Auftragsverarbeitungsvertrag (AVV) – Muster
Zwischen dem Verantwortlichen (Kunde/Betrieb, nachfolgend „Auftraggeber") und dem Auftragsverarbeiter (Hubfox GmbH, nachfolgend „Auftragnehmer") wird der folgende Vertrag zur Auftragsverarbeitung geschlossen.
§ 1 Gegenstand und Dauer
Gegenstand ist die Verarbeitung personenbezogener Daten durch den Auftragnehmer im Rahmen der Bereitstellung der Software handwerksfox (Auftragsabwicklung im Handwerk: Angebote, Aufträge, Rechnungen, E-Rechnungen). Die Dauer entspricht der Laufzeit des Hauptvertrags über die Nutzung von handwerksfox.
§ 2 Art, Umfang und Zweck der Verarbeitung
Der Auftragnehmer verarbeitet Daten ausschließlich zur Erbringung der vertraglich vereinbarten Leistungen und nur auf dokumentierte Weisung des Auftraggebers. Zweck ist die Speicherung, Verwaltung und Bereitstellung der vom Auftraggeber eingegebenen Auftrags- und Geschäftsdaten.
§ 3 Art der Daten und Kreis der Betroffenen
- Datenarten: Stammdaten (Name, Anschrift, Kontaktdaten), Auftrags- und Angebotsdaten, Rechnungs- und Zahlungsdaten, ggf. Fotos/Aufmaße zu Aufträgen.
- Betroffene: Kunden des Auftraggebers, Ansprechpartner, Mitarbeitende des Auftraggebers.
§ 4 Pflichten des Auftragnehmers
- Verarbeitung nur auf dokumentierte Weisung (Art. 28 Abs. 3 lit. a DSGVO).
- Verpflichtung der eingesetzten Personen auf Vertraulichkeit (Art. 28 Abs. 3 lit. b, Art. 29 DSGVO).
- Umsetzung technischer und organisatorischer Maßnahmen nach Art. 32 DSGVO (siehe § 6).
- Unterstützung des Auftraggebers bei Betroffenenrechten sowie bei Meldepflichten nach Art. 33/34 DSGVO.
- Löschung oder Rückgabe der Daten nach Beendigung; ein Datenexport ist jederzeit möglich.
- Nachweis der Einhaltung und Ermöglichung von Überprüfungen (Art. 28 Abs. 3 lit. h DSGVO).
§ 5 Unterauftragsverarbeiter
Der Auftraggeber stimmt dem Einsatz folgender Unterauftragsverarbeiter zu:
| Unterauftragnehmer | Leistung | Ort der Verarbeitung |
|---|---|---|
| Hetzner Online GmbH | Hosting / Rechenzentrum | Deutschland (Falkenstein) |
| [weitere, falls zutreffend] | [Leistung] | [EU/EWR] |
Weitere Unterauftragnehmer werden dem Auftraggeber vorab mitgeteilt; er kann berechtigt widersprechen.
§ 6 Technische und organisatorische Maßnahmen (Art. 32 DSGVO)
- Verschlüsselte Übertragung (TLS) und Zugriffsschutz durch Authentifizierung.
- Rollen- und Rechtekonzept; Trennung der Mandantendaten.
- Protokollierung sicherheitsrelevanter Vorgänge, regelmäßige Datensicherung.
- Betrieb ausschließlich in einem Rechenzentrum in Deutschland; kein regulärer Betreiberzugriff auf Kundendaten.
§ 7 Ort der Verarbeitung
Die Verarbeitung findet ausschließlich innerhalb der EU/des EWR, konkret in Deutschland, statt.
§ 8 Rechte und Pflichten des Auftraggebers
Der Auftraggeber ist für die Zulässigkeit der Verarbeitung sowie für die Wahrung der Betroffenenrechte verantwortlich. Weisungen erfolgen grundsätzlich in Textform.
Muster · Stand: Juli 2026