Auftragsverarbeitungsvertrag (AVV)

Vorlage nach Art. 28 DSGVO. Der Vertrag wird je Projekt schriftlich oder in Textform abgeschlossen. Projektspezifische Angaben werden in Anlage 1 ergänzt.

§ 1 Vertragsparteien

Verantwortlicher (Auftraggeber): der Kunde gemäß Angebot bzw. Hauptvertrag.

Auftragsverarbeiter (Auftragnehmer): Zero-Point Computer GmbH (HAILEVEL), Prinzenallee 1, 40549 Düsseldorf, vertreten durch den Geschäftsführer Jabbar A. Bhikh, Amtsgericht Düsseldorf HRB 35889.

§ 2 Gegenstand und Dauer

(1) Gegenstand ist die Verarbeitung personenbezogener Daten durch den Auftragnehmer im Rahmen der im Hauptvertrag vereinbarten Leistungen, insbesondere Entwicklung, Betrieb, Wartung und Support von Software, Automatisierungen und KI-gestützten Anwendungen.

(2) Die Laufzeit entspricht der Laufzeit des Hauptvertrags. Pflichten, die ihrer Natur nach fortwirken, bleiben bestehen.

§ 3 Art, Zweck, Datenarten und Betroffene

(1) Art und Zweck: Erheben, Speichern, Ordnen, Auslesen, Verwenden, Übermitteln und Löschen von Daten, ausschließlich zur Leistungserbringung.

(2) Datenarten (je nach Projekt): Kontakt- und Stammdaten, Kommunikationsdaten, Vertrags- und Abrechnungsdaten, Nutzungs- und Protokolldaten, Inhalte, die der Auftraggeber in Systeme einspielt.

(3) Betroffene: Beschäftigte, Kunden, Interessenten, Lieferanten und sonstige Kontaktpersonen des Auftraggebers.

(4) Besondere Kategorien nach Art. 9 DSGVO werden nur verarbeitet, wenn dies in Anlage 1 ausdrücklich vereinbart ist.

§ 4 Weisungsrecht

(1) Der Auftragnehmer verarbeitet die Daten nur auf dokumentierte Weisung des Auftraggebers, auch bei Übermittlungen in Drittländer, es sei denn, er ist gesetzlich zur Verarbeitung verpflichtet. In diesem Fall teilt er dem Auftraggeber die Verpflichtung vor der Verarbeitung mit, sofern das Gesetz dies nicht verbietet.

(2) Weisungen erfolgen in Textform. Hält der Auftragnehmer eine Weisung für rechtswidrig, weist er unverzüglich darauf hin und darf die Ausführung bis zur Bestätigung aussetzen.

§ 5 Vertraulichkeit

Der Auftragnehmer setzt nur Personen ein, die zur Vertraulichkeit verpflichtet sind oder einer gesetzlichen Verschwiegenheitspflicht unterliegen und im Datenschutz unterwiesen wurden.

§ 6 Technische und organisatorische Maßnahmen

Der Auftragnehmer trifft angemessene Maßnahmen nach Art. 32 DSGVO, insbesondere:

• Zugriffsschutz durch individuelle Konten, starke Passwörter und Mehr-Faktor-Anmeldung, wo verfügbar
• Rollen- und Rechtekonzept nach dem Prinzip der minimalen Berechtigung
• Verschlüsselte Übertragung (TLS) und Verschlüsselung gespeicherter Daten bei den eingesetzten Anbietern
• Trennung von Kundendaten und Entwicklungs-, Test- und Produktivumgebungen
• Datensicherungen und Wiederherstellungsverfahren beim jeweiligen Anbieter
• Protokollierung administrativer Zugriffe, soweit technisch verfügbar
• Regelmäßige Überprüfung und Anpassung der Maßnahmen an den Stand der Technik

Die Maßnahmen dürfen weiterentwickelt werden, solange das Schutzniveau nicht unterschritten wird.

§ 7 Unterauftragsverarbeiter

(1) Der Auftraggeber genehmigt den Einsatz der folgenden Unterauftragsverarbeiter, soweit sie für das jeweilige Projekt benötigt werden:

• Lovable Labs Incorporated (Plattform für Entwicklung und Hosting)
• Cloudflare, Inc. (Auslieferung, Netzwerk, Sicherheit)
• Supabase, Inc. (Datenbank und Backend)
• Microsoft Ireland Operations Ltd. (Microsoft 365, E-Mail und Zusammenarbeit)

(2) Projektspezifisch weitere Anbieter (z. B. KI-Modellanbieter) werden in Anlage 1 aufgeführt. Über beabsichtigte Änderungen informiert der Auftragnehmer vorab in Textform; der Auftraggeber kann innerhalb von 14 Tagen aus wichtigem datenschutzrechtlichen Grund widersprechen.

(3) Der Auftragnehmer verpflichtet Unterauftragsverarbeiter vertraglich auf gleichwertige Datenschutzpflichten. Bei Übermittlungen in Drittländer stellt er geeignete Garantien sicher, z. B. EU-Standardvertragsklauseln oder eine Zertifizierung nach dem EU-U.S. Data Privacy Framework.

§ 8 Unterstützung des Auftraggebers

(1) Der Auftragnehmer unterstützt den Auftraggeber im Rahmen des Zumutbaren bei der Erfüllung von Betroffenenrechten (Art. 12 bis 23 DSGVO), bei Datenschutz-Folgenabschätzungen und bei den Pflichten nach Art. 32 bis 36 DSGVO. Anfragen Betroffener leitet er unverzüglich weiter.

(2) Verletzungen des Schutzes personenbezogener Daten meldet der Auftragnehmer unverzüglich, spätestens innerhalb von 48 Stunden nach Kenntnis, mit den ihm vorliegenden Informationen nach Art. 33 Abs. 3 DSGVO.

(3) Unterstützungsleistungen, die über die gesetzlichen Pflichten hinausgehen oder vom Auftraggeber verursacht sind, können nach Aufwand vergütet werden.

§ 9 Kontrollrechte

Der Auftragnehmer stellt dem Auftraggeber die erforderlichen Informationen zum Nachweis der Pflichten zur Verfügung und ermöglicht Überprüfungen nach vorheriger Anmeldung mit angemessener Frist, zu üblichen Geschäftszeiten und ohne Störung des Betriebs. Nachweise können auch durch aktuelle Zertifikate oder Berichte der Unterauftragsverarbeiter erbracht werden.

§ 10 Rückgabe und Löschung

Nach Ende der Leistungen gibt der Auftragnehmer nach Wahl des Auftraggebers alle Daten zurück oder löscht sie, sofern keine gesetzliche Pflicht zur Speicherung besteht. Die Löschung wird auf Verlangen in Textform bestätigt. Datensicherungen werden im Rahmen der regulären Rotationszyklen gelöscht.

§ 11 Haftung und Schlussbestimmungen

(1) Für die Haftung gilt Art. 82 DSGVO. Im Übrigen gelten die Haftungsregelungen des Hauptvertrags bzw. unserer AGB.

(2) Bei Widersprüchen hat dieser Vertrag in datenschutzrechtlichen Fragen Vorrang vor dem Hauptvertrag.

(3) Es gilt deutsches Recht. Gerichtsstand ist, soweit zulässig, Düsseldorf.

Anlage 1 – Projektspezifische Angaben

Konkrete Datenarten, Betroffene, zusätzliche Unterauftragsverarbeiter, Serverstandorte und besondere Weisungen werden je Projekt festgelegt. Die Vorlage fordert ihr bei uns unter hallo@hailevel.ai an.