Auftragsverarbeitungsvertrag (AVV)

Diese Vorlagen folgen der DSGVO im Allgemeinen. Sie beanspruchen nicht, das nationale Recht jedes Landes zu erfüllen. In Deutschland ist für private Verantwortliche in der Regel die Datenschutzbehörde des Landes zuständig, nicht automatisch der BfDI. Die Zuständigkeit richtet sich weiter nach der Hauptniederlassung des Verantwortlichen (Art. 56 DSGVO).

Zwischen der Kundin oder dem Kunden des Dienstes als Verantwortlichem (der Verantwortliche)

und Atelier Exemple, 10 rue de l'Exemple, 75002 Paris, France, contact@exemple-saas.example (der Auftragsverarbeiter).

Dieser Vertrag gilt, wenn der Auftragsverarbeiter personenbezogene Daten im Auftrag des Verantwortlichen für den Dienst unter https://exemple-saas.example verarbeitet. Er gilt nicht für Verarbeitungen, deren Verantwortlicher der Anbieter selbst ist.

1. Gegenstand, Art, Dauer

Der Auftragsverarbeiter hostet, speichert und zeigt die für den Dienst nötigen Daten und erzeugt die Dateien, die das Produkt erzeugt. Dauer: der Vertrag, danach Löschung oder Rückgabe nach Artikel 8, soweit kein den Auftragsverarbeiter treffendes Gesetz eine längere Aufbewahrung verlangt.

2. Weisungen

Der Auftragsverarbeiter verarbeitet nur auf dokumentierte Weisung, einschließlich dieses Vertrags, außer das Unionsrecht oder das Recht eines Mitgliedstaats verlangt etwas anderes. Dann informiert er den Verantwortlichen vor der Verarbeitung, soweit das Recht die Information nicht verbietet.

3. Vertraulichkeit

Zur Verarbeitung befugte Personen sind zur Vertraulichkeit verpflichtet.

4. Sicherheit

Der Anbieter trifft technische und organisatorische Maßnahmen, die nach Art. 32 DSGVO angemessen sind (Zugangskontrolle, HTTPS, Datenminimierung, professionelle Dienstleister), ohne zuzusagen, dass kein Restrisiko bleibt. ISO 27001 und SOC 2 wurden nicht angekreuzt: keine dieser Bescheinigungen wird behauptet.

5. Unterauftragsverarbeiter

Der Verantwortliche genehmigt die Unterauftragsverarbeiter in Anlage 3. Der Auftragsverarbeiter informiert vor einer Ergänzung oder einem Austausch. Der Verantwortliche kann binnen 30 Tagen widersprechen. Wird der Widerspruch nicht gelöst, kann er die betroffene Verarbeitung beenden.

6. Unterstützung

Der Auftragsverarbeiter unterstützt den Verantwortlichen im möglichen Umfang bei Anfragen betroffener Personen, bei der Sicherheit, bei Meldungen und bei Folgenabschätzungen.

7. Verletzung

Der Auftragsverarbeiter meldet eine Verletzung des Schutzes personenbezogener Daten dem Verantwortlichen unverzüglich, nachdem er davon Kenntnis erlangt hat. Diese Vorlage erfindet keine feste Stundenzahl.

8. Löschung und Rückgabe

Am Ende des Dienstes löscht oder gibt der Auftragsverarbeiter die Daten nach Wahl des Verantwortlichen zurück und löscht verbleibende Kopien, soweit das Recht keine Speicherung verlangt.

9. Audits

Der Verantwortliche kann prüfen, auch durch eine zur Vertraulichkeit verpflichtete Person, mit angemessener Frist, höchstens einmal im Jahr, außer bei einer Verletzung oder einem Behördenersuchen. Ein Wettbewerber als Prüfer kann abgelehnt werden.

10. Übermittlungen

Übermittlungen außerhalb des EWR nutzen einen Mechanismus von Kapitel V DSGVO. Anlage 3 wiederholt, was der Anbieter veröffentlicht. Sie ergänzt keinen Mechanismus, den die Fiche als nicht mitgeteilt kennzeichnet.

11. Haftung

Art. 82 DSGVO gilt gegenüber betroffenen Personen. Der Vertrag verschiebt kein eigenes Bußgeld auf die andere Partei. Eine nationale Pauschale wird nicht ergänzt.

Anlage 1 — Beschreibung

• Gegenstand: der Dienst unter https://exemple-saas.example.
• Vorgänge: Hosting, Authentifizierung soweit genutzt, Speicherung, Dateierzeugung, Support, Protokolle.
• Personen: Nutzer des Verantwortlichen und dessen Personal. Weitere Kategorien teilt diese Vorlage nicht mit.

Anlage 2 — Sicherheit

Der Anbieter trifft technische und organisatorische Maßnahmen, die nach Art. 32 DSGVO angemessen sind (Zugangskontrolle, HTTPS, Datenminimierung, professionelle Dienstleister), ohne zuzusagen, dass kein Restrisiko bleibt. ISO 27001 und SOC 2 wurden nicht angekreuzt: keine dieser Bescheinigungen wird behauptet.

Anlage 3 — Genehmigte Unterauftragsverarbeiter

1. Scaleway, S.A.S. (Scaleway) — European Union — Cloud (compute, storage, databases). The DPA covers data uploaded to a service ordered through the account. A more detailed list is not published. The DPA (1 June 2024) says services are located in the European Union by default. Scaleway is not registered under the Data Privacy Framework.

1. Stripe Payments Europe, Limited (Stripe) — Irland (Stripe-Inc.-Gruppe, Vereinigte Staaten) — Zahlung und Rechnungsstellung. Zahlungsdaten, Transaktionskennungen, Rechnungs-E-Mail. Der Anbieter speichert keine vollständigen Kartennummern. Stripe Payments Europe handelt je nach Ablauf als Verantwortlicher oder Auftragsverarbeiter; konzerninterne Übermittlungen über Standardvertragsklauseln.

1. Resend, Inc. (Resend) — Vereinigte Staaten — Versand transaktionaler E-Mails. E-Mail-Adressen der Empfänger, Betreff und Inhalt, Versandprotokolle. Drittlandübermittlung über Standardvertragsklauseln.

1. Plausible Insights OÜ (Plausible) — Estland — Reichweitenmessung ohne Cookies. Aggregierte Seitenaufrufe, ungefähres Land, User-Agent, Referrer. Kein Werbe-Cookie. Verarbeitung in der EU (Estland). Das auf dem Konto gewählte Hosting prüfen.

Hinweis. Diese Datei ist eine von StackLégal aus Ihren Angaben erzeugte Vorlage. Sie ist keine Rechtsberatung und keine Konformitätsbescheinigung. Lesen Sie sie und passen Sie sie an. Bei hohem Risiko (Gesundheit, Finanzen, Minderjährige, sensible Daten, Enterprise-Kunden) lassen Sie sie von einer Rechtsanwältin oder einem Rechtsanwalt prüfen.

Vorlage vom 6 October 2026. Nur die Struktur: Verordnung (EU) 2016/679, insbesondere Artikel 12 bis 14, 28, 32 und 82; Richtlinie 2011/83/EU zum Widerruf, soweit eine Verbraucherin oder ein Verbraucher betroffen ist; Verordnung (EU) 2022/2065 (DSA), wenn Nutzer Inhalte veröffentlichen. Kein nationales Gesetz wird so zitiert, als gelte es überall.

Vorlage ausgefüllt für: Atelier Exemple — https://exemple-saas.example