Vertrag zur Auftragsverarbeitung (AVV) nach Art. 28 DSGVO

§ 1 Gegenstand, Dauer und Weisungsgebundenheit

(1) Der Auftragsverarbeiter verarbeitet personenbezogene Daten im Auftrag des Verantwortlichen im Rahmen der Nutzung der Software „Stitchomat“ (Hauptvertrag).

(2) Die Verarbeitung erfolgt ausschließlich auf dokumentierte Weisung des Verantwortlichen. Weisungen erfolgen in Textform oder durch die Konfiguration der Software; letztere gilt als dokumentierte Weisung. Mündliche Weisungen sind unverzüglich in Textform zu bestätigen.

(3) Dieser Vertrag läuft für die Dauer des Hauptvertrags. Er endet automatisch mit diesem, ohne dass es einer gesonderten Kündigung bedarf.

(4) Hält der Auftragsverarbeiter eine Weisung für datenschutzrechtlich unzulässig, teilt er dies dem Verantwortlichen unverzüglich mit und darf ihre Ausführung bis zur Bestätigung aussetzen.

(5) Die Speicherung der Daten erfolgt in Deutschland. Eine Verarbeitung in Drittländern findet nur durch die in Anlage 3 ausgewiesenen Unterauftragsverarbeiter und nur im dort beschriebenen Umfang statt. Eine darüber hinausgehende Übermittlung in ein Drittland erfolgt nur, wenn eine gesetzliche Verpflichtung besteht; in diesem Fall informiert der Auftragsverarbeiter vorab, sofern das Recht dies nicht verbietet.

§ 2 Art, Zweck und Umfang der Verarbeitung

(1) Art, Zweck, Kategorien der Daten und der betroffenen Personen ergeben sich aus Anlage 1.

(2) Der Auftragsverarbeiter verwendet die Daten des Verantwortlichen nicht zum Training von KI-Modellen.

(3) Datenminimierung bei KI. Freitext-Eingaben zu einem Wunschmotiv erhält ein Sprachmodell, das Bildbeschreibung und zu stickende Texte trennt. An Bildmodelle wird nur die daraus abgeleitete Bildbeschreibung übermittelt; zu stickende Namen und Texte werden vorher abgetrennt. Kontaktdaten und Bestellcodes gehen an kein KI-Modell. Namen, Texte und Monogramme aus dem Namensfeld sowie Logo-Uploads werden ohne KI verarbeitet, soweit der Verantwortliche keine KI-Bereinigung nutzt.

(4) Keine automatisierte Entscheidung im Einzelfall im Sinne von Art. 22 DSGVO. Die KI-Funktionen erzeugen Entwürfe und filtern unzulässige Eingaben; sie entscheiden nicht über Ansprüche, Verträge oder Leistungen. Jede Stickdatei wird vor der Produktion vom Verantwortlichen freigegeben.

(5) Fotos von Personen (Selfies) sind nicht Gegenstand dieses Vertrags. Eine solche Verarbeitung setzt eine gesonderte Vereinbarung voraus.

§ 3 Rechte und Pflichten des Verantwortlichen

(1) Der Verantwortliche ist für die Rechtmäßigkeit der Verarbeitung sowie für die Wahrung der Rechte der betroffenen Personen verantwortlich (Art. 24 DSGVO). Er allein beurteilt, ob er die Daten erheben und dem Auftragsverarbeiter überlassen darf, und informiert seine Endkunden (Art. 13 DSGVO). Der Auftragsverarbeiter stellt hierfür einen Muster-Datenschutzhinweis bereit.

(2) Der Verantwortliche erteilt alle Weisungen nach § 1 Abs. 2 und benennt die hierzu berechtigten Personen; im Kundenkonto gelten seine Administratoren als weisungsberechtigt. Änderungen teilt er unverzüglich mit.

(3) Der Verantwortliche informiert den Auftragsverarbeiter unverzüglich, wenn er Fehler oder Unregelmäßigkeiten bei der Verarbeitung feststellt.

(4) Der Verantwortliche führt das Verzeichnis von Verarbeitungstätigkeiten nach Art. 30 Abs. 1 DSGVO für die von ihm verantworteten Verarbeitungen.

§ 4 Technische und organisatorische Maßnahmen, Vertraulichkeit

(1) Der Auftragsverarbeiter trifft die in Anlage 2 beschriebenen Maßnahmen (Art. 32 DSGVO). Die Maßnahmen unterliegen dem technischen Fortschritt; der Auftragsverarbeiter darf sie anpassen, sofern das Schutzniveau nicht unterschritten wird. Wesentliche Änderungen werden dokumentiert und auf Anfrage mitgeteilt.

(2) Der Auftragsverarbeiter setzt zur Verarbeitung nur Personen ein, die zur Vertraulichkeit verpflichtet und mit den einschlägigen Datenschutzbestimmungen vertraut gemacht wurden. Die Verpflichtung wirkt über das Ende der Tätigkeit hinaus.

§ 5 Unterauftragsverarbeiter

(1) Der Verantwortliche erteilt eine allgemeine Genehmigung zur Beauftragung der in Anlage 3 genannten Unterauftragsverarbeiter.

(2) Die jeweils aktuelle Liste ist unter Subprozessoren veröffentlicht. Über die Hinzuziehung oder den Austausch eines Unterauftragsverarbeiters informiert der Auftragsverarbeiter mindestens 30 Tage vorher in Textform an die Administratoren des Verantwortlichen und aktualisiert gleichzeitig die veröffentlichte Liste. Die Information benennt den Unterauftragsverarbeiter, den Zweck, den Ort der Verarbeitung und den geplanten Zeitpunkt.

(3) Der Verantwortliche kann innerhalb von 14 Tagen ab Zugang der Information aus wichtigem, datenschutzrechtlichem Grund widersprechen. Kann die Leistung ohne den betroffenen Unterauftragsverarbeiter nicht erbracht werden, sind beide Parteien zur Kündigung des Hauptvertrags zum geplanten Wirksamwerden berechtigt.

(4) Der Auftragsverarbeiter verpflichtet Unterauftragsverarbeiter auf ein Datenschutzniveau, das diesem Vertrag entspricht. Für Übermittlungen in Drittländer stellt er geeignete Garantien nach Art. 44 ff. DSGVO sicher.

(5) Keine Unterauftragsverarbeitung sind Nebenleistungen, die der Auftragsverarbeiter zur Ausübung seiner Geschäftstätigkeit in Anspruch nimmt und die nicht auf die Verarbeitung der Daten des Verantwortlichen gerichtet sind – etwa Telekommunikations-, Post-, Transport- oder Wartungsleistungen. Der Auftragsverarbeiter trifft auch hier angemessene Vorkehrungen zum Schutz der Daten. Dies gilt nicht für Wartungs- und Fernwartungsleistungen, bei denen ein Zugriff auf personenbezogene Daten des Verantwortlichen nicht ausgeschlossen werden kann; solche Leistungen unterliegen den Absätzen 1 bis 4.

(6) Haftung für Unterauftragsverarbeiter. Kommt ein Unterauftragsverarbeiter seinen Datenschutzpflichten nicht nach, haftet der Auftragsverarbeiter gegenüber dem Verantwortlichen für die Einhaltung der Pflichten dieses Unterauftragsverarbeiters wie für eigenes Handeln (Art. 28 Abs. 4 Satz 2 DSGVO). Regelungen des Hauptvertrags zur Verfügbarkeit und Leistungserbringung Dritter lassen diese Haftung unberührt.

§ 6 Unterstützung des Verantwortlichen

(1) Der Auftragsverarbeiter unterstützt den Verantwortlichen mit angemessenen Mitteln bei der Erfüllung von Betroffenenrechten (Art. 12–23 DSGVO) sowie bei Datenschutz-Folgenabschätzungen und Konsultationen der Aufsichtsbehörde (Art. 32–36 DSGVO). Auf Weisung sucht, exportiert oder löscht er Aufträge anhand des Bestellcodes.

(2) Wendet sich eine betroffene Person direkt an den Auftragsverarbeiter, leitet dieser das Anliegen unverzüglich an den Verantwortlichen weiter und beantwortet es nicht selbst.

(3) Auskünfte erteilt der Auftragsverarbeiter innerhalb von sieben Werktagen. Berichtigungen und Löschungen einzelner Datensätze führt er nur auf dokumentierte Weisung aus.

§ 7 Meldung von Verletzungen des Schutzes personenbezogener Daten

Der Auftragsverarbeiter meldet dem Verantwortlichen jede ihm bekannt gewordene Verletzung des Schutzes personenbezogener Daten unverzüglich, spätestens innerhalb von 24 Stunden nach Kenntnis, und stellt die zur Meldung nach Art. 33 DSGVO erforderlichen Informationen bereit. Liegen noch nicht alle Informationen vor, meldet er zunächst den bekannten Sachverhalt und ergänzt ihn unverzüglich.

§ 8 Kontrollrechte

(1) Der Verantwortliche kann sich von der Einhaltung dieses Vertrags überzeugen. Der Auftragsverarbeiter stellt hierzu die erforderlichen Informationen bereit, insbesondere die Dokumentation der Maßnahmen nach Anlage 2.

(2) Vor-Ort-Kontrollen sind nach angemessener Vorankündigung von mindestens 14 Tagen während der üblichen Geschäftszeiten zulässig, ohne den Betrieb unangemessen zu stören. Der Auftragsverarbeiter kann die Kontrolle von einer Verschwiegenheitsverpflichtung abhängig machen und den Schutz der Daten anderer Kunden sicherstellen.

(3) Der Nachweis kann auch durch aktuelle Testate, Zertifikate oder Berichte unabhängiger Stellen geführt werden.

§ 9 Löschung und Rückgabe

(1) Während der Laufzeit löscht der Auftragsverarbeiter Daten nach den in Anlage 1 genannten oder den mit dem Verantwortlichen vereinbarten Fristen.

(2) Nach Beendigung des Hauptvertrags wählt der Verantwortliche, ob die noch gespeicherten Daten zurückgegeben oder gelöscht werden. Der Auftragsverarbeiter stellt sie hierzu 30 Tage lang zum Export bereit. Trifft der Verantwortliche innerhalb dieser Frist keine Wahl, werden die Daten gelöscht, sofern keine gesetzliche Aufbewahrungspflicht entgegensteht. Sicherungskopien, soweit vorhanden, laufen nach den in Anlage 2 genannten Zeiträumen turnusmäßig aus und werden bis dahin nicht für andere Zwecke verarbeitet.

(3) Zugriffsprotokolle. Von der Löschung nach Absatz 2 ausgenommen sind die Zugriffsprotokolle der Server. Sie entstehen bei jedem Abruf und enthalten die in Anlage 1 genannten Angaben, insbesondere die IP-Adresse des Abrufenden; Gestaltungseingaben, Dateien und Zugangsdaten enthalten sie nicht. Der Auftragsverarbeiter verarbeitet sie ausschließlich zur Gewährleistung der Betriebssicherheit, zur Erkennung und Aufklärung von Angriffen und Missbrauch sowie zur Fehlersuche (Art. 32 Abs. 1 DSGVO) und bewahrt sie 180 Tage ab ihrer Entstehung auf; danach werden sie automatisiert gelöscht. Eine Verarbeitung zu anderen Zwecken, insbesondere zur Analyse des Nutzungsverhaltens, zur Reichweitenmessung oder zum Training von KI-Modellen, findet nicht statt.

(4) Löschungen werden ohne personenbezogene Inhalte protokolliert. Auf Anforderung bestätigt der Auftragsverarbeiter die Löschung in Textform. Ein Zurückbehaltungsrecht an den Daten des Verantwortlichen nach § 273 BGB ist ausgeschlossen.

§ 10 Behördliche Zugriffe und Herausgabeverlangen

(1) Wird dem Auftragsverarbeiter ein Herausgabe-, Auskunfts- oder Beschlagnahmeverlangen einer Behörde oder eines Gerichts hinsichtlich der Daten des Verantwortlichen zugestellt, informiert er den Verantwortlichen unverzüglich, sofern ihm dies nicht rechtlich untersagt ist.

(2) Der Auftragsverarbeiter weist die anfragende Stelle darauf hin, dass die Entscheidungsbefugnis über die Daten beim Verantwortlichen liegt, und gibt Daten nur heraus, soweit er hierzu rechtlich verpflichtet ist. Er prüft das Verlangen auf seine Rechtmäßigkeit und schöpft zumutbare Rechtsbehelfe aus.

(3) Ein Herausgabeverlangen aus einem Drittland erfüllt der Auftragsverarbeiter nur unter den Voraussetzungen des Art. 48 DSGVO.

§ 11 Haftung

(1) Für Schäden, die nicht auf der Verletzung datenschutzrechtlicher Pflichten beruhen, gilt die Haftungsregelung des Hauptvertrags.

(2) Die Haftung gegenüber betroffenen Personen nach Art. 82 DSGVO bleibt unberührt; sie wird durch diesen Vertrag weder ausgeschlossen noch beschränkt.

(3) Innenausgleich. Im Innenverhältnis tragen die Parteien einen nach Art. 82 Abs. 4 DSGVO geleisteten Schadensersatz nach dem Anteil ihrer jeweiligen Verantwortung für den eingetretenen Schaden (Art. 82 Abs. 5 DSGVO). Die summenmäßigen Haftungsbegrenzungen des Hauptvertrags finden auf diesen Ausgleichsanspruch keine Anwendung, soweit er auf der Verletzung von Pflichten beruht, die dieser Vertrag oder die DSGVO dem Auftragsverarbeiter speziell auferlegen, oder auf einem Handeln entgegen einer rechtmäßig erteilten Weisung (Art. 82 Abs. 2 Satz 2 DSGVO). Die Haftung des Auftragsverarbeiters nach diesem Absatz ist auf 50.000 EUR je Schadensfall und auf 100.000 EUR je Vertragsjahr begrenzt; Absatz 2 bleibt unberührt.

(4) Verfahren. Wird gegen eine Partei ein Anspruch nach Art. 82 DSGVO geltend gemacht, informiert sie die andere Partei unverzüglich, gibt ihr Gelegenheit zur Stellungnahme und stimmt sich vor einem Anerkenntnis oder einem Vergleich mit ihr ab. Beide Parteien unterstützen einander bei der Abwehr unbegründeter Ansprüche.

§ 12 Schlussbestimmungen

(1) Bei Widersprüchen zwischen diesem Vertrag und dem Hauptvertrag geht dieser Vertrag in datenschutzrechtlichen Fragen vor.

(2) Änderungen bedürfen der Textform.

(3) Es gilt deutsches Recht. Gerichtsstand ist Frankfurt am Main, soweit zulässig.

Anlage 1 – Gegenstand, Daten, betroffene Personen, Fristen

Gegenstand: Betrieb einer Software, mit der Endkunden des Verantwortlichen Stickmotive gestalten und der Verantwortliche daraus Stickdateien erzeugt, prüft, freigibt und herunterlädt.

Dauer: Laufzeit des Hauptvertrags zuzüglich der Fristen aus § 9.

Betroffene Personen

• Endkunden des Verantwortlichen, die über QR-Code, Link oder Kiosk ein Motiv gestalten
• Beschäftigte und Beauftragte des Verantwortlichen (Zugänge zum Mitarbeiterbereich)
• Personen, deren Namen in Stickaufträgen vorkommen

Datenkategorien und Löschfristen

Besondere Kategorien nach Art. 9 DSGVO sind nicht Gegenstand des Auftrags. Sie können jedoch unvermeidbar in freien Textfeldern auftreten, wenn Endkunden sie von sich aus angeben. Der Verantwortliche wirkt darauf hin, dass dies unterbleibt.

Anlage 2 – Technische und organisatorische Maßnahmen

• Zutrittskontrolle: Betrieb ausschließlich in Rechenzentren der Hetzner Online GmbH in Deutschland (ISO 27001 zertifiziert); kein eigener Serverraum, kein physischer Zugang durch den Auftragsverarbeiter.
• Zugangskontrolle: Mitarbeiterbereich nur nach Anmeldung, signiertes Sitzungs-Cookie (HttpOnly, Secure, SameSite=Strict, 12 Stunden), Sperre nach wiederholten Fehlversuchen; ohne hinterlegtes Passwort bleibt der Bereich geschlossen. Betriebszugang zum Cluster nur über ein VPN.
• Zugriffskontrolle: Stickdateien, Garnlisten und Bestellliste nur im Mitarbeiterbereich; Endkunden sehen nur Vorschaubilder ihrer eigenen Entwürfe über zufällige Kennungen. KI-Entwürfe nur über den Stand-QR-Code oder ein angemeldetes Kiosk-Gerät.
• Trennung und Härtung: eigener Namespace mit Netzwerkrichtlinien gegen andere Anwendungen im Cluster; Container ohne Root-Rechte mit schreibgeschütztem Dateisystem (Pod Security „restricted“); schreibende Anfragen nur von der eigenen Herkunft.
• Verschlüsselung: TLS für alle Verbindungen (HSTS); Metadaten (EXIF/GPS) werden aus Uploads entfernt; Uploads nur als PNG, JPEG oder WebP mit Größenbegrenzung.
• Pseudonymisierung: IP-Adressen in Anwendungsprotokollen und Zählern nur als Hash-Wert; Anwendungsprotokolle enthalten keine Wunschtexte und Namen.
• Zugriffsprotokollierung: Jeder Abruf über die Eingangskomponente wird mit IP-Adresse, Zeitpunkt, angefragter Adresse, Statuscode und Browserkennung protokolliert; Kopfzeilen mit Zugangsdaten werden verworfen. Aufbewahrung 180 Tage (§ 9 Abs. 3).
• Löschung: stündlicher automatisierter Löschjob nach Anlage 1 mit Löschprotokoll ohne personenbezogene Inhalte.
• Verfügbarkeit: Cluster mit mehreren Knoten in zwei Rechenzentren; Datenspeicher auf einem Hetzner-Volume. Eine Datensicherung der Gestaltungs- und Bestelldaten besteht derzeit nicht.
• Überwachung: selbst betriebene Fehlererfassung ohne IP-Adressen, Cookies und Anfrageinhalte; Tagesbudget, Sitzungs- und IP-Grenzen sowie ein Not-Aus für die KI-Funktionen.

Mit Einführung von Nutzerkonten und Datenbank kommen hinzu: persönliche Nutzerkonten mit Rollen anstelle eines gemeinsamen Team-Zugangs, Mandantentrennung in Datenbank und Dateispeicher, Downloads über kurzlebige Links nach serverseitiger Rechteprüfung sowie eine tägliche Sicherung von Datenbank und Designs (Rohuploads ausgenommen). Der Auftragsverarbeiter ergänzt diese Anlage dann nach § 4 Abs. 1.

Anlage 3 – Unterauftragsverarbeiter

Es gilt die Liste unter Subprozessoren in der zum Vertragsschluss veröffentlichten Fassung; Änderungen nach § 5.