Auftragsverarbeitungsvertrag (AVV)

Nach Art. 28 DSGVO · Bestandteil der AGB von RatingsHub · Stand: November 2026

§ 1 Gegenstand und Dauer

(1) Der Auftragsverarbeiter verarbeitet im Rahmen der Bereitstellung der Software RatingsHub personenbezogene Daten im Auftrag des Verantwortlichen. Grundlage ist der Nutzungsvertrag nach den AGB von RatingsHub (Hauptvertrag).

(2) Dieser Vertrag gilt für die Dauer des Hauptvertrags und darüber hinaus, solange der Auftragsverarbeiter personenbezogene Daten des Verantwortlichen verarbeitet.

§ 2 Art, Zweck, Daten und Betroffene

(1) Art und Zweck: Speicherung, Darstellung, Auswertung, Übermittlung und Löschung von Daten zur Bereitstellung der Funktionen von RatingsHub, insbesondere Kundenumfragen mit Gutscheinen, Newsletter-Anmeldungen, die Verwaltung und Beantwortung von Bewertungen, digitale Speisekarten und vom Auftragsverarbeiter betriebene Websites.

(2) Kategorien personenbezogener Daten:

• Antworten auf Umfragen nach Vorgabe des Verantwortlichen (z. B. Altersgruppe, Herkunft, Besuchsgrund, Zufriedenheit, Freitext),
• Gutschein-Codes und Einlösestatus, Zeitpunkt und genutzter Aufsteller,
• E-Mail-Adressen, sofern Teilnehmer den Versand eines Gutscheins oder eine Newsletter-Anmeldung wünschen, samt Einwilligungsnachweis,
• gekürzte, nicht rückrechenbare Hash-Werte von IP-Adressen zum Missbrauchsschutz,
• öffentlich angezeigte Namen, Profilbilder und Texte von Rezensenten in Bewertungen,
• technische Zugriffsdaten von Besuchern digitaler Speisekarten und Websites sowie Inhalte von Kontaktformularen auf Websites.

(3) Kategorien betroffener Personen: Endkunden, Gäste und Interessenten des Verantwortlichen, Umfrageteilnehmer, Newsletter-Abonnenten, Rezensenten und Besucher von Speisekarten und Websites.

(4) Besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO sind nicht Gegenstand der Verarbeitung. Der Verantwortliche erhebt solche Daten nicht über RatingsHub.

§ 3 Weisungen

(1) Der Auftragsverarbeiter verarbeitet die Daten nur auf dokumentierte Weisung des Verantwortlichen, es sei denn, er ist durch Unionsrecht oder deutsches Recht zur Verarbeitung verpflichtet; in diesem Fall teilt er dem Verantwortlichen diese Anforderungen vor der Verarbeitung mit, sofern das Recht dies nicht verbietet.

(2) Die Weisungen ergeben sich aus diesem Vertrag, dem Hauptvertrag und den Einstellungen und Aktionen des Verantwortlichen im Dienst. Weitere Weisungen erteilt der Verantwortliche in Textform.

(3) Ist der Auftragsverarbeiter der Ansicht, dass eine Weisung gegen Datenschutzvorschriften verstößt, weist er den Verantwortlichen unverzüglich darauf hin und kann die Ausführung bis zur Klärung aussetzen.

§ 4 Vertraulichkeit

Der Auftragsverarbeiter gewährleistet, dass sich die zur Verarbeitung befugten Personen zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen. Zugriff erhalten nur Personen, die ihn für die Erbringung der Leistung benötigen.

§ 5 Technische und organisatorische Maßnahmen

Der Auftragsverarbeiter trifft die in Anlage 1 beschriebenen technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO. Er darf sie an den technischen Fortschritt anpassen, sofern das Schutzniveau nicht unterschritten wird.

§ 6 Unterauftragsverarbeiter

(1) Der Verantwortliche erteilt die allgemeine Genehmigung zum Einsatz von Unterauftragsverarbeitern. Die bei Vertragsschluss eingesetzten Unterauftragsverarbeiter sind in Anlage 2 aufgeführt und gelten als genehmigt.

(2) Der Auftragsverarbeiter informiert den Verantwortlichen über beabsichtigte Änderungen mindestens vier Wochen im Voraus in Textform oder im Dienst. Der Verantwortliche kann aus wichtigem datenschutzrechtlichem Grund innerhalb dieser Frist widersprechen. Können sich die Parteien nicht einigen, kann der Verantwortliche den Hauptvertrag zum Zeitpunkt der Änderung kündigen.

(3) Der Auftragsverarbeiter verpflichtet Unterauftragsverarbeiter vertraglich auf ein Schutzniveau, das diesem Vertrag entspricht. Bei Übermittlungen in Drittländer stellt er geeignete Garantien nach Art. 44 ff. DSGVO sicher, insbesondere das EU-US Data Privacy Framework oder EU-Standardvertragsklauseln.

§ 7 Unterstützung des Verantwortlichen

(1) Der Auftragsverarbeiter unterstützt den Verantwortlichen mit geeigneten technischen und organisatorischen Maßnahmen bei der Beantwortung von Anträgen betroffener Personen (Art. 12 bis 23 DSGVO). Der Verantwortliche kann Umfrage-Antworten und Newsletter-Kontakte im Dienst selbst exportieren und löschen. Wenden sich betroffene Personen direkt an den Auftragsverarbeiter, leitet dieser die Anfrage unverzüglich an den Verantwortlichen weiter.

(2) Er unterstützt den Verantwortlichen bei der Einhaltung der Pflichten aus Art. 32 bis 36 DSGVO, insbesondere bei Datenschutz-Folgenabschätzungen, soweit ihm die erforderlichen Informationen vorliegen.

§ 8 Datenschutzverletzungen

Der Auftragsverarbeiter meldet dem Verantwortlichen Verletzungen des Schutzes personenbezogener Daten unverzüglich, möglichst innerhalb von 48 Stunden nach Bekanntwerden. Die Meldung enthält, soweit bekannt, die Angaben nach Art. 33 Abs. 3 DSGVO. Er ergreift unverzüglich die erforderlichen Maßnahmen zur Sicherung der Daten und zur Minderung möglicher nachteiliger Folgen.

§ 9 Löschung und Rückgabe

(1) Nach Ende des Hauptvertrags löscht der Auftragsverarbeiter alle personenbezogenen Daten des Verantwortlichen, sofern nicht eine gesetzliche Pflicht zur Speicherung besteht. Vor der Löschung kann der Verantwortliche seine Daten im Dienst exportieren.

(2) Daten in Datensicherungen werden im Rahmen des regulären Sicherungszyklus, spätestens nach 14 Tagen, überschrieben.

§ 10 Nachweise und Kontrollen

Der Auftragsverarbeiter stellt dem Verantwortlichen auf Anfrage die Informationen zur Verfügung, die zum Nachweis der Einhaltung dieses Vertrags erforderlich sind. Er ermöglicht Überprüfungen durch den Verantwortlichen oder einen von ihm beauftragten, zur Verschwiegenheit verpflichteten Prüfer nach angemessener Vorankündigung, in der Regel mit einer Frist von vier Wochen, während der üblichen Geschäftszeiten und ohne Störung des Betriebs. Der Nachweis kann auch durch geeignete Zertifikate oder Prüfberichte der eingesetzten Dienstleister erbracht werden.

§ 11 Haftung und Schlussbestimmungen

(1) Für die Haftung gilt Art. 82 DSGVO. Im Übrigen gelten die Haftungsregelungen des Hauptvertrags.

(2) Bei Widersprüchen zwischen diesem Vertrag und dem Hauptvertrag gehen die Regelungen dieses Vertrags vor, soweit es um den Schutz personenbezogener Daten geht.

(3) Sollte eine Bestimmung dieses Vertrags unwirksam sein, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt.

Anlage 1: Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

• Zutrittskontrolle: Betrieb ausschließlich in Rechenzentren zertifizierter Hosting-Anbieter (Netlify und dessen Infrastrukturpartner) mit physischen Zugangskontrollen; keine eigenen Server.
• Zugangskontrolle: persönliche Zugänge für jedes Teammitglied, Passwörter nur als Hash gespeichert, zeitlich begrenzte Anmelde-Token, Anmeldung mit Google-Konto möglich, Einladungen für Teammitglieder mit Ablaufdatum.
• Zugriffskontrolle: Kunden sehen ausschließlich ihre eigenen Daten; Admin-Zugriff nur für Gesellschafter und eingeladene Teammitglieder; deaktivierbare Zugänge; Protokollierung von Admin-Aktionen.
• Weitergabekontrolle: Übertragung ausschließlich verschlüsselt per TLS (HTTPS); Zugangsschlüssel zu Drittdiensten werden nur serverseitig als geschützte Umgebungsvariablen gespeichert.
• Eingabekontrolle: Zeitstempel und Bearbeiter bei wesentlichen Änderungen; Aktivitätsprotokoll im Admin-Bereich.
• Auftragskontrolle: Unterauftragsverarbeiter nur mit Vertrag nach Art. 28 DSGVO; dokumentierte Weisungen über den Dienst.
• Verfügbarkeitskontrolle: tägliche automatische Datensicherung in einem getrennten Speicherbereich mit 14 Tagen Aufbewahrung; Wiederherstellung durch den Inhaber; redundante Infrastruktur des Hosting-Anbieters.
• Trennungskontrolle: logische Trennung der Daten je Kunde über eindeutige Kennungen; getrennte Speicherbereiche für Live-Daten und Sicherungen.
• Datenminimierung: IP-Adressen nur gekürzt und gehasht für höchstens einen Tag; keine Speicherung, ob Umfrageteilnehmer eine Bewertung abgeben; E-Mail-Adressen von Teilnehmern nur auf deren ausdrücklichen Wunsch.
• Überprüfung: regelmäßige Prüfung und Aktualisierung der Maßnahmen bei Änderungen am Dienst.

Anlage 2: Unterauftragsverarbeiter