Auftragsverarbeitungsvereinbarung (AVV)

1. Vertragsparteien und Rollen

Diese Vereinbarung gilt zwischen dem jeweiligen Kunden als Verantwortlichem (nachfolgend „Auftraggeber“) und

Ilyas Kücüker (milestudio) als Auftragsverarbeiter
Schulstraße 5
76703 Kraichtal, Deutschland
E-Mail: info@milestudio.de

Sie kommt zur Anwendung, sobald milestudio im Rahmen eines Auftrags personenbezogene Daten des Auftraggebers weisungsgebunden verarbeitet – etwa beim Betrieb oder der Wartung eines Shops mit Kundendaten, beim Zugriff auf CRM- oder Analyse-Systeme oder bei der Verarbeitung von Kontakt- und Bestelldaten. Eine reine, abgeschlossene Website-Erstellung ohne fortlaufenden Zugriff auf personenbezogene Daten löst in der Regel keine Auftragsverarbeitung aus.

2. Gegenstand und Dauer

Gegenstand ist die Verarbeitung personenbezogener Daten durch milestudio im Rahmen der mit dem Auftraggeber geschlossenen Hauptvereinbarung (Angebot bzw. Dienstleistungsvertrag). Art, Umfang und Zweck der Verarbeitung, die Art der Daten sowie die Kategorien betroffener Personen ergeben sich aus dem jeweiligen Auftrag (siehe Abschnitt 12). Die Dauer entspricht der Laufzeit des Hauptvertrags; darüber hinausgehende Löschungs- und Rückgabepflichten bleiben unberührt.

3. Weisungsgebundenheit

milestudio verarbeitet personenbezogene Daten ausschließlich im Rahmen der getroffenen Vereinbarungen und nach dokumentierten Weisungen des Auftraggebers (Art. 28 Abs. 3 lit. a, Art. 29 DSGVO), es sei denn, es besteht eine gesetzliche Verpflichtung zur Verarbeitung. Weisungen werden grundsätzlich in Textform erteilt. Ist milestudio der Auffassung, dass eine Weisung gegen Datenschutzrecht verstößt, wird der Auftraggeber unverzüglich darauf hingewiesen.

4. Pflichten von milestudio

• Verarbeitung ausschließlich nach Weisung des Auftraggebers;
• Verpflichtung der zur Verarbeitung befugten Personen zur Vertraulichkeit (Art. 28 Abs. 3 lit. b, Art. 29 DSGVO);
• Umsetzung geeigneter technischer und organisatorischer Maßnahmen nach Art. 32 DSGVO (Abschnitt 5);
• Unterstützung des Auftraggebers bei Betroffenenrechten sowie bei den Pflichten aus Art. 32–36 DSGVO;
• unverzügliche Information bei Datenschutzverletzungen (Abschnitt 8);
• Löschung oder Rückgabe der Daten nach Abschluss der Verarbeitung (Abschnitt 10).

5. Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

milestudio trifft insbesondere folgende Maßnahmen und hält sie ein:

• Vertraulichkeit: individuelle, starke Passwörter und Zwei-Faktor-Authentifizierung bei allen relevanten Diensten; rollenbasierte Zugriffsrechte nach dem Need-to-know-Prinzip;
• Integrität: verschlüsselte Datenübertragung (TLS/HTTPS); Nachvollziehbarkeit von Änderungen, soweit technisch vorgesehen;
• Verfügbarkeit: regelmäßige Backups und Wiederherstellbarkeit; Einsatz etablierter, gehärteter Cloud-Infrastruktur;
• Überprüfung: Beachtung der Grundsätze „Privacy by Design/Default“; schriftliche Weisungen; auf dieselben Pflichten verpflichtete Unterauftragnehmer.

6. Unterauftragsverarbeiter

Der Auftraggeber erteilt die allgemeine Genehmigung zur Beauftragung weiterer Auftragsverarbeiter. milestudio verpflichtet diese vertraglich auf dieselben Datenschutzpflichten (Art. 28 Abs. 4 DSGVO) und informiert den Auftraggeber vorab über beabsichtigte Änderungen, denen er aus wichtigem Grund widersprechen kann. Erfolgt eine Übermittlung in ein Drittland, wird ein angemessenes Datenschutzniveau sichergestellt, insbesondere durch die Standardvertragsklauseln der EU-Kommission (Art. 46 Abs. 2 lit. c DSGVO).

Zum jeweiligen Auftrag eingesetzte Unterauftragnehmer (projektabhängig, u. a.):

• Vercel Inc. (USA) – Hosting/Auslieferung der Website; Drittland auf Basis der EU-Standardvertragsklauseln.
• Supabase Pte. Ltd (Singapur, Datenregion EU/Frankfurt) – Datenbank/Speicher (z. B. Briefing); Drittland auf Basis der EU-Standardvertragsklauseln.
• [Weitere je Projekt, z. B. Shopify International Ltd (Irland), Google Ireland Ltd (Analytics, nur mit Einwilligung), Functional Software Inc. (Sentry, EU-Region).]

7. Betroffenenrechte

Wenden sich betroffene Personen direkt an milestudio, wird der Antrag unverzüglich an den Auftraggeber weitergeleitet. milestudio unterstützt den Auftraggeber mit geeigneten technischen und organisatorischen Maßnahmen dabei, Anträgen betroffener Personen (Kapitel III DSGVO) nachzukommen.

8. Meldung von Datenschutzverletzungen

milestudio meldet dem Auftraggeber jede Verletzung des Schutzes personenbezogener Daten unverzüglich nach Bekanntwerden und unterstützt ihn bei den Melde- und Benachrichtigungspflichten nach Art. 33 und 34 DSGVO.

9. Nachweise und Kontrollen

milestudio stellt dem Auftraggeber alle zum Nachweis der Einhaltung der Pflichten aus Art. 28 DSGVO erforderlichen Informationen zur Verfügung und ermöglicht – nach rechtzeitiger Ankündigung und zu üblichen Geschäftszeiten – Überprüfungen. Der Nachweis kann auch durch geeignete Zertifizierungen oder Berichte unabhängiger Stellen geführt werden.

10. Löschung und Rückgabe

Nach Abschluss der Verarbeitungsleistungen löscht milestudio nach Wahl des Auftraggebers sämtliche personenbezogenen Daten oder gibt sie zurück, sofern keine gesetzliche Aufbewahrungspflicht besteht (Art. 28 Abs. 3 lit. g DSGVO). Die Löschung wird auf Verlangen bestätigt.

11. Haftung und Schlussbestimmungen

Für die Haftung gelten Art. 82 DSGVO sowie die Regelungen des Hauptvertrags. Änderungen bedürfen der Textform. Sollten einzelne Bestimmungen unwirksam sein, bleibt die Vereinbarung im Übrigen wirksam. In datenschutzrechtlichen Fragen gehen die Regelungen dieser Vereinbarung dem Hauptvertrag vor. Es gilt das Recht der Bundesrepublik Deutschland.

12. Konkretisierung im Einzelvertrag

Art und Zweck der Verarbeitung, die Kategorien betroffener Personen und Datenarten sowie die konkreten Angaben zum Auftraggeber werden für den jeweiligen Auftrag festgelegt und diesem als Anlage beigefügt. Auf Wunsch stellen wir die vollständige Vereinbarung als unterschriftsreifes Dokument bereit.

AGB & AVV bestätigen →

Die projektbezogenen Angaben (Art und Zweck der Verarbeitung, Datenarten, betroffene Personen) werden im jeweiligen Einzelvertrag konkretisiert. Fragen dazu? info@milestudio.de. Domain: milestudio.de.