Auftragsverarbeitungsvertrag (AVV) Art. 28 DSGVO

Auftragsverarbeiter

§ 1 — Gegenstand und Geltungsbereich

Dieser Vertrag regelt die Rechte und Pflichten des Verantwortlichen (Auftraggeber) und des Auftragsverarbeiters im Rahmen der Verarbeitung personenbezogener Daten gemäß Art. 28 DSGVO. Er ist integraler Bestandteil des zwischen den Parteien geschlossenen Dienstleistungsvertrags über die rechtssichere Kurierzustellung von Dokumenten sowie der dazugehörigen AGB (Version 1.0, Juni 2026).

Der Auftragsverarbeiter verarbeitet personenbezogene Daten im Rahmen des Zustellprozesses und der Protokollerstellung ausschließlich im Auftrag und nach Weisung des Verantwortlichen. Für die anschließende Archivierung des Zustellprotokolls zu eigenen Beweissicherungszwecken ist der Auftragsverarbeiter eigenständig datenschutzrechtlich Verantwortlicher im Sinne von Art. 4 Nr. 7 DSGVO (vgl. § 3 Abs. 3 dieses Vertrags).

§ 2 — Art, Umfang und Zweck der Verarbeitung

(1) Kategorien betroffener Personen

• Arbeitnehmer, Vertragspartner oder sonstige Empfänger von Dokumenten des Verantwortlichen, an die ein arbeitsrechtliches oder vergleichbares Dokument zugestellt wird

(2) Kategorien personenbezogener Daten

• Vollständige Anschrift des Empfängers (Zustelladresse)
• Vollständige Anschrift des Absenders (Auftraggeber)
• Kopfzeile des zuzustellenden Dokuments bis einschließlich der Betreffzeile, die vom Verantwortlichen vorab digital übermittelt wird (z. B. „Kündigung des Arbeitsverhältnisses", „Abmahnung", „Aufhebungsvertrag") — der vollständige Inhalt des Dokuments unterhalb der Betreffzeile wird zu keinem Zeitpunkt digital übermittelt, erfasst oder gespeichert
• Zustellzeitpunkt (Datum, Uhrzeit) und Zustellort
• Fotodokumentation des Zustellvorgangs: ausschließlich öffentlich zugängliche Bereiche (Briefkasten, Haustür, Klingelschild außen, Gebäude von außen, Umschlag mit Empfängeradresse, Zustellnachweis) — keine erkennbaren Personen, keine Wohnungsinnenbereiche
• Name und Identifikationsdaten des eingesetzten Kurierfahrers
• Bestätigung des Kurierfahrers über die Augenscheinnahme des physischen Dokuments (Identitätsbestätigung des zugestellten Schriftstücks ohne Erfassung des vollständigen Inhalts)
• Digitale Signatur des Kurierfahrers auf dem Zustellprotokoll

(3) Zweck der Verarbeitung im Auftrag des Verantwortlichen

• Vorbereitung und Durchführung der physischen Zustellung des Dokuments
• Erstellung eines rechtssicheren Zustellprotokolls auf Basis der vom Verantwortlichen übermittelten Betreffzeile sowie der Bestätigung des Kurierfahrers über die Augenscheinnahme des physischen Dokuments
• Sicherung der Zeugenfähigkeit des eingesetzten Kurierfahrers für ein etwaiges gerichtliches oder behördliches Verfahren gemäß §§ 373 ff. ZPO i.V.m. § 46 Abs. 2 ArbGG
• Übermittlung des signierten Zustellprotokolls an den Verantwortlichen per SSL-verschlüsselter E-Mail

§ 3 — Dauer, Aufbewahrungsfristen und Verantwortlichkeit

(1) Dauer der Auftragsverarbeitung

Die aktive Verarbeitung im Auftrag des Verantwortlichen beginnt mit Auftragserteilung und endet mit der Übermittlung des signierten Zustellprotokolls an den Verantwortlichen.

(2) Archivierung und Aufbewahrungsfristen

Nach Übermittlung des Protokolls archiviert der Auftragsverarbeiter das Zustellprotokoll (einschließlich Fotodokumentation) ausschließlich zu eigenen Beweissicherungszwecken. Die Aufbewahrungsfristen betragen:

Nach Ablauf der maßgeblichen Frist werden alle archivierten Protokolldaten datenschutzkonform und unwiederbringlich gelöscht. Der Verantwortliche kann eine vorzeitige Löschung schriftlich beantragen, soweit keine gesetzlichen Aufbewahrungspflichten oder anhängige Verfahren entgegenstehen.

(3) Eigenständige Verantwortlichkeit für die Archivierung

Für die Archivierung des Zustellprotokolls gemäß Abs. 2 ist der Auftragsverarbeiter eigenständig datenschutzrechtlich Verantwortlicher im Sinne von Art. 4 Nr. 7 DSGVO. Die Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse: Beweissicherung, Zeugenfähigkeit des Kurierfahrers, Haftungsabsicherung). Die Informationspflicht gegenüber den betroffenen Empfängern nach Art. 14 DSGVO erfüllt der Auftragsverarbeiter durch die öffentlich zugängliche Datenschutzerklärung auf www.kuendigungskurier.de gemäß Art. 14 Abs. 5 lit. b DSGVO.

§ 4 — Besondere Regelung: Art. 9 DSGVO — Sensible Betreffzeilen

Enthält die Betreffzeile des zuzustellenden Dokuments besondere Kategorien personenbezogener Daten im Sinne von Art. 9 Abs. 1 DSGVO (z. B. Hinweise auf Gesundheitszustand, Behinderung, Religion, Weltanschauung, Gewerkschaftszugehörigkeit oder vergleichbare sensible Informationen), gelten folgende ergänzende Regelungen:

(1) Informationspflicht des Verantwortlichen

Der Verantwortliche ist verpflichtet, den Auftragsverarbeiter vor Auftragserteilung schriftlich (E-Mail genügt) darauf hinzuweisen, dass die Betreffzeile Art. 9-Daten enthält. Kommt der Verantwortliche dieser Pflicht nicht nach und entstehen dadurch Schäden oder Bußgelder, haftet der Verantwortliche dem Auftragsverarbeiter gegenüber für alle daraus resultierenden Nachteile.

(2) Erhöhte Sicherheitsmaßnahmen

• Zugriff auf das Protokoll ausschließlich durch den Geschäftsführer des Auftragsverarbeiters — keine Delegation an weitere Mitarbeiter
• Keine Erwähnung der Art. 9-Kategorie in interner Kommunikation (E-Mail, Chat) außerhalb des gesicherten Protokollsystems
• Löschfrist: maximal 3 Jahre ab Ende des Kalenderjahres der Zustellung, unabhängig von steuerrechtlichen Aufbewahrungsfristen

(3) Rechtsgrundlage

Die Verarbeitung von Art. 9-Daten in der Betreffzeile erfolgt auf Grundlage von Art. 9 Abs. 2 lit. f DSGVO (Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen). Eine darüber hinausgehende Verarbeitung dieser Daten findet nicht statt.

§ 5 — Weisungsrecht des Verantwortlichen

Der Auftragsverarbeiter verarbeitet personenbezogene Daten im Rahmen der aktiven Auftragsverarbeitung (§ 3 Abs. 1) ausschließlich auf dokumentierte Weisung des Verantwortlichen — es sei denn, er ist durch das Recht der Europäischen Union oder der Mitgliedstaaten zur Verarbeitung verpflichtet. In diesem Fall teilt der Auftragsverarbeiter dem Verantwortlichen diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht eine solche Mitteilung nicht aus wichtigen Gründen des öffentlichen Interesses verbietet (Art. 28 Abs. 3 lit. a DSGVO).

Weisungen des Verantwortlichen bedürfen der Textform (E-Mail genügt). Mündliche Weisungen sind unverzüglich schriftlich zu bestätigen.

Hält der Auftragsverarbeiter eine Weisung für rechtswidrig, teilt er dies dem Verantwortlichen unverzüglich mit. Der Auftragsverarbeiter ist berechtigt, die Ausführung einer nach seiner begründeten Einschätzung rechtswidrigen Weisung bis zur Klärung auszusetzen.

Für die eigenständige Archivierung gemäß § 3 Abs. 2 und 3 besteht kein Weisungsrecht des Verantwortlichen, da der Auftragsverarbeiter insoweit eigenständig Verantwortlicher ist.

§ 6 — Pflichten des Auftragsverarbeiters

(1) Vertraulichkeit

Alle mit der Verarbeitung befassten Personen (Mitarbeiter, Kurierfahrer, Subunternehmer) werden auf Vertraulichkeit verpflichtet und über die datenschutzrechtlichen Anforderungen belehrt. Die Verpflichtung besteht über das Ende des Beschäftigungs- oder Auftragsverhältnisses hinaus.

(2) Technische und organisatorische Maßnahmen (TOM)

Der Auftragsverarbeiter trifft die in § 10 dieses Vertrags beschriebenen technischen und organisatorischen Maßnahmen gemäß Art. 32 DSGVO und hält diese aufrecht. Änderungen, die das Schutzniveau der Daten des Verantwortlichen berühren, werden dem Verantwortlichen unverzüglich mitgeteilt.

(3) Unterstützung bei Betroffenenrechten

Der Auftragsverarbeiter unterstützt den Verantwortlichen nach Möglichkeit bei der Erfüllung von Anfragen betroffener Personen (Art. 15–22 DSGVO), soweit diese die im Auftrag verarbeiteten Daten betreffen. Anfragen betroffener Personen, die direkt beim Auftragsverarbeiter eingehen, werden unverzüglich an den Verantwortlichen weitergeleitet.

(4) Unterstützung bei Datenschutz-Folgenabschätzung

Soweit erforderlich, unterstützt der Auftragsverarbeiter den Verantwortlichen bei der Durchführung einer Datenschutz-Folgenabschätzung gemäß Art. 35 DSGVO sowie bei der vorherigen Konsultation der Aufsichtsbehörde gemäß Art. 36 DSGVO.

(5) Meldung von Datenschutzverletzungen

Der Auftragsverarbeiter meldet dem Verantwortlichen Verletzungen des Schutzes personenbezogener Daten, die die im Auftrag verarbeiteten Daten betreffen, unverzüglich, spätestens innerhalb von 24 Stunden nach Bekanntwerden. Die Meldung enthält mindestens:

• Art der Verletzung (soweit möglich)
• Kategorien und ungefähre Anzahl betroffener Personen
• Kategorien und ungefähre Anzahl betroffener Datensätze
• Wahrscheinliche Folgen der Verletzung
• Ergriffene oder vorgeschlagene Abhilfemaßnahmen

(6) Verzeichnis von Verarbeitungstätigkeiten

Der Auftragsverarbeiter führt ein Verzeichnis aller Kategorien von Verarbeitungstätigkeiten, die im Auftrag des Verantwortlichen durchgeführt werden, gemäß Art. 30 Abs. 2 DSGVO.

§ 7 — Pflichten des Verantwortlichen

• Die Rechtmäßigkeit der Verarbeitung sicherzustellen — insbesondere die Rechtsgrundlage für die Zustellung sowie für die digitale Vorabübermittlung der Betreffzeile an den Auftragsverarbeiter
• Ausschließlich die Kopfzeile des Dokuments bis einschließlich der Betreffzeile digital zu übermitteln — der vollständige Dokumenteninhalt unterhalb der Betreffzeile darf nicht übermittelt werden
• Den Auftragsverarbeiter vor Auftragserteilung schriftlich zu informieren, wenn die Betreffzeile des Dokuments Art. 9-Daten enthält (vgl. § 4 Abs. 1)
• Korrekte und vollständige Empfängerdaten zu übermitteln; für Schäden durch fehlerhafte Angaben haftet ausschließlich der Verantwortliche
• Den Auftragsverarbeiter unverzüglich zu informieren, wenn im Rahmen einer eigenen Prüfung Fehler oder Beanstandungen datenschutzrechtlicher Art festgestellt werden

§ 8 — Einsatz von Subunternehmern (Unterauftragsverarbeiter)

(1) Genehmigte Subunternehmer

Der Verantwortliche erteilt dem Auftragsverarbeiter mit Annahme dieses Vertrags die allgemeine Genehmigung zum Einsatz der nachfolgend aufgeführten Subunternehmer gemäß Art. 28 Abs. 2 DSGVO:

(2) Verpflichtung der Subunternehmer

Der Auftragsverarbeiter verpflichtet alle eingesetzten Subunternehmer vertraglich auf dieselben Datenschutzpflichten, die ihm gegenüber dem Verantwortlichen obliegen. Die eingesetzten Kurierfahrer werden schriftlich darauf verpflichtet, bei der Augenscheinnahme ausschließlich die Betreffzeile zur Kenntnis zu nehmen und den weiteren Dokumenteninhalt weder zu lesen noch in irgendeiner Form zu erfassen oder weiterzugeben.

(3) Änderungen im Subunternehmernetzwerk

Der Auftragsverarbeiter informiert den Verantwortlichen über beabsichtigte Änderungen hinsichtlich der festen Subunternehmer (inSign GmbH, Strato GmbH) rechtzeitig im Voraus. Der Verantwortliche kann gegen einen neuen festen Subunternehmer innerhalb von 14 Tagen nach Mitteilung aus sachlichem Grund Widerspruch einlegen. Beim wechselnden Kurierfahrernetzwerk ist eine Einzelbenachrichtigung nicht erforderlich, da die Kurierfahrer als weisungsgebundene Erfüllungsgehilfen tätig sind und einheitlich auf die Datenschutzanforderungen verpflichtet werden.

(4) Haftung für Subunternehmer

Der Auftragsverarbeiter haftet für das Verschulden eingesetzter Subunternehmer im Rahmen der Auftragsverarbeitung nach den allgemeinen gesetzlichen Regelungen. Im Übrigen gilt § 9 der AGB (Version 1.0, Juni 2026): Die Haftung für einfache Fahrlässigkeit der Subunternehmer ist ausgeschlossen; die Haftung bei Vorsatz oder grober Fahrlässigkeit bleibt unberührt.

§ 9 — Kontrollrechte des Verantwortlichen

Der Verantwortliche hat das Recht, die Einhaltung der datenschutzrechtlichen Vorschriften und der Regelungen dieses Vertrags beim Auftragsverarbeiter zu kontrollieren durch:

• Einholung von Auskünften beim Auftragsverarbeiter (schriftlich, E-Mail genügt)
• Anforderung von Nachweisen über die getroffenen technischen und organisatorischen Maßnahmen (TOM-Dokumentation)
• Vor-Ort-Kontrollen nach vorheriger Ankündigung mit einer Frist von mindestens 5 Werktagen, während der regulären Geschäftszeiten (Mo–Fr, 09:00–17:00 Uhr) und auf eigene Kosten
• Beauftragung eines geeigneten Dritten (z. B. Wirtschaftsprüfer, Datenschutzauditor) mit der Durchführung der Kontrolle, sofern dieser zur Vertraulichkeit verpflichtet ist

Kontrollen dürfen den laufenden Geschäftsbetrieb des Auftragsverarbeiters nicht unverhältnismäßig beeinträchtigen. Kosten für Vor-Ort-Kontrollen trägt der Verantwortliche.

§ 10 — Technische und Organisatorische Maßnahmen (TOM)

Der Auftragsverarbeiter trifft gemäß Art. 32 DSGVO geeignete technische und organisatorische Maßnahmen, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten:

§ 11 — Löschung und Rückgabe nach Vertragsende

• Alle im Auftrag des Verantwortlichen verarbeiteten personenbezogenen Daten werden nach Wahl des Verantwortlichen entweder zurückgegeben oder datenschutzkonform gelöscht, soweit keine gesetzlichen Aufbewahrungspflichten entgegenstehen (Art. 28 Abs. 3 lit. g DSGVO).
• Die eigenständig archivierten Protokolldaten (§ 3 Abs. 2 und 3) verbleiben beim Auftragsverarbeiter bis zum Ablauf der jeweiligen Aufbewahrungsfrist, da der Auftragsverarbeiter insoweit eigenständig Verantwortlicher ist und die Archivierung auf eigenem berechtigten Interesse beruht.
• Der Auftragsverarbeiter bestätigt die erfolgte Löschung oder Rückgabe auf Anfrage schriftlich.

§ 12 — Haftung und Schadensersatz

Für die Haftung der Parteien gelten die Regelungen der DSGVO, insbesondere Art. 82 DSGVO, sowie ergänzend die Haftungsregelungen in den AGB (Version 1.0, Juni 2026), insbesondere § 9 und § 11 der AGB.

Jede Partei haftet gegenüber der anderen für Schäden, die durch eine schuldhafte Verletzung der Pflichten aus diesem Vertrag entstehen. Die Haftungsbeschränkungen der AGB gelten entsprechend, soweit sie mit den zwingenden Regelungen der DSGVO vereinbar sind.

Zahlt eine Partei Schadensersatz an eine betroffene Person, ist sie berechtigt, von der anderen Partei den Anteil zurückzufordern, der dem Verantwortungsanteil der anderen Partei an dem entstandenen Schaden entspricht (Art. 82 Abs. 5 DSGVO).

§ 13 — Schlussbestimmungen

(1) Vorrang dieses Vertrags

Bei Widersprüchen zwischen diesem Auftragsverarbeitungsvertrag und den AGB hat dieser Vertrag in datenschutzrechtlichen Fragen Vorrang.

(2) Anwendbares Recht und Gerichtsstand

Es gilt das Recht der Bundesrepublik Deutschland. Gerichtsstand ist München, soweit gesetzlich zulässig.

(3) Salvatorische Klausel

Sollte eine Bestimmung dieses Vertrags unwirksam sein oder werden, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt. Die unwirksame Regelung ist durch eine solche zu ersetzen, die dem wirtschaftlichen Zweck am nächsten kommt.

(4) Schriftform

Änderungen und Ergänzungen dieses Vertrags bedürfen der Textform. Die Textform ist auch durch E-Mail gewahrt.

(5) Vertragsschluss ohne gesonderte Unterzeichnung

Dieser Vertrag wird gemäß Art. 28 Abs. 9 DSGVO in elektronischer Form geschlossen. Die Annahme des Angebots des Auftragsverarbeiters durch den Verantwortlichen per E-Mail — wobei das Angebot einen ausdrücklichen Verweis auf diesen Auftragsverarbeitungsvertrag enthält — stellt den rechtswirksamen und dauerhaft nachweisbaren Abschluss dieses Vertrags dar. Eine gesonderte handschriftliche oder elektronische Unterzeichnung ist nicht erforderlich.