# Vertrag zur Auftragsverarbeitung (AV-Vertrag): Vorlage

**Vorlage, vor Gebrauch prüfen lassen. Das ist ein Muster, kein fertiger Vertrag und keine Rechtsberatung.**

Alle [eckigen Klammern] füllst du vor der Unterschrift aus. Lass die Vorlage einmal von einer Anwältin, einem Anwalt oder einer Datenschutzberatung lesen, bevor du sie benutzt.

Der Vertrag ist für Betriebe gedacht, die den Adieu Dienstplan auf der gemeinsamen Instanz nutzen, die die Adieu Mathieu GmbH betreibt.

---

zwischen

[Name des mitnutzenden Betriebs]
[Anschrift]

— „Verantwortlicher" —

und

Adieu Mathieu GmbH
Stubbenkammerstraße 13, 10437 Berlin

— „Auftragsverarbeiter" —

## § 1 Gegenstand und Dauer

Gegenstand dieses Vertrags ist die Verarbeitung personenbezogener Daten der Beschäftigten des Verantwortlichen durch den Auftragsverarbeiter im Rahmen der Nutzung der Software „Adieu Dienstplan" (Dienstplanung, Zeiterfassung, Urlaubsverwaltung, Lohnvorbereitung, Team Hub mit Checklisten, Vorfallbuch und Events). Die Dauer entspricht der Nutzungsdauer nach den AGB.

## § 2 Art und Zweck der Verarbeitung, Kategorien der Daten

Siehe Verzeichnis der Verarbeitungstätigkeiten (Abschnitte 3 und 6), das diesem Vertrag als Anlage 1 beiliegt.

## § 3 Kreis der Betroffenen

Beschäftigte des Verantwortlichen, die über einen persönlichen Link Daten in die Software eintragen, sowie deren Admin-/Planungs-Zugänge; dazu, soweit der Verantwortliche sie in die Software einträgt: Gäste (Torten-Bestellungen, Anfragen für Feiern und daraus entstandene Events), Ansprechpersonen bei Anbietern (Event-Unterlagen), Beteiligte und Zeugen im Vorfallbuch und die von Beschäftigten benannten Notfallkontakte.

## § 4 Pflichten des Auftragsverarbeiters

Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen (Art. 28 Abs. 3 lit. a DSGVO), es sei denn, er ist durch das Recht der Union oder der Mitgliedstaaten zur Verarbeitung verpflichtet. Er gewährleistet, dass sich zur Verarbeitung befugte Personen zur Vertraulichkeit verpflichtet haben (lit. b). Er trifft die in Anlage 2 (TOM-Anlage) beschriebenen technischen und organisatorischen Maßnahmen (lit. c). Er unterstützt den Verantwortlichen bei der Erfüllung von Betroffenenrechten und den Pflichten nach Art. 32–36 DSGVO (lit. e, f).

## § 5 Unterauftragsverarbeiter

Der Auftragsverarbeiter setzt folgende Unterauftragsverarbeiter ein:

| Unterauftragsverarbeiter | Zweck | Ort der Verarbeitung |
|---|---|---|
| Render Services, Inc. | Hosting der Anwendung und Datenbank | Frankfurt am Main, Deutschland (Mutterunternehmen USA) |
| Sendinblue SAS (Brevo) | Versand von Passwort-Zurücksetzen-E-Mails an Admin-Zugänge und an Beschäftigte mit E-Mail-Anmeldung | EU |
| Cloudflare, Inc. — (Dienst, den Render einsetzt) | vorgeschalteter Dienst vor dem Server bei Render, nimmt die Verbindung entgegen und leitet sie weiter | Einzelheiten zum Vertrag auf Anfrage (Unternehmen USA) |

Der Verantwortliche stimmt dem Einsatz dieser Unterauftragsverarbeiter mit Unterzeichnung dieses Vertrags zu. Ein Wechsel oder das Hinzufügen weiterer Unterauftragsverarbeiter wird dem Verantwortlichen mit angemessener Frist angezeigt; er kann innerhalb dieser Frist widersprechen.

## § 6 Kontrollrechte des Verantwortlichen

Der Verantwortliche hat das Recht, sich von der Einhaltung der in diesem Vertrag geregelten Pflichten des Auftragsverarbeiters zu überzeugen. Der Auftragsverarbeiter stellt hierfür auf Anfrage die einschlägigen Nachweise (u. a. diese TOM-Anlage) zur Verfügung.

## § 7 Meldung von Datenschutzverletzungen

Der Auftragsverarbeiter meldet dem Verantwortlichen jede Verletzung des Schutzes personenbezogener Daten unverzüglich, spätestens innerhalb von 48 Stunden nach Kenntnisnahme, an: [Kontakt beim Verantwortlichen einsetzen].

## § 8 Löschung und Rückgabe nach Vertragsende

Nach Beendigung der Nutzung löscht der Auftragsverarbeiter alle personenbezogenen Daten des Verantwortlichen oder gibt sie auf Wunsch heraus, sofern keine gesetzliche Pflicht zur weiteren Speicherung besteht (siehe Löschfristen im Verzeichnis der Verarbeitungstätigkeiten).

---

[Ort, Datum] · Für den Verantwortlichen: __________________
[Ort, Datum] · Für Adieu Mathieu GmbH: __________________