Auftragsverarbeitungsvertrag (AVV)

Vertragsparteien

Auftragsverarbeiter

Verantwortlicher

Der Verantwortliche ist der Kunde, der bytebrise mit der Erbringung von Leistungen beauftragt hat, in deren Rahmen personenbezogene Daten verarbeitet werden. Die konkreten Angaben zum Verantwortlichen ergeben sich aus dem jeweiligen Hauptvertrag.

§ 1 Gegenstand und Dauer

(1) Gegenstand dieses Vertrags ist die Verarbeitung personenbezogener Daten durch bytebrise im Auftrag des Verantwortlichen im Rahmen der im Hauptvertrag vereinbarten Leistungen (Webdesign, Pflege, Online-Marketing, Support).

(2) Die Laufzeit dieses Vertrags entspricht der Laufzeit des Hauptvertrags. Er endet automatisch mit Beendigung des Hauptvertrags.

§ 2 Art und Zweck der Verarbeitung

(1) Art der Verarbeitung: Erhebung, Erfassung, Organisation, Speicherung, Anpassung, Veränderung, Auslesen, Abfragen, Verwendung, Offenlegung durch Übermittlung, Verbreiten, Abgleich, Verknüpfung, Einschränkung, Löschung und Vernichtung.

(2) Zweck der Verarbeitung: Erbringung der im Hauptvertrag vereinbarten Leistungen, insbesondere:

• Entwicklung, Pflege und Wartung von Websites des Verantwortlichen
• Verwaltung von Nutzeranfragen aus Kontaktformularen, Newslettern und vergleichbaren Funktionen auf der Website
• Betreuung und Auswertung von Online-Marketing-Maßnahmen
• Bereitstellung und Pflege von Webshops, Buchungssystemen oder ähnlichen Anwendungen im Auftrag des Verantwortlichen

§ 3 Art der personenbezogenen Daten

Gegenstand der Verarbeitung können insbesondere folgende Datenkategorien sein:

• Stammdaten (z. B. Name, Anschrift, Firma, Position)
• Kommunikationsdaten (z. B. E-Mail, Telefon)
• Vertragsdaten (z. B. Bestellungen, Buchungen, Zahlungsinformationen ohne vollständige Kontodaten)
• Nutzungsdaten (z. B. aufgerufene Seiten, Zeitpunkt des Zugriffs, IP-Adressen)
• Inhaltsdaten aus Formularen (z. B. Text von Kontaktanfragen)

Die Verarbeitung besonderer Kategorien personenbezogener Daten (Art. 9 DSGVO) ist nur bei ausdrücklicher vorheriger Vereinbarung zulässig.

§ 4 Kategorien betroffener Personen

• Kunden und Interessenten des Verantwortlichen
• Beschäftigte und Kontaktpersonen des Verantwortlichen
• Besucher der Website des Verantwortlichen
• Lieferanten, Geschäftspartner und sonstige Kontakte des Verantwortlichen

§ 5 Pflichten von bytebrise

(1) bytebrise verarbeitet personenbezogene Daten ausschließlich im Rahmen der getroffenen Vereinbarungen und nach dokumentierter Weisung des Verantwortlichen, sofern bytebrise nicht ausnahmsweise durch Unionsrecht oder das Recht eines Mitgliedstaates zur Verarbeitung verpflichtet ist.

(2) bytebrise stellt sicher, dass die mit der Verarbeitung befassten Personen zur Vertraulichkeit verpflichtet sind oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen.

(3) bytebrise unterstützt den Verantwortlichen bei der Erfüllung seiner Pflichten nach Art. 32 bis 36 DSGVO (Sicherheit der Verarbeitung, Meldung von Verletzungen des Schutzes personenbezogener Daten, Datenschutz-Folgenabschätzung) soweit erforderlich und zumutbar.

(4) bytebrise unterrichtet den Verantwortlichen unverzüglich, wenn eine Weisung nach Auffassung von bytebrise gegen datenschutzrechtliche Vorschriften verstößt.

(5) bytebrise unterstützt den Verantwortlichen nach Möglichkeit bei der Beantwortung von Anträgen betroffener Personen auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Datenübertragbarkeit und Widerspruch.

§ 6 Technische und organisatorische Maßnahmen (TOM)

(1) bytebrise trifft geeignete technische und organisatorische Maßnahmen zum Schutz der personenbezogenen Daten gemäß Art. 32 DSGVO. Diese umfassen insbesondere:

Vertraulichkeit

• Zutrittskontrolle: Büroräume von bytebrise sind abgeschlossen, Zugang nur für autorisierte Personen.
• Zugangskontrolle: Arbeitsgeräte (Laptops, Mobilgeräte) sind durch Passwörter und Festplattenverschlüsselung geschützt.
• Zugriffskontrolle: Zugriffe auf Kundensysteme erfolgen über individuelle Zugangsdaten, nach Möglichkeit mit Zwei-Faktor-Authentifizierung.
• Trennungskontrolle: Mandantendaten werden getrennt verarbeitet (eigene Verzeichnisse, eigene Umgebungen je Kunde).
• Pseudonymisierung und Verschlüsselung: soweit technisch möglich und zumutbar.

Integrität

• Weitergabekontrolle: Datenübertragungen erfolgen über verschlüsselte Verbindungen (HTTPS, SFTP, FTPS).
• Eingabekontrolle: Änderungen an Kundensystemen sind über Zugriffslogs und Versionskontrolle nachvollziehbar.

Verfügbarkeit und Belastbarkeit

• Regelmäßige Sicherungskopien der Arbeitsumgebung.
• Schutz vor Schadsoftware durch aktuelle Antivirensoftware und zeitnahe Sicherheitsupdates.

Verfahren zur regelmäßigen Überprüfung, Bewertung und Evaluierung

• bytebrise überprüft die Wirksamkeit der TOM in regelmäßigen Abständen und passt sie bei Bedarf an.
• Die Umsetzung neuer Maßnahmen wird dokumentiert.

(2) Die konkrete Ausgestaltung der TOM kann sich im Laufe der Zeit an technische und organisatorische Weiterentwicklungen anpassen. Wesentliche Änderungen werden dem Verantwortlichen mitgeteilt. Das Sicherheitsniveau darf dadurch nicht abgesenkt werden.

§ 7 Unterauftragsverhältnisse

(1) bytebrise darf Unterauftragsverarbeiter einsetzen. Der Verantwortliche erteilt hiermit seine allgemeine Genehmigung zum Einsatz von Unterauftragsverarbeitern.

(2) Zum Zeitpunkt des Vertragsschlusses werden die folgenden Unterauftragsverarbeiter eingesetzt. Welche davon im Einzelfall zum Einsatz kommen, richtet sich nach den beauftragten Leistungen; die jeweils aktuelle Fassung dieser Liste wird auf Anfrage übermittelt.

• Namecheap, Inc., 4600 East Washington Street, Suite 305, Phoenix, AZ 85034, USA: Webhosting (cPanel, SFTP) und E-Mail-Postfächer für Websites, die auf dieser Plattform betrieben werden. Die Übermittlung in die USA erfolgt auf Grundlage der EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO).
• Hetzner Online GmbH, Industriestraße 25, 91710 Gunzenhausen, Deutschland: Betrieb der Server, auf denen bytebrise die eingesetzten Fachanwendungen betreibt (Verwaltung von Anfragen und Kundendaten, Reichweitenanalyse, Newsletter-Verwaltung, elektronische Signatur, KI-Assistent) sowie Hosting einzelner Websites. Die Rechenzentren liegen in Deutschland, eine Übermittlung in ein Drittland findet nicht statt.
• Cloudflare, Inc., 101 Townsend Street, San Francisco, CA 94107, USA: DNS, Content-Delivery-Network, Schutz vor Angriffen und Zugriffsschutz sowie Objektspeicher und Ausführungsumgebung für Websites, die über Cloudflare ausgeliefert werden. Verarbeitet werden dabei technische Verbindungsdaten (unter anderem IP-Adresse, User-Agent, angefragte URL). Die Übermittlung in die USA erfolgt auf Grundlage der EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO); Cloudflare ist zusätzlich nach dem EU-US Data Privacy Framework zertifiziert.
• sipgate GmbH, Gladbacher Straße 74, 40219 Düsseldorf, Deutschland: Telefonie und telefonischer KI-Assistent, soweit diese Leistung beauftragt ist. Die Verarbeitung erfolgt innerhalb der EU.
• Brevo GmbH (vormals Sendinblue GmbH), Köpenicker Straße 126, 10179 Berlin, Deutschland: technischer Versand von E-Mails und Newslettern, soweit diese Leistung beauftragt ist. Die Verarbeitung erfolgt innerhalb der EU.
• Resend (Plus Five Five, Inc.), 2261 Market Street #5039, San Francisco, CA 94114, USA: technischer Versand von Transaktions- und Benachrichtigungs-E-Mails aus Websites und Webanwendungen (zum Beispiel Bestätigungen zu Formularanfragen und Buchungen). Die Übermittlung in die USA erfolgt auf Grundlage der EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO); Resend ist zusätzlich nach dem EU-US Data Privacy Framework zertifiziert.
• Anthropic, PBC, San Francisco, Kalifornien, USA: Auftragsverarbeitung für KI-gestützte Text- und Chat-Funktionen, soweit solche Funktionen beauftragt sind. Die Übermittlung in die USA erfolgt auf Grundlage der EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO).
• Backblaze, Inc., San Mateo, Kalifornien, USA, und Google Cloud EMEA Limited, 70 Sir John Rogerson's Quay, Dublin 2, Irland: Aufbewahrung verschlüsselter Sicherungskopien der von bytebrise betriebenen Systeme (Google Cloud: Rechenzentrum Frankfurt am Main). Die Sicherungen werden vor der Übertragung verschlüsselt, die Schlüssel verbleiben ausschließlich bei bytebrise. Für die Übermittlung an Backblaze in die USA gelten die EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO).
• Setzt bytebrise für ein konkretes Projekt weitere Unterauftragsverarbeiter ein (zum Beispiel einen vom Verantwortlichen vorgegebenen Hoster, ein CMS, einen Zahlungsdienstleister, einen Analyse-, Terminbuchungs- oder Fehlerdiagnose-Dienst oder einen abweichenden E-Mail-Dienst), werden diese dem Verantwortlichen nach Absatz 3 vor dem Einsatz benannt.

(3) bytebrise informiert den Verantwortlichen über beabsichtigte Änderungen hinsichtlich der Hinzuziehung oder Ersetzung von Unterauftragsverarbeitern. Der Verantwortliche kann solchen Änderungen innerhalb von 14 Tagen nach Benachrichtigung aus wichtigem, datenschutzrechtlichem Grund widersprechen.

(4) bytebrise verpflichtet seine Unterauftragsverarbeiter zu gleichwertigen Datenschutzverpflichtungen, wie sie in diesem Vertrag vereinbart sind.

§ 8 Rechte und Pflichten des Verantwortlichen

(1) Der Verantwortliche ist für die Zulässigkeit der Verarbeitung personenbezogener Daten sowie für die Wahrung der Rechte betroffener Personen im Sinne der DSGVO verantwortlich (Art. 4 Nr. 7 DSGVO).

(2) Der Verantwortliche erteilt alle Aufträge, Teilaufträge und Weisungen in Textform. Mündliche Weisungen sind unverzüglich schriftlich zu bestätigen.

(3) Der Verantwortliche hat das Recht, sich von der Einhaltung der getroffenen technischen und organisatorischen Maßnahmen durch bytebrise zu überzeugen, z. B. durch Einholung schriftlicher Auskünfte oder, nach vorheriger Anmeldung und unter angemessener Rücksichtnahme auf den laufenden Betriebsablauf, durch Kontrolle vor Ort.

§ 9 Meldung von Datenschutzverletzungen

bytebrise meldet dem Verantwortlichen unverzüglich, spätestens jedoch innerhalb von 72 Stunden nach Kenntniserlangung, jede Verletzung des Schutzes personenbezogener Daten gemäß Art. 33, 34 DSGVO. Die Meldung enthält alle nach Art. 33 Abs. 3 DSGVO erforderlichen Informationen, soweit diese bytebrise zum Zeitpunkt der Meldung bekannt sind.

§ 10 Löschung und Rückgabe nach Vertragsende

(1) Nach Beendigung des Auftrags übergibt bytebrise sämtliche überlassenen Unterlagen, erstellten Verarbeitungs- und Nutzungsergebnisse und Datenbestände, die im Zusammenhang mit dem Vertragsverhältnis stehen, dem Verantwortlichen oder löscht diese nach Wahl des Verantwortlichen datenschutzgerecht.

(2) Die Löschung dokumentiert bytebrise auf Anfrage.

(3) Gesetzliche Aufbewahrungspflichten bleiben unberührt.

§ 11 Vergütung

Leistungen von bytebrise im Rahmen dieses Vertrags sind durch die im Hauptvertrag vereinbarte Vergütung abgegolten. Aufwendungen, die über das übliche Maß hinausgehen (z. B. aufwendige Unterstützungsleistungen bei Behördenanfragen, On-Site-Audits), können nach Aufwand gesondert berechnet werden.

§ 12 Haftung

Es gilt die Haftungsregelung des Hauptvertrags zwischen den Parteien (siehe § 14 der AGB). Die Regelungen von Art. 82 DSGVO bleiben unberührt.

§ 13 Schlussbestimmungen

(1) Dieser Vertrag unterliegt dem Recht der Bundesrepublik Deutschland. Erfüllungsort und Gerichtsstand sind, soweit zulässig, Fürstenfeldbruck.

(2) Änderungen und Ergänzungen dieses Vertrags bedürfen der Textform.

(3) Sollten einzelne Bestimmungen unwirksam sein, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt. Anstelle der unwirksamen Bestimmung tritt die gesetzliche Regelung.

Stand

31.07.2026