Auftragsverarbeitungsvertrag (AVV)
Aktualisiert: 2026-07-02
Vertrag zur Verarbeitung personenbezogener Daten im Auftrag nach Art. 28 DSGVO. Er wird mit Vertragsschluss über modwall Bestandteil des Vertrags und gilt ohne gesonderte Unterschrift; eine unterschriebene Fassung stellen wir auf Anfrage bereit.
§ 1 Parteien und Gegenstand
Auftraggeber ist der Kunde (Verantwortlicher). Auftragnehmer ist Adam Koch, Weißensteinstr. 44, 58093 Hagen (Auftragsverarbeiter). Gegenstand ist die Verarbeitung personenbezogener Daten, die der Auftraggeber im Rahmen der Nutzung von modwall zur automatisierten Bewertung von Inhalten übermittelt.
§ 2 Art, Zweck und Dauer
(1) Art der Verarbeitung: Entgegennahme übermittelter Inhalte, automatisierte Auswertung durch Modelle des maschinellen Lernens, Erzeugung von Bewertungs- und Protokolldaten, Bereitstellung der Ergebnisse über API, Widget, Kundenbereich und Webhooks sowie Vorhalten von Grenzfällen in der Prüf-Warteschlange, soweit vom Auftraggeber aktiviert.
(2) Zweck: Erfüllung des Hauptvertrags — Unterstützung des Auftraggebers bei der Moderation von Inhalten.
(3) Dauer: für die Laufzeit des Hauptvertrags.
§ 3 Kategorien betroffener Personen und Datenarten
(1) Betroffene Personen: Nutzer der Plattform des Auftraggebers, deren Inhalte zur Bewertung übermittelt werden, sowie Beschäftigte des Auftraggebers, die den Kundenbereich und die Prüf-Warteschlange nutzen.
(2) Datenarten: in Bildern und Texten enthaltene personenbezogene Daten (einschließlich möglicher Abbildungen von Personen), technische Metadaten, Kennungen der Inhalte des Auftraggebers, Zeitstempel, Bewertungsergebnisse sowie Zugangs- und Protokolldaten der Nutzer des Kundenbereichs.
(3) Der Auftraggeber übermittelt keine besonderen Kategorien personenbezogener Daten nach Art. 9 DSGVO, soweit dies nicht Zweck der Prüfung ist und eine Rechtsgrundlage vorliegt; er stellt sicher, dass keine Inhalte übermittelt werden, deren Besitz strafbar ist.
§ 4 Weisungsrecht
Der Auftragnehmer verarbeitet die Daten ausschließlich auf dokumentierte Weisung des Auftraggebers. Weisungen erfolgen durch die Einstellungen im Kundenbereich (insbesondere Schwellenwerte, Betriebsmodi, Kategorien, Aufbewahrungsdauer), durch die API-Aufrufe selbst sowie durch schriftliche Mitteilungen in Textform. Hält der Auftragnehmer eine Weisung für rechtswidrig, teilt er dies mit und darf die Ausführung aussetzen.
§ 5 Vertraulichkeit
Der Auftragnehmer verpflichtet die mit der Verarbeitung befassten Personen zur Vertraulichkeit (Art. 28 Abs. 3 lit. b DSGVO) und stellt sicher, dass Zugriff nur im erforderlichen Umfang gewährt wird.
§ 6 Technische und organisatorische Maßnahmen
Der Auftragnehmer unterhält die in Anlage 1 beschriebenen Maßnahmen nach Art. 32 DSGVO und darf sie weiterentwickeln, solange das Schutzniveau nicht sinkt.
§ 7 Unterauftragsverarbeiter
(1) Der Auftraggeber genehmigt den Einsatz der folgenden Unterauftragsverarbeiter:
- Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, Deutschland — Hosting der Anwendung und Datenbank sowie verschlüsselte Sicherungskopien (Object Storage). Verarbeitungsort: Deutschland bzw. EU.
- Zoho Corporation B.V., Beneluxlaan 4B, 3527 HT Utrecht, Niederlande — Versand von Transaktions-E-Mails. Verarbeitungsort: EU-Rechenzentrum des Anbieters; Support-Zugriff aus Drittländern auf Grundlage von Standardvertragsklauseln.
Die Zahlungsabwicklung erfolgt über PayPro S.A. (Przelewy24), Poznań, Polen. Der Zahlungsdienstleister handelt dabei als eigener Verantwortlicher und nicht als Unterauftragsverarbeiter; personenbezogene Daten aus den zur Moderation übermittelten Inhalten erhält er nicht.
(2) Über den Wechsel oder die Hinzunahme eines Unterauftragsverarbeiters informiert der Auftragnehmer mindestens 30 Tage vorher. Der Auftraggeber kann aus wichtigem, datenschutzrechtlichem Grund widersprechen; in diesem Fall darf er den Hauptvertrag zum Zeitpunkt der Umstellung kündigen.
(3) Der Auftragnehmer verpflichtet Unterauftragsverarbeiter auf ein Schutzniveau, das diesem Vertrag entspricht.
§ 8 Ort der Verarbeitung
Die Verarbeitung findet in Deutschland (Rechenzentren der Hetzner Online GmbH) und im Übrigen in der Europäischen Union statt. Eine Übermittlung in ein Drittland erfolgt nur, wenn die Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind, und wird dem Auftraggeber vorher mitgeteilt.
§ 9 Unterstützung des Auftraggebers
Der Auftragnehmer unterstützt den Auftraggeber angemessen bei der Beantwortung von Anfragen betroffener Personen (Art. 12–23 DSGVO), bei Datenschutz-Folgenabschätzungen (Art. 35), bei Konsultationen der Aufsichtsbehörde (Art. 36) und bei der Einhaltung der Pflichten aus Art. 32–34 DSGVO. Anfragen betroffener Personen, die den Auftragnehmer direkt erreichen, werden nicht selbst beantwortet, sondern an den Auftraggeber weitergeleitet.
§ 10 Meldung von Verletzungen
Der Auftragnehmer informiert den Auftraggeber unverzüglich, spätestens innerhalb von 48 Stunden nach Kenntnis, über Verletzungen des Schutzes personenbezogener Daten und teilt die zur Meldung nach Art. 33 DSGVO erforderlichen Informationen mit.
§ 11 Kontrollrechte
Der Auftraggeber darf die Einhaltung dieses Vertrags überprüfen. Die Prüfung erfolgt in der Regel durch Auskunft und Vorlage geeigneter Nachweise; Prüfungen vor Ort sind mit angemessener Vorankündigung, während der Geschäftszeiten und ohne unangemessene Störung des Betriebs möglich.
§ 12 Löschung und Rückgabe
(1) Bilder werden nicht dauerhaft gespeichert; sie werden nach der Auswertung nicht auf Datenträger geschrieben.
(2) Bewertungs- und Protokolldaten werden nach den im Kundenbereich eingestellten bzw. den in der Datenschutzerklärung genannten Fristen gelöscht.
(3) Nach Beendigung des Hauptvertrags löscht der Auftragnehmer die im Auftrag verarbeiteten Daten oder gibt sie nach Wahl des Auftraggebers heraus, sofern keine gesetzliche Aufbewahrungspflicht entgegensteht. Audit-Log-Einträge, die als Nachweiskette dienen, werden auf Wunsch des Auftraggebers exportiert.
§ 13 Haftung und Schlussbestimmungen
(1) Für die Haftung gelten die Regelungen des Hauptvertrags sowie Art. 82 DSGVO.
(2) Es gilt deutsches Recht; Gerichtsstand ist Hagen.
(3) Bei Widersprüchen zwischen diesem AVV und dem Hauptvertrag gehen die Regelungen dieses AVV in Datenschutzfragen vor.
Anlage 1 — Technische und organisatorische Maßnahmen (Art. 32 DSGVO)
Vertraulichkeit: Transportverschlüsselung (TLS) für alle Verbindungen; Zugang zum Kundenbereich nur mit Konto, Zugriff auf die API nur mit geheimem Schlüssel, der jederzeit widerrufbar ist; Rollen- und Rechtekonzept für Teammitglieder; Passwörter ausschließlich als Hash gespeichert; Trennung der Mandanten auf Anwendungsebene; interne Dienste (Auswertung) nicht aus dem Internet erreichbar.
Integrität: Prüfung eingehender Anfragen und Signaturen bei Webhooks; fortlaufendes Audit-Log über Entscheidungen; Schutz vor Massenanfragen durch Ratenbegrenzung und Kontingente.
Verfügbarkeit und Belastbarkeit: Betrieb in deutschen Rechenzentren der Hetzner Online GmbH; Überwachung der Dienste; regelmäßige, verschlüsselte Sicherungen der Datenbank mit Aufbewahrung im Hetzner Object Storage (EU); Begrenzung paralleler Auswertungen zum Schutz vor Überlast.
Datenminimierung: Bilder werden nicht gespeichert; Protokolle enthalten nur Metadaten und Ergebnisse; automatisches Löschen nach Ablauf der Aufbewahrungsfristen.
Auftragskontrolle: schriftliche Weisungslage über diesen Vertrag; Verpflichtung der Unterauftragsverarbeiter; keine Nutzung von Kundeninhalten für eigene Zwecke, insbesondere kein Training von Modellen auf Kundeninhalten ohne gesonderte Vereinbarung.