Auftragsverarbeitungsvertrag (AVV)

zwischen dem Kunden (nachfolgend „Verantwortlicher") und Matthias Schröder, Klein Feldchen 26, 52538 Gangelt (nachfolgend „Auftragsverarbeiter") gemäß Art. 28 DSGVO.

§ 1 Gegenstand & Dauer

Gegenstand ist die Verarbeitung personenbezogener Daten durch den Auftragsverarbeiter im Rahmen der Bereitstellung des Dienstes FMFlow. Die Dauer entspricht der Laufzeit des Hauptvertrags (Nutzungsvertrag/AGB).

§ 2 Art, Zweck, Datenarten, Betroffene

Zweck/Art: Speicherung und Verarbeitung der vom Verantwortlichen eingegebenen Daten zur Verwaltung von Betreiberpflichten, Verträgen, Fristen und Dokumenten.
Datenarten: Kontaktdaten von Firmen und Ansprechpartnern (Name, E-Mail, Telefon), Benutzerdaten der Mitarbeitenden (Name, E-Mail), Inhalte hochgeladener Dokumente.
Betroffene Personen: Mitarbeitende und Ansprechpartner des Verantwortlichen sowie beauftragter Firmen/Dienstleister.

§ 3 Weisungsrecht

Der Auftragsverarbeiter verarbeitet die Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen, sofern keine gesetzliche Pflicht zu einer anderen Verarbeitung besteht.

§ 4 Pflichten des Auftragsverarbeiters

Vertraulichkeit: Verpflichtung der mit der Verarbeitung befassten Personen auf Vertraulichkeit.
Umsetzung und Einhaltung der technischen und organisatorischen Maßnahmen (Anlage 1).
Unterstützung des Verantwortlichen bei Betroffenenrechten und Meldepflichten (Art. 32–36).
unverzügliche Information bei Verdacht auf Datenschutzverletzungen.

§ 5 Technische & organisatorische Maßnahmen (TOMs)

Es gelten die in Anlage 1 beschriebenen Maßnahmen nach Art. 32 DSGVO.

§ 6 Unterauftragsverarbeiter

Der Verantwortliche stimmt dem Einsatz der in Anlage 2 genannten Unterauftragsverarbeiter zu. Weitere Unterauftragnehmer werden vorab mitgeteilt; der Verantwortliche kann begründet widersprechen.

§ 7 Unterstützung & Betroffenenrechte

Der Auftragsverarbeiter unterstützt den Verantwortlichen im Rahmen des Möglichen bei der Erfüllung von Auskunfts-, Berichtigungs-, Löschungs- und sonstigen Betroffenenrechten.

§ 8 Löschung & Rückgabe

Nach Beendigung des Vertrags werden die Daten nach Wahl des Verantwortlichen gelöscht oder zurückgegeben, sofern keine gesetzliche Aufbewahrungspflicht entgegensteht. Der Kunde erhält zuvor angemessen Gelegenheit zum Export.

§ 9 Nachweise & Kontrollen

Der Auftragsverarbeiter stellt dem Verantwortlichen die zum Nachweis der Einhaltung erforderlichen Informationen zur Verfügung und ermöglicht angemessene Überprüfungen.

Anlage 1 – Technische & organisatorische Maßnahmen (Art. 32 DSGVO)

Verschlüsselung ruhender Daten (at rest): Hochgeladene Dokumente werden authentifiziert verschlüsselt (AES-256-GCM) auf dem Datenträger abgelegt – Klartext wird nicht dauerhaft gespeichert. Der Schlüssel liegt außerhalb des Web-Roots und nicht in der Datenbank; ein entwendeter Datenbank- oder Sicherungsbestand gibt die Dateiinhalte daher nicht preis. Datenbank-Sicherungen sind ebenfalls AES-256-GCM-verschlüsselt.
Verschlüsselung bei der Übertragung (in transit): ausschließlich über TLS/HTTPS; HTTP Strict Transport Security (HSTS) erzwingt die verschlüsselte Verbindung.
Vertraulichkeit / Zugangskontrolle: Anmeldung mit individuellen Zugangsdaten, Passwörter nur als sicherer Hash (bcrypt) gespeichert; optionale Zwei-Faktor-Anmeldung (TOTP, Geheimnis verschlüsselt); Bremse gegen automatisiertes Passwortraten (Brute-Force); geschützte Sitzungen (HttpOnly-, Secure-, SameSite-Cookies, Schutz vor Session-Fixation, Sitzungsende bei Passwortwechsel); Schutz vor Cross-Site-Request-Forgery bei allen schreibenden Aktionen.
Zugriffskontrolle: Rollenkonzept (Leser, Erfasser, Administrator); die Betreiber-Ebene ist von den Kundenkonten getrennt. Dokumente liegen außerhalb des Web-Roots, Download nur authentifiziert und mandantengeprüft.
Trennungskontrolle: Mehrmandantenfähigkeit mit datensatzweiser Mandantenkennung, fail-closed (im Zweifel kein Zugriff statt eines Lecks); keine mandantenübergreifenden Zugriffe. Die Trennung wird durch automatisierte Isolationstests vor jeder Auslieferung geprüft; Uploads liegen in mandantenseparaten Verzeichnissen.
Weitergabe-/Transportkontrolle: TLS/HTTPS; strikte Content-Security-Policy und Sicherheits-Header (u. a. X-Frame-Options, nosniff, Referrer- und Permissions-Policy).
Integrität / Eingabekontrolle: SHA-256-Prüfsumme je hochgeladenem Dokument; die authentifizierte Verschlüsselung erkennt Manipulationen; Erfassungsnachweis (wer/wann) je Durchführung und Dokument; Upload-Prüfung nach Dateiendung und echtem Inhaltstyp (MIME) mit Größenbegrenzung.
Verfügbarkeit & Wiederherstellbarkeit: regelmäßige, verschlüsselte Datensicherung (Datenbank und Dokumente) mit Wiederherstellbarkeit; Einzelheiten zu Verfügbarkeit, Sicherungsrhythmus und Wiederanlauf regelt das Service-Level-/ Business-Continuity-Datenblatt.
Belastbarkeit / Freigabe: automatisierte Testsuite als verbindliches Freigabe-Gate vor jeder Auslieferung.
Datenbankzugriff: ausschließlich über parametrisierte Abfragen (Prepared Statements).

Anlage 2 – Unterauftragsverarbeiter

ALL-INKL.COM – Neue Medien Münnich, Inhaber René Münnich, Hauptstraße 68, 02742 Friedersdorf – Hosting, Rechenzentrum und E-Mail-Versand (Deutschland).

Stand: 19.07.2026