Auftragsverarbeitungsvertrag (AVV)

Vollständiger Vertrag

Version 1.0 · Stand: 27.09.2026

§ 1 Parteien und Gegenstand

Dieser Vertrag wird geschlossen zwischen dem Kunden als Verantwortlichem (Art. 4 Nr. 7 DSGVO, italienisch „titolare del trattamento“) und Lisorect d. Locher Matthias, Steinackerstr. 37, IT-39040 Tramin a.d.W. (BZ), MwSt.-Nr. 03221840212, als Auftragsverarbeiter (Art. 4 Nr. 8 DSGVO, „responsabile del trattamento“). Er regelt die Verarbeitung personenbezogener Daten, die der Auftragsverarbeiter im Rahmen der Nutzungsbedingungen (nachfolgend „Hauptvertrag“) für den Kunden erbringt. Der Vertrag wird mit Annahme der Nutzungsbedingungen bei der Registrierung in elektronischer Form geschlossen (Art. 28 Abs. 9 DSGVO).

§ 2 Dauer

Dieser Vertrag gilt für die Dauer des Hauptvertrages einschließlich der kostenlosen Testphase und endet mit diesem. Die Pflichten nach § 9 (Löschung) und die Vertraulichkeit gelten darüber hinaus fort.

§ 3 Art, Zweck, Datenarten und Betroffene

(1) Art und Zweck: Speicherung, Hosting, Sicherung und technische Bereitstellung der vom Kunden in seiner Instanz erfassten Daten, ausschließlich zur Erbringung des Hauptvertrages; Fehlerbehebung und Support auf Anfrage des Kunden.
(2) Datenarten und Betroffene je Produkt:
• Alle Produkte: Nutzerkonten der Instanz (Name, E-Mail, Benutzername, Passwort-Hash, Rollen, Anmeldezeitpunkte, IP-Adressen) – Betroffene: Nutzer des Kunden.
• LisorectPrjVW: Arbeitszeiten, Projekte, Arbeitsschritte, Abwesenheiten, Fahrten und Spesen – Betroffene: Mitarbeiter des Kunden; Namen und Kontaktdaten von Projekt-Auftraggebern.
• LisorectProdVW: Produktions- und Maschinendaten mit Bezug zu Bedienpersonen (Name, Schicht, Zeitpunkte) – Betroffene: Mitarbeiter des Kunden.
• LisorectConVW: Namen, Kontaktdaten, Einheiten, Anteile, Aufgaben und Vorgänge – Betroffene: Eigentümer, Mieter, Dienstleister und Mitarbeiter.
• LisorectDogVW: Namen, Kontaktdaten, Termine, Leistungen und Tierdaten – Betroffene: Kunden des Kunden.
(3) Die Verarbeitung besonderer Kategorien von Daten (Art. 9, 10 DSGVO) ist nicht vorgesehen; der Kunde verarbeitet solche Daten nur, soweit dies für den bestimmungsgemäßen Zweck zwingend erforderlich ist, und auf eigene Verantwortung.

§ 4 Weisungen

(1) Der Auftragsverarbeiter verarbeitet die Daten ausschließlich auf dokumentierte Weisung des Kunden, es sei denn, er ist nach Unions- oder italienischem Recht zur Verarbeitung verpflichtet; in diesem Fall teilt er dem Kunden dies vorab mit, sofern das Recht dies nicht verbietet.
(2) Die Weisungen ergeben sich aus dem Hauptvertrag, diesem Vertrag und der Nutzung der Funktionen des Produkts durch den Kunden. Weitere Weisungen erteilt der Kunde in Textform (E-Mail an info@lisorect.it).
(3) Hält der Auftragsverarbeiter eine Weisung für rechtswidrig, informiert er den Kunden unverzüglich und darf die Ausführung bis zur Bestätigung aussetzen.
(4) Eine Verarbeitung für eigene Zwecke des Auftragsverarbeiters, insbesondere Auswertung, Profilbildung, Training von Modellen, Werbung oder Weitergabe an Dritte, findet nicht statt.

§ 5 Vertraulichkeit

Der Auftragsverarbeiter stellt sicher, dass alle Personen, die Zugang zu den Daten haben, zur Vertraulichkeit verpflichtet sind oder einer gesetzlichen Verschwiegenheitspflicht unterliegen. Zugriff auf Kundendaten erfolgt nur, soweit er für Betrieb, Sicherheit oder eine Support-Anfrage des Kunden erforderlich ist.

§ 6 Sicherheit der Verarbeitung

Der Auftragsverarbeiter trifft die in Anlage 1 beschriebenen technischen und organisatorischen Maßnahmen (Art. 32 DSGVO). Er darf sie dem Stand der Technik anpassen, sofern das Schutzniveau nicht unterschritten wird. Wesentliche Änderungen werden dokumentiert.

§ 7 Unterauftragsverarbeiter

(1) Der Kunde erteilt die allgemeine Genehmigung zum Einsatz von Unterauftragsverarbeitern. Die bei Vertragsschluss eingesetzten Unterauftragsverarbeiter sind in Anlage 2 aufgeführt und gelten als genehmigt.
(2) Der Auftragsverarbeiter informiert den Kunden mindestens 30 Tage vorab per E-Mail über das Hinzuziehen oder Ersetzen eines Unterauftragsverarbeiters. Der Kunde kann innerhalb dieser Frist aus wichtigem datenschutzrechtlichem Grund widersprechen. Können sich die Parteien nicht einigen, kann der Kunde den Hauptvertrag zum Wirksamwerden der Änderung kündigen.
(3) Der Auftragsverarbeiter erlegt jedem Unterauftragsverarbeiter vertraglich dieselben Datenschutzpflichten auf und haftet gegenüber dem Kunden für deren Einhaltung.

§ 8 Unterstützung des Kunden

(1) Betroffenenrechte: Der Auftragsverarbeiter unterstützt den Kunden mit geeigneten Maßnahmen bei der Beantwortung von Anträgen betroffener Personen (Art. 15–22 DSGVO). Wendet sich eine betroffene Person direkt an ihn, leitet er die Anfrage unverzüglich an den Kunden weiter.
(2) Datenpannen: Der Auftragsverarbeiter meldet dem Kunden eine Verletzung des Schutzes personenbezogener Daten unverzüglich, möglichst innerhalb von 24 Stunden, spätestens innerhalb von 48 Stunden nach Bekanntwerden, mit den Angaben nach Art. 33 Abs. 3 DSGVO, soweit verfügbar. Er ergreift unverzüglich Maßnahmen zur Eindämmung und unterstützt den Kunden bei dessen Melde- und Benachrichtigungspflichten (Art. 33, 34 DSGVO).
(3) Der Auftragsverarbeiter unterstützt den Kunden bei Datenschutz-Folgenabschätzungen und vorherigen Konsultationen (Art. 35, 36 DSGVO) im Rahmen der ihm vorliegenden Informationen.
(4) Über den gewöhnlichen Umfang hinausgehende Unterstützungsleistungen, die nicht auf einem Verstoß des Auftragsverarbeiters beruhen, kann dieser nach Aufwand zu angemessenen Sätzen berechnen.

§ 9 Rückgabe und Löschung

(1) Nach Ende des Hauptvertrages kann der Kunde seine Daten innerhalb von 30 Tagen über die Exportfunktionen sichern oder einen Export in einem gängigen, maschinenlesbaren Format anfordern.
(2) Danach löscht der Auftragsverarbeiter die Instanz mit allen personenbezogenen Daten, sofern nicht eine gesetzliche Pflicht zur Speicherung besteht. Daten in Sicherungskopien werden im regulären Sicherungszyklus, spätestens nach weiteren 90 Tagen, überschrieben. Auf Verlangen bestätigt der Auftragsverarbeiter die Löschung in Textform.

§ 10 Nachweise und Kontrollen

(1) Der Auftragsverarbeiter stellt dem Kunden auf Anfrage alle erforderlichen Informationen zum Nachweis der Einhaltung dieses Vertrages zur Verfügung, vorrangig durch schriftliche Auskünfte und Unterlagen, einschließlich Zertifikaten der Unterauftragsverarbeiter.
(2) Reichen diese nicht aus, kann der Kunde nach Ankündigung mit einer Frist von mindestens 30 Tagen während der Geschäftszeiten höchstens einmal jährlich eine Überprüfung selbst oder durch einen zur Verschwiegenheit verpflichteten Prüfer durchführen, ohne Zugriff auf Daten anderer Kunden und ohne Betriebsstörung. Anlassbezogene Prüfungen nach einer Datenpanne sind jederzeit zulässig. Die Kosten der Prüfung trägt der Kunde, soweit kein Verstoß des Auftragsverarbeiters festgestellt wird.

§ 11 Ort der Verarbeitung

Die Verarbeitung erfolgt ausschließlich in Mitgliedstaaten der Europäischen Union bzw. des EWR. Eine Übermittlung in Drittländer erfolgt nur nach vorheriger Information gemäß § 7 Abs. 2 und nur, wenn die Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind (z. B. Angemessenheitsbeschluss oder EU-Standardvertragsklauseln).

§ 12 Pflichten des Kunden

Der Kunde ist für die Rechtmäßigkeit der Verarbeitung, die Information der betroffenen Personen (z. B. seiner Mitarbeiter nach Art. 13 DSGVO bzw. arbeitsrechtlichen Vorschriften) und die Wahrung ihrer Rechte verantwortlich. Er informiert den Auftragsverarbeiter unverzüglich, wenn er Fehler oder Unregelmäßigkeiten bei der Verarbeitung feststellt.

§ 13 Haftung

Die Haftung gegenüber betroffenen Personen richtet sich nach Art. 82 DSGVO. Im Verhältnis der Parteien zueinander gelten die Haftungsregeln des Hauptvertrages (§ 15 der Nutzungsbedingungen), soweit gesetzlich zulässig.

§ 14 Schlussbestimmungen

(1) Bei Widersprüchen geht dieser Vertrag in Fragen des Datenschutzes dem Hauptvertrag vor.
(2) Änderungen dieses Vertrages werden wie Änderungen der Nutzungsbedingungen (§ 18) mitgeteilt; gesetzlich zwingende Anpassungen bleiben vorbehalten.
(3) Es gilt italienisches Recht; Gerichtsstand ist Bozen. Im Zweifel ist die deutsche Fassung maßgeblich.
(4) Sollte eine Bestimmung unwirksam sein, bleibt der Vertrag im Übrigen wirksam.

Anlage 1 – Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

• Zutrittskontrolle: Server ausschließlich in Rechenzentren der Hetzner Online GmbH in der EU (ISO/IEC 27001-zertifiziert) mit Zutrittskontrolle, Videoüberwachung und 24/7-Sicherheitspersonal.
• Zugangskontrolle: Administrativer Serverzugang nur für den Auftragsverarbeiter über verschlüsselte Verbindungen mit Schlüssel-Authentifizierung; Firewall mit ausschließlich benötigten Ports; Passwörter der Anwendung nur als BCrypt-Hash; automatische Sperre nach wiederholten Fehlanmeldungen.
• Zugriffskontrolle: Rollen- und Berechtigungskonzept in der Anwendung, verwaltet durch den Kunden; Zugriff des Auftragsverarbeiters auf Kundendaten nur anlassbezogen (§ 5).
• Trennungskontrolle: Jeder Kunde erhält eine eigene Instanz mit eigenen Containern, eigenem internen Netzwerk und eigener Datenbank mit eigenen Zugangsdaten; keine gemeinsame Datenhaltung mehrerer Kunden.
• Weitergabekontrolle: Sämtliche Verbindungen zwischen Browser und Plattform per TLS verschlüsselt; Datenbanken nicht aus dem Internet erreichbar.
• Eingabekontrolle: Protokollierung von Anmeldungen und sicherheitsrelevanten Ereignissen.
• Verfügbarkeitskontrolle: Regelmäßige Datensicherung der Instanzen; redundante Strom- und Netzanbindung im Rechenzentrum; Überwachung der Dienste.
• Wiederherstellbarkeit: Wiederherstellung aus Sicherungskopien; regelmäßige Prüfung der Wiederherstellung.
• Organisation: Zeitnahes Einspielen von Sicherheitsupdates; Verfahren zur Meldung von Datenpannen (§ 8); regelmäßige Überprüfung dieser Maßnahmen.

Anlage 2 – Genehmigte Unterauftragsverarbeiter

• Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, Deutschland – Bereitstellung der Server und Rechenzentren (Hosting); Verarbeitungsort: EU.
• Aruba S.p.A., Via San Clemente 53, 24036 Ponte San Pietro (BG), Italien – Versand von E-Mails aus der Plattform (z. B. Benachrichtigungen, Passwort-Links); Verarbeitungsort: EU.

Der Zahlungsdienstleister Mollie B.V. ist kein Unterauftragsverarbeiter: Er erhält keine Daten aus der Instanz des Kunden, sondern nur die Zahlungsdaten des Kunden selbst (siehe Datenschutzerklärung).