Auftragsverarbeitung (AVV)

Vereinbarung nach Art. 28 DSGVO · Fassung 2026-10 · Stand Oktober 2026

§ 1 Gegenstand, Dauer, Rollen

(1) Der Anbieter stellt dem Kunden die Software Parete (Webanwendung für Kletteranlagen) bereit und verarbeitet dabei personenbezogene Daten im Auftrag des Kunden. Der Kunde ist Verantwortlicher im Sinne von Art. 4 Nr. 7 DSGVO, der Anbieter Auftragsverarbeiter im Sinne von Art. 4 Nr. 8 DSGVO.

(2) Die Vereinbarung gilt für die Dauer des Nutzungsvertrags und darüber hinaus, solange der Anbieter noch Daten des Kunden verarbeitet (siehe § 10).

(3) Soweit der Anbieter Daten für eigene Zwecke verarbeitet (insbesondere Vertrags-, Abrechnungs- und Kontaktdaten des Kunden sowie die Server-Protokolle nach seiner Datenschutzerklärung), handelt er als eigener Verantwortlicher. Diese Verarbeitung ist nicht Gegenstand dieser Vereinbarung.

§ 2 Art, Zweck, Daten und Betroffene

Art und Zweck der Verarbeitung, die Arten personenbezogener Daten und die Kategorien betroffener Personen ergeben sich aus Anlage 1.

§ 3 Weisungen des Kunden

(1) Der Anbieter verarbeitet die Daten nur auf dokumentierte Weisung des Kunden, auch bezüglich einer Übermittlung in ein Drittland, es sei denn, er ist durch Unionsrecht oder das Recht eines Mitgliedstaats zur Verarbeitung verpflichtet; in diesem Fall teilt er dem Kunden die rechtlichen Anforderungen vor der Verarbeitung mit, sofern das Recht dies nicht wegen wichtigen öffentlichen Interesses verbietet (Art. 28 Abs. 3 lit. a DSGVO).

(2) Weisungen sind die Nutzung der Funktionen von Parete durch den Kunden und seine Nutzer sowie Weisungen in Textform (z. B. per E-Mail an kontakt@allgaeuerart.eu). Mündliche Weisungen bestätigt der Kunde unverzüglich in Textform.

(3) Der Anbieter weist den Kunden unverzüglich darauf hin, wenn er der Ansicht ist, dass eine Weisung gegen datenschutzrechtliche Vorschriften verstößt. Er darf die Ausführung aussetzen, bis der Kunde die Weisung bestätigt oder ändert.

§ 4 Pflichten des Anbieters

(1) Vertraulichkeit. Der Anbieter verpflichtet alle Personen, die Zugang zu den Daten haben, zur Vertraulichkeit oder stellt sicher, dass sie einer gesetzlichen Verschwiegenheitspflicht unterliegen (Art. 28 Abs. 3 lit. b DSGVO).

(2) Sicherheit. Der Anbieter trifft die in Anlage 2 beschriebenen technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO und entwickelt sie im Rahmen des Stands der Technik weiter. Wesentliche Verschlechterungen des Schutzniveaus sind unzulässig.

(3) Betroffenenrechte. Der Anbieter unterstützt den Kunden mit geeigneten technischen und organisatorischen Maßnahmen, Anträge betroffener Personen (Auskunft, Berichtigung, Löschung, Einschränkung, Übertragbarkeit, Widerspruch) zu beantworten (Art. 28 Abs. 3 lit. e DSGVO). Wendet sich eine betroffene Person direkt an den Anbieter, leitet er die Anfrage unverzüglich an den Kunden weiter und beantwortet sie nicht selbst.

(4) Unterstützung bei Pflichten des Kunden. Der Anbieter unterstützt den Kunden bei den Pflichten nach Art. 32 bis 36 DSGVO (Sicherheit, Meldung von Verletzungen, Datenschutz-Folgenabschätzung, Konsultation der Aufsichtsbehörde) unter Berücksichtigung der Art der Verarbeitung und der ihm zur Verfügung stehenden Informationen (Art. 28 Abs. 3 lit. f DSGVO).

(5) Verletzungen des Schutzes personenbezogener Daten. Der Anbieter meldet dem Kunden jede Verletzung des Schutzes personenbezogener Daten, die er im Rahmen dieser Vereinbarung bemerkt, unverzüglich nach Bekanntwerden an die im Kundenkonto hinterlegte E-Mail-Adresse (Art. 33 Abs. 2 DSGVO). Die Meldung enthält, soweit bekannt, Art der Verletzung, betroffene Daten und Personen, wahrscheinliche Folgen und ergriffene Maßnahmen.

(6) Verzeichnis. Der Anbieter führt ein Verzeichnis aller Kategorien von im Auftrag durchgeführten Verarbeitungstätigkeiten (Art. 30 Abs. 2 DSGVO).

§ 5 Pflichten des Kunden

(1) Der Kunde ist für die Rechtmäßigkeit der Verarbeitung verantwortlich, einschließlich der Rechtsgrundlagen und der Informationspflichten gegenüber betroffenen Personen. Das gilt insbesondere für die öffentlichen Seiten seiner Anlage (Tourenübersicht, Bewertung, Challenges, Schwierigkeitstest): Der Kunde hinterlegt dafür sein Impressum und seine Datenschutzerklärung (Design → Besucheransicht).

(2) Der Kunde erfasst in Parete keine besonderen Kategorien personenbezogener Daten (Art. 9 DSGVO) und keine Daten über Straftaten, und er weist seine Nutzer an, in Freitextfeldern keine solchen Angaben zu machen.

(3) Der Kunde nennt dem Anbieter eine E-Mail-Adresse für Meldungen nach dieser Vereinbarung und hält sie aktuell. Er informiert den Anbieter unverzüglich, wenn er Fehler oder Unregelmäßigkeiten bei der Verarbeitung feststellt.

(4) Der Kunde verwaltet seine Nutzer selbst und sorgt dafür, dass Zugänge ausscheidender Personen gesperrt werden.

§ 6 Unterauftragsverarbeiter

(1) Der Kunde erteilt die allgemeine Genehmigung zum Einsatz der in Anlage 3 genannten Unterauftragsverarbeiter (Art. 28 Abs. 2 DSGVO).

(2) Der Anbieter informiert den Kunden mindestens 30 Tage vor dem Einsatz eines neuen oder dem Austausch eines Unterauftragsverarbeiters per E-Mail oder durch Hinweis in Parete. Der Kunde kann innerhalb von 14 Tagen aus wichtigem datenschutzrechtlichem Grund in Textform widersprechen. Können sich die Parteien nicht einigen, hat jede Partei das Recht, den Nutzungsvertrag zum Zeitpunkt des Wechsels außerordentlich zu kündigen; zu viel gezahlte Entgelte werden anteilig erstattet.

(3) Der Anbieter schließt mit jedem Unterauftragsverarbeiter einen Vertrag, der diesem dieselben Datenschutzpflichten auferlegt wie diese Vereinbarung (Art. 28 Abs. 4 DSGVO). Er haftet dem Kunden dafür, dass der Unterauftragsverarbeiter seine Pflichten erfüllt.

§ 7 Verarbeitung in Drittländern

(1) Der Anbieter verarbeitet die Daten des Kunden in Rechenzentren in der Europäischen Union (Anlage 3). Soweit ein Unterauftragsverarbeiter seinen Sitz in einem Drittland hat oder von dort auf die Daten zugreifen kann, stützt sich die Übermittlung auf einen Angemessenheitsbeschluss (EU-US Data Privacy Framework) oder auf die Standardvertragsklauseln der Europäischen Kommission (Art. 44 ff. DSGVO).

(2) Der Kunde stimmt diesen Übermittlungen zu. Der Anbieter nennt auf Anfrage die jeweils genutzte Grundlage.

§ 8 Nachweise und Kontrollen

(1) Der Anbieter stellt dem Kunden auf Anfrage die erforderlichen Informationen zum Nachweis der Einhaltung dieser Vereinbarung zur Verfügung, insbesondere eine Beschreibung der Maßnahmen und die Nachweise der Unterauftragsverarbeiter (z. B. Zertifikate und Prüfberichte, soweit diese bereitgestellt werden).

(2) Der Kunde kann Überprüfungen durchführen oder durch einen zur Verschwiegenheit verpflichteten Prüfer durchführen lassen, nach rechtzeitiger Anmeldung (in der Regel 14 Tage), während üblicher Geschäftszeiten und ohne den Betrieb unverhältnismäßig zu stören. Der Anbieter darf für erheblichen Aufwand eine angemessene Vergütung verlangen. Prüfungen bei Unterauftragsverarbeitern richten sich nach deren Bedingungen.

§ 9 Mitteilungen an Aufsichtsbehörden

Der Anbieter informiert den Kunden unverzüglich über Kontrollen und Maßnahmen von Aufsichtsbehörden, soweit sie die Verarbeitung im Auftrag betreffen, und stimmt Auskünfte an Dritte, soweit rechtlich zulässig, mit dem Kunden ab.

§ 10 Rückgabe und Löschung nach Vertragsende

(1) Nach Beendigung des Nutzungsvertrags stellt der Anbieter dem Kunden auf Wunsch die Daten als Export bereit (Datenexport als ZIP-Datei mit Tabellen im CSV-Format und Dateiliste). Die Dateien wie Fotos und Berichte liefert der Anbieter auf Anfrage.

(2) Danach löscht der Anbieter die Daten des Kunden einschließlich der Zugänge unwiderruflich, spätestens 30 Tage nach Vertragsende oder nach dem Export, je nachdem was später eintritt. Kopien in Sicherungen werden im Rahmen der turnusmäßigen Überschreibung gelöscht. Gesetzliche Aufbewahrungspflichten bleiben unberührt; die Daten werden dann gesperrt.

(3) Auf Verlangen bestätigt der Anbieter die Löschung in Textform (Art. 28 Abs. 3 lit. g DSGVO).

§ 11 Haftung

Für die Haftung gelten die Regelungen des Nutzungsvertrags. Art. 82 DSGVO und die Rechte betroffener Personen bleiben unberührt.

§ 12 Schlussbestimmungen

(1) Form und Annahme. Diese Vereinbarung kommt zustande, indem ein dazu berechtigter Admin des Kunden sie in Parete annimmt, oder indem sie im Nutzungsvertrag als Anlage vereinbart wird. Die elektronische Annahme genügt dem Formerfordernis des Art. 28 Abs. 9 DSGVO. Der Anbieter speichert Zeitpunkt, annehmende Person, Fassung und Herkunft und stellt dem Kunden den Nachweis auf Anfrage zur Verfügung.

(2) Änderungen. Der Anbieter kann diese Vereinbarung anpassen, wenn sich Rechtslage, Unterauftragsverarbeiter oder Funktionen von Parete ändern und die Änderung dem Kunden zumutbar ist. Eine neue Fassung teilt er dem Kunden mit; der Kunde bestätigt sie in Parete. Ändert sich nur die Liste der Unterauftragsverarbeiter, gilt § 6.

(3) Vorrang. Bei Widersprüchen zwischen dieser Vereinbarung und dem Nutzungsvertrag geht diese Vereinbarung in Fragen des Datenschutzes vor.

(4) Es gilt deutsches Recht. Sollte eine Bestimmung unwirksam sein, bleibt die Wirksamkeit der übrigen unberührt.

Anlage 1 – Gegenstand der Verarbeitung

Art und Zweck. Bereitstellung und Betrieb von Parete für den Kunden, insbesondere: Verwaltung von Touren, Routenbau, Etiketten, Griffsets und Stammdaten; öffentliche Tourenübersicht, Routenbewertung, Challenges („Wandhelden“) und Schwierigkeitstest; Inspektion, Anlagen- und Bauteilverwaltung, Berichte, Formulare und Aufgaben; Kunden-, Angebots-, Rechnungs- und Buchhaltungsfunktionen; Nutzerverwaltung; Speicherung, Sicherung und Export der Daten.

Arten von Daten.

• Nutzerdaten des Kunden: Name, E-Mail-Adresse oder Benutzername, Rolle und Rechte, Zeitpunkte von Anmeldungen, Änderungsprotokolle.
• Inhaltsdaten: Touren, Schrauber- und Prüfernamen, Prüfberichte und Formularantworten mit Texten, Fotos und Anhängen, Aufgaben, Unterschriften, soweit der Kunde sie erfasst.
• Besucherdaten: Sterne und Kommentare der Routenbewertung, Gerätekennung (Hash) gegen Mehrfachbewertung, frei gewählte Anzeigenamen bei Challenges, Begehungen, Angaben im Schwierigkeitstest.
• Kunden- und Rechnungsdaten des Kunden: Name, Anschrift, E-Mail, Rechnungs- und Zahlungsdaten seiner Kunden und Geschäftspartner.
• Technische Daten: IP-Adresse und Zeitstempel in Server-Protokollen.

Betroffene. Mitarbeiter und Nutzer des Kunden, Prüfer und Schrauber, Besucher und Kletternde, Teilnehmer von Challenges, Kunden und Geschäftspartner des Kunden.

Besondere Kategorien (Art. 9 DSGVO). Nicht vorgesehen (siehe § 5 Abs. 2).

Anlage 2 – Technische und organisatorische Maßnahmen

• Zutrittskontrolle: Es gibt keine eigenen Rechenzentren; die Verarbeitung erfolgt bei den Unterauftragsverarbeitern (Anlage 3) in deren zertifizierten Rechenzentren. Der Arbeitsplatz des Anbieters ist gegen unbefugten Zutritt gesichert.
• Zugangskontrolle: Anmeldung mit persönlichem Konto und Passwort (nur als Hash gespeichert); Sitzungen per sicheren Cookies; Zugänge der Verwaltung des Anbieters mit starken Passwörtern und, wo angeboten, Zwei-Faktor-Anmeldung.
• Zugriffskontrolle: Rollen- und Modulrechte je Mandant; strikte Mandantentrennung in der Datenbank (Zeilenschutz je Anlage); Mitarbeiter des Anbieters greifen nur im Rahmen von Support und Wartung zu.
• Weitergabekontrolle: Übertragung ausschließlich verschlüsselt (HTTPS/TLS); Dateien in nicht öffentlich auflistbaren Speichern, soweit nicht ausdrücklich öffentlich.
• Eingabekontrolle: Änderungsprotokolle in der App (z. B. Nutzer, Vorlagen, Adressen) und im Plattform-Protokoll.
• Auftragskontrolle: Weisungen in Textform; sorgfältige Auswahl und Verträge mit Unterauftragsverarbeitern.
• Verfügbarkeit und Belastbarkeit: Regelmäßige Datensicherungen beim Datenbankanbieter; Wiederherstellung auf Anfrage; Überwachung des Betriebs.
• Trennungsgebot: Daten verschiedener Kunden werden logisch getrennt (Mandanten-ID mit erzwungenen Zeilenregeln); Test-/Demo-Mandanten sind getrennt.
• Datenschutz durch Technik: Nur notwendige Daten; keine Tracking- oder Werbedienste; Löschfunktion für ganze Mandanten.
• Überprüfung: Regelmäßige Überprüfung dieser Maßnahmen; automatisierte Tests der Mandantentrennung.

Anlage 3 – Unterauftragsverarbeiter

• Vercel Inc. (USA) – Hosting und Auslieferung der Webanwendung. Ausführung der Anwendung in der Region Frankfurt (Deutschland); Auslieferung von Inhalten über ein weltweites Netzwerk. Übermittlung in die USA auf Grundlage des EU-US Data Privacy Frameworks bzw. der Standardvertragsklauseln.
• Supabase – Datenbank, Anmeldung und Dateispeicher. Daten in der Region Frankfurt am Main (Deutschland). Dessen eigene Unterauftragnehmer (z. B. für den Betrieb der Rechenzentren) ergeben sich aus der öffentlich geführten Liste von Supabase.

Den jeweils aktuellen Stand und die Vertragsgrundlagen nennt der Anbieter auf Anfrage unter kontakt@allgaeuerart.eu.