ENTWURF – Auftragsverarbeitungsvertrag (AVV) nach Art. 28 DSGVO
ENTWURF, nicht rechtsgeprüft. Vor Verwendung anwaltlich prüfen lassen. Stand 12.10.2026. Platzhalter
[…]. Alle Angaben zu Unterauftragsverarbeitern vor Livegang verifizieren.
Zwischen [Kunde, Anschrift] („Verantwortlicher“) und Moritz Weibold, Einzelunternehmer, Kaplanhofstraße 45/1/6, 4020 Linz, Österreich (UID ATU79590809), Marke „MW Lab“ („Auftragsverarbeiter“).
1. Gegenstand und Dauer
1.1 Der Auftragsverarbeiter verarbeitet personenbezogene Daten im Auftrag des Verantwortlichen zur Erbringung des Dienstes Rechnungsautopilot laut Hauptvertrag/AGB. Dauer: Laufzeit des Hauptvertrags. 1.2 Dieser AVV ergänzt den Hauptvertrag; bei Widerspruch gilt der AVV für datenschutzrechtliche Fragen.
2. Art, Zweck, Datenkategorien, Betroffene
| Rechnungsautopilot | |
|---|---|
| Zweck | Erstellen/Prüfen von Rechnungen, Mahn-Vorschlägen, Berichten, Freigabe-Queue für Versand über Kunden-SMTP |
| Datenkategorien | Kunden-ID, Rechnungsnummer, Beträge, Status, Fälligkeiten; Empfänger-E-Mail-Adresse und ggf. Name nur soweit für Prüfung/Versand-Queue erforderlich; Abo-Vorlagen |
| Betroffene | Kunden und Ansprechpartner des Verantwortlichen |
| Besondere Kategorien (Art. 9) | keine vorgesehen |
| Zusätzlich verarbeitet: Konto-/Login-Daten des Verantwortlichen und seiner Nutzer (E-Mail, Passwort-Hash), Zugangsdaten zu FreeFinance/SMTP (verschlüsselt, AES-256-GCM). |
3. Weisungen
3.1 Verarbeitung nur auf dokumentierte Weisung des Verantwortlichen; die Nutzung der Software gilt als Weisung. 3.2 Hält der Auftragsverarbeiter eine Weisung für rechtswidrig, informiert er unverzüglich.
4. Vertraulichkeit
Zugriff nur für befugte Personen, die zur Vertraulichkeit verpflichtet sind (derzeit: Moritz Weibold).
5. Technische und organisatorische Maßnahmen (Art. 32)
Hosting ausschließlich in der EU (Ziel: Railway Region EU West, Amsterdam); Verschlüsselung bei Übertragung (TLS) und Secrets at rest (AES-256-GCM); Passwort-Hashing scrypt; serverseitige Sessions, CSRF-Schutz, Rate-Limits; Mandantentrennung (account_id) mit Tests; Security-Header; Logging ohne personenbezogene Daten/Secrets; Backups [Intervall, Aufbewahrung]; Passwort-Reset nur über kontrollierten Support-Prozess; Löschkonzept (Fristen siehe Ziffer 9 und Datenschutzerklärung für die Anwendung). [Anlage TOM nach Livegang konkretisieren.]
6. Unterauftragsverarbeiter (Art. 28 Abs. 2, 4)
Der Verantwortliche erteilt eine allgemeine Genehmigung für folgende Unterauftragsverarbeiter (Stand Plan, vor Livegang verifizieren):
| Anbieter | Leistung | Standort | Anmerkung |
|---|---|---|---|
| Railway Corp. (USA) [?] | App-Hosting/Datenbank-Volumes | Region EU West (Amsterdam) | US-Anbieter: Drittlandbezug, SCC/DPF prüfen [?] |
| Hostinger [Gesellschaft, Sitz ?] | Hosting der statischen Website (keine Kundendaten der Apps) | EU-Rechenzentrum [?] | nur Website/Formular |
| [Domain-Registrar] | DNS | – | keine Kundendaten |
| Änderungen werden [30] Tage vorab in Textform angekündigt; der Verantwortliche kann aus wichtigem Grund widersprechen (dann Sonderkündigungsrecht). Der Auftragsverarbeiter legt Unterauftragsverarbeitern gleichwertige Pflichten auf. Systeme des Verantwortlichen (FreeFinance, Kunden-SMTP) sind keine Unterauftragsverarbeiter, sondern Dienste des Verantwortlichen. |
7. Drittlandübermittlung
Keine Übermittlung außerhalb des EWR beabsichtigt, außer soweit für den Betrieb beim US-Anbieter Railway Zugriffsrisiken bestehen; Absicherung durch [SCC/EU-US-DPF-Zertifizierung – prüfen].
8. Unterstützung des Verantwortlichen
8.1 Betroffenenrechte (Art. 15–22): Export-/Löschfunktion in der Anwendung; Unterstützung auf Anfrage binnen angemessener Frist. 8.2 Unterstützung bei Art. 32–36 (Sicherheit, Meldung, DSFA) im zumutbaren Rahmen. 8.3 Datenpannen: Der Auftragsverarbeiter meldet Verletzungen des Schutzes personenbezogener Daten unverzüglich, spätestens innerhalb von 48 Stunden nach Kenntnis.
9. Löschung und Rückgabe
Nach Vertragsende gibt der Auftragsverarbeiter Berichte zum Download frei und löscht alle personenbezogenen Daten spätestens nach [30] Tagen, außer gesetzliche Aufbewahrung besteht. Backups werden im Rotationszyklus [max. 35 Tage] gelöscht.
10. Nachweise, Kontrolle
Der Auftragsverarbeiter stellt Informationen zum Nachweis der Pflichten bereit und ermöglicht Audits nach Vorankündigung (maximal [1×/Jahr], Kosten trägt [Verantwortlicher], keine Offenlegung von Daten anderer Kunden).
11. Haftung, Schlussbestimmungen
Haftung richtet sich nach Art. 82 DSGVO und AGB [Haftungsklausel prüfen]. Österreichisches Recht, Gerichtsstand Linz. Änderungen in Textform.
Ort, Datum, Unterschriften (oder Bestätigung per Checkbox bei Registrierung: [prüfen, ob für Art. 28 ausreichend – i. d. R. ja bei elektronischer Form]).
Offene Punkte für den Anwalt: Haftungsregelung, Auditrechte, Drittland-Absicherung Railway, ob allgemeine Genehmigung ausreichend, Anlage TOM, Löschfristen Backups.