Vertrag zur Auftragsverarbeitung (AVV)

nach Art. 28 Datenschutz-Grundverordnung (DSGVO) · für alle Dienste von Helferhub · Stand: Oktober 2026

zwischen dem Kunden (dem Verein, der Fahrschule bzw. dem Unternehmen, das einen Dienst von Helferhub nutzt) – nachfolgend „Verantwortlicher“ –

und [[NAME]], [[STRASSE]], [[PLZ ORT]] – nachfolgend „Auftragsverarbeiter“ –

So kommt dieser Vertrag zustande: Er wird mit dem Abschluss des Nutzungsvertrags über einen Dienst von Helferhub (derzeit „Mein Vereinshelfer“ und „Fahrschulhelfer“) Bestandteil dieses Vertrags (siehe AGB § 1 Abs. 4). Auf Wunsch stellt der Auftragsverarbeiter eine unterzeichnete Ausfertigung zur Verfügung.

§ 1 Gegenstand, Dauer und anwendbares Recht

1. Gegenstand ist die Verarbeitung personenbezogener Daten im Auftrag des Verantwortlichen, wenn der Auftragsverarbeiter dem Verantwortlichen einen Dienst als Software-as-a-Service bereitstellt. Verarbeitet werden ausschließlich Daten, die der Verantwortliche oder seine Benutzer in den Dienst eingeben oder die bei dessen Nutzung für den Verantwortlichen entstehen.
2. Dieser Vertrag gilt für die Laufzeit des Nutzungsvertrags und endet mit ihm. Wird der Nutzungsvertrag beendet, endet damit auch dieser Vertrag; die Pflichten zu Rückgabe und Löschung nach § 12 bestehen darüber hinaus fort.
3. Bei einfachen Pflichtverletzungen des Auftragsverarbeiters, die weder vorsätzlich noch grob fahrlässig erfolgen, setzt der Verantwortliche zuerst eine angemessene Frist zur Abhilfe, bevor er den Vertrag aus diesem Grund außerordentlich kündigt.
4. Die Verarbeitung richtet sich nach der Datenschutz-Grundverordnung (DSGVO) und dem Bundesdatenschutzgesetz.

§ 2 Art, Zweck und Umfang der Verarbeitung

1. Art der Verarbeitung ist das Speichern, Abrufen, Verknüpfen, Anzeigen, Verändern, Exportieren und Löschen von Daten. Auf Veranlassung des Verantwortlichen gehören dazu außerdem der Versand von E-Mails und die Erzeugung von Dokumenten (zum Beispiel Rechnungen, Bescheinigungen, Ausweise).
2. Zweck ist die Verwaltung der Organisation des Verantwortlichen mit dem jeweils gebuchten Dienst. Die Kategorien von Daten und betroffenen Personen ergeben sich aus Anlage 1.

§ 3 Weisungen

1. Der Auftragsverarbeiter verarbeitet personenbezogene Daten nur auf dokumentierte Weisung des Verantwortlichen, es sei denn, er ist durch Unionsrecht oder das Recht eines Mitgliedstaats zur Verarbeitung verpflichtet. In diesem Fall teilt er dem Verantwortlichen die rechtliche Verpflichtung vor der Verarbeitung mit, sofern das Recht dies nicht aus wichtigem öffentlichem Interesse verbietet.
2. Weisungen erteilt der Verantwortliche vorrangig durch Eingaben und Einstellungen seiner Benutzer in der Anwendung. Darüber hinausgehende Einzelweisungen erfolgen in Textform; Löschungen auf Weisung verlangen mindestens die Textform.
3. Hält der Auftragsverarbeiter eine Weisung für rechtswidrig, weist er den Verantwortlichen unverzüglich darauf hin und darf ihre Ausführung aussetzen, bis der Verantwortliche sie bestätigt oder ändert.
4. Verlangt ein Dritter vom Verantwortlichen die Bereitstellung von Daten nach der Verordnung (EU) 2023/2854 (Data Act) und beauftragt der Verantwortliche den Auftragsverarbeiter damit, gilt dies als zulässige Weisung. Eine Weitergabe an Dritte setzt eine dokumentierte Weisung oder eine gesetzliche Pflicht voraus; der Auftragsverarbeiter informiert den Verantwortlichen vorher, soweit das Recht es erlaubt.

§ 4 Technische und organisatorische Maßnahmen

1. Der Auftragsverarbeiter trifft die in Anlage 2 beschriebenen Maßnahmen nach Art. 32 DSGVO. Mit der Annahme dieses Vertrags sind sie Grundlage der Vereinbarung.
2. Er entwickelt die Maßnahmen entsprechend dem Stand der Technik weiter. Änderungen dürfen das vereinbarte Schutzniveau nicht unterschreiten. Wesentliche Änderungen teilt er dem Verantwortlichen unverzüglich in Textform mit.
3. Der Auftragsverarbeiter überprüft die Wirksamkeit der Maßnahmen regelmäßig und anlassbezogen.

§ 5 Pflichten des Auftragsverarbeiters

1. Er verpflichtet alle Personen, die Zugang zu den Daten haben, auf Vertraulichkeit (soweit sie nicht einer gesetzlichen Verschwiegenheitspflicht unterliegen) und sensibilisiert sie für den Datenschutz.
2. Er führt ein Verzeichnis der Verarbeitungstätigkeiten nach Art. 30 Abs. 2 DSGVO.
3. Ein Datenschutzbeauftragter ist benannt, soweit dies gesetzlich erforderlich ist. Ansprechpartner für Datenschutzfragen ist [[NAME]], E-Mail [[E-MAIL]].
4. Er verarbeitet die Daten getrennt von den Daten anderer Kunden (Mandantentrennung).

§ 6 Rechte betroffener Personen, Berichtigung und Löschung

1. Der Auftragsverarbeiter berichtigt, löscht oder sperrt Daten nur auf dokumentierte Weisung des Verantwortlichen. Der Verantwortliche kann dies in der Regel selbst über die Funktionen der Anwendung erledigen.
2. Wendet sich eine betroffene Person unmittelbar an den Auftragsverarbeiter, beantwortet er die Anfrage nicht selbst, sondern leitet sie unverzüglich an den Verantwortlichen weiter.
3. Der Auftragsverarbeiter unterstützt den Verantwortlichen mit geeigneten technischen und organisatorischen Maßnahmen (zum Beispiel Export- und Löschfunktionen) bei der Erfüllung der Rechte nach Art. 12 bis 22 DSGVO. Aufwand, der über die Bereitstellung dieser Funktionen hinausgeht, kann er angemessen vergüten lassen.
4. Machen betroffene Personen Schadensersatzansprüche gegen den Auftragsverarbeiter geltend und hat dieser vertrags- und weisungsgemäß gehandelt, stellt der Verantwortliche ihn im Innenverhältnis frei.

§ 7 Pflichten des Verantwortlichen

1. Der Verantwortliche ist für die Rechtmäßigkeit der Verarbeitung verantwortlich, insbesondere für Rechtsgrundlagen, Einwilligungen und Informationspflichten gegenüber den betroffenen Personen sowie für die Wahrung ihrer Rechte.
2. Er vergibt Zugriffsrechte in der Anwendung nach dem Grundsatz der Erforderlichkeit und hält Zugangsdaten geheim.
3. Er prüft die Ergebnisse der Verarbeitung und informiert den Auftragsverarbeiter unverzüglich, wenn er Fehler oder Unregelmäßigkeiten feststellt.
4. Der Verantwortliche sichert vor einer Löschung oder Vertragsbeendigung die für ihn wichtigen Daten selbst.

§ 8 Unterauftragsverarbeiter

1. Der Verantwortliche erteilt dem Auftragsverarbeiter die allgemeine Genehmigung, die in Anlage 3 genannten Unterauftragsverarbeiter einzusetzen. Die jeweils aktuelle Liste kann der Auftragsverarbeiter auf Anfrage bereitstellen.
2. Beabsichtigt er, einen Unterauftragsverarbeiter hinzuzuziehen oder zu ersetzen, informiert er den Verantwortlichen mindestens vier Wochen vor dem Zeitpunkt, ab dem Daten dort verarbeitet werden, in Textform. Der Verantwortliche kann aus wichtigem datenschutzrechtlichem Grund innerhalb dieser Frist widersprechen. Kommt keine Einigung zustande, haben beide Seiten ein Sonderkündigungsrecht zum Zeitpunkt des geplanten Wechsels.
3. Der Auftragsverarbeiter verpflichtet Unterauftragsverarbeiter vertraglich auf mindestens gleichwertige Datenschutzpflichten wie in diesem Vertrag und haftet dem Verantwortlichen für deren Pflichterfüllung.

§ 9 Verarbeitung in Drittländern

1. Der Auftragsverarbeiter verarbeitet die Daten ausschließlich in der Europäischen Union bzw. im Europäischen Wirtschaftsraum. [[PRÜFEN: Standort des Hosting-Anbieters bestätigen]]
2. Eine Übermittlung in ein Drittland erfolgt nur mit Zustimmung des Verantwortlichen und nur, wenn die Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind (zum Beispiel Angemessenheitsbeschluss oder Standardvertragsklauseln).

§ 10 Nachweise und Kontrollen

1. Der Auftragsverarbeiter stellt dem Verantwortlichen auf Anforderung die Informationen zur Verfügung, die zum Nachweis der Einhaltung dieses Vertrags und der Pflichten aus Art. 28 DSGVO erforderlich sind. Dazu können Selbstauskünfte, aktuelle Zertifikate oder Prüfberichte (auch des Hosting-Anbieters) gehören.
2. Vor-Ort-Prüfungen sind nach einer Voranmeldung von mindestens vier Wochen, während der üblichen Geschäftszeiten und ohne unverhältnismäßige Störung des Betriebs zulässig. Der Prüfer ist zur Verschwiegenheit zu verpflichten; Wettbewerber des Auftragsverarbeiters dürfen nicht prüfen.
3. Der Auftragsverarbeiter kann den Verantwortlichen zunächst auf vorhandene Nachweise verweisen. Aufwand für Prüfungen, der über die Bereitstellung der Standardnachweise hinausgeht, darf er angemessen vergüten lassen.

§ 11 Verletzungen des Schutzes personenbezogener Daten und Unterstützung

1. Der Auftragsverarbeiter meldet dem Verantwortlichen Verletzungen des Schutzes personenbezogener Daten, die bei ihm oder bei einem Unterauftragsverarbeiter auftreten, unverzüglich nach Bekanntwerden, in der Regel innerhalb von 48 Stunden, und übermittelt die für eine Meldung nach Art. 33 DSGVO nötigen Angaben, soweit sie ihm vorliegen.
2. Er unterstützt den Verantwortlichen bei den Pflichten nach Art. 32 bis 36 DSGVO (Sicherheit, Meldung von Verletzungen, Benachrichtigung Betroffener, Datenschutz-Folgenabschätzung, vorherige Konsultation der Aufsichtsbehörde), soweit dies für ihn als Auftragsverarbeiter möglich ist. Unterstützung, die über den Leistungsumfang des Nutzungsvertrags hinausgeht, kann angemessen vergütet werden.

§ 12 Rückgabe und Löschung

1. Datensicherungen und Kopien erstellt der Auftragsverarbeiter nur, soweit dies für den ordnungsgemäßen Betrieb erforderlich ist (zum Beispiel Sicherungen zur Wiederherstellung, Tests und Fehleranalyse im Support). Weitere Kopien ohne Wissen des Verantwortlichen werden nicht angelegt.
2. Nach Beendigung des Nutzungsvertrags oder früher auf Weisung des Verantwortlichen stellt der Auftragsverarbeiter die Daten für einen Export zur Verfügung und löscht sie anschließend einschließlich der Sicherungen, spätestens 30 Tage nach Vertragsende. Daten in Datensicherungen werden im regulären Sicherungszyklus überschrieben. Die Löschung bestätigt er auf Wunsch in Textform.
3. Dokumentation, die dem Nachweis der ordnungsgemäßen Verarbeitung dient, bewahrt der Auftragsverarbeiter entsprechend den jeweiligen gesetzlichen Fristen über das Vertragsende hinaus auf. Gesetzliche Aufbewahrungspflichten bleiben unberührt.

§ 13 Haftung

1. Für die Haftung gilt Art. 82 DSGVO. Im Innenverhältnis gelten die Haftungsregelungen der AGB (§ 15) entsprechend, soweit zwingendes Recht nicht entgegensteht.

§ 14 Schlussbestimmungen

1. Soweit dieser Vertrag nichts anderes regelt, gelten die Bestimmungen des Nutzungsvertrags und der AGB. Bei Widersprüchen gehen in Fragen des Datenschutzes die Regelungen dieses Vertrags vor.
2. Änderungen und Ergänzungen bedürfen der Textform.
3. Es gilt deutsches Recht. Sind einzelne Bestimmungen unwirksam oder werden sie unwirksam, bleibt die Wirksamkeit der übrigen unberührt.

Ort, Datum, Unterschrift Verantwortlicher (Kunde)  ·  Ort, Datum, Unterschrift Auftragsverarbeiter

Anlage 1 – Gegenstand der Verarbeitung

Anlage 2 – Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

1. Vertraulichkeit

• Zutrittskontrolle: Der Serverbetrieb erfolgt bei dem Hosting-Anbieter laut Anlage 3 in zutrittsgesicherten Rechenzentren. [[PRÜFEN: Zertifikate bzw. Nachweise des Hosters ergänzen]] Arbeitsplatz des Auftragsverarbeiters: [[PRÜFEN: Zutrittsschutz der eigenen Arbeitsumgebung beschreiben]]
• Zugangskontrolle: Zugang zur Anwendung nur mit persönlichen Zugangsdaten. Passwörter müssen mindestens 20 Zeichen lang sein und Groß- und Kleinbuchstaben, eine Ziffer und ein Sonderzeichen enthalten; sie werden ausschließlich als Hash gespeichert. Nach fünf fehlgeschlagenen Anmeldungen wird das Konto vorübergehend gesperrt. Sitzungen laufen nach einer Zeit der Inaktivität ab; das Sitzungs-Cookie ist für JavaScript nicht lesbar und mit SameSite-Schutz versehen. Links zum Zurücksetzen des Passworts sind zeitlich befristet und nur einmal verwendbar. Schutz vor Cross-Site-Request-Forgery (CSRF). Administrative Zugänge des Auftragsverarbeiters: [[PRÜFEN: Passwortrichtlinie / Zwei-Faktor-Authentifizierung beschreiben]]
• Zugriffskontrolle: Rollen- und Rechtekonzept in der Anwendung; der Verantwortliche legt Benutzer, Rollen und Rechte selbst fest. Zugriffe auf Bereiche und Funktionen erfolgen nur mit entsprechender Berechtigung.
• Trennungskontrolle: Strikte Mandantentrennung. Jeder Datensatz ist einem Kunden (Verein bzw. Fahrschule) zugeordnet; Abfragen sind auf den Kunden des angemeldeten Benutzers beschränkt. Hochgeladene Dateien erhalten zufällige, nicht erratbare Dateinamen, und in den Upload-Verzeichnissen ist die Ausführung von Skripten deaktiviert. [[PRÜFEN: Dateiablage je Kunde getrennt beschreiben]]
• Verschlüsselung: Übertragung per TLS (HTTPS). Der Zugang zu Portalen und mobilen Ansichten (zum Beispiel für Mitglieder, Fahrlehrer, Fahrschüler) erfolgt über zufällig erzeugte, nicht erratbare Zugangs-Token. Bankverbindungen aus Online-Bestellungen werden verschlüsselt gespeichert. [[PRÜFEN: Verschlüsselung ruhender Daten durch den Hoster]]

2. Integrität

• Weitergabekontrolle: Verschlüsselte Übertragung; Datenexporte nur für berechtigte Benutzer. Der E-Mail-Versand erfolgt, soweit der jeweilige Server dies unterstützt, transportverschlüsselt. Für den Inhalt versendeter E-Mails ist der Verantwortliche zuständig.
• Eingabekontrolle: Änderungen erfolgen über personalisierte Benutzerkonten. [[PRÜFEN: Umfang der Protokollierung beschreiben]]
• Schutz vor Angriffen: Parametrisierte Datenbankabfragen (Schutz vor SQL-Injection), Ausgabe-Maskierung (Schutz vor Cross-Site-Scripting), Prüfung hochgeladener Dateien nach Dateityp, Sicherheits-Header gegen Clickjacking und Content-Sniffing.

3. Verfügbarkeit und Belastbarkeit

• Regelmäßige Datensicherungen: [[PRÜFEN: Turnus, Aufbewahrungsdauer und Speicherort der Backups beschreiben]]
• Maßnahmen des Hosting-Anbieters (z. B. unterbrechungsfreie Stromversorgung, Redundanz, Brandschutz): [[PRÜFEN: laut Beschreibung des Hosters ergänzen]]
• Schnelle Wiederherstellung durch Datensicherungen und einen standardisierten Aufbau der Anwendung.

4. Verfahren zur regelmäßigen Überprüfung

• Regelmäßige Wartung und Aktualisierung der Software, Auswertung von Sicherheitshinweisen. [[PRÜFEN: Prüfrhythmus festlegen]]
• Datenschutzfreundliche Voreinstellungen, zum Beispiel vordefinierte Rollen mit minimalen Rechten.

5. Organisatorische Maßnahmen

• Verpflichtung aller eingesetzten Personen auf Vertraulichkeit; Sensibilisierung für den Datenschutz.
• Verfahren zur Meldung und Bearbeitung von Datenschutzvorfällen; Löschkonzept nach Vertragsende (siehe § 12).
• Sorgfältige Auswahl und Kontrolle von Unterauftragsverarbeitern; Abschluss von Verträgen zur Auftragsverarbeitung mit allen Unterauftragsverarbeitern.

Anlage 3 – Genehmigte Unterauftragsverarbeiter