Vertrag zur Auftragsverarbeitung (AVV) nach Art. 28 DSGVO

Stand: 11.11.2026 · Fassung 2026-11

zwischen dem Kunden, der REZQ nutzt („Verantwortlicher“, „Kunde“), und Louis Ninmer, Gerhart-Hauptmann-Straße 1 („Auftragsverarbeiter“, „Anbieter“).

Dieser Vertrag ist Bestandteil des Vertrags über die Nutzung von REZQ (Nutzungsbedingungen, „Hauptvertrag“). Er wird mit dem Hauptvertrag geschlossen – in der Anwendung durch Bestätigung der Administration des Kunden (elektronisches Format im Sinne von Art. 28 Abs. 9 DSGVO) oder durch gesonderte Unterzeichnung. Bei Widersprüchen geht dieser Vertrag für Fragen des Datenschutzes dem Hauptvertrag vor.

§ 1 Gegenstand und Dauer

1. Gegenstand ist der Betrieb der Software REZQ als Online-Dienst für den Kunden einschließlich Speicherung, Datensicherung, E-Mail-Versand, Kundenportal, öffentlicher Schnittstellen (Website-Anfrageformular, Kalenderabo) und Support.
2. Der Vertrag gilt für die Dauer des Hauptvertrags und darüber hinaus, solange der Anbieter personenbezogene Daten des Kunden verarbeitet (insbesondere bis zum Ende des Abruf- und Löschzeitraums nach § 9).

§ 2 Art und Zweck der Verarbeitung, Datenarten, betroffene Personen

1. Zweck: Bereitstellung der Funktionen von REZQ zur Organisation des Geschäftsbetriebs des Kunden (Vertrieb, Projekte, Material- und Personalplanung, Lager, Wartung, Fahrzeuge, Zeiterfassung, Belege und Finanzen, Kommunikation).
2. Art der Verarbeitung: Erheben, Erfassen, Speichern, Ordnen, Abfragen, Verwenden, Übermitteln (z. B. E-Mail-Versand im Auftrag), Archivieren, Sichern, Löschen.
3. Datenarten: Stamm- und Kontaktdaten; Vertrags-, Angebots-, Rechnungs- und Zahlungsdaten (einschließlich Bankverbindungen in Belegen); Projekt-, Einsatz- und Veranstaltungsdaten; Qualifikationen, Nachweise und Führerscheinklassen; Verfügbarkeiten und Abwesenheiten (Urlaub, „nicht verfügbar“, Krankheit ohne Diagnose – Gesundheitsdaten im Sinne von Art. 9 DSGVO); Arbeitszeiten und Kosten-/Verkaufssätze; Kommunikationsinhalte (E-Mails, Kommentare, Anfragen); Dateien und Fotos (z. B. Rider, Pläne, Schadensfotos); Protokoll- und Nutzungsdaten (Sicherheitsprotokoll mit IP-Adresse und Browserkennung, Aktivitäten).
4. Betroffene Personen: Beschäftigte und Freelancer des Kunden; Kunden des Kunden und deren Ansprechpartner (auch Privatpersonen); Interessenten (Website-Anfragen); Lieferanten, Vermieter und Ansprechpartner von Veranstaltungsorten; Benutzer der Anwendung.

§ 3 Weisungen

1. Der Anbieter verarbeitet die Daten nur auf dokumentierte Weisung des Kunden, auch bei Übermittlungen in ein Drittland, sofern er nicht durch Unionsrecht oder deutsches Recht dazu verpflichtet ist; in diesem Fall teilt er dem Kunden die rechtlichen Anforderungen vor der Verarbeitung mit, sofern das Recht dies nicht verbietet (Art. 28 Abs. 3 lit. a DSGVO).
2. Weisungen sind dieser Vertrag, die Konfiguration und Nutzung der Funktionen von REZQ durch den Kunden (z. B. Module, Rollen, Versand, Löschung) sowie Einzelweisungen in Textform durch die Administration des Kunden.
3. Hält der Anbieter eine Weisung für rechtswidrig, informiert er den Kunden unverzüglich und darf die Ausführung bis zur Bestätigung oder Änderung aussetzen.

§ 4 Vertraulichkeit

Der Anbieter setzt nur Personen ein, die zur Vertraulichkeit verpflichtet sind oder einer gesetzlichen Verschwiegenheitspflicht unterliegen, und gewährt Zugriff auf Daten des Kunden nur, soweit dies für den Betrieb, die Fehlerbehebung oder eine Weisung erforderlich ist (Art. 28 Abs. 3 lit. b, Art. 29 DSGVO). Die Plattform-Administration hat in der Anwendung keinen Zugriff auf Geschäftsdaten der Kunden.

§ 5 Technische und organisatorische Maßnahmen

1. Der Anbieter trifft die in Anlage 1 beschriebenen Maßnahmen nach Art. 32 DSGVO.
2. Die Maßnahmen unterliegen dem technischen Fortschritt. Der Anbieter darf sie durch gleichwertige oder bessere ersetzen; das Schutzniveau darf nicht unterschritten werden. Wesentliche Änderungen werden dokumentiert.

§ 6 Unterauftragsverarbeiter

1. Der Kunde erteilt die allgemeine Genehmigung zum Einsatz von Unterauftragsverarbeitern (Art. 28 Abs. 2 DSGVO). Bei Vertragsschluss sind die in Anlage 2 genannten Unterauftragsverarbeiter genehmigt.
2. Der Anbieter informiert den Kunden mindestens vier Wochen vorab in Textform oder in der Anwendung über jede beabsichtigte Hinzuziehung oder Ersetzung. Der Kunde kann aus wichtigem datenschutzrechtlichem Grund innerhalb dieser Frist widersprechen. Finden die Parteien keine Lösung, kann der Kunde den Hauptvertrag zum Zeitpunkt der Änderung kündigen.
3. Der Anbieter verpflichtet Unterauftragsverarbeiter vertraglich auf die Pflichten dieses Vertrags (Art. 28 Abs. 4 DSGVO) und prüft deren Garantien.
4. Nutzt der Kunde einen eigenen SMTP-Server oder eigene Dienste (z. B. Kalender-Apps beim Kalenderabo, eigene Website mit Anfrageformular), sind deren Anbieter keine Unterauftragsverarbeiter des Anbieters; der Kunde regelt diese Verhältnisse selbst.

§ 7 Unterstützung des Kunden

1. Der Anbieter unterstützt den Kunden bei der Erfüllung der Rechte betroffener Personen (Art. 12–22 DSGVO). Dafür stehen in REZQ Funktionen zur Verfügung: Datenexport je Firma und je Person, Berichtigung in den Masken, Löschung von Datensätzen und Konten, Einschränkung über Rollen. Erreicht eine Anfrage einer betroffenen Person den Anbieter, leitet er sie unverzüglich an den Kunden weiter.
2. Der Anbieter unterstützt den Kunden bei den Pflichten nach Art. 32–36 DSGVO (Sicherheit, Meldung von Verletzungen, Datenschutz-Folgenabschätzung, vorherige Konsultation) durch die Informationen dieses Vertrags und weitere verfügbare Auskünfte.
3. Unterstützungsleistungen, die über die Funktionen der Software und die Pflichten dieses Vertrags hinausgehen, kann der Anbieter nach vorheriger Mitteilung gegen Erstattung des angemessenen Aufwands erbringen, sofern sie nicht durch einen Verstoß des Anbieters veranlasst sind.

§ 8 Verletzungen des Schutzes personenbezogener Daten

Der Anbieter meldet dem Kunden eine ihm bekannt gewordene Verletzung des Schutzes personenbezogener Daten unverzüglich, möglichst innerhalb von 24 Stunden, an die hinterlegte E-Mail-Adresse der Administration (Art. 33 Abs. 2 DSGVO). Die Meldung enthält, soweit bekannt, die Angaben nach Art. 33 Abs. 3 DSGVO (Art der Verletzung, Kategorien und ungefähre Zahl der Betroffenen und Datensätze, wahrscheinliche Folgen, ergriffene oder vorgeschlagene Maßnahmen, Ansprechpartner); fehlende Angaben werden nachgereicht. Die Meldung an Aufsichtsbehörde und Betroffene ist Aufgabe des Kunden; der Anbieter unterstützt dabei.

§ 9 Rückgabe und Löschung nach Vertragsende

1. Der Kunde kann seine Daten jederzeit und bis zum Ende des Abrufzeitraums (mindestens 30 Kalendertage nach Vertragsende, siehe Nutzungsbedingungen § 11) vollständig exportieren (Art. 28 Abs. 3 lit. g DSGVO).
2. Danach löscht der Anbieter alle personenbezogenen Daten des Kunden in Datenbank und Objektspeicher. Datensicherungen werden verschlüsselt gespeichert und nach spätestens 90 Tagen gelöscht.
3. Belegarchiv-Objekte, die zur Einhaltung der gesetzlichen Aufbewahrungsfristen des Kunden mit einer Schreibsperre (Object Lock) gespeichert sind, können technisch erst mit Ablauf der Sperrfrist entfernt werden. Sie bleiben bis dahin verschlüsselt gespeichert, werden nicht mehr verarbeitet oder ausgeliefert und anschließend automatisch gelöscht. Der Kunde weist dieses Vorgehen an.
4. Eine Löschung erfolgt nicht, soweit der Anbieter nach Unionsrecht oder deutschem Recht zur Speicherung verpflichtet ist.

§ 10 Nachweise und Kontrollen

1. Der Anbieter weist die Einhaltung dieses Vertrags durch geeignete Unterlagen nach (z. B. diese TOM-Beschreibung, Testprotokolle, Zertifikate der Unterauftragsverarbeiter).
2. Der Kunde oder ein von ihm beauftragter, zur Verschwiegenheit verpflichteter Prüfer kann nach Anmeldung mit angemessener Frist (in der Regel 30 Tage) und zu den Geschäftszeiten Kontrollen durchführen, in der Regel höchstens einmal jährlich, bei konkretem Anlass auch öfter (Art. 28 Abs. 3 lit. h DSGVO). Kontrollen in den Rechenzentren der Unterauftragsverarbeiter erfolgen über deren Zertifikate und Prüfberichte.

§ 11 Ort der Verarbeitung

Die Verarbeitung erfolgt in der Europäischen Union bzw. im Europäischen Wirtschaftsraum. Eine Übermittlung personenbezogener Daten in Länder außerhalb der EU bzw. des EWR findet durch uns und unsere Unterauftragsverarbeiter nicht statt. Eine Verlagerung in ein Drittland erfolgt nur nach vorheriger Information des Kunden und bei Vorliegen der Voraussetzungen der Art. 44 ff. DSGVO.

§ 12 Haftung und Schlussbestimmungen

1. Für die Haftung gilt Art. 82 DSGVO; im Übrigen gelten die Regelungen des Hauptvertrags.
2. Änderungen dieses Vertrags bedürfen der Textform; Änderungen der Anlagen erfolgen nach § 5 und § 6. Es gilt deutsches Recht.

Anlage 1 – Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

Vertraulichkeit

• Zutrittskontrolle: Betrieb ausschließlich in Rechenzentren der Unterauftragsverarbeiter (Anlage 2) mit deren physischen Sicherheitsmaßnahmen und Zertifizierungen (z. B. ISO/IEC 27001); kein eigener Serverraum.
• Zugangskontrolle (Server): Anmeldung nur per SSH-Schlüssel, kein Root-Login, Firewall, Schutz gegen wiederholte Anmeldeversuche, automatische Sicherheitsupdates; Administration durch namentlich benannte Personen.
• Zugangskontrolle (Anwendung): Passwörter mit mindestens 10 Zeichen, nur als bcrypt-Hashwert gespeichert, Prüfung gegen bekannte Datenlecks (k-Anonymität); Begrenzung von Anmeldeversuchen; Zwei-Faktor-Anmeldung verpflichtend für Administration, Buchhaltung und Plattform-Administration; Sitzungen mit Ablauf und Widerruf einzelner Geräte.
• Zugriffskontrolle: Rollen- und Rechtekonzept je Firma (u. a. Verkaufspreise, Crew-Sätze und Abwesenheitsgründe nur für berechtigte Rollen; Freelancer sehen nur eigene Daten); Dateien erben die Rechte des zugehörigen Datensatzes; Plattform-Administration ohne Zugriff auf Geschäftsdaten.
• Trennungskontrolle: Mandantentrennung zusätzlich auf Datenbankebene (PostgreSQL Row-Level-Security, Anwendungsrolle ohne Umgehungsrecht); getrennte Speicherpfade und Schlüssel je Firma; Demo- und Testumgebungen ohne Echtdaten.
• Verschlüsselung: Transport per TLS (HTTPS mit HSTS, SMTP mit STARTTLS); Dateien und Belegarchiv vor der Übertragung in den Objektspeicher mit AES-256-GCM verschlüsselt (Schlüssel je Firma abgeleitet); Zugangsdaten Dritter (SMTP-Passwörter, DKIM-Schlüssel) verschlüsselt; Datensicherungen mit age (X25519) verschlüsselt, privater Schlüssel offline verwahrt.
• Datenminimierung in Protokollen: Zugriffsprotokolle mit gekürzten IP-Adressen und ohne Zugangs-Tokens; Fehlerprotokolle ohne Formularinhalte und SQL-Parameter; Betriebsalarme ohne personenbezogene Daten.

Integrität

• Weitergabekontrolle: keine öffentlichen Datei-Links; Auslieferung nur nach Berechtigungsprüfung; private Speicher-Buckets; tokenbasierte Links (Kundenportal, Kalenderabo) mit langen Zufallswerten, widerrufbar.
• Eingabekontrolle: Sicherheitsprotokoll (für die Anwendung unveränderbar, 12 Monate) und Aktivitätsverlauf je Projekt.
• Unveränderbarkeit von Belegen: festgeschriebene Belege per Datenbank-Trigger gesperrt; Belegarchiv mit SHA-256-Prüfsummen, Hash-Kette und Schreibsperre (Object Lock) bis zum Fristende.

Verfügbarkeit und Belastbarkeit

• Verschlüsselte Datensicherung viermal täglich und vor jeder Aktualisierung, außerhalb des Servers im Objektspeicher (Aufbewahrung bis zu 90 Tage), Versionierung der Objektspeicher.
• Dokumentierte Wiederherstellung und monatlicher, automatisch geprüfter Wiederherstellungstest.
• Überwachung (Dienste, Speicher, Sicherungen) mit Alarmierung; Ressourcenbegrenzung und automatischer Neustart der Dienste; Aktualisierungen mit Funktionsprüfung und automatischem Rücksprung.
• Wiederherstellungsziele: Datenverlust höchstens ca. 6 Stunden (RPO), Wiederanlauf angestrebt innerhalb eines Werktags (RTO), soweit nicht anders vereinbart.

Verfahren zur regelmäßigen Überprüfung

• Automatisierte Sicherheits- und Mandantentrennungstests bei jeder Änderung; regelmäßige Prüfung von Abhängigkeiten auf Schwachstellen.
• Monatlicher Wiederherstellungstest, vierteljährliche Prüfung der Zugänge, jährliche Überprüfung dieser TOM.
• Dokumentierter Prozess für Sicherheitsvorfälle (Eindämmung, Beweissicherung, Bewertung, Meldung an Kunden nach § 8).
• Auftragskontrolle: Unterauftragsverarbeiter nur mit Vertrag nach Art. 28 DSGVO; Weisungen der Kunden werden dokumentiert.

Anlage 2 – Unterauftragsverarbeiter

• Hetzner Online GmbH, Gunzenhausen, Deutschland – Rechenzentrum und Server (Anwendung, Datenbank, lokale Sicherungen). Ort der Verarbeitung: Deutschland.
• IONOS SE, Montabaur, Deutschland – Objektspeicher (S3): Dateien, Belegarchiv und verschlüsselte Datensicherungen – Inhalte vor der Übertragung anwendungsseitig verschlüsselt. Ort der Verarbeitung: Deutschland (Region eu-central-4, Frankfurt am Main).
• Sendinblue SAS (Brevo), Paris, Frankreich – E-Mail-Versand (SMTP-Relay): Systemmails und – sofern der Kunde keinen eigenen SMTP-Server hinterlegt – Geschäftsmails des Kunden samt Anhängen. Ort der Verarbeitung: EU.

Technisch eingebundene Dienste ohne Verarbeitung personenbezogener Daten des Kunden (keine Unterauftragsverarbeiter):

• Let’s Encrypt (Internet Security Research Group, USA): Ausstellung der TLS-Zertifikate – übermittelt wird nur der Domainname.
• „Have I Been Pwned“-Passwortprüfung (api.pwnedpasswords.com, Cloudflare/USA): übermittelt werden nur die ersten 5 Zeichen eines SHA-1-Hashwerts (k-Anonymität) vom Server aus – kein Passwort, keine IP-Adresse der Nutzer.
• Betriebsalarme (ntfy.sh): Störungsmeldungen über den Serverzustand – ohne personenbezogene Daten.
• Lebenszeichen-Überwachung (hc-ping.com): regelmäßiger Aufruf ohne Inhalt – ohne personenbezogene Daten.

Anlage 3 – Ansprechpartner

• Für den Kunden: die Administration der Firma in REZQ (Weisungen, Meldungen nach § 8).
• Für den Anbieter: Louis Ninmer, louis.ninmer@icloud.com.