Auftragsverarbeitungsvertrag (AVV)

§ 1 Gegenstand und Dauer der Verarbeitung

Der Auftragsverarbeiter stellt dem Verantwortlichen die SaaS-Plattform ManualHQ zur geschützten Bereitstellung von Produktdokumentation zur Verfügung. Im Rahmen dieser Leistung verarbeitet der Auftragsverarbeiter personenbezogene Daten der Endkunden des Verantwortlichen in dessen Auftrag.

Diese Vereinbarung ist Bestandteil des Nutzungsvertrags über die Plattform ManualHQ und gilt automatisch mit dessen Abschluss. Die Dauer entspricht der Laufzeit des Nutzungsvertrags.

§ 2 Art, Zweck und Umfang der Verarbeitung

Zweck der Verarbeitung ist die Bereitstellung, Zugangskontrolle und Protokollierung des Zugriffs auf Produktdokumentation des Verantwortlichen.

Betroffene Personen: Endkunden und Mitarbeiter des Verantwortlichen, die auf freigegebene Dokumente zugreifen.

Kategorien personenbezogener Daten:

• Stammdaten (Name, E-Mail-Adresse)
• Zugangsdaten (Passwort-Hash, 2FA-Konfiguration)
• Nutzungs- und Protokolldaten (Zugriffe auf Dokumente, Downloads, Zeitpunkt, IP-Adresse)
• Freigabedaten (welche Dokumente/Kapitel, Ablaufdaten)

Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO) werden nicht verarbeitet.

§ 3 Pflichten des Auftragsverarbeiters

• Verarbeitung ausschließlich auf dokumentierte Weisung des Verantwortlichen; die Nutzung der Plattform-Funktionen gilt als Weisung.
• Verpflichtung aller mit der Verarbeitung befassten Personen auf Vertraulichkeit.
• Umsetzung und Aufrechterhaltung der technischen und organisatorischen Maßnahmen gemäß Anlage 1 (Art. 32 DSGVO).
• Unterrichtung des Verantwortlichen, wenn eine Weisung nach Auffassung des Auftragsverarbeiters gegen die DSGVO verstößt.
• Keine Verarbeitung der Auftragsdaten zu eigenen Zwecken.

§ 4 Unterauftragsverarbeiter

Der Verantwortliche genehmigt den Einsatz der folgenden Unterauftragsverarbeiter:

• Hetzner Online GmbH, Gunzenhausen (Deutschland) — Hosting und Speicherung (Server und Objektspeicher in Deutschland)
• Brevo (Sendinblue GmbH), Berlin (Deutschland) — Versand von Transaktions-E-Mails
• Cloudflare, Inc., USA — DNS und Schutz vor Angriffen (Übermittlung auf Basis des EU-US Data Privacy Framework und Standardvertragsklauseln)

Der Auftragsverarbeiter informiert den Verantwortlichen über beabsichtigte Änderungen der Unterauftragsverarbeiter mindestens 4 Wochen im Voraus per E-Mail. Der Verantwortliche kann aus wichtigem datenschutzrechtlichem Grund widersprechen; im Fall des Widerspruchs steht beiden Parteien ein außerordentliches Kündigungsrecht zu.

Hinweis: Die Abrechnung des Nutzungsvertrags erfolgt über Stripe Payments Europe Ltd. als eigenständigen Verantwortlichen; sie ist nicht Gegenstand dieser Auftragsverarbeitung.

§ 5 Unterstützung des Verantwortlichen

Der Auftragsverarbeiter unterstützt den Verantwortlichen mit geeigneten technischen und organisatorischen Maßnahmen bei der Erfüllung von Betroffenenrechten (Art. 12–23 DSGVO), insbesondere durch Datenexport- und Löschfunktionen in der Plattform, sowie bei den Pflichten aus Art. 32–36 DSGVO.

§ 6 Meldung von Verletzungen des Schutzes personenbezogener Daten

Der Auftragsverarbeiter meldet dem Verantwortlichen jede Verletzung des Schutzes personenbezogener Daten, die Auftragsdaten betrifft, unverzüglich, spätestens innerhalb von 48 Stunden nach Bekanntwerden, und unterstützt ihn bei der Erfüllung seiner Meldepflichten aus Art. 33 und 34 DSGVO.

§ 7 Löschung und Rückgabe

Nach Beendigung des Nutzungsvertrags löscht der Auftragsverarbeiter sämtliche Auftragsdaten, sofern keine gesetzliche Aufbewahrungspflicht besteht. Der Verantwortliche kann seine Daten vor Vertragsende über die Export-Funktionen der Plattform selbst sichern. Backups werden nach den regulären Rotationszyklen (max. 60 Tage) überschrieben.

§ 8 Nachweise und Kontrollrechte

Der Auftragsverarbeiter stellt dem Verantwortlichen alle erforderlichen Informationen zum Nachweis der Einhaltung der Pflichten aus Art. 28 DSGVO zur Verfügung. Kontrollen vor Ort sind nach vorheriger Ankündigung mit einer Frist von mindestens 14 Tagen zu den üblichen Geschäftszeiten möglich, soweit keine schutzwürdigen Belange anderer Kunden entgegenstehen.

§ 9 Schlussbestimmungen

Es gilt das Recht der Bundesrepublik Deutschland. Bei Widersprüchen zwischen dieser Vereinbarung und dem Nutzungsvertrag geht diese Vereinbarung hinsichtlich der Verarbeitung personenbezogener Daten vor. Sollten einzelne Bestimmungen unwirksam sein, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt.

Anlage 1: Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

• Verschlüsselung: TLS für sämtliche Übertragungen; verschlüsselte Speicherung von Zugangsdaten (Passwort-Hashing nach Stand der Technik).
• Zugangskontrolle: Registrierungspflicht, rollenbasierte Berechtigungen, optionale Zwei-Faktor-Authentifizierung (TOTP + Backup-Codes), Rate Limiting.
• Zugriffskontrolle: Freigaben auf Dokument- und Kapitel-Ebene mit Ablaufdaten; mandantengetrennte Datenhaltung.
• Protokollierung: Revisionssicheres Audit-Log über Zugriffe und Downloads mit automatischer Löschfrist.
• Verfügbarkeit: Tägliche Backups mit Offsite-Kopie (Rechenzentrum in Deutschland), dokumentiertes Wiederherstellungsverfahren.
• Standort: Hosting und Datenspeicherung ausschließlich in Rechenzentren in Deutschland.
• Organisatorisch: Vertraulichkeitsverpflichtung der Mitarbeiter, Prinzip der minimalen Rechtevergabe, Sicherheitsupdates nach definiertem Prozess.