Revisio
Demo ausprobieren Kostenlos testen

Vertrag zur Auftragsverarbeitung (AVV) nach Art. 28 DSGVO

LH Printing · Inhaber Lars Hölker PDF

Version 2026-10 · Stand Oktober 2026

zwischen

dem Kunden (Organisation in Revisio, wie bei der Registrierung bzw. im Kundenkonto angegeben) – Verantwortlicher, im Folgenden „Auftraggeber“ –

und

Lars Hölker, handelnd unter LH Printing, Philippenkuhle 5, 52538 Gangelt, E-Mail [email protected] – Auftragsverarbeiter, im Folgenden „Auftragnehmer“ –

Dieser Vertrag wird bei der Registrierung elektronisch geschlossen; Zeitpunkt und Version der Zustimmung werden gespeichert. Er ist Bestandteil des Nutzungsvertrags über Revisio (Hauptvertrag, AGB).

Anlagen:

§ 1 Gegenstand und Dauer

  1. Gegenstand ist die Verarbeitung personenbezogener Daten durch den Auftragnehmer im Auftrag des Auftraggebers bei der Bereitstellung der Software Revisio als Software-as-a-Service (Betrieb, Speicherung, Sicherung, Versand von E-Mails im Namen des Auftraggebers, Support) nach dem Hauptvertrag.
  2. Die Dauer dieses Vertrags entspricht der Laufzeit des Hauptvertrags einschließlich Testphase. Er endet nicht vor Abschluss der Rückgabe und Löschung nach § 11. Pflichten, die ihrer Natur nach fortwirken (Vertraulichkeit, Nachweise), gelten über das Vertragsende hinaus.

§ 2 Art, Zweck, Daten und Betroffene

  1. Art der Verarbeitung: Erheben über die Eingabemasken, Importe, die Techniker-App und das Kundenportal; Speichern, Ordnen, Verschlüsseln, Abfragen, Anzeigen; Erzeugen von Dokumenten (PDF); Übermitteln an die vom Auftraggeber bestimmten Empfänger (E-Mail-Versand von Berichten, Angeboten, Terminankündigungen, Einladungen); Synchronisieren mit Endgeräten; Sichern und Wiederherstellen; Anonymisieren und Löschen.
  2. Zweck: Organisation, Durchführung und Dokumentation der Wartungs-, Instandhaltungs- und Prüftätigkeit des Auftraggebers, Kommunikation mit dessen Kunden, Leistungserfassung und Abrechnungsvorbereitung sowie die Sicherheit des Systems.
  3. Kategorien betroffener Personen: a) Beschäftigte, Auszubildende, freie Mitarbeitende und Subunternehmer des Auftraggebers (Nutzer); b) Ansprechpartner und Mitarbeitende der Kunden des Auftraggebers (Auftraggeber, Hausverwaltungen, Facility-Management), einschließlich Nutzern des Kundenportals; c) Betreiber, Eigentümer und Objektverantwortliche der betreuten Anlagen und Objekte; d) Unterzeichner von Berichten, Melder von Störungen, Empfänger von Berichten und Angeboten; e) sonstige Personen, die in Freitexten, Dokumenten oder Fotos vorkommen.
  4. Arten personenbezogener Daten: a) Identifikations- und Kontaktdaten: Name, Anrede, Firma, Funktion, E-Mail-Adresse, Telefon- und Mobilnummer, Anschrift von Objekten und Kunden; b) Nutzerdaten: Rolle, Kürzel, Anmeldedaten (Passwort-Hash, Zwei-Faktor-Status), bekannte Geräte, Sitzungen, IP-Adressen und Browserkennungen bei Anmeldung und im Änderungsprotokoll, Push-Abonnements, Kalender-Abo; c) Einsatz- und Leistungsdaten der Nutzer: Zuweisungen, Termine, Abwesenheiten mit Notiz, Arbeitszeiten, Prüfergebnisse, Materialbuchungen, Statusänderungen; d) Objekt- und Anlagendaten mit Personenbezug: Zugangshinweise, Notizen, Koordinaten, Dokumente; e) Unterschriften (Bild, Name, Zeitpunkt), Fotos; f) Kommunikationsdaten: Versandprotokolle (Empfänger, Betreff, Zeitpunkt, Status), Terminantworten, Entscheidungen über Angebote; g) Inhalte von Freitexten (Störungs- und Mängelbeschreibungen, Notizen, Kommentare); h) Protokoll- und Sicherheitsdaten (Änderungsprotokoll, Fehlerprotokoll ohne IP-Adressen).
  5. Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO) sind für den Zweck nicht vorgesehen. Der Auftraggeber speichert sie nur, wenn dies rechtlich zulässig ist; Revisio bietet dafür keine besonderen Schutzmaßnahmen über Anlage 1 hinaus.

§ 3 Ort der Verarbeitung

Die Verarbeitung findet in der Bundesrepublik Deutschland bzw. in einem Mitgliedstaat der EU oder des EWR statt. Eine Verarbeitung in einem Drittland bedarf der vorherigen Zustimmung des Auftraggebers in Textform und ist nur zulässig, wenn die Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind. Unberührt bleiben Datenflüsse, die der Auftraggeber oder seine Nutzer selbst veranlassen (z. B. Abruf von Kartenbildern nach Zustimmung, Push-Dienste des Browsers, Kalender-Abo in einem Kalenderdienst eigener Wahl; siehe Anlage 2, Abschnitt 2).

§ 4 Weisungen

  1. Der Auftragnehmer verarbeitet die Daten nur auf dokumentierte Weisung des Auftraggebers, auch in Bezug auf Übermittlungen in Drittländer, es sei denn, er ist nach dem Recht der EU oder Deutschlands dazu verpflichtet; in einem solchen Fall teilt er dem Auftraggeber diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht dies nicht verbietet.
  2. Die Weisungen sind abschließend im Hauptvertrag und in diesem AVV festgelegt und werden durch die Nutzung der Funktionen von Revisio durch den Auftraggeber und seine Nutzer konkretisiert (z. B. Anlegen, Versenden, Anonymisieren, Einstellen von Löschfristen, Freigabe eines Support-Zugangs). Einzelweisungen erteilt der Auftraggeber in Textform an [email protected]. Weisungen, die über den vertraglichen Leistungsumfang hinausgehen, werden als Antrag auf Leistungsänderung behandelt.
  3. Ist der Auftragnehmer der Ansicht, dass eine Weisung gegen Datenschutzvorschriften verstößt, informiert er den Auftraggeber unverzüglich. Er darf die Durchführung bis zur Bestätigung oder Änderung durch den Auftraggeber aussetzen.

§ 5 Vertraulichkeit

Der Auftragnehmer setzt für die Verarbeitung nur Personen ein, die zur Vertraulichkeit verpflichtet sind oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen, und die mit den maßgeblichen Bestimmungen des Datenschutzes vertraut gemacht wurden. Die Verpflichtung gilt über das Ende der Tätigkeit hinaus.

§ 6 Technische und organisatorische Maßnahmen

  1. Der Auftragnehmer trifft die in Anlage 1 beschriebenen Maßnahmen nach Art. 32 DSGVO. Der Auftraggeber hat sie geprüft und hält sie für die Risiken der Verarbeitung für angemessen.
  2. Die Maßnahmen unterliegen dem technischen Fortschritt. Der Auftragnehmer darf sie durch gleichwertige oder bessere Maßnahmen ersetzen; das Schutzniveau darf nicht unterschritten werden. Wesentliche Änderungen werden dokumentiert und dem Auftraggeber auf Anfrage mitgeteilt; Anlage 1 wird in der jeweils aktuellen Fassung bereitgestellt.

§ 7 Unterauftragsverarbeiter

  1. Der Auftraggeber erteilt die allgemeine Genehmigung zum Einsatz weiterer Auftragsverarbeiter (Unterauftragsverarbeiter). Die bei Vertragsschluss eingesetzten Unterauftragsverarbeiter stehen in Anlage 2 und gelten als genehmigt.
  2. Der Auftragnehmer informiert den Auftraggeber mindestens vier Wochen vorher in Textform (E-Mail an die Adresse der Administration bzw. Rechnungsadresse und Hinweis in der Anwendung) über jede beabsichtigte Hinzuziehung oder Ersetzung eines Unterauftragsverarbeiters.
  3. Der Auftraggeber kann der Änderung aus wichtigem datenschutzrechtlichem Grund innerhalb dieser Frist in Textform widersprechen. Können sich die Parteien nicht einigen, kann der Auftraggeber den Hauptvertrag zum Zeitpunkt der Änderung außerordentlich kündigen; bereits gezahlte Entgelte für die Zeit danach werden erstattet. Ohne Widerspruch gilt die Änderung als genehmigt.
  4. Der Auftragnehmer verpflichtet jeden Unterauftragsverarbeiter vertraglich zu denselben Datenschutzpflichten wie in diesem Vertrag, insbesondere zu hinreichenden Garantien für geeignete technische und organisatorische Maßnahmen (Art. 28 Abs. 4 DSGVO). Er haftet gegenüber dem Auftraggeber für die Einhaltung der Pflichten des Unterauftragsverarbeiters.
  5. Keine Unterauftragsverarbeitung im Sinne dieser Regelung sind Nebenleistungen, die der Auftragnehmer bei Dritten in Anspruch nimmt, ohne dass diese Zugriff auf personenbezogene Daten des Auftraggebers erhalten (z. B. Telekommunikations- und Transportleistungen, Zahlungsabwicklung für den Auftragnehmer selbst). Der Auftragnehmer trifft auch hierfür angemessene Vorkehrungen zum Schutz der Daten.

§ 8 Rechte betroffener Personen

  1. Der Auftragnehmer unterstützt den Auftraggeber mit geeigneten technischen und organisatorischen Maßnahmen bei der Erfüllung der Rechte betroffener Personen (Art. 12 bis 22 DSGVO). Revisio stellt dafür insbesondere bereit: Datenauskunft als ZIP-Datei (Art. 15, 20), Bearbeiten der Daten (Art. 16), Anonymisieren und Löschen samt Schwärzung im Änderungsprotokoll (Art. 17), Sperren von Zugängen (Art. 18), Löschfristen und eine Übersicht für das Verzeichnis von Verarbeitungstätigkeiten.
  2. Wendet sich eine betroffene Person unmittelbar an den Auftragnehmer, leitet dieser das Ersuchen unverzüglich an den Auftraggeber weiter und beantwortet es nicht selbst, soweit er nicht dazu angewiesen ist.

§ 9 Unterstützungspflichten

Der Auftragnehmer unterstützt den Auftraggeber unter Berücksichtigung der Art der Verarbeitung und der ihm zur Verfügung stehenden Informationen bei der Einhaltung der Pflichten aus Art. 32 bis 36 DSGVO (Sicherheit der Verarbeitung, Meldung und Benachrichtigung bei Verletzungen, Datenschutz-Folgenabschätzung, vorherige Konsultation), insbesondere durch Bereitstellung der Anlage 1, Auskünfte zu den Verarbeitungsvorgängen und Mitwirkung bei Anfragen der Aufsichtsbehörde. Unterstützungsleistungen, die über die Bereitstellung der Funktionen und Dokumentation hinausgehen und nicht auf einem Verstoß des Auftragnehmers beruhen, kann der Auftragnehmer nach vorheriger Ankündigung zu angemessenen Sätzen vergüten lassen.

§ 10 Meldung von Verletzungen und Störungen

  1. Der Auftragnehmer meldet dem Auftraggeber eine Verletzung des Schutzes personenbezogener Daten (Art. 4 Nr. 12 DSGVO), die Daten des Auftraggebers betrifft, unverzüglich, spätestens innerhalb von 48 Stunden nach Kenntnis, an die hinterlegte E-Mail-Adresse der Administration des Auftraggebers.
  2. Die Meldung enthält, soweit bekannt, die Angaben nach Art. 33 Abs. 3 DSGVO (Art der Verletzung, Kategorien und ungefähre Zahl der betroffenen Personen und Datensätze, wahrscheinliche Folgen, ergriffene und vorgeschlagene Maßnahmen, Ansprechpartner). Informationen, die noch nicht vorliegen, werden unverzüglich nachgereicht.
  3. Der Auftragnehmer ergreift unverzüglich die erforderlichen Maßnahmen zur Sicherung der Daten und zur Minderung möglicher nachteiliger Folgen und stimmt sich hierzu mit dem Auftraggeber ab. Die Meldung an die Aufsichtsbehörde und die Benachrichtigung betroffener Personen bleiben Sache des Auftraggebers; der Auftragnehmer unterstützt ihn dabei.
  4. Ebenso informiert der Auftragnehmer den Auftraggeber unverzüglich über Kontrollen oder Maßnahmen von Aufsichtsbehörden und über Ermittlungen, soweit sie die Daten des Auftraggebers betreffen und eine Mitteilung rechtlich zulässig ist.

§ 11 Löschung und Rückgabe nach Vertragsende

  1. Nach Ende des Hauptvertrags kann der Auftraggeber seine Daten innerhalb von 30 Tagen exportieren (AGB § 11 Abs. 6, § 13), insbesondere über den Gesamtexport unter Verwaltung › Datenschutz (ZIP-Datei mit allen Daten in maschinenlesbarem Format und allen Dateien). Auf Anforderung stellt der Auftragnehmer den Gesamtexport bereit.
  2. Nach Ablauf dieser Frist löscht der Auftragnehmer sämtliche personenbezogenen Daten des Auftraggebers innerhalb von weiteren 30 Tagen, einschließlich der Datenschlüssel der Organisation (dadurch sind verbliebene verschlüsselte Felder unlesbar), sofern nicht nach dem Recht der EU oder Deutschlands eine Pflicht zur Speicherung besteht.
  3. In Datensicherungen verbleiben die Daten verschlüsselt bis zum turnusmäßigen Überschreiben, spätestens 12 Monate nach Vertragsende. Bis dahin werden sie ausschließlich zur Wiederherstellung des Gesamtsystems verwendet; wird eine Sicherung wiederhergestellt, werden die Daten des Auftraggebers erneut gelöscht.
  4. Die Löschung wird auf Anfrage in Textform bestätigt.
  5. Dokumentationen, die dem Nachweis der ordnungsgemäßen Verarbeitung dienen, darf der Auftragnehmer entsprechend den Aufbewahrungsfristen über das Vertragsende hinaus aufbewahren.

§ 12 Nachweise und Kontrollen

  1. Der Auftragnehmer stellt dem Auftraggeber alle erforderlichen Informationen zum Nachweis der Einhaltung der Pflichten aus Art. 28 DSGVO zur Verfügung. Der Nachweis kann insbesondere erbracht werden durch die Dokumentation nach Anlage 1, Selbstauskünfte, Berichte und Zertifikate des Rechenzentrumsbetreibers (z. B. ISO/IEC 27001) und Prüfberichte unabhängiger Stellen.
  2. Der Auftraggeber kann Überprüfungen einschließlich Inspektionen selbst oder durch einen von ihm beauftragten, zur Verschwiegenheit verpflichteten Prüfer durchführen, der nicht in einem Wettbewerbsverhältnis zum Auftragnehmer steht. Vor-Ort-Kontrollen sind mit einer Frist von mindestens vier Wochen anzukündigen, finden während der üblichen Geschäftszeiten ohne Störung des Betriebs statt und sind ohne besonderen Anlass auf einmal je Kalenderjahr beschränkt. Kontrollen in Rechenzentren richten sich nach den Regeln des jeweiligen Betreibers; hier genügt in der Regel dessen Zertifikat bzw. Prüfbericht. Die Vertraulichkeit gegenüber anderen Kunden bleibt gewahrt.
  3. Jede Partei trägt ihre eigenen Kosten. Verursacht eine Kontrolle beim Auftragnehmer einen erheblichen Aufwand, der nicht auf einem festgestellten Verstoß beruht, kann er eine angemessene Vergütung verlangen.

§ 13 Support-Zugang und Zugriffe des Auftragnehmers

  1. Der Auftragnehmer greift auf Inhalte der Organisation in der Anwendung nur zu, wenn ein Administrator des Auftraggebers einen Support-Zugang freigegeben hat. Die Freigabe erfolgt in der Anwendung oder in Textform, ist auf einen Anlass und einen Zeitraum begrenzt und kann jederzeit widerrufen werden; sie endet spätestens mit Ablauf des Zeitraums.
  2. Beginn, Ende, handelnde Person und Anlass eines Support-Zugangs werden protokolliert. Handlungen während des Support-Zugangs erscheinen im Änderungsprotokoll der Organisation.
  3. Ohne Freigabe greift der Auftragnehmer auf personenbezogene Daten nur auf der Ebene des Systembetriebs zu und nur, soweit dies für Betrieb, Sicherheit, Datensicherung und Wiederherstellung, Fehleranalyse an technischen Daten oder zur Erfüllung einer gesetzlichen Pflicht unerlässlich ist; Inhalte werden dabei nicht gezielt eingesehen. Muss zur Abwehr einer akuten Gefahr für die Sicherheit des Systems oder der Daten ausnahmsweise ohne vorherige Freigabe auf Inhalte zugegriffen werden, informiert der Auftragnehmer den Auftraggeber unverzüglich danach mit Angabe von Anlass und Umfang.

§ 14 Pflichten des Auftraggebers

  1. Der Auftraggeber ist für die Rechtmäßigkeit der Verarbeitung und die Wahrung der Rechte der betroffenen Personen verantwortlich. Er informiert die betroffenen Personen (Art. 13, 14 DSGVO), insbesondere seine Beschäftigten und Kunden; Revisio bietet dafür einen Datenschutzhinweis im Kundenportal und in E-Mails.
  2. Er informiert den Auftragnehmer unverzüglich, wenn er Fehler oder Unregelmäßigkeiten bei der Prüfung der Auftragsergebnisse feststellt.
  3. Er benennt dem Auftragnehmer auf Anfrage einen Ansprechpartner für Datenschutzfragen.

§ 15 Haftung

  1. Für die Haftung gegenüber betroffenen Personen gilt Art. 82 DSGVO.
  2. Im Innenverhältnis zwischen den Parteien gelten die Haftungsregeln des Hauptvertrags (AGB § 17), soweit nicht zwingendes Recht entgegensteht. Der Auftragnehmer haftet im Innenverhältnis nur, soweit er seinen ihm speziell durch die DSGVO auferlegten Pflichten nicht nachgekommen ist oder unter Nichtbeachtung oder gegen die rechtmäßig erteilten Weisungen des Auftraggebers gehandelt hat (Art. 82 Abs. 2 Satz 2 DSGVO).

§ 16 Schlussbestimmungen

  1. Bei Widersprüchen gehen die Regelungen dieses AVV zum Datenschutz den Regelungen des Hauptvertrags vor.
  2. Änderungen dieses AVV erfolgen nach dem Verfahren der AGB (§ 20); Änderungen der Anlage 2 nach § 7 dieses Vertrags.
  3. Sollte eine Bestimmung dieses Vertrags unwirksam sein, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt. An die Stelle der unwirksamen Bestimmung tritt eine Regelung, die den Anforderungen des Art. 28 DSGVO entspricht.
  4. Es gilt deutsches Recht. Gerichtsstand ist, soweit zulässig, Gangelt.