Auftragsverarbeitungsvertrag — Muster

Nach Art. 28 DSGVO · Stand August 2026

Dieses Muster gilt für Kunden, die AIS.152 (Einzelunternehmer Eduard Morocho Baias) mit der Verarbeitung personenbezogener Daten beauftragen — etwa bei Website-Wartung, IT-Betrieb, Softwareentwicklung mit Zugriff auf Kundendaten oder KI-Dienstleistungen mit Verarbeitung personenbezogener Trainings- oder Nutzungsdaten.

Für die finale Version bitte Kontakt aufnehmen unter ebaias.muc@gmail.com.

Präambel

Zwischen dem Verantwortlichen (nachfolgend „Auftraggeber") und dem Auftragsverarbeiter

wird der folgende Vertrag zur Auftragsverarbeitung gemäß Art. 28 DSGVO geschlossen.

§ 1 Gegenstand und Dauer

Gegenstand des Auftrags ist die Erbringung der im Hauptvertrag vereinbarten Leistung (Softwareentwicklung, Webentwicklung, Wartung, KI-Dienstleistungen oder vergleichbare Tätigkeiten). Der Auftragsverarbeiter erhält im Rahmen dieser Leistung Zugriff auf personenbezogene Daten, die der Auftraggeber verantwortet.

Die Dauer der Auftragsverarbeitung entspricht der Laufzeit des Hauptvertrags, zuzüglich der Zeit, die für die Rückgabe oder Löschung der Daten benötigt wird.

§ 2 Art und Zweck der Verarbeitung

Die Verarbeitung erfolgt ausschließlich zum Zweck der vertraglich vereinbarten Leistungserbringung. Art und Zweck werden im Hauptvertrag oder einer Leistungsbeschreibung konkret benannt (z. B. Website-Wartung, Migration, Datenbank-Administration, Modell-Training).

§ 3 Art der personenbezogenen Daten

Je nach Auftrag können folgende Datenkategorien verarbeitet werden:

• Stammdaten (Name, Anschrift, Kontaktdaten)
• Kommunikationsdaten (E-Mail, Nachrichteninhalte)
• Zugangsdaten (soweit für Wartung/Migration erforderlich)
• Nutzungsdaten (Log-Daten, IP-Adressen)
• ggf. besondere Kategorien nach Art. 9 DSGVO (nur wenn ausdrücklich beauftragt und schriftlich dokumentiert)

§ 4 Kategorien betroffener Personen

• Kunden und Interessenten des Auftraggebers
• Beschäftigte des Auftraggebers
• Website-Besucher
• ggf. Patienten oder Klienten (bei medizinischen/therapeutischen Praxen)

§ 5 Pflichten des Auftragsverarbeiters

1. Weisungsbindung. Der Auftragsverarbeiter verarbeitet die Daten ausschließlich auf dokumentierte Weisung des Auftraggebers.
2. Vertraulichkeit. Der Auftragsverarbeiter verpflichtet alle mit der Verarbeitung befassten Personen zur Vertraulichkeit (Art. 28 Abs. 3 lit. b DSGVO).
3. Technische und organisatorische Maßnahmen (TOM). Der Auftragsverarbeiter trifft geeignete Maßnahmen nach Art. 32 DSGVO — im Detail beschrieben in § 7.
4. Unterauftragsverarbeiter. Der Einsatz von Sub-Prozessoren erfolgt gemäß § 8. Änderungen werden dem Auftraggeber vorab mitgeteilt; Widerspruch ist möglich.
5. Unterstützung. Der Auftragsverarbeiter unterstützt den Auftraggeber bei Betroffenenrechten (Art. 12–22 DSGVO), Datenschutz-Folgenabschätzungen (Art. 35) und Meldepflichten nach Art. 33/34 DSGVO.
6. Datenschutzvorfälle. Der Auftragsverarbeiter meldet Verletzungen des Schutzes personenbezogener Daten unverzüglich nach Kenntnisnahme, spätestens innerhalb der gesetzlichen Frist von 72 Stunden gemäß Art. 33 DSGVO. Individuelle Verkürzung dieser Frist wird bei Vertragsabschluss geregelt.
7. Rückgabe oder Löschung. Nach Beendigung des Auftrags werden alle personenbezogenen Daten nach Wahl des Auftraggebers zurückgegeben oder datenschutzkonform gelöscht — sofern keine gesetzliche Aufbewahrungspflicht entgegensteht.
8. Nachweise. Der Auftragsverarbeiter stellt dem Auftraggeber auf Anfrage Nachweise zur Einhaltung dieser Pflichten bereit.

§ 6 Rechte des Auftraggebers

Der Auftraggeber ist berechtigt, sich vor Beginn und während der Laufzeit von der Einhaltung der Pflichten des Auftragsverarbeiters zu überzeugen (Art. 28 Abs. 3 lit. h DSGVO). Er hat Weisungsrecht bezüglich Art, Umfang und Verfahren der Datenverarbeitung.

§ 7 Anlage 1 — Technische und Organisatorische Maßnahmen (TOM)

Der Auftragsverarbeiter setzt insbesondere folgende Maßnahmen um:

• Verschlüsselte Datenübertragung (TLS 1.2+)
• Verschlüsselte Datenspeicherung auf Arbeitsgerät (Full-Disk-Encryption)
• Zugangsschutz durch starke Passwörter und, wo möglich, Zwei-Faktor-Authentifizierung
• Rollen- und Rechtekonzept: Zugriff nur auf für den Auftrag notwendige Daten (Least-Privilege-Prinzip)
• Regelmäßige Aktualisierung von Betriebssystem und sicherheitsrelevanter Software
• Getrennte Verarbeitung von Kundendaten pro Auftrag (Mandantentrennung)
• Regelmäßige Sicherung mit verschlüsselten Backups
• Datenschutzkonforme Löschung nach Beendigung (Überschreiben, physische Zerstörung von Datenträgern wo anwendbar)

Die konkrete Ausprägung der TOM wird pro Auftrag im Hauptvertrag oder als Anhang zum AVV dokumentiert.

§ 8 Anlage 2 — Unterauftragsverarbeiter

Diese Liste bezieht sich auf typische Sub-Prozessoren, die bei Kundenprojekten von AIS.152 zum Einsatz kommen können. Für den Betrieb der Website ais152.com selbst siehe die Datenschutzerklärung. Die für jeden konkreten Auftrag tatsächlich eingesetzten Sub-Prozessoren werden im Hauptvertrag benannt und mit dem Auftraggeber abgestimmt.

• GitHub Inc. — Hosting von Code und Website-Assets
• Cloud- und Hosting-Dienstleister pro Projekt (z. B. Hetzner Online GmbH — Deutschland; AWS EU / Frankfurt; DigitalOcean; Supabase EU-Region)
• Kommunikationsdienste zur E-Mail-Übermittlung (Standardvertragsklauseln nach Art. 46 DSGVO, wenn Drittland-Bezug)

§ 9 Haftung

Die Haftung richtet sich nach Art. 82 DSGVO und den Regelungen des Hauptvertrags. Die zwingenden Vorschriften bleiben unberührt.

§ 10 Schlussbestimmungen

Änderungen dieses Vertrags bedürfen der Textform. Sollten einzelne Bestimmungen unwirksam sein, bleibt der Rest des Vertrags wirksam. Gerichtsstand ist — soweit gesetzlich zulässig — München.