Auftragsverarbeitungsvertrag (AVV) nach Art. 28 DSGVO
Entwurf — anwaltliche Prüfung vor produktivem Einsatz erforderlich. Dieser Muster-Auftragsverarbeitungsvertrag wurde zur Erfüllung der Anforderungen des Art. 28 DSGVO erstellt und ist vor dem Einsatz durch eine Fachanwältin bzw. einen Fachanwalt für IT-Recht zu prüfen und freizugeben.
Stand: August 2026
Präambel und Parteien
Dieser Auftragsverarbeitungsvertrag (nachfolgend „AVV") konkretisiert die datenschutzrechtlichen Verpflichtungen der Parteien im Rahmen der Nutzung der Plattform BlenSite. Er wird geschlossen zwischen
dem Kunden als Verantwortlichem im Sinne des Art. 4 Nr. 7 DSGVO (nachfolgend „Verantwortlicher")
und
BlenCode GmbH, Boschstraße 10, 73734 Esslingen am Neckar, Deutschland, als Auftragsverarbeiter im Sinne des Art. 4 Nr. 8 DSGVO (nachfolgend „Auftragsverarbeiter").
Der AVV kommt mit Abschluss eines kostenpflichtigen Vertrags über die Plattform BlenSite und der Bestätigung dieses AVV zustande. Er ist Bestandteil des zwischen den Parteien geschlossenen Hauptvertrags (AGB).
1. Gegenstand, Umfang und Dauer der Verarbeitung
Gegenstand der Verarbeitung ist die Bereitstellung der Plattform BlenSite, insbesondere die Erstellung, das Hosting und die Auslieferung der Website des Verantwortlichen sowie die Verarbeitung von Anfragen, die über das Kontaktformular der Website eingehen. Art und Zweck der Verarbeitung, die Art der personenbezogenen Daten und die Kategorien betroffener Personen ergeben sich aus Anlage 1.
Die Dauer der Verarbeitung entspricht der Laufzeit des Hauptvertrags. Sie endet mit dessen Beendigung, vorbehaltlich der Regelungen in Ziffer 8.
2. Weisungsgebundenheit (Art. 28 Abs. 3 lit. a DSGVO)
Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen, einschließlich in Bezug auf die Übermittlung in Drittländer, sofern er nicht durch das Recht der Union oder der Mitgliedstaaten zur Verarbeitung verpflichtet ist. In einem solchen Fall teilt der Auftragsverarbeiter dem Verantwortlichen diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht eine solche Mitteilung nicht wegen eines wichtigen öffentlichen Interesses verbietet.
Die Nutzung der Plattform gemäß den vertraglichen Einstellungen gilt als dokumentierte Weisung. Weitergehende Einzelweisungen sind in Textform an info@blencode.com zu richten.
Der Auftragsverarbeiter informiert den Verantwortlichen unverzüglich, wenn er der Auffassung ist, dass eine Weisung gegen die DSGVO oder gegen andere Datenschutzbestimmungen verstößt.
3. Vertraulichkeit (Art. 28 Abs. 3 lit. b DSGVO)
Der Auftragsverarbeiter gewährleistet, dass sich die zur Verarbeitung befugten Personen zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen. Die Verpflichtung wirkt auch nach Beendigung des Vertrags fort.
4. Technische und organisatorische Maßnahmen (Art. 28 Abs. 3 lit. c, Art. 32 DSGVO)
Der Auftragsverarbeiter trifft alle nach Art. 32 DSGVO erforderlichen technischen und organisatorischen Maßnahmen (TOM), um ein dem Risiko angemessenes Schutzniveau zu gewährleisten. Die Maßnahmen sind in Anlage 2 beschrieben. Der Auftragsverarbeiter ist berechtigt, die TOM fortzuentwickeln, solange das vereinbarte Schutzniveau nicht unterschritten wird.
5. Unterauftragsverarbeiter (Art. 28 Abs. 2 und Abs. 4 DSGVO)
Der Verantwortliche erteilt dem Auftragsverarbeiter die allgemeine Genehmigung zum Einsatz von Unterauftragsverarbeitern. Der Auftragsverarbeiter setzt zum Zeitpunkt des Vertragsschlusses folgende Unterauftragsverarbeiter ein:
| Unterauftragsverarbeiter | Leistung | Standort |
|---|---|---|
| Amazon Web Services EMEA SARL | Hosting, Datenbank, E-Mail-Versand (SES) | EU (Frankfurt, eu-central-1) |
| Amazon CloudFront (AWS) | Auslieferung/CDN | weltweite Edge-Standorte |
| CCM19 (selbstgehostet, consent.blencode.com) | Cookie-Einwilligung | EU |
| fal.ai (Features & Labels, Inc.) | KI-Bild-/Videogenerierung | USA (Art. 46 DSGVO, Standardvertragsklauseln) |
| Pexels (Canva Germany GmbH) | Stockbilder | EU |
Beabsichtigt der Auftragsverarbeiter, weitere Unterauftragsverarbeiter hinzuzuziehen oder bestehende zu ersetzen, informiert er den Verantwortlichen vorab in Textform. Der Verantwortliche kann einer Änderung aus wichtigem, datenschutzbezogenem Grund innerhalb von 14 Tagen widersprechen. Der Auftragsverarbeiter erlegt jedem Unterauftragsverarbeiter durch Vertrag dieselben Datenschutzpflichten auf, wie sie in diesem AVV festgelegt sind, und bleibt gegenüber dem Verantwortlichen für die Einhaltung dieser Pflichten verantwortlich.
6. Unterstützung bei Betroffenenrechten (Art. 28 Abs. 3 lit. e DSGVO)
Der Auftragsverarbeiter unterstützt den Verantwortlichen nach Möglichkeit mit geeigneten technischen und organisatorischen Maßnahmen bei der Erfüllung von Anträgen betroffener Personen zur Wahrnehmung ihrer Rechte nach Kapitel III der DSGVO (Art. 12 bis 23). Wenden sich betroffene Personen unmittelbar an den Auftragsverarbeiter, leitet er die Anfrage unverzüglich an den Verantwortlichen weiter.
7. Unterstützung bei weiteren Pflichten (Art. 28 Abs. 3 lit. f DSGVO)
Der Auftragsverarbeiter unterstützt den Verantwortlichen bei der Einhaltung der in den Art. 32 bis 36 DSGVO genannten Pflichten, insbesondere bei der Sicherheit der Verarbeitung (Art. 32), der Meldung von Verletzungen des Schutzes personenbezogener Daten (Art. 33, 34), der Datenschutz-Folgenabschätzung (Art. 35) und der vorherigen Konsultation (Art. 36). Der Auftragsverarbeiter meldet dem Verantwortlichen eine ihm bekannt gewordene Verletzung des Schutzes personenbezogener Daten unverzüglich.
8. Löschung und Rückgabe (Art. 28 Abs. 3 lit. g DSGVO)
Nach Abschluss der Erbringung der Verarbeitungsleistungen löscht der Auftragsverarbeiter nach Wahl des Verantwortlichen alle personenbezogenen Daten oder gibt sie zurück und löscht vorhandene Kopien, sofern nicht nach dem Recht der Union oder der Mitgliedstaaten eine Verpflichtung zur Speicherung besteht.
9. Nachweise und Kontrollen (Art. 28 Abs. 3 lit. h DSGVO)
Der Auftragsverarbeiter stellt dem Verantwortlichen alle erforderlichen Informationen zum Nachweis der Einhaltung der in Art. 28 DSGVO niedergelegten Pflichten zur Verfügung und ermöglicht Überprüfungen — einschließlich Inspektionen —, die vom Verantwortlichen oder einem von diesem beauftragten Prüfer durchgeführt werden, und trägt zu diesen bei. Kontrollen erfolgen mit angemessener Vorankündigung und während der üblichen Geschäftszeiten.
10. Haftung
Für die Haftung gelten die Regelungen des Art. 82 DSGVO sowie die Haftungsregelungen des Hauptvertrags (AGB), soweit dieser AVV keine abweichenden Regelungen enthält.
11. Schlussbestimmungen
Es gilt das Recht der Bundesrepublik Deutschland. Sollten einzelne Bestimmungen dieses AVV unwirksam sein, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt. Bei Widersprüchen zwischen diesem AVV und dem Hauptvertrag gehen die Regelungen dieses AVV in datenschutzrechtlichen Fragen vor.
Anlage 1 — Beschreibung der Verarbeitung
- Art der Verarbeitung: Erheben, Speichern, Hosten, Ausliefern, Übermitteln (Kontaktformular), Löschen personenbezogener Daten.
- Zweck der Verarbeitung: Bereitstellung, Betrieb und Auslieferung der Website des Verantwortlichen sowie Weiterleitung von Kontaktanfragen an den Verantwortlichen.
- Art der personenbezogenen Daten: Bestandsdaten (z. B. Name, E-Mail-Adresse, ggf. Telefonnummer aus dem Kontaktformular), Inhaltsdaten (Nachrichtentext), Nutzungs- und Metadaten (z. B. IP-Adresse, Zeitstempel, Server-/CDN-Zugriffsprotokolle).
- Kategorien betroffener Personen: Besucherinnen und Besucher der Website des Verantwortlichen sowie Personen, die das Kontaktformular nutzen.
Anlage 2 — Technische und organisatorische Maßnahmen (Art. 32 DSGVO)
- Vertraulichkeit: Zugangs-, Zutritts- und Zugriffskontrolle; rollenbasierte Zugriffsrechte; Verschlüsselung im Transit (TLS) und at rest (AWS-verwaltete Verschlüsselung).
- Integrität: Eingabe- und Weitergabekontrolle; Trennung von Kunden-Daten (Mandantentrennung).
- Verfügbarkeit und Belastbarkeit: redundante Infrastruktur bei AWS in der EU-Region; Backups; Wiederherstellbarkeit.
- Verfahren zur regelmäßigen Überprüfung, Bewertung und Evaluierung: Protokollierung, Überwachung, regelmäßige Überprüfung der Maßnahmen.