Stall-TabulumStall-Tabulum

Auftragsverarbeitungsvertrag (AVV)

Vertragsparteien

Verantwortlicher / Kunde

[Firmenname, Rechtsform, Anschrift und Vertretung aus dem Kundenkonto]

Auftragsverarbeiter

mfa Immobilien-Services GbR, Marke mfa Isselburg, Maylin & Alexander Fröhlich, Grenzweg 3, 46419 Isselburg

Bezug

Nutzungsvertrag über Stall Tabulum

1. Gegenstand, Dauer, Art und Zweck

  • Der Auftragsverarbeiter verarbeitet personenbezogene Daten im Auftrag des Verantwortlichen, soweit der Verantwortliche Daten seiner Einsteller, Reitschüler, Mitarbeiter, Vertragspartner oder sonstiger Personen in Stall Tabulum eingibt oder verarbeiten lässt.
  • Die Verarbeitung umfasst insbesondere Erheben, Erfassen, Ordnen, Speichern, Anzeigen, Verknüpfen, Berechnen, Bereitstellen, Exportieren, Einschränken und Löschen innerhalb der gebuchten Plattformfunktionen.
  • Zweck ist die technische Bereitstellung der gebuchten Verwaltungsfunktionen, insbesondere Vertrags-, Stall-, Pferde-, Unterrichts-, Leistungs-, Sollstellungs- und Dokumentfunktionen.
  • Die Vereinbarung gilt für die Dauer des Nutzungsvertrags sowie für den vereinbarten 90-tägigen Übergangszeitraum zur Datenbereitstellung und Löschung.

2. Datenarten und Kategorien betroffener Personen

Verarbeitete Datenarten können insbesondere sein:

  • Stamm-, Kontakt- und Adressdaten;
  • Vertrags-, Leistungs-, Termin- und Abrechnungsdaten;
  • Sollstellungen und erwartete Einnahmen;
  • Zugangsdaten, Nutzerkennungen und Protokolldaten;
  • Pferde-, Haltungs- und betriebliche Zuordnungsdaten, soweit diese einer Person zugeordnet sind;
  • Freitextnotizen und Dokumentinhalte.

Betroffene Personen können insbesondere Einsteller, Pferdeeigentümer, Reitschüler, minderjährige Teilnehmer, gesetzliche Vertreter, Mitarbeiter, freie Kräfte, Dienstleister, Lieferanten und sonstige Vertragspartner des Verantwortlichen sein.

3. Weisungsbindung

  • Der Auftragsverarbeiter verarbeitet die Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen, soweit keine gesetzliche Verpflichtung zu einer abweichenden Verarbeitung besteht.
  • Die Nutzung der Plattformfunktionen und die Einstellungen des Verantwortlichen gelten als dokumentierte Weisungen. Zusätzliche Weisungen können in Textform erteilt werden.
  • Hält der Auftragsverarbeiter eine Weisung für datenschutzwidrig, informiert er den Verantwortlichen unverzüglich und kann die Ausführung bis zur Klärung aussetzen.

4. Pflichten des Verantwortlichen

  • Der Verantwortliche gewährleistet die Rechtmäßigkeit der Datenverarbeitung, die Zulässigkeit der Weisungen und die Erfüllung der Informationspflichten gegenüber den betroffenen Personen.
  • Er verarbeitet nur erforderliche Daten, hält diese richtig und aktuell und richtet Zugriffsrechte angemessen ein.
  • Er informiert den Auftragsverarbeiter unverzüglich über Fehler, Datenschutzverletzungen oder Besonderheiten, die für die Auftragsverarbeitung relevant sind.

5. Vertraulichkeit und Personal

  • Der Auftragsverarbeiter setzt nur Personen ein, die auf Vertraulichkeit verpflichtet und hinsichtlich der datenschutzrechtlichen Anforderungen angemessen unterwiesen wurden.
  • Zugriffe auf Auftragsdaten erfolgen nur, soweit sie für Betrieb, Support, Sicherheit oder Fehlerbehebung erforderlich sind.

6. Technische und organisatorische Maßnahmen

  • Der Auftragsverarbeiter trifft unter Berücksichtigung des Stands der Technik, der Implementierungskosten und des Risikos geeignete technische und organisatorische Maßnahmen nach Art. 32 DSGVO.
  • Die initial vereinbarten Maßnahmen ergeben sich aus Anlage 2. Der Auftragsverarbeiter darf Maßnahmen weiterentwickeln, sofern das vereinbarte Schutzniveau nicht unterschritten wird.

7. Unterauftragsverarbeiter

  • Der Verantwortliche erteilt eine allgemeine Genehmigung zur Beauftragung der in Anlage 1 genannten Unterauftragsverarbeiter.
  • Der Auftragsverarbeiter informiert über beabsichtigte wesentliche Änderungen. Der Verantwortliche kann aus wichtigem datenschutzrechtlichem Grund widersprechen. Können die Parteien keine zumutbare Lösung finden, kann der betroffene Dienst nach Maßgabe des Hauptvertrags beendet werden.
  • Der Auftragsverarbeiter verpflichtet Unterauftragsverarbeiter auf Datenschutzpflichten, die den Anforderungen dieser Vereinbarung entsprechen.

8. Unterstützung des Verantwortlichen

  • Der Auftragsverarbeiter unterstützt den Verantwortlichen im Rahmen der verfügbaren Informationen und der Art der Verarbeitung bei der Bearbeitung von Betroffenenrechten sowie bei Pflichten nach Art. 32 bis 36 DSGVO.
  • Anfragen betroffener Personen, die sich erkennbar auf Auftragsdaten beziehen, werden an den Verantwortlichen weitergeleitet, sofern keine unmittelbare Beantwortung rechtlich geboten ist.
  • Zusätzlicher Aufwand, der über die üblichen Plattformleistungen hinausgeht und nicht durch ein Verschulden des Auftragsverarbeiters verursacht wurde, kann nach vorheriger Abstimmung angemessen vergütet werden.

9. Datenschutzverletzungen

  • Der Auftragsverarbeiter informiert den Verantwortlichen unverzüglich, nachdem ihm eine Verletzung des Schutzes der Auftragsdaten bekannt geworden ist.
  • Die Mitteilung enthält, soweit verfügbar, Art und Umfang des Vorfalls, betroffene Daten und Personen, wahrscheinliche Folgen sowie ergriffene oder vorgeschlagene Maßnahmen.

10. Nachweise und Kontrollen

  • Der Auftragsverarbeiter stellt dem Verantwortlichen die zur Prüfung der Einhaltung von Art. 28 DSGVO erforderlichen Informationen in angemessenem Umfang zur Verfügung.
  • Kontrollen sollen vorrangig durch geeignete Nachweise, Zertifikate, Dokumentationen oder schriftliche Auskünfte erfolgen. Vor-Ort-Kontrollen sind mit angemessener Vorankündigung, während üblicher Geschäftszeiten und unter Wahrung der Rechte anderer Kunden möglich, wenn ein konkreter Anlass besteht oder andere Nachweise nicht ausreichen.
  • Der Verantwortliche trägt die Kosten einer Kontrolle, soweit sie nicht durch einen nachgewiesenen Verstoß des Auftragsverarbeiters veranlasst wurde.

11. Rückgabe und Löschung

  • Nach Ende des Hauptvertrags stellt der Auftragsverarbeiter die Daten für grundsätzlich 90 Tage über die vorgesehenen Export- oder Downloadmöglichkeiten bereit.
  • Nach Ablauf dieses Zeitraums löscht oder anonymisiert der Auftragsverarbeiter die Auftragsdaten und vorhandene Kopien, soweit keine gesetzliche Pflicht zur weiteren Speicherung besteht.
  • Sicherungsbestände können bis zum turnusmäßigen Überschreiben fortbestehen; sie werden in dieser Zeit nicht produktiv genutzt und bleiben geschützt.

12. Haftung und Schlussbestimmungen

Für die Haftung gelten Art. 82 DSGVO und ergänzend die Haftungsregelungen des Hauptvertrags, soweit diese mit zwingendem Datenschutzrecht vereinbar sind. Im Übrigen gelten die Schlussbestimmungen des Hauptvertrags.

Anlage 1 - Genehmigte Unterauftragsverarbeiter

Unternehmen

Leistung

Ort der Verarbeitung

Datenkategorien

STRATO GmbH, Otto-Ostrowski-Straße 7, 10249 Berlin

Hosting, Server, Datenbank, E-Mail, Backup-Infrastruktur

Deutschland

sämtliche im Portal und in der Kommunikation verarbeiteten Daten, soweit technisch erforderlich

Anlage 2 - Initiale technische und organisatorische Maßnahmen

Maßnahmenbereich

Beschreibung

Zutrittskontrolle

Betrieb in Rechenzentren des Hostinganbieters; physische Schutzmaßnahmen nach dessen Sicherheitskonzept und AVV.

Zugangskontrolle

Zugriff auf das Portal nur über Benutzerkonto und Authentifizierung; administrative Zugänge werden auf erforderliche Personen beschränkt.

Zugriffskontrolle

Rollen- und Berechtigungskonzept nach dem Funktionsumfang; Zugriffe auf Kundendaten nur für Betrieb, Support, Sicherheit oder Fehlerbehebung.

Übertragungskontrolle

Verschlüsselte Übertragung über HTTPS/TLS; E-Mail-Übertragung nach den technischen Möglichkeiten des Maildienstes.

Trennungskontrolle

Logische Trennung der Kundenkonten und Zuordnung von Datensätzen zum jeweiligen Mandantenkonto.

Verfügbarkeitskontrolle

Hosting- und Backup-Maßnahmen des Hostinganbieters; regelmäßige Systempflege und Sicherheitsaktualisierungen.

Eingabekontrolle

Technische Protokollierung sicherheitsrelevanter Vorgänge, soweit im System implementiert; Kunden sind für die inhaltliche Richtigkeit ihrer Eingaben verantwortlich.

Auftragskontrolle

AVV, dokumentierte Weisungen, Vertraulichkeitsverpflichtungen und vertragliche Bindung von Unterauftragsverarbeitern.

Löschung

Ruhendstellung nach Vertragsende, 90-tägige Übergangsfrist und anschließende Löschung/Anonymisierung; gesetzliche Aufbewahrungen bleiben getrennt bestehen.

Digitale Annahme

Die Vereinbarung wird elektronisch geschlossen. Zu Nachweiszwecken sollten mindestens Kundenkonto, Unternehmen, Name der bestätigenden Person, Zeitstempel, Version der AVV und Dokument-Hash protokolliert werden.

Stand: 04.08.2026