Anlage zu den AGB: Auftragsverarbeitungs-Vertrag (AVV)

Präambel

Diese Anlage ist Bestandteil der Allgemeinen Geschäftsbedingungen (B2B) der Strandschicht GmbH. Mit Annahme der AGB kommt zugleich der folgende Auftragsverarbeitungsvertrag zustande. Die Kategorien personenbezogener Daten und betroffener Personen ergeben sich aus § 1; ein personalisiertes Vertragsexemplar als PDF steht jedem Kunden jederzeit im Kundenportal zur Verfügung.

Der Auftragnehmer verarbeitet personenbezogene Daten im Auftrag des Auftraggebers im Sinne von Art. 4 Nr. 2 und Art. 28 DSGVO. Dieser Vertrag konkretisiert die datenschutzrechtlichen Rechte und Pflichten der Parteien im Zusammenhang mit der Verarbeitung personenbezogener Daten im Rahmen der vereinbarten Leistungen.

§ 1 Gegenstand und Dauer des Auftrags

Gegenstand des Auftrags ist die Verarbeitung personenbezogener Daten durch den Auftragnehmer im Zusammenhang mit den zwischen den Parteien vereinbarten Assistenz-, Support-, Koordinations-, Dokumentations- und sonstigen Dienstleistungen.

Art und Zweck der Verarbeitung umfassen insbesondere organisatorische, administrative, kommunikative und dokumentationsbezogene Unterstützungsleistungen im Rahmen der jeweiligen Hauptleistungsvereinbarung.

Die verarbeiteten Kategorien personenbezogener Daten sowie die Kategorien betroffener Personen ergeben sich aus der Auswahl des Auftraggebers auf dem Deckblatt dieses Vertrags.

Die Dauer dieses Auftrags entspricht der Laufzeit der zugrunde liegenden Leistungsvereinbarung(en).

§ 2 Weisungsgebundenheit und Verantwortlichkeit

Der Auftraggeber ist für die Rechtmäßigkeit der Verarbeitung, insbesondere für das Vorliegen einer Rechtsgrundlage gemäß Art. 6 DSGVO sowie für die Wahrung der Rechte betroffener Personen verantwortlich.

Der Auftragnehmer verarbeitet personenbezogene Daten ausschließlich im Rahmen dieses Vertrages sowie auf dokumentierte Weisung des Auftraggebers, soweit keine gesetzliche Verpflichtung zur Verarbeitung besteht.

Mündliche Weisungen sind vom Auftraggeber unverzüglich in Textform zu bestätigen.

Hält der Auftragnehmer eine Weisung des Auftraggebers für datenschutzrechtlich unzulässig, wird er den Auftraggeber hierauf unverzüglich hinweisen. Bis zur Bestätigung oder Änderung der Weisung ist der Auftragnehmer berechtigt, die betreffende Verarbeitung auszusetzen.

§ 3 Ort der Verarbeitung / Drittland

Die Verarbeitung erfolgt grundsätzlich innerhalb der Europäischen Union (EU) oder des Europäischen Wirtschaftsraums (EWR).

Eine Verarbeitung in Drittstaaten außerhalb von EU/EWR ist zulässig, sofern hierfür die Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind, insbesondere durch einen Angemessenheitsbeschluss oder den Abschluss geeigneter Garantien, z. B. EU-Standardvertragsklauseln.

Der Auftraggeber stimmt zu, dass der Auftragnehmer im Rahmen eines datenschutzkonformen Setups auch eingesetzte virtuelle Assistenzen oder Unterauftragnehmer außerhalb von EU/EWR einsetzen darf, sofern die gesetzlichen Voraussetzungen für internationale Datenübermittlungen eingehalten werden und der Auftraggeber hierüber vor oder spätestens mit Einsatz informiert wird.

§ 4 Pflichten des Auftragnehmers

Der Auftragnehmer verpflichtet sich, personenbezogene Daten nur im Rahmen dieses Vertrages und dokumentierter Weisungen zu verarbeiten, die Vertraulichkeit der Daten zu wahren, nur Personen mit Datenzugang einzusetzen, die auf Vertraulichkeit verpflichtet und in Datenschutzfragen angemessen unterwiesen sind, den Auftraggeber unverzüglich über Datenschutzverletzungen oder entsprechende Verdachtsfälle zu informieren, sowie den Auftraggeber im gesetzlich erforderlichen Umfang bei der Erfüllung von Betroffenenrechten sowie bei Melde- und Mitwirkungspflichten nach Art. 32 bis 36 DSGVO zu unterstützen.

Soweit Unterstützungsleistungen des Auftragnehmers nicht durch ein Fehlverhalten des Auftragnehmers veranlasst sind und über die gewöhnliche Mitwirkungspflicht hinausgehen, kann der Auftragnehmer hierfür eine angemessene Vergütung verlangen.

§ 5 Technische und organisatorische Maßnahmen (TOMs)

Der Auftragnehmer trifft angemessene technische und organisatorische Maßnahmen gemäß Art. 32 DSGVO zum Schutz der verarbeiteten personenbezogenen Daten.

Dazu gehören insbesondere Maßnahmen zur Zugangskontrolle, Zugriffskontrolle, Vertraulichkeit, sicheren Kommunikation, Vermeidung unnötiger lokaler Datenspeicherung, Nutzung sicherer Passwörter und – soweit technisch möglich – Zwei-Faktor-Authentifizierung, sowie Regelungen zu Vorfallsmeldung, Löschung und Offboarding.

Der Auftragnehmer ist berechtigt, seine technischen und organisatorischen Maßnahmen weiterzuentwickeln und anzupassen, sofern das vertraglich vereinbarte Datenschutzniveau nicht unterschritten wird.

Die wesentlichen technischen und organisatorischen Maßnahmen sind in Anlage A (TOMs) beschrieben, die Bestandteil dieses Vertrages ist. Eine jeweils aktuelle Fassung stellt der Auftragnehmer dem Auftraggeber auf Anfrage in geeigneter Form zur Verfügung.

§ 6 Unterauftragnehmer

Der Auftraggeber stimmt dem Einsatz von Unterauftragnehmern und eingesetzten virtuellen Assistenzen grundsätzlich zu, soweit diese zur Leistungserbringung erforderlich sind und vertraglich mindestens in gleichem Umfang auf Datenschutz- und Vertraulichkeitspflichten verpflichtet werden, wie der Auftragnehmer nach diesem Vertrag. Die zum Zeitpunkt des Vertragsschlusses eingesetzten Unterauftragnehmer sind in Anlage B (Übersicht der Unterauftragsverarbeiter) aufgeführt, die Bestandteil dieses Vertrages ist.

Der Auftragnehmer darf weitere Unterauftragnehmer einsetzen oder bestehende Unterauftragnehmer austauschen. Er informiert den Auftraggeber hierüber vorab in Textform und gibt ihm damit Gelegenheit, gegen die Änderung Einspruch zu erheben. Widerspricht der Auftraggeber der Änderung nicht innerhalb von 14 Tagen nach Zugang der Information aus wichtigem datenschutzrechtlichem Grund in Textform, gilt die Änderung als genehmigt. Im Fall eines Widerspruchs bemühen sich die Parteien um eine einvernehmliche Lösung; kommt eine solche nicht zustande, ist jede Partei berechtigt, die betroffene Leistungsvereinbarung mit angemessener Frist zu kündigen. Ausgenommen ist der kurzfristige Wechsel der eingesetzten virtuellen Assistenz in Vertretungsfällen (z. B. Krankheit oder Ausfall); hierüber informiert der Auftragnehmer den Auftraggeber unverzüglich.

Keine Unterauftragnehmer im Sinne dieses Vertrages sind bloße Nebenleistungen, insbesondere Telekommunikationsleistungen, Hosting, Wartung, E-Mail-, Cloud- oder vergleichbare Infrastrukturdienste, sofern diese nicht unmittelbar die Hauptleistung der Auftragsverarbeitung gegenüber dem Auftraggeber prägen. Ungeachtet dessen stellt der Auftragnehmer sicher, dass auch bei solchen Dienstleistern angemessene datenschutzrechtliche Schutzmaßnahmen bestehen.

Soweit Unterauftragnehmer oder eingesetzte Assistenzen in Drittstaaten tätig werden, stellt der Auftragnehmer sicher, dass die gesetzlichen Voraussetzungen der Art. 44 ff. DSGVO eingehalten werden.

§ 7 Kontrollrechte / Nachweise

Der Auftragnehmer weist dem Auftraggeber auf Anfrage in geeigneter Weise nach, dass die datenschutzrechtlichen Verpflichtungen aus diesem Vertrag eingehalten werden. Der Nachweis kann insbesondere durch TOM-Beschreibungen, Selbstauskünfte, Schulungsnachweise, Compliance-Bestätigungen, Zertifikate, Auditberichte oder vergleichbare Unterlagen erfolgen.

Vor-Ort-Kontrollen sind nur zulässig, soweit sie im Einzelfall aus datenschutzrechtlich berechtigtem Anlass erforderlich sind, der Auftragnehmer hierüber mit angemessener Frist vorab informiert wurde und die Kontrolle den Geschäftsbetrieb nicht unangemessen beeinträchtigt. Vorrangig sind Dokumentenprüfung und Remote-Nachweise zu nutzen.

Eigene Kosten des Auftragnehmers im Zusammenhang mit außergewöhnlichen Prüfungs- oder Nachweisaufwänden kann der Auftragnehmer dem Auftraggeber in angemessenem Umfang in Rechnung stellen, soweit diese nicht auf einem vom Auftragnehmer zu vertretenden Verstoß beruhen.

§ 8 Berichtigung, Löschung, Einschränkung, Rückgabe

Der Auftragnehmer wird personenbezogene Daten nur auf dokumentierte Weisung des Auftraggebers berichtigen, löschen oder in der Verarbeitung einschränken, soweit keine gesetzliche Verpflichtung entgegensteht.

Nach Beendigung der zugrunde liegenden Leistungsvereinbarung oder auf Weisung des Auftraggebers hat der Auftragnehmer alle personenbezogenen Daten sowie etwaige Kopien nach Wahl des Auftraggebers zurückzugeben oder datenschutzgerecht zu löschen, soweit keine gesetzlichen Aufbewahrungspflichten entgegenstehen.

Dokumentationen, die dem Nachweis der ordnungsgemäßen Verarbeitung dienen, darf der Auftragnehmer entsprechend gesetzlicher oder handelsrechtlicher Aufbewahrungspflichten aufbewahren.

§ 9 Mitteilung bei Datenschutzvorfällen

Der Auftragnehmer meldet dem Auftraggeber Datenschutzverletzungen oder konkrete Verdachtsfälle unverzüglich nach Kenntniserlangung.

Die Meldung enthält, soweit zu diesem Zeitpunkt möglich, die Art des Vorfalls, die betroffenen Datenkategorien, den bekannten oder wahrscheinlichen Umfang des Vorfalls sowie die bereits ergriffenen oder vorgeschlagenen Gegenmaßnahmen.

§ 10 Haftung

Die Parteien haften nach den gesetzlichen Vorschriften, insbesondere gemäß Art. 82 DSGVO.

Eine weitergehende verschuldensunabhängige Haftung des Auftragnehmers wird nicht begründet.

Soweit gesetzlich zulässig, ist die Haftung des Auftragnehmers aus oder im Zusammenhang mit diesem Vertrag für einfache Fahrlässigkeit auf drei Monatsvergütungen aus dem jeweiligen Vertragsverhältnis begrenzt. Die Haftung bei Vorsatz, grober Fahrlässigkeit sowie bei zwingender gesetzlicher Haftung bleibt unberührt.

§ 11 Schlussbestimmungen

Änderungen und Ergänzungen dieses Vertrages bedürfen mindestens der Textform.

Sollten einzelne Bestimmungen dieses Vertrages ganz oder teilweise unwirksam sein oder werden, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt.

Bei Widersprüchen zwischen diesem AVV und der zugrunde liegenden Leistungsvereinbarung gehen die Regelungen dieses AVV hinsichtlich des Datenschutzes vor.

Es gilt deutsches Recht. Gerichtsstand ist, soweit rechtlich zulässig, der Sitz des Auftragnehmers.

Anlage A – Technische und organisatorische Maßnahmen (Stand 11/2025)

1. Vertraulichkeit

• Zutrittskontrolle: Arbeit ausschließlich in privaten, kontrollierten Räumen; keine Arbeit an öffentlich einsehbaren Orten (Café, Bahn etc.) außer mit vollständigem Sichtschutz; Geräte werden nie unbeaufsichtigt gelassen und sind mit Passwort, PIN oder biometrischer Sperre gesichert.
• Zugangskontrolle: Individuelle Benutzerkonten für alle Systeme und Tools; verpflichtende Nutzung eines Passwortmanagers; Mindeststandard für Passwörter: 12 Zeichen oder automatisch generiert; Zwei-Faktor-Authentifizierung überall, wo technisch möglich; keine Weitergabe von Zugangsdaten außerhalb sicherer Passwortfreigaben.
• Zugriffskontrolle: Zugriff nach dem Need-to-know-Prinzip; keine dauerhafte lokale Speicherung von Kundendaten; temporäre Dateien werden nach Bearbeitung vollständig gelöscht; Nutzung von Kundensystemen (Drive, CRM, PM-Tools) statt lokaler Datenhaltung.
• Weitergabekontrolle: Datenübertragung ausschließlich über verschlüsselte Kanäle (HTTPS, TLS); keine Übermittlung sensibler Daten über private Chat-Apps; Nutzung nur von Tools, die vom Kunden oder Strandschicht freigegeben wurden.

2. Integrität

• Eingabekontrolle: Nutzung protokollierender Systeme (CRM, Ticketsysteme, PM-Tools); Dokumentation von Aufgaben, Zeiten und Änderungen.
• Änderungs- und Löschkontrolle: Änderungen ausschließlich auf Anweisung; Nutzung von Versionierung, wenn ermöglicht; Löschung nur gemäß Kundenanweisung.

3. Verfügbarkeit & Belastbarkeit

• Verfügbarkeitskontrolle: Nutzung sicherer, etablierter Cloud-Dienste; Festplattenverschlüsselung auf allen Endgeräten; regelmäßige Software- und Sicherheitsupdates; aktive Firewall und aktueller Virenschutz.
• Wiederherstellbarkeit: Backups ausschließlich in Kundensystemen; keine lokalen oder privaten Backups; Strandschicht und Kunden verantworten das Backup ihrer jeweiligen Systeme.

4. Überprüfung, Bewertung & Evaluierung

• Datenschutzmanagement: Jährliche Compliance-Selbstauskunft aller VAs; max. zwei geplante Remote-Audits pro Jahr; Teilnahme an anlassbezogenen Audits bei Verdachtsfällen; Pflicht zur sofortigen Meldung von Datenschutzvorfällen (max. 24 Stunden).
• Umgang mit Verdachtsfällen: Meldung an info@strandschicht.de, team@strandschicht.de und thomas.jakel@strandschicht.de; Erstellung eines Incident-Berichts; Benachrichtigung der Kunden durch Strandschicht.
• Privacy by Default: Tools nur mit maximalen Sicherheitseinstellungen; minimale Datenerhebung, -speicherung und -weitergabe; keine unnötigen Downloads oder Kopien.
• Auftragskontrolle: Aufgaben und Verarbeitungsschritte dokumentieren; keine Nutzung von Kundendaten für private Zwecke oder andere Kunden.

5. Ergänzende organisatorische Maßnahmen

• Schulung & Verpflichtung: Jährliche Datenschutz-Unterweisung für alle VAs; schriftliche Bestätigung der Einhaltung aller Regeln.
• Subunternehmerkontrolle: Subunternehmer nur nach Genehmigung; Ausnahme: Micro-Outsourcing (<2h) ohne personenbezogene Daten; strikte Weitergabe der TOMs, falls Subunternehmer eingesetzt werden.
• Offboarding: Sofortige Löschung aller Daten auf dem Gerät der VA; Entzug aller Zugänge durch Strandschicht; schriftliche Bestätigung über vollständige Löschung.

Anlage B – Übersicht der Unterauftragsverarbeiter (Stand Juli 2026)

Diese Übersicht benennt die Unterauftragsverarbeiter, die Strandschicht bei der Verarbeitung personenbezogener Daten im Auftrag des Kunden gemäß Art. 28 DSGVO einsetzt. Sie umfasst ausschließlich Dienstleister, die im Rahmen der Auftragsverarbeitung mit personenbezogenen Daten des Kunden in Berührung kommen können.

Alle Unterauftragsverarbeiter sind vertraglich mindestens im gleichen Umfang auf Datenschutz- und Vertraulichkeitspflichten verpflichtet, wie sie Strandschicht gegenüber dem Kunden treffen. Bei einer Verarbeitung außerhalb der EU bzw. des EWR stellt Strandschicht die Einhaltung der Art. 44 ff. DSGVO sicher, insbesondere durch EU-Standardvertragsklauseln (SCCs) oder einen Angemessenheitsbeschluss (z. B. EU-U.S. Data Privacy Framework).

Nicht Gegenstand dieser Übersicht sind Tools und Systeme, die der Kunde selbst bereitstellt und in denen die eingesetzte Assistenz im Auftrag des Kunden arbeitet. Die konkret eingesetzte Assistenz wird dem Kunden im Rahmen des Matchings namentlich und mit Angabe des Tätigkeitslandes benannt.

• Eingesetzte virtuelle Assistenz (wird beim Matching benannt) · Land wird beim Matching benannt · Zweck: Erbringung der vereinbarten Assistenzleistungen (Kommunikation, Recherche, Dokumentation, administrative Aufgaben) · Grundlage: Innerhalb EU/EWR: keine erforderlich. Drittland: EU-Standardvertragsklauseln, ergänzt um vertragliche TOMs
• Remote Workers SRL · Satu Mare, Rumänien (EU) · Zweck: Beschäftigungsträger einzelner eingesetzter Assistenzen; Verarbeitung im Rahmen der Leistungserbringung · Grundlage: Verarbeitung innerhalb der EU; keine Drittlandübermittlung
• Google Ireland Ltd. (Google Workspace) · Irland (EU); Konzernmutter: Google LLC, USA · Zweck: Zusammenarbeit an Dokumenten, Dateiablage sowie Kalender- und Terminorganisation · Grundlage: Cloud Data Processing Addendum inkl. EU-Standardvertragsklauseln; EU-U.S. Data Privacy Framework
• Bitrix24 (Alaio) · EU-Hosting: AWS Frankfurt, Deutschland · Zweck: Interne Koordination und Kommunikation zwischen Strandschicht und den eingesetzten Assistenzen · Grundlage: Data Processing Agreement; bei US-Teilservices EU-Standardvertragsklauseln bzw. EU-U.S. Data Privacy Framework
• Freshworks Inc. (Freshdesk) · EU-Rechenzentrum (EWR) · Zweck: Support- und Ticketkommunikation · Grundlage: Data Processing Addendum inkl. EU-Standardvertragsklauseln
• Host Europe GmbH · Deutschland · Zweck: E-Mail-Hosting; Abwicklung der auftragsbezogenen E-Mail-Kommunikation · Grundlage: Verarbeitung in Rechenzentren in Deutschland; AVV nach Art. 28 DSGVO
• Hetzner Online GmbH · Deutschland (Sitz); Rechenzentrum: Helsinki, Finnland (EU/EWR) · Zweck: Hosting der selbst betriebenen Kommunikationsplattform (Mattermost) für die interne Koordination · Grundlage: Auftragsverarbeitungsvertrag nach Art. 28 DSGVO
• Mistral AI SAS · Paris, Frankreich (EU); Hosting: Europäische Union (La Plateforme) · Zweck: KI-gestützte Text- und Datenverarbeitung im Rahmen der Leistungserbringung (z. B. Entwürfe, Zusammenfassungen, Recherche-Unterstützung) · Grundlage: Data Processing Addendum (Bestandteil der Nutzungsbedingungen); Verarbeitung in der EU; bei etwaigen Drittlandübermittlungen EU-Standardvertragsklauseln
• Anthropic PBC (Claude) · San Francisco, USA; alternativ Bereitstellung über AWS-Rechenzentren in der EU (Frankfurt, eu-central-1) · Zweck: KI-gestützte Text- und Datenverarbeitung im Rahmen der Leistungserbringung (z. B. Entwürfe, Zusammenfassungen, Recherche-Unterstützung) · Grundlage: Data Processing Addendum inkl. EU-Standardvertragsklauseln; kein Training auf Geschäftsdaten; bei Bereitstellung über AWS eu-central-1 Verarbeitung innerhalb der EU (AWS-Auftragsverarbeitungsvertrag)