Vertrag über die Auftragsverarbeitung (AV-Vertrag) – Vorlage

Entwurf – juristisch prüfen lassen

Dies ist eine Vorlage für einen Vertrag nach Art. 28 Abs. 3 DSGVO, abgeleitet aus der technischen Dokumentation von PollYou. Sie ist nicht juristisch geprüft und muss vor der Verwendung von einer Rechtsanwältin oder einem Rechtsanwalt geprüft und angepasst werden (z. B. Haftung, Kontrollrechte, Kosten, Gerichtsstand). Platzhalter stehen in [eckigen Klammern].

zwischen

[Name der Organisation des Kunden], [Anschrift] – „Verantwortlicher“ –

und

[Firmenname des Betreibers von PollYou], [Anschrift] – „Auftragsverarbeiter“ –

§ 1 Gegenstand und Dauer

1. Der Auftragsverarbeiter betreibt für den Verantwortlichen die Software-as-a-Service-Plattform PollYou (Erstellung, Einbettung und Auswertung von Umfragen) auf Grundlage des Hauptvertrags (AGB vom [Datum]).
2. Die Verarbeitung dauert so lange wie der Hauptvertrag. § 9 (Löschung) gilt darüber hinaus.

§ 2 Art, Zweck und Umfang der Verarbeitung

Zweck	Erhebung von Antworten auf Umfragen des Verantwortlichen, Speicherung, Auswertung (Statistiken, Exporte, Berichte), optionale KI-Auswertung von Freitext, Weitergabe an vom Verantwortlichen konfigurierte Systeme (Webhooks, API).
Art der Daten	Antworten (auch Freitext, E-Mail-Adressen, wenn die Umfrage danach fragt), Zeitpunkte, technischer Kontext (Kanal, Sprache, Geräte-/Browser-/Betriebssystemfamilie, Land, verweisende Domain, UTM-Parameter), vom Verantwortlichen übergebene Metadaten und versteckte Felder, pseudonyme Kennungen (Hash der Nutzer-ID aus dem Identitäts-Token, täglich wechselnder IP-Hash). Keine Speicherung von IP-Adressen oder vollständigen User-Agents.
Kategorien betroffener Personen	Befragte (Teilnehmende an Umfragen des Verantwortlichen); Mitarbeitende des Verantwortlichen als Nutzer des Dashboards und Empfänger von Berichten.
Besondere Kategorien (Art. 9)	Nur wenn der Verantwortliche sie in seinen Umfragen erhebt; er ist dafür verantwortlich.

§ 3 Weisungen

1. Der Auftragsverarbeiter verarbeitet die Daten nur auf dokumentierte Weisung des Verantwortlichen. Weisungen sind insbesondere die Einstellungen im Dashboard (z. B. Aufbewahrungsfristen, Mehrfachabstimmungsschutz, KI-Opt-in, Webhooks, Freigabelinks) und die Aufrufe der API.
2. Hält der Auftragsverarbeiter eine Weisung für rechtswidrig, informiert er den Verantwortlichen unverzüglich.

§ 4 Vertraulichkeit

Der Auftragsverarbeiter setzt nur Personen ein, die zur Vertraulichkeit verpflichtet sind.

§ 5 Technische und organisatorische Maßnahmen (Art. 32)

Der Auftragsverarbeiter trifft mindestens die Maßnahmen in Anlage 2. Er darf sie weiterentwickeln, sofern das Schutzniveau nicht sinkt.

§ 6 Unterauftragsverarbeiter

1. Der Verantwortliche genehmigt die in Anlage 3 (Liste der Unterauftragsverarbeiter) genannten Unterauftragsverarbeiter.
2. Über beabsichtigte Änderungen informiert der Auftragsverarbeiter [30 Tage] vorher in Textform; der Verantwortliche kann aus wichtigem datenschutzrechtlichem Grund widersprechen. [Rechtsfolge des Widerspruchs regeln, z. B. Sonderkündigungsrecht.]
3. Die KI-Auswertung (Anthropic, USA) wird nur eingesetzt, wenn der Verantwortliche sie im Dashboard ausdrücklich aktiviert (Opt-in); einzelne Umfragen können ausgenommen werden.
4. Übermittlungen in Drittländer erfolgen nur unter den Voraussetzungen der Art. 44 ff. DSGVO (Angemessenheitsbeschluss, Standardvertragsklauseln).

§ 7 Unterstützung bei Betroffenenrechten

Der Auftragsverarbeiter stellt im Dashboard Werkzeuge bereit, mit denen der Verantwortliche Anfragen betroffener Personen selbst erfüllt:

• Auskunft und Datenübertragbarkeit (Art. 15, 20): Suche nach den Antworten einer Person über alle Umfragen (Nutzer-ID des Identitäts-Tokens, E-Mail-Adresse, Metadaten-Wert) und Export als ZIP (JSON und CSV) – siehe Betroffenenanfragen.
• Löschung (Art. 17): Löschen aller oder ausgewählter gefundener Antworten mit allen abgeleiteten Daten.
• Aufbewahrungsfristen: automatische Löschung nach einer konfigurierbaren Frist – siehe Aufbewahrungsfristen.

Wendet sich eine betroffene Person direkt an den Auftragsverarbeiter, leitet er die Anfrage unverzüglich an den Verantwortlichen weiter.

§ 8 Weitere Pflichten

1. Der Auftragsverarbeiter unterstützt den Verantwortlichen bei den Pflichten nach Art. 32–36 DSGVO (Sicherheit, Meldung von Verletzungen, Datenschutz-Folgenabschätzung).
2. Verletzungen des Schutzes personenbezogener Daten meldet er unverzüglich, möglichst innerhalb von [24] Stunden nach Kenntnis.
3. Das Audit-Protokoll des Dashboards dokumentiert sicherheitsrelevante Aktionen (ohne Antwortinhalte); es wird 365 Tage aufbewahrt.

§ 9 Löschung und Rückgabe

1. Nach Ende des Hauptvertrags löscht der Auftragsverarbeiter alle Daten des Verantwortlichen, sofern keine gesetzliche Aufbewahrungspflicht besteht. Vorher kann der Verantwortliche seine Daten exportieren (CSV, XLSX, SPSS, API).
2. Löscht der Inhaber sein Konto und ist er einziges Mitglied der Organisation, wird die Organisation mit allen Daten sofort gelöscht.
3. Datensicherungen werden nach spätestens [30 Tagen] überschrieben.

§ 10 Nachweise und Kontrollen

Der Auftragsverarbeiter weist die Einhaltung seiner Pflichten durch [geeignete Nachweise, z. B. Zertifikate, Prüfberichte, Selbstauskunft] nach und ermöglicht Überprüfungen nach angemessener Vorankündigung. [Kostenregelung.]

§ 11 Haftung und Schlussbestimmungen

[Haftung nach Art. 82 DSGVO, Schriftform/Textform, Vorrang dieses Vertrags vor dem Hauptvertrag bei Widersprüchen, Gerichtsstand.]

---

Anlage 1 – Kontaktdaten

• Verantwortlicher: [Name, E-Mail]
• Auftragsverarbeiter, Datenschutzkontakt: [datenschutz@pollyou.org]

Anlage 2 – Technische und organisatorische Maßnahmen

Bereich	Maßnahmen
Vertraulichkeit	Hosting in Rechenzentren in der EU mit Zutrittskontrolle (siehe Unterauftragsverarbeiter); Zugriff auf Produktionssysteme nur für berechtigte Administratoren mit SSH-Schlüsseln; Rollen und Berechtigungen im Dashboard (Inhaber, Admin, Editor, Analyst, Viewer); strikte Mandantentrennung (jede Abfrage auf die Organisation beschränkt, automatisiert getestet); Zwei-Faktor-Authentifizierung für Nutzer verfügbar; Passwörter mit modernem Hash-Verfahren; API-Schlüssel und Webhook-Geheimnisse nur gehasht bzw. verschlüsselt gespeichert.
Datenminimierung / Pseudonymisierung	Keine Speicherung von IP-Adressen (nur flüchtige Verarbeitung; Land und ein täglich wechselnder Hash); keine Cookies in Einbettungen per Default; Nutzer-IDs aus Identitäts-Tokens nur als Hash; KI-Auswertung nur mit Opt-in und vorheriger Pseudonymisierung.
Integrität	Transportverschlüsselung (TLS) für alle Verbindungen; signierte Webhooks (HMAC); Audit-Protokoll für sicherheitsrelevante Aktionen.
Verfügbarkeit	Regelmäßige Datensicherungen [Intervall, Aufbewahrung]; Überwachung und Fehlerbenachrichtigung.
Löschung	Konfigurierbare Aufbewahrungsfristen mit nächtlicher automatischer Löschung; Werkzeuge für Betroffenenanfragen; Exportdateien werden nach 7 Tagen gelöscht, Webhook-Protokolle nach 30 Tagen, Audit-Protokolle nach 365 Tagen.
Organisation	[Verpflichtung auf Vertraulichkeit, Schulungen, Notfallplan, Prozess für Datenschutzverletzungen.]

Anlage 3 – Unterauftragsverarbeiter

Siehe Unterauftragsverarbeiter (Stand: [Datum]).