Vereinbarung zur Auftragsverarbeitung (AVV)

Vereinbarung zur Auftragsverarbeitung (AVV) · Art. 28 DSGVO – einschließlich Anlagen 1 bis 3 · Version 1.1 · Stand 1. September 2026
Geltungsbereich: BEMA Orbit – Kunden als Verantwortliche · B2B – Hotels und Gastronomie

Musterfassung. Der wirksame Abschluss erfolgt elektronisch mit Angabe von Parteien, Version, Datum und Annahmevorgang (Abschnitt 14). Kundenangaben in eckigen Klammern werden bei Abschluss ausgefüllt.

Vertragsparteien

Auftraggeber: [Name/Firma des Kunden], [Anschrift], [PLZ Ort, Land], [Kontakt Datenschutz] – nachfolgend Auftraggeber.

Auftragnehmer: BEMA Marketing, Inhaber Benedikt Krause, Europaring 90, 53757 Sankt Augustin, Deutschland, kontakt@bema-marketing.com, +49 351 31410594 – nachfolgend BEMA oder Auftragnehmer.

Diese Vereinbarung ergänzt den Vertrag über BEMA Orbit einschließlich Bestellung und AGB, nachfolgend Hauptvertrag.

1. Gegenstand und Vorrang

1. BEMA verarbeitet im Rahmen von BEMA Orbit personenbezogene Daten im Auftrag des Auftraggebers. Diese Vereinbarung konkretisiert die Pflichten nach Art. 28 DSGVO.
2. Für auftragsbezogene Verarbeitungen geht dieser AVV widersprechenden Regelungen des Hauptvertrags vor. Standardvertragsklauseln oder zwingendes Datenschutzrecht gehen wiederum diesem AVV vor.
3. Verarbeitungen, bei denen BEMA eigene Zwecke und Mittel bestimmt, insbesondere eigene Vertrags-, Ansprechpartner-, Accountverwaltungs-, Abrechnungs- und gesetzliche Nachweisdaten, sind nicht Gegenstand dieses AVV.

2. Dauer, Art und Zweck

1. Der AVV gilt ab Beginn der auftragsbezogenen Verarbeitung und für die Dauer des Hauptvertrags. Lösch-, Vertraulichkeits-, Prüf- und Nachweispflichten wirken fort.
2. Gegenstand, Art, Zweck, Datenarten und betroffene Personen sind in Anlage 1 beschrieben. Der Auftraggeber darf den Umfang durch Modulwahl und dokumentierte Weisungen innerhalb des Hauptvertrags konkretisieren.

3. Verantwortlichkeit und Weisungen

1. Der Auftraggeber ist für Rechtmäßigkeit, Transparenz, Datenminimierung, Richtigkeit, Betroffenenrechte und Zulässigkeit der Weisungen verantwortlich. Er stellt erforderliche Rechtsgrundlagen, Informationspflichten, Mitbestimmung und Löschkonzepte sicher.
2. BEMA verarbeitet personenbezogene Daten nur auf dokumentierte Weisung des Auftraggebers, einschließlich Übermittlungen in Drittländer, sofern keine unions- oder mitgliedstaatliche Pflicht besteht. In diesem Fall informiert BEMA den Auftraggeber vor der Verarbeitung, soweit das Gesetz dies erlaubt.
3. Bestellung, Produktkonfiguration, Nutzung durch berechtigte Nutzer, Supportfreigaben und Weisungen in Textform gelten als dokumentierte Weisungen. Mündliche Weisungen sind zeitnah in Textform zu bestätigen.
4. Hält BEMA eine Weisung für datenschutzwidrig, informiert BEMA unverzüglich. BEMA darf die Ausführung bis zur Bestätigung oder Änderung aussetzen, soweit dies zum Schutz der Daten erforderlich ist.

4. Vertraulichkeit und Personal

1. BEMA setzt nur Personen ein, die auf Vertraulichkeit verpflichtet, datenschutzrechtlich unterwiesen und nach dem Erforderlichkeitsprinzip berechtigt sind. Die Verpflichtung gilt nach Ende ihrer Tätigkeit fort.
2. Zugriffe werden rollenbezogen vergeben und regelmäßig überprüft. Administrativer Zugriff erfolgt nur durch autorisierte Personen und soweit erforderlich.

5. Technische und organisatorische Maßnahmen

1. BEMA implementiert und erhält die in Anlage 2 beschriebenen Maßnahmen unter Berücksichtigung von Stand der Technik, Kosten, Art, Umfang, Umständen, Zwecken und Risiken gemäß Art. 32 DSGVO.
2. BEMA darf Maßnahmen weiterentwickeln, wenn das vereinbarte Schutzniveau nicht unterschritten wird. Wesentliche nachteilige Änderungen werden vorab mitgeteilt, soweit keine akute Sicherheitslage entgegensteht.
3. Der Auftraggeber verantwortet sichere Endgeräte, lokale Netze, Account- und Rollenpflege, inhaltliche Datenminimierung, eigene Exporte sowie die Konfiguration der ihm bereitgestellten Sicherheitsfunktionen.

6. Unterauftragsverarbeiter

1. Der Auftraggeber erteilt BEMA eine allgemeine schriftliche Genehmigung, die in Anlage 3 genannten Unterauftragsverarbeiter einzusetzen.
2. BEMA informiert mindestens 30 Kalendertage vor Hinzunahme oder Ersetzung eines Unterauftragsverarbeiters. Der Auftraggeber kann innerhalb dieser Frist aus nachweisbaren datenschutzrechtlichen Gründen widersprechen. Die Parteien bemühen sich um eine zumutbare Alternative. Ist sie nicht möglich, kann der Auftraggeber den betroffenen Dienst ohne Vertragsstrafe zum Änderungszeitpunkt kündigen.
3. BEMA verpflichtet Unterauftragsverarbeiter vertraglich zu im Wesentlichen gleichwertigen Datenschutzpflichten und bleibt dem Auftraggeber für deren Pflichterfüllung verantwortlich.
4. Bloße Hilfsleistungen ohne Zugang zu personenbezogenen Daten sind keine Unterauftragsverarbeitung. BEMA stellt auch bei solchen Leistungen angemessene Vertraulichkeit und Sicherheit sicher.

7. Drittlandübermittlungen

1. Eine Verarbeitung außerhalb EU/EWR erfolgt nur auf dokumentierte Weisung und unter Einhaltung der Art. 44 ff. DSGVO. BEMA informiert über das eingesetzte Instrument, etwa Angemessenheitsbeschluss oder Standardvertragsklauseln.
2. Soweit Standardvertragsklauseln verwendet werden, unterstützt BEMA die erforderliche Transferprüfung und setzt angemessene ergänzende Maßnahmen um. Auf Anfrage werden Nachweise bereitgestellt, soweit Rechte Dritter und Sicherheitsinteressen gewahrt bleiben.

8. Unterstützung des Auftraggebers

1. BEMA unterstützt den Auftraggeber unter Berücksichtigung der Art der Verarbeitung und verfügbaren Informationen bei Betroffenenanfragen, Sicherheit, Meldung von Datenschutzverletzungen, Datenschutz-Folgenabschätzung und vorheriger Konsultation nach Art. 32 bis 36 DSGVO.
2. Erhält BEMA eine Betroffenenanfrage zu Auftragsdaten, leitet BEMA sie unverzüglich an den Auftraggeber weiter und antwortet nicht eigenständig, sofern keine Weisung oder gesetzliche Pflicht besteht.
3. Standardunterstützung über vorhandene Funktionen und angemessene Nachweise ist mit der Vergütung abgegolten. Außergewöhnlicher, nicht von BEMA verursachter Zusatzaufwand darf nach vorheriger transparenter Vereinbarung berechnet werden. Gesetzliche Mindestpflichten bleiben unberührt.

9. Verletzungen des Schutzes personenbezogener Daten

1. BEMA informiert den Auftraggeber unverzüglich, nachdem BEMA eine Verletzung des Schutzes von Auftragsdaten bekannt geworden ist. Die Meldung enthält, soweit verfügbar, Art und Umfang, betroffene Daten und Personen, wahrscheinliche Folgen, ergriffene oder vorgeschlagene Maßnahmen und eine Kontaktstelle.
2. Noch nicht verfügbare Informationen werden ohne unangemessene Verzögerung nachgereicht. BEMA dokumentiert Vorfall, Auswirkungen und Abhilfe und unterstützt Meldungen nach Art. 33 und 34 DSGVO.
3. Mitteilungen stellen kein Anerkenntnis eines Rechtsverstoßes oder einer Haftung dar.

10. Berichtigung, Löschung, Einschränkung und Rückgabe

1. BEMA berichtigt, löscht, beschränkt oder gibt Daten nach dokumentierter Weisung zurück, soweit dies über die bereitgestellten Funktionen hinaus erforderlich ist.
2. Bei Vertragsende wählt der Auftraggeber Export, Rückgabe oder Löschung. Exportierbare Daten stehen nach dem Übergang mindestens 30 Kalendertage zum Abruf bereit. Danach löscht BEMA produktive Auftragsdaten, sofern keine gesetzliche Pflicht oder spätere Vereinbarung entgegensteht.
3. Sicherungskopien werden gesperrt und im dokumentierten regulären Zyklus überschrieben, grundsätzlich spätestens innerhalb von 90 Tagen. Bis dahin werden sie nur zur Wiederherstellung, Sicherheit oder Erfüllung zwingender Pflichten verarbeitet.
4. BEMA bestätigt die Löschung auf Anfrage in angemessener Form.

11. Nachweise und Kontrollen

1. BEMA stellt alle erforderlichen Informationen zum Nachweis der Pflichten nach Art. 28 DSGVO bereit und ermöglicht Prüfungen durch den Auftraggeber oder einen zur Vertraulichkeit verpflichteten Prüfer.
2. Prüfungen erfolgen vorrangig durch aktuelle Dokumentation, Zertifikate, Berichte, Fragebögen oder Remote-Termine. Eine Vor-Ort-Prüfung ist zulässig, wenn diese Nachweise nicht ausreichen oder ein konkreter Anlass besteht. Sie ist grundsätzlich mindestens 14 Kalendertage vorher anzukündigen, auf Geschäftszeiten und erforderlichen Umfang zu beschränken und darf Sicherheit sowie Rechte anderer Kunden nicht beeinträchtigen.
3. Jede Partei trägt ihre eigenen Prüfungskosten. Verursacht eine anlasslose oder unverhältnismäßige Prüfung erheblichen Zusatzaufwand, kann BEMA nach vorheriger Vereinbarung angemessene Kosten berechnen. Bei festgestelltem wesentlichem Verstoß von BEMA trägt BEMA den erforderlichen Abhilfe- und angemessenen Prüfaufwand.
4. Befugnisse der Aufsichtsbehörden bleiben uneingeschränkt.

12. Supportzugriff

1. Ein Zugriff von BEMA auf Inhalte des Kundenmandanten ist nur zulässig, wenn er zur Support-, Sicherheits- oder Wiederherstellungsleistung erforderlich und technisch vorgesehen ist.
2. Der Zugriff muss durch dokumentierte Freigabe oder Weisung gedeckt, zweckgebunden, zeitlich begrenzt, widerrufbar, auf die geringsten erforderlichen Rechte beschränkt und protokolliert sein. Notfallzugriffe zum Schutz von Daten oder Systemen werden nachträglich unverzüglich dokumentiert und mitgeteilt, soweit zulässig.
3. Supportfälle sollen vorrangig mit anonymisierten, pseudonymisierten oder minimierten Informationen bearbeitet werden.

13. Haftung

Für Schäden gelten Art. 82 DSGVO, sonstiges zwingendes Recht und die wirksamen Haftungsregelungen des Hauptvertrags. Keine Regelung dieses AVV beschränkt Rechte betroffener Personen oder gesetzliche Verantwortlichkeit gegenüber Aufsichtsbehörden.

14. Form, Geltung und Schluss

1. Dieser AVV wird schriftlich einschließlich elektronischer Form geschlossen. Eine qualifizierte oder handschriftliche Unterschrift ist nicht erforderlich, wenn die verbindliche Annahme anderweitig nachweisbar dokumentiert wird. BEMA speichert insbesondere Parteien, AVV-Version, Datum und Annahmevorgang.
2. Änderungen dieses AVV einschließlich Anlagen bedürfen der schriftlichen oder elektronischen Form. Weisungen nach Abschnitt 3 bleiben hiervon unberührt.
3. Im Übrigen gelten Rechtswahl und Gerichtsstand des Hauptvertrags, soweit Datenschutzrecht nichts Zwingendes bestimmt.

---

Anlage 1 – Beschreibung der Verarbeitung

1. Gegenstand und Zwecke – Bereitstellung, Hosting, Authentifizierung, Speicherung, Übertragung, Organisation, Anzeige, Änderung, Sicherung, Wiederherstellung, Support, Fehleranalyse, Sicherheitsüberwachung, Export und Löschung von Daten innerhalb der gebuchten BEMA-Orbit-Module.

2. Verarbeitungsvorgänge – Erheben und Erfassen durch Nutzer oder Schnittstellen; Ordnen, Strukturieren, Speichern, Abrufen und Anzeigen; Ändern, Verknüpfen, Übermitteln innerhalb berechtigter Mandanten und Exportieren; Protokollieren, Sichern, Wiederherstellen, Einschränken und Löschen; zeitlich begrenzte Support- und Sicherheitszugriffe nach Abschnitt 12.

3. Kategorien betroffener Personen – Beschäftigte, Aushilfen, Auszubildende, Leitungskräfte und sonstige berechtigte Nutzer des Auftraggebers; Gäste, Interessenten, Besucher und Kontaktpersonen; Lieferanten, Dienstleister, Handwerker, Geschäftspartner und deren Ansprechpartner; weitere Personen, die in betrieblichen Aufgaben, Übergaben, Anhängen oder Dokumentationen rechtmäßig genannt werden.

4. Kategorien personenbezogener Daten

5. Besondere Daten und Ausschlüsse – Die reguläre Nutzung ist nicht auf besondere Kategorien nach Art. 9 DSGVO oder Daten nach Art. 10 DSGVO ausgelegt. Solche Daten dürfen nur bei ausdrücklicher vertraglicher und technischer Freigabe sowie dokumentierter Rechtsgrundlage verarbeitet werden. Angaben zu Allergien, Gesundheit, Behinderung, Religion oder Gewerkschaftszugehörigkeit dürfen nicht beiläufig in Freitext eingegeben werden. Nicht zulässig ohne gesonderte Freigabe sind vollständige Zahlungskartendaten, Klartextpasswörter, vollständige Ausweiskopien, medizinische Akten oder Massendaten mit außergewöhnlichem Schutzbedarf.

6. Häufigkeit, Ort und Dauer – Die Verarbeitung erfolgt fortlaufend nach Nutzung. Primärer produktiver Datenstandort ist Paris, Frankreich, AWS-Region eu-west-3, über Supabase. Dauer: Hauptvertrag zuzüglich Wechsel-, Abruf- und Löschzeiträume nach AVV. Weitere Zugriffsländer ergeben sich nur aus zulässigem Support und der aktuellen Unterauftragsverarbeiterkette (Anlage 3).

---

Anlage 2 – Technische und organisatorische Maßnahmen

Die nachfolgenden Maßnahmen sind risikobasiert umzusetzen. Formulierungen mit „soweit technisch unterstützt“ begrenzen nicht das erforderliche Schutzniveau, sondern berücksichtigen Plattformabhängigkeiten.

1. Organisation und Governance – Dokumentierte Datenschutz- und Sicherheitsverantwortung sowie Freigabeprozesse für produktive Änderungen. Vertraulichkeitsverpflichtung und regelmäßige Sensibilisierung aller Personen mit möglichem Datenzugriff. Verzeichnis relevanter Systeme, Datenflüsse, Dienstleister und Verarbeitungstätigkeiten. Risikobewertung vor wesentlichen neuen Modulen, Integrationen oder Datenkategorien.

2. Zutritts- und physische Sicherheit – Rechenzentrumszutritt wird durch den Infrastruktur- und Hostinganbieter nach dessen kontrollierten Verfahren beschränkt. Lokale Arbeitsgeräte mit administrativem Zugriff sind gegen unbefugten physischen Zugriff zu sichern; automatische Bildschirmsperre und verschlüsselte Gerätespeicherung sind einzusetzen.

3. Identitäts- und Zugriffskontrolle – Eindeutige personenbezogene Konten, keine geteilten Administratorkonten außer technisch unvermeidbaren, besonders geschützten Notfallkonten. Rollen- und Rechtevergabe nach Least-Privilege- und Need-to-know-Prinzip; regelmäßige Überprüfung und unverzügliche Entziehung bei Wegfall. Starke Authentisierung; Mehrfaktor-Authentisierung für privilegierte BEMA-Zugänge und, soweit technisch unterstützt, für Kundenadministratoren. Sichere Passwort- und Geheimnisverwaltung; keine Speicherung von Passwörtern im Klartext; Geheimnisse nicht im Quellcode, sondern in einem zugriffsbeschränkten Secret-Tresor mit geregelter Rotation. Beschränkung produktiver Datenbank- und Infrastrukturzugänge auf autorisierte Personen und erforderliche Netze oder Werkzeuge.

4. Mandanten- und Zwecktrennung – Logische Trennung von Kundenmandanten durch verpflichtende Standort-/Mandantenkennungen und auf Datenbankebene durchgesetzte Zugriffsregeln (Row-Level Security). Tests, automatisierte Prüfungen und Code-Reviews für sämtliche mandantenrelevanten Zugriffspfade, einschließlich Dateiobjekten und Schnittstellen. Trennung von Entwicklungs-, Test- und Produktivumgebung. Produktive personenbezogene Daten werden in Entwicklung und Test nur verwendet, wenn zwingend erforderlich, freigegeben und angemessen anonymisiert oder pseudonymisiert.

5. Übertragungs- und Speicherschutz – Verschlüsselte Übertragung über aktuelle TLS-Verfahren für Browser-, API- und administrative Verbindungen. Verschlüsselung gespeicherter Daten und Sicherungen nach dem dokumentierten Standard des eingesetzten Plattform- und Infrastrukturproviders. Schlüssel, Tokens und Servicezugänge werden getrennt von Anwendungsdaten, zugriffsbeschränkt und mit geregelter Rotation verwaltet. Datenexporte mit personenbezogenen Daten werden nur an berechtigte Empfänger und über angemessen geschützte Wege bereitgestellt.

6. Eingabe-, Änderungs- und Protokollkontrolle – Protokollierung sicherheitsrelevanter Anmeldungen, Rollen- und Berechtigungsänderungen, administrativer Aktionen und, soweit erforderlich, Datenänderungen. Sicherheits- und Auditprotokolle sind gegen nachträgliche Veränderung geschützt (unveränderliches Audit-Log), zeitlich synchronisiert und nur so lange wie erforderlich aufzubewahren. Regelmäßige Auswertung sicherheitsrelevanter Ereignisse und definierte Eskalationswege.

7. Supportzugriff – Supportzugriff nur bei Erforderlichkeit und, soweit technisch vorgesehen, nach dokumentierter Kundenfreigabe oder Weisung. Zeitliche Begrenzung, Widerrufbarkeit, Zweckbindung, minimale Rechte und Protokollierung von Beginn, Ende, berechtigter Person und Zweck. Notfallzugriff nur zum Schutz von Daten und Systemen, mit unverzüglicher nachträglicher Dokumentation und Information soweit zulässig.

8. Verfügbarkeit, Sicherung und Wiederherstellung – Regelmäßige, gegen unbefugten Zugriff geschützte Sicherungen entsprechend Schutzbedarf und gebuchter Infrastruktur. Dokumentierte Wiederherstellungsverfahren und regelmäßige, risikobasierte Wiederherstellungstests. Überwachung wesentlicher Dienste, Kapazitäten und Fehlerzustände; Alarmierung bei kritischen Abweichungen. Notfall- und Wiederanlaufplanung mit Zuständigkeiten, Kommunikationswegen und Prioritäten.

9. Schwachstellen- und Änderungsmanagement – Abhängigkeiten und Sicherheitsupdates werden risikobasiert überwacht und kritische Lücken priorisiert behoben. Änderungen an produktiven Systemen werden geprüft, nachvollziehbar freigegeben und mit Rückfallmöglichkeit umgesetzt. Sicherheitsrelevanter Quellcode wird durch Reviews, automatisierte Tests und geeignete Prüfwerkzeuge kontrolliert. Angemessene Sicherheitsprüfungen vor wesentlichen Releases und nach kritischen Änderungen.

10. Incident- und Datenschutzverletzungsmanagement – Dokumentierter Prozess für Erkennung, Bewertung, Eindämmung, Beweissicherung, Wiederherstellung und Nachbereitung. Unverzügliche interne Eskalation und Kundeninformation nach Abschnitt 9 des AVV. Erkenntnisse aus Vorfällen fließen in technische und organisatorische Verbesserungen ein.

11. Löschung und Datenträger – Produktive Daten werden nach Kundenweisung und Vertragsende nachvollziehbar gelöscht oder anonymisiert. Sicherungen werden gesperrt und grundsätzlich spätestens innerhalb von 90 Tagen überschrieben, soweit keine Pflicht zur längeren Aufbewahrung besteht. Ausgemusterte lokale Datenträger und Geräte werden sicher gelöscht oder vernichtet.

12. Kontrolle von Dienstleistern – Datenschutz- und Sicherheitsprüfung vor Beauftragung, Abschluss geeigneter Verträge und regelmäßige risikobasierte Neubewertung. Änderungen der Unterauftragsverarbeiter werden nach AVV angekündigt und dokumentiert.

---

Anlage 3 – Unterauftragsverarbeiter

Nicht als Kunden-Unterauftragsverarbeiter geführt: Cloudflare Turnstile schützt öffentliche BEMA-Formulare (Demo, Pilot) vor automatisierten Zugriffen. Diese Verarbeitung erfolgt in eigener Verantwortlichkeit von BEMA im Rahmen des Website-Betriebs, nicht als Auftragsverarbeitung für den Kunden; sie ist in der Datenschutzerklärung abgebildet.

Website-Hosting: Die Marketing-Website wird bei ALL-INKL (Neue Medien Münnich, Deutschland) betrieben. Auftragsdaten der Kunden werden dort nicht verarbeitet; die Formulareingaben werden unmittelbar an die Supabase-Backend-Infrastruktur übertragen.

Zahlungsabwicklung: Ein produktiver Zahlungsdienstleister ist derzeit nicht eingebunden. Mit Aktivierung des öffentlichen Paid-Checkouts wird der eingesetzte Zahlungsdienstleister vor dem ersten produktiven Zahlungsvorgang in diese Anlage aufgenommen und vertraglich gebunden; die Datenschutzerklärung wird entsprechend ergänzt.

Änderungsverfahren – Änderungen werden mindestens 30 Kalendertage vor Einsatz mit Anbieter, Leistung, Ort und Drittlandgarantie angekündigt. Die aktuelle Fassung wird im Control Center oder an der im Hauptvertrag benannten Stelle bereitgestellt.

---

Amtliche und technische Quellen (kein Vertragsbestandteil): DSGVO – Verordnung (EU) 2016/679; EDSA-Leitlinien 07/2020; BfDI – Mustervereinbarung zur Auftragsverarbeitung; Supabase Data Processing Addendum; Resend Data Processing Addendum.