Auftragsverarbeitungsvertrag (AVV)

Stand: 10. September 2026.

1. Gegenstand und Parteien

Dieser Vertrag konkretisiert die Pflichten der Parteien zum Datenschutz, die sich aus der Nutzung des Dienstes „Pflichtblick“ ergeben. Verantwortlicher ist der Kunde (nachfolgend „Auftraggeber“), Auftragsverarbeiter ist der Anbieter Wladislaw Walder, Hinter der Vikarie 25, 49696 Molbergen (nachfolgend „Auftragnehmer“). Er gilt für alle Verarbeitungen personenbezogener Daten, die der Auftragnehmer im Auftrag des Auftraggebers gemäß Art. 28 DSGVO durchführt.

2. Gegenstand, Art und Zweck der Verarbeitung

Gegenstand der Verarbeitung ist die Bereitstellung der Software-as-a-Service-Anwendung „Pflichtblick“ nach Ziffer 2 der AGB, also die automatisierte Prüfung der vom Auftraggeber angegebenen Websites in den Prüfdomänen Barrierefreiheit, Datenschutz und Cookies, Sicherheit und Technik sowie die darauf aufbauende Berichtserstellung, das wiederkehrende Monitoring einschließlich Benachrichtigungen, die Maßnahmen- und Aufgabenverwaltung, der API-Zugang und die Konten- und Kundenverwaltung des Auftraggebers.

Art der Verarbeitung: Erheben, Erfassen, Speichern, Auslesen, Abfragen, Verwenden, automatisiertes Auswerten, Anzeigen, Übermitteln an vom Auftraggeber bestimmte Empfänger (etwa durch Berichtsversand), Einschränken und Löschen. Die Prüfung erfolgt durch automatisierten Abruf der angegebenen Websites mit einem Browser; dabei können Seiteninhalte, Screenshots sowie technische Metadaten der geprüften Seiten verarbeitet werden.

Zweck der Verarbeitung ist ausschließlich die Erbringung der vertraglich vereinbarten Leistungen für den Auftraggeber. Eine Verarbeitung zu eigenen Zwecken des Auftragnehmers, insbesondere zur Profilbildung oder zum Training von Modellen, findet nicht statt. Ergänzend gelten Art und Zweck, wie sie sich aus dem Hauptvertrag ergeben.

3. Art der Daten und Kategorien betroffener Personen

Datenarten. Der Auftragnehmer verarbeitet im Auftrag:

• Konto- und Stammdaten der Nutzerkonten des Auftraggebers: Name, E-Mail-Adresse, Firmenbezeichnung, Rolle und Berechtigungen sowie die vom Auftraggeber angelegten Kundendatensätze (Bezeichnung und Ansprechpartner seiner eigenen Kunden).
• Nutzungs- und Protokolldaten: Anmeldungen, sicherheitsrelevante Verwaltungsvorgänge, Zeitpunkte und Ergebnisse ausgelöster Prüfungen.
• Inhalte der geprüften Websites, soweit sie personenbezogene Daten enthalten – etwa Namen, Kontaktdaten oder Bilder auf Impressum-, Kontakt- und Teamseiten.
• Elementbezogene Screenshot-Belege der geprüften Seiten. Sie werden als Nachweis zu einem Befund gespeichert und können jeden personenbezogenen Inhalt abbilden, der zum Zeitpunkt der Prüfung auf der Seite sichtbar war.
• Cookie- und Consent-Daten der geprüften Websites: gesetzte Cookies, erkannte Tracker und Drittanbieter-Verbindungen vor und nach einer Einwilligung sowie die Zusammenfassung dieser Befunde.
• Technische Befunde und Messwerte der geprüften Seiten: Adressen der geprüften Unterseiten, Antwort- und Ladezeiten, Weiterleitungen, Angaben zu Transportverschlüsselung und Servern sowie erkannte Software und deren Versionen.

Bei den letzten drei Kategorien bestimmt der Auftraggeber durch die Auswahl der zu prüfenden Websites, welche Inhalte anfallen; der Auftragnehmer erhebt sie automatisiert und ohne inhaltliche Vorauswahl. Der Umfang entspricht dem in Abschnitt 6 der Datenschutzerklärung beschriebenen und dem Prüfspektrum nach Ziffer 2 der AGB.

Betroffene Personen. Mitarbeitende und Nutzer des Auftraggebers, Ansprechpartner der von ihm betreuten Kunden sowie Personen, deren Daten auf den vom Auftraggeber zur Prüfung angegebenen Websites enthalten sind – auch solche, die zu keiner der Parteien in einer Beziehung stehen, etwa auf Websites Dritter genannte Personen.

4. Weisungsrecht

Der Auftragnehmer verarbeitet personenbezogene Daten ausschließlich im Rahmen der Vereinbarung und nach dokumentierten Weisungen des Auftraggebers, es sei denn, er ist gesetzlich zur Verarbeitung verpflichtet; in diesem Fall teilt er dem Auftraggeber die rechtlichen Anforderungen vor der Verarbeitung mit, sofern das jeweilige Recht dies nicht verbietet. Weisungen erfolgen grundsätzlich über die Funktionen des Dienstes sowie in Textform; weisungsberechtigt sind die Personen, die im Konto des Auftraggebers als Inhaber (Owner) oder mit entsprechender Berechtigung hinterlegt sind.

Ist der Auftragnehmer der Auffassung, dass eine Weisung gegen datenschutzrechtliche Vorschriften verstößt, informiert er den Auftraggeber unverzüglich (Art. 28 Abs. 3 Satz 3 DSGVO). Er ist berechtigt, die Ausführung der betroffenen Weisung auszusetzen, bis der Auftraggeber sie bestätigt oder ändert; die Ausführung einer Weisung, deren Rechtswidrigkeit offensichtlich ist, darf er ablehnen.

5. Technische und organisatorische Maßnahmen (TOM)

Der Auftragnehmer trifft die nach Art. 32 DSGVO erforderlichen technischen und organisatorischen Maßnahmen und hält sie während der Vertragslaufzeit ein. Sie sind in Anlage 1 beschrieben, die Bestandteil dieses Vertrags ist. Die Anlage trägt ein eigenes Fassungsdatum.

Der Auftragnehmer darf die Maßnahmen weiterentwickeln, solange das vereinbarte Schutzniveau dabei nicht unterschritten wird; eine Absenkung ist unzulässig. Wesentliche Änderungen dokumentiert er in der Anlage und teilt sie dem Auftraggeber auf Anfrage mit. Eine geänderte Fassung der Anlage 1 ist keine Neufassung dieses Vertrags.

6. Unterauftragsverarbeiter

Der Auftraggeber gestattet den Einsatz von Unterauftragsverarbeitern. Diese werden sorgfältig ausgewählt und vertraglich nach Art. 28 Abs. 4 DSGVO auf ein Schutzniveau verpflichtet, das dem dieses Vertrags entspricht. Die jeweils eingesetzten Unterauftragsverarbeiter sind in Anlage 2 mit Firma, Sitz und Leistung aufgeführt; die Anlage ist Bestandteil dieses Vertrags und trägt ein eigenes Fassungsdatum. Mit Abschluss dieses Vertrags gilt die dort aufgeführte Fassung als genehmigt.

Änderungen an Anlage 2. Beabsichtigt der Auftragnehmer, einen weiteren Unterauftragsverarbeiter einzusetzen oder einen bestehenden zu ersetzen, teilt er dies dem Auftraggeber mindestens 30 Tage vor dem geplanten Einsatz in Textform mit und benennt Firma, Sitz und Leistung. Der Auftraggeber kann innerhalb dieser Frist aus einem datenschutzrechtlich begründeten Anlass widersprechen. Widerspricht er, sucht der Auftragnehmer eine einvernehmliche Lösung; kommt keine zustande und ist die Leistung ohne den Unterauftragsverarbeiter nicht zumutbar zu erbringen, kann jede Partei den Vertrag zum geplanten Einsatzzeitpunkt kündigen. Widerspricht der Auftraggeber nicht, wird die geänderte Anlage 2 mit dem genannten Zeitpunkt wirksam. Eine geänderte Fassung der Anlage 2 ist keine Neufassung dieses Vertrags und löst keine erneute Zustimmung zum Vertragstext aus.

Der Austausch eines Unterauftragsverarbeiters aus einem zwingenden Grund – etwa dem Ausfall eines Dienstleisters – ist ohne Vorlauf zulässig; der Auftragnehmer informiert den Auftraggeber unverzüglich und stellt sicher, dass das Schutzniveau gewahrt bleibt.

Nicht als Unterauftragsverarbeiter gelten Leistungen, bei denen der Auftragnehmer keine im Auftrag verarbeiteten Daten überlässt. Die Fehlerüberwachung (Bugsink) läuft auf eigener, selbstbetriebener Infrastruktur des Auftragnehmers und ist deshalb kein gesonderter Unterauftragsverarbeiter.

7. Unterstützungspflichten

Der Auftragnehmer unterstützt den Auftraggeber im Rahmen des Zumutbaren bei der Wahrung der Rechte betroffener Personen (Art. 12–23 DSGVO) sowie bei der Einhaltung der Pflichten nach Art. 32–36 DSGVO. Für Auskunfts-, Berichtigungs-, Lösch- und Übertragbarkeitsersuchen stellt er dem Auftraggeber die Funktionen der Anwendung bereit: einen maschinenlesbaren Datenexport sowie die Löschung des Kontos samt der im Auftrag verarbeiteten Daten über die Kontoeinstellungen. Meldet eine betroffene Person Ansprüche direkt beim Auftragnehmer, leitet dieser das Ersuchen unverzüglich an den Auftraggeber weiter und beantwortet es nicht selbst.

Bei einer Datenschutz-Folgenabschätzung (Art. 35 DSGVO) und einer vorherigen Konsultation der Aufsichtsbehörde (Art. 36 DSGVO) unterstützt der Auftragnehmer den Auftraggeber, indem er die erforderlichen Angaben zu Art, Umfang, Zweck und Ablauf der Verarbeitung, zu den eingesetzten Systemen und Unterauftragsverarbeitern, zu den Aufbewahrungsfristen und zu den getroffenen technischen und organisatorischen Maßnahmen bereitstellt, Rückfragen zu den Verarbeitungsvorgängen beantwortet und an der Risikobewertung mitwirkt. Durchführung und Dokumentation der Folgenabschätzung bleiben Aufgabe des Auftraggebers.

8. Meldung von Datenschutzverletzungen

Der Auftragnehmer informiert den Auftraggeber unverzüglich über Verletzungen des Schutzes personenbezogener Daten, die die im Auftrag verarbeiteten Daten betreffen, und unterstützt bei den erforderlichen Melde- und Benachrichtigungspflichten (Art. 33, 34 DSGVO).

9. Kontrollrechte und Nachweise

Der Auftraggeber hat das Recht, die Einhaltung der vertraglichen und gesetzlichen Pflichten zu überprüfen. Der Auftragnehmer stellt hierfür die erforderlichen Informationen bereit und weist die Einhaltung vorrangig durch geeignete Unterlagen nach: Anlage 1 in der jeweils aktuellen Fassung, das Verzeichnis nach Ziffer 13, aktuelle Selbstauskünfte sowie – soweit vorhanden – Testate, Zertifizierungen nach Art. 42 DSGVO oder Berichte unabhängiger Prüfstellen.

Reichen diese Nachweise für den konkreten Prüfzweck nicht aus, ermöglicht der Auftragnehmer Überprüfungen einschließlich Inspektionen in seinen Geschäftsräumen. Solche Überprüfungen sind mit einer Vorankündigung von mindestens vier Wochen anzukündigen, während der üblichen Geschäftszeiten und ohne vermeidbare Störung des Betriebsablaufs durchzuführen; die Vertraulichkeit gegenüber anderen Auftraggebern des Auftragnehmers ist zu wahren, und mit der Prüfung beauftragte Dritte dürfen keine Wettbewerber sein. Der Auftraggeber trägt die Kosten einer von ihm veranlassten Prüfung, es sei denn, die Prüfung deckt eine Pflichtverletzung des Auftragnehmers auf.

10. Löschung und Rückgabe

Rückgabe. Der Auftraggeber kann die im Auftrag verarbeiteten Daten jederzeit selbst über die Exportfunktion der Kontoeinstellungen in einem gängigen, maschinenlesbaren Format herunterladen. Diese Funktion steht ihm zur Verfügung, solange sein Konto besteht – auch nach Ablauf eines kostenpflichtigen Abonnements (Ziffer 3 der AGB). Verlangt der Auftraggeber die Rückgabe stattdessen vom Auftragnehmer, stellt dieser die Daten innerhalb von 30 Tagen nach Zugang des Verlangens bereit. Für die im Auftrag verarbeiteten Daten ist der Export nach dem Ende des Vertrags nur innerhalb der Frist möglich, die der Absatz „Löschung ohne Weisung“ nennt – danach sind diese Daten gelöscht.

Löschung. Nach Beendigung des Vertrags löscht der Auftragnehmer die im Auftrag verarbeiteten personenbezogenen Daten oder gibt sie nach Wahl des Auftraggebers zurück. Der Auftraggeber kann die Löschung jederzeit selbst über die Kontoeinstellungen auslösen; sie wird dann unverzüglich und als eine Transaktion ausgeführt und umfasst die angelegten Kunden und Websites einschließlich Scan-Ergebnissen, Befunden und Screenshot-Belegen. Weist der Auftraggeber die Löschung stattdessen den Auftragnehmer an, führt dieser sie unverzüglich, spätestens innerhalb von 30 Tagen nach Zugang der Weisung aus und bestätigt sie auf Verlangen in Textform.

Ausnahmen. Von der Löschung ausgenommen sind Daten, für die eine gesetzliche Aufbewahrungspflicht besteht – insbesondere Abrechnungsdaten und das Protokoll sicherheitsrelevanter Verwaltungsvorgänge. Diese Daten verlieren bei der Löschung ihren Personenbezug (Pseudonymisierung) und werden für die Dauer der Aufbewahrungspflicht ausschließlich zu diesem Zweck vorgehalten.

Löschung ohne Weisung. Erteilt der Auftraggeber keine Weisung und löscht er sein Konto nicht selbst, löscht der Auftragnehmer die im Auftrag verarbeiteten Daten – die angelegten Kunden und Websites einschließlich Scan-Ergebnissen, Befunden und Screenshot-Belegen – spätestens 90 Tage nach dem Ende des Vertrags von selbst. Als Vertragsende gilt dabei das Ende der Testphase ohne anschließendes Abonnement beziehungsweise das Ende des letzten bezahlten Abrechnungszeitraums. Diese Löschung ist technisch durchgesetzt und läuft ohne Zutun des Auftraggebers.

Konto und Regelfristen. Das Konto des Auftraggebers, die Abrechnungsdaten und das Protokoll sicherheitsrelevanter Vorgänge bleiben davon unberührt, damit eine spätere Reaktivierung möglich bleibt und die gesetzlichen Aufbewahrungspflichten erfüllt werden können; die Reaktivierung beginnt dann ohne die zuvor erfassten Websites. Solange der Vertrag läuft, gelten zusätzlich die technisch durchgesetzten Regel-Aufbewahrungsfristen, die in der Datenschutzerklärung benannt sind. Diese Fristen verlängern die vorstehenden Löschfristen nicht.

11. Vertraulichkeit, eingesetzte Personen und Datenschutzbeauftragter

Der Auftragnehmer verarbeitet die im Auftrag überlassenen Daten derzeit ausschließlich selbst; weitere Personen sind nicht eingesetzt. Als Inhaber des Unternehmens unterliegt er der Vertraulichkeit unmittelbar. Setzt er künftig Beschäftigte, Auszubildende oder freie Mitarbeiter ein, verpflichtet er diese vor Aufnahme der Tätigkeit in Textform auf die Vertraulichkeit (Art. 28 Abs. 3 lit. b, Art. 29, Art. 32 Abs. 4 DSGVO), unterweist sie über die einschlägigen Datenschutzvorgaben und die Weisungsbindung und gewährt Zugriff nur im jeweils erforderlichen Umfang. Die Verpflichtung besteht über das Ende der Tätigkeit hinaus. Auf Anfrage weist der Auftragnehmer dem Auftraggeber die Verpflichtung der eingesetzten Personen nach.

Beim Auftragnehmer ist kein Datenschutzbeauftragter zu benennen: Es sind nicht mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt, und es liegt keine Verarbeitung vor, die nach Art. 37 Abs. 1 DSGVO oder § 38 Abs. 1 Satz 2 BDSG zur Benennung verpflichtet. Ansprechpartner für Datenschutzanfragen ist Wladislaw Walder, info@pflichtblick.de. Treten die Voraussetzungen einer Benennungspflicht ein, benennt der Auftragnehmer einen Datenschutzbeauftragten und teilt dem Auftraggeber dessen Kontaktdaten mit.

12. Ort der Verarbeitung und Drittlandtransfer

Die im Auftrag verarbeiteten Daten werden ausschließlich in Rechenzentren in der Bundesrepublik Deutschland verarbeitet. Dort betreibt der Auftragnehmer die Anwendung, die Datenbank, die Scan- und Browser-Infrastruktur, die Ablage der Screenshot-Belege und die selbst betriebene Fehlerüberwachung; Hosting-Dienstleister ist die Hetzner Online GmbH. Der Versand von System- und Benachrichtigungs-E-Mails erfolgt über ALL-INKL.COM – Neue Medien Münnich, ebenfalls in Deutschland.

Eine Übermittlung der im Auftrag verarbeiteten Daten in ein Drittland oder an eine internationale Organisation findet nicht statt. Die Zahlungsabwicklung über Stripe Payments Europe Ltd. erfolgt nicht im Auftrag des Auftraggebers, sondern in eigener Verantwortung des Auftragnehmers zur Abwicklung des Hauptvertrags; sie beschränkt sich auf Abrechnungsdaten (u. a. Tarif, Abrechnungszeitraum, Kontakt- und Zahlungsdaten des Auftraggebers). Inhalte geprüfter Websites werden dabei nicht übermittelt. Soweit Stripe dabei Daten außerhalb der Europäischen Union verarbeitet, erfolgt dies auf Grundlage der Art. 44 ff. DSGVO, insbesondere auf Grundlage eines Angemessenheitsbeschlusses der Europäischen Kommission und ergänzend auf Grundlage von Standarddatenschutzklauseln.

Verlagert der Auftragnehmer die Verarbeitung ganz oder teilweise in einen anderen Staat oder setzt er einen Unterauftragsverarbeiter mit Verarbeitung außerhalb der Europäischen Union oder des Europäischen Wirtschaftsraums ein, informiert er den Auftraggeber vorab nach Ziffer 6 und stellt vor Beginn der Übermittlung sicher, dass die Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind.

13. Dokumentation und Rechenschaft

Der Auftragnehmer führt ein Verzeichnis aller Kategorien von Verarbeitungstätigkeiten, die er im Auftrag von Auftraggebern durchführt, mit den in Art. 30 Abs. 2 DSGVO genannten Angaben, hält es aktuell und stellt es dem Auftraggeber sowie auf Verlangen der Aufsichtsbehörde zur Verfügung. Ergänzend protokolliert die Anwendung sicherheitsrelevante Verwaltungsvorgänge in einem Audit-Protokoll; die Aufbewahrungsdauer ist in der Datenschutzerklärung benannt. Die Nachweise unterstützen die Rechenschaftspflicht des Auftraggebers nach Art. 5 Abs. 2 DSGVO; für die Dokumentation seiner eigenen Verarbeitungstätigkeit nach Art. 30 Abs. 1 DSGVO bleibt der Auftraggeber verantwortlich.

14. Haftung und Verantwortlichkeit im Innenverhältnis

Für die Haftung der Parteien gelten die Regelungen des Hauptvertrags (Ziffer 8 der AGB) entsprechend, einschließlich der dort genannten Fälle unbeschränkter Haftung und des dort geregelten Höchstbetrags. Art. 82 DSGVO und die Verantwortung des Auftraggebers als Verantwortlicher gegenüber betroffenen Personen und Aufsichtsbehörden bleiben unberührt; eine Begrenzung der Ansprüche betroffener Personen ist mit diesen Regelungen nicht verbunden. Im Innenverhältnis tragen die Parteien Schadensersatzleistungen, Bußgelder und Rechtsverfolgungskosten nach ihrem jeweiligen Verantwortungsanteil.

Der Auftraggeber ist dafür verantwortlich, dass er zur Prüfung der von ihm angegebenen Websites berechtigt ist und über eine Rechtsgrundlage für die Verarbeitung der dabei anfallenden personenbezogenen Daten verfügt (Ziffer 6 der AGB). Für Schäden, die daraus entstehen, dass diese Voraussetzungen nicht vorlagen oder dass eine Weisung des Auftraggebers rechtswidrig war, ohne dass der Auftragnehmer dies erkennen konnte, haftet der Auftragnehmer nicht; der Auftraggeber stellt ihn insoweit von Ansprüchen Dritter frei.

15. Laufzeit, Kündigung und Verhältnis zum Hauptvertrag

Bestandteil dieses Vertrags sind Anlage 1 (technische und organisatorische Maßnahmen) und Anlage 2 (Unterauftragsverarbeiter) in ihrer jeweils geltenden Fassung. Bei Widersprüchen zwischen einer Anlage und diesem Vertragstext geht der Vertragstext vor.

Dieser Vertrag ist Bestandteil des Nutzungsvertrags (AGB) und beginnt mit dessen Zustandekommen. Er läuft, solange der Auftragnehmer für den Auftraggeber personenbezogene Daten im Auftrag verarbeitet. Eine gesonderte Kündigung dieses Vertrags durch den Auftragnehmer ist während dieser Zeit ausgeschlossen; die Beendigung des Nutzungsvertrags beendet zugleich diesen Vertrag. Der Auftraggeber kann diesen Vertrag jederzeit beenden, indem er die Verarbeitung im Auftrag einstellt und sein Konto löscht.

Pflichten, die über das Vertragsende hinaus fortwirken – insbesondere Ziffer 10 (Löschung und Rückgabe) und Ziffer 11 (Vertraulichkeit) – bleiben bestehen. Soweit die Verarbeitung personenbezogener Daten im Auftrag betroffen ist, gehen die Regelungen dieses Vertrags denen des Hauptvertrags vor; im Übrigen gilt der Hauptvertrag. Änderungen und Ergänzungen bedürfen der Textform. Beabsichtigte Anpassungen teilt der Auftragnehmer dem Auftraggeber mindestens 30 Tage vor dem geplanten Inkrafttreten mit; widerspricht der Auftraggeber innerhalb dieser Frist, kann jede Partei den Nutzungsvertrag zum geplanten Inkrafttreten kündigen.

Fassungen und Download

Diese Fassung trägt das oben genannte Datum. Ein Exemplar zum Ablegen steht als Download der aktuellen Fassung bereit – das ist zugleich das Exemplar in elektronischer Form nach Art. 28 Abs. 9 DSGVO. Die Anlagen 1 und 2 tragen eigene Fassungsdaten und sind darin verlinkt.

Frühere Fassungen bleiben unter eigenen Adressen abrufbar, damit eine erteilte Zustimmung belegbar bleibt:

• Fassung vom 4. September 2026 – gültig bis zum 9. September 2026