AV-Vertrag

Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO zwischen dem Kunden (Verantwortlicher, im Folgenden „Kunde“) und der Rangsprung GbR, Erlenhofstraße 9, 79256 Buchenbach (Auftragsverarbeiter, im Folgenden „Rangsprung“). Der Vertrag wird mit der Bestellung eines Pakets bzw. dem Start der Testphase geschlossen und gilt, solange Rangsprung für den Kunden personenbezogene Daten verarbeitet. Zum Speichern: im Browser „Drucken“ → „Als PDF speichern“.

1. Gegenstand und Dauer

(1) Rangsprung verarbeitet personenbezogene Daten im Auftrag des Kunden, um die Leistungen nach dem Hauptvertrag (AGB und gebuchtes Paket) zu erbringen. Die Dauer richtet sich nach der Laufzeit des Hauptvertrags.

(2) Dieser Vertrag gilt nur, soweit Rangsprung Daten im Auftrag verarbeitet. Für Daten, die Rangsprung in eigener Verantwortung verarbeitet (z. B. Kontodaten der Ansprechpersonen, Abrechnung), gilt die Datenschutzerklärung.

2. Art, Zweck, Daten und betroffene Personen

Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO) werden nicht planmäßig verarbeitet. Der Kunde stellt keine solchen Daten zur Verarbeitung bereit.

3. Weisungen

(1) Rangsprung verarbeitet die Daten nur auf dokumentierte Weisung des Kunden. Die Weisungen ergeben sich aus dem Hauptvertrag und den Einstellungen, die der Kunde im Dashboard vornimmt; weitere Weisungen erteilt er in Textform.

(2) Hält Rangsprung eine Weisung für rechtswidrig, weist es den Kunden unverzüglich darauf hin und darf die Ausführung aussetzen, bis der Kunde sie bestätigt oder ändert. Ist Rangsprung gesetzlich zu einer Verarbeitung verpflichtet, teilt es dies dem Kunden vorher mit, soweit das Gesetz dies nicht verbietet.

4. Vertraulichkeit

Rangsprung setzt nur Personen ein, die zur Vertraulichkeit verpflichtet sind oder einer gesetzlichen Verschwiegenheitspflicht unterliegen, und gewährt Zugriff nur, soweit er für die Aufgabe nötig ist.

5. Sicherheit der Verarbeitung

Rangsprung trifft die technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO, die in Anlage 1 beschrieben sind. Rangsprung darf sie weiterentwickeln, wenn das Schutzniveau nicht sinkt.

6. Unterauftragsverarbeiter

(1) Der Kunde erteilt die allgemeine Genehmigung, die in Anlage 2 genannten Unterauftragsverarbeiter einzusetzen. Rangsprung verpflichtet sie vertraglich auf ein Schutzniveau, das diesem Vertrag entspricht.

(2) Über beabsichtigte Änderungen informiert Rangsprung den Kunden mindestens 30 Tage vorher in Textform (z. B. per E-Mail oder im Dashboard). Der Kunde kann aus wichtigem datenschutzrechtlichen Grund innerhalb dieser Frist widersprechen. Können sich die Parteien nicht einigen, kann der Kunde den Hauptvertrag zum Zeitpunkt der Änderung kündigen.

(3) Eine Übermittlung in ein Drittland erfolgt nur unter den Voraussetzungen der Art. 44 ff. DSGVO, insbesondere auf Grundlage eines Angemessenheitsbeschlusses (z. B. EU-US Data Privacy Framework) oder der EU-Standardvertragsklauseln.

7. Unterstützung des Kunden

(1) Rangsprung unterstützt den Kunden mit geeigneten Maßnahmen bei der Erfüllung der Rechte betroffener Personen (Art. 12–22 DSGVO). Viele Rechte kann der Kunde selbst im Dashboard ausüben (Export, Löschen, Trennen von Verbindungen). Wendet sich eine betroffene Person direkt an Rangsprung, leitet Rangsprung die Anfrage an den Kunden weiter.

(2) Rangsprung unterstützt den Kunden bei den Pflichten nach Art. 32–36 DSGVO (Sicherheit, Meldung von Verletzungen, Datenschutz-Folgenabschätzung, Konsultation) unter Berücksichtigung der Art der Verarbeitung und der verfügbaren Informationen.

8. Verletzungen des Schutzes personenbezogener Daten

Rangsprung informiert den Kunden unverzüglich, nachdem ihm eine Verletzung des Schutzes personenbezogener Daten bekannt geworden ist, möglichst innerhalb von 48 Stunden, mit den Angaben nach Art. 33 Abs. 3 DSGVO, soweit verfügbar, und trifft die nötigen Maßnahmen zur Eindämmung.

9. Löschung und Rückgabe

Bis zum Ende der Leistungen kann der Kunde seine Daten jederzeit im Dashboard herunterladen. Spätestens 30 Tage danach löscht Rangsprung die im Auftrag verarbeiteten Daten, soweit keine gesetzliche Pflicht zur Aufbewahrung besteht. Zugänge zu Google und anderen Diensten gibt Rangsprung beim Trennen bzw. Löschen zurück. Kopien in Datensicherungen werden im Rahmen der regulären Löschzyklen gelöscht.

10. Nachweise und Kontrollen

Rangsprung stellt dem Kunden auf Anfrage die Informationen zur Verfügung, die zum Nachweis der Pflichten aus diesem Vertrag nötig sind, und ermöglicht Überprüfungen durch den Kunden oder einen von ihm beauftragten, zur Verschwiegenheit verpflichteten Prüfer. Prüfungen vor Ort sind mit angemessener Frist (in der Regel 30 Tage) anzukündigen, finden zu den üblichen Geschäftszeiten statt und sind – außer bei konkretem Anlass – auf einmal pro Jahr beschränkt. Den Aufwand trägt der Kunde, soweit die Prüfung keinen Verstoß ergibt.

11. Haftung und Schlussbestimmungen

(1) Für die Haftung gilt Art. 82 DSGVO; im Übrigen gelten die Haftungsregeln der AGB.

(2) Bei Widersprüchen geht dieser Vertrag den AGB vor, soweit es um den Schutz personenbezogener Daten geht. Änderungen bedürfen der Textform. Es gilt deutsches Recht.

Anlage 1 – Technische und organisatorische Maßnahmen

• Rechenzentren: Website und Datenbank in Frankfurt am Main bei Anbietern mit anerkannten Sicherheitszertifizierungen (z. B. ISO 27001, SOC 2).
• Verschlüsselung: Übertragung ausschließlich verschlüsselt (TLS); Zugangsdaten der Kunden zusätzlich mit AES-256-GCM verschlüsselt gespeichert; Passwörter nur als scrypt-Hash.
• Zugriffsschutz: Anmeldung mit Passwort, signierte Sitzungs-Cookies, Prüfung bei jeder Anfrage, ob Person, Konto und Website zusammengehören; Rechte im Team (nur der Inhaber verwaltet Konto, Team und Websites).
• Schutz vor Missbrauch: Begrenzung der Anmeldeversuche und Anfragen je IP-Adresse, Sicherheits-Kopfzeilen und Inhaltsrichtlinie (CSP), Schutz vor Anfragen an interne Adressen beim Abruf fremder Websites.
• Datensparsamkeit: Von Google nur Lese-Rechte und zusammengefasste Zahlen; an KI-Anbieter nur die für die Aufgabe nötigen Inhalte, keine Daten von Besuchern; Zugang zu verbundenen Systemen nur für Veröffentlichen und Korrekturen.
• Trennung: Daten jeder Website und jedes Kontos sind logisch getrennt.
• Protokollierung und Nachvollziehbarkeit: Änderungen an Kunden-Websites werden protokolliert und können, soweit technisch möglich, rückgängig gemacht werden.
• Verfügbarkeit: regelmäßige Datensicherung durch den Datenbank-Anbieter, Überwachung der Hintergrund-Arbeit mit Warnung bei Störungen.
• Löschung: Export und Löschung durch den Kunden im Dashboard; Löschung nach Vertragsende (Ziffer 9).
• Organisation: Zugriff nur für die Gesellschafter bzw. verpflichtete Personen, Schlüssel und Passwörter nie im Klartext im Quellcode, sondern verschlüsselt verwahrt.

Anlage 2 – Unterauftragsverarbeiter

Stand dieser Liste: 26. Oktober 2026.