Auftragsverarbeitungsvertrag

Muster-Auftragsverarbeitungsvertrag (AVV) gemäß Art. 28 DSGVO. Dieser Vertrag regelt die Rechte und Pflichten bei der Auftragsverarbeitung personenbezogener Daten im Rahmen der Mein Leben Plattform.

1. Vertragsparteien

Auftraggeber (Verantwortlicher)

• Einrichtung: [PLATZHALTER — Name der Einrichtung]
• Anschrift: [PLATZHALTER — Strasse, PLZ, Ort]
• Vertreten durch: [PLATZHALTER — Name, Funktion]
• Kontakt Datenschutz: [PLATZHALTER — E-Mail]

Auftragnehmer (Auftragsverarbeiter)

• Unternehmen: [PLATZHALTER — Name des Hosting-/Plattformanbieters]
• Anschrift: [PLATZHALTER — Strasse, PLZ, Ort]
• Vertreten durch: [PLATZHALTER — Name, Funktion]
• Kontakt Datenschutz: [PLATZHALTER — E-Mail]

2. Gegenstand und Dauer des Auftrags

2.1 Gegenstand

Der Auftragnehmer verarbeitet personenbezogene Daten im Auftrag des Auftraggebers im Rahmen des Betriebs der Mein Leben Plattform. Dies umfasst das Hosting der Webanwendung, der Datenbank und der zugehörigen Dienste.

2.2 Dauer

• Vertragsbeginn: [PLATZHALTER — Datum]
• Vertragslaufzeit: [PLATZHALTER — unbefristet / bis Datum]
• Kündigungsfrist: [PLATZHALTER — z.B. 3 Monate zum Quartalsende]

3. Art und Zweck der Verarbeitung

3.1 Art der Verarbeitung

• Speicherung personenbezogener Daten in der PostgreSQL-Datenbank
• Übermittlung von Daten über die REST-API (HTTPS)
• Erstellung und Verwaltung verschlüsselter Backups
• Hosting der Webanwendung und Bereitstellung der Infrastruktur

3.2 Zweck der Verarbeitung

Bereitstellung und Betrieb einer Teilhabe-Plattform für Einrichtungen der Behindertenhilfe zur Unterstützung der Betreuung, Tagesplanung, Stimmungserfassung und Kommunikation.

3.3 Kategorien betroffener Personen

• Klienten (Menschen mit Behinderung)
• Betreuende Mitarbeiter der Einrichtung
• Familienmitglieder und gesetzliche Betreuer
• Administratoren der Einrichtung

3.4 Kategorien personenbezogener Daten

• Kontodaten (Name, E-Mail, Rolle, Organisationszugehörigkeit)
• Betreuungsdaten (Betreuungsstufe, Notizen, Barrierefreiheitsstufe)
• Besondere Kategorien (Art. 9 DSGVO): Stimmungsdaten, gesundheitsbezogene Notizen
• Kommunikationsdaten (Nachrichten, Lesestatus)
• Tagespläne (Aktivitäten, Zeiten, ARASAAC-Symbole)
• FED-Buchungen (Dienst, Zeitraum, Status)

4. Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

Der Auftragnehmer gewährleistet folgende technische und organisatorische Maßnahmen:

4.1 Vertraulichkeit

• Zutrittskontrolle zu Rechenzentren (physische Sicherheit)
• Zugangskontrolle durch Authentifizierung und Autorisierung
• Zugriffskontrolle durch rollenbasiertes Berechtigungskonzept (RBAC)
• Trennungsgebot durch Multi-Tenant-Architektur mit organizationId
• Pseudonymisierung und Verschlüsselung nach dem Stand der Technik

4.2 Integrität

• Weitergabekontrolle durch TLS 1.3 Verschlüsselung
• Eingabekontrolle durch serverseitige Validierung aller API-Eingaben
• Senderspoof-Schutz für Nachrichtenfunktionen

4.3 Verfügbarkeit und Belastbarkeit

• Verfügbarkeitskontrolle durch redundante Infrastruktur
• Tägliche verschlüsselte Backups mit Wiederherstellungstests
• Rate-Limiting (60 req/min/user) zum Schutz vor Überlastung
• Health-Check-Endpoint für Monitoring (/api/health)

4.4 Verfahren zur regelmäßigen Überprüfung

• Jährliche Überprüfung der TOM
• Regelmäßige Sicherheitsupdates und Patch-Management
• Dokumentiertes Vorfallmanagement (Art. 33/34 DSGVO)

5. Unterauftragsverarbeiter

Der Auftragnehmer setzt folgende Unterauftragsverarbeiter ein. Der Einsatz weiterer Unterauftragsverarbeiter bedarf der vorherigen schriftlichen Zustimmung des Auftraggebers.

ARASAAC-API: Der Abruf von Piktogrammen über die ARASAAC-API (Gobierno de Aragon, Spanien) stellt keine Auftragsverarbeitung dar, da keine personenbezogenen Nutzerdaten übermittelt werden. Der Abruf erfolgt serverseitig.

6. Kontrollrechte des Auftraggebers

6.1 Auskunftsrecht

Der Auftraggeber hat das Recht, vor Beginn und während der Datenverarbeitung die Einhaltung der technischen und organisatorischen Maßnahmen beim Auftragnehmer zu überprüfen. Der Auftragnehmer verpflichtet sich, dem Auftraggeber die erforderlichen Auskünfte zu erteilen.

6.2 Inspektionsrecht

• Der Auftraggeber ist berechtigt, nach rechtzeitiger Ankündigung (mindestens [PLATZHALTER — z.B. 14 Tage]) Kontrollen durchzuführen oder durch beauftragte Dritte durchführen zu lassen.
• Der Auftragnehmer unterstützt den Auftraggeber bei Kontrollen und stellt die erforderlichen Unterlagen zur Verfügung.
• Alternativ kann der Auftragnehmer ein aktuelles Testat, einen Prüfbericht oder Zertifikat eines unabhängigen Prüfers vorlegen (z.B. C5-Testat, ISO 27001).

6.3 Weisungsrecht

Die Verarbeitung der Daten erfolgt ausschließlich im Rahmen der Weisungen des Auftraggebers. Der Auftragnehmer verarbeitet die Daten nicht zu eigenen Zwecken. Weisungen, die über den vertraglich vereinbarten Leistungsumfang hinausgehen, bedürfen einer gesonderten Vereinbarung.

7. Pflichten des Auftragnehmers

• Verarbeitung personenbezogener Daten nur auf dokumentierte Weisung des Auftraggebers
• Gewährleistung der Vertraulichkeit (Verpflichtung aller Mitarbeiter auf das Datengeheimnis)
• Unverzügliche Information des Auftraggebers bei Datenschutzverletzungen (innerhalb von 24 Stunden)
• Unterstützung bei der Erfüllung der Betroffenenrechte (Art. 15-22 DSGVO)
• Unterstützung bei Datenschutz-Folgenabschätzungen (Art. 35 DSGVO)
• Löschung oder Rückgabe aller personenbezogenen Daten nach Beendigung des Auftrags (innerhalb von [PLATZHALTER — z.B. 30 Tage])
• Bestellung eines Datenschutzbeauftragten, sofern gesetzlich erforderlich

8. Beendigung des Auftrags

Nach Beendigung des Vertragsverhältnisses hat der Auftragnehmer sämtliche personenbezogenen Daten nach Wahl des Auftraggebers zurückzugeben oder datenschutzkonform zu löschen. Die datenschutzkonforme Löschung ist dem Auftraggeber schriftlich zu bestätigen.

• Datenexport: Der Auftraggeber kann vor der Löschung einen vollständigen Datenexport im strukturierten Format (JSON/CSV) anfordern.
• Löschfrist: [PLATZHALTER — z.B. 30 Tage] nach Vertragsende
• Backup-Löschung: Löschung aus allen Backup-Systemen innerhalb von [PLATZHALTER — z.B. 90 Tage]

9. Unterschriften

Stand: Februar 2026