Zurück zur Startseite

Auftragsverarbeitungsvertrag (AVV)

gemäß Art. 28 DSGVO · Stand: 29. Mai 2026

§ 1 Gegenstand und Dauer der Verarbeitung

1. Der Auftragnehmer verarbeitet personenbezogene Daten im Auftrag des Auftraggebers im Rahmen der Bereitstellung der SaaS-Plattform „PrüfMeister".
2. Die Verarbeitung beginnt mit der Registrierung und endet mit der vollständigen Löschung aller Daten nach Vertragsende.
3. Die Dauer der Verarbeitung richtet sich nach der Laufzeit des Nutzungsvertrags.

§ 2 Art und Zweck der Verarbeitung

Die Verarbeitung umfasst folgende Tätigkeiten:

• Speicherung und Verwaltung von Prüfungsdaten (Mängel, Messwerte, Fotos)
• Erstellung von Prüfberichten als PDF
• Verwaltung von Objekten, Gebäudeteilen und Prüfungszeiträumen
• Auftragsplanung und Arbeitsschein-Erstellung
• Versand transaktionaler E-Mails (Registrierung, Prüfberichte, Erinnerungen)

§ 3 Art der personenbezogenen Daten

Folgende Kategorien personenbezogener Daten werden verarbeitet:

• Namen und Kontaktdaten der Nutzer (Mitarbeiter des Auftraggebers)
• E-Mail-Adressen und Zugangsdaten
• Namen und Adressen von Prüfobjekten und deren Betreibern
• Prüfungsdaten inkl. Fotos (können Gebäude, Anlagen und ggf. Personen zeigen)
• Protokolldaten (IP-Adressen, Zeitstempel)

§ 4 Kategorien betroffener Personen

• Mitarbeiter und Prüfer des Auftraggebers
• Ansprechpartner und Betreiber der geprüften Objekte

§ 5 Pflichten des Auftragnehmers

1. Der Auftragnehmer verarbeitet die personenbezogenen Daten ausschließlich auf dokumentierte Weisung des Auftraggebers, es sei denn, er ist nach geltendem Recht zu einer anderen Verarbeitung verpflichtet.
2. Der Auftragnehmer gewährleistet, dass sich die zur Verarbeitung der personenbezogenen Daten befugten Personen zur Vertraulichkeit verpflichtet haben.
3. Der Auftragnehmer ergreift alle gemäß Art. 32 DSGVO erforderlichen technischen und organisatorischen Maßnahmen.
4. Der Auftragnehmer unterstützt den Auftraggeber bei der Einhaltung der in Art. 32 bis 36 DSGVO genannten Pflichten.
5. Der Auftragnehmer löscht nach Abschluss der Verarbeitung alle personenbezogenen Daten oder gibt sie zurück, sofern nicht eine gesetzliche Aufbewahrungspflicht besteht.
6. Der Auftragnehmer stellt dem Auftraggeber alle erforderlichen Informationen zum Nachweis der Einhaltung der Pflichten zur Verfügung und ermöglicht Überprüfungen.

§ 6 Technische und organisatorische Maßnahmen (TOMs)

Der Auftragnehmer hat insbesondere folgende Maßnahmen implementiert:

• Verschlüsselung: TLS/SSL-Verschlüsselung aller Datenübertragungen (HTTPS)
• Zutrittskontrolle: Serverstandort Deutschland (Hetzner Online GmbH, ISO 27001 zertifiziert)
• Zugangskontrolle: Passwortgeschützte Benutzerkonten mit Mindestanforderungen
• Zugriffskontrolle: Rollenbasiertes Berechtigungssystem (Erfasser, Leitung, Admin)
• Trennungskontrolle: Multi-Tenant-Architektur mit strikter Datentrennung pro Mandant
• Verfügbarkeitskontrolle: Regelmäßige Backups, Monitoring
• Auftragskontrolle: Keine Weitergabe an Dritte ohne Weisung

§ 7 Unterauftragsverarbeiter

Der Auftragnehmer setzt derzeit folgende Unterauftragsverarbeiter ein:

• Hetzner Online GmbH (Gunzenhausen, Deutschland) – Serverhosting und Infrastruktur
• Mailgun Technologies, Inc. (San Antonio, USA) – Transaktionaler E-Mail-Versand · DPF-zertifiziert + Standardvertragsklauseln

Der Auftragnehmer informiert den Auftraggeber über jede beabsichtigte Änderung in Bezug auf die Hinzuziehung oder Ersetzung von Unterauftragsverarbeitern. Der Auftraggeber kann Einspruch erheben.

§ 8 Rechte der betroffenen Personen

Der Auftragnehmer unterstützt den Auftraggeber nach Möglichkeit bei der Erfüllung der Anfragen betroffener Personen (Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit, Widerspruch).

§ 9 Meldung von Datenschutzverletzungen

Der Auftragnehmer informiert den Auftraggeber unverzüglich nach Bekanntwerden einer Verletzung des Schutzes personenbezogener Daten. Die Meldung enthält mindestens:

• Art der Verletzung
• Betroffene Datenkategorien und ungefähre Anzahl
• Wahrscheinliche Folgen
• Ergriffene oder vorgeschlagene Maßnahmen

§ 10 Schlussbestimmungen

1. Dieser AVV ist Bestandteil des Nutzungsvertrags (AGB).
2. Änderungen bedürfen der Schriftform.
3. Es gilt das Recht der Bundesrepublik Deutschland.
4. Dieser AVV tritt mit Akzeptanz bei der Registrierung in Kraft.