Zum Inhalt springen
AdventJoy
Diese Seite auf EnglischMeinen Kalender erstellen

AVV (Auftragsverarbeitung)

Entwurf, nicht anwaltlich geprüft. Stand: 23.10.2026, Version 1.0

zwischen

dem Kunden (Firmenkunde von AdventJoy, Firma und Anschrift wie bei der Bestellung angegeben), im Folgenden „Verantwortlicher",

und

Daniel Narum, bydaniwp (AdventJoy), Stühlingerstr. 30, 79106 Freiburg im Breisgau, Deutschland, im Folgenden „Auftragsverarbeiter".

Der Verantwortliche schließt diesen Vertrag beim Kauf eines Firmenpakets (Starter, Business, Individuell) durch Setzen des entsprechenden Häkchens in elektronischem Format ab (Art. 28 Abs. 9 DSGVO). Der Auftragsverarbeiter speichert Zeitpunkt und Version des Abschlusses zur Bestellung und sendet diesen Vertrag mit der Kaufbestätigung.

§ 1 Gegenstand und Dauer

  1. Gegenstand ist die Verarbeitung personenbezogener Daten durch den Auftragsverarbeiter im Auftrag des Verantwortlichen bei der Bereitstellung eines digitalen Firmen-Adventskalenders über AdventJoy (Hauptvertrag nach den AGB von AdventJoy).
  2. Der Vertrag gilt für die Dauer des Hauptvertrags und darüber hinaus, bis alle Daten nach § 10 gelöscht oder zurückgegeben sind.

§ 2 Art, Zweck und Umfang der Verarbeitung
Art der Verarbeitung Speichern, Hosten, Ausliefern, Auswerten, Versenden von Bestätigungsmails, Exportieren, Löschen
Zweck Veröffentlichung des Kalenders, Auslieferung der Inhalte an Besucher, Besucherstatistik ohne Cookies, Durchführung von Gewinnspielen mit Double-Opt-in (nur Paket Business und Individuell), Gewinnziehung und Export
Kategorien betroffener Personen Besucherinnen und Besucher des Kalenders; Teilnehmende an Gewinnspielen; in Inhalten gezeigte oder genannte Personen (zum Beispiel Mitarbeitende)
Datenarten Besucher: gekürzter, täglich wechselnder Hashwert aus IP-Adresse und User-Agent, Zeitzone, Ereignisse (Öffnungen, Kopien, Klicks), Herkunftsseite, UTM-Parameter; technische Server-Protokolle. Teilnehmende: E-Mail-Adresse, Hashwert der E-Mail-Adresse, optional Name, Antwort auf die Wissensfrage, Sprache, Zeitpunkte von Teilnahme, Zustimmung und Bestätigung, optionale Newsletter-Einwilligung mit Wortlaut, gekürzter Hashwert der IP-Adresse. Inhalte: Texte, Bilder, Sprachaufnahmen, Videos, Logos, die der Verantwortliche hochlädt
Besondere Kategorien (Art. 9 DSGVO) keine vorgesehen; der Verantwortliche lädt solche Daten nicht hoch

§ 3 Weisungen

  1. Der Auftragsverarbeiter verarbeitet die Daten nur auf dokumentierte Weisung des Verantwortlichen, auch hinsichtlich Übermittlungen in Drittländer, es sei denn, er ist durch Unionsrecht oder deutsches Recht dazu verpflichtet; in diesem Fall teilt er dem Verantwortlichen diese Anforderungen vorher mit, sofern das Recht dies nicht verbietet.
  2. Die Weisungen ergeben sich aus diesem Vertrag, dem Hauptvertrag und den Einstellungen, die der Verantwortliche im Editor vornimmt (zum Beispiel Gewinnspiel aktivieren, Export, Gewinnziehung). Weitere Weisungen erteilt der Verantwortliche in Textform an hello@bydaniwp.dev.
  3. Hält der Auftragsverarbeiter eine Weisung für rechtswidrig, informiert er den Verantwortlichen unverzüglich und darf die Ausführung bis zur Klärung aussetzen.

§ 4 Pflichten des Auftragsverarbeiters

  1. Er gewährleistet, dass sich alle zur Verarbeitung befugten Personen zur Vertraulichkeit verpflichtet haben oder einer gesetzlichen Verschwiegenheitspflicht unterliegen.
  2. Er trifft die technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO aus Anlage 2 und passt sie dem Stand der Technik an, ohne das Schutzniveau zu senken.
  3. Er unterstützt den Verantwortlichen mit geeigneten Maßnahmen bei der Beantwortung von Anträgen betroffener Personen (Art. 12 bis 23 DSGVO). Wenden sich Betroffene direkt an ihn, leitet er die Anfrage unverzüglich weiter.
  4. Er unterstützt den Verantwortlichen bei den Pflichten aus Art. 32 bis 36 DSGVO (Sicherheit, Meldung von Verletzungen, Datenschutz-Folgenabschätzung, vorherige Konsultation).
  5. Er meldet dem Verantwortlichen eine Verletzung des Schutzes personenbezogener Daten unverzüglich, möglichst innerhalb von 24 Stunden nach Kenntnis, mit den Angaben nach Art. 33 Abs. 3 DSGVO, soweit bekannt.
  6. Er verarbeitet die Daten ausschließlich in der Europäischen Union.
  7. Er nutzt die Daten nicht für eigene Zwecke. Ausgenommen sind anonyme Summen zur Abrechnung und zur Verbesserung des Dienstes, die keinen Personenbezug haben.

§ 5 Pflichten des Verantwortlichen

  1. Der Verantwortliche ist für die Rechtmäßigkeit der Verarbeitung verantwortlich, insbesondere für Teilnahmebedingungen, Datenschutzhinweise, Einwilligungen und die Information der Betroffenen.
  2. Er hinterlegt vor der Veröffentlichung Name und Anschrift sowie Links zu Impressum und Datenschutzhinweisen; der Auftragsverarbeiter zeigt sie im Kalender an.
  3. Er informiert den Auftragsverarbeiter unverzüglich, wenn er Fehler oder Unregelmäßigkeiten bei der Verarbeitung feststellt.

§ 6 Unterauftragsverarbeiter

  1. Der Verantwortliche erteilt die allgemeine Genehmigung, Unterauftragsverarbeiter einzusetzen. Die bei Vertragsschluss eingesetzten Unterauftragsverarbeiter nennt Anlage 1; sie gelten als genehmigt.
  2. Der Auftragsverarbeiter informiert den Verantwortlichen mindestens 14 Tage vorher in Textform über jede beabsichtigte Hinzuziehung oder Ersetzung. Der Verantwortliche kann innerhalb dieser Frist aus wichtigem datenschutzrechtlichem Grund widersprechen. Können sich die Parteien nicht einigen, darf der Verantwortliche den Hauptvertrag fristlos kündigen; bereits gezahlte Entgelte für die Restlaufzeit werden anteilig erstattet.
  3. Der Auftragsverarbeiter erlegt jedem Unterauftragsverarbeiter vertraglich dieselben Datenschutzpflichten auf wie in diesem Vertrag. Er haftet für dessen Einhaltung.
  4. Keine Unterauftragsverarbeitung sind Nebenleistungen wie Telekommunikation oder Zahlungsabwicklung. Stripe verarbeitet ausschließlich Bestell- und Zahlungsdaten des Verantwortlichen selbst in eigener Verantwortung und erhält keine Daten nach § 2.

§ 7 Kontrollrechte

  1. Der Auftragsverarbeiter stellt dem Verantwortlichen alle Informationen zur Verfügung, die zum Nachweis der Pflichten aus Art. 28 DSGVO nötig sind, und ermöglicht Überprüfungen einschließlich Inspektionen durch den Verantwortlichen oder einen von ihm beauftragten, zur Verschwiegenheit verpflichteten Prüfer.
  2. Überprüfungen werden mit angemessener Frist, in der Regel 14 Tage, angekündigt und während der üblichen Geschäftszeiten ohne Störung des Betriebs durchgeführt. Der Nachweis kann auch durch aktuelle Selbstauskünfte und durch Zertifikate der Unterauftragsverarbeiter (zum Beispiel ISO/IEC 27001 des Rechenzentrums) erbracht werden.

§ 8 Haftung

Für die Haftung gilt Art. 82 DSGVO. Im Übrigen gelten die Haftungsregeln des Hauptvertrags.

§ 9 Betroffenenrechte im Editor

Der Verantwortliche kann Teilnahmen über den Export einsehen. Löschungen einzelner Teilnahmen und Auskünfte führt der Auftragsverarbeiter auf Weisung in Textform innerhalb von sieben Tagen aus.

§ 10 Löschung und Rückgabe

  1. Nach Ende des Hauptvertrags löscht der Auftragsverarbeiter alle Daten nach § 2, spätestens am 15.02. des Folgejahres der Saison (für die Saison 2026 am 15.02.2027), sofern keine Pflicht zur Speicherung nach Unionsrecht oder deutschem Recht besteht. Bis dahin kann der Verantwortliche Teilnahmen als CSV exportieren.
  2. Auf Weisung löscht der Auftragsverarbeiter Daten früher, zum Beispiel Teilnahmen von Nicht-Gewinnern nach der Ziehung.
  3. Datensicherungen werden im regulären Zyklus nach spätestens 14 Tagen überschrieben.
  4. Auf Verlangen bestätigt der Auftragsverarbeiter die Löschung in Textform.

§ 11 Schlussbestimmungen

  1. Bei Widersprüchen geht dieser Vertrag dem Hauptvertrag in Fragen des Datenschutzes vor.
  2. Änderungen bedürfen der Textform.
  3. Es gilt deutsches Recht. Gerichtsstand ist Freiburg im Breisgau, soweit gesetzlich zulässig.
  4. Sollte eine Bestimmung unwirksam sein, bleiben die übrigen wirksam.

Anlage 1: Unterauftragsverarbeiter

Unternehmen Leistung Ort der Verarbeitung Garantien
Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, Deutschland Hosting von Server, Datenbank und Datensicherung; Medienspeicher (Hetzner Object Storage, privater Bucket) Rechenzentren in Deutschland AVV nach Art. 28 DSGVO, ISO/IEC 27001
Sendinblue GmbH (Brevo), Köpenicker Str. 126, 10179 Berlin, Deutschland Versand von Bestätigungsmails (Double-Opt-in) an Teilnehmende Europäische Union AVV nach Art. 28 DSGVO

Weitere Dienste werden nicht eingesetzt. Insbesondere gibt es kein Content Delivery Network, keine Analyse- oder Werbedienste und keine Einbindung externer Schriften oder Skripte.

Anlage 2: Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

1. Vertraulichkeit

  • Zutrittskontrolle: Server in Rechenzentren der Hetzner Online GmbH in Deutschland mit Zutrittskontrolle, Videoüberwachung und Zertifizierung nach ISO/IEC 27001. Kein eigener Serverraum.
  • Zugangskontrolle: Serverzugang nur per SSH mit Schlüssel, keine Passwortanmeldung. Arbeitsrechner mit verschlüsselter Festplatte und Bildschirmsperre. Geheimnisse (Schlüssel für Zahlungs- und Mailanbieter, Signaturschlüssel) liegen nur in Konfigurationsdateien mit eingeschränkten Rechten, nie im Quellcode; Prüfung jedes Code-Stands mit einem Secret-Scanner (gitleaks).
  • Zugriffskontrolle: Zugriff auf Produktionsdaten nur durch den Auftragsverarbeiter persönlich. Der Verantwortliche erreicht seinen Kalender nur über geheime Bearbeitungsschlüssel beziehungsweise sein Konto; Statistik und Export sind an den Bearbeitungsschlüssel und das Paket gebunden. Medien liegen in einem privaten Bucket ohne öffentlichen Zugriff. Hochladen nur über signierte Links mit 15 Minuten Gültigkeit, gebunden an Dateityp und Größe; danach prüft der Server Größe und Dateityp und löscht abweichende Dateien. Ausgeliefert werden Medien nur über signierte Links mit sechs Stunden Gültigkeit, und erst, wenn das Türchen freigeschaltet ist.
  • Trennungskontrolle: Jeder Kalender hat eigene Kennungen; Medien liegen je Kalender unter eigenem Pfad im Speicher. Entwicklung und Tests nur mit Testdaten.
  • Pseudonymisierung: Besucherstatistik nur mit gekürztem Hashwert aus täglich wechselndem Salz; das Salz wird nach einem Tag gelöscht. IP-Adressen von Teilnehmenden und Sitzungen nur als Hashwert mit geheimem Zusatzwert. Anmelde- und Bestätigungs-Token nur als SHA-256-Hashwert, Passwörter und PINs nur als scrypt-Hashwert.

2. Integrität

  • Weitergabekontrolle: Übertragung ausschließlich verschlüsselt per HTTPS (TLS); Mailversand an den Mailanbieter per TLS. Keine Weitergabe an Dritte außer den Unterauftragsverarbeitern aus Anlage 1. Export nur als CSV durch den Verantwortlichen selbst, nur bestätigte Teilnahmen, Newsletter-Spalte nur bei Einwilligung.
  • Eingabekontrolle: Zeitpunkte von Teilnahme, Zustimmung, Bestätigung und Einwilligung samt Wortlaut und Version werden gespeichert. Gewinnziehungen werden mit Zeitpunkt, Türchen, Zahl gültiger Einträge und Ergebnis protokolliert.
  • Eingabeprüfung: Alle Eingaben werden serverseitig geprüft; Uploads auf Dateityp geprüft, Bilder neu kodiert und von Metadaten (EXIF) befreit.

3. Verfügbarkeit und Belastbarkeit

  • Tägliche Datensicherung der Datenbank im laufenden Betrieb über eine konsistente Sicherungskopie, Aufbewahrung 14 Tage, zusätzliche Kopie außerhalb des Servers.
  • Begrenzung von Anfragen (Rate-Limits) für Anmeldung, PIN-Eingabe und Gewinnspiel-Teilnahme zum Schutz vor Missbrauch.
  • Überwachung der Erreichbarkeit; Auslieferung neuer Versionen ohne Unterbrechung mit Möglichkeit zur sofortigen Rücknahme.
  • Sicherheitsupdates des Betriebssystems und der Abhängigkeiten werden regelmäßig eingespielt.

4. Verfahren zur regelmäßigen Überprüfung

  • Prüfung der Maßnahmen bei jeder wesentlichen Änderung des Dienstes und mindestens einmal jährlich.
  • Datenschutzfreundliche Voreinstellungen: keine Cookies außer der Anmeldung, keine Einbindung fremder Server, Newsletter-Einwilligung nie vorangekreuzt, Teilnahme erst nach Double-Opt-in gültig.
  • Löschkonzept nach § 10; Löschfristen sind im Dienst hinterlegt.

Zur Startseite