Auftragsverarbeitungsvertrag (AVV) Art. 28 DSGVO
City Trans Spedition & Kuriergesellschaft mbH · Marke: Kündigungskurier · Version 1.1 · Stand: Juli 2026Auftragsverarbeiter
City Trans Spedition & Kuriergesellschaft mbH
Schmellerstraße 34
80337 München
vertreten durch: Florian Kollmannsberger (Geschäftsführer)
E-Mail: office@citytransgmbh.de
Web: www.kuendigungskurier.de
Der Vertrag wird dem Auftraggeber (Verantwortlichen) spätestens mit der Angebotsübersendung per E-Mail als Verweis oder Anhang zur Kenntnis gebracht. Mit Annahme des Angebots — durch ausdrückliche Bestätigung oder durch Erteilung des Auftrags — erkennt der Auftraggeber diesen Vertrag gemäß Art. 28 Abs. 9 DSGVO als verbindlich an, noch bevor eine Verarbeitung personenbezogener Daten stattfindet.
Eine gesonderte Unterzeichnung ist nicht erforderlich. Die Angebotsannahme per E-Mail mit Verweis auf diesen Auftragsverarbeitungsvertrag stellt den dauerhaften, rechtswirksamen Nachweis des Vertragsschlusses gemäß Art. 28 Abs. 9 DSGVO dar. Der Auftraggeber gilt in diesem Vertrag als Verantwortlicher im Sinne von Art. 4 Nr. 7 DSGVO.
§ 1 — Gegenstand und Geltungsbereich
Dieser Vertrag regelt die Rechte und Pflichten des Verantwortlichen (Auftraggeber) und des Auftragsverarbeiters im Rahmen der Verarbeitung personenbezogener Daten gemäß Art. 28 DSGVO. Er ist integraler Bestandteil des zwischen den Parteien geschlossenen Dienstleistungsvertrags über die rechtssichere Kurierzustellung von Dokumenten sowie der dazugehörigen AGB (Version 1.0, Juni 2026).
Der Auftragsverarbeiter verarbeitet personenbezogene Daten im Rahmen des Zustellprozesses und der Protokollerstellung ausschließlich im Auftrag und nach Weisung des Verantwortlichen. Für die anschließende Archivierung des Zustellprotokolls zu eigenen Beweissicherungszwecken ist der Auftragsverarbeiter eigenständig datenschutzrechtlich Verantwortlicher im Sinne von Art. 4 Nr. 7 DSGVO (vgl. § 3 Abs. 3 dieses Vertrags).
§ 2 — Art, Umfang und Zweck der Verarbeitung
(1) Kategorien betroffener Personen
- Arbeitnehmer, Vertragspartner oder sonstige Empfänger von Dokumenten des Verantwortlichen, an die ein arbeitsrechtliches oder vergleichbares Dokument zugestellt wird
(2) Kategorien personenbezogener Daten
- Vollständige Anschrift des Empfängers (Zustelladresse)
- Vollständige Anschrift des Absenders (Auftraggeber)
- Kopfzeile des zuzustellenden Dokuments bis einschließlich der Betreffzeile, die vom Verantwortlichen vorab digital übermittelt wird (z. B. „Kündigung des Arbeitsverhältnisses", „Abmahnung", „Aufhebungsvertrag") — der vollständige Inhalt des Dokuments unterhalb der Betreffzeile wird zu keinem Zeitpunkt digital übermittelt, erfasst oder gespeichert
- Zustellzeitpunkt (Datum, Uhrzeit) und Zustellort
- Fotodokumentation des Zustellvorgangs: ausschließlich öffentlich zugängliche Bereiche (Briefkasten, Haustür, Klingelschild außen, Gebäude von außen, Umschlag mit Empfängeradresse, Zustellnachweis) — keine erkennbaren Personen, keine Wohnungsinnenbereiche
- Name und Identifikationsdaten des/der eingesetzten Kurierfahrer(s)
- Bestätigung des zustellenden Kurierfahrers über die Augenscheinnahme des physischen Dokuments (Identitätsbestätigung des zugestellten Schriftstücks ohne Erfassung des vollständigen Inhalts)
- Digitale Signatur des zustellenden Kurierfahrers auf dem Zustellprotokoll
Schritt 1 — Digitale Vorabübermittlung durch den Verantwortlichen: Der Verantwortliche übermittelt dem Auftragsverarbeiter vor der Zustellung ausschließlich die Kopfzeile des Dokuments bis einschließlich der Betreffzeile in digitaler Form (z. B. per E-Mail). Der vollständige Dokumenteninhalt unterhalb der Betreffzeile wird nicht übermittelt und verbleibt ausschließlich beim Verantwortlichen. Dies gilt unabhängig vom eingesetzten Zustellmodell.
Schritt 2 — Physische Augenscheinnahme durch den Kurierfahrer: Je nach Routenlage kommt eines der folgenden Modelle zur Anwendung:
Modell A — Direktfahrt (ein Kurierfahrer): Ein einzelner Kurierfahrer holt das Dokument beim Verantwortlichen ab, nimmt es bereits bei der Abholung in Augenschein und stellt es anschließend selbst persönlich zu — ohne Übergabe an Dritte. Der Kurierfahrer bestätigt Augenscheinnahme und Zustellung gemeinsam im Zustellprotokoll nach erfolgter Auslieferung.
Modell B — Mehrboten-Modell (Routenoptimierung): Aus Gründen der Routenoptimierung kann der abholende Kurierfahrer von dem zustellenden Kurierfahrer abweichen. In diesem Fall transportiert der abholende Kurierfahrer das Dokument ausschließlich in verschlossener Form, ohne es zu öffnen oder inhaltlich zur Kenntnis zu nehmen. Die physische Augenscheinnahme erfolgt in diesem Modell ausschließlich durch den zustellenden Kurierfahrer unmittelbar vor der Zustellung; dieser bestätigt Augenscheinnahme und Zustellung gemeinsam im Zustellprotokoll nach erfolgter Auslieferung.
In beiden Modellen liest der Kurierfahrer, der die Augenscheinnahme durchführt, ausschließlich die Betreffzeile — nicht den weiteren Inhalt des Dokuments. Dies entspricht dem Grundsatz der Datensparsamkeit gemäß Art. 5 Abs. 1 lit. c DSGVO.
(3) Zweck der Verarbeitung im Auftrag des Verantwortlichen
- Vorbereitung und Durchführung der physischen Zustellung des Dokuments
- Erstellung eines rechtssicheren Zustellprotokolls auf Basis der vom Verantwortlichen übermittelten Betreffzeile sowie der Bestätigung des zustellenden Kurierfahrers über die Augenscheinnahme des physischen Dokuments
- Sicherung der Zeugenfähigkeit des zustellenden Kurierfahrers für ein etwaiges gerichtliches oder behördliches Verfahren gemäß §§ 373 ff. ZPO i.V.m. § 46 Abs. 2 ArbGG
- Übermittlung des signierten Zustellprotokolls an den Verantwortlichen per SSL-verschlüsselter E-Mail
§ 3 — Dauer, Aufbewahrungsfristen und Verantwortlichkeit
(1) Dauer der Auftragsverarbeitung
Die aktive Verarbeitung im Auftrag des Verantwortlichen beginnt mit Auftragserteilung und endet mit der Übermittlung des signierten Zustellprotokolls an den Verantwortlichen.
(2) Archivierung und Aufbewahrungsfristen
Nach Übermittlung des Protokolls archiviert der Auftragsverarbeiter das Zustellprotokoll (einschließlich Fotodokumentation) ausschließlich zu eigenen Beweissicherungszwecken. Die Aufbewahrungsfristen betragen:
| Fall | Frist | Rechtsgrundlage |
|---|---|---|
| Standardfall | 3 Jahre ab Ende des Kalenderjahres der Zustellung | §§ 195, 199 BGB |
| Steuerrechtliche Relevanz | Bis zu 10 Jahre ab Ende des Kalenderjahres der Zustellung | § 257 HGB; § 147 AO |
| Betreffzeile enthält Art. 9-Daten | Maximal 3 Jahre ab Ende des Kalenderjahres der Zustellung | Art. 5 Abs. 1 lit. e DSGVO; Art. 9 DSGVO |
| Anhängiges oder konkret drohendes Verfahren | Bis zum rechtskräftigen Abschluss des Verfahrens | Art. 17 Abs. 3 lit. e DSGVO; §§ 373 ff. ZPO |
Nach Ablauf der maßgeblichen Frist werden alle archivierten Protokolldaten datenschutzkonform und unwiederbringlich gelöscht. Der Verantwortliche kann eine vorzeitige Löschung schriftlich beantragen, soweit keine gesetzlichen Aufbewahrungspflichten oder anhängige Verfahren entgegenstehen.
(3) Eigenständige Verantwortlichkeit für die Archivierung
Für die Archivierung des Zustellprotokolls gemäß Abs. 2 ist der Auftragsverarbeiter eigenständig datenschutzrechtlich Verantwortlicher im Sinne von Art. 4 Nr. 7 DSGVO. Die Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse: Beweissicherung, Zeugenfähigkeit des Kurierfahrers, Haftungsabsicherung). Die Informationspflicht gegenüber den betroffenen Empfängern nach Art. 14 DSGVO erfüllt der Auftragsverarbeiter durch die öffentlich zugängliche Datenschutzerklärung auf www.kuendigungskurier.de gemäß Art. 14 Abs. 5 lit. b DSGVO.
§ 4 — Besondere Regelung: Art. 9 DSGVO — Sensible Betreffzeilen
Enthält die Betreffzeile des zuzustellenden Dokuments besondere Kategorien personenbezogener Daten im Sinne von Art. 9 Abs. 1 DSGVO (z. B. Hinweise auf Gesundheitszustand, Behinderung, Religion, Weltanschauung, Gewerkschaftszugehörigkeit oder vergleichbare sensible Informationen), gelten folgende ergänzende Regelungen:
(1) Informationspflicht des Verantwortlichen
Der Verantwortliche ist verpflichtet, den Auftragsverarbeiter vor Auftragserteilung schriftlich (E-Mail genügt) darauf hinzuweisen, dass die Betreffzeile Art. 9-Daten enthält. Kommt der Verantwortliche dieser Pflicht nicht nach und entstehen dadurch Schäden oder Bußgelder, haftet der Verantwortliche dem Auftragsverarbeiter gegenüber für alle daraus resultierenden Nachteile.
(2) Erhöhte Sicherheitsmaßnahmen
- Zugriff auf das Protokoll ausschließlich durch den Geschäftsführer des Auftragsverarbeiters — keine Delegation an weitere Mitarbeiter
- Keine Erwähnung der Art. 9-Kategorie in interner Kommunikation (E-Mail, Chat) außerhalb des gesicherten Protokollsystems
- Löschfrist: maximal 3 Jahre ab Ende des Kalenderjahres der Zustellung, unabhängig von steuerrechtlichen Aufbewahrungsfristen
(3) Rechtsgrundlage
Die Verarbeitung von Art. 9-Daten in der Betreffzeile erfolgt auf Grundlage von Art. 9 Abs. 2 lit. f DSGVO (Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen). Eine darüber hinausgehende Verarbeitung dieser Daten findet nicht statt.
§ 5 — Weisungsrecht des Verantwortlichen
Der Auftragsverarbeiter verarbeitet personenbezogene Daten im Rahmen der aktiven Auftragsverarbeitung (§ 3 Abs. 1) ausschließlich auf dokumentierte Weisung des Verantwortlichen — es sei denn, er ist durch das Recht der Europäischen Union oder der Mitgliedstaaten zur Verarbeitung verpflichtet. In diesem Fall teilt der Auftragsverarbeiter dem Verantwortlichen diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht eine solche Mitteilung nicht aus wichtigen Gründen des öffentlichen Interesses verbietet (Art. 28 Abs. 3 lit. a DSGVO).
Weisungen des Verantwortlichen bedürfen der Textform (E-Mail genügt). Mündliche Weisungen sind unverzüglich schriftlich zu bestätigen.
Hält der Auftragsverarbeiter eine Weisung für rechtswidrig, teilt er dies dem Verantwortlichen unverzüglich mit. Der Auftragsverarbeiter ist berechtigt, die Ausführung einer nach seiner begründeten Einschätzung rechtswidrigen Weisung bis zur Klärung auszusetzen.
Für die eigenständige Archivierung gemäß § 3 Abs. 2 und 3 besteht kein Weisungsrecht des Verantwortlichen, da der Auftragsverarbeiter insoweit eigenständig Verantwortlicher ist.
§ 6 — Pflichten des Auftragsverarbeiters
(1) Vertraulichkeit
Alle mit der Verarbeitung befassten Personen (Mitarbeiter, Kurierfahrer, Subunternehmer) werden auf Vertraulichkeit verpflichtet und über die datenschutzrechtlichen Anforderungen belehrt. Die Verpflichtung besteht über das Ende des Beschäftigungs- oder Auftragsverhältnisses hinaus.
(2) Technische und organisatorische Maßnahmen (TOM)
Der Auftragsverarbeiter trifft die in § 10 dieses Vertrags beschriebenen technischen und organisatorischen Maßnahmen gemäß Art. 32 DSGVO und hält diese aufrecht. Änderungen, die das Schutzniveau der Daten des Verantwortlichen berühren, werden dem Verantwortlichen unverzüglich mitgeteilt.
(3) Unterstützung bei Betroffenenrechten
Der Auftragsverarbeiter unterstützt den Verantwortlichen nach Möglichkeit bei der Erfüllung von Anfragen betroffener Personen (Art. 15–22 DSGVO), soweit diese die im Auftrag verarbeiteten Daten betreffen. Anfragen betroffener Personen, die direkt beim Auftragsverarbeiter eingehen, werden unverzüglich an den Verantwortlichen weitergeleitet.
(4) Unterstützung bei Datenschutz-Folgenabschätzung
Soweit erforderlich, unterstützt der Auftragsverarbeiter den Verantwortlichen bei der Durchführung einer Datenschutz-Folgenabschätzung gemäß Art. 35 DSGVO sowie bei der vorherigen Konsultation der Aufsichtsbehörde gemäß Art. 36 DSGVO.
(5) Meldung von Datenschutzverletzungen
Der Auftragsverarbeiter meldet dem Verantwortlichen Verletzungen des Schutzes personenbezogener Daten, die die im Auftrag verarbeiteten Daten betreffen, unverzüglich, spätestens innerhalb von 24 Stunden nach Bekanntwerden. Die Meldung enthält mindestens:
- Art der Verletzung (soweit möglich)
- Kategorien und ungefähre Anzahl betroffener Personen
- Kategorien und ungefähre Anzahl betroffener Datensätze
- Wahrscheinliche Folgen der Verletzung
- Ergriffene oder vorgeschlagene Abhilfemaßnahmen
(6) Verzeichnis von Verarbeitungstätigkeiten
Der Auftragsverarbeiter führt ein Verzeichnis aller Kategorien von Verarbeitungstätigkeiten, die im Auftrag des Verantwortlichen durchgeführt werden, gemäß Art. 30 Abs. 2 DSGVO.
§ 7 — Pflichten des Verantwortlichen
- Die Rechtmäßigkeit der Verarbeitung sicherzustellen — insbesondere die Rechtsgrundlage für die Zustellung sowie für die digitale Vorabübermittlung der Betreffzeile an den Auftragsverarbeiter
- Ausschließlich die Kopfzeile des Dokuments bis einschließlich der Betreffzeile digital zu übermitteln — der vollständige Dokumenteninhalt unterhalb der Betreffzeile darf nicht übermittelt werden
- Den Auftragsverarbeiter vor Auftragserteilung schriftlich zu informieren, wenn die Betreffzeile des Dokuments Art. 9-Daten enthält (vgl. § 4 Abs. 1)
- Korrekte und vollständige Empfängerdaten zu übermitteln; für Schäden durch fehlerhafte Angaben haftet ausschließlich der Verantwortliche
- Den Auftragsverarbeiter unverzüglich zu informieren, wenn im Rahmen einer eigenen Prüfung Fehler oder Beanstandungen datenschutzrechtlicher Art festgestellt werden
§ 8 — Einsatz von Subunternehmern (Unterauftragsverarbeiter)
(1) Genehmigte Subunternehmer
Der Verantwortliche erteilt dem Auftragsverarbeiter mit Annahme dieses Vertrags die allgemeine Genehmigung zum Einsatz der nachfolgend aufgeführten Subunternehmer gemäß Art. 28 Abs. 2 DSGVO:
| Subunternehmer | Anschrift | Zweck | Serverstandort |
|---|---|---|---|
| inSign GmbH | Am Bäckeranger 2, 85417 Marzling | Digitale Protokollsignatur, Protokollspeicherung, Speicherung der Fotodokumentation | Deutschland |
| Strato GmbH | Otto-Ostrowski-Straße 7, 10249 Berlin | Webhosting www.kuendigungskurier.de | Deutschland |
| Kurierfahrer aus dem Subunternehmernetzwerk | Wechselnd, jeweils in Deutschland ansässig | Je nach Zustellmodell (§ 2 Abs. 2): Abholung und/oder Zustellung des Dokuments; physische Augenscheinnahme zur Identitätsbestätigung des Schriftstücks (ausschließlich Betreffzeile) durch den jeweils zustellenden Kurierfahrer; Fotodokumentation vor Ort; Protokollunterschrift | Verarbeitung ausschließlich in Deutschland |
(2) Verpflichtung der Subunternehmer
Der Auftragsverarbeiter verpflichtet alle eingesetzten Subunternehmer vertraglich auf dieselben Datenschutzpflichten, die ihm gegenüber dem Verantwortlichen obliegen. Die eingesetzten Kurierfahrer werden schriftlich darauf verpflichtet, bei der Augenscheinnahme ausschließlich die Betreffzeile zur Kenntnis zu nehmen und den weiteren Dokumenteninhalt weder zu lesen noch in irgendeiner Form zu erfassen oder weiterzugeben. Werden Abholung und Zustellung im Einzelfall von unterschiedlichen Kurierfahrern durchgeführt (Modell B gemäß § 2 Abs. 2), ist der abholende Kurierfahrer zusätzlich schriftlich darauf verpflichtet, das Dokument ausschließlich in verschlossener Form zu transportieren und keinerlei Einblick in dessen Inhalt zu nehmen.
(3) Änderungen im Subunternehmernetzwerk
Der Auftragsverarbeiter informiert den Verantwortlichen über beabsichtigte Änderungen hinsichtlich der festen Subunternehmer (inSign GmbH, Strato GmbH) rechtzeitig im Voraus. Der Verantwortliche kann gegen einen neuen festen Subunternehmer innerhalb von 14 Tagen nach Mitteilung aus sachlichem Grund Widerspruch einlegen. Beim wechselnden Kurierfahrernetzwerk ist eine Einzelbenachrichtigung nicht erforderlich, da die Kurierfahrer als weisungsgebundene Erfüllungsgehilfen tätig sind und einheitlich auf die Datenschutzanforderungen verpflichtet werden.
(4) Haftung für Subunternehmer
Der Auftragsverarbeiter haftet für das Verschulden eingesetzter Subunternehmer im Rahmen der Auftragsverarbeitung nach den allgemeinen gesetzlichen Regelungen. Im Übrigen gilt § 9 der AGB (Version 1.0, Juni 2026): Die Haftung für einfache Fahrlässigkeit der Subunternehmer ist ausgeschlossen; die Haftung bei Vorsatz oder grober Fahrlässigkeit bleibt unberührt.
§ 9 — Kontrollrechte des Verantwortlichen
Der Verantwortliche hat das Recht, die Einhaltung der datenschutzrechtlichen Vorschriften und der Regelungen dieses Vertrags beim Auftragsverarbeiter zu kontrollieren durch:
- Einholung von Auskünften beim Auftragsverarbeiter (schriftlich, E-Mail genügt)
- Anforderung von Nachweisen über die getroffenen technischen und organisatorischen Maßnahmen (TOM-Dokumentation)
- Vor-Ort-Kontrollen nach vorheriger Ankündigung mit einer Frist von mindestens 5 Werktagen, während der regulären Geschäftszeiten (Mo–Fr, 09:00–17:00 Uhr) und auf eigene Kosten
- Beauftragung eines geeigneten Dritten (z. B. Wirtschaftsprüfer, Datenschutzauditor) mit der Durchführung der Kontrolle, sofern dieser zur Vertraulichkeit verpflichtet ist
Kontrollen dürfen den laufenden Geschäftsbetrieb des Auftragsverarbeiters nicht unverhältnismäßig beeinträchtigen. Kosten für Vor-Ort-Kontrollen trägt der Verantwortliche.
§ 10 — Technische und Organisatorische Maßnahmen (TOM)
Der Auftragsverarbeiter trifft gemäß Art. 32 DSGVO geeignete technische und organisatorische Maßnahmen, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten:
| Schutzziel | Maßnahme |
|---|---|
| Zutrittskontrolle | Büroräume sind durch Schloss und Schlüssel gesichert. Unbefugte Dritte haben keinen Zutritt zu Räumen, in denen personenbezogene Daten verarbeitet werden. |
| Zugangskontrolle | Zugang zu IT-Systemen ausschließlich mit Passwort (mind. 12 Zeichen, Groß-/Kleinbuchstaben, Zahlen, Sonderzeichen). Automatische Bildschirmsperre nach Inaktivität. |
| Zugriffskontrolle | Zugriff auf Protokolldaten auf maximal 2 autorisierte Personen beschränkt. Bei Art. 9-Betreffzeilen: ausschließlich Geschäftsführer. Keine Weitergabe von Zugangsdaten. |
| Weitergabekontrolle | Digitale Vorabübermittlung der Betreffzeile durch den Verantwortlichen sowie Übermittlung des fertigen Zustellprotokolls an den Verantwortlichen ausschließlich per SSL/TLS-verschlüsselter E-Mail (mind. TLS 1.2). Keine Übermittlung vollständiger Dokumenteninhalte. Weitergabe an Dritte nur auf gesetzliche Anforderung oder schriftliche Weisung des Verantwortlichen. Erfolgt die Übergabe des Dokuments zwischen abholendem und zustellendem Kurierfahrer im Rahmen der Routenoptimierung (Modell B gemäß § 2 Abs. 2), geschieht dies ausschließlich in verschlossener Form ohne Zwischenöffnung. |
| Eingabekontrolle | Protokollerstellung ausschließlich durch den autorisierten, zustellenden Kurierfahrer über das inSign-System. Jede Protokollerstellung ist durch digitale Signatur dem jeweiligen Kurierfahrer zuordenbar. |
| Auftragskontrolle | Alle eingesetzten Kurierfahrer werden schriftlich verpflichtet, bei einer durchgeführten Augenscheinnahme ausschließlich die Betreffzeile zur Kenntnis zu nehmen. Im Mehrboten-Modell (Modell B) ist zusätzlich sichergestellt, dass ausschließlich der zustellende Kurierfahrer eine solche Augenscheinnahme vornimmt und der abholende Kurierfahrer das Dokument ausschließlich verschlossen transportiert. Einhaltung wird stichprobenartig kontrolliert. Verstöße führen zur sofortigen Beendigung des Auftragsverhältnisses. |
| Verfügbarkeitskontrolle | Protokolldaten werden bei inSign (Deutschland) gespeichert. inSign betreibt redundante Serverinfrastruktur mit regelmäßigen Backups. Serverstandort ausschließlich in Deutschland. |
| Trennungsgebot | Protokolldaten verschiedener Auftraggeber werden im inSign-System getrennt gespeichert und sind nicht gegenseitig einsehbar. Keine Zusammenführung von Datensätzen verschiedener Auftraggeber. |
| Transportverschlüsselung | Alle Datenübertragungen (Fotos vom Kurierfahrergerät, Protokollübermittlung an Auftraggeber, Vorabübermittlung der Betreffzeile) erfolgen ausschließlich über SSL/TLS-verschlüsselte Verbindungen (mind. TLS 1.2). |
| Datensparsamkeit | Der Verantwortliche übermittelt ausschließlich die Betreffzeile — kein weiterer Dokumenteninhalt wird digital erfasst oder übermittelt. Der zustellende Kurierfahrer nimmt physisch ausschließlich die Betreffzeile zur Kenntnis. Im Mehrboten-Modell erhält der abholende Kurierfahrer keinen inhaltlichen Einblick. Fotos zeigen ausschließlich öffentlich zugängliche Bereiche. |
§ 11 — Löschung und Rückgabe nach Vertragsende
- Alle im Auftrag des Verantwortlichen verarbeiteten personenbezogenen Daten werden nach Wahl des Verantwortlichen entweder zurückgegeben oder datenschutzkonform gelöscht, soweit keine gesetzlichen Aufbewahrungspflichten entgegenstehen (Art. 28 Abs. 3 lit. g DSGVO).
- Die eigenständig archivierten Protokolldaten (§ 3 Abs. 2 und 3) verbleiben beim Auftragsverarbeiter bis zum Ablauf der jeweiligen Aufbewahrungsfrist, da der Auftragsverarbeiter insoweit eigenständig Verantwortlicher ist und die Archivierung auf eigenem berechtigten Interesse beruht.
- Der Auftragsverarbeiter bestätigt die erfolgte Löschung oder Rückgabe auf Anfrage schriftlich.
§ 12 — Haftung und Schadensersatz
Für die Haftung der Parteien gelten die Regelungen der DSGVO, insbesondere Art. 82 DSGVO, sowie ergänzend die Haftungsregelungen in den AGB (Version 1.0, Juni 2026), insbesondere § 9 und § 11 der AGB.
Jede Partei haftet gegenüber der anderen für Schäden, die durch eine schuldhafte Verletzung der Pflichten aus diesem Vertrag entstehen. Die Haftungsbeschränkungen der AGB gelten entsprechend, soweit sie mit den zwingenden Regelungen der DSGVO vereinbar sind.
Zahlt eine Partei Schadensersatz an eine betroffene Person, ist sie berechtigt, von der anderen Partei den Anteil zurückzufordern, der dem Verantwortungsanteil der anderen Partei an dem entstandenen Schaden entspricht (Art. 82 Abs. 5 DSGVO).
§ 13 — Schlussbestimmungen
(1) Vorrang dieses Vertrags
Bei Widersprüchen zwischen diesem Auftragsverarbeitungsvertrag und den AGB hat dieser Vertrag in datenschutzrechtlichen Fragen Vorrang.
(2) Anwendbares Recht und Gerichtsstand
Es gilt das Recht der Bundesrepublik Deutschland. Gerichtsstand ist München, soweit gesetzlich zulässig.
(3) Salvatorische Klausel
Sollte eine Bestimmung dieses Vertrags unwirksam sein oder werden, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt. Die unwirksame Regelung ist durch eine solche zu ersetzen, die dem wirtschaftlichen Zweck am nächsten kommt.
(4) Schriftform
Änderungen und Ergänzungen dieses Vertrags bedürfen der Textform. Die Textform ist auch durch E-Mail gewahrt.
(5) Vertragsschluss ohne gesonderte Unterzeichnung
Dieser Vertrag wird gemäß Art. 28 Abs. 9 DSGVO in elektronischer Form geschlossen. Die Annahme des Angebots des Auftragsverarbeiters durch den Verantwortlichen per E-Mail — wobei das Angebot einen ausdrücklichen Verweis auf diesen Auftragsverarbeitungsvertrag enthält — stellt den rechtswirksamen und dauerhaft nachweisbaren Abschluss dieses Vertrags dar. Eine gesonderte handschriftliche oder elektronische Unterzeichnung ist nicht erforderlich.
