Rechtliches // Auftragsverarbeitung
Auftragsverarbeitung (AVV)
Was ein Auftragsverarbeitungsvertrag regelt, wann Sie einen mit uns brauchen und wie unsere Vorlage nach Art. 28 DSGVO aufgebaut ist.
Hinweis
Stand: Oktober 2026 – Entwurf, bitte rechtlich prüfen lassen. Die unterschriftsreife Fassung erhalten Sie auf Anfrage.
Was ist Auftragsverarbeitung?
Von Auftragsverarbeitung spricht die DSGVO, wenn ein Dienstleister personenbezogene Daten im Auftrag und nach Weisung eines Verantwortlichen verarbeitet – ohne selbst über Zweck und Mittel zu entscheiden. Typische Beispiele: Hosting, Betrieb einer Kundendatenbank, Verarbeitung von Dokumenten in einer Automatisierung, Support mit Zugriff auf Produktivdaten.
Art. 28 DSGVO verlangt dafür einen schriftlichen Vertrag (der Auftragsverarbeitungsvertrag, kurz „AVV“), der unter anderem Gegenstand, Dauer, Art und Zweck der Verarbeitung, die Datenarten, die Betroffenen sowie die Pflichten des Auftragsverarbeiters festlegt. Der Verantwortliche bleibt für die Daten verantwortlich; der Auftragsverarbeiter verpflichtet sich zu Weisungsbindung, Vertraulichkeit, Sicherheit und Unterstützung.
Wann ist ein AVV mit MGG Systems nötig?
Ein AVV ist erforderlich, sobald wir im Rahmen eines Projekts Zugriff auf personenbezogene Daten Ihrer Kunden, Mitarbeitenden, Patienten oder Partner haben. Das ist regelmäßig der Fall bei:
- Betrieb und Hosting von Anwendungen, Portalen oder Automatisierungen für Sie,
- Entwicklung und Test mit echten Daten (statt anonymisierter Testdaten),
- Systemintegration und Datenmigration zwischen Ihren Systemen,
- KI-Lösungen, die Dokumente, E-Mails oder Anfragen mit Personenbezug verarbeiten,
- Support und Wartung mit Zugriff auf Produktivsysteme.
Nicht erforderlich ist ein AVV für reine Beratung ohne Datenzugriff, für die Erstellung einer Website ohne Betrieb durch uns oder für den allgemeinen Geschäftskontakt (Angebote, Rechnungen). Hier sind wir selbst Verantwortlicher; es gilt unsere Datenschutzerklärung.
AVV anfordern
Die unterschriftsreife Fassung unseres Auftragsverarbeitungsvertrags – inklusive der vollständigen Anlagen zu den technischen und organisatorischen Maßnahmen und zur aktuellen Liste der Unterauftragsverarbeiter – senden wir Ihnen auf Anfrage zu. Schreiben Sie an datenschutz@mggsystems.de oder info@mggsystems.de. Wir stellen den Vertrag als PDF zur elektronischen Signatur bereit. Eigene AVV-Vorlagen Ihres Unternehmens prüfen wir gern.
Struktur unserer AVV-Vorlage (Entwurf)
Die folgenden Abschnitte geben die wesentlichen Regelungen wieder. Maßgeblich ist ausschließlich die unterzeichnete Fassung.
§ 1 Gegenstand und Dauer
- Gegenstand des Vertrags ist die Verarbeitung personenbezogener Daten durch die MGG Systems GbR („Auftragsverarbeiter“) im Auftrag des Kunden („Verantwortlicher“) im Rahmen des zugrunde liegenden Hauptvertrags (Angebot, Leistungsbeschreibung, Betriebs- oder Betreuungsvereinbarung).
- Die Dauer entspricht der Laufzeit des Hauptvertrags. Der AVV endet, sobald der Auftragsverarbeiter keine Daten des Verantwortlichen mehr verarbeitet.
§ 2 Art und Zweck der Verarbeitung
Art und Zweck ergeben sich aus dem Hauptvertrag, insbesondere: Hosting und Betrieb von Anwendungen; Entwicklung, Test und Wartung von Software; Automatisierung von Geschäftsprozessen; Integration und Migration von Daten zwischen Systemen; Verarbeitung von Dokumenten und Anfragen durch KI-gestützte Verfahren; Support mit Zugriff auf Produktivsysteme. Die Verarbeitung erfolgt in der Europäischen Union bzw. im Europäischen Wirtschaftsraum; Ausnahmen sind in § 7 geregelt.
§ 3 Datenarten und Kategorien betroffener Personen
Datenarten (je nach Projekt): Stammdaten (Name, Anschrift, Kontaktdaten), Vertrags- und Abrechnungsdaten, Kommunikationsdaten (E-Mails, Nachrichten, Protokolle), Auftrags- und Vorgangsdaten, Dokumenteninhalte, Nutzungs- und Protokolldaten, Zugangsdaten. Besondere Kategorien (z. B. Gesundheitsdaten nach Art. 9 DSGVO) nur, wenn im Hauptvertrag ausdrücklich vereinbart und mit zusätzlichen Schutzmaßnahmen.
Betroffene Personen: Kunden und Interessenten des Verantwortlichen, Mitarbeitende, Lieferanten und Geschäftspartner, Nutzer der betriebenen Anwendungen sowie – je nach Branche – Patienten, Mandanten oder Mitglieder.
§ 4 Weisungen
- Der Auftragsverarbeiter verarbeitet Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen. Der Hauptvertrag und dieser AVV gelten als Weisung.
- Weisungen erfolgen in Textform an die benannten Ansprechpersonen. Mündliche Weisungen werden unverzüglich in Textform bestätigt.
- Hält der Auftragsverarbeiter eine Weisung für datenschutzrechtlich unzulässig, informiert er den Verantwortlichen unverzüglich und darf die Ausführung bis zur Klärung aussetzen.
§ 5 Pflichten des Auftragsverarbeiters
- Verpflichtung aller mit der Verarbeitung befassten Personen auf Vertraulichkeit;
- Umsetzung und regelmäßige Überprüfung der technischen und organisatorischen Maßnahmen nach § 6;
- unverzügliche Meldung von Verletzungen des Schutzes personenbezogener Daten, in der Regel innerhalb von 24 Stunden nach Kenntnis;
- Unterstützung bei Datenschutz-Folgenabschätzungen und Anfragen von Aufsichtsbehörden;
- Führung eines Verzeichnisses der Verarbeitungstätigkeiten im Auftrag;
- Benennung einer Ansprechperson für Datenschutzfragen.
§ 6 Technische und organisatorische Maßnahmen (Zusammenfassung)
| Bereich | Maßnahmen |
|---|---|
| Zutritts- und Zugangskontrolle | Hosting in zertifizierten Rechenzentren; personalisierte Zugänge, starke Passwörter, Zwei-Faktor-Authentifizierung, Rollen- und Rechtekonzept nach dem Minimalprinzip. |
| Verschlüsselung | Transportverschlüsselung (TLS) für alle Verbindungen; Verschlüsselung gespeicherter Daten bei Datenbank und Dateiablage; verschlüsselte Backups. |
| Trennung | Getrennte Umgebungen für Entwicklung, Test und Produktion; mandantengetrennte Datenhaltung; Testdaten nach Möglichkeit anonymisiert. |
| Integrität und Protokollierung | Protokollierung von Zugriffen und Änderungen (Audit-Log); Versionskontrolle des Quellcodes; Vier-Augen-Prinzip bei kritischen Änderungen. |
| Verfügbarkeit | Automatische Backups mit regelmäßiger Wiederherstellungsprüfung; Monitoring und Benachrichtigung bei Störungen; dokumentiertes Vorgehen bei Vorfällen. |
| Organisation | Vertraulichkeitsverpflichtung aller Beteiligten; dokumentierte Prozesse für Weisungen, Vorfälle und Betroffenenanfragen; regelmäßige Überprüfung der Maßnahmen. |
§ 7 Unterauftragsverarbeiter
- Der Verantwortliche genehmigt die Einschaltung der nachfolgend genannten Unterauftragsverarbeiter. Mit jedem bestehen Verträge nach Art. 28 DSGVO; für Übermittlungen in Drittländer werden geeignete Garantien (EU-Standardvertragsklauseln, ggf. EU-US Data Privacy Framework) eingesetzt.
- Über beabsichtigte Änderungen (Hinzufügen oder Ersetzen) informiert der Auftragsverarbeiter mindestens vier Wochen im Voraus in Textform. Der Verantwortliche kann aus wichtigem datenschutzrechtlichem Grund widersprechen.
| Unterauftragsverarbeiter | Leistung | Sitz / Verarbeitungsort | Garantie |
|---|---|---|---|
| Vercel Inc. | Hosting der Anwendung, Web Analytics | USA; Ausführung in Frankfurt (EU) | AVV, EU-Standardvertragsklauseln / DPF |
| Neon Inc. | PostgreSQL-Datenbank | USA; Daten in der EU | AVV, EU-Standardvertragsklauseln |
| Cloudflare Inc. | CDN, DNS, Spam-Schutz (Turnstile) | USA; weltweites Netz | AVV, EU-Standardvertragsklauseln / DPF |
| Brevo (Sendinblue SAS) | Transaktionaler E-Mail-Versand | Frankreich (EU) | AVV |
| Google Ireland Ltd. | Dokumentenablage (Google Drive), Workspace | Irland (EU); USA | AVV, EU-Standardvertragsklauseln / DPF |
Projektspezifisch können weitere Dienste hinzukommen (z. B. KI-Modellanbieter mit Verarbeitung in der EU, Schnittstellen zu Systemen des Verantwortlichen). Diese werden vor Einsatz im Hauptvertrag oder in einer Anlage benannt.
§ 8 Unterstützung des Verantwortlichen und Betroffenenrechte
Der Auftragsverarbeiter unterstützt den Verantwortlichen mit geeigneten technischen und organisatorischen Maßnahmen bei der Beantwortung von Anträgen betroffener Personen (Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit, Widerspruch). Wenden sich Betroffene direkt an den Auftragsverarbeiter, leitet er die Anfrage unverzüglich an den Verantwortlichen weiter.
§ 9 Löschung und Rückgabe nach Beendigung
Nach Beendigung des Hauptvertrags gibt der Auftragsverarbeiter nach Wahl des Verantwortlichen alle Daten in einem gängigen, maschinenlesbaren Format zurück oder löscht sie datenschutzgerecht, einschließlich Kopien und Backups nach Ablauf der Backup-Zyklen, sofern keine gesetzliche Aufbewahrungspflicht besteht. Die Löschung wird auf Wunsch schriftlich bestätigt.
§ 10 Kontrollrechte
Der Verantwortliche kann die Einhaltung dieses Vertrags überprüfen – in der Regel durch Einholung von Auskünften, Vorlage von Nachweisen (Zertifizierungen, Berichte der Unterauftragsverarbeiter, Dokumentation der TOMs) und, nach angemessener Ankündigung, durch Prüfung vor Ort während der Geschäftszeiten.
§ 11 Schlussbestimmungen
Es gilt deutsches Recht; Gerichtsstand ist Coesfeld. Bei Widersprüchen zwischen diesem AVV und dem Hauptvertrag geht hinsichtlich des Datenschutzes dieser AVV vor. Änderungen bedürfen der Textform. Sollten einzelne Regelungen unwirksam sein, bleibt der Vertrag im Übrigen wirksam.
Stand: Oktober 2026