahin gesperrt und nicht produktiv verwendet.

(3) Eine Löschung unterbleibt, soweit Unionsrecht oder deutsches Recht eine Aufbewahrung verlangt. Die betroffenen Daten werden gesperrt, ausschließlich für den gesetzlichen Zweck verarbeitet und nach Ablauf der Frist gelöscht.

(4) Der Kunde ist verpflichtet, vor Vertragsende die benötigten Daten zu exportieren und seine Zugänge, Konten und Ansprechpartner zu sichern. Eine über die Standardherausgabe hinausgehende Migration oder individuelle Datenaufbereitung ist eine gesondert zu vergütende Leistung.

11. Pflichten des Verantwortlichen

(1) Der Kunde ist für Rechtmäßigkeit, Transparenz, Zweckbindung, Datenminimierung, Richtigkeit und Speicherdauer der verarbeiteten Daten sowie für die Wahrung der Betroffenenrechte verantwortlich. Er gewährleistet, dass erforderliche Rechtsgrundlagen, Einwilligungen und Datenschutzhinweise vorliegen.

(2) Der Kunde übermittelt nur Daten, die für die beauftragte Leistung erforderlich sind, hält Inhalte und Nutzerberechtigungen aktuell und schützt seine Zugangsdaten. Er informiert INREMA unverzüglich über Fehler, unzulässige Daten, besondere Risiken und Änderungen seiner Weisungen.

(3) Besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO, Daten über strafrechtliche Verurteilungen nach Art. 10 DSGVO, Berufsgeheimnisse, Ausweiskopien, Zahlungsdaten, Passwörter oder vergleichbar schutzbedürftige Informationen dürfen nur nach vorheriger ausdrücklicher dokumentierter Abstimmung und Festlegung zusätzlicher Schutzmaßnahmen verarbeitet werden.

(4) Der Kunde entscheidet über den rechtmäßigen Einsatz von Cookies, Tracking, Analyse, Werbung, Einwilligungsplattformen, externen Medien, Formularen, Newslettern und sonstigen Website-Diensten. Technische Umsetzung durch INREMA ersetzt keine Rechtsprüfung des Kunden.

12. Haftung und Schlussbestimmungen

(1) Die gesetzliche Haftung nach Art. 82 DSGVO bleibt unberührt. Im Innenverhältnis gelten ergänzend die Haftungsregelungen des Hauptvertrags, soweit rechtlich zulässig. Die Parteien unterstützen sich bei der Aufklärung und Abwehr von Ansprüchen und stellen einander die dafür erforderlichen Informationen bereit.

(2) Änderungen und Ergänzungen dieser Vereinbarung bedürfen mindestens der Textform, soweit nicht gesetzlich eine strengere Form vorgeschrieben ist. Der Abschluss kann elektronisch erfolgen; eine qualifizierte elektronische Signatur ist nicht erforderlich.

(3) Sollte eine Bestimmung unwirksam sein oder werden, bleiben die übrigen Bestimmungen wirksam. An die Stelle der unwirksamen Regelung tritt die gesetzliche Regelung; die Parteien werden eine zulässige Klarstellung vereinbaren, die dem datenschutzrechtlichen Zweck möglichst nahekommt.

(4) Es gilt deutsches Recht. Gerichtsstand und sonstige Schlussbestimmungen richten sich nach dem Hauptvertrag, soweit gesetzlich zulässig.

Unterschriften (Muster)

---

Anlage 1 – Beschreibung der Verarbeitung

Automatische Zuordnung. Diese Anlage muss nicht für jeden Auftrag neu ausgefüllt werden. Es gelten ausschließlich die Zeilen, deren Leistung im Individualvertrag tatsächlich beauftragt ist und bei deren Ausführung INREMA personenbezogene Daten im Auftrag verarbeitet.

1.1 Kategorien betroffener Personen

Je nach beauftragtem Modul können betroffen sein: Besucher und Nutzer der Website; Interessenten und Kunden des Verantwortlichen; Beschäftigte, Ansprechpartner, Lieferanten und Geschäftspartner; Bewerber; Newsletter- oder Veranstaltungsinteressenten; Nutzer mit Kunden-, Mitglieder- oder Redaktionskonto; Absender und Empfänger verwalteter E-Mails.

1.2 Arten personenbezogener Daten

Besonders schutzbedürftige Daten. Eine planmäßige Verarbeitung besonderer Kategorien nach Art. 9 DSGVO oder von Daten nach Art. 10 DSGVO ist nicht Vertragsgegenstand. Sie wird erst nach ausdrücklicher dokumentierter Weisung, Risikoprüfung und Vereinbarung zusätzlicher Maßnahmen zulässig.

1.3 Häufigkeit, Umfang und Dauer

(1) Die Verarbeitung erfolgt einmalig oder fortlaufend entsprechend dem gebuchten Modul und der tatsächlichen Nutzung. Website-Aufrufe und Protokolle können fortlaufend anfallen; Entwicklungs-, Wartungs- und Supportzugriffe erfolgen anlassbezogen.

(2) Der räumliche Umfang ergibt sich aus Anlage 3. Der zeitliche Umfang richtet sich nach Ziffer 2 und Ziffer 10 der Vereinbarung.

---

Anlage 2 – Technische und organisatorische Maßnahmen (TOM)

Risikobezogenes Schutzniveau. Die Maßnahmen gelten für den Verantwortungsbereich von INREMA. Konkrete Provider- und Produktmaßnahmen gelten zusätzlich. INREMA darf Maßnahmen technisch weiterentwickeln, sofern das vereinbarte Schutzniveau nicht unterschritten wird.

Die konkrete Verfügbarkeit einzelner Maßnahmen kann vom gebuchten Hosting-, E-Mail-, Sicherheits- oder KI-Produkt abhängen. Produktbedingte Einschränkungen werden nicht durch eine weitergehende Zusage in dieser Anlage erweitert.

---

Anlage 3 – Genehmigte weitere Auftragsverarbeiter

Leistungsbezogene Genehmigung. Genehmigt ist der jeweilige Anbieter nur, wenn der zugehörige Dienst für das konkrete Kundenprojekt tatsächlich verwendet wird. INREMA schließt mit dem Anbieter die dort verfügbare Vereinbarung zur Auftragsverarbeitung bzw. das Data Processing Addendum ein.

Aktuelle Vertrags- und Datenschutzquellen der Anbieter. IONOS AVV: ionos.de/terms-gtc/avv · Cloudflare DPA: cloudflare.com/cloudflare-customer-dpa · OpenAI DPA: openai.com/policies/data-processing-addendum · Anthropic Commercial Terms/DPA: anthropic.com/legal/commercial-terms · domainfactory Datenschutz und Unterauftragnehmer: df.eu/de/datenschutz

KI-Schutzregel. INREMA verwendet für Auftragsdaten ausschließlich geschäftliche KI-Angebote mit einbezogenem DPA/AVV. Identifikatoren werden soweit zweckverträglich entfernt oder pseudonymisiert. Besondere Kategorien, Berufsgeheimnisse, Zugangsdaten und vergleichbar sensible Inhalte werden nicht an KI-Dienste übermittelt, außer der Kunde weist dies nach gesonderter Risikoprüfung ausdrücklich an. Ausgaben werden vor produktiver Verwendung menschlich geprüft.

3.1 Änderungsinformation

Mitteilungen über Änderungen der unmittelbaren weiteren Auftragsverarbeiter werden an den vom Kunden im Hauptvertrag oder in dieser Vereinbarung benannten Datenschutzkontakt gesendet. Der Kunde hält diese Adresse aktuell. Nachgelagerte Anbieterlisten können sich innerhalb der vertraglich zugelassenen Kette ändern; INREMA stellt die jeweils verfügbaren Anbieterinformationen auf Anfrage bereit.

---

Anlage 4 – Rollenabgrenzung für Buchhaltung, Kommunikation und Fremdkonten

Warum Lexware nicht in Anlage 3 steht. INREMA nutzt Lexware für die eigene Rechnungsstellung, Buchhaltung und Erfüllung handels- und steuerrechtlicher Pflichten. Dabei bestimmt INREMA eigene Zwecke und ist selbst Verantwortlicher. Lexware ist hierfür gegebenenfalls Auftragsverarbeiter von INREMA, aber kein weiterer Auftragsverarbeiter des Website-Kunden innerhalb dieser AVV.