AV-Vertrag (Auftragsverarbeitung)

Hinweis: Diese Seite enthält ein Muster zur Vorbereitung einer Auftragsverarbeitung nach Art. 28 DSGVO. Verbindlich wird erst das mit Ihnen unterzeichnete Exemplar (mit ausgefüllter Leistungsbeschreibung). Keine Rechtsberatung und kein Zertifikat.

Druck / PDF: Nutzen Sie die Druckfunktion Ihres Browsers (Datei → Drucken → „Als PDF speichern“). Navigation und Buttons entfallen in der Druckansicht. Für ein unterschriebenes Exemplar: AV-Vertrag anfordern.

Wann brauchen Sie einen AV-Vertrag?

Wenn rainmaker multimedia personenbezogene Daten in Ihrem Auftrag verarbeitet (Sie = Verantwortlicher, wir = Auftragsverarbeiter), ist ein Vertrag nach Art. 28 DSGVO erforderlich – typisch bei:

• Website-Hosting oder Umzug auf von uns betriebene Systeme
• Wartungsvertrag mit Zugriff auf PC, Server, Website oder Netzwerk
• Fernwartung (z. B. per RustDesk)
• Betrieb der rainmaker Suite auf Ihrer WordPress-Installation (Leads, Tickets, Shop-Daten Ihres Mandanten)
• Website-Audit / Deploy / Backup mit Zugriff auf personenbezogene Inhalte

Kein AV gegenüber Website-Besuchern unserer eigenen Domain: Shop, Kontaktformulare und Kundenkonto auf rainmaker-multimedia.de – dort sind wir selbst Verantwortlicher. Details: Datenschutzerklärung.

Muster: Vertrag zur Auftragsverarbeitung

zwischen

Auftraggeber (Verantwortlicher)
[Firma / Name]
[Straße, PLZ Ort]
[E-Mail]
(nachfolgend „Auftraggeber“)

und

Auftragsverarbeiter
rainmaker multimedia – Dieter Hofmann
Voccawind 35
96126 Maroldsweisach (Ortsteil Voccawind)
E-Mail: info@rainmaker-multimedia.de
Telefon: 09532 9810866
(nachfolgend „Auftragsverarbeiter“)

§ 1 Gegenstand und Dauer

Der Auftragsverarbeiter verarbeitet personenbezogene Daten im Auftrag des Auftraggebers im Rahmen der vereinbarten Leistung:

[Leistungsbeschreibung einfügen – z. B. Website-Hosting, Wartungsvertrag Nr. …, Suite-Betrieb, Audit-Projekt …]

Dieser Vertrag gilt für die Dauer der zugrunde liegenden Hauptleistung und endet mit deren Beendigung, sofern nicht etwas anderes vereinbart ist. Pflichten zur Löschung bzw. Rückgabe bleiben davon unberührt.

§ 2 Art und Zweck der Verarbeitung, Datenarten, Betroffene

Zweck und Umfang richten sich nach der Leistungsbeschreibung. Typischerweise können betroffen sein:

• Datenarten: Stammdaten, Kontaktdaten, Kommunikationsinhalte, Nutzungs-/Logdaten, Vertrags- und Abrechnungsdaten, Zugangsdaten (soweit zur Leistung erforderlich), Inhalte aus Websites/Systemen des Auftraggebers
• Betroffene: Kunden, Interessenten, Beschäftigte und sonstige Personen, deren Daten der Auftraggeber in den beauftragten Systemen führt

Eine Verarbeitung zu eigenen Zwecken des Auftragsverarbeiters findet nicht statt, soweit gesetzlich nichts anderes gilt.

§ 3 Weisungen

Der Auftragsverarbeiter verarbeitet personenbezogene Daten nur auf dokumentierte Weisung des Auftraggebers, einschließlich in Bezug auf die Übermittlung personenbezogener Daten an ein Drittland oder eine internationale Organisation – es sei denn, er ist nach dem Recht der Union oder der Mitgliedstaaten hierzu verpflichtet. Weisungen erfolgen in der Regel schriftlich oder in Textform (E-Mail). Der Auftragsverarbeiter informiert den Auftraggeber unverzüglich, wenn er der Auffassung ist, dass eine Weisung gegen die DSGVO oder andere Datenschutzvorschriften der Union oder der Mitgliedstaaten verstößt.

§ 4 Sicherheit der Verarbeitung (TOM)

Der Auftragsverarbeiter trifft geeignete technische und organisatorische Maßnahmen gemäß Art. 32 DSGVO. Die aktuellen Maßnahmen ergeben sich aus Anlage A (TOM). Der Auftragsverarbeiter darf die TOM fortentwickeln, sofern das Schutzniveau nicht absinkt.

§ 5 Unterauftragsverarbeitung (Subprozessoren)

Der Auftraggeber erteilt die allgemeine Genehmigung zur Einschaltung der in Anlage B genannten Subprozessoren. Der Auftragsverarbeiter informiert den Auftraggeber über beabsichtigte Änderungen (Hinzufügen oder Ersetzen) und gibt dem Auftraggeber die Möglichkeit, Einspruch zu erheben. Mit Subprozessoren werden datenschutzrechtlich erforderliche Vereinbarungen geschlossen.

§ 6 Unterstützung bei Betroffenenrechten und Pflichten

Unter Berücksichtigung der Art der Verarbeitung unterstützt der Auftragsverarbeiter den Auftraggeber mit geeigneten technischen und organisatorischen Maßnahmen bei der Erfüllung der Betroffenenrechte (Art. 15–22 DSGVO) sowie – soweit möglich – bei den Pflichten aus Art. 32–36 DSGVO (Sicherheit, Meldung von Verletzungen, Datenschutz-Folgenabschätzung, vorherige Konsultation).

§ 7 Meldepflicht bei Datenschutzverletzungen

Der Auftragsverarbeiter meldet dem Auftraggeber unverzüglich nach Bekanntwerden Verletzungen des Schutzes personenbezogener Daten und stellt die für die Meldung erforderlichen Informationen zur Verfügung, soweit sie ihm vorliegen.

§ 8 Kontrollrechte

Der Auftragsverarbeiter stellt dem Auftraggeber alle erforderlichen Informationen zum Nachweis der Einhaltung der in Art. 28 DSGVO niedergelegten Pflichten zur Verfügung und ermöglicht Überprüfungen – einschließlich Inspektionen –, die vom Auftraggeber oder einem von diesem beauftragten Prüfer durchgeführt werden. Termine werden einvernehmlich vereinbart; Betriebs- und Geschäftsgeheimnisse sowie Rechte Dritter bleiben gewahrt.

§ 9 Löschung und Rückgabe

Nach Abschluss der Erbringung der Verarbeitungsleistungen löscht der Auftragsverarbeiter alle personenbezogenen Daten oder gibt sie nach Wahl des Auftraggebers zurück – soweit nicht eine gesetzliche Aufbewahrungspflicht entgegensteht. Vorhandene Kopien werden ebenfalls gelöscht, soweit rechtlich zulässig.

§ 10 Vertraulichkeit

Personen, die Zugang zu personenbezogenen Daten haben, sind zur Vertraulichkeit verpflichtet bzw. unterliegen einer angemessenen gesetzlichen Verschwiegenheitspflicht.

§ 11 Haftung

Die Haftung richtet sich nach den gesetzlichen Vorschriften (insbesondere Art. 82 DSGVO) und – soweit anwendbar – nach der zugrunde liegenden Hauptvereinbarung bzw. den AGB.

§ 12 Schlussbestimmungen

Es gilt das Recht der Bundesrepublik Deutschland. Änderungen und Ergänzungen bedürfen der Textform. Sollten einzelne Bestimmungen unwirksam sein, bleibt die Wirksamkeit der übrigen unberührt. Anlagen A und B sind Bestandteil dieses Vertrags.

Ort, Datum: ____________________    Auftraggeber: ____________________    Auftragsverarbeiter: ____________________

Anlage A – Technische und organisatorische Maßnahmen (TOM)

Stand: 31. Juli 2026. Maßnahmen eines Einzelbetriebs – ohne Pseudo-Zertifikate. Das Schutzniveau wird dem Risiko der jeweiligen Leistung angepasst.

• Zugangskontrolle: personenbezogene Zugänge, starke Passwörter / wo möglich Mehrfaktor, keine Weitergabe von Zugangsdaten
• Zugriffskontrolle: Zugriff nur soweit für die beauftragte Leistung erforderlich; getrennte Kundenkontexte
• Weitergabekontrolle: verschlüsselte Verbindungen (HTTPS/SSH) für Verwaltung und Fernwartung; Versand vertraulicher Daten nach Möglichkeit verschlüsselt
• Eingabekontrolle: nachvollziehbare Änderungen in Systemen, soweit technisch vorgesehen (Logs, Ticket-/Projektnotizen)
• Verfügbarkeit: regelmäßige Backups der betriebenen Systeme; Wiederherstellung nach Vereinbarung
• Trennung: Trennung von Entwicklungs-/Test- und Produktivdaten, soweit praktikabel
• Fernwartung: nur nach Vereinbarung (z. B. RustDesk); Sitzungen werden beendet, wenn die Arbeit erledigt ist
• Organisation: Vertraulichkeitspflicht; Datenschutz durch Technikgestaltung und datenschutzfreundliche Voreinstellungen nach Möglichkeit

Anlage B – Subprozessoren

Stand: 31. Juli 2026. Änderungen werden dem Auftraggeber mitgeteilt (siehe § 5).

Subprozessor / Rolle	Zweck	Ort
Deutscher Hosting-Anbieter (Rechenzentrum DE) – Name wird im unterzeichneten Exemplar bzw. bei Leistungsbeginn konkretisiert	Server-/Website-Hosting, Backups	Deutschland
E-Mail-Zustellung (eigener Mailserver bzw. vom Hoster bereitgestellter Mail-Dienst)	Betriebliche Kommunikation im Auftrag	Deutschland / EU
RustDesk (Fernwartung) – sofern beauftragt	Fernzugriff zur Fehlerbehebung / Wartung	nach Konfiguration; bevorzugt selbst gehostet / EU

OpenStreetMap-Kacheln und vergleichbare reine Infrastrukturdienste der eigenen rainmaker-Website betreffen nicht die Auftragsverarbeitung für den Auftraggeber.

Unterzeichnetes Exemplar

Bitte nennen Sie im Kontakt die geplante Leistung (Hosting, Wartung, Suite, Audit …) und Ihre Firmendaten. Wir senden ein ausgefülltes Exemplar zur Unterzeichnung.

Stand: 31. Juli 2026