Stand: 31. Juli 2026

Präambel

Dieser Auftragsverarbeitungsvertrag (AVV) konkretisiert die Pflichten der Parteien aus Art. 28 Datenschutz-Grundverordnung (DSGVO). Er gilt ergänzend zum zwischen dem Kunden („Verantwortlicher“) und Ivy Stenzel Design (Inhaberin: Ivy Stenzel) („Ivy-S“, „Auftragsverarbeiter“) geschlossenen Vertrag über die Nutzung der Anwendung ivy-s.studio (siehe AGB).

§ 1 Gegenstand, Art, Zweck und Dauer der Verarbeitung

Gegenstand dieses AVV ist die Verarbeitung personenbezogener Daten durch Ivy-S im Auftrag des Verantwortlichen im Rahmen der Bereitstellung der SaaS-Anwendung ivy-s.studio zur Erstellung und Verwaltung von Websites für Ferienunterkünfte. Art und Zweck der Verarbeitung ergeben sich aus der Speicherung, Verarbeitung und Auslieferung von Inhalten, die der Verantwortliche in die Anwendung einstellt (u. a. Website-Inhalte, Bilder, Kontaktanfragen). Die Dauer der Verarbeitung entspricht der Laufzeit des Hauptvertrags.

Art der Daten: Kontaktdaten (Name, E-Mail-Adresse, Telefonnummer), von Website-Besuchern übermittelte Nachrichteninhalte (Kontakt-/Anfrageformulare), technische Nutzungsdaten (z. B. IP-Adresse im Rahmen der Serverprotokollierung), sowie ggf. vom Verantwortlichen hochgeladene Bild- und Textinhalte, die Daten Dritter enthalten können.

Kategorien betroffener Personen: Endkunden/Gäste des Verantwortlichen, Besucher der vom Verantwortlichen betriebenen Website, sowie Personen, die über Kontaktformulare Anfragen stellen („Leads“).

§ 2 Weisungsrecht des Verantwortlichen

Ivy-S verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen, einschließlich in Bezug auf die Übermittlung personenbezogener Daten an ein Drittland, sofern Ivy-S nicht durch das Recht der Union oder der Mitgliedstaaten, dem Ivy-S unterliegt, hierzu verpflichtet ist. Weisungen erfolgen grundsätzlich in Textform, in dringenden Fällen auch mündlich mit unverzüglicher schriftlicher Bestätigung.

§ 3 Pflichten des Auftragsverarbeiters

Ivy-S verarbeitet die Daten nur im Rahmen der getroffenen Vereinbarungen und der Weisungen des Verantwortlichen. Ivy-S gewährleistet, dass sich die zur Verarbeitung befugten Personen zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen. Ivy-S unterstützt den Verantwortlichen im Rahmen des Zumutbaren bei der Einhaltung der in Art. 32 bis 36 DSGVO genannten Pflichten.

§ 4 Technisch-organisatorische Maßnahmen

Ivy-S trifft die in Anlage 1 zu diesem Vertrag beschriebenen technischen und organisatorischen Maßnahmen (TOMs) gemäß Art. 32 DSGVO, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten. Ivy-S ist berechtigt, die TOMs anzupassen, solange das vereinbarte Schutzniveau nicht unterschritten wird.

§ 5 Unterauftragsverarbeiter

Der Verantwortliche genehmigt hiermit generell den Einsatz der in Anlage 2 aufgeführten Unterauftragsverarbeiter. Ivy-S informiert den Verantwortlichen über beabsichtigte Änderungen in Bezug auf die Hinzuziehung oder den Austausch weiterer Unterauftragsverarbeiter, sodass der Verantwortliche Gelegenheit hat, gegen derartige Änderungen Einspruch zu erheben. Ivy-S verpflichtet die Unterauftragsverarbeiter im Wege einer Vereinbarung zu denselben Datenschutzpflichten, die in diesem AVV festgelegt sind.

§ 6 Unterstützung bei Betroffenenrechten und Art. 32–36 DSGVO

Ivy-S unterstützt den Verantwortlichen mit geeigneten technischen und organisatorischen Maßnahmen, soweit möglich, bei der Erfüllung der Pflicht des Verantwortlichen, Anträge auf Wahrnehmung der in Kapitel III der DSGVO genannten Rechte der betroffenen Person zu beantworten, sowie bei der Einhaltung der in Art. 32 bis 36 DSGVO genannten Pflichten (Sicherheit der Verarbeitung, Meldung von Verletzungen, Datenschutz-Folgenabschätzung, vorherige Konsultation).

§ 7 Meldung von Datenschutzverletzungen

Ivy-S meldet dem Verantwortlichen Verletzungen des Schutzes personenbezogener Daten im Sinne von Art. 33 DSGVO unverzüglich, spätestens innerhalb von 48 Stunden nach Bekanntwerden, und unterstützt ihn bei der Erfüllung seiner Melde- und Benachrichtigungspflichten nach Art. 33 und 34 DSGVO.

§ 8 Löschung und Rückgabe nach Vertragsende

Nach Beendigung der Erbringung der Verarbeitungsleistungen löscht Ivy-S innerhalb von 30 Tagen sämtliche personenbezogenen Daten, die im Auftrag des Verantwortlichen verarbeitet wurden, oder gibt sie nach Wahl des Verantwortlichen zurück, sofern nicht nach dem Recht der Union oder der Mitgliedstaaten eine Verpflichtung zur Speicherung der personenbezogenen Daten besteht.

§ 9 Nachweise und Kontrollen

Ivy-S stellt dem Verantwortlichen alle zur Nachweisführung der Einhaltung der in Art. 28 DSGVO niedergelegten Pflichten erforderlichen Informationen zur Verfügung und ermöglicht Überprüfungen — einschließlich Inspektionen — die vom Verantwortlichen oder einem anderen von ihm beauftragten Prüfer durchgeführt werden, und trägt zu diesen bei (Art. 28 Abs. 3 lit. h DSGVO). Vor-Ort-Kontrollen sind mit angemessenem Vorlauf zwei Wochen anzukündigen und auf das erforderliche Maß zu beschränken; Kosten hierfür trägt, soweit gesetzlich zulässig, der Verantwortliche.

§ 10 Haftung und Sonstiges

Für die Haftung der Parteien gelten die Haftungsregelungen des Hauptvertrags (§ 9 AGB) entsprechend, soweit dieser AVV keine abweichenden Regelungen trifft. Änderungen und Ergänzungen dieses AVV bedürfen der Textform. Im Falle von Widersprüchen zwischen diesem AVV und dem Hauptvertrag gehen die Regelungen dieses AVV in Bezug auf die Auftragsverarbeitung vor.

Anlage 1: Technisch-organisatorische Maßnahmen (TOMs)

• Verschlüsselung der Datenübertragung (TLS) für sämtliche Verbindungen zur Anwendung.
• Verschlüsselung ruhender Daten („at rest“) auf Datenbank- und Objektspeicherebene auf Objektspeicherebene (Cloudflare R2) anbieterseitig standardmäßig; Datenbank- und Backup-Verschlüsselung gemäß Betreiberkonfiguration.
• Zugriffskontrolle über rollenbasierte Berechtigungen (RBAC) innerhalb der Anwendung sowie restriktive Zugriffsrechte auf Serverebene, beschränkt auf befugtes Personal.
• Mandantentrennung auf Anwendungsebene: Daten verschiedener Kunden werden logisch getrennt gespeichert und verarbeitet über mandantenbezogene Kennungen (Organisation/Arbeitsbereich) in einer gemeinsam genutzten Datenbank; die Zugriffstrennung wird auf Anwendungsebene durch die Berechtigungsprüfung erzwungen.
• Regelmäßige, verschlüsselte Backups der Datenbank und der Website-Inhalte mit getesteter Wiederherstellbarkeit.
• Protokollierung sicherheitsrelevanter Ereignisse und Fehler-Monitoring (GlitchTip, selbst gehostet) zur zeitnahen Erkennung von Störungen und Sicherheitsvorfällen.
• Regelmäßige Einspielung von Sicherheitsupdates für eingesetzte Software-Komponenten.
• Vertraulichkeitsverpflichtung der mit der Verarbeitung befassten Mitarbeiter.

Anlage 2: Unterauftragsverarbeiter

Anbieter	Leistung	Sitz / Verarbeitungsort	Grundlage bei Drittlandbezug
Resend, Inc.	Versand transaktionaler E-Mails	USA	EU-Standardvertragsklauseln (SCC)
Cloudflare, Inc.	Objektspeicher (R2) und Medienauslieferung	USA	EU-Standardvertragsklauseln (SCC)
OpenAI, L.L.C.	KI-gestützte Textgenerierung	USA	EU-Standardvertragsklauseln (SCC)
Anthropic, PBC	KI-gestützte Textgenerierung	USA	EU-Standardvertragsklauseln (SCC)
Google LLC / Google Ireland Limited	KI-gestützte Textgenerierung	USA / Irland	EU-Standardvertragsklauseln (SCC)
Roboflow, Inc.	Automatische Bildanalyse	USA	EU-Standardvertragsklauseln (SCC)
Hetzner Online GmbH, Deutschland	Server-Hosting der Anwendung	Deutschland	entfällt (Sitz in Deutschland)

Nicht als Unterauftragsverarbeiter gelistet, weil ausschließlich auf eigener Infrastruktur von Ivy-S betrieben (keine Datenweitergabe an Dritte): Umami (Reichweitenmessung), GlitchTip (Fehler-Monitoring), Forgejo (Versionsverwaltung der Website-Inhalte), PostgreSQL (Datenbank), Redis (Zwischenspeicher).