Auftragsverarbeitungsvertrag (AVV)

Dieser Vertrag ist Anlage zu den AGB (§ 12) und wird mit deren Annahme zwischen dem Kunden („Verantwortlicher“) und HartmannSolution, Inhaber Timo Hartmann, Sandstraße 16, 83253 Rimsting („Auftragsverarbeiter“) geschlossen.

1. Gegenstand und Dauer

Der Auftragsverarbeiter verarbeitet personenbezogene Daten im Auftrag des Verantwortlichen, soweit dies zur Bereitstellung von Flinke Biene nach den AGB nötig ist. Der Vertrag gilt für die Dauer des Hauptvertrags und darüber hinaus, solange der Auftragsverarbeiter Daten des Verantwortlichen verarbeitet.

2. Art, Zweck, Daten und Betroffene

• Art und Zweck: Speichern, Abrufen, Ordnen, Auswerten und Darstellen von Daten, Erstellen von Vorschlägen (teilweise mit KI) und Versand von Nachrichten auf Anweisung des Verantwortlichen.
• Datenarten: Namen, Kontaktdaten und Inhalte aus Nachrichten (E-Mail, WhatsApp, Instagram), Bestelldaten (Name, Stadt, Artikel, Beträge), Bewertungen und Rücksendungen, Lieferanten-Kontakte, Daten von Teammitgliedern (Name, E-Mail, Rechte), Bilder, Video- und Sprachaufnahmen.
• Betroffene: Kunden und Interessenten des Verantwortlichen, seine Lieferanten und Geschäftspartner, seine Beschäftigten und Teammitglieder sowie Personen, die auf hochgeladenen Medien zu sehen oder zu hören sind.

3. Weisungen

Der Auftragsverarbeiter verarbeitet die Daten nur auf dokumentierte Weisung des Verantwortlichen, auch bei Übermittlungen in Drittländer, außer er ist gesetzlich dazu verpflichtet; dann teilt er dies vorher mit, soweit erlaubt. Weisungen sind die AGB, dieser Vertrag und die Einstellungen und Freigaben des Verantwortlichen in Flinke Biene; weitere Weisungen erfolgen in Textform. Hält der Auftragsverarbeiter eine Weisung für rechtswidrig, weist er unverzüglich darauf hin.

4. Vertraulichkeit

Personen, die Zugriff auf die Daten haben, sind zur Vertraulichkeit verpflichtet oder unterliegen einer gesetzlichen Verschwiegenheitspflicht. Sie greifen nur zu, soweit es für den Betrieb, die Fehlerbehebung oder den Support nötig ist.

5. Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

• Hosting: eigener virtueller Server in einem Rechenzentrum in Deutschland (Hostinger).
• Verschlüsselung: HTTPS/TLS für alle Verbindungen; Zugangsdaten verbundener Dienste mit AES-256-GCM verschlüsselt, der Schlüssel liegt getrennt von Datenbank und Sicherungen; Passwörter nur als scrypt-Hash.
• Zugriffskontrolle: Konten mit bestätigter E-Mail, Rollen (Inhaber, Teammitglied) und Rechte je Bereich; strikte Trennung der Daten je Marke; Begrenzung fehlgeschlagener Logins.
• Server-Zugang: Administration nur per SSH-Schlüssel, Passwort-Login abgeschaltet; interne Dienste (Bild-, Sprach- und Videoverarbeitung) sind nicht aus dem Internet erreichbar und zusätzlich mit einem internen Schlüssel geschützt.
• Verarbeitung im Haus: Freistellen von Bildern, Umwandeln von Sprache in Text und Videoerstellung laufen auf dem eigenen Server ohne Dritte.
• Verfügbarkeit: Sicherung der Datenbank vor jedem Update, Überwachung des Systems mit Benachrichtigung bei Störungen, Schutz vor übergroßen Uploads und schädlichen Dateien.
• Nachvollziehbarkeit: Änderungsprotokoll je Marke; Änderungen durch Vorschläge werden erst nach Freigabe wirksam.

Der Auftragsverarbeiter darf die Maßnahmen weiterentwickeln, solange das Schutzniveau nicht sinkt.

6. Unterauftragsverarbeiter

Der Verantwortliche genehmigt folgende Unterauftragsverarbeiter:

Über neue oder ersetzte Unterauftragsverarbeiter informiert der Auftragsverarbeiter mindestens 30 Tage vorher per E-Mail. Der Verantwortliche kann aus wichtigem datenschutzrechtlichem Grund widersprechen; wird keine Lösung gefunden, kann er den Vertrag zum Wechsel kündigen. Der Auftragsverarbeiter verpflichtet Unterauftragsverarbeiter vertraglich auf ein gleichwertiges Schutzniveau.

Dienste, die der Verantwortliche mit eigenem Konto verbindet (z. B. Google, Meta, Shop-Systeme, sein E-Mail-Postfach), sind keine Unterauftragsverarbeiter des Auftragsverarbeiters; dafür gilt das Vertragsverhältnis zwischen dem Verantwortlichen und dem jeweiligen Anbieter.

7. Unterstützung

Der Auftragsverarbeiter unterstützt den Verantwortlichen mit geeigneten Maßnahmen bei der Erfüllung der Rechte Betroffener (Art. 12–23 DSGVO) und bei seinen Pflichten nach Art. 32–36 DSGVO (Sicherheit, Meldungen, Datenschutz-Folgenabschätzung). Anfragen Betroffener, die direkt beim Auftragsverarbeiter eingehen, leitet er unverzüglich weiter.

8. Meldung von Verletzungen

Der Auftragsverarbeiter meldet dem Verantwortlichen eine Verletzung des Schutzes personenbezogener Daten unverzüglich, möglichst innerhalb von 48 Stunden nach Kenntnis, mit den Informationen nach Art. 33 Abs. 3 DSGVO, soweit bekannt.

9. Löschung und Rückgabe

Nach Vertragsende bewahrt der Auftragsverarbeiter die Daten noch 90 Tage auf; in dieser Zeit kann der Verantwortliche sie herunterladen. Danach löscht er sie, soweit keine gesetzliche Pflicht zur Aufbewahrung besteht. Auf Weisung des Verantwortlichen löscht er sofort. Daten in Sicherungskopien werden mit deren regelmäßiger Löschung entfernt.

10. Nachweise und Kontrollen

Der Auftragsverarbeiter stellt dem Verantwortlichen die Informationen zur Verfügung, die zum Nachweis der Pflichten aus Art. 28 DSGVO nötig sind, und ermöglicht Überprüfungen nach rechtzeitiger Anmeldung, während der Geschäftszeiten und ohne Störung des Betriebs. Vorrangig erfolgen Nachweise schriftlich (z. B. durch Auskunft oder Unterlagen).

11. Schlussbestimmungen

Für die Haftung gilt Art. 82 DSGVO; im Übrigen gelten die Regelungen der AGB. Bei Widersprüchen geht dieser Vertrag den AGB in Fragen des Datenschutzes vor.

Stand: 30. Oktober 2026