Vertrag zur Auftragsverarbeitung (AVV)

Fassung 2026-07 · gültig ab sofort

Vertrag über Auftragsverarbeitung

im Sinne von Art. 28 Abs. 3 DSGVO

zwischen dem Kunden des Dienstes „bitInvite“ gemäß den Allgemeinen Geschäftsbedingungen (nachfolgend „Auftraggeber“ oder „Verantwortlicher“)

und

Benjamin Baur, Baur IT-Solutions, Riedlinger Str. 29, 88400 Biberach an der Riß, E-Mail: hallo@bitinvite.de (nachfolgend „Auftragnehmer“)

1. Allgemeine Bestimmungen und Vertragsgegenstand

1.1 Gegenstand des vorliegenden Vertrags ist die Verarbeitung personenbezogener Daten im Auftrag durch den Auftragnehmer (Art. 28 DSGVO) im Rahmen der Bereitstellung des Dienstes bitInvite zur Verwaltung von Veranstaltungen, Einladungen und Teilnehmerrückmeldungen (Einzelheiten regeln die AGB und die Leistungsbeschreibung). Verantwortlicher im Sinne des Art. 4 Nr. 7 DSGVO ist der Auftraggeber.

1.2 Inhalt des Auftrags, Kategorien betroffener Personen und Datenarten, Zweck der Verarbeitung sowie die automatisierten Löschfristen des Dienstes sind Anlage 1 zu entnehmen. Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO) sind nicht Gegenstand dieses Vertrags; der Auftraggeber verpflichtet sich, solche Daten nicht in den Dienst einzugeben, insbesondere nicht in Freitextfelder.

1.3 Die Verarbeitung der Daten durch den Auftragnehmer findet ausschließlich auf dem Gebiet der Bundesrepublik Deutschland, einem Mitgliedsstaat der Europäischen Union oder einem Vertragsstaat des EWR-Abkommens statt. Die Verarbeitung außerhalb dieser Staaten erfolgt nur unter den Voraussetzungen von Kapitel 5 der DSGVO (Art. 44 ff.) und mit vorheriger Zustimmung oder nach vorheriger Weisung des Auftraggebers.

1.4 Dieser Vertrag ist Bestandteil der AGB und kommt zusammen mit dem Nutzungsvertrag im elektronischen Format zustande (Art. 28 Abs. 9 DSGVO). Bei Widersprüchen zu den AGB gehen die Regelungen dieses Vertrags in Bezug auf die Verarbeitung personenbezogener Daten im Auftrag vor.

2. Vertragslaufzeit

Die Laufzeit dieses Vertrags entspricht der Laufzeit des Nutzungsvertrags; eine gesonderte Kündigung dieses Vertrags ist ausgeschlossen, solange der Auftragnehmer personenbezogene Daten im Auftrag des Auftraggebers verarbeitet. Das Recht zur außerordentlichen Kündigung des Nutzungsvertrags aus wichtigem Grund bleibt unberührt. Ziffer 10 (Löschung und Rückgabe) gilt über das Vertragsende hinaus.

3. Weisungen des Auftraggebers

3.1 Dem Auftraggeber steht ein umfassendes Weisungsrecht in Bezug auf Art, Umfang und Modalitäten der Datenverarbeitung gegenüber dem Auftragnehmer zu. Weisungen erteilt der Auftraggeber in der Regel durch die Nutzung und Konfiguration der Funktionen des Dienstes (z. B. Anlegen, Bearbeiten, Exportieren und Löschen von Gästedaten); darüber hinausgehende Weisungen erfolgen gemäß Ziffer 3.3.

3.2 Der Auftragnehmer informiert den Auftraggeber unverzüglich, falls er der Auffassung ist, dass eine Weisung gegen gesetzliche Vorschriften verstößt. Wird eine Weisung erteilt, deren Rechtmäßigkeit der Auftragnehmer substantiiert anzweifelt, ist er berechtigt, deren Ausführung vorübergehend auszusetzen, bis der Auftraggeber diese nochmals ausdrücklich bestätigt oder ändert. Besteht die Möglichkeit, dass der Auftragnehmer durch das Befolgen der Weisung einem Haftungsrisiko ausgesetzt wird, kann die Durchführung bis zur Klärung der Haftung im Innenverhältnis oder bis zur Einräumung sonstiger angemessener Sicherheiten ausgesetzt werden.

3.3 Individuelle Weisungen sind grundsätzlich schriftlich oder in einem elektronischen Format (z. B. per E-Mail) zu erteilen. Mündliche Weisungen sind in begründeten Einzelfällen zulässig und werden vom Auftraggeber unverzüglich schriftlich oder elektronisch bestätigt. Der Auftragnehmer dokumentiert Person, Datum und Uhrzeit erteilter individueller Weisungen in angemessener Form.

3.4 Der Auftraggeber benennt auf Verlangen des Auftragnehmers eine oder mehrere weisungsberechtigte Personen. Personelle Änderungen sind dem Auftragnehmer unverzüglich mitzuteilen.

3.5 Eine von den Weisungen abweichende Verarbeitung ist nur zulässig, wenn der Auftragnehmer nach dem Recht der Europäischen Union oder der Mitgliedstaaten zur Verarbeitung verpflichtet ist. In diesem Fall teilt der Auftragnehmer dem Auftraggeber diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht eine solche Mitteilung nicht wegen eines wichtigen öffentlichen Interesses verbietet; die Mitteilung wird nachgeholt, sobald die rechtlichen Hindernisse entfallen sind.

4. Kontrollbefugnisse des Auftraggebers

4.1 Der Auftraggeber ist berechtigt, die Einhaltung der gesetzlichen und vertraglichen Vorschriften zum Datenschutz und zur Datensicherheit vor Beginn der Datenverarbeitung und während der Vertragslaufzeit regelmäßig und im erforderlichen Umfang zu kontrollieren. Der Auftragnehmer erfüllt Kontrollanfragen in erster Linie durch geeignete Nachweise und Dokumentation (insbesondere diese Vereinbarung nebst Anlagen).

4.2 Darüber hinausgehende Überprüfungen – einschließlich Inspektionen – erfolgen nach vorheriger Ankündigung mit angemessener Frist, während der üblichen Geschäftszeiten und ohne unverhältnismäßige Störung des Betriebs; sie können durch einen geeigneten, zur Verschwiegenheit verpflichteten Prüfer durchgeführt werden. Für anlasslose Überprüfungen kann der Auftragnehmer einen angemessenen Aufwandsersatz verlangen. Der Auftraggeber hat dafür zu sorgen, dass Kontrollmaßnahmen verhältnismäßig sind; die Ergebnisse der Kontrollen sind vom Auftraggeber in geeigneter Weise zu protokollieren.

5. Allgemeine Pflichten des Auftragnehmers

5.1 Die Verarbeitung der vertragsgegenständlichen Daten durch den Auftragnehmer erfolgt ausschließlich auf Grundlage der vertraglichen Vereinbarungen in Verbindung mit den ggf. erteilten Weisungen des Auftraggebers (Ziffer 3). Eine Verarbeitung zu eigenen Zwecken des Auftragnehmers findet nicht statt.

5.2 Der Auftragnehmer gewährleistet, dass sich die zur Verarbeitung der personenbezogenen Daten befugten Personen zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen (Art. 28 Abs. 3 lit. b DSGVO). Vor der Unterwerfung unter die Verschwiegenheitspflicht erhalten die betreffenden Personen keinen Zugang zu den vom Auftraggeber überlassenen personenbezogenen Daten.

5.3 Der Auftragnehmer benennt keinen Datenschutzbeauftragten, da die gesetzlichen Voraussetzungen hierfür derzeit nicht vorliegen. Ansprechstelle für Datenschutzfragen ist die in der Präambel genannte Kontaktadresse.

6. Technische und organisatorische Maßnahmen

Der Auftragnehmer hat geeignete technische und organisatorische Maßnahmen zur Gewährleistung eines angemessenen Schutzniveaus festgelegt und in Anlage 2 festgehalten. Die Maßnahmen wurden unter Beachtung der Vorgaben nach Art. 32 DSGVO ausgewählt. Der Auftragnehmer wird sie regelmäßig und anlassbezogen überprüfen und darf sie fortentwickeln, sofern das Schutzniveau dabei nicht unterschritten wird.

7. Unterstützungspflichten des Auftragnehmers

7.1 Der Auftragnehmer unterstützt den Auftraggeber gemäß Art. 28 Abs. 3 lit. e DSGVO bei dessen Pflichten zur Wahrung der Betroffenenrechte (Art. 12–22 DSGVO), insbesondere bei Auskunft, Berichtigung, Löschung und Einschränkung der Verarbeitung. Der Dienst stellt hierfür insbesondere bereit: Auskunft und Berichtigung über die Verwaltungsoberfläche, Datenexport, sofortige Löschung einzelner Gäste durch den Auftraggeber sowie einen persönlichen Selbstlösch-Link für eingeladene Gäste in jeder Einladungs- und Bestätigungs-E-Mail.

7.2 Der Auftragnehmer unterstützt den Auftraggeber ferner gemäß Art. 28 Abs. 3 lit. f DSGVO bei dessen Pflichten nach Art. 32–36 DSGVO (insbesondere Meldepflichten). Die Reichweite dieser Unterstützungspflichten bestimmt sich im Einzelfall unter Berücksichtigung der Art der Verarbeitung und der dem Auftragnehmer zur Verfügung stehenden Informationen.

8. Einsatz von Unterauftragsverarbeitern (Subunternehmer)

8.1 Der Auftragnehmer ist zum Einsatz von Unterauftragsverarbeitern (Subunternehmern) berechtigt. Alle zum Zeitpunkt des Vertragsschlusses bestehenden Subunternehmerverhältnisse sind abschließend in Anlage 3 aufgeführt; für diese gilt die Zustimmung mit Abschluss dieses Vertrags als erteilt.

8.2 Beabsichtigt der Auftragnehmer den Einsatz weiterer Subunternehmer, zeigt er dies dem Auftraggeber rechtzeitig – spätestens jedoch zwei Wochen – vor deren Einsatz in schriftlicher oder elektronischer Form an (z. B. per E-Mail an die Konto-Adresse). Der Auftraggeber kann innerhalb von zwei Wochen nach Zugang der Mitteilung widersprechen; erfolgt kein fristgerechter Widerspruch, gilt die Hinzuziehung als genehmigt. In dringenden Fällen (z. B. kurzfristig benötigte Fehleranalysen) kann die Frist angemessen verkürzt werden. Widersprüche sind nur zulässig, wenn der Auftraggeber begründete Anhaltspunkte dafür hat, dass durch den Einsatz Datenschutz oder Datensicherheit eingeschränkt würden oder sonstige berechtigte Interessen entgegenstehen; die Verdachtsmomente sind dem Widerspruch beizufügen. Erfolgt ein begründeter fristgerechter Widerspruch und ist dem Auftragnehmer die Leistungserbringung ohne den Subunternehmer nicht zumutbar, steht beiden Parteien ein außerordentliches Kündigungsrecht des Nutzungsvertrags zu.

8.3 Sämtliche Verträge zwischen dem Auftragnehmer und Subunternehmern müssen den Anforderungen dieses Vertrags und den gesetzlichen Vorschriften über die Verarbeitung personenbezogener Daten im Auftrag genügen, insbesondere hinsichtlich geeigneter technischer und organisatorischer Maßnahmen nach Art. 32 DSGVO.

8.4 Nebenleistungen, die der Auftragnehmer zur Ausübung seiner geschäftlichen Tätigkeit in Anspruch nimmt, stellen keine Unterauftragsverhältnisse im Sinne des Art. 28 DSGVO dar (insbesondere Telekommunikationsleistungen ohne konkreten Bezug zur Hauptleistung, Post- und Transportdienstleistungen sowie Maßnahmen zur Sicherstellung der Vertraulichkeit und Integrität der Hard- und Software ohne konkreten Bezug zur Hauptleistung). Der Auftragnehmer stellt auch insoweit die Einhaltung der gesetzlichen Datenschutzstandards sicher.

8.5 Die Beauftragung von Subunternehmern in Drittstaaten ist nur zulässig, wenn die Voraussetzungen der Art. 44 ff. DSGVO gegeben sind und der Auftraggeber zugestimmt hat.

9. Mitteilungspflichten des Auftragnehmers

9.1 Der Auftragnehmer meldet dem Auftraggeber jede Verletzung des Schutzes personenbezogener Daten, die im Auftrag verarbeitete Daten betrifft, unverzüglich nach Bekanntwerden (Art. 33 Abs. 2 DSGVO). Die Meldung enthält, soweit möglich, die in Art. 33 Abs. 3 DSGVO genannten Angaben.

9.2 Verstöße gegen diesen Vertrag, gegen Weisungen des Auftraggebers oder gegen sonstige datenschutzrechtliche Bestimmungen sind dem Auftraggeber ebenfalls unverzüglich mitzuteilen; das Gleiche gilt beim Vorliegen eines entsprechenden begründeten Verdachts – unabhängig davon, ob der Verstoß durch den Auftragnehmer, eine bei ihm beschäftigte Person oder einen Subunternehmer begangen wurde.

9.3 Ersucht eine betroffene Person, eine Behörde oder ein sonstiger Dritter den Auftragnehmer um Auskunft, Berichtigung, Einschränkung oder Löschung, leitet der Auftragnehmer die Anfrage unverzüglich an den Auftraggeber weiter und stimmt das weitere Vorgehen mit ihm ab, soweit die Anfrage nicht über den bereitgestellten Selbstlösch-Mechanismus (Ziffer 7.1) unmittelbar erledigt wird.

9.4 Der Auftragnehmer informiert den Auftraggeber unverzüglich über bevorstehende Aufsichtshandlungen oder sonstige behördliche Maßnahmen, von denen die vertragsgegenständlichen Daten betroffen sein könnten, sowie über Ereignisse oder Maßnahmen Dritter, durch welche diese Daten gefährdet oder beeinträchtigt werden könnten.

10. Vertragsbeendigung, Löschung und Rückgabe der Daten

10.1 Während der Vertragslaufzeit löscht der Dienst Gäste- und Einladungsdaten automatisch gemäß den in Anlage 1 genannten Fristen. Der Auftraggeber kann Daten darüber hinaus jederzeit selbst löschen oder über die Exportfunktion in einem gängigen Format herausgeben lassen (Rückgabe).

10.2 Nach Beendigung des Nutzungsvertrags werden alle im Auftrag verarbeiteten Daten nach Ablauf einer Karenzzeit von 30 Tagen endgültig gelöscht, sofern keine rechtliche Verpflichtung zur weiteren Speicherung besteht (z. B. gesetzliche Aufbewahrungsfristen). Der Auftraggeber ist gehalten, benötigte Daten vor Vertragsende zu exportieren. Auf Verlangen bestätigt der Auftragnehmer die Löschung in Textform.

11. Datengeheimnis und Vertraulichkeit

Der Auftragnehmer ist unbefristet und über das Ende dieses Vertrags hinaus verpflichtet, die im Rahmen der Vertragsbeziehung erlangten personenbezogenen Daten vertraulich zu behandeln. Er verpflichtet sich, mit der Verarbeitung befasste Personen mit den einschlägigen Datenschutzbestimmungen vertraut zu machen und zur Verschwiegenheit zu verpflichten, bevor diese ihre Tätigkeit aufnehmen.

12. Haftung

Für die Haftung der Parteien gelten Art. 82 DSGVO sowie die Haftungsregelungen der AGB.

13. Schlussbestimmungen

13.1 Änderungen dieses Vertrags und Nebenabreden bedürfen der schriftlichen oder elektronischen Form, die eindeutig erkennen lässt, dass und welche Änderung erfolgen soll; für Änderungen gilt im Übrigen das Verfahren der AGB entsprechend.

13.2 Auf Wunsch des Auftraggebers stellen die Parteien diesen Vertrag zusätzlich in unterzeichneter Form aus.

13.3 Es gilt das Recht der Bundesrepublik Deutschland. Sind die Vertragsparteien Kaufleute, juristische Personen des öffentlichen Rechts oder öffentlich-rechtliches Sondervermögen, ist der Sitz des Auftragnehmers Gerichtsstand für alle Streitigkeiten aus diesem Vertrag; ausschließliche Gerichtsstände bleiben unberührt.

13.4 Sollte sich die DSGVO oder sonstige in Bezug genommene gesetzliche Regelungen während der Vertragslaufzeit ändern, gelten die hiesigen Verweise auch für die jeweiligen Nachfolgeregelungen.

13.5 Sollten einzelne Teile dieser Vereinbarung unwirksam sein oder werden, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt.

13.6 Sämtliche Anlagen zu diesem Vertrag sind Vertragsbestandteil.

13.7 Die jeweils aktuelle Fassung dieses Vertrags ist im Legal-Bereich der App abrufbar (/Legal/Avv).

---

Anlage 1 – Auftragsdetails

Leistung, bei der Daten im Auftrag verarbeitet werden

Bereitstellung des SaaS-Dienstes bitInvite: Verwaltung von Veranstaltungen und Einladungen, Versand von Einladungs-, Anmelde- und Rückmelde-E-Mails, Bereitstellung von Event- und Anmeldeseiten, Erfassung von Zu-/Absagen, Export und Löschung von Gästedaten. Zweck ist ausschließlich die Organisation und Durchführung der Veranstaltungen des Auftraggebers.

Kategorien betroffener Personen

• Gäste und Teilnehmende der Veranstaltungen des Auftraggebers (eingeladen oder selbst angemeldet)
• Begleitpersonen, deren Namen von Gästen im Rahmen der Rückmeldung angegeben werden
• ggf. vom Auftraggeber benannte Ansprech- und Kontaktpersonen

Verarbeitete Datenarten

• Stammdaten: Name der eingeladenen Person
• Kontaktdaten: E-Mail-Adresse (sofern vom Auftraggeber hinterlegt oder vom Gast angegeben)
• Teilnahmedaten: Rückmeldestatus (Zu-/Absage), Anzahl der Begleitpersonen, Zeitpunkte der Rückmeldung
• Begleitpersonen-Daten: vom Gast bei der Rückmeldung angegebene Namen weiterer Teilnehmender
• Vom Auftraggeber hochgeladene Veranstaltungsbilder (z. B. Titelbild), soweit darauf Personen erkennbar sind; eingebettete Metadaten (z. B. EXIF-/GPS-Daten) werden beim Upload entfernt
• Nachweisdaten zur Einwilligung bei Selbstanmeldung: Zeitstempel und gehashte IP-Adresse (Double-Opt-In)
• Technische Zuordnungsdaten: persönlicher Einladungscode/-link
• Optionale Freitextangaben des Auftraggebers zu einzelnen Gästen (keine besonderen Kategorien nach Art. 9 DSGVO zulässig)

Automatisierte Löschfristen des Dienstes

• Gäste- und Einladungsdaten: 14 Tage nach Veranstaltungsende
• Unbestätigte Double-Opt-In-Selbstanmeldungen von Gästen: 48 Stunden
• E-Mail-Versandprotokolle: 30 Tage
• Nach Vertragsende: endgültige Löschung nach 30 Tagen Karenzzeit (Ziffer 10.2)

Anlage 2 – Technische und organisatorische Maßnahmen nach Art. 32 DSGVO

Der Auftragnehmer setzt folgende technische und organisatorische Maßnahmen zum Schutz der vertragsgegenständlichen personenbezogenen Daten um:

1. Sicherung der IT-Systeme (Zugangskontrolle)

• Login mit individuellem Benutzerkonto und Passwort; Passwörter werden nach Stand der Technik gehasht gespeichert; Passwort-Richtlinien (Mindestlänge, Komplexität)
• Optionale Zwei-Faktor-Authentifizierung für Benutzerkonten
• Schutz vor automatisierten Anmeldeversuchen (Rate-Limiting, Bot-Schutz, temporäre Kontosperren)
• Rollenbasiertes Berechtigungskonzept (Owner/Mitglied) und getrennte administrative Ebene mit gesonderter Authentifizierung
• Die Anzahl der Systemadministratoren ist auf das Notwendigste reduziert

2. Mandantentrennung und Protokollierung (Trennungs- und Eingabekontrolle)

• Logische Trennung der Kundendaten auf Datenbankebene; die Trennung wird technisch in der Datenzugriffsschicht erzwungen
• Protokollierung datenschutzrelevanter Vorgänge (u. a. Löschungen) in einem Audit-Log (Aufbewahrung: 12 Monate); die Einträge enthalten keine Gästedaten, sondern nur technische Kennungen
• Nachvollziehbarkeit von Eingaben, Änderungen und Löschungen über individuelle Benutzerkonten und System-Logs

3. Sichere Löschung von Daten

• Automatisiertes Löschkonzept mit festen Fristen (Anlage 1)
• Selbstlösch-Link für Gäste; Lösch- und Exportfunktionen für den Auftraggeber

4. Datenschutz bei Subunternehmern

• Abschluss DSGVO-konformer Auftragsverarbeitungsverträge mit Subunternehmern (Anlage 3)

5. Sicherung bei Übermittlung (Weitergabekontrolle)

• TLS-Verschlüsselung sämtlicher Verbindungen zum Dienst (HTTPS)
• E-Mail-Versand über ein selbst betriebenes Versandsystem mit verschlüsselten Verbindungen; Transportverschlüsselung zum empfangenden Mailserver, soweit von diesem unterstützt
• Bereinigung von Metadaten (z. B. EXIF) bei Bild-Uploads; serverseitige Validierung und Bereinigung von Eingaben

6. Datensicherung und Verfügbarkeit

• Regelmäßige Datensicherungen zum Zweck der Wiederherstellung im Katastrophenfall (Backup- und Wiederherstellungskonzept)
• Betrieb in einem Rechenzentrum in Deutschland; getrennte Entwicklungs-, Test- und Produktionsumgebungen
• Physische Zutritts- und Zugangskontrolle zur Serverinfrastruktur durch den Rechenzentrums-Betreiber (Anlage 3)

7. Überprüfung, Evaluierung und Anpassung

• Überprüfung, Evaluierung und bei Bedarf Anpassung der beschriebenen Maßnahmen im Abstand von 12 Monaten sowie anlassbezogen
• Regelmäßige Sicherheitsüberprüfungen des Quellcodes und der Abhängigkeiten

Anlage 3 – Subunternehmer zum Zeitpunkt des Vertragsschlusses

(Unternehmens-)Name und Anschrift	Beschreibung der Leistung	Land der Leistungserbringung
netcup GmbH, Emmy-Noether-Straße 10, 76131 Karlsruhe	Hosting der Serverinfrastruktur (Server im Rechenzentrum), einschließlich der Infrastruktur des vom Auftragnehmer selbst betriebenen E-Mail-Versandsystems	Deutschland

Hinweise: Der E-Mail-Versand erfolgt über ein vom Auftragnehmer selbst betriebenes Versandsystem auf der vorgenannten Infrastruktur; ein weiterer Unterauftragsverarbeiter ist hierfür nicht eingesetzt. Die Stripe Payments Europe, Ltd. ist kein Unterauftragsverarbeiter im Sinne dieses Vertrags; die Zahlungsabwicklung betrifft ausschließlich das Vertragsverhältnis zwischen Anbieter und Kunde (eigene Verantwortlichkeit des Anbieters, siehe Datenschutzerklärung).

Stand: 15. Juli 2026