Auftragsverarbeitungsvertrag – Muster (Art. 28 DSGVO)

§ 1 Gegenstand und Dauer der Verarbeitung (1) Der Auftragsverarbeiter verarbeitet personenbezogene Daten im Auftrag des Verantwortlichen. Dieser Vertrag regelt die Rechte und Pflichten der Parteien im Zusammenhang mit der Auftragsverarbeitung gemäß Art. 28 DSGVO. (2) Die Laufzeit dieses Vertrages entspricht der Laufzeit des Hauptvertrages / der Geschäftsbeziehung. Dieser Vertrag endet automatisch mit Beendigung des Hauptvertrages. (3) Verantwortlicher (Kunde): Name/Organisation: Musterverein e.V. Anschrift: Musterstraße 1, 12345 Musterstadt Kontakt-E-Mail: kontakt@musterverein.de Hinweis: Die vorgenannten Felder werden zum Zeitpunkt der elektronischen Unterzeichnung aus den bei der Plattform hinterlegten Organisationsdaten befüllt und in dieser Urkunde unveränderlich festgeschrieben. (4) Auftragsverarbeiter: Name: Julian Müller — DeSourCeDev (Einzelunternehmen) Anschrift: Eisenbahnstraße 42, 79423 Heitersheim, Deutschland E-Mail: info@desourcedev.de --- § 2 Art und Zweck der Verarbeitung (1) Art der Verarbeitung: Hosting der Webapplikation; lokale biometrische Gesichtserkennung zur Foto-Zuordnung (sofern von der Organisation aktiviert und von den betroffenen Personen eingewilligt); Bereitstellung und Betrieb der Jugendfreizeitverwaltungsplattform jugendcampplaner.de. (2) Zweck der Verarbeitung: Bereitstellung der Jugendfreizeitverwaltung — einschließlich Teilnehmer- und Betreuerverwaltung, Anwesenheitskontrolle, Ausgehvorgänge, Krisenmanagement gemäß § 8a SGB VIII, Abrechnungen, öffentliche Anmeldung und Anmeldeverwaltung (einschließlich des Schriftverkehrs mit den Erziehungsberechtigten), Abwicklung der Teilnehmerbeiträge sowie optionaler Fotozuordnung über lokale Gesichtserkennung. (3) Nur auf Veranlassung des Verantwortlichen treten hinzu: a) Verwahrung von Zugangsdaten zum Mailsystem des Verantwortlichen, damit der Schriftverkehr mit den Erziehungsberechtigten über dessen eigenen Mailserver und unter dessen eigener Absenderadresse hinausgeht. b) Abruf und Speicherung eingehender E-Mails aus einem vom Verantwortlichen benannten Postfach (IMAP), um Unzustellbarkeitsmeldungen und Antworten der Erziehungsberechtigten dem jeweiligen Vorgang zuordnen zu können. c) Verwahrung des Zugriffsmerkmals für das Mollie-Konto des Verantwortlichen, damit die Plattform die Zahlung der Teilnehmerbeiträge über dessen eigenes Mollie-Konto abwickeln kann (siehe § 6 Abs. 3 lit. c). Dies alles findet ausschließlich statt, soweit der Verantwortliche die entsprechenden Zugangsdaten selbst hinterlegt, die Verbindung zu seinem Mollie-Konto selbst hergestellt und den jeweiligen Vorgang selbst aktiviert hat. Hinterlegt oder verbindet er nichts, findet nichts davon statt; der Schriftverkehr läuft dann über den Mailserver der Plattform. --- § 3 Art der personenbezogenen Daten Folgende Arten personenbezogener Daten sind Gegenstand der Verarbeitung: - Stammdaten (Name, Geburtsdatum, Geschlecht, Adresse) - Kontaktdaten (E-Mail, Telefonnummer) - Gesundheitsdaten (Allergien, Medikamente, gesundheitliche Besonderheiten) - Biometrische Daten (Face Embeddings) — ausschließlich sofern von der Organisation aktiviert und von den betroffenen Personen oder deren gesetzlichen Vertretern eingewilligt; Verarbeitung erfolgt lokal auf dem Server des Auftragsverarbeiters, keine Übermittlung an Dritte, unverzügliche Löschung nach Abschluss des Erkennungslaufs - Nutzungsdaten (Anmeldungen, Protokolldaten) - Bilddaten (Teilnehmerfotos, Freizeitfotos) - Inhalte und Verkehrsdaten eingehender E-Mails (Absenderadresse, Betreff, Sendezeitpunkt, Nachrichtenrumpf) — ausschließlich sofern der Verantwortliche ein Postfach benannt und den Abruf aktiviert hat - Dateianhänge zu Mail-Vorlagen und zu versendeten Nachrichten (vom Verantwortlichen hochgeladene Dateien) — ausschließlich sofern der Verantwortliche solche Anhänge hinterlegt hat Keine Daten Betroffener, sondern Betriebsgeheimnisse des Verantwortlichen und deshalb hier gesondert genannt: die Zugangsdaten zum Mailsystem des Verantwortlichen (Servername, Anschluss, Benutzername, Kennwort, Postfachname) sowie — soweit der Verantwortliche die Verbindung hergestellt hat — das Zugriffsmerkmal für sein Mollie-Konto. Der Auftragsverarbeiter verwahrt sie ausschließlich zu dem in § 2 Abs. 3 genannten Zweck. --- § 4 Kategorien betroffener Personen - Teilnehmer an Jugendfreizeiten (einschließlich Minderjährige) - Betreuer und Mitarbeiter der Organisation - Kontaktpersonen und Erziehungsberechtigte - Gäste und Besucher - Absender eingehender E-Mails an das vom Verantwortlichen benannte Postfach (Erziehungsberechtigte sowie Dritte, die dem Verantwortlichen schreiben) --- § 5 Pflichten des Auftragsverarbeiters (1) Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen, es sei denn, dass der Auftragsverarbeiter nach dem Unionsrecht oder dem Recht der Mitgliedstaaten, dem er unterliegt, zur Verarbeitung verpflichtet ist. (2) Der Auftragsverarbeiter gewährleistet, dass sich die zur Verarbeitung der personenbezogenen Daten befugten Personen zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen. (3) Der Auftragsverarbeiter ergreift alle gemäß Art. 32 DSGVO erforderlichen Maßnahmen zur Sicherheit der Verarbeitung (siehe auch § 8 dieses Vertrages). (4) Der Auftragsverarbeiter unterstützt den Verantwortlichen unter Berücksichtigung der Art der Verarbeitung bei der Erfüllung der Pflichten gemäß Art. 32 bis 36 DSGVO. (5) Der Auftragsverarbeiter informiert den Verantwortlichen unverzüglich, wenn eine Weisung nach seiner Auffassung gegen die DSGVO oder andere Datenschutzvorschriften verstößt (Art. 28 Abs. 3 lit. h DSGVO). (6) Der Auftragsverarbeiter informiert den Verantwortlichen unverzüglich über Verletzungen des Schutzes personenbezogener Daten gemäß Art. 33 DSGVO. --- § 6 Unterauftragsverarbeiter (1) Der Auftragsverarbeiter darf ohne vorherige schriftliche Genehmigung des Verantwortlichen keinen Unterauftragsverarbeiter einsetzen, der auf personenbezogene Daten des Verantwortlichen zugreift. (2) Folgende Unterauftragsverarbeiter sind zum Zeitpunkt des Vertragsschlusses genehmigt: | Unterauftragsverarbeiter | Leistung | Standort | |--------------------------|----------|----------| | netcup GmbH (Daimlerstraße 25, 76185 Karlsruhe, Deutschland; Rechenzentrum Nürnberg) | Hosting des Applikationsservers (VPS) und E-Mail-Versand über den Mailserver der Plattform (SMTP mxe830.netcup.net) | Deutschland / Europäische Union | | Cloudflare, Inc. (101 Townsend Street, San Francisco, CA 94107, USA) | Bot-Schutz (Dienst Turnstile) bei den Formularen der Plattform (Anmeldung am Konto im Betreuerbereich und in der Administration, Registrierung, Passwort-, Bestätigungs- und Entsperrvorgänge, öffentliche Anmeldung und Stornierung, Demo-Zugang, Newsletter-Anmeldung auf der Startseite und im Blog); übermittelt werden die IP-Adresse sowie technische Angaben zu Browser, Gerät und Verbindung, kein Formularinhalt | USA / weltweites Netz von Cloudflare; Drittlandgrundlage: Angemessenheitsbeschluss der Europäischen Kommission zum EU-US Data Privacy Framework (Art. 45 DSGVO), unter dem Cloudflare, Inc. zertifiziert ist; ergänzend Standardvertragsklauseln nach dem Auftragsverarbeitungsvertrag von Cloudflare | Der in dieser Tabelle genannte E-Mail-Versand betrifft ausschließlich Nachrichten, die über den Mailserver der Plattform hinausgehen. Hinterlegt der Verantwortliche einen eigenen Mailserver und aktiviert den Versand darüber, verlässt die betreffende Nachricht das Haus über den von ihm benannten Server; netcup ist an diesem Versand nicht beteiligt. Der Anbieter dieses Servers ist Vertragspartner des Verantwortlichen selbst — der Auftragsverarbeiter schließt mit ihm keinen Vertrag und tritt ihm gegenüber nicht als Auftraggeber auf. Dasselbe gilt für den Anbieter des Postfachs, aus dem eingehende Nachrichten abgerufen werden. Die Bot-Prüfung durch Cloudflare erhält keine Inhalte der Formulare; übermittelt werden die IP-Adresse sowie technische Angaben zu Browser, Gerät und Verbindung der Person, die eines dieser Formulare aufruft; auf Seiten ohne ein solches Formular wird der Dienst von Cloudflare nicht geladen. (3) Nicht als Unterauftragsverarbeiter im Sinne dieses Vertrages gelistet: a) Stripe (Stripe Payments Europe Ltd., 1 Grand Canal Street Lower, Dublin 2, Irland): Stripe verarbeitet ausschließlich die Zahlung des Kunden an den Anbieter für die SaaS-Nutzung der Plattform jugendcampplaner.de (gemäß AGB § 5). Stripe verarbeitet zu keinem Zeitpunkt Teilnehmerdaten, Gesundheitsdaten, biometrische Daten oder sonstige personenbezogene Daten, die Gegenstand dieses AVV sind. Stripe ist daher kein Unterauftragsverarbeiter im Sinne dieses Vertrages. Für die Zahlungsabwicklung entscheidet Stripe über Zwecke und Mittel der Verarbeitung selbst und handelt insoweit als eigenständiger Verantwortlicher im Sinne des Art. 4 Nr. 7 DSGVO, nicht weisungsgebunden für den Auftragsverarbeiter; eine Unterauftragsverarbeitung im Sinne des Art. 28 Abs. 2 DSGVO liegt daher nicht vor. b) Gesichtserkennungsdienst (face-detection): Der lokale Gesichtserkennungsdienst wird first-party self-hosted auf dem eigenen Server des Auftragsverarbeiters betrieben (127.0.0.1:8002 — ausschließlich localhost, kein externer Zugriff). Es handelt sich dabei nicht um einen externen Unterauftragsverarbeiter, sondern um eine interne Systemkomponente des Auftragsverarbeiters. c) Mollie (Mollie B.V., Keizersgracht 126, 1015 CW Amsterdam, Niederlande): Über Mollie wird die Zahlung der Teilnehmerbeiträge von den Erziehungsberechtigten an den Verantwortlichen abgewickelt, soweit der Verantwortliche diesen Zahlungsweg für seine Organisation aktiviert. Anders als im Fall des Buchstabens a) werden dabei personenbezogene Daten von Betroffenen des Verantwortlichen verarbeitet — Name und Kontaktangaben der zahlenden Person sowie deren Zahlungsangaben; die beiden Ziffern betreffen insoweit ausdrücklich unterschiedliche Sachverhalte. Gesundheitsdaten, biometrische Daten und sonstige besondere Kategorien personenbezogener Daten gemäß Art. 9 DSGVO werden nicht an Mollie übermittelt. Für diese Zahlungsabwicklung entscheidet Mollie über Zwecke und Mittel der Verarbeitung selbst und handelt insoweit als eigenständiger Verantwortlicher im Sinne des Art. 4 Nr. 7 DSGVO; Mollie bestätigt diese Rolle in seiner eigenen Datenschutzerklärung. Der Vertrag über die Zahlungsabwicklung wird vom Verantwortlichen selbst mit Mollie geschlossen: der Verantwortliche autorisiert den Zugriff der Plattform auf sein Mollie-Konto, und die Auszahlung der Teilnehmerbeiträge erfolgt auf sein eigenes Bankkonto. Mollie ist daher kein Unterauftragsverarbeiter im Sinne dieses Vertrages; eine Unterauftragsverarbeitung im Sinne des Art. 28 Abs. 2 DSGVO liegt nicht vor. (4) Bei Wechsel oder Hinzufügung eines Unterauftragsverarbeiters informiert der Auftragsverarbeiter den Verantwortlichen rechtzeitig im Voraus, um diesem die Möglichkeit zu geben, Einspruch gegen diese Veränderungen zu erheben. --- § 7 Betroffenenrechte (1) Der Auftragsverarbeiter unterstützt den Verantwortlichen bei der Erfüllung von Anträgen auf Ausübung der in Kapitel III der DSGVO genannten Rechte der betroffenen Person (Art. 15–22 DSGVO) durch geeignete technische und organisatorische Maßnahmen, soweit dies möglich ist. (2) Richtet eine betroffene Person Ansprüche direkt an den Auftragsverarbeiter, leitet dieser das Ersuchen unverzüglich an den Verantwortlichen weiter. Der Auftragsverarbeiter beantwortet entsprechende Anfragen nicht selbst, sofern er vom Verantwortlichen dazu nicht ausdrücklich bevollmächtigt ist. --- § 8 Technische und organisatorische Maßnahmen (TOMs) — Anlage Der Auftragsverarbeiter setzt folgende technische und organisatorische Maßnahmen gemäß Art. 32 DSGVO um. Die nachstehenden Maßnahmen spiegeln den tatsächlich implementierten Stand der Plattform wider (gemäß interner DSFA- und TOM-Dokumentation des Auftragsverarbeiters): 1. VERTRAULICHKEIT — Zugangs- und Zugriffskontrollen 1.1 Verschlüsselung sensibler Felder (AES-256-GCM): Personenbezogene Daten in den Kategorien Adressdaten, Gesundheitsdaten (Allergien, Medikamente, Besonderheiten) und Krisendaten werden mit AES-256-GCM verschlüsselt in der Datenbank gespeichert (rails-attr_encrypted / lockbox). Der Schlüssel liegt ausschließlich in der Server-Konfiguration (Rails Credentials) und ist nicht im Quellcode enthalten. 1.2 Rollenbasierte Zugriffskontrolle (RBAC): Zugriff auf personenbezogene Daten ist auf Betreuer der jeweils zugehörigen Organisation beschränkt. Organisationsübergreifender Zugriff ist systemseitig ausgeschlossen (Action Policy, owner/admin/user-Rollen). Jede API- und Controller-Aktion ist durch eine dedizierte Policy abgesichert. 1.3 Authentifizierung und Session-Management: Authentifizierung über Devise (bcrypt-Passwort-Hashing). Zwei-Faktor-Authentifizierung optional verfügbar. Sessions werden serverseitig verwaltet; CSRF-Schutz ist systemweit aktiv. 1.4 Verwahrung der Zugangsdaten zum Mailsystem des Verantwortlichen: Die Kennwörter für den Mailausgang und für das Postfach des Verantwortlichen werden verschlüsselt in der Datenbank gespeichert (ActiveRecord::Encryption); der Schlüssel liegt ausschließlich in der Server-Konfiguration und ist nicht im Quellcode enthalten. Sie werden zu keinem Zeitpunkt in Auftragsargumenten der Warteschlange oder in Protokolldateien abgelegt. Der Abruf eingehender Nachrichten erfolgt über eine verschlüsselte Verbindung mit Prüfung des Serverzertifikats. Der Nachrichtenrumpf abgerufener E-Mails wird verschlüsselt gespeichert. 1.5 Verwahrung des Zugriffsmerkmals für das Mollie-Konto des Verantwortlichen: Das dauerhaft hinterlegte Erneuerungsmerkmal der Mollie-Autorisierung wird verschlüsselt in der Datenbank gespeichert (ActiveRecord::Encryption); der Schlüssel liegt ausschließlich in der Server-Konfiguration und ist nicht im Quellcode enthalten. Der kurzlebige Zugriffsschlüssel, den Mollie daraus ausstellt, wird nicht in der Datenbank abgelegt, sondern nur im Arbeitsspeicher des Anwendungsprozesses gehalten, getrennt je Organisation. Beide Merkmale werden zu keinem Zeitpunkt in Auftragsargumenten der Warteschlange oder in Protokolldateien abgelegt. Trennt der Verantwortliche die Verbindung, wird das Erneuerungsmerkmal gelöscht und, soweit Mollie erreichbar ist, bei Mollie widerrufen. 2. INTEGRITÄT — Eingabe- und Auftragskontrolle 2.1 Unveränderlicher Audit-Trail (AuditLog): Alle sicherheitsrelevanten Aktionen (Rollenwechsel, Freizeit-Lifecycle, Krisenvorgang, AVV-Unterzeichnung) werden in einem unveränderlichen AuditLog protokolliert. AuditLog-Einträge sind readonly nach Persistierung (readonly? = persisted?); eine Löschung löst eine ActiveRecord::ReadOnlyRecord-Exception aus (before_destroy-Guard). Kein Datensatz kann nachträglich geändert oder entfernt werden. 2.2 Weisungsbindung: Datenverarbeitung erfolgt ausschließlich auf dokumentierte Weisung des Verantwortlichen gemäß § 5 dieses Vertrages. 3. VERFÜGBARKEIT — Backup und Wiederherstellbarkeit 3.1 Backup-Konzept (pgBackRest PITR): Die PostgreSQL-Produktionsdatenbank wird durch pgBackRest mit Point-in-Time-Recovery (PITR) gesichert. Vollbackups und WAL-Archivierung werden auf einem separaten Backup-Storage abgelegt. Backups sind AES-256-CBC verschlüsselt (pgBackRest cipher-type=aes-256-cbc). Restore-Drills werden regelmäßig durchgeführt. 3.2 Hosting-Standort: Der Produktionsserver läuft bei netcup GmbH (Rechenzentrum Nürnberg, Deutschland) innerhalb der Europäischen Union. Eine Übermittlung personenbezogener Daten in Drittländer (Art. 44 ff. DSGVO) findet ausschließlich im Rahmen der Bot-Prüfung durch den in § 6 Abs. 2 genannten Unterauftragsverarbeiter Cloudflare statt; im Übrigen finden keine Datentransfers in Drittländer statt. 4. BIOMETRISCHE DATEN — BSI-konforme Löschung 4.1 Einmalige Verarbeitung (Single-Run Lifecycle): Face Embeddings (biometrische Templates) werden ausschließlich im Rahmen eines einzelnen Erkennungslaufes verarbeitet: Erkennung → Zuordnung → sofortige Löschung. Eine dauerhaft persistierte Speicherung von biometrischen Merkmalen findet nicht statt. 4.2 BSI-konforme Mehrfach-Überschreibung: Beim Löschen biometrischer Daten wird eine mehrfache Überschreibung (Mehrfach-Wipe) gemäß BSI-Empfehlungen angewendet, um eine Wiederherstellung der biometrischen Templates zu verhindern. Dies ist in der Applikationsschicht des Auftragsverarbeiters implementiert. 4.3 Technische Isolation: Der Gesichtserkennungsdienst ist ausschließlich über localhost (127.0.0.1:8002) erreichbar. Externer Netzwerkzugriff auf den Dienst ist durch Firewall-Regeln blockiert. 5. BELASTBARKEIT — Systemresilienz 5.1 Fehlerbehandlung und Monitoring: Unerwartete Fehler werden serverseitig protokolliert. Systemzustand und Backup-Status werden regelmäßig überprüft. 5.2 Datenschutz-Management: Der Auftragsverarbeiter überprüft die technischen und organisatorischen Maßnahmen regelmäßig und passt sie bei Bedarf an (Art. 32 Abs. 1 lit. d DSGVO — Verfahren zur regelmäßigen Überprüfung, Bewertung und Evaluierung). --- § 9 Löschung und Rückgabe personenbezogener Daten (1) Nach Beendigung des Auftrags und vollständiger Abwicklung aller Verarbeitungstätigkeiten löscht der Auftragsverarbeiter sämtliche personenbezogene Daten des Verantwortlichen, sofern nicht eine gesetzliche Aufbewahrungspflicht besteht oder der Verantwortliche vorher einen Export seiner Daten vorgenommen hat. (2) Der Auftragsverarbeiter bestätigt dem Verantwortlichen auf Verlangen die vollständige Löschung schriftlich. (3) Dokumentationen, die dem Nachweis der auftrags- und ordnungsgemäßen Datenverarbeitung dienen (insbesondere AuditLog-Einträge und dieser AVV), sind über das Vertragsende hinaus entsprechend den gesetzlichen Aufbewahrungsfristen aufzubewahren. (4) Der Verantwortliche kann seine Daten während der gesamten Vertragslaufzeit jederzeit vollständig über die Exportfunktion der Plattform ausleiten. Der Auftragsverarbeiter hält diese Exportfunktion während der Laufzeit des Vertrages verfügbar. (5) Beabsichtigt der Auftragsverarbeiter die Betriebseinstellung der Plattform, kündigt er diese dem Verantwortlichen mindestens drei Monate vor dem Einstellungszeitpunkt in Textform an. Bis zum Einstellungszeitpunkt bleibt die Exportfunktion uneingeschränkt verfügbar. Wird der Betrieb aus einem vom Auftragsverarbeiter nicht zu vertretenden Grund vorzeitig unmöglich, unterrichtet er den Verantwortlichen unverzüglich. (6) Nach Beendigung des Vertrages steht dem Verantwortlichen ein Exportfenster von 90 Tagen zur Verfügung, innerhalb dessen er seine Daten über die Exportfunktion der Plattform sichern kann. Im Fall einer Betriebseinstellung nach Absatz 5 beginnt diese Frist mit der Bekanntgabe der Betriebseinstellung. Innerhalb der 90 Tage ermöglicht der Auftragsverarbeiter die Datenübergabe, soweit ihm dies tatsächlich möglich ist. (7) Für den Schriftverkehr über den eigenen Mailserver des Verantwortlichen gilt ergänzend: Zeilen des Zustellprotokolls, die einem Teilnehmer zugeordnet sind, werden mit der Anonymisierung dieses Teilnehmers zerstört. Aus dem Postfach des Verantwortlichen abgerufene E-Mails werden mit der Löschung der Organisation entfernt; ein davon unabhängiger, eigener Löschweg für einzelne abgerufene Nachrichten besteht derzeit nicht. Die verwahrten Zugangsdaten zum Mailsystem kann der Verantwortliche jederzeit selbst entfernen, indem er den Zugang in der Plattform löscht oder abschaltet. Dateianhänge an Zustellzeilen folgen der Zeile und werden mit ihr entfernt; eine Datei, die an mehreren Zeilen hängt, bleibt, bis die letzte Zeile entfernt ist. Dateianhänge, die der Verantwortliche an Mail-Vorlagen hinterlegt hat, kann er in der Vorlage selbst entfernen; mit der Löschung der Organisation werden alle diese Dateianhänge entfernt. --- § 10 Kontrollrechte und Nachweise (1) Der Auftragsverarbeiter stellt dem Verantwortlichen alle erforderlichen Informationen zum Nachweis der Einhaltung der in Art. 28 DSGVO niedergelegten Pflichten zur Verfügung, insbesondere durch Zugang zu Audit-Trail-Daten und technischer Dokumentation. (2) Der Auftragsverarbeiter ermöglicht und unterstützt Überprüfungen — einschließlich Inspektionen —, die vom Verantwortlichen oder einem von diesem beauftragten Prüfer durchgeführt werden. Der Prüfer ist zur Vertraulichkeit zu verpflichten. (3) Vor-Ort-Überprüfungen finden nur statt, soweit der Auftragsverarbeiter seine Nachweispflicht nicht bereits durch geeignete Dokumentation, Zertifizierungen oder Testate erfüllen kann. Überprüfungen sind mit angemessener Vorlaufzeit (mindestens 14 Tage) anzukündigen, auf höchstens einmal jährlich — außer bei konkretem Anlass (z. B. einer Datenschutzverletzung) — sowie auf das erforderliche Maß zu begrenzen und so durchzuführen, dass der laufende Betrieb nicht unverhältnismäßig beeinträchtigt wird. Der Verantwortliche trägt seine eigenen Kosten; den über die Bereitstellung der Standard-Dokumentation hinausgehenden Aufwand des Auftragsverarbeiters für die Unterstützung von Vor-Ort-Prüfungen kann dieser nach seinem üblichen Stundensatz in Rechnung stellen. --- § 11 Schlussbestimmungen und Unterschriften (1) Dieser Vertrag wird in Textform gemäß § 126b BGB geschlossen. Die elektronische Unterzeichnung durch den Verantwortlichen (Absenden des Signaturformulars mit authentifiziertem Nutzerkonto, Zeitstempel, SHA-256-Content-Hash und Protokollierung im unveränderlichen AuditLog) stellt eine rechtswirksame Erklärung im Sinne von Art. 28 Abs. 9 DSGVO dar. (2) Sollten einzelne Bestimmungen dieses Vertrages unwirksam sein oder werden, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt. (3) Es gilt das Recht der Bundesrepublik Deutschland. Gerichtsstand ist, soweit gesetzlich zulässig, München. Unterschriften: Verantwortlicher (Kunde): Ort / Datum: Musterstadt, TT.MM.JJJJ Name / Funktion: Max Mustermann, Inhaber/Vorstand Hinweis: Die vorstehenden Felder werden zum Zeitpunkt der elektronischen Unterzeichnung aus den authentifizierten Sitzungsdaten (Nutzername, Serverzeit) befüllt und unveränderlich in der Unterzeichnungs-Urkunde festgeschrieben. Auftragsverarbeiter: Name / Funktion: Julian Müller, Inhaber DeSourCeDev --- Dieses Dokument ist AvvVorlage Version 3 (jugendcampplaner.de). Inhalt-SHA-256 wird automatisch beim Speichern berechnet. Stand: Oktober 2026.