AVV – Auftragsverarbeitung nach Art. 28 DSGVO

Dieser Auftragsverarbeitungsvertrag (AVV) wird zwischen dem Kunden („Verantwortlicher", AG) und Blitzsicht („Auftragsverarbeiter", AN) im Rahmen des Hauptvertrags über Website-as-a-Service geschlossen. Bei Widersprüchen geht dieser AVV in datenschutzrechtlichen Belangen dem Hauptvertrag und seinen Anlagen vor.

Parteien

Verantwortlicher (AG):
Der jeweilige Kunde gemäß Hauptvertrag.

Auftragsverarbeiter (AN):
Blitzsicht — Inhaber Johannes-Maximilian Gottl
Kremser Str. 35, 93055 Regensburg
USt-IdNr. DE238075962
E-Mail: servus@blitzsicht.com

Präambel

Im Rahmen des Hauptvertrags verarbeitet der AN personenbezogene Daten im Auftrag des AG. Die Parteien schließen daher diesen AVV nach Art. 28 DSGVO.

§ 1 Gegenstand und Dauer der Verarbeitung

(1) Gegenstand: Verarbeitung personenbezogener Daten durch den AN zur Erbringung der im Hauptvertrag vereinbarten Leistungen.

(2) Dauer: Laufzeit des Hauptvertrags zzgl. der in § 11 geregelten Rückgabe-/Löschfristen.

(3) Art und Zweck der Verarbeitung: Hosting, Übermittlung und Speicherung von über die Website eingehenden personenbezogenen Daten zur Erfüllung des Hauptvertrags.

(4) Art der personenbezogenen Daten / Kategorien betroffener Personen: Siehe Anlage 1 (Beschreibung der Verarbeitung).

§ 2 Weisungsrecht des Verantwortlichen

(1) Der AN verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des AG (Art. 29 DSGVO). Der Hauptvertrag und seine Anlagen, insbesondere die Leistungsbeschreibung, gelten als Standard-Weisung.

(2) Weisungen können in Textform (E-Mail, Ticket, DocuSeal) erteilt werden.

(3) Der AN informiert den AG unverzüglich, wenn er der Auffassung ist, dass eine Weisung gegen die DSGVO oder andere Datenschutzvorschriften verstößt (Art. 28 Abs. 3 lit. h DSGVO). Der AN ist berechtigt, die Ausführung einer entsprechenden Weisung auszusetzen, bis sie vom AG bestätigt oder geändert wird.

(4) Weisungen, die über die im Hauptvertrag dokumentierten Standard-Weisungen hinausgehen, kann der AN gegen Aufwandserstattung umsetzen.

§ 3 Einsatz von Subunternehmern (Subprozessoren)

(1) Der AG erteilt dem AN hiermit die allgemeine Genehmigung zum Einsatz der in Anlage 3 (Subprozessoren-Liste) genannten Sub-Auftragsverarbeiter im Sinne von Art. 28 Abs. 2 Satz 2 DSGVO.

(2) Der AN informiert den AG mindestens 30 Tage vor Wirksamwerden über jede beabsichtigte Änderung der Subprozessoren-Liste (Aufnahme, Wechsel, Wegfall) durch Veröffentlichung auf /datenschutz/subprozessoren und auf Wunsch zusätzlich per E-Mail.

(3) Der AG kann einer Änderung binnen 30 Tagen ab Information aus wichtigem datenschutzrechtlichen Grund widersprechen. Im Fall eines berechtigten Widerspruchs verhandeln die Parteien eine einvernehmliche Lösung. Gelingt diese nicht, kann jede Partei den Hauptvertrag mit angemessener Frist außerordentlich kündigen.

(4) Der AN verpflichtet die Subprozessoren mindestens zu denselben Datenschutzpflichten, wie sie diesem AVV zugrunde liegen, durch entsprechende vertragliche Regelung.

§ 4 Drittlandtransfer

(1) Eine Übermittlung personenbezogener Daten in ein Drittland erfolgt nur auf Basis einer der folgenden Garantien:

• Adäquanzbeschluss der Europäischen Kommission (Art. 45 DSGVO),
• DPF-Zertifizierung des Datenempfängers (für USA — Verifikation via dataprivacyframework.gov),
• EU-Standardvertragsklauseln (SCC) in der jeweils aktuellen Fassung,
• jeweils ergänzt durch ein Transfer Impact Assessment (TIA) gemäß EuGH C-311/18 („Schrems II").

(2) TIAs für die in Anlage 3 aufgeführten US-Subprozessoren liegen als Anlage 4 bei und werden auf Anfrage zur Verfügung gestellt.

(3) Bei Wegfall einer Garantie (z. B. Aufhebung DPF) verpflichtet sich der AN, dem AG die Lage transparent darzulegen und kurzfristig Alternativen zu prüfen.

§ 5 Technische und organisatorische Maßnahmen (TOMs)

(1) Der AN trifft die in Anlage 2 (TOMs) beschriebenen technischen und organisatorischen Maßnahmen gemäß Art. 32 DSGVO zum Schutz der Daten. Die TOMs werden Vertragspartnern auf Anfrage zur Verfügung gestellt; eine zusammenfassende Beschreibung findet sich in der Datenschutzerklärung § 7.

(2) Der AN überprüft die Wirksamkeit der TOMs regelmäßig, mindestens jährlich, und passt sie an den Stand der Technik an.

(3) Wesentliche Änderungen der TOMs werden dem AG mitgeteilt.

§ 6 Vertraulichkeit der Mitarbeiter

(1) Der AN verpflichtet seine zur Verarbeitung befugten Personen schriftlich zur Vertraulichkeit (Art. 28 Abs. 3 lit. b, Art. 29, Art. 32 Abs. 4 DSGVO), soweit sie nicht bereits einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen.

(2) Der AN trägt dafür Sorge, dass der Zugang zu personenbezogenen Daten auf das für die Aufgabenerfüllung erforderliche Maß beschränkt ist.

§ 7 Mitwirkung bei Betroffenenrechten

(1) Der AN unterstützt den AG bei der Erfüllung der Betroffenenrechte (Art. 12 ff. DSGVO) durch geeignete technische und organisatorische Maßnahmen.

(2) Wendet sich eine betroffene Person direkt an den AN, leitet der AN die Anfrage unverzüglich an den AG weiter und beantwortet sie nicht selbst.

(3) Aufwand für die Mitwirkung bei mehr als einer Betroffenenanfrage pro Kalenderjahr berechnet der AN nach Aufwand zum vereinbarten Stundensatz.

§ 8 Mitwirkung bei DSFA, Vorabkonsultation, Sicherheit

(1) Der AN unterstützt den AG auf Anfrage bei einer Datenschutz-Folgenabschätzung (Art. 35 DSGVO) und bei Vorabkonsultationen mit der Aufsichtsbehörde (Art. 36 DSGVO), gegen Aufwandserstattung.

(2) Der AN unterstützt den AG bei der Sicherstellung der Sicherheit der Verarbeitung (Art. 32 DSGVO) durch die in Anlage 2 dokumentierten Maßnahmen sowie auf Anfrage durch ergänzende Informationen.

§ 9 Meldung von Datenschutzverletzungen

(1) Der AN benachrichtigt den AG unverzüglich, spätestens jedoch innerhalb von 24 Stunden nach Kenntniserlangung über eine Verletzung des Schutzes personenbezogener Daten im Verantwortungsbereich des AN oder seiner Subprozessoren.

(2) Die Benachrichtigung enthält mindestens:

• Beschreibung der Art der Verletzung, soweit möglich mit Angabe der Kategorien und ungefähren Zahl der betroffenen Personen und Datensätze,
• Name und Kontaktdaten der zuständigen Ansprechperson auf Seiten des AN,
• Beschreibung der wahrscheinlichen Folgen,
• Beschreibung der zur Behebung getroffenen oder vorgeschlagenen Maßnahmen.

(3) Die Meldung an die zuständige Aufsichtsbehörde nach Art. 33 DSGVO und die Information der Betroffenen nach Art. 34 DSGVO obliegen dem AG; der AN unterstützt mit allen erforderlichen Informationen.

§ 10 Kontroll- und Auditrechte

(1) Der AN ermöglicht dem AG die Überprüfung der Einhaltung dieses AVV gemäß Art. 28 Abs. 3 lit. h DSGVO.

(2) Die Überprüfung erfolgt vorrangig durch:

• Selbstauskunft des AN,
• Vorlage aktueller TOMs (Anlage 2),
• Vorlage aktueller Subprozessoren-DPAs/Zertifikate (z. B. ISO 27001, SOC 2, DPF-Zertifizierung).

(3) Vor-Ort-Audits beim AN sind nur bei nachgewiesenem konkretem Anlass und nach Vorankündigung von mindestens 4 Wochen zulässig. Die Häufigkeit beträgt höchstens einmal pro Kalenderjahr. Aufwände des AN durch Vor-Ort-Audits trägt der AG.

(4) Bei zertifizierten Subprozessoren genügt die Vorlage der jeweiligen Zertifikate.

§ 11 Rückgabe und Löschung bei Vertragsende

(1) Nach Beendigung der Verarbeitung wählt der AG zwischen Rückgabe oder Löschung der Daten.

(2) Anforderungsfrist: 30 Tage nach Vertragsende. Geht binnen dieser Frist keine Anforderung ein, löscht der AN die Daten.

(3) Durchführungsfrist: 30 Tage nach Anforderung.

(4) Gesetzliche Aufbewahrungspflichten (z. B. § 257 HGB, § 147 AO) bleiben unberührt; betroffene Daten verbleiben gesperrt bis Ablauf der Aufbewahrungsfrist und werden danach gelöscht.

(5) Die Löschung wird dem AG auf Wunsch in Textform bestätigt.

§ 12 Haftung

(1) Für die Haftung gilt Art. 82 DSGVO unmittelbar. Im Innenverhältnis tragen die Parteien Schäden im Verhältnis ihres Verschuldensanteils.

(2) Im Übrigen verweist dieser AVV auf die Haftungsregelung des Hauptvertrags (AGB § 6).

§ 13 Schlussbestimmungen

(1) Dieser AVV bleibt für die Dauer des Hauptvertrags wirksam und endet mit dessen Beendigung, vorbehaltlich der nachvertraglichen Pflichten zur Rückgabe/Löschung.

(2) Es gilt deutsches Recht. Gerichtsstand ist Regensburg, soweit nach § 38 ZPO zulässig.

(3) Sollten einzelne Bestimmungen unwirksam sein, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt.

Anlagen

Nr.	Anlage
1	Beschreibung der Verarbeitung (Art, Zweck, Datenkategorien, Betroffenenkategorien) — wird im konkreten Vertragsdokument konkretisiert.
2	Technische und organisatorische Maßnahmen (TOMs) — Zusammenfassung in der Datenschutzerklärung § 7; Detail-Dokument auf Anfrage.
3	Subprozessoren-Liste
4	Transfer Impact Assessment (TIA) für US-Subprozessoren — auf Anfrage.

Stand: 10. Mai 2026 · Version 0.1 (Entwurf).