← Zurück zur Startseite

Auftragsverarbeitungsvertrag (AVV)

gemäß Art. 28 Datenschutz-Grundverordnung (DSGVO)

§ 1 Gegenstand und Dauer der Verarbeitung

(1) Dieser Auftragsverarbeitungsvertrag (nachfolgend „AVV“) konkretisiert die datenschutzrechtlichen Verpflichtungen der Vertragsparteien gemäß Art. 28 DSGVO im Zusammenhang mit der Nutzung der cloudbasierten Betriebsmanagement-Software (nachfolgend „Software“) von:

Auftragnehmer:
FreyAI Visions
Jonas Glawion
Grabenstraße 135
63762 Großostheim
E-Mail: kontakt@freyaivisions.de

Auftraggeber:
Der Kunde gemäß dem zugrunde liegenden SaaS-Vertrag (nachfolgend „Hauptvertrag“).

(2) Gegenstand der Auftragsverarbeitung ist die Bereitstellung der Software als Software-as-a-Service (SaaS) zur Verwaltung von Geschäftsprozessen für Handwerksbetriebe, einschließlich:

(3) Die Dauer der Verarbeitung entspricht der Laufzeit des Hauptvertrags. Nach Beendigung des Hauptvertrags werden die Daten gemäß § 8 dieses AVV gelöscht oder zurückgegeben.

§ 2 Art und Zweck der Verarbeitung

(1) Die Verarbeitung umfasst folgende Tätigkeiten:

(2) Der Zweck der Verarbeitung ergibt sich aus dem Hauptvertrag. Der Auftragnehmer verarbeitet die Daten ausschließlich im Auftrag und nach dokumentierter Weisung des Auftraggebers (Art. 28 Abs. 3 lit. a DSGVO).

§ 3 Art der personenbezogenen Daten und Kategorien betroffener Personen

(1) Kategorien personenbezogener Daten:

(2) Kategorien betroffener Personen:

§ 4 Pflichten des Auftragnehmers

(1) Der Auftragnehmer verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Auftraggebers, es sei denn, er ist nach dem Recht der Union oder der Mitgliedstaaten, dem der Auftragnehmer unterliegt, zur Verarbeitung verpflichtet. In diesem Fall teilt der Auftragnehmer dem Auftraggeber diese rechtliche Anforderung vor der Verarbeitung mit, sofern das betreffende Recht dies nicht wegen eines wichtigen öffentlichen Interesses verbietet (Art. 28 Abs. 3 lit. a DSGVO).

(2) Der Auftragnehmer gewährleistet, dass sich die zur Verarbeitung der personenbezogenen Daten befugten Personen zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen (Art. 28 Abs. 3 lit. b DSGVO).

(3) Der Auftragnehmer ergreift alle gemäß Art. 32 DSGVO erforderlichen Maßnahmen, insbesondere die in Anlage 1 (Technisch-Organisatorische Maßnahmen) dieses AVV aufgeführten Maßnahmen.

(4) Der Auftragnehmer unterstützt den Auftraggeber unter Berücksichtigung der Art der Verarbeitung nach Möglichkeit durch geeignete technische und organisatorische Maßnahmen bei der Erfüllung von Anfragen betroffener Personen (Art. 28 Abs. 3 lit. e DSGVO).

(5) Der Auftragnehmer unterstützt den Auftraggeber bei der Einhaltung der in den Art. 32 bis 36 DSGVO genannten Pflichten (Art. 28 Abs. 3 lit. f DSGVO).

(6) Der Auftragnehmer informiert den Auftraggeber unverzüglich, wenn er der Auffassung ist, dass eine Weisung des Auftraggebers gegen datenschutzrechtliche Vorschriften verstößt (Art. 28 Abs. 3 Satz 3 DSGVO).

§ 5 Pflichten des Auftraggebers

(1) Der Auftraggeber ist für die Rechtmäßigkeit der Datenverarbeitung sowie für die Wahrung der Rechte der betroffenen Personen allein verantwortlich (Art. 24 DSGVO).

(2) Der Auftraggeber erteilt alle Weisungen in Textform (E-Mail ist ausreichend). Mündliche Weisungen sind unverzüglich schriftlich zu bestätigen.

(3) Der Auftraggeber informiert den Auftragnehmer unverzüglich, wenn er Fehler oder Unregelmäßigkeiten bei der Verarbeitung feststellt.

(4) Der Auftraggeber benennt einen Ansprechpartner für im Rahmen des AVV anfallende Datenschutzfragen.

§ 6 Meldung von Datenschutzverletzungen

(1) Der Auftragnehmer unterrichtet den Auftraggeber unverzüglich, spätestens jedoch innerhalb von 24 Stunden nach Bekanntwerden einer Verletzung des Schutzes personenbezogener Daten (Art. 33 Abs. 2 DSGVO).

(2) Die Meldung enthält mindestens folgende Angaben:

(3) Der Auftragnehmer unterstützt den Auftraggeber bei der Erfüllung seiner Meldepflichten gegenüber der Aufsichtsbehörde und den betroffenen Personen.

§ 7 Unterauftragnehmer (Subunternehmer)

(1) Der Auftraggeber erteilt dem Auftragnehmer hiermit die allgemeine Genehmigung, weitere Auftragsverarbeiter (Unterauftragnehmer) gemäß Art. 28 Abs. 2 DSGVO einzusetzen.

(2) Der Auftragnehmer setzt zum Zeitpunkt des Vertragsschlusses folgende Unterauftragnehmer ein:

(3) Der Auftragnehmer informiert den Auftraggeber über jede beabsichtigte Änderung in Bezug auf die Hinzuziehung oder Ersetzung von Unterauftragnehmern. Der Auftraggeber kann gegen diese Änderungen innerhalb von 14 Tagen nach Mitteilung Einspruch erheben. Erhebt der Auftraggeber berechtigten Einspruch, steht beiden Parteien ein Sonderkündigungsrecht zu.

(4) Der Auftragnehmer stellt vertraglich sicher, dass die mit den Unterauftragnehmern vereinbarten Regelungen den Bestimmungen dieses AVV entsprechen (Art. 28 Abs. 4 DSGVO).

§ 8 Löschung und Rückgabe personenbezogener Daten

(1) Nach Beendigung des Hauptvertrags löscht der Auftragnehmer sämtliche personenbezogenen Daten des Auftraggebers, sofern nicht eine gesetzliche Aufbewahrungspflicht besteht (Art. 28 Abs. 3 lit. g DSGVO).

(2) Der Auftraggeber hat nach Vertragsende für einen Zeitraum von 30 Tagen die Möglichkeit, seine Daten in einem maschinenlesbaren Format (CSV, JSON) zu exportieren.

(3) Die Löschung wird dem Auftraggeber auf Anfrage schriftlich bestätigt.

(4) Gesetzliche Aufbewahrungspflichten (insbesondere § 257 HGB, § 147 AO) bleiben unberührt. Daten, die aufgrund gesetzlicher Vorgaben aufbewahrt werden müssen, werden für die weitere Verarbeitung gesperrt und nach Ablauf der Aufbewahrungsfrist gelöscht.

§ 9 Kontrollrechte des Auftraggebers

(1) Der Auftraggeber hat das Recht, die Einhaltung der datenschutzrechtlichen Vorschriften und der Bestimmungen dieses AVV zu überprüfen. Der Auftragnehmer stellt dem Auftraggeber alle erforderlichen Informationen zum Nachweis der Einhaltung der in Art. 28 DSGVO niedergelegten Pflichten zur Verfügung (Art. 28 Abs. 3 lit. h DSGVO).

(2) Inspektionen vor Ort sind nach vorheriger Ankündigung mit angemessener Frist (mindestens 14 Tage) möglich, soweit der Auftragnehmer nicht durch ein aktuelles Datenschutz-Zertifikat oder eine unabhängige Prüfung die Einhaltung nachweisen kann.

(3) Der Auftragnehmer kann alternativ einen aktuellen Nachweis durch geeignete Zertifizierungen oder Prüfberichte (z. B. SOC 2, ISO 27001) vorlegen.

§ 10 Haftung

(1) Die Haftung der Parteien richtet sich nach Art. 82 DSGVO in Verbindung mit den Haftungsregelungen des Hauptvertrags.

(2) Der Auftragnehmer haftet gegenüber dem Auftraggeber für Schäden, die durch eine nicht den Vorschriften der DSGVO entsprechende Verarbeitung entstehen oder durch ein Handeln außerhalb oder entgegen den rechtmäßigen Weisungen des Auftraggebers.

§ 11 Laufzeit und Kündigung

(1) Dieser AVV ist an die Laufzeit des Hauptvertrags gekoppelt und endet automatisch mit dessen Beendigung.

(2) Ein eigenständiges Kündigungsrecht für diesen AVV besteht nicht; die Kündigung des Hauptvertrags bewirkt zugleich die Beendigung des AVV.

(3) Das Recht zur außerordentlichen Kündigung bei schwerwiegenden Datenschutzverstößen bleibt unberührt.

§ 12 Schlussbestimmungen

(1) Es gilt das Recht der Bundesrepublik Deutschland.

(2) Gerichtsstand ist, soweit gesetzlich zulässig, Aschaffenburg.

(3) Sollten einzelne Bestimmungen dieses AVV unwirksam sein oder werden, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt (salvatorische Klausel).

(4) Änderungen und Ergänzungen dieses AVV bedürfen der Textform.

Anlage 1: Technisch-Organisatorische Maßnahmen (TOM)

gemäß Art. 32 DSGVO

1. Vertraulichkeit (Art. 32 Abs. 1 lit. b DSGVO)

Zutrittskontrolle

Zugangskontrolle

Zugriffskontrolle

Trennungskontrolle

2. Integrität (Art. 32 Abs. 1 lit. b DSGVO)

Weitergabekontrolle

Eingabekontrolle

3. Verfügbarkeit und Belastbarkeit (Art. 32 Abs. 1 lit. b, c DSGVO)

4. Verfahren zur regelmäßigen Überprüfung (Art. 32 Abs. 1 lit. d DSGVO)

Anlage 2: Genehmigte Unterauftragnehmer

Stand: Mai 2026

Unterauftragnehmer Sitz Leistung Verarbeitungsort
Supabase Inc. USA Datenbank, Auth, Realtime EU (Frankfurt)
Hetzner Online GmbH Deutschland Backup, sekundäres Hosting Deutschland
Google LLC / Vertex AI USA KI-Funktionen (optional) EU / USA
Hostinger International Ltd. Litauen VPS-Hosting EU
Stripe Inc. USA Zahlungsabwicklung EU / USA
Resend Inc. USA E-Mail-Zustellung USA
Twilio Inc. USA SMS-Versand USA

Stand: Mai 2026