Muster: Vertrag zur Auftragsverarbeitung (AVV)

nach Art. 28 DSGVO · Stand: 4. November 2026 · Muster der dcyphr.® GmbH für die Nutzung der dcyphr.® ID

Vertragsparteien

Auftraggeber (Verantwortlicher):
Firma / Organisation: ______________________________
Anschrift: ______________________________
Vertreten durch: ______________________________
Kontakt für Datenschutz: ______________________________

Auftragnehmer (Auftragsverarbeiter):
dcyphr.® GmbH, Hans-Thoma-Straße 40, 69121 Heidelberg, vertreten durch den Geschäftsführer Matthias Alexander Walenda
Kontakt für Datenschutz: contact@dcyphr.ai

§ 1 Gegenstand und Dauer

(1) Der Auftragnehmer stellt dem Auftraggeber die dcyphr.® ID mit ihren Apps bereit (Hauptvertrag: Nutzungsbedingungen bzw. gesonderter Vertrag). Dabei verarbeitet er personenbezogene Daten im Auftrag und nach Weisung des Auftraggebers.

(2) Dieser Vertrag gilt ab Unterzeichnung und für die Dauer des Hauptvertrags. Das Recht zur außerordentlichen Kündigung bleibt unberührt.

§ 2 Art, Zweck, Daten und Betroffene

Art und Zweck der Verarbeitung, die Arten personenbezogener Daten und die Kreise der Betroffenen ergeben sich aus Anlage 1.

§ 3 Weisungen

(1) Der Auftragnehmer verarbeitet die Daten ausschließlich auf dokumentierte Weisung des Auftraggebers, auch in Bezug auf Übermittlungen in ein Drittland, es sei denn, er ist durch Recht der Union oder eines Mitgliedstaats zu einer anderen Verarbeitung verpflichtet; in diesem Fall teilt er dies vorab mit, soweit das Recht es nicht verbietet (Art. 28 Abs. 3 lit. a DSGVO).

(2) Weisungen sind die Einstellungen, die der Auftraggeber in der Plattform vornimmt, und Mitteilungen in Textform. Der Auftragnehmer weist den Auftraggeber darauf hin, wenn er eine Weisung für rechtswidrig hält; er darf sie dann bis zur Klärung aussetzen.

§ 4 Pflichten des Auftragnehmers

1. Vertraulichkeit. Er setzt nur Personen ein, die zur Vertraulichkeit verpflichtet sind (Art. 28 Abs. 3 lit. b, Art. 29 DSGVO).
2. Sicherheit. Er trifft die in Anlage 2 beschriebenen technischen und organisatorischen Maßnahmen (Art. 32 DSGVO) und entwickelt sie dem Stand der Technik entsprechend weiter. Wesentliche Verschlechterungen teilt er mit.
3. Betroffenenrechte. Er unterstützt den Auftraggeber mit geeigneten Maßnahmen bei der Erfüllung der Rechte Betroffener (Art. 15 bis 22 DSGVO), etwa durch Auskunfts-, Berichtigungs-, Lösch- und Exportfunktionen der Plattform. Anfragen Betroffener leitet er unverzüglich an den Auftraggeber weiter.
4. Unterstützung. Er unterstützt bei Sicherheit, Meldepflichten, Datenschutz-Folgenabschätzung und Konsultation der Aufsichtsbehörde (Art. 32 bis 36 DSGVO) im Rahmen des Zumutbaren.
5. Datenpannen. Er meldet dem Auftraggeber eine Verletzung des Schutzes personenbezogener Daten unverzüglich, nachdem sie ihm bekannt wurde, und liefert die für eine Meldung nötigen Angaben.
6. Verzeichnis. Er führt ein Verzeichnis der Verarbeitungstätigkeiten für Auftragsverarbeiter (Art. 30 Abs. 2 DSGVO).
7. Datenschutzkontakt. Ein Datenschutzbeauftragter ist beim Auftragnehmer derzeit nicht benannt, weil die gesetzlichen Voraussetzungen nicht vorliegen; Ansprechpartner ist der Geschäftsführer (siehe oben).

§ 5 Pflichten des Auftraggebers

Der Auftraggeber ist für die Rechtmäßigkeit der Verarbeitung und für die Wahrung der Rechte Betroffener verantwortlich. Er informiert die betroffenen Personen (z. B. Teilnehmende seiner Events) und stellt sicher, dass er die Daten einstellen darf. Er teilt dem Auftragnehmer Unregelmäßigkeiten bei der Verarbeitung unverzüglich mit. Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO) dürfen nur eingestellt werden, wenn dies vorher in Textform vereinbart wurde.

§ 6 Unterauftragsverarbeiter

(1) Der Auftraggeber erteilt eine allgemeine Genehmigung zum Einsatz weiterer Auftragsverarbeiter. Die bei Vertragsschluss eingesetzten stehen in Anlage 3.

(2) Der Auftragnehmer informiert über beabsichtigte Änderungen mindestens 14 Tage vorher in Textform. Der Auftraggeber kann aus wichtigem Grund innerhalb dieser Frist widersprechen; bleibt eine Einigung aus, können beide Parteien den Hauptvertrag zum Zeitpunkt der Änderung außerordentlich kündigen.

(3) Der Auftragnehmer verpflichtet Unterauftragsverarbeiter vertraglich auf mindestens dieses Schutzniveau und haftet für sie wie für eigenes Handeln.

§ 7 Drittländer

Eine Verarbeitung findet grundsätzlich in Deutschland bzw. der EU statt. Setzt ein Unterauftragsverarbeiter Dienste außerhalb des EWR ein, stellt der Auftragnehmer die Voraussetzungen der Art. 44 ff. DSGVO sicher (Angemessenheitsbeschluss, EU-Standardvertragsklauseln mit ergänzenden Maßnahmen).

§ 8 Kontrollrechte

Der Auftragnehmer stellt dem Auftraggeber die Informationen zur Verfügung, die zum Nachweis der Pflichten aus Art. 28 DSGVO nötig sind, und ermöglicht Überprüfungen einschließlich Inspektionen, zu denen er beiträgt (Art. 28 Abs. 3 lit. h DSGVO). Vor-Ort-Prüfungen sind rechtzeitig (in der Regel 14 Tage vorher) anzukündigen, finden zu üblichen Geschäftszeiten statt, stören den Betrieb nicht unverhältnismäßig und erfolgen unter Wahrung der Vertraulichkeit gegenüber anderen Kunden. Der Nachweis kann auch durch aktuelle Selbstauskünfte oder Zertifikate des Hosters erbracht werden.

§ 9 Rückgabe und Löschung

Nach Ende des Hauptvertrags gibt der Auftragnehmer dem Auftraggeber auf Wunsch die Daten in einem gängigen Format heraus (Export-Funktionen) und löscht sie danach, spätestens nach 30 Tagen, einschließlich vorhandener Kopien, soweit keine gesetzliche Aufbewahrungspflicht besteht. Backups werden im regulären Turnus überschrieben. Auf Verlangen bestätigt er die Löschung in Textform.

§ 10 Haftung und Schlussbestimmungen

(1) Für die Haftung gelten Art. 82 DSGVO und im Innenverhältnis die Haftungsregelungen des Hauptvertrags (Teil E der AGB), soweit zwingendes Recht nichts anderes vorschreibt.

(2) Änderungen und Ergänzungen bedürfen der Textform. Bei Widersprüchen geht dieser Vertrag dem Hauptvertrag vor, soweit es um personenbezogene Daten geht.

(3) Es gilt deutsches Recht. Gerichtsstand ist, soweit zulässig, Heidelberg. Sollte eine Bestimmung unwirksam sein, bleibt der Vertrag im Übrigen wirksam.

Ort, Datum: ______________________    Auftraggeber: ______________________
Ort, Datum: ______________________    Auftragnehmer (dcyphr.® GmbH): ______________________

Anlage 1 — Gegenstand der Verarbeitung

Anlage 2 — Technische und organisatorische Maßnahmen

• Zutritt: Betrieb in Rechenzentren des Hosters in Deutschland mit dessen Zutrittskontrollen; kein eigener Serverraum.
• Zugang: persönliche Konten, Passwörter nur als Hash gespeichert, Sperre nach Fehlversuchen, optionaler zweiter Faktor per E-Mail oder SMS, Sitzungen mit gesicherten Cookies (nur HTTPS, nicht per Skript lesbar).
• Zugriff: Rollen- und Rechtekonzept je Organisation und je Event; Zugriff auf Dateien nur nach Anmeldung und Berechtigung, Dateien liegen außerhalb des öffentlichen Webbereichs.
• Weitergabe: Verschlüsselte Übertragung (TLS); Schutz gegen Fremdskripte (Content-Security-Policy) und gegen Fremdaufrufe von Formularen (CSRF-Schutz).
• Eingabe: Protokollierung wesentlicher Aktionen im Event-Studio (wer, wann, was).
• Auftragskontrolle: Verarbeitung nur im Rahmen der Plattform-Funktionen und dieser Weisungen; Unterauftragnehmer vertraglich gebunden.
• Verfügbarkeit: regelmäßige automatische Sicherungen der Datenbanken und Dateien, Wiederherstellung durch den Auftragnehmer; Betriebsüberwachung ohne Speicherung von IP-Adressen.
• Trennung: Trennung der Daten nach Konto bzw. Organisation; getrennte Datenbanken für Plattform und Events.
• Organisation: Verpflichtung der Mitarbeitenden auf Vertraulichkeit, Datenschutzunterweisung, Meldeweg für Sicherheitsvorfälle über contact@dcyphr.ai.

Anlage 3 — Unterauftragsverarbeiter

Stand der Anlage: 4. November 2026. Änderungen nach § 6.