Auftragsverarbeitungsvertrag (AVV)

gemäß Art. 28 DSGVO

Zwischen Sascha Gebhardt (Auftragsverarbeiter) und dem Kunden (Verantwortlicher)

Stand: Oktober 2026

Präambel

Dieser Auftragsverarbeitungsvertrag (nachfolgend 'AVV') ergänzt den zwischen den Parteien geschlossenen Nutzungsvertrag über die SaaS-Plattform Opspect (nachfolgend 'Hauptvertrag') und regelt die Verarbeitung personenbezogener Daten durch den Auftragsverarbeiter im Auftrag des Verantwortlichen gemäß Art. 28 DSGVO.

Art. 1 Vertragsparteien

Auftragsverarbeiter (AV):

Sascha Gebhardt | Friedenstraße 23 | 52080 Aachen | support@opspect.de

Verantwortlicher (V):

Der Kunde gemäß Hauptvertrag (Unternehmensname, Adresse, Kontaktdaten wie im Kundenkonto hinterlegt).

Art. 2 Gegenstand und Dauer der Verarbeitung

(1) Gegenstand: Der AV verarbeitet im Auftrag des V personenbezogene Daten zur Bereitstellung der SaaS-Plattform Opspect (Asset-Management, Wartung, Inspektionen, ISMS-Unterstützung).

(2) Dauer: Die Verarbeitung erfolgt für die Laufzeit des Hauptvertrags. Nach Beendigung des Hauptvertrags werden personenbezogene Daten gemäß Art. 8 dieses AVV gelöscht oder zurückgegeben.

Art. 3 Art und Zweck der Verarbeitung

Art der Verarbeitung: Speicherung, Abfrage, Zusammenstellung, Export, Übermittlung, Anzeige, Löschung.

Zweck: Bereitstellung und Betrieb der SaaS-Plattform Opspect, technischer Support. Hierzu gehören auch optionale, vom V aktivierte Funktionen wie der Versand von Übergabeprotokollen per E-Mail, die Anbindung des Microsoft-365-/Entra-Verzeichnisses des V sowie die optionalen KI-Import-Funktionen für Prüfpläne und Geschäftsprozesse, bei denen vom V hochgeladene Dateien zur Erzeugung eines Entwurfs an den Unterauftragsverarbeiter Anthropic übermittelt werden (siehe Art. 4 und Art. 9). Dazu gehört auch der KI-Berater im Prozess-Editor: Auf Anfrage einer berechtigten Person des V werden ihre Frage, die vorangegangenen Beiträge des Gesprächs im Panel und eine kompakte Beschreibung des geöffneten Diagramms an den Unterauftragsverarbeiter Anthropic übermittelt, um Vorschläge zu erzeugen, die erst nach Vorschau durch die Person übernommen werden; der V kann den Berater für sein Kundenkonto abschalten. Hierzu gehört ferner die Zusammenstellung von Exporten, Berichten und Nachweisunterlagen, die der V in der Plattform veranlasst, und ihre Bereitstellung zum Abruf durch die vom V berechtigten Personen. Über eine Weitergabe an Dritte (z. B. Prüfer, Zertifizierungsstellen oder Behörden) entscheidet der V in eigener Verantwortung; der AV gibt solche Unterlagen nicht von sich aus an Dritte weiter.

Art. 4 Kategorien personenbezogener Daten

• Kontakt- und Stammdaten (Name, E-Mail, Telefon, Unternehmensname)
• Rollen-, Funktions- und Berechtigungsdaten der Nutzer (z. B. zugewiesene Rollen, Zuständigkeiten und Freigabestufen sowie, soweit der V dies erfasst, die Kennzeichnung als Mitglied der Geschäftsleitung)
• Daten der Nutzerverwaltung des V: Zuordnung der Nutzer zum Kundenkonto, Einladungen, Sperren und Entfernungen sowie die Veranlassung von Maßnahmen an Nutzerkonten seines Kundenkontos durch den V und deren Protokollierung (z. B. die Entscheidung eines Admins des V, die Anmeldemethoden eines Nutzers zurückzusetzen; das technische Zurücksetzen selbst betrifft Anmeldedaten, siehe Abgrenzung unten)
• Einträge im Aktivitätsprotokoll des Kundenkontos (z. B. handelnde Person, Aktion, Zeitstempel, soweit erfasst IP-Adresse und Browserkennung), einschließlich der Einträge zu Anmelde- und Sicherheitsereignissen der Nutzer des V
• Vom Kunden in die Plattform eingegebene Betriebs- und Inventardaten (soweit personenbezogen)
• Vom V eingegebene Daten zu Informationssicherheits- und Compliance-Prozessen, soweit personenbezogen und soweit der V die entsprechenden Funktionen nutzt, insbesondere: Verantwortliche und Beteiligte von Risiken, Maßnahmen, Sicherheitsvorfällen, Audits und Dokumenten; Schulungs- und Unterweisungsnachweise (Name, Rolle oder Funktion, Datum, Uhrzeit, Dauer, Thema und Inhalte, Schulungsanbieter, Kenntnisnahme von Dokumenten); Sitzungsdaten von ISMS-Gremien und Managementbewertungen (Teilnehmende mit Rolle oder Funktion, Tagesordnung, Beschlüsse, Protokolle, Nachträge mit Verfasser und Zeitpunkt, Freigaben)
• Freitextangaben des V in Protokollen, Beschreibungen und Kommentaren, soweit personenbezogen
• Verzeichnis- und Gerätedaten aus angebundenen Kundensystemen (Microsoft 365 / Entra ID, optional vom V aktiviert): Name, E-Mail, Abteilung, Position, Vorgesetzten-E-Mail, Konto-Status; Geräte-/Intune-Daten (Gerätebezeichnung, Seriennummer, Hersteller, Modell, Betriebssystem und -version, Compliance-Status, Zuordnung); Entra-Sicherheitsgruppen und Gruppenmitgliedschaften (zur automatischen Rollen-/Zugriffsprofil-Zuweisung); optional Lizenzzuordnungen
• Übergabeprotokoll-Daten beim E-Mail-Versand (Name und E-Mail-Adresse der Beteiligten, Protokollinhalt im PDF)
• Inhalte der vom V im Rahmen der optionalen KI-Import-Funktionen hochgeladenen Dateien (PDF, DOCX, Bild-/Screenshot-Dateien) sowie ergänzender Freitext, soweit personenbezogen — zur Auswertung an Anthropic übermittelt; das Ergebnis (Entwurf) wird beim V gespeichert und ist menschlich freizugeben
• Bei Nutzung des KI-Beraters im Prozess-Editor: Frage bzw. Änderungswunsch der Person, bis zu acht vorangegangene Beiträge des Gesprächs sowie Art und Namen der Elemente, Namen der Bahnen und Beschriftungen der Verbindungen des Diagramms, soweit personenbezogen — zur Auswertung an Anthropic übermittelt; gespeichert werden nur Modellversion und Zählwerte im Aktivitätsprotokoll des Prozesses, ohne Frage, Antwort oder Diagramminhalt
• Zahlungsbezogene Identifikationsdaten (keine vollständigen Zahlungsmittel, nur Metadaten)

Die Verarbeitung besonderer Kategorien personenbezogener Daten (Art. 9 DSGVO) ist nicht bestimmungsgemäß vorgesehen. Trägt der V solche Daten dennoch ein, insbesondere in Freitextfelder, verarbeitet der AV sie nach Maßgabe dieses AVV; die Zulässigkeit der Eingabe verantwortet der V.

Anmeldedaten der Nutzerkonten (Abgrenzung): Nicht Gegenstand dieses AVV sind die Anmeldedaten der Nutzerkonten, die der AV als eigener Verantwortlicher zur Sicherheit der Nutzerkonten und zum Betrieb der Plattform verarbeitet: Anmelde-E-Mail-Adresse, Passwort (als Hash), eingerichtete Anmeldemethoden (Passkeys, Authenticator-App, Wiederherstellungscodes), Sitzungen, bei Anmeldung über Microsoft die hierzu übermittelten Identitätsmerkmale (Name, E-Mail-Adresse, Microsoft-Tenant- und Objekt-ID) sowie die plattformweiten Anmelde- und Sicherheitsprotokolle. Ein Nutzerkonto kann mehreren Kundenkonten angehören; über Mittel und Zwecke der Anmeldung (z. B. die Pflicht zu einem zweiten Faktor) entscheidet der AV einheitlich für alle Kundenkonten. Näheres regelt die Datenschutzerklärung des AV (Abschnitt 3.3). Die Einträge im Aktivitätsprotokoll des Kundenkontos und die Nutzerverwaltung des V verarbeitet der AV dagegen im Auftrag des V nach diesem AVV.

Art. 5 Kategorien betroffener Personen

• Mitarbeiterinnen und Mitarbeiter des Verantwortlichen
• Mitglieder der Geschäftsleitung und sonstige Organmitglieder des Verantwortlichen
• Administratoren und Nutzer des Kundenkontos
• Gegebenenfalls Lieferanten und Geschäftspartner des Verantwortlichen (soweit in die Plattform eingetragen)
• Gegebenenfalls weitere externe Personen, die der V in die Plattform einträgt oder denen er Zugang gewährt, insbesondere Schulungsanbieter und Referenten, externe Teilnehmende, Berater sowie Prüfer und Auditoren

Art. 6 Weisungsgebundenheit

(1) Der AV verarbeitet personenbezogene Daten nur auf dokumentierte Weisung des V, einschließlich der in diesem AVV und im Hauptvertrag getroffenen Vereinbarungen.

(2) Ist der AV der Auffassung, dass eine Weisung gegen die DSGVO oder andere Datenschutzvorschriften verstößt, unterrichtet er den V unverzüglich.

(3) Technische Anpassungen der Plattform (Updates, Bugfixes, Sicherheits-Patches), die keinen Einfluss auf den Datenschutz haben, sind keine weisungspflichtigen Handlungen.

(4) Ist der AV nach dem Recht der Union oder eines Mitgliedstaats, dem er unterliegt, zu einer Übermittlung oder sonstigen Verarbeitung personenbezogener Daten verpflichtet, teilt er dem V diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht eine solche Mitteilung nicht wegen eines wichtigen öffentlichen Interesses verbietet (Art. 28 Abs. 3 lit. a DSGVO).

(5) Weisungsberechtigte Personen und Form der Weisung: Weisungsberechtigt sind der Inhaber (Owner) und die Administratoren (Admins) des Kundenkontos des V, wie sie in der Nutzerverwaltung der Plattform geführt werden. Weisungen erteilt der V über die dafür vorgesehenen Funktionen der Plattform (z. B. Nutzerverwaltung, Einstellungen, Freigabe für den Plattform-Support) oder in Textform gegenüber dem Support des AV. Der AV dokumentiert Weisungen, die ihn über den Support erreichen, in einem Support-Ticket; das Ticket mit Anlass und Datum ist die dokumentierte Weisung im Sinne des Abs. 1. Vor der Ausführung einer solchen Weisung prüft der AV, dass sie von einer weisungsberechtigten Person stammt.

(6) Zurücksetzen von Anmeldemethoden durch den Support: Der Support des AV setzt die Anmeldemethoden (Passkeys, Authenticator-App, Wiederherstellungscodes) eines Nutzers des V nur in einem der folgenden Fälle zurück:

• auf Anfrage einer weisungsberechtigten Person in einer vom V freigegebenen Supportsitzung mit dem Freigabeumfang „Darf übernehmen & handeln“; oder
• als Notfall-Reset nach Art. 7a, wenn kein Admin des V die Anmeldemethoden selbst zurücksetzen kann.

In beiden Fällen dokumentiert der AV die Anfrage in einem Ticket. Stammt die Anfrage von einer weisungsberechtigten Person des V (insbesondere wenn der einzige Admin des V selbst betroffen ist), ist das Ticket die dokumentierte Weisung im Sinne des Abs. 1. Die Weisung des V betrifft die Entscheidung, den Zugang dieses Nutzers seines Kundenkontos wiederherzustellen, sowie die daraus folgenden Einträge in Nutzerverwaltung und Aktivitätsprotokoll; das technische Zurücksetzen der Anmeldedaten führt der AV in eigener Verantwortung durch (Art. 4, Abgrenzung der Anmeldedaten). Stammt sie von einer betroffenen Person ohne Weisungsbefugnis (z. B. bei einem Nutzerkonto, das mehreren Kundenkonten angehört, oder bei einem Kundenkonto ohne nutzbaren Admin), stellt der AV den Zugang zu dem Nutzerkonto dieser Person in eigener Verantwortung wieder her (Art. 4, Abgrenzung der Anmeldedaten); die Pflichten nach Art. 7a Abs. 2 bis 5 gelten auch dann. Setzt ein Admin des V die Anmeldemethoden eines Nutzers in der Nutzerverwaltung zurück, gilt dasselbe: Die Entscheidung ist eine Weisung des V über die Plattform, das technische Zurücksetzen der Anmeldedaten erfolgt in eigener Verantwortung des AV.

Art. 7 Technische und organisatorische Maßnahmen (TOM)

Der AV ergreift folgende Maßnahmen gemäß Art. 32 DSGVO:

Vertraulichkeit:

• Verschlüsselung der Datenspeicherung (AES-256 at rest, Supabase Frankfurt / eu-central-1)

• Verschlüsselung der Datenübertragung (TLS 1.2/1.3)

• Rollenbasierte Zugriffskontrolle (RBAC) und Row Level Security (RLS) auf Datenbankebene

• Starke Authentifizierung (Passkeys/WebAuthn, TOTP) für Administratorzugänge; Step-Up-Authentifizierung mit erzwungener Nutzerverifikation für sensible Aktionen

• Wiederherstellung verlorener Anmeldemethoden nur über festgelegte Verfahren: durch einen Admin des V mit eigener Passkey- oder App-Bestätigung oder als Notfall-Reset des AV nach Art. 7a (Identitätsprüfung per Rückruf, Ticket, Passkey-Bestätigung, Benachrichtigung aller Admins, Protokoll)

• Mandantentrennung (multi-tenancy): strikte logische Datentrennung, kein Datenzugriff über Mandantengrenzen

• Verpflichtung aller zur Verarbeitung befugten Personen auf Vertraulichkeit und das Datengeheimnis (Art. 28 Abs. 3 lit. b DSGVO) Integrität:

• Eingabevalidierung und Parameterprüfung auf API-Ebene

• Audit-Logging für sicherheitsrelevante Aktionen Verfügbarkeit:

• Redundante Infrastruktur (Vercel Edge Network, Supabase PostgreSQL mit PITR)

• Verschlüsselte Backups mit 30-tägiger Aufbewahrung: primär Frankfurt (Supabase, eu-central-1), zusätzlich verschlüsseltes Offsite-Backup mit Object-Lock (WORM, 30 Tage) bei IONOS in Berlin (eu-central-2)

• Incident-Response-Prozess Belastbarkeit und Wiederherstellung:

• Getestetes Backup-/Restore-Konzept

• Regelmäßige Sicherheitsüberprüfungen und Dependency-Updates

Art. 7a Notfall-Reset der Anmeldemethoden

(1) Letzte Instanz: Der Notfall-Reset ist für den Fall bestimmt, dass eine Person alle Anmeldemethoden verloren hat und kein Admin des V sie selbst zurücksetzen kann. Die Plattform lässt ihn technisch nur zu, wenn die betroffene Person (a) der einzige nutzbare Admin ihres Kundenkontos ist, (b) mehreren Kundenkonten angehört oder ein Partnerkonto hat (dort kann kein einzelner Admin des V zurücksetzen) oder (c) selbst kein Admin ist und ihr Kundenkonto keinen nutzbaren Admin hat. In allen anderen Fällen verweist der AV die Person an einen Admin des V. Konten von Administratoren des AV sind ausgenommen.

(2) Voraussetzungen: Der AV führt den Notfall-Reset nur aus, wenn

• die Identität der betroffenen Person durch einen Rückruf an die im Profil der Person hinterlegte Telefonnummer geprüft wurde, nie an eine vom Anrufer genannte Nummer; ohne diese Prüfung findet kein Notfall-Reset statt;
• Anlass und Ticketnummer dokumentiert sind (Art. 6 Abs. 6);
• die E-Mail-Adresse des betroffenen Nutzerkontos zur Bestätigung eingegeben wurde, um eine Verwechslung von Konten auszuschließen; und
• die ausführende Person des AV — ausschließlich der für den Plattformbetrieb verantwortliche Plattform-Owner — die Aktion mit ihrem eigenen Passkey bestätigt hat.

Verlöre ein Kundenkonto, das die Anmeldung über Microsoft vorschreibt, durch den Reset seinen letzten Notfallzugang, unterbleibt der Reset vollständig.

(3) Wirkung: Der Notfall-Reset entfernt alle Passkeys, die Authenticator-App, unbenutzte Wiederherstellungscodes und die Einstellung „nur Passkey“ des betroffenen Nutzerkontos und beendet alle Sitzungen auf allen Geräten. Passwort und E-Mail-Adresse bleiben unverändert; bei der nächsten Anmeldung richtet die Person einen neuen zweiten Faktor ein. Der Notfall-Reset setzt keine Supportsitzung voraus und gewährt dem AV keinen Zugriff auf die Daten des V.

(4) Benachrichtigung: Nach dem Reset versendet der AV eine E-Mail an die hinterlegte E-Mail-Adresse der betroffenen Person und an die hinterlegten E-Mail-Adressen aller aktiven Admins jedes Kundenkontos, dem die Person angehört, mit dem Hinweis auf den Reset.

(5) Protokollierung: Der Reset wird im Aktivitätsprotokoll jedes Kundenkontos der betroffenen Person als Aktion des Opspect-Supports eingetragen (mit der Zahl der entfernten Anmeldemethoden und beendeten Sitzungen) und in der Übersicht „Plattform-Support-Aktivität“ des Kundenkontos angezeigt. Der Freitext-Anlass steht nur im internen Plattform-Protokoll des AV, das ausschließlich Administratoren des AV einsehen können, da er Angaben zur betroffenen Person enthalten kann.

Art. 8 Löschung und Rückgabe

(1) Nach Beendigung des Hauptvertrags stellt der AV dem V für 30 Tage einen Datenexport (maschinenlesbares Format) zur Verfügung.

(2) Nach Ablauf dieser Frist, spätestens 30 Tage nach Beendigung des Hauptvertrags, löscht der AV alle personenbezogenen Daten des V endgültig und unwiderruflich. Das umfasst die Datenbankinhalte und die hochgeladenen Dateien (z. B. Fotos, Dokumente, Berichte und Anhänge). Soweit gesetzliche Aufbewahrungspflichten entgegenstehen, gilt Abs. 4.

(3) Backups werden nach Ablauf ihrer Aufbewahrungsfrist (30 Tage) automatisch gelöscht.

(4) Soweit gesetzliche Aufbewahrungspflichten (insbesondere handels- und steuerrechtliche Pflichten nach HGB/AO sowie die GoBD) der sofortigen Löschung entgegenstehen, kann anstelle einer Löschung ein verschlüsseltes Archiv vorgehalten werden: Die betroffenen Mandantendaten werden unzugänglich gemacht; lediglich der zugehörige Verschlüsselungsschlüssel wird in einem gesonderten, gesicherten Schlüsselarchiv für die Dauer der gesetzlichen Aufbewahrungsfrist (bis zu 10 Jahre) aufbewahrt. Nach Ablauf der Frist wird der Schlüssel vernichtet, wodurch die archivierten Daten dauerhaft und unwiederbringlich unlesbar werden (kryptografische Löschung). Erklärt der V, dass keine GoBD-Archivierung erforderlich ist, werden die Schlüssel unmittelbar vernichtet.

Art. 9 Unterauftragsverhältnisse

(1) Der AV setzt folgende Unterauftragsverarbeiter ein:

(2) Änderungen im Kreis der Unterauftragsverarbeiter werden dem V mindestens 30 Tage vor Inkrafttreten per E-Mail mitgeteilt. Der V kann innerhalb dieser Frist Widerspruch einlegen. Ohne Widerspruch gilt die Änderung als genehmigt. Bei berechtigtem Widerspruch ist der V berechtigt, den Hauptvertrag außerordentlich zu kündigen.

(3) Der AV verpflichtet jeden Unterauftragsverarbeiter vertraglich auf Datenschutzpflichten, die den Anforderungen dieses AVV und des Art. 28 DSGVO entsprechen, insbesondere auf hinreichende Garantien für geeignete technische und organisatorische Maßnahmen gemäß Art. 32 DSGVO (Art. 28 Abs. 4 DSGVO).

(4) Microsoft als Datenquelle (kein Unterauftragsverarbeiter): Bei der optionalen Anmeldung über Microsoft (Entra ID) und der optionalen Microsoft-365-Integration tritt Microsoft als der vom V betriebene Identitätsanbieter bzw. als Datenquelle auf, aus der der AV Daten im Auftrag des V empfängt. Microsoft verarbeitet insoweit nicht im Auftrag des AV und ist daher kein Unterauftragsverarbeiter im Sinne dieses Artikels. Die Anbindung wird durch den V selbst (Administrator-Zustimmung im Microsoft-Tenant) aktiviert; das Vertragsverhältnis zu Microsoft besteht zwischen dem V und Microsoft.

(5) Nimmt der AV die Dienste eines Unterauftragsverarbeiters in Anspruch, so haftet er gegenüber dem V dafür, dass dieser seine Datenschutzpflichten einhält, in vollem Umfang (Art. 28 Abs. 4 DSGVO).

Art. 9a Drittlandübermittlung

(1) Eine Verarbeitung personenbezogener Daten findet grundsätzlich in der Europäischen Union statt (Datenresidenz Frankfurt, eu-central-1). Backups verbleiben in Deutschland (Frankfurt und Berlin).

(2) Soweit einzelne Unterauftragsverarbeiter ihren Sitz in einem Drittland (insbesondere USA) haben oder eine Übermittlung in ein Drittland erfolgt, stützt sich diese auf die EU-Standardvertragsklauseln (SCCs) gemäß Durchführungsbeschluss (EU) 2021/914 im jeweils einschlägigen Modul; ergänzend gelten geeignete zusätzliche Schutzmaßnahmen (insbesondere Verschlüsselung in transit und at rest, Datenminimierung, EU-Datenregionen, soweit verfügbar).

(3) Bei Supabase verbleiben die Inhaltsdaten in der EU (Frankfurt); die SCCs dienen vorsorglich der Absicherung eines etwaigen Zugriffs durch die US-Muttergesellschaft. Die einzige laufende, inhaltlich relevante Drittlandübermittlung an einen Importeur außerhalb der EU betrifft den optionalen KI-Navigationsdienst, den optionalen KI-Dokument-Import und den KI-Berater im Prozess-Editor (Anthropic, PBC, USA); hierfür liegt eine gesonderte Transfer-Folgenabschätzung (Transfer Impact Assessment) vor, die auf Anfrage zur Verfügung gestellt wird.

(4) Der AV überprüft die Wirksamkeit der Übermittlungsgrundlagen anlassbezogen sowie bei wesentlichen Änderungen der Rechtslage oder der eingesetzten Dienste.

Art. 10 Meldepflichten

(1) Der AV unterrichtet den V unverzüglich (spätestens innerhalb von 72 Stunden nach Bekanntwerden), wenn ihm eine Verletzung des Schutzes personenbezogener Daten bekannt wird, die ihn als Auftragsverarbeiter betrifft.

(2) Die Meldung enthält, soweit verfügbar, mindestens: eine Beschreibung der Art der Verletzung, die betroffenen Kategorien und die ungefähre Zahl betroffener Personen und Datensätze, die wahrscheinlichen Folgen sowie die ergriffenen oder vorgeschlagenen Maßnahmen zur Abhilfe und Risikominderung (entsprechend Art. 33 Abs. 3 DSGVO). Stehen Informationen noch nicht vollständig zur Verfügung, erfolgt die Meldung zunächst mit den verfügbaren Angaben; fehlende Angaben werden unverzüglich nachgereicht.

(3) Der AV unterstützt den V so, dass dieser seine eigenen Melde- und Benachrichtigungspflichten nach Art. 33 und 34 DSGVO fristgerecht erfüllen kann. Meldungen an die Aufsichtsbehörde und Benachrichtigungen betroffener Personen obliegen dem V; der AV nimmt solche Meldungen nicht eigenständig im Namen des V vor.

(4) Sicherheitsvorfälle nach NIS-2 / BSIG: Unabhängig von den datenschutzrechtlichen Meldepflichten nach den Absätzen 1 bis 3 unterrichtet der AV den V unverzüglich, wenn ihm ein erheblicher Sicherheitsvorfall im Sinne der NIS-2-Richtlinie bzw. des § 30 BSIG bekannt wird, der die für den V erbrachten Dienste betrifft. Soweit der V selbst Melde- und Berichtspflichten gegenüber den zuständigen Stellen unterliegt (im Rahmen des § 32 BSIG insbesondere die unverzügliche Erstmeldung innerhalb von 24 Stunden, die Folgemeldung innerhalb von 72 Stunden sowie die Abschlussmeldung innerhalb eines Monats), unterstützt der AV den V durch unverzügliche Bereitstellung der hierfür erforderlichen Informationen, damit der V diese Fristen einhalten kann.

(5) Sicherheit der Lieferkette (§ 30 Abs. 2 BSIG): Soweit der V den einrichtungsbezogenen Pflichten nach NIS-2 / BSIG unterliegt, unterstützt der AV den V als Teil von dessen Lieferkette bei den Anforderungen an die Sicherheit der Lieferkette gemäß § 30 Abs. 2 BSIG, insbesondere durch Bereitstellung der erforderlichen Informationen zu den eigenen technischen und organisatorischen Sicherheitsmaßnahmen (Art. 7) sowie zu den eingesetzten Unterauftragsverarbeitern (Art. 9).

Art. 11 Unterstützungspflichten

Der AV unterstützt den V soweit möglich:

• bei der Einhaltung der Pflichten gemäß Art. 32-36 DSGVO
• bei der Beantwortung von Anfragen betroffener Personen (DSAR)
• bei der Durchführung von Datenschutz-Folgenabschätzungen

Art. 11a Kontroll- und Auditrechte des Verantwortlichen

(1) Der AV stellt dem V auf Anfrage alle Informationen zur Verfügung, die zum Nachweis der Einhaltung der in Art. 28 DSGVO niedergelegten Pflichten erforderlich sind (z. B. aktuelle TOM-Dokumentation, Zertifikate, Prüfberichte).

(2) Der AV ermöglicht und unterstützt angemessene Überprüfungen — einschließlich Inspektionen —, die vom V oder einem von diesem beauftragten Prüfer durchgeführt werden. Vor-Ort-Prüfungen erfolgen nach rechtzeitiger Vorankündigung (in der Regel mindestens 14 Tage), während der üblichen Geschäftszeiten und ohne unzumutbare Beeinträchtigung des Betriebsablaufs; die Vertraulichkeit der Daten anderer Mandanten ist dabei jederzeit zu wahren (Art. 28 Abs. 3 lit. h DSGVO).

(3) Vorrangig erfolgt der Nachweis durch Bereitstellung aktueller Dokumentation, Zertifikate und Prüfberichte (Abs. 1). Eine Vor-Ort-Prüfung findet in der Regel höchstens einmal jährlich statt; darüber hinausgehende oder anlasslose Prüfungen trägt der V auf eigene Kosten, es sei denn, eine Prüfung deckt einen wesentlichen Verstoß des AV auf. Liegt ein konkreter Anlass vor (insbesondere eine gemeldete Schutzverletzung oder eine begründete Beanstandung der Aufsichtsbehörde), bleibt das Prüfrecht hiervon unberührt.

Art. 12 Haftung

Die Haftungsverteilung zwischen V und AV richtet sich nach Art. 82 DSGVO. Gegenüber dem V ist die Haftung des AV — vorbehaltlich Vorsatz und grober Fahrlässigkeit — auf das jährliche Nettovertragsvolumen begrenzt; diese Grenze gilt zugleich als Gesamthaftung je Vertragsjahr für alle Schadensfälle, mindestens jedoch 2.500 EUR. Ansprüche wegen leichter Fahrlässigkeit verjähren in zwölf Monaten ab Kenntnis bzw. grob fahrlässiger Unkenntnis. Zwingende gesetzliche Haftungsregeln bleiben unberührt.

Art. 13 Anwendbares Recht und Gerichtsstand

Dieser AVV unterliegt dem Recht der Bundesrepublik Deutschland. Gerichtsstand ist Aachen.

Art. 14 Schlussbestimmungen

(1) Dieser AVV geht den Regelungen des Hauptvertrags vor, soweit datenschutzrechtliche Fragen betroffen sind.

(2) Änderungen dieses AVV bedürfen der Textform (§ 126b BGB), die zugleich das elektronische Format nach Art. 28 Abs. 9 DSGVO wahrt; die Zustimmung des V zu einer neuen Fassung dieses AVV über die Plattform genügt. Bis zur Zustimmung gilt die bisherige Fassung fort.

(3) Sollten einzelne Bestimmungen unwirksam sein, bleiben die übrigen Bestimmungen wirksam.

Anlagen

• Anlage 1: Technische und organisatorische Maßnahmen (TOM) - Detailbeschreibung
• Anlage 2: Liste der Unterauftragsverarbeiter (entspricht Art. 9 dieses AVV)

Sascha Gebhardt | Friedenstraße 23 | 52080 Aachen | Stand: Oktober 2026