Auftragsverarbeitungsvertrag (AVV)

gemäß Art. 28 DSGVO · Stand: August 2026

Dieser Auftragsverarbeitungsvertrag (nachfolgend „AVV”) wird zwischen dem Auftraggeber (nachfolgend „Auftraggeber”) und der Vanturis UG (haftungsbeschränkt) (nachfolgend „Auftragnehmer”) geschlossen und ergänzt den jeweiligen Vertrag über Managed Services oder über die Nutzung der Software Wartefuchs (wartefuchs.app).

Mit der Buchung eines Managed Service oder eines Wartefuchs-Zugangs und der Akzeptanz dieses AVV kommt der Vertrag in Textform gemäß Art. 28 Abs. 9 DSGVO zustande.

§ 1 Gegenstand und Dauer der Verarbeitung

Gegenstand

Gegenstand dieses AVV ist die Verarbeitung personenbezogener Daten durch den Auftragnehmer im Rahmen der Bereitstellung und des Betriebs von Managed Services, insbesondere Hosting, E-Mail-Hosting sowie Wartung und Administration von Cloud-Anwendungen gemäß dem jeweiligen Service-Vertrag.

Ebenfalls Gegenstand dieses AVV ist die Bereitstellung der Software Wartefuchs (wartefuchs.app), einer digitalen Warteschlange für offene Sprechstunden. Der Auftraggeber bleibt für die dort verarbeiteten Daten seiner Besucherinnen und Besucher Verantwortlicher im Sinne von Art. 4 Nr. 7 DSGVO. Er entscheidet insbesondere darüber, ob Besucher beim Anstellen einen Namen angeben, ob sie ein Anliegen auswählen und ob ein Standortabgleich stattfindet.

Dauer

Die Dauer der Verarbeitung entspricht der Laufzeit des jeweiligen Service-Vertrags. Dieser AVV endet automatisch mit Beendigung des letzten aktiven Service-Vertrags zwischen Auftraggeber und Auftragnehmer.

Art der Verarbeitung

Die Verarbeitung umfasst folgende Tätigkeiten:

• Speicherung und Hosting von Daten auf Servern in Deutschland
• Bereitstellung und Betrieb von E-Mail-Postfächern (Empfang, Versand und Speicherung von E-Mails)
• Sicherung der in den gebuchten Managed-Service-Anwendungen verarbeiteten Anwendungs- und Vertragsdaten (Backups)
• Wartung und Administration der bereitgestellten Cloud-Anwendungen
• Technischer Support und Fehlerbehebung
• Betrieb der Warteschlange in Wartefuchs: Anlegen und Verwalten von Tickets, Vergabe von Aufrufnamen, Protokollierung der Statuswechsel, Auswertung der daraus abgeleiteten Kennzahlen sowie Versand von Benachrichtigungen an die Endgeräte der Besucher

Art der personenbezogenen Daten

Die Art der verarbeiteten personenbezogenen Daten wird durch den Auftraggeber bestimmt und hängt vom genutzten Managed Service ab. Dies können insbesondere sein:

• Kontaktdaten (Name, E-Mail-Adresse, Telefonnummer, Anschrift)
• Dokumente und Dateien
• Kommunikationsdaten
• E-Mail-Inhalte, Anhänge sowie Verbindungs- und Metadaten (bei Nutzung des E-Mail-Hostings)
• Zugangsdaten und Authentifizierungsinformationen
• Sonstige Daten, die der Auftraggeber im Rahmen des gebuchten Dienstes speichert und verarbeitet
• Bei Wartefuchs: Aufrufname, Tagesnummer, Status und Zeitpunkte des Besuchs, Gerätekennung, Sprache, Zustelladresse für Benachrichtigungen sowie, soweit vom Auftraggeber eingeschaltet, selbst angegebener Name und ausgewähltes Anliegen

Besondere Kategorien personenbezogener Daten. Setzt der Auftraggeber einen Dienst in einem Umfeld ein, in dem bereits der Umstand des Besuchs einen Gesundheitsbezug herstellt, etwa in einer Arztpraxis, verarbeitet der Auftragnehmer insoweit auch Daten nach Art. 9 Abs. 1 DSGVO. Der Auftragnehmer berücksichtigt dies bei den Maßnahmen nach § 4 und verarbeitet solche Daten ausschließlich im Rahmen der Weisungen des Auftraggebers.

Kreis der Betroffenen

Der Kreis der betroffenen Personen wird durch den Auftraggeber bestimmt und kann insbesondere umfassen:

• Kunden und Interessenten des Auftraggebers
• Mitarbeiter und Bewerber des Auftraggebers
• Geschäftspartner und Lieferanten des Auftraggebers
• Kommunikationspartner des Auftraggebers (z. B. E-Mail-Absender und -Empfänger)
• Besucherinnen und Besucher, die sich über Wartefuchs anstellen, insbesondere Patientinnen und Patienten, Ratsuchende und Antragstellende
• Sonstige Personen, deren Daten der Auftraggeber im Rahmen des Dienstes verarbeitet

§ 2 Weisungsgebundenheit

Der Auftragnehmer verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Auftraggebers (Art. 28 Abs. 3 lit. a DSGVO), es sei denn, er ist durch das Recht der Europäischen Union oder der Mitgliedstaaten, dem er unterliegt, zur Verarbeitung verpflichtet. In einem solchen Fall teilt der Auftragnehmer dem Auftraggeber diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht eine solche Mitteilung nicht wegen eines wichtigen öffentlichen Interesses verbietet.

Der Auftragnehmer informiert den Auftraggeber unverzüglich, wenn er der Auffassung ist, dass eine Weisung gegen datenschutzrechtliche Vorschriften verstößt. Der Auftragnehmer ist berechtigt, die Durchführung der entsprechenden Weisung so lange auszusetzen, bis sie durch den Auftraggeber bestätigt oder geändert wird.

Weisungen können schriftlich, in Textform (z. B. per E-Mail) oder über das Kundenportal erteilt werden. Mündliche Weisungen sind unverzüglich in Textform zu bestätigen.

§ 3 Vertraulichkeit

Der Auftragnehmer gewährleistet, dass sich die zur Verarbeitung der personenbezogenen Daten befugten Personen zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen (Art. 28 Abs. 3 lit. b DSGVO).

Die Vertraulichkeitspflicht besteht auch nach Beendigung des Auftrags und des Beschäftigungsverhältnisses fort.

Der Auftragnehmer stellt sicher, dass alle Mitarbeiter, die Zugang zu personenbezogenen Daten des Auftraggebers haben, nur im Rahmen der erteilten Weisungen und der vertraglichen Vereinbarungen auf diese Daten zugreifen.

Zugriff auf Inhalte des Auftraggebers

Der Auftragnehmer betreibt und wartet die gebuchten Managed Services vollständig und verfügt dadurch über administrativen Zugang zu den Systemen, auf denen die Daten des Auftraggebers gespeichert sind. Ein Zugriff auf die Inhalte selbst, also auf Dateien, Dokumente, Datenbankinhalte und E-Mails, findet nur statt, soweit er im Einzelfall erforderlich ist für:

• eine vom Auftraggeber beauftragte Support-, Wartungs- oder Migrationsmaßnahme,
• die Behebung einer konkreten Störung, die sich ohne diesen Zugriff nicht beheben lässt,
• die Wiederherstellung von Daten aus einer Datensicherung, oder
• die Erfüllung einer gesetzlichen Verpflichtung, der der Auftragnehmer unterliegt.

Eine darüber hinausgehende Kenntnisnahme von Inhalten findet nicht statt. Der Auftragnehmer wertet die Inhalte des Auftraggebers nicht aus, nutzt sie nicht für eigene Zwecke und gibt sie nicht an Dritte weiter. Technisch notwendige automatisierte Vorgänge wie Virenprüfung, Spam-Filterung, Indizierung oder das Erstellen von Datensicherungen laufen ohne Kenntnisnahme durch Mitarbeiter des Auftragnehmers ab.

Administrativen Zugang erhalten ausschließlich die Mitarbeiter, die ihn für die Leistungserbringung benötigen. Auf Anfrage des Auftraggebers erteilt der Auftragnehmer Auskunft über einen erfolgten Zugriff, soweit ihn keine gesetzliche Verpflichtung daran hindert.

Solange der Auftragnehmer eine Anwendung betreibt und wartet, lässt sich dieser technische Zugang nicht ausschließen. Setzt der Auftraggeber eine Ende-zu-Ende-Verschlüsselung ein, deren Schlüssel ausschließlich bei ihm liegen, hat der Auftragnehmer keinen Zugriff auf die so verschlüsselten Inhalte. Die Verwaltung der Schlüssel liegt in diesem Fall beim Auftraggeber; geht ein Schlüssel verloren, sind die betroffenen Daten nicht wiederherstellbar.

Berufsgeheimnisträger

Ist der Auftraggeber eine Person, die einer Schweigepflicht nach § 203 StGB unterliegt, etwa eine Arztpraxis, so gilt ergänzend: Der Auftragnehmer und die bei ihm mit der Leistung befassten Personen sind sonstige mitwirkende Personen im Sinne von § 203 Abs. 3 Satz 2 StGB. Der Auftragnehmer verpflichtet diese Personen nach § 203 Abs. 4 Satz 2 Nr. 1 StGB zur Geheimhaltung, belehrt sie über die Strafbarkeit einer unbefugten Offenbarung und weist sie darauf hin, dass die Verpflichtung nach Beendigung ihrer Tätigkeit fortbesteht.

Zieht der Auftragnehmer weitere Unterauftragsverarbeiter nach § 5 hinzu, verpflichtet er diese in gleicher Weise (§ 203 Abs. 4 Satz 2 Nr. 2 StGB).

Für den Zugriff auf Inhalte gilt der vorstehende Abschnitt. Handelt es sich beim Auftraggeber um einen Berufsgeheimnisträger, beschränkt der Auftragnehmer einen solchen Zugriff zusätzlich auf das unbedingt notwendige Maß und stimmt ihn, außer bei Gefahr im Verzug, vorher mit dem Auftraggeber ab.

§ 4 Technische und Organisatorische Maßnahmen

Der Auftragnehmer hat die erforderlichen technischen und organisatorischen Maßnahmen getroffen, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten (Art. 28 Abs. 3 lit. c i.V.m. Art. 32 DSGVO).

Eine ausführliche Beschreibung der technischen und organisatorischen Maßnahmen (TOMs) finden Sie in unserer Datenschutzerklärung.

Die wichtigsten Maßnahmen umfassen:

• Verschlüsselung: AES-256-GCM Verschlüsselung sensibler Daten im Ruhezustand; TLS/HTTPS für alle Datenübertragungen
• Zugriffskontrolle: Rollenbasierte Zugriffskontrolle (RBAC) mit individuellen Berechtigungen; Zugriff nur für autorisiertes Personal; Zwei-Faktor-Authentifizierung
• Isolation: Isolierte Container pro Dienst und Kunde; separate Datenvolumes zur Vermeidung unbeabsichtigter Datenüberschneidungen
• Datensicherung: Regelmäßige automatisierte Datensicherungen (Backups) der Anwendungs- und Vertragsdaten der gebuchten Managed Services mit verschlüsselter Speicherung. E-Mail-Postfächer sind davon nicht umfasst
• Hosting-Standort: Hosting ausschließlich in ISO 27001 zertifizierten Rechenzentren in Deutschland (Hetzner Online GmbH, Standorte Nürnberg/Falkenstein)
• Monitoring: Kontinuierliche Überwachung der Systeme auf Verfügbarkeit und Sicherheitsvorfälle

Der Auftragnehmer überprüft die Maßnahmen regelmäßig und passt sie dem aktuellen Stand der Technik an. Eine Änderung der Maßnahmen ist zulässig, solange das vertraglich vereinbarte Schutzniveau nicht unterschritten wird.

§ 5 Unterauftragsverarbeiter

Der Auftragnehmer setzt die folgenden Unterauftragsverarbeiter ein, denen der Auftraggeber mit Akzeptanz dieses AVV zustimmt (Art. 28 Abs. 2 DSGVO):

Keine Reichweitenmessung im geschützten Bereich. In Wartefuchs werden weder in der Warteansicht der Besucher noch im Bereich des Personals Analyse- oder Trackingdienste eingesetzt. Die Reichweitenmessung beschränkt sich auf die öffentliche Produktseite von wartefuchs.app und findet dort nur nach Einwilligung statt. Anbieter solcher Dienste erhalten damit keinen Zugang zu Daten, die der Auftragnehmer im Auftrag verarbeitet.

Zustellung von Benachrichtigungen. Benachrichtigungen in Wartefuchs werden über den Push-Dienst des Herstellers desjenigen Browsers zugestellt, den der Besucher verwendet. Welcher Dienst das ist, bestimmt das Endgerät des Besuchers, nicht der Auftragnehmer. Übermittelt wird die vom Browser vergebene Zustelladresse; der Inhalt der Nachricht ist mit den Schlüsseln des Endgeräts verschlüsselt und für den Push-Dienst nicht lesbar.

Der Auftragnehmer wird den Auftraggeber über jede beabsichtigte Änderung in Bezug auf die Hinzuziehung oder die Ersetzung von Unterauftragsverarbeitern mindestens 30 Tage vor Wirksamwerden informieren. Der Auftraggeber hat die Möglichkeit, gegen derartige Änderungen Einspruch zu erheben. Der Einspruch ist innerhalb von 14 Tagen nach Mitteilung in Textform zu erheben und zu begründen.

Erhebt der Auftraggeber Einspruch, suchen die Parteien zunächst eine einvernehmliche Lösung. Kommt eine solche nicht innerhalb von 30 Tagen zustande und kann der Auftragnehmer die Leistung ohne den betroffenen Unterauftragsverarbeiter nicht wirtschaftlich zumutbar erbringen, ist der Auftraggeber berechtigt, den betroffenen Service-Vertrag zum Zeitpunkt des Wirksamwerdens der Änderung außerordentlich zu kündigen. Weitergehende Ansprüche bestehen nicht.

Der Auftragnehmer stellt vertraglich sicher, dass die Unterauftragsverarbeiter dieselben Datenschutzpflichten einhalten, die in diesem AVV festgelegt sind (Art. 28 Abs. 4 DSGVO).

Verarbeitung außerhalb der Europäischen Union

Die Verarbeitung findet grundsätzlich in der Europäischen Union statt. Eine Übermittlung personenbezogener Daten in ein Drittland erfolgt nur, soweit sie in der vorstehenden Tabelle vorgesehen ist, der Auftraggeber sie anweist oder der Auftragnehmer gesetzlich dazu verpflichtet ist. In diesen Fällen stellt der Auftragnehmer sicher, dass die Voraussetzungen der Art. 44 bis 49 DSGVO erfüllt sind, insbesondere durch den Abschluss von EU-Standardvertragsklauseln und die Prüfung ergänzender Maßnahmen.

Die Inhalte der gebuchten Managed Services, also insbesondere Dateien, Dokumente, Datenbankinhalte und E-Mails, werden ausschließlich auf Servern in Deutschland gespeichert und verarbeitet.

§ 6 Rechte der Betroffenen

Der Auftragnehmer unterstützt den Auftraggeber nach Möglichkeit mit geeigneten technischen und organisatorischen Maßnahmen bei der Erfüllung seiner Pflichten zur Beantwortung von Anträgen auf Wahrnehmung der in Kapitel III der DSGVO genannten Rechte der betroffenen Personen (Art. 28 Abs. 3 lit. e DSGVO).

Wendet sich eine betroffene Person mit einem Antrag auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Datenübertragbarkeit oder Widerspruch direkt an den Auftragnehmer, wird dieser den Antrag unverzüglich an den Auftraggeber weiterleiten. Der Auftragnehmer wird ohne Weisung des Auftraggebers nicht eigenständig gegenüber betroffenen Personen tätig.

§ 7 Löschung und Rückgabe von Daten

Nach Beendigung des Service-Vertrags hat der Auftraggeber die Wahl, ob der Auftragnehmer die im Auftrag verarbeiteten personenbezogenen Daten löscht oder sie ihm in einem gängigen, maschinenlesbaren Format zurückgibt (Art. 28 Abs. 3 lit. g DSGVO). Der Auftraggeber teilt seine Wahl spätestens bis zum Vertragsende in Textform mit. Trifft er keine Wahl, werden die Daten gelöscht.

Bestehen gesetzliche Aufbewahrungspflichten, bewahrt der Auftragnehmer die betroffenen Daten nur für die Dauer der Frist und ausschließlich zu diesem Zweck auf; die Verarbeitung ist im Übrigen eingeschränkt.

Wählt der Auftraggeber die Löschung oder trifft er keine Wahl, werden die in den bereitgestellten Instanzen und Postfächern gespeicherten Nutzdaten mit Wirksamwerden der Kündigung bzw. mit dem Vertragsende gelöscht. Der Auftraggeber kann seine Daten bis dahin selbst exportieren; der Auftragnehmer unterstützt ihn dabei auf Anfrage. Nach dem Vertragsende ist eine Wiederherstellung der Nutzdaten nicht mehr gewährleistet.

Verwaltungs- und Vertragsmetadaten im Kundenportal (z. B. Angaben zur Subscription) werden nach Vertragsende noch für längstens 90 Tage vorgehalten und anschließend automatisch anonymisiert oder gelöscht.

Auf Wunsch bestätigt der Auftragnehmer die vollständige Löschung der Daten in Textform.

§ 8 Kontrollrechte des Auftraggebers

Der Auftraggeber hat das Recht, die Einhaltung der Bestimmungen dieses AVV zu überprüfen, auch durch Inspektionen (Art. 28 Abs. 3 lit. h DSGVO). Der Auftragnehmer stellt dem Auftraggeber alle erforderlichen Informationen zum Nachweis der Einhaltung der in Art. 28 DSGVO niedergelegten Pflichten zur Verfügung und ermöglicht Überprüfungen.

Inspektionen vor Ort sind nach vorheriger Ankündigung mit angemessener Frist (mindestens 14 Tage) und unter Berücksichtigung der betrieblichen Abläufe möglich. Der Auftragnehmer kann alternativ aktuelle Prüfberichte, Zertifikate oder Ergebnisse von Audits durch unabhängige Dritte vorlegen.

§ 9 Meldung von Datenschutzverletzungen

Der Auftragnehmer unterrichtet den Auftraggeber unverzüglich, nachdem ihm eine Verletzung des Schutzes personenbezogener Daten bekannt wird (Art. 33 Abs. 2 DSGVO). Die Meldung enthält mindestens folgende Informationen:

• Art der Verletzung des Schutzes personenbezogener Daten
• Kategorien und ungefähre Anzahl der betroffenen Personen und Datensätze
• Wahrscheinliche Folgen der Verletzung
• Ergriffene oder vorgeschlagene Maßnahmen zur Behebung und Abmilderung

Der Auftragnehmer unterstützt den Auftraggeber bei der Erfüllung seiner Meldepflichten gegenüber der Aufsichtsbehörde und den betroffenen Personen.

Der Auftragnehmer führt ein Verzeichnis aller Kategorien von Verarbeitungstätigkeiten, die er im Auftrag des Auftraggebers durchführt (Art. 30 Abs. 2 DSGVO), und stellt dem Auftraggeber die für dessen eigenes Verzeichnis erforderlichen Angaben auf Anfrage zur Verfügung.

Darüber hinaus unterstützt der Auftragnehmer den Auftraggeber im Rahmen seiner Möglichkeiten und unter Berücksichtigung der Art der Verarbeitung und der ihm zur Verfügung stehenden Informationen bei einer Datenschutz-Folgenabschätzung (Art. 35 DSGVO) sowie bei einer etwaigen vorherigen Konsultation der Aufsichtsbehörde (Art. 36 DSGVO).

§ 10 Haftung

Die Haftung richtet sich nach Art. 82 DSGVO. Jede Partei haftet für Schäden, die durch eine nicht der DSGVO entsprechende Verarbeitung verursacht werden, soweit sie die ihr durch die DSGVO auferlegten Pflichten verletzt hat.

Der Auftragnehmer haftet für Schäden, die durch eine Verarbeitung entstehen, bei der er die speziell den Auftragsverarbeitern auferlegten Pflichten nicht eingehalten hat oder bei der er unter Nichtbeachtung der rechtmäßig erteilten Anweisungen des Auftraggebers oder gegen diese Anweisungen gehandelt hat.

§ 11 Schlussbestimmungen

Änderungen und Ergänzungen dieses AVV bedürfen der Textform. Dies gilt auch für die Aufhebung dieses Textformerfordernisses.

Sollten einzelne Bestimmungen dieses AVV unwirksam sein oder werden, so wird die Wirksamkeit der übrigen Bestimmungen hiervon nicht berührt. Die unwirksame Bestimmung ist durch eine wirksame Bestimmung zu ersetzen, die dem wirtschaftlichen Zweck der unwirksamen Bestimmung am nächsten kommt.

Bei Widersprüchen zwischen diesem AVV und anderen Vereinbarungen zwischen den Parteien hat dieser AVV in Bezug auf den Schutz personenbezogener Daten Vorrang.

Es gilt deutsches Recht. Gerichtsstand ist Mainz.

Verantwortlicher Auftragnehmer

Vanturis UG (haftungsbeschränkt)
Geschäftsführer: Tim Plate, Tjorven Hüther
Hintergasse 12
55237 Flonheim
Deutschland

Registergericht: Amtsgericht Mainz
Registernummer: HRB 54485
USt-IdNr.: DE461649596
Steuernummer: 08/664/54817

E-Mail: info@vanturis.de
Telefon: +49 (06734) 9155314