Vertrag über die Auftragsverarbeitung (AVV)

nach Art. 28 DSGVO

Stand: Juli 2026

Zwischen

dem Verantwortlichen — dem Kunden, der das Betreuer Cockpit auf Grundlage des Nutzungsvertrags (AGB) nutzt (nachfolgend „Verantwortlicher“ oder „Auftraggeber“)

und dem Auftragsverarbeiter
Micro SaaS Factory UG (haftungsbeschränkt)
Von-Ascheberg-Weg 45, 48167 Münster
vertreten durch den Geschäftsführer Tobias Schlepphorst
Amtsgericht Münster, HRB 23274
(nachfolgend „Auftragsverarbeiter“ oder „Anbieter“)

— Verantwortlicher und Auftragsverarbeiter nachfolgend einzeln „Partei“, gemeinsam „Parteien“ —

Präambel

Der Anbieter stellt dem Verantwortlichen mit „Betreuer Cockpit“ eine webbasierte Finanzplanungs-Software für selbstständige Berufsbetreuer zur Verfügung (der „Hauptvertrag“, geregelt durch die AGB). Im Rahmen der Nutzung gibt der Verantwortliche personenbezogene Daten ein — insbesondere Daten der von ihm betreuten Personen (Klientinnen und Klienten) —, die der Anbieter im Auftrag des Verantwortlichen verarbeitet.

Der Verantwortliche ist datenschutzrechtlich Verantwortlicher im Sinne des Art. 4 Nr. 7 DSGVO für die von ihm eingegebenen personenbezogenen Daten. Der Anbieter wird insoweit als Auftragsverarbeiter im Sinne des Art. 4 Nr. 8 DSGVO tätig. Dieser Vertrag konkretisiert die datenschutzrechtlichen Verpflichtungen der Parteien gemäß Art. 28 DSGVO.

§ 1 Gegenstand, Dauer und Anwendungsbereich

1. Gegenstand der Verarbeitung ist die Bereitstellung und der Betrieb des Betreuer Cockpit gemäß dem Hauptvertrag. Art, Umfang und Zweck der Verarbeitung, die Art der personenbezogenen Daten sowie die Kategorien betroffener Personen ergeben sich abschließend aus Anlage 1 (Verarbeitungsbeschreibung).
2. Die Dauer dieses Vertrags entspricht der Laufzeit des Hauptvertrags. Eine Kündigung des Hauptvertrags gilt zugleich als Kündigung dieses Vertrags. Eine isolierte Kündigung dieses Vertrags ist ausgeschlossen, solange der Hauptvertrag besteht.
3. Die Verarbeitung findet ausschließlich innerhalb der Europäischen Union bzw. des Europäischen Wirtschaftsraums statt. Eine Verlagerung in ein Drittland erfolgt nur unter den Voraussetzungen der Art. 44 ff. DSGVO und ist in Anlage 3 (Subprozessoren) kenntlich gemacht.
4. Dieser Vertrag wird in Textform (Art. 28 Abs. 9 DSGVO) geschlossen. Der Abschluss erfolgt elektronisch: Der Verantwortliche bestätigt ihn bei der Aktivierung des Profi-Modus im Betreuer Cockpit. Maßgeblich ist die zu diesem Zeitpunkt unter /avv veröffentlichte Fassung. Solange ausschließlich der Simulationsmodus (Starter) genutzt und keine personenbezogenen Daten Dritter verarbeitet werden, ist der Abschluss dieses Vertrags nicht erforderlich.

§ 2 Weisungsrecht des Verantwortlichen

1. Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich im Rahmen der getroffenen Vereinbarungen und nach dokumentierten Weisungen des Verantwortlichen, es sei denn, er ist nach dem Recht der Union oder der Mitgliedstaaten zur Verarbeitung verpflichtet (Art. 28 Abs. 3 lit. a DSGVO). In einem solchen Fall teilt der Auftragsverarbeiter dem Verantwortlichen diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht eine solche Mitteilung nicht wegen eines wichtigen öffentlichen Interesses verbietet.
2. Weisungen werden grundsätzlich in Textform (z. B. per E-Mail) erteilt. Mündliche Weisungen sind unverzüglich in Textform zu bestätigen. Die funktionalen Vorgaben innerhalb der Anwendung (Eingabe-, Verwaltungs- und Löschfunktionen) gelten als Weisungen des Verantwortlichen.
3. Ist der Auftragsverarbeiter der Auffassung, dass eine Weisung gegen datenschutzrechtliche Vorschriften verstößt, so informiert er den Verantwortlichen unverzüglich. Der Auftragsverarbeiter ist berechtigt, die Durchführung der betreffenden Weisung auszusetzen, bis sie vom Verantwortlichen bestätigt oder geändert wird.

§ 3 Vertraulichkeit

1. Der Auftragsverarbeiter setzt zur Verarbeitung nur Personen ein, die zur Vertraulichkeit verpflichtet oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen (Art. 28 Abs. 3 lit. b, Art. 29, Art. 32 Abs. 4 DSGVO).
2. Die zur Verarbeitung befugten Personen werden mit den datenschutzrechtlichen Bestimmungen vertraut gemacht und für die Belange des Datenschutzes sensibilisiert.
3. Die Vertraulichkeitsverpflichtung besteht auch nach Beendigung dieses Vertrags fort.

§ 4 Technische und organisatorische Maßnahmen (TOM)

1. Der Auftragsverarbeiter trifft die zur Gewährleistung eines dem Risiko angemessenen Schutzniveaus erforderlichen technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO. Die konkreten Maßnahmen sind in Anlage 2 (TOM) beschrieben.
2. Die TOM unterliegen dem technischen Fortschritt. Der Auftragsverarbeiter ist berechtigt, alternative, gleichwertige oder höherwertige Maßnahmen umzusetzen, sofern das vereinbarte Schutzniveau nicht unterschritten wird. Wesentliche Änderungen werden dokumentiert.

§ 5 Inanspruchnahme weiterer Auftragsverarbeiter (Subprozessoren)

1. Der Verantwortliche erteilt dem Auftragsverarbeiter die allgemeine schriftliche Genehmigung im Sinne des Art. 28 Abs. 2 S. 2 DSGVO zur Hinzuziehung der in Anlage 3 (Subprozessoren) aufgeführten Unterauftragsverarbeiter.
2. Beabsichtigt der Auftragsverarbeiter, einen weiteren Subprozessor hinzuzuziehen oder einen bestehenden zu ersetzen, informiert er den Verantwortlichen hierüber vorab in Textform (z. B. per E-Mail oder durch Aktualisierung der im Produkt verlinkten Subprozessoren-Liste mit Benachrichtigung). Der Verantwortliche kann der Änderung innerhalb von vierzehn (14) Tagen aus wichtigem, datenschutzrechtlich begründetem Anlass widersprechen.
3. Widerspricht der Verantwortliche, bemühen sich die Parteien um eine einvernehmliche Lösung. Kann eine solche nicht gefunden werden und ist der Einsatz des Subprozessors für die Leistungserbringung erforderlich, ist jede Partei berechtigt, den Hauptvertrag mit angemessener Frist zu kündigen.
4. Der Auftragsverarbeiter erlegt dem Subprozessor durch vertragliche Vereinbarung dieselben Datenschutzpflichten auf, wie sie in diesem Vertrag festgelegt sind (Art. 28 Abs. 4 DSGVO). Kommt der Subprozessor seinen Datenschutzpflichten nicht nach, haftet der Auftragsverarbeiter gegenüber dem Verantwortlichen für die Einhaltung der Pflichten dieses Subprozessors.
5. Nicht als Subprozessoren im Sinne dieser Regelung gelten Dienste, die der Auftragsverarbeiter als Nebenleistung in Anspruch nimmt und die nicht der Verarbeitung der Auftragsdaten dienen (z. B. Telekommunikations- oder reine Wartungsleistungen ohne Zugriff auf personenbezogene Daten).

§ 6 Unterstützung des Verantwortlichen

1. Betroffenenrechte (Art. 28 Abs. 3 lit. e DSGVO). Der Auftragsverarbeiter unterstützt den Verantwortlichen mit geeigneten technischen und organisatorischen Maßnahmen nach Möglichkeit bei der Erfüllung seiner Pflicht zur Beantwortung von Anträgen betroffener Personen auf Wahrnehmung ihrer Rechte (Art. 12–23 DSGVO). Wendet sich eine betroffene Person unmittelbar an den Auftragsverarbeiter, leitet dieser das Ersuchen unverzüglich an den Verantwortlichen weiter.
2. Sicherheit, Meldepflichten, Datenschutz-Folgenabschätzung (Art. 28 Abs. 3 lit. f DSGVO). Der Auftragsverarbeiter unterstützt den Verantwortlichen unter Berücksichtigung der Art der Verarbeitung und der ihm zur Verfügung stehenden Informationen bei der Einhaltung der Pflichten aus:
   • Art. 32 DSGVO (Sicherheit der Verarbeitung),
   • Art. 33 und 34 DSGVO (Meldung von Verletzungen des Schutzes personenbezogener Daten),
   • Art. 35 DSGVO (Datenschutz-Folgenabschätzung / DPIA) und
   • Art. 36 DSGVO (vorherige Konsultation der Aufsichtsbehörde).
3. Für Unterstützungsleistungen, die über die im Hauptvertrag vereinbarte Leistung hinausgehen und einen erheblichen Mehraufwand verursachen, kann der Auftragsverarbeiter eine angemessene Vergütung verlangen; dies gilt nicht, soweit der Mehraufwand auf einem vom Auftragsverarbeiter zu vertretenden Umstand beruht.

§ 7 Meldung von Datenschutzverletzungen

1. Der Auftragsverarbeiter meldet dem Verantwortlichen jede ihm bekannt gewordene Verletzung des Schutzes personenbezogener Daten, die die Auftragsdaten betrifft, unverzüglich, in der Regel innerhalb von 48 Stunden nach Bekanntwerden.
2. Die Meldung enthält mindestens die nach Art. 33 Abs. 3 DSGVO erforderlichen Angaben, soweit sie dem Auftragsverarbeiter vorliegen (Art der Verletzung, betroffene Kategorien und Anzahl, wahrscheinliche Folgen, ergriffene oder vorgeschlagene Maßnahmen, Kontaktstelle).
3. Die Meldung an die zuständige Aufsichtsbehörde sowie ggf. an die betroffenen Personen obliegt dem Verantwortlichen.

§ 8 Kontroll- und Nachweisrechte

1. Der Auftragsverarbeiter stellt dem Verantwortlichen alle erforderlichen Informationen zum Nachweis der Einhaltung der in Art. 28 DSGVO niedergelegten Pflichten zur Verfügung und ermöglicht Überprüfungen — einschließlich Inspektionen —, die vom Verantwortlichen oder einem von diesem beauftragten Prüfer durchgeführt werden (Art. 28 Abs. 3 lit. h DSGVO).
2. Der Nachweis kann auch durch die Vorlage geeigneter Zertifizierungen, Testate oder Berichte (z. B. nach anerkannten Standards) sowie durch Selbstauskünfte erfolgen, soweit dies zur Erbringung des Nachweises ausreicht.
3. Vor-Ort-Kontrollen sind mit angemessenem Vorlauf (in der Regel mindestens 14 Tage), während der üblichen Geschäftszeiten, ohne Störung des Betriebsablaufs und unter Wahrung der Geheimhaltungspflichten gegenüber Dritten durchzuführen. Sie sind grundsätzlich auf einmal pro Kalenderjahr beschränkt, sofern kein besonderer Anlass eine häufigere Kontrolle erfordert.

§ 9 Löschung und Rückgabe nach Beendigung

1. Nach Abschluss der Erbringung der Verarbeitungsleistungen löscht der Auftragsverarbeiter nach Wahl des Verantwortlichen alle personenbezogenen Daten oder gibt sie zurück, sofern nicht nach dem Recht der Union oder der Mitgliedstaaten eine Verpflichtung zur Speicherung der Daten besteht (Art. 28 Abs. 3 lit. g DSGVO).
2. Der Verantwortliche kann seine Daten während der Vertragslaufzeit jederzeit selbst über die Export- und Löschfunktionen der Anwendung exportieren bzw. löschen.
3. Sofern der Verantwortliche keine abweichende Weisung erteilt, werden die Auftragsdaten nach Beendigung des Hauptvertrags innerhalb von 30 Tagen gelöscht. Bestehende gesetzliche Aufbewahrungspflichten bleiben unberührt; insoweit werden die Daten gesperrt.
4. Die Löschung von Datensicherungen (Backups) erfolgt im Rahmen der regulären Backup-Zyklen.

§ 10 Haftung

1. Für die Haftung der Parteien gegenüber betroffenen Personen gilt Art. 82 DSGVO.
2. Im Innenverhältnis haftet jede Partei für Schäden, die durch eine ihr zurechenbare Verletzung dieses Vertrags oder der DSGVO entstehen. Die Haftungsregelungen des Hauptvertrags (AGB) gelten ergänzend, soweit sie zwingenden datenschutzrechtlichen Vorgaben nicht entgegenstehen.

§ 11 Schlussbestimmungen

1. Sollten einzelne Bestimmungen dieses Vertrags unwirksam sein oder werden, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt. Anstelle der unwirksamen Bestimmung gilt eine Regelung als vereinbart, die dem wirtschaftlich und datenschutzrechtlich Gewollten am nächsten kommt.
2. Bei Widersprüchen zwischen diesem Vertrag und dem Hauptvertrag gehen die Regelungen dieses Vertrags in Bezug auf den Datenschutz vor.
3. Änderungen und Ergänzungen dieses Vertrags bedürfen der Textform. Dies gilt auch für die Aufhebung dieses Schriftform- bzw. Textformerfordernisses.
4. Es gilt das Recht der Bundesrepublik Deutschland. Gerichtsstand ist, soweit gesetzlich zulässig, Münster.

Anlage 1 — Verarbeitungsbeschreibung

nach Art. 28 Abs. 3 DSGVO

1. Gegenstand der Verarbeitung

Bereitstellung und Betrieb der webbasierten Finanzplanungs-Software „Betreuer Cockpit“. Im Rahmen der Nutzung speichert und verarbeitet der Auftragsverarbeiter die vom Verantwortlichen eingegebenen personenbezogenen Daten, um die vertraglich geschuldeten Funktionen (Vergütungs-, Steuer-, Sozialversicherungs- und Liquiditätsberechnungen, Klientenverwaltung) zu erbringen.

Rechtsgrundlage der Verarbeitung der Klientendaten durch den Verantwortlichen ist § 1821 BGB in Verbindung mit § 20 BtOG (bereichsspezifische Befugnis des Betreuers zur Verarbeitung personenbezogener Daten — einschließlich besonderer Kategorien nach Art. 9 DSGVO —, soweit dies zur Erfüllung seiner Aufgaben nach §§ 1814 ff. BGB erforderlich ist).

2. Art und Zweck der Verarbeitung

Der Zweck der Verarbeitung ist auf die Erbringung der im Hauptvertrag (AGB) beschriebenen Leistung beschränkt. Eine Verarbeitung zu eigenen Zwecken des Auftragsverarbeiters findet nicht statt.

3. Art der personenbezogenen Daten

• Stammdaten der betreuten Personen (Klienten): Name bzw. Kennung, Betreuungsbeginn, Aktenzeichen, Wohnform (stationär / ambulant / sonstige), Vermögensstatus (mittellos / vermögend), zeitabhängige Statusänderungen.
• Finanz- und Vergütungsdaten: Vergütungsansprüche, abgerechnete Beträge, Betriebseinnahmen, Betriebsausgaben, geplante und tatsächliche Werte.
• Bank- und Transaktionsdaten (bei Nutzung des Bank-Kontoabrufs oder des CSV-Imports): Kontoumsätze (Buchungsdatum, Betrag, Verwendungszweck, Zahlungsbeteiligte), Salden, Konto-Stammdaten (IBAN, Bankname) sowie der verschlüsselt gespeicherte Berechtigungsnachweis für Folgeabrufe (ohne Zugangsdaten). Verwendungszweck-Angaben können personenbezogene Daten Dritter — insbesondere betreuter Personen — enthalten.
• Konto- und Profildaten des Verantwortlichen: E-Mail-Adresse, Name, Profil- und Berechnungseinstellungen, Persona (Starter/Profi), auf Wunsch gespeicherte Bankverbindungsdaten (Bank, IBAN, Anmeldename — niemals PIN oder TAN).

Hinweis: Die Anwendung sieht technisch keine Eingabefelder für besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO vor (Privacy by Design, Art. 25 DSGVO); erfasst werden ausschließlich strukturierte Stamm-, Betreuungs- und Finanzdaten, keine Freitext-, Gesundheits- oder Diagnosefelder. Der Verantwortliche ist gehalten, betreute Personen nach Möglichkeit pseudonymisiert (z. B. über Aktenzeichen oder Initialen) zu erfassen. Soweit im Ausnahmefall dennoch Art.-9-Daten verarbeitet werden, bildet § 20 BtOG die Rechtsgrundlage für deren Verarbeitung durch den Verantwortlichen.

4. Kategorien betroffener Personen

• Die vom Verantwortlichen betreuten Personen (Klientinnen und Klienten).
• Der Verantwortliche selbst als Nutzer der Anwendung (Konto-/Profildaten).

5. Ort der Verarbeitung

Innerhalb der Europäischen Union bzw. des Europäischen Wirtschaftsraums. Zu möglichen Drittlandbezügen einzelner Subprozessoren siehe Anlage 3 (Subprozessoren).

6. Dauer der Speicherung

Bis zur Löschung durch den Verantwortlichen, bis zur Beendigung des Hauptvertrags (anschließend Löschung binnen 30 Tagen) bzw. bis zum Ablauf gesetzlicher Aufbewahrungsfristen. Server-Logfiles werden nach 30 Tagen gelöscht.

Anlage 2 — Technische und Organisatorische Maßnahmen (TOM)

nach Art. 32 DSGVO

Diese TOM beschreiben den angestrebten Soll-Zustand. Vor Go-Live ist jede Maßnahme gegen den tatsächlichen technischen Stand abzugleichen (insbesondere Backup-Konzept, Zugriffskonzept, Verschlüsselungsdetails). Punkte, die noch zu verifizieren sind, sind als (zu verifizieren) gekennzeichnet.

Der Auftragsverarbeiter betreibt das Betreuer Cockpit auf der Cloud-Infrastruktur von Google (Firebase / Google Cloud, EU-Region). Ein wesentlicher Teil der nachfolgenden Maßnahmen wird daher durch die zertifizierte Infrastruktur des Cloud-Anbieters erbracht; ergänzend kommen die auf Anwendungsebene umgesetzten Maßnahmen des Auftragsverarbeiters hinzu.

1. Vertraulichkeit (Art. 32 Abs. 1 lit. b DSGVO)

Zutrittskontrolle (physisch): Betrieb in zertifizierten Google-Cloud-Rechenzentren (EU-Region). Physische Zutrittskontrolle, Bewachung und Zugangsprotokollierung obliegen dem Cloud-Anbieter (vgl. dessen ISO-27001-/SOC- Zertifizierungen). Der Auftragsverarbeiter selbst betreibt keine eigenen Server mit personenbezogenen Daten.

Zugangskontrolle (System): Authentifizierung der Nutzer über Firebase Authentication (E-Mail/Passwort, Google-Login). Passwörter werden ausschließlich gehasht gespeichert. Zugang zur Administrations-/Entwicklungsumgebung nur für berechtigte Personen mit individuellen Konten und aktivierter Zwei-Faktor-Authentifizierung auf allen Zugängen. Trennung von Test-/Entwicklungs- und Produktivumgebung (getrennte Firestore-Datenbanken). Automatische Sitzungsbeendigung nach 30 Minuten ohne Nutzeraktivität (Abmeldung mit vorheriger Warnung; beim erneuten Öffnen nach längerer Inaktivität unmittelbar beim Start).

Zugriffskontrolle (Berechtigungen): Mandantentrennung — jeder Nutzer kann ausschließlich auf die seinem Konto zugeordneten Daten zugreifen (Datenpfad users/{uid}/…). Durchsetzung über serverseitige Firestore Security Rules. Schreibende Zugriffe laufen über serverseitige API-Routen mit dem Admin-SDK; clientseitige Direktzugriffe sind durch die Security Rules beschränkt. Need-to-know-Prinzip für administrative Zugriffe des Auftragsverarbeiters.

Pseudonymisierung und Verschlüsselung: Transportverschlüsselung — gesamte Kommunikation ausschließlich über TLS/HTTPS (Port 443). Verschlüsselung im Ruhezustand — Daten in Cloud Firestore werden durch den Cloud-Anbieter serverseitig verschlüsselt gespeichert (AES-256, at-rest). Bank-Kontoabruf — Online-Banking-Zugangsdaten (PIN/TAN) werden zu keinem Zeitpunkt an Server des Auftragsverarbeiters übermittelt oder dort gespeichert; sie verbleiben im Browser des Verantwortlichen und werden ausschließlich verschlüsselt an die Bank durchgeleitet. Der für Folgeabrufe gespeicherte Berechtigungsnachweis (Consent) wird zusätzlich zur At-Rest-Verschlüsselung anwendungsseitig mit AES-256-GCM verschlüsselt (Schlüsselableitung per HKDF). Empfehlung an den Verantwortlichen zur pseudonymisierten Erfassung betreuter Personen (siehe Anlage 1, Ziff. 3).

Abwägungsentscheid zur anwendungsseitigen Verschlüsselung: Eine zusätzliche client- bzw. anwendungsseitige Ende-zu-Ende-Verschlüsselung der Klientendaten wurde bewusst nicht umgesetzt. Das Schutzniveau wird durch die serverseitige At-Rest-Verschlüsselung (AES-256), die Transportverschlüsselung (TLS) und die mandantentrennenden Firestore Security Rules als angemessen im Sinne des Art. 32 DSGVO bewertet; das maßgebliche Bedrohungsmodell betrifft die Zugangs- und Schlüsselverwaltung, nicht die Verschlüsselung selbst. Eine clientseitige Verschlüsselung würde zudem die serverseitige Durchführung der Finanzberechnungen (Vergütung, Steuer, Liquidität) ausschließen und steht damit dem Funktionszweck entgegen. Die Entscheidung wird hier zu Dokumentationszwecken nach dem Grundsatz der Rechenschaftspflicht (Art. 5 Abs. 2 DSGVO) festgehalten.

2. Integrität (Art. 32 Abs. 1 lit. b DSGVO)

Weitergabekontrolle: Datenübermittlung an Subprozessoren ausschließlich verschlüsselt (TLS) und auf Grundlage von Auftragsverarbeitungsverträgen (siehe Anlage 3). Keine Übermittlung der Auftragsdaten an unberechtigte Dritte.

Eingabekontrolle: Datenänderungen erfolgen durch den authentifizierten Verantwortlichen über die Anwendung. Serverseitige Protokollierung von Zugriffen und systemrelevanten Vorgängen (Server-Logs, Aufbewahrung 30 Tage).

Fehlerprotokollierung (Anwendungsebene): Zur Verfügbarkeits- und Integritätskontrolle protokolliert die Anwendung technische Fehler-Ereignisse aus der Bank-Aktualisierung, dem CSV-Bankimport und dem Klientendaten-Import (Zeitpunkt, Nutzerkennung, klassifizierte Fehlerkategorie, ggf. Bankname, App-Version, strukturelle Kontextangaben wie Zeilennummer oder Feldname). Datenminimierung — erfasst werden ausschließlich klassifizierte Typ-Kategorien, keine Roh-Fehlertexte; Klienten- und Buchungsdaten (Namen, Aktenzeichen, Feldwerte, IBANs, Beträge) sowie Zugangsdaten werden nicht protokolliert. Zugriffsbeschränkung — ausschließlich Administratoren über das zugriffsgeschützte Admin-Backend. Automatisiertes Löschkonzept — Löschung nach 90 Tagen (TTL) ohne manuellen Eingriff.

3. Verfügbarkeit und Belastbarkeit (Art. 32 Abs. 1 lit. b, c DSGVO)

• Hochverfügbare, redundante Cloud-Infrastruktur des Cloud-Anbieters.
• Automatisierte Sicherung der Produktivdatenbank: Point-in-Time Recovery (PITR) mit Wiederherstellung auf jeden Zeitpunkt der letzten sieben Tage sowie wöchentliche geplante Sicherungen (sonntags) mit 42 Tagen (sechs Wochen) Aufbewahrung.
• Schutz gegen Datenverlust durch infrastrukturseitige Replikation innerhalb der EU-Region.
• Long-Polling-Konfiguration zur Sicherstellung der Erreichbarkeit auch hinter institutionellen Firewalls.

4. Verfahren zur regelmäßigen Überprüfung (Art. 32 Abs. 1 lit. d DSGVO)

Datenschutz-Management: Datenschutzerklärung, AVV, TOM und Subprozessoren-Liste werden gepflegt und aktuell gehalten. Berücksichtigung der Datenschutzgrundsätze bereits bei Entwurf und Voreinstellungen (Privacy by Design / by Default, Art. 25 DSGVO).

Incident-Response: Definierter Prozess bei Bekanntwerden einer Datenschutzverletzung: (1) Erfassung und Eindämmung, (2) Bewertung von Art, Umfang und Risiko, (3) Meldung an den Verantwortlichen unverzüglich, in der Regel binnen 48 Stunden (siehe AVV § 7), (4) Dokumentation des Vorfalls und der ergriffenen Maßnahmen.

Auftragskontrolle: Einsatz von Subprozessoren nur auf Grundlage von Art. 28 DSGVO mit entsprechender vertraglicher Verpflichtung. Trennungskontrolle: getrennte Verarbeitung von Test- und Produktivdaten.

5. Maßnahmen auf Anwendungsebene (durch den Auftragsverarbeiter)

• Self-Service-Funktionen für Betroffenenrechte: Datenexport (Art. 20 DSGVO) und vollständige Kontolöschung (Art. 17 DSGVO) sind in der Anwendung umgesetzt.
• Cookie-Consent-Management mit Opt-in für nicht notwendige Dienste (Analyse, Feedback).
• Keine Speicherung von Zahlungsmitteldaten beim Auftragsverarbeiter; Zahlungsabwicklung über den Subprozessor Stripe.

Anlage 3 — Unterauftragsverarbeiter (Subprozessoren)

nach Art. 28 Abs. 2 und 4 DSGVO

Bereinigt nach dem Audit vom 25.06.2026: In dieser Liste verbleiben nur Dienste, die personenbezogene Daten im Auftrag des Verantwortlichen (Klientendaten) verarbeiten. Dienste, die der Anbieter in eigener Verantwortung einsetzt, sind in der Datenschutzerklärung aufgeführt, nicht im AVV.

Der Verantwortliche genehmigt mit Abschluss des AVV den Einsatz der nachfolgend aufgeführten Unterauftragsverarbeiter (allgemeine schriftliche Genehmigung gemäß AVV § 5).

Hinweise zum Drittlandtransfer: Google und Stripe gehören zu Konzernen mit Sitz in den USA. Die jeweiligen US-Entitäten sind unter dem EU-US Data Privacy Framework zertifiziert; ergänzend kommen EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO) zur Anwendung. Die operative Verarbeitung der Auftragsdaten erfolgt in der EU-Region. Formbricks verarbeitet ausschließlich innerhalb der EU; ein Drittlandtransfer findet insoweit nicht statt.

Rollenabgrenzung — nicht als Subprozessoren geführte Dienste: Folgende Dienste wurden nach dem Audit aus der Subprozessoren-Liste entfernt, da sie keine Klientendaten im Auftrag des Verantwortlichen verarbeiten. Sie sind in der Datenschutzerklärung des Anbieters dokumentiert:

• Google Analytics 4 — gemeinsame Verantwortlichkeit nach Art. 26 DSGVO (Beschluss der Datenschutzkonferenz vom 26.05.2020), kein Auftragsverarbeitungsverhältnis.
• Brevo (Sendinblue SAS) — Versand von E-Mails an den Nutzer; Verarbeitung von Kundenstammdaten in eigener Verantwortung des Anbieters.
• YAXI GmbH (Zollhof 7, 90443 Nürnberg) — technischer Übertragungskanal für den optionalen Bank-Kontoabruf. Die Online-Banking-Zugangsdaten des Nutzers und die abgerufenen Kontodaten werden ausschließlich zwischen dem Browser des Nutzers und dessen Bank durchgeleitet; eine inhaltliche Kenntnisnahme oder Speicherung durch die YAXI GmbH findet aufgrund der technischen Ausgestaltung nicht statt. Nach unserer Bewertung liegt damit keine Auftragsverarbeitung im Sinne des Art. 28 DSGVO vor (reine Durchleitung); die Speicherung der Abruf-Ergebnisse erfolgt beim Subprozessor Google (siehe Übersicht).

Die Einordnung von Stripe und Formbricks (Anbieter-eigene Verantwortung vs. Auftragsverarbeitung) ist anwaltlich abschließend zu prüfen; vorsorglich werden sie hier transparent aufgeführt.

Änderungsverfahren: Änderungen dieser Liste (Hinzufügen/Ersetzen von Subprozessoren) werden dem Verantwortlichen gemäß AVV § 5 Abs. 2 vorab in Textform mitgeteilt. Der Verantwortliche hat ein Widerspruchsrecht aus wichtigem, datenschutzrechtlich begründetem Anlass.

Kontakt

Bei Fragen zu diesem AVV wenden Sie sich bitte an: kontakt@betreuer-cockpit.de. Näheres zur Verarbeitung finden Sie auch in unserer Datenschutzerklärung.