Auftragsverarbeitungsvertrag (AVV)

Dieser AVV ergänzt den Nutzungsvertrag über RDYX zwischen dem Mandanten („Verantwortlicher“) und Beispiel GmbH („Auftragsverarbeiter“). Er regelt die Verarbeitung personenbezogener Daten im Auftrag nach Art. 28 DSGVO und konkretisiert die Pflichten aus Art. 28 Abs. 3 DSGVO.

Auftragsverarbeiter

Geschäftsführer: Erika Musterfrau
Datenschutzanfragen: datenschutz@example.invalid

Verantwortlicher

Der Mandant, der RDYX nutzt und diesen AVV im Dashboard unter Datenschutz akzeptiert. Verantwortlicher ist für seine Endkundendaten allein verantwortlich.

Verarbeitung im Rahmen der SaaS-Bereitstellung: Buchungs-, Reservierungs- und Kundendaten, die Endkunden über Buchungsseiten oder Widgets übermitteln.

Art: Erheben, Speichern, Organisieren, Abfragen, Übermittlung, Löschung.
Dauer: Laufzeit des Nutzungsvertrags; danach Löschung gemäß § 10.

• Personen: Endkunden des Verantwortlichen
• Daten: Name, E-Mail, Telefon (optional), Buchungs-/Termindaten, Zahlungsstatus, Einwilligungen, Nachrichteninhalte

Der Auftragsverarbeiter verarbeitet Daten nur auf dokumentierte Weisung des Verantwortlichen — insbesondere durch Nutzung der Plattform, Dashboard-Einstellungen und diese AVV-/AGB-Bestimmungen. Weisungen können schriftlich (E-Mail an datenschutz@example.invalid) ergänzt werden. Der Auftragsverarbeiter informiert den Verantwortlichen, wenn eine Weisung gegen DSGVO oder andere Datenschutzvorschriften verstößt.

• Vertraulichkeit aller zur Verarbeitung befugten Personen
• Umsetzung geeigneter TOMs (§ 8)
• Unterstützung bei Betroffenenanfragen (Art. 15–22 DSGVO) im Rahmen des Auftrags
• Meldung von Datenschutzverletzungen unverzüglich, spätestens innerhalb von 24 Stunden nach Kenntnis, mit Informationen gemäß Art. 33 DSGVO
• Unterstützung bei Datenschutz-Folgenabschätzungen und Konsultationen, soweit erforderlich
• Löschung oder Rückgabe nach Vertragsende (§ 10)
• Nachweis der Einhaltung — Auskunft und Inspektionen nach § 9

• Rechtmäßige Verarbeitung gegenüber Endkunden sicherstellen
• Eigene Datenschutzerklärung auf der Buchungsseite verlinken
• Erforderliche Einwilligungen einholen (z. B. Marketing)
• Weisungen nur im Rahmen von Recht und Vertrag erteilen
• AVV vor Verarbeitung von Endkundendaten akzeptieren

Der Verantwortliche erteilt eine allgemeine Genehmigung für folgende Unterauftragsverarbeiter:

• Stripe Payments Europe, Ltd. — Zahlungsabwicklung (Irland; ggf. USA mit SCCs)
• Hosting-Infrastruktur — Serverbetrieb (https://rdyx.cloud)
• SMTP-Dienstleister — transaktionale E-Mails, sofern konfiguriert

Änderungen werden mit mindestens 30 Tagen Vorlauf mitgeteilt; Widerspruch mit berechtigtem Grund möglich. Es gelten Art. 28 Abs. 2–4 DSGVO.

• TLS-Verschlüsselung (HTTPS) für Datenübertragung
• Passwort-Hashing für Benutzerkonten
• Rollenbasierte Zugriffskontrolle (Super-Admin, Mandanten-Admin, Staff)
• Mandantenisolation im Multi-Tenant-System
• Audit-Logging sicherheitsrelevanter Aktionen
• Regelmäßige Backups und Wiederherstellungskonzept
• Authentifizierung für Cron- und Webhook-Endpunkte in Production
• Physische und logische Trennung von Produktions- und Testumgebungen

Der Verantwortliche kann die Einhaltung dieses AVV durch Auskunft und — nach vorheriger Ankündigung — Inspektionen prüfen. Der Auftragsverarbeiter stellt erforderliche Informationen bereit und kann auf Zertifizierungen oder Audits verweisen, soweit diese die Prüfung abdecken.

Nach Vertragsende löscht der Auftragsverarbeiter alle personenbezogenen Daten des Verantwortlichen innerhalb von 30 Tagen, sofern keine gesetzlichen Aufbewahrungspflichten entgegenstehen. Der Verantwortliche kann vorher einen vollständigen Export über das Dashboard durchführen. Auf Anfrage bestätigt der Auftragsverarbeiter die Löschung schriftlich.

Haftung nach AGB und gesetzlichen Vorschriften. Ansprüche betroffener Personen gegen den Verantwortlichen bleiben unberührt; der Auftragsverarbeiter unterstützt im Rahmen dieses AVV.

Annahme im Dashboard unter Datenschutz → AVV akzeptieren. Zeitstempel und Benutzer werden protokolliert. Mit Annahme kommt dieser Vertrag zwischen Mandant und Beispiel GmbH, Musterstraße 1, 12345 Musterstadt, Deutschland, zustande.

Änderungen werden mit angemessener Frist mitgeteilt. Es gilt deutsches Recht. Ergänzend: Datenschutzerklärung, Impressum.