Auftragsverarbeitungsvertrag

Dieses Muster eines Vertrags zur Auftragsverarbeitung nach Art. 28 DSGVO ist Bestandteil des Vertragsverhältnisses zwischen dem Kunden und der softwarebees GmbH. Es wird beim Vertragsschluss in Textform geschlossen und geht den Allgemeinen Geschäftsbedingungen in datenschutzrechtlichen Fragen vor. Eine unterschriftsfertige Fassung stellen wir auf Anfrage an hello@softwarebees.de bereit.

Vertragsparteien

Verantwortlicher im Sinne des Art. 4 Nr. 7 DSGVO ist der Kunde, also der Betrieb, der Misavo nutzt (nachfolgend „Verantwortlicher“).

Auftragsverarbeiter im Sinne des Art. 4 Nr. 8 DSGVO ist:
softwarebees GmbH
Hauptstraße 24
37434 Krebeck
Deutschland
E-Mail: hello@softwarebees.de

1. Gegenstand, Dauer und Spezifizierung des Auftrags

1. Gegenstand des Auftrags ist die Verarbeitung personenbezogener Daten durch den Auftragsverarbeiter im Rahmen der Bereitstellung und des Betriebs der Software Misavo als Software as a Service.
2. Die Dauer dieses Vertrags entspricht der Laufzeit des zugrunde liegenden Hauptvertrags. Der Vertrag endet automatisch mit dessen Beendigung, ohne dass es einer gesonderten Kündigung bedarf.
3. Art und Zweck der Verarbeitung, die Art der personenbezogenen Daten und die Kategorien betroffener Personen ergeben sich aus Anlage 1.
4. Die Verarbeitung findet ausschließlich innerhalb der Europäischen Union oder des Europäischen Wirtschaftsraums statt, soweit nicht in Anlage 3 ausdrücklich etwas anderes geregelt und dort eine geeignete Garantie nach Kapitel V der DSGVO benannt ist.

2. Weisungsrecht des Verantwortlichen

1. Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen, es sei denn, er ist nach dem Recht der Union oder eines Mitgliedstaats zur Verarbeitung verpflichtet. In diesem Fall teilt er dem Verantwortlichen diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht eine solche Mitteilung nicht wegen eines wichtigen öffentlichen Interesses verbietet.
2. Die Bedienung der Anwendung durch den Verantwortlichen und die von ihm vorgenommenen Konfigurationen gelten als Weisung. Weitergehende Weisungen erteilt der Verantwortliche in Textform an die oben genannte Kontaktadresse.
3. Hält der Auftragsverarbeiter eine Weisung für rechtswidrig, informiert er den Verantwortlichen unverzüglich. Er ist berechtigt, die Ausführung der betreffenden Weisung bis zu deren Bestätigung oder Änderung auszusetzen.
4. Weisungen sowie deren Änderungen und Ergänzungen dokumentiert der Auftragsverarbeiter für die Dauer dieses Vertrags.

3. Vertraulichkeit

1. Der Auftragsverarbeiter setzt zur Verarbeitung nur Personen ein, die zur Vertraulichkeit verpflichtet oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen. Die Verpflichtung besteht auch nach Beendigung der Tätigkeit fort.
2. Der Auftragsverarbeiter stellt sicher, dass die zur Verarbeitung befugten Personen mit den einschlägigen datenschutzrechtlichen Anforderungen vertraut sind.

4. Technische und organisatorische Maßnahmen

1. Der Auftragsverarbeiter trifft die in Anlage 2 beschriebenen technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO und hält diese während der Vertragslaufzeit aufrecht.
2. Die Maßnahmen unterliegen dem technischen Fortschritt. Der Auftragsverarbeiter darf alternative Maßnahmen umsetzen, sofern das Schutzniveau der vereinbarten Maßnahmen dadurch nicht unterschritten wird. Wesentliche Änderungen dokumentiert er.

5. Unterauftragsverarbeiter

1. Der Verantwortliche erteilt hiermit die allgemeine Genehmigung zur Beauftragung der in Anlage 3 genannten Unterauftragsverarbeiter.
2. Der Auftragsverarbeiter informiert den Verantwortlichen mindestens vier Wochen vorher in Textform über beabsichtigte Änderungen in Bezug auf die Hinzuziehung oder Ersetzung von Unterauftragsverarbeitern. Der Verantwortliche kann einer Änderung innerhalb dieser Frist aus wichtigem datenschutzrechtlichem Grund widersprechen. Im Fall eines berechtigten Widerspruchs, dem nicht abgeholfen werden kann, steht dem Verantwortlichen ein Sonderkündigungsrecht hinsichtlich der betroffenen Leistung zu.
3. Der Auftragsverarbeiter verpflichtet Unterauftragsverarbeiter vertraglich auf Datenschutzpflichten, die denen dieses Vertrags entsprechen. Er haftet für deren Verhalten wie für eigenes Verhalten.
4. Nicht als Unterauftragsverarbeitung im Sinne dieser Ziffer gelten Nebenleistungen, die der Auftragsverarbeiter bei Dritten in Anspruch nimmt, etwa Telekommunikationsleistungen, Wartung, Reinigung oder Entsorgung, sofern dabei kein regelmäßiger Zugriff auf personenbezogene Daten des Verantwortlichen erfolgt.

6. Unterstützung des Verantwortlichen

1. Der Auftragsverarbeiter unterstützt den Verantwortlichen mit geeigneten technischen und organisatorischen Maßnahmen dabei, Anträge betroffener Personen auf Wahrnehmung ihrer Rechte nach den Art. 12 bis 23 DSGVO zu beantworten. Die Anwendung stellt hierfür Auskunfts-, Export- und Löschfunktionen bereit.
2. Wendet sich eine betroffene Person unmittelbar an den Auftragsverarbeiter, leitet dieser das Anliegen unverzüglich an den Verantwortlichen weiter und beantwortet es nicht eigenständig.
3. Der Auftragsverarbeiter unterstützt den Verantwortlichen bei der Einhaltung der Pflichten nach den Art. 32 bis 36 DSGVO, insbesondere bei der Sicherheit der Verarbeitung, bei der Meldung von Verletzungen des Schutzes personenbezogener Daten sowie bei Datenschutz-Folgenabschätzungen, jeweils unter Berücksichtigung der Art der Verarbeitung und der ihm zur Verfügung stehenden Informationen.
4. Für Unterstützungsleistungen, die über den vertraglich geschuldeten Umfang hinausgehen und nicht auf einem Verschulden des Auftragsverarbeiters beruhen, kann dieser eine angemessene Vergütung nach Aufwand verlangen. Er weist vor Beginn auf die Entgeltpflicht hin.

7. Verletzungen des Schutzes personenbezogener Daten

1. Der Auftragsverarbeiter meldet dem Verantwortlichen jede ihm bekannt gewordene Verletzung des Schutzes personenbezogener Daten unverzüglich, spätestens innerhalb von 24 Stunden nach Kenntniserlangung, in Textform.
2. Die Meldung enthält, soweit verfügbar, eine Beschreibung der Art der Verletzung, die Kategorien und die ungefähre Zahl der betroffenen Personen und Datensätze, die wahrscheinlichen Folgen sowie die ergriffenen oder vorgeschlagenen Abhilfemaßnahmen.
3. Meldungen an die Aufsichtsbehörde nach Art. 33 DSGVO und Benachrichtigungen betroffener Personen nach Art. 34 DSGVO obliegen dem Verantwortlichen. Der Auftragsverarbeiter unterstützt ihn hierbei im erforderlichen Umfang.

8. Nachweis- und Kontrollrechte

1. Der Auftragsverarbeiter stellt dem Verantwortlichen alle erforderlichen Informationen zum Nachweis der Einhaltung der Pflichten aus Art. 28 DSGVO zur Verfügung.
2. Der Nachweis kann durch die Vorlage einer aktuellen Beschreibung der technischen und organisatorischen Maßnahmen, durch Testate oder Zertifizierungen oder durch Berichte unabhängiger Prüfstellen erbracht werden.
3. Der Verantwortliche ist berechtigt, sich nach vorheriger Anmeldung mit angemessener Frist von mindestens zwei Wochen während der üblichen Geschäftszeiten und ohne Störung des Betriebsablaufs von der Einhaltung dieses Vertrags zu überzeugen. Kontrollen erfolgen in der Regel höchstens einmal jährlich, es sei denn, es besteht ein konkreter Anlass. Der Auftragsverarbeiter kann Kontrollen von der Unterzeichnung einer Vertraulichkeitserklärung abhängig machen.
4. Für Kontrollen, die über den gesetzlich geschuldeten Umfang hinausgehen, kann der Auftragsverarbeiter eine angemessene Aufwandsvergütung verlangen.

9. Löschung und Rückgabe nach Beendigung

1. Nach Beendigung der Verarbeitungstätigkeiten löscht der Auftragsverarbeiter die personenbezogenen Daten oder gibt sie nach Wahl des Verantwortlichen zurück.
2. Der Verantwortliche kann seine Daten über die Exportfunktionen der Anwendung selbst herunterladen. Der Auftragsverarbeiter hält die Daten hierfür für 30 Tage nach Vertragsende bereit und löscht sie anschließend einschließlich vorhandener Kopien.
3. Die Löschung erstreckt sich auch auf Daten bei Unterauftragsverarbeitern. Der Auftragsverarbeiter stößt die Löschung dort mit einem automatisierten Verfahren an.
4. Dokumentationen, die dem Nachweis der ordnungsgemäßen Datenverarbeitung dienen, sowie Daten, für die eine gesetzliche Aufbewahrungspflicht besteht, dürfen über das Vertragsende hinaus aufbewahrt werden. Die Verarbeitung dieser Daten wird für die Dauer der Aufbewahrungsfrist eingeschränkt.
5. Datensicherungen werden nach Ablauf des regulären Sicherungszyklus überschrieben, spätestens 90 Tage nach Vertragsende.

10. Haftung und Schlussbestimmungen

1. Für die Haftung der Parteien gilt Art. 82 DSGVO. Im Innenverhältnis gelten ergänzend die Haftungsregelungen des Hauptvertrags.
2. Bei Widersprüchen zwischen diesem Vertrag und dem Hauptvertrag gehen die Regelungen dieses Vertrags in datenschutzrechtlichen Fragen vor.
3. Änderungen und Ergänzungen dieses Vertrags bedürfen der Textform. Sollten einzelne Bestimmungen unwirksam sein oder werden, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt.
4. Es gilt das Recht der Bundesrepublik Deutschland. Gerichtsstand ist der im Hauptvertrag vereinbarte Gerichtsstand.

Anlage 1: Gegenstand, Art, Zweck und Umfang der Verarbeitung

Art und Zweck der Verarbeitung

Erheben, Erfassen, Organisieren, Ordnen, Speichern, Anpassen, Auslesen, Abfragen, Verwenden, Übermitteln, Einschränken und Löschen personenbezogener Daten zum Zweck der Bereitstellung und des Betriebs der Software Misavo. Dazu gehören insbesondere die Abwicklung von Bestellungen, die Bestands- und Lagerführung, die Planung und Durchführung von Veranstaltungen, die Steuerung von Aufgaben, die Rechnungsstellung und der Zahlungsabgleich sowie die Benutzer- und Rechteverwaltung.

Kategorien betroffener Personen

• Beschäftigte und Mitarbeitende des Verantwortlichen sowie dessen Dienstleister
• Gäste und Bestellende des Verantwortlichen
• Kundinnen, Kunden und Auftraggeber des Verantwortlichen, etwa bei privaten Veranstaltungen
• Lieferanten sowie deren Ansprechpersonen
• Ansprechpersonen des Verantwortlichen gegenüber dem Auftragsverarbeiter

Art der personenbezogenen Daten

• Stammdaten: Name, Anrede, Firmenzugehörigkeit, Funktion oder Rolle
• Kontaktdaten: E-Mail-Adresse, Telefonnummer, Anschrift
• Benutzer- und Zugangsdaten: Benutzername, Rollen, Berechtigungen, Anmeldezeitpunkte
• Vorgangsdaten: Bestellungen, Bestandsbewegungen, Aufgaben, Veranstaltungsdaten, Buchungen
• Abrechnungsdaten: Rechnungen, Beträge, Zahlungsstatus, Zahlungsreferenzen sowie, soweit vom Verantwortlichen aktiviert, Kontoumsatzdaten aus dem Bankabgleich
• Protokolldaten: Zeitstempel und Kennungen zu sicherheitsrelevanten Vorgängen

Besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO sind nicht Gegenstand der Verarbeitung. Der Verantwortliche stellt sicher, dass er solche Daten nicht in die Anwendung einstellt.

Anlage 2: Technische und organisatorische Maßnahmen nach Art. 32 DSGVO

Vertraulichkeit

• Zutrittskontrolle: Betrieb in zertifizierten Rechenzentren innerhalb der Europäischen Union mit Zutrittsschutz, Videoüberwachung und protokolliertem Zutritt durch den Hosting-Dienstleister.
• Zugangskontrolle: persönliche Benutzerkonten über ein zentrales Identitätsmanagement, Passwortrichtlinien, automatische Beendigung inaktiver Sitzungen, keine gemeinsam genutzten Sammelkonten.
• Zugriffskontrolle: rollenbasiertes Berechtigungskonzept nach dem Prinzip der geringsten Rechte, getrennte Berechtigungen für Anwendung, Datenbank und Infrastruktur.
• Trennungskontrolle: strikte mandantenweise Trennung der Daten verschiedener Betriebe auf Anwendungs- und Datenbankebene, technisch erzwungene Mandantenzuordnung bei jedem Zugriff, getrennte Umgebungen für Entwicklung, Test und Produktion.
• Pseudonymisierung und Verschlüsselung: verschlüsselte Ablage von Zugangsdaten und Geheimnissen in einem dedizierten Secret-Management, Verschlüsselung der Datenträger im Rechenzentrum.

Integrität

• Weitergabekontrolle: ausschließlich TLS-verschlüsselte Übertragung zwischen Endgerät, Anwendung und angebundenen Diensten.
• Eingabekontrolle: Protokollierung sicherheitsrelevanter und administrativer Vorgänge mit Zeitstempel und Benutzerbezug, Nachvollziehbarkeit von Änderungen an Stamm- und Bestandsdaten.
• Auftragskontrolle: schriftliche Auftragsverarbeitungsverträge mit allen Unterauftragsverarbeitern, dokumentierte Weisungen, sorgfältige Auswahl der Dienstleister.

Verfügbarkeit und Belastbarkeit

• Regelmäßige, automatisierte Datensicherung mit Wiederherstellungstests.
• Redundante Auslegung wesentlicher Komponenten, automatisierter Neustart ausgefallener Dienste.
• Überwachung von Verfügbarkeit, Auslastung und Fehlern mit Alarmierung.
• Schutzmaßnahmen gegen Überlastung und unberechtigte Zugriffe auf Netzwerkebene.

Verfahren zur regelmäßigen Überprüfung und Bewertung

• Automatisierte Prüfung eingesetzter Abhängigkeiten auf bekannte Schwachstellen.
• Versionierte Infrastruktur und nachvollziehbare, überprüfte Auslieferungsprozesse.
• Regelmäßige Überprüfung der Berechtigungen und der eingesetzten Dienstleister.
• Dokumentierter Prozess zur Behandlung von Sicherheitsvorfällen.

Anlage 3: Genehmigte Unterauftragsverarbeiter

Für den Versand von E-Mails aus der Anwendung setzen wir einen E-Mail-Dienstleister mit Serverstandort in der Europäischen Union ein. Die jeweils aktuelle Fassung dieser Anlage ist auf dieser Seite abrufbar. Änderungen richten sich nach Ziffer 5.2.

Stand: 26. August 2026. Weitere Informationen zur Verarbeitung finden Sie in der Datenschutzerklärung.