Auftragsverarbeitungsvertrag (AVV) – Muster
Stand: Juni 2026 · Mustervertrag gemäß Art. 28 DSGVO · ersetzt keine Rechtsberatung
Der rechtsverbindliche AVV wird bei Mandanten-Freigabe bereitgestellt. Dieses Muster dient der Vorab-Einsicht für B2B-SaaS-Kunden (Vermieter, Eigentümer). Vollständige Markdown-Version: AVV-MUSTER.md.
Vertragsparteien
Auftraggeber (Verantwortlicher): [Name/Firma des Kunden], [Anschrift], E-Mail: [Kontakt]
Auftragsverarbeiter: europaper GmbH, Segeberger Chaussee 36, 22850 Norderstedt · info@europaper.de · Tel. 0800 - 102 32 40
§ 1 Gegenstand und Dauer
Verarbeitung personenbezogener Daten durch europaper GmbH im Auftrag des Kunden im Rahmen der Cloud-Software hemva. Beginn mit Mandanten-Freigabe; Ende mit Hauptvertrag, vorbehaltlich Löschung/Rückgabe (§ 11).
§ 2 Art und Zweck der Verarbeitung
Erhebung, Speicherung, Organisation, Abfrage, Übermittlung in der Software, Löschung — ausschließlich zur Bereitstellung der Verwaltungssoftware und des optionalen Mieterportals auf dokumentierte Weisung des Auftraggebers (Art. 28 Abs. 3 lit. a DSGVO).
§ 3 Datenarten und betroffene Personen
- Mieter/Bewohner: Name, Kontakt, Wohneinheit, Mängelmeldungen, Fotos
- Eigentümer/Vertragspartner: Stammdaten, Vertragsdaten
- Mitarbeiter des Kunden: Zugangsdaten, Nutzungsprotokolle
- Verwaltungs-/Abrechnungsdaten — soweit personenbezogen
§ 4 Pflichten des Auftragsverarbeiters
Vertraulichkeit, TOMs (Art. 32 DSGVO), Unterauftragsverarbeiter nur gemäß § 7, Unterstützung bei Betroffenenrechten (Art. 15–22) und Meldepflichten (Art. 33, 34), Löschung/Rückgabe, Nachweis- und Audit-Möglichkeiten (Art. 28 Abs. 3 lit. h DSGVO).
§ 5 Weisungsrecht
Weisungen in Textform (E-Mail, Ticketsystem, Admin-Einstellungen). Hinweis bei mutmaßlich rechtswidrigen Weisungen; Aussetzung bis zur Klärung.
§ 6 Pflichten des Auftraggebers
Verantwortlicher für die veranlasste Verarbeitung; Rechtsgrundlage, Information der Betroffenen (insb. Mieter), Richtigkeit der Daten.
§ 7 Unterauftragsverarbeiter
Generelle Genehmigung für:
- Hosting / Infrastruktur (Rechenzentrum DE/EU)
- E-Mail-Versand (SMTP-Dienstleister, EU)
- Stripe Payments Europe, Ltd., Dublin — Zahlungsabwicklung
- Google Ireland Limited, Dublin — OAuth (optional)
Information bei Änderungen (mind. 30 Tage Vorlauf); Widerspruchsrecht des Auftraggebers. Drittlandübermittlungen über EU-Standardvertragsklauseln (SCCs), soweit einschlägig.
§ 8 Technische und organisatorische Maßnahmen (TOMs)
Zugangskontrolle, Mandantentrennung, TLS, Backup, Logging, Updates, Rechenzentrumssicherheit — Details in Anlage 1 des AVV-Musters (siehe AVV-MUSTER.md).
§ 9 Meldung von Datenschutzverletzungen
Unverzügliche Meldung an den Auftraggeber (spätestens 48 Stunden); Unterstützung bei Meldepflichten Art. 33/34 DSGVO.
§ 10 Unterstützung bei Betroffenenrechten
Technische Unterstützung bei Auskunft, Löschung, Berichtigung etc. Anfragen an info@europaper.de werden dem Mandanten zugeordnet und weitergeleitet.
§ 11 Löschung und Rückgabe nach Vertragsende
Löschung innerhalb von 30 Tagen nach Vertragsende; Export auf Anforderung (14 Tage Frist); gesetzliche Aufbewahrung → Sperrung; Backups im Rotationszyklus (max. 90 Tage).
§ 12 Kontrollrechte und Audits
Audit/Fragebogen höchstens einmal jährlich nach Terminabstimmung; Nachweise (Zertifikate, TOMs) wo angemessen.
§ 13 Haftung
Haftung nach Hauptvertrag/AGB und gesetzlichen Vorschriften (Art. 82 DSGVO).
§ 14 Schlussbestimmungen
Deutsches Recht; Gerichtsstand Hamburg (B2B); Änderungen in Textform; salvatorische Klausel; deutsche Fassung maßgeblich.
Weitere Informationen: Datenschutzerklärung · AGB § 11 · Vollständiges AVV-Muster (Markdown)