Auftragsverarbeitungsvertrag (AVV)

gemäß Art. 28 DSGVO

Zwischen Sascha Gebhardt (Auftragsverarbeiter) und dem Kunden (Verantwortlicher)

Stand: Juni 2026

Präambel

Dieser Auftragsverarbeitungsvertrag (nachfolgend 'AVV') ergänzt den zwischen den Parteien geschlossenen Nutzungsvertrag über die SaaS-Plattform Opspect (nachfolgend 'Hauptvertrag') und regelt die Verarbeitung personenbezogener Daten durch den Auftragsverarbeiter im Auftrag des Verantwortlichen gemäß Art. 28 DSGVO.

Art. 1 Vertragsparteien

Auftragsverarbeiter (AV):

Sascha Gebhardt | Friedenstraße 23 | 52080 Aachen | support@opspect.de

Verantwortlicher (V):

Der Kunde gemäß Hauptvertrag (Unternehmensname, Adresse, Kontaktdaten wie im Kundenkonto hinterlegt).

Art. 2 Gegenstand und Dauer der Verarbeitung

(1) Gegenstand: Der AV verarbeitet im Auftrag des V personenbezogene Daten zur Bereitstellung der SaaS-Plattform Opspect (Asset-Management, Wartung, Inspektionen, ISMS-Unterstützung).

(2) Dauer: Die Verarbeitung erfolgt für die Laufzeit des Hauptvertrags. Nach Beendigung des Hauptvertrags werden personenbezogene Daten gemäß Art. 8 dieses AVV gelöscht oder zurückgegeben.

Art. 3 Art und Zweck der Verarbeitung

Art der Verarbeitung: Speicherung, Abfrage, Übermittlung, Anzeige, Löschung.

Zweck: Bereitstellung und Betrieb der SaaS-Plattform Opspect, technischer Support. Hierzu gehören auch optionale, vom V aktivierte Funktionen wie der Versand von Übergabeprotokollen per E-Mail, die Anbindung des Microsoft-365-/Entra-Verzeichnisses des V sowie die optionalen KI-Import-Funktionen für Prüfpläne und Geschäftsprozesse, bei denen vom V hochgeladene Dateien zur Erzeugung eines Entwurfs an den Unterauftragsverarbeiter Anthropic übermittelt werden (siehe Art. 4 und Art. 9).

Art. 4 Kategorien personenbezogener Daten

• Kontakt- und Stammdaten (Name, E-Mail, Telefon, Unternehmensname)
• Authentifizierungsdaten (E-Mail, gehashte Passwörter, MFA-Konfiguration; bei Anmeldung über Microsoft zusätzlich Identitätsmerkmale wie Name, E-Mail, Microsoft-Tenant- und Objekt-ID)
• Zugriffsprotokolle (IP-Adressen, Zeitstempel, Browser-UA)
• Vom Kunden in die Plattform eingegebene Betriebs- und Inventardaten (soweit personenbezogen)
• Verzeichnis- und Gerätedaten aus angebundenen Kundensystemen (Microsoft 365 / Entra ID, optional vom V aktiviert): Name, E-Mail, Abteilung, Position, Vorgesetzten-E-Mail, Konto-Status; Geräte-/Intune-Daten (Gerätebezeichnung, Seriennummer, Hersteller, Modell, Betriebssystem und -version, Compliance-Status, Zuordnung); Entra-Sicherheitsgruppen und Gruppenmitgliedschaften (zur automatischen Rollen-/Zugriffsprofil-Zuweisung); optional Lizenzzuordnungen
• Übergabeprotokoll-Daten beim E-Mail-Versand (Name und E-Mail-Adresse der Beteiligten, Protokollinhalt im PDF)
• Inhalte der vom V im Rahmen der optionalen KI-Import-Funktionen hochgeladenen Dateien (PDF, DOCX, Bild-/Screenshot-Dateien) sowie ergänzender Freitext, soweit personenbezogen — zur Auswertung an Anthropic übermittelt; das Ergebnis (Entwurf) wird beim V gespeichert und ist menschlich freizugeben
• Zahlungsbezogene Identifikationsdaten (keine vollständigen Zahlungsmittel, nur Metadaten; bei In-App-Kauf über den Apple App Store oder Google Play lediglich eine pseudonyme Transaktions-/Abonnementkennung)

Art. 5 Kategorien betroffener Personen

• Mitarbeiterinnen und Mitarbeiter des Verantwortlichen
• Administratoren und Nutzer des Kundenkontos
• Gegebenenfalls Lieferanten und Geschäftspartner des Verantwortlichen (soweit in die Plattform eingetragen)

Art. 6 Weisungsgebundenheit

(1) Der AV verarbeitet personenbezogene Daten nur auf dokumentierte Weisung des V, einschließlich der in diesem AVV und im Hauptvertrag getroffenen Vereinbarungen.

(2) Ist der AV der Auffassung, dass eine Weisung gegen die DSGVO oder andere Datenschutzvorschriften verstößt, unterrichtet er den V unverzüglich.

(3) Technische Anpassungen der Plattform (Updates, Bugfixes, Sicherheits-Patches), die keinen Einfluss auf den Datenschutz haben, sind keine weisungspflichtigen Handlungen.

(4) Ist der AV nach dem Recht der Union oder eines Mitgliedstaats, dem er unterliegt, zu einer Übermittlung oder sonstigen Verarbeitung personenbezogener Daten verpflichtet, teilt er dem V diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht eine solche Mitteilung nicht wegen eines wichtigen öffentlichen Interesses verbietet (Art. 28 Abs. 3 lit. a DSGVO).

Art. 7 Technische und organisatorische Maßnahmen (TOM)

Der AV ergreift folgende Maßnahmen gemäß Art. 32 DSGVO:

Vertraulichkeit:

• Verschlüsselung der Datenspeicherung (AES-256 at rest, Supabase Frankfurt / eu-central-1)

• Verschlüsselung der Datenübertragung (TLS 1.2/1.3)

• Rollenbasierte Zugriffskontrolle (RBAC) und Row Level Security (RLS) auf Datenbankebene

• Starke Authentifizierung (Passkeys/WebAuthn, TOTP) für Administratorzugänge; Step-Up-Authentifizierung mit erzwungener Nutzerverifikation für sensible Aktionen

• Mandantentrennung (multi-tenancy): strikte logische Datentrennung, kein Datenzugriff über Mandantengrenzen

• Verpflichtung aller zur Verarbeitung befugten Personen auf Vertraulichkeit und das Datengeheimnis (Art. 28 Abs. 3 lit. b DSGVO) Integrität:

• Eingabevalidierung und Parameterprüfung auf API-Ebene

• Audit-Logging für sicherheitsrelevante Aktionen Verfügbarkeit:

• Redundante Infrastruktur (Vercel Edge Network, Supabase PostgreSQL mit PITR)

• Verschlüsselte Backups mit 30-tägiger Aufbewahrung: primär Frankfurt (Supabase, eu-central-1), zusätzlich verschlüsseltes Offsite-Backup mit Object-Lock (WORM, 30 Tage) bei IONOS in Berlin (eu-central-2)

• Incident-Response-Prozess Belastbarkeit und Wiederherstellung:

• Getestetes Backup-/Restore-Konzept

• Regelmäßige Sicherheitsüberprüfungen und Dependency-Updates

Art. 8 Löschung und Rückgabe

(1) Nach Beendigung des Hauptvertrags stellt der AV dem V für 30 Tage einen Datenexport (maschinenlesbares Format) zur Verfügung.

(2) Nach Ablauf dieser Frist werden alle personenbezogenen Daten des V unwiderruflich gelöscht, soweit keine gesetzlichen Aufbewahrungspflichten entgegenstehen.

(3) Backups werden nach Ablauf ihrer Aufbewahrungsfrist (30 Tage) automatisch gelöscht.

(4) Soweit gesetzliche Aufbewahrungspflichten (insbesondere handels- und steuerrechtliche Pflichten nach HGB/AO sowie die GoBD) der sofortigen Löschung entgegenstehen, kann anstelle einer Löschung ein verschlüsseltes Archiv vorgehalten werden: Die betroffenen Mandantendaten werden unzugänglich gemacht; lediglich der zugehörige Verschlüsselungsschlüssel wird in einem gesonderten, gesicherten Schlüsselarchiv für die Dauer der gesetzlichen Aufbewahrungsfrist (bis zu 10 Jahre) aufbewahrt. Nach Ablauf der Frist wird der Schlüssel vernichtet, wodurch die archivierten Daten dauerhaft und unwiederbringlich unlesbar werden (kryptografische Löschung). Erklärt der V, dass keine GoBD-Archivierung erforderlich ist, werden die Schlüssel unmittelbar vernichtet.

Art. 9 Unterauftragsverhältnisse

(1) Der AV setzt folgende Unterauftragsverarbeiter ein:

(2) Änderungen im Kreis der Unterauftragsverarbeiter werden dem V mindestens 30 Tage vor Inkrafttreten per E-Mail mitgeteilt. Der V kann innerhalb dieser Frist Widerspruch einlegen. Ohne Widerspruch gilt die Änderung als genehmigt. Bei berechtigtem Widerspruch ist der V berechtigt, den Hauptvertrag außerordentlich zu kündigen.

(3) Der AV verpflichtet jeden Unterauftragsverarbeiter vertraglich auf Datenschutzpflichten, die den Anforderungen dieses AVV und des Art. 28 DSGVO entsprechen, insbesondere auf hinreichende Garantien für geeignete technische und organisatorische Maßnahmen gemäß Art. 32 DSGVO (Art. 28 Abs. 4 DSGVO).

(4) Microsoft als Datenquelle (kein Unterauftragsverarbeiter): Bei der optionalen Anmeldung über Microsoft (Entra ID) und der optionalen Microsoft-365-Integration tritt Microsoft als der vom V betriebene Identitätsanbieter bzw. als Datenquelle auf, aus der der AV Daten im Auftrag des V empfängt. Microsoft verarbeitet insoweit nicht im Auftrag des AV und ist daher kein Unterauftragsverarbeiter im Sinne dieses Artikels. Die Anbindung wird durch den V selbst (Administrator-Zustimmung im Microsoft-Tenant) aktiviert; das Vertragsverhältnis zu Microsoft besteht zwischen dem V und Microsoft.

(5) Apple und Google als eigenständige Stellen (kein Unterauftragsverarbeiter): Soweit ein Endkunde ein Abonnement als In-App-Kauf über den Apple App Store oder über Google Play abschließt, wickeln Apple (Apple Inc. bzw. Apple Distribution International Ltd.) bzw. Google (Google Ireland Limited bzw. Google LLC) Zahlung und Rechnungsstellung als eigenständiger Anbieter (Merchant of Record) in eigener datenschutzrechtlicher Verantwortung ab. Apple und Google verarbeiten insoweit nicht im Auftrag des AV und sind keine Unterauftragsverarbeiter im Sinne dieses Artikels; der AV erhält lediglich eine pseudonyme Transaktions- bzw. Abonnementkennung zur Zuordnung des Abonnements.

(6) Nimmt der AV die Dienste eines Unterauftragsverarbeiters in Anspruch, so haftet er gegenüber dem V dafür, dass dieser seine Datenschutzpflichten einhält, in vollem Umfang (Art. 28 Abs. 4 DSGVO).

Art. 9a Drittlandübermittlung

(1) Eine Verarbeitung personenbezogener Daten findet grundsätzlich in der Europäischen Union statt (Datenresidenz Frankfurt, eu-central-1). Backups verbleiben in Deutschland (Frankfurt und Berlin).

(2) Soweit einzelne Unterauftragsverarbeiter ihren Sitz in einem Drittland (insbesondere USA) haben oder eine Übermittlung in ein Drittland erfolgt, stützt sich diese auf die EU-Standardvertragsklauseln (SCCs) gemäß Durchführungsbeschluss (EU) 2021/914 im jeweils einschlägigen Modul; ergänzend gelten geeignete zusätzliche Schutzmaßnahmen (insbesondere Verschlüsselung in transit und at rest, Datenminimierung, EU-Datenregionen, soweit verfügbar).

(3) Bei Supabase verbleiben die Inhaltsdaten in der EU (Frankfurt); die SCCs dienen vorsorglich der Absicherung eines etwaigen Zugriffs durch die US-Muttergesellschaft. Die einzige laufende, inhaltlich relevante Drittlandübermittlung an einen Importeur außerhalb der EU betrifft den optionalen KI-Navigationsdienst und den optionalen KI-Dokument-Import (Anthropic, PBC, USA); hierfür liegt eine gesonderte Transfer-Folgenabschätzung (Transfer Impact Assessment) vor, die auf Anfrage zur Verfügung gestellt wird.

(4) Der AV überprüft die Wirksamkeit der Übermittlungsgrundlagen anlassbezogen sowie bei wesentlichen Änderungen der Rechtslage oder der eingesetzten Dienste.

Art. 10 Meldepflichten

(1) Der AV unterrichtet den V unverzüglich (spätestens innerhalb von 72 Stunden nach Bekanntwerden), wenn ihm eine Verletzung des Schutzes personenbezogener Daten bekannt wird, die ihn als Auftragsverarbeiter betrifft.

(2) Die Meldung enthält, soweit verfügbar, mindestens: eine Beschreibung der Art der Verletzung, die betroffenen Kategorien und die ungefähre Zahl betroffener Personen und Datensätze, die wahrscheinlichen Folgen sowie die ergriffenen oder vorgeschlagenen Maßnahmen zur Abhilfe und Risikominderung (entsprechend Art. 33 Abs. 3 DSGVO). Stehen Informationen noch nicht vollständig zur Verfügung, erfolgt die Meldung zunächst mit den verfügbaren Angaben; fehlende Angaben werden unverzüglich nachgereicht.

(3) Der AV unterstützt den V so, dass dieser seine eigenen Melde- und Benachrichtigungspflichten nach Art. 33 und 34 DSGVO fristgerecht erfüllen kann. Meldungen an die Aufsichtsbehörde und Benachrichtigungen betroffener Personen obliegen dem V; der AV nimmt solche Meldungen nicht eigenständig im Namen des V vor.

(4) Sicherheitsvorfälle nach NIS-2 / BSIG: Unabhängig von den datenschutzrechtlichen Meldepflichten nach den Absätzen 1 bis 3 unterrichtet der AV den V unverzüglich, wenn ihm ein erheblicher Sicherheitsvorfall im Sinne der NIS-2-Richtlinie bzw. des § 30 BSIG bekannt wird, der die für den V erbrachten Dienste betrifft. Soweit der V selbst Melde- und Berichtspflichten gegenüber den zuständigen Stellen unterliegt (im Rahmen des § 32 BSIG insbesondere die unverzügliche Erstmeldung innerhalb von 24 Stunden, die Folgemeldung innerhalb von 72 Stunden sowie die Abschlussmeldung innerhalb eines Monats), unterstützt der AV den V durch unverzügliche Bereitstellung der hierfür erforderlichen Informationen, damit der V diese Fristen einhalten kann.

(5) Sicherheit der Lieferkette (§ 30 Abs. 2 BSIG): Soweit der V einrichtungsbezogenen Pflichten nach NIS-2 / BSIG unterliegt, unterstützt der AV den V als Teil von dessen Lieferkette bei den Anforderungen an die Sicherheit der Lieferkette gemäß § 30 Abs. 2 BSIG, insbesondere durch Bereitstellung der erforderlichen Informationen zu den eigenen technischen und organisatorischen Sicherheitsmaßnahmen (Art. 7) sowie zu den eingesetzten Unterauftragsverarbeitern (Art. 9).

Art. 11 Unterstützungspflichten

Der AV unterstützt den V soweit möglich:

• bei der Einhaltung der Pflichten gemäß Art. 32-36 DSGVO
• bei der Beantwortung von Anfragen betroffener Personen (DSAR)
• bei der Durchführung von Datenschutz-Folgenabschätzungen

Art. 11a Kontroll- und Auditrechte des Verantwortlichen

(1) Der AV stellt dem V auf Anfrage alle Informationen zur Verfügung, die zum Nachweis der Einhaltung der in Art. 28 DSGVO niedergelegten Pflichten erforderlich sind (z. B. aktuelle TOM-Dokumentation, Zertifikate, Prüfberichte).

(2) Der AV ermöglicht und unterstützt angemessene Überprüfungen — einschließlich Inspektionen —, die vom V oder einem von diesem beauftragten Prüfer durchgeführt werden. Vor-Ort-Prüfungen erfolgen nach rechtzeitiger Vorankündigung (in der Regel mindestens 14 Tage), während der üblichen Geschäftszeiten und ohne unzumutbare Beeinträchtigung des Betriebsablaufs; die Vertraulichkeit der Daten anderer Mandanten ist dabei jederzeit zu wahren (Art. 28 Abs. 3 lit. h DSGVO).

(3) Vorrangig erfolgt der Nachweis durch Bereitstellung aktueller Dokumentation, Zertifikate und Prüfberichte (Abs. 1). Eine Vor-Ort-Prüfung findet in der Regel höchstens einmal jährlich statt; darüber hinausgehende oder anlasslose Prüfungen trägt der V auf eigene Kosten, es sei denn, eine Prüfung deckt einen wesentlichen Verstoß des AV auf. Liegt ein konkreter Anlass vor (insbesondere eine gemeldete Schutzverletzung oder eine begründete Beanstandung der Aufsichtsbehörde), bleibt das Prüfrecht hiervon unberührt.

Art. 12 Haftung

Die Haftungsverteilung zwischen V und AV richtet sich nach Art. 82 DSGVO. Gegenüber dem V ist die Haftung des AV — vorbehaltlich Vorsatz und grober Fahrlässigkeit — auf das jährliche Nettovertragsvolumen begrenzt; diese Grenze gilt zugleich als Gesamthaftung je Vertragsjahr für alle Schadensfälle, mindestens jedoch 2.500 EUR. Ansprüche wegen leichter Fahrlässigkeit verjähren in zwölf Monaten ab Kenntnis bzw. grob fahrlässiger Unkenntnis. Zwingende gesetzliche Haftungsregeln bleiben unberührt.

Art. 13 Anwendbares Recht und Gerichtsstand

Dieser AVV unterliegt dem Recht der Bundesrepublik Deutschland. Gerichtsstand ist Aachen.

Art. 14 Schlussbestimmungen

(1) Dieser AVV geht den Regelungen des Hauptvertrags vor, soweit datenschutzrechtliche Fragen betroffen sind.

(2) Änderungen dieses AVV bedürfen der Schriftform.

(3) Sollten einzelne Bestimmungen unwirksam sein, bleiben die übrigen Bestimmungen wirksam.

Anlagen

• Anlage 1: Technische und organisatorische Maßnahmen (TOM) - Detailbeschreibung
• Anlage 2: Liste der Unterauftragsverarbeiter (entspricht Art. 9 dieses AVV)

Sascha Gebhardt | Friedenstraße 23 | 52080 Aachen | Stand: Juni 2026