ENTWURF — vor Verkaufsstart juristisch prüfen lassen. Dieses Dokument ist nicht final und darf in dieser Form nicht als verbindlicher Rechtstext veröffentlicht werden.

Vereinbarung zur Auftragsverarbeitung (AVV) nach Art. 28 DSGVO

zwischen dem Kunden des Dienstes sphyr („Verantwortlicher“ oder „Auftraggeber“) und der Carbacan GmbH, Reuterweg 14, 61267 Neu-Anspach, Deutschland („Auftragsverarbeiter“ oder „Auftragnehmer“).

Diese Vereinbarung wird im Online-Bestellprozess elektronisch angenommen und ist Bestandteil des Nutzungsvertrags über den Dienst sphyr („Hauptvertrag“). Sie konkretisiert die datenschutzrechtlichen Pflichten der Parteien nach Art. 28 DSGVO.

§ 1 Gegenstand und Dauer der Verarbeitung

(1) Der Auftragnehmer stellt dem Auftraggeber die Software-as-a-Service-Plattform sphyr bereit (Dokumentenmanagement/Archivierung, E-Mail, Kontaktverwaltung, Rechnungswesen, Projekt- und Zeiterfassung, Personalverwaltung, Chat und KI-Funktionen, jeweils nach gebuchtem Umfang). Dabei verarbeitet er personenbezogene Daten im Auftrag und nach Weisung des Auftraggebers.

(2) Die Dauer der Verarbeitung entspricht der Laufzeit des Hauptvertrags zuzüglich der in § 10 geregelten Export- und Löschfristen.

§ 2 Art und Zweck der Verarbeitung

Art der Verarbeitung: Erhebung, Speicherung, Organisation, Veränderung, Auslesen, Abfragen, Verwendung, Übermittlung an vom Auftraggeber bestimmte Empfänger, Einschränkung, Löschung. Zweck ist ausschließlich die Erbringung der im Hauptvertrag vereinbarten Leistungen (Hosting und Betrieb der Kundeninstanz, Datensicherung, Support, Wartung). KI-Funktionen werden ausschließlich auf eigener Infrastruktur des Auftragnehmers in Deutschland ausgeführt; Eingaben werden nicht zum Training von Modellen verwendet.

§ 3 Kategorien personenbezogener Daten

Gegenstand der Verarbeitung sind insbesondere folgende Datenkategorien, soweit der Auftraggeber sie in seiner Instanz verarbeitet:

Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO) sind nicht Gegenstand des Auftrags, können aber in vom Auftraggeber gespeicherten Dokumenten enthalten sein (z. B. Krankmeldungen im HR-Modul); der Auftraggeber stellt hierfür die erforderliche Rechtsgrundlage sicher.

§ 4 Kategorien betroffener Personen

§ 5 Weisungsrecht des Auftraggebers

(1) Der Auftragnehmer verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Auftraggebers, sofern er nicht durch das Recht der Union oder der Mitgliedstaaten zur Verarbeitung verpflichtet ist; in einem solchen Fall teilt der Auftragnehmer dem Auftraggeber diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht eine solche Mitteilung nicht verbietet.

(2) Die Nutzung der Funktionen des Dienstes durch den Auftraggeber und seine Nutzer gilt als Weisung. Weitergehende Einzelweisungen bedürfen der Textform.

(3) Der Auftragnehmer informiert den Auftraggeber unverzüglich, wenn er der Auffassung ist, dass eine Weisung gegen die DSGVO oder andere Datenschutzbestimmungen verstößt.

§ 6 Pflichten des Auftragnehmers

§ 7 Subunternehmer (weitere Auftragsverarbeiter)

(1) Der Auftraggeber erteilt die allgemeine Genehmigung zur Einschaltung der in Anlage 2 genannten Subunternehmer.

(2) Der Auftragnehmer informiert den Auftraggeber vorab in Textform über beabsichtigte Änderungen (Hinzuziehung oder Ersetzung von Subunternehmern). Der Auftraggeber kann der Änderung innerhalb von 30 Tagen aus wichtigem datenschutzrechtlichem Grund widersprechen. Im Fall des Widerspruchs steht beiden Parteien ein Kündigungsrecht hinsichtlich des Hauptvertrags zu, wenn keine zumutbare Alternative bereitgestellt werden kann.

(3) Der Auftragnehmer verpflichtet Subunternehmer durch Vertrag im Wesentlichen auf dieselben Datenschutzpflichten, die in dieser Vereinbarung festgelegt sind (Art. 28 Abs. 4 DSGVO).

§ 8 Kontroll- und Auditrechte

(1) Der Auftragnehmer stellt dem Auftraggeber alle erforderlichen Informationen zum Nachweis der Einhaltung der Pflichten nach Art. 28 DSGVO zur Verfügung.

(2) Der Auftraggeber ist berechtigt, die Einhaltung dieser Vereinbarung zu überprüfen, in der Regel durch Einholung von Selbstauskünften, aktuellen Testaten oder geeigneten Nachweisen. Inspektionen vor Ort oder durch einen beauftragten Prüfer sind nach angemessener Vorankündigung während der üblichen Geschäftszeiten möglich; sie dürfen den Geschäftsbetrieb des Auftragnehmers und die Vertraulichkeit der Daten anderer Kunden nicht unverhältnismäßig beeinträchtigen.

§ 9 Verzeichnis; Nachweise

Der Auftragnehmer führt ein Verzeichnis der Verarbeitungstätigkeiten nach Art. 30 Abs. 2 DSGVO und stellt dem Auftraggeber auf Anforderung die ihn betreffenden Angaben bereit.

§ 10 Löschung und Rückgabe nach Vertragsende

(1) Nach Beendigung des Hauptvertrags stellt der Auftragnehmer dem Auftraggeber für 30 Tage die Möglichkeit bereit, die in der Instanz gespeicherten Daten in einem gängigen, maschinenlesbaren Format zu exportieren.

(2) Nach Ablauf der Exportfrist löscht der Auftragnehmer die Kundeninstanz einschließlich aller personenbezogenen Daten, sofern keine gesetzliche Aufbewahrungspflicht des Auftragnehmers besteht. Daten in Sicherungskopien werden im Rahmen des regulären Backup-Zyklus (spätestens nach 30 Tagen) überschrieben bzw. gelöscht; bis dahin werden sie nicht aktiv verarbeitet.

(3) Auf Wunsch bestätigt der Auftragnehmer die Löschung in Textform.

§ 11 Haftung; Schlussbestimmungen

(1) Für die Haftung gelten Art. 82 DSGVO sowie ergänzend die Haftungsregelungen des Hauptvertrags.

(2) Bei Widersprüchen zwischen dieser Vereinbarung und dem Hauptvertrag gehen hinsichtlich des Datenschutzes die Regelungen dieser Vereinbarung vor. Es gilt deutsches Recht; Gerichtsstand ist der im Hauptvertrag vereinbarte Gerichtsstand.

Anlage 1: Technische und organisatorische Maßnahmen (TOMs, Art. 32 DSGVO)

1. Vertraulichkeit

2. Integrität

3. Verfügbarkeit und Belastbarkeit

4. Verfahren zur regelmäßigen Überprüfung, Bewertung und Evaluierung

Anlage 2: Genehmigte Subunternehmer

Stand: 12. Juni 2026 (ENTWURF)