# Auftragsverarbeitungsvertrag (AVV)

> **ENTWURF. Nicht anwaltlich geprüft.**
> Stellen, die vor der Verwendung geprüft oder ergänzt werden müssen, sind im
> Quelltext dieses Dokuments mit `<!-- CHECK: … -->` markiert.
> Fassung 2026-08-04.

<!-- CHECK: Vollständige Firmierung, Rechtsform, Sitz, Registergericht und
     Handelsregisternummer des Auftragsverarbeiters eintragen. -->

zwischen

**dem Verantwortlichen** (im Folgenden "Kunde")

und

**ManualHost** <!-- CHECK: vollständige Firmierung und Anschrift --> (im
Folgenden "Auftragsverarbeiter")

## 1. Gegenstand und Dauer

(1) Der Auftragsverarbeiter verarbeitet personenbezogene Daten im Auftrag des
Kunden gemäß Art. 28 DSGVO. Gegenstand ist der Betrieb der Plattform
ManualHost zur dauerhaften digitalen Bereitstellung von Betriebsanleitungen.

(2) Die Dauer entspricht der Laufzeit des Hauptvertrages. Der Vertrag endet mit
dessen Beendigung; die Regelungen zur Löschung (Ziffer 8) und zum Exit-Verfahren
gelten fort.

## 2. Art und Zweck der Verarbeitung

Die Verarbeitung dient ausschließlich der Bereitstellung der vertraglich
geschuldeten Leistung: Speicherung und Auslieferung von Betriebsanleitungen,
Verwaltung von Produkt- und Versionsdaten, Zuordnung von Seriennummernbereichen,
Entgegennahme von Anfragen nach einer gedruckten Fassung sowie Nachweis der
Erreichbarkeit der öffentlichen Adressen.

## 3. Art der personenbezogenen Daten

- Bestandsdaten der Nutzer des Kunden: E-Mail-Adresse, Zuordnung zur
  Organisation, Rolle.
- Daten aus Anfragen nach einer gedruckten Betriebsanleitung: Name,
  E-Mail-Adresse, Versandadresse, optional die Seriennummer der Maschine.
- Technische Verbindungsdaten im Rahmen des Betriebs.

<!-- CHECK: Prüfen, ob darüber hinaus Daten anfallen (z. B. Support-Postfach,
     Zahlungsabwicklung) und diese Aufzählung entsprechend ergänzen. -->

## 4. Kategorien betroffener Personen

Beschäftigte und Beauftragte des Kunden sowie Betreiber und Käufer der Maschinen
des Kunden, die eine gedruckte Betriebsanleitung anfordern.

## 5. Pflichten des Auftragsverarbeiters

(1) Verarbeitung ausschließlich auf dokumentierte Weisung des Kunden. Dieser
Vertrag und die Nutzung der Plattform gelten als Weisung.

(2) Verpflichtung der zur Verarbeitung befugten Personen auf Vertraulichkeit.

(3) Umsetzung der technischen und organisatorischen Maßnahmen nach Ziffer 6.

(4) Unterstützung des Kunden bei Betroffenenanfragen und bei Meldepflichten nach
Art. 33 und 34 DSGVO. Eine Verletzung des Schutzes personenbezogener Daten wird
dem Kunden unverzüglich, spätestens innerhalb von 48 Stunden nach Kenntnis,
mitgeteilt. <!-- CHECK: Frist mit dem tatsächlichen Betriebsprozess abgleichen;
48 Stunden nur zusagen, wenn sie auch außerhalb der Geschäftszeiten haltbar ist. -->

## 6. Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

- Verschlüsselung der Übertragung durchgängig über TLS.
- Verschlüsselung ruhender Daten auf Datenbank- und Objektspeicherebene.
- Zugriffskontrolle auf Datenbankebene: Mandantentrennung über Row Level
  Security, sodass eine Organisation ausschließlich eigene Daten lesen kann.
- Betriebsanleitungen sind nach Veröffentlichung unveränderlich; Änderung und
  Löschung werden auf Datenbankebene verweigert.
- Anmeldung ausschließlich über einmalige Anmeldelinks; keine Passwortspeicherung.
- Protokollierung sicherheitsrelevanter Ereignisse.

<!-- CHECK: Diese Liste beschreibt den Stand der Technik zum Zeitpunkt des
     Entwurfs. Vor Vertragsschluss mit der tatsächlichen Konfiguration abgleichen
     und um Backup-Rhythmus, Aufbewahrungsdauer und Wiederherstellungszeiten
     ergänzen. -->

## 7. Unterauftragsverarbeiter

(1) Der Kunde stimmt dem Einsatz der folgenden Unterauftragsverarbeiter zu:

| Unterauftragsverarbeiter | Leistung | Ort der Verarbeitung |
| --- | --- | --- |
| Supabase | Datenbank, Authentifizierung, Objektspeicher | EU (Frankfurt) |
| Vercel | Anwendungshosting und Auslieferung | EU <!-- CHECK: tatsächliche Region und Rechtsträger bestätigen --> |
| Brevo | Versand transaktionaler E-Mails | EU |

<!-- CHECK: Rechtsträger, Anschriften und die jeweils geltenden Standard-
     vertragsklauseln bzw. Angemessenheitsbeschlüsse ergänzen. Prüfen, ob ein
     Zahlungsdienstleister aufzunehmen ist, sobald Abrechnung aktiv ist. -->

(2) Ein Wechsel oder die Aufnahme eines weiteren Unterauftragsverarbeiters wird
dem Kunden mindestens 30 Tage vorher mitgeteilt. Der Kunde kann widersprechen;
in diesem Fall steht ihm ein Sonderkündigungsrecht zu.

## 8. Löschung und Rückgabe

(1) Nach Beendigung des Vertrages werden personenbezogene Daten nach Wahl des
Kunden gelöscht oder zurückgegeben. Der Kunde kann jederzeit selbst einen
vollständigen Export erzeugen.

(2) Abweichend davon bleiben veröffentlichte Betriebsanleitungen für die im
Exit-Verfahren geregelte Übergangsfrist erreichbar, damit bereits gedruckte
QR-Codes nicht ins Leere laufen. Diese Dokumente enthalten keine
personenbezogenen Daten der Betroffenen nach Ziffer 4.

<!-- CHECK: Widerspruch zwischen Löschpflicht und Aufbewahrung der öffentlichen
     Dokumente ausdrücklich rechtlich bewerten. Die Aufbewahrung stützt sich auf
     die Produktdokumentationspflicht des Kunden, nicht auf ein eigenes
     Interesse des Auftragsverarbeiters. -->

## 9. Nachweise und Kontrollrechte

Der Auftragsverarbeiter weist die Einhaltung der Pflichten auf Anfrage nach. Der
Kunde ist berechtigt, Kontrollen durchzuführen oder durchführen zu lassen;
Kontrollen erfolgen nach Ankündigung und ohne vermeidbare Betriebsstörung.

<!-- CHECK: Kostentragung für Vor-Ort-Kontrollen regeln. -->

## 10. Schlussbestimmungen

Änderungen bedürfen der Textform. Bei Widersprüchen geht dieser Vertrag dem
Hauptvertrag vor, soweit es die Verarbeitung personenbezogener Daten betrifft.

<!-- CHECK: Gerichtsstand und anwendbares Recht festlegen und mit dem
     Hauptvertrag abgleichen. -->