Auftragsverarbeitungsvertrag (AVV)
Stand: 20. September 2026
nach Art. 28 DSGVO zwischen dem registrierten Unternehmen, das Qavero nutzt (nachfolgend „Verantwortlicher”), und Alexander Thyssen, Schubertstraße 1c, 74177 Bad Friedrichshall, Deutschland (nachfolgend „Auftragsverarbeiter”).
Dieser Vertrag ergänzt die AGB und wird mit der Registrierung eines Unternehmens bei Qavero automatisch wirksam, soweit der Verantwortliche im Rahmen der Nutzung personenbezogene Daten Dritter (insbesondere eigener Kund:innen) verarbeiten lässt.
1. Gegenstand und Dauer
Der Auftragsverarbeiter verarbeitet personenbezogene Daten im Auftrag des Verantwortlichen im Rahmen der Bereitstellung der Software „Qavero” (Kund:innen-, Termin-, Rechnungs- und Personalverwaltung, Website, Online-Buchung/-Bestellung u. Ä.). Die Laufzeit dieses Vertrags entspricht der Laufzeit des Nutzungsvertrags gemäß AGB.
2. Art und Zweck der Verarbeitung, Art der Daten, Kategorien betroffener Personen
Zweck: Speicherung, Anzeige und Verwaltung der vom Verantwortlichen eingegebenen bzw. über seine öffentliche Website/Buchungsseite erhobenen Daten im Rahmen der genutzten Qavero-Module.
Art der Daten: Name, Kontaktdaten (Telefon, E-Mail, Adresse), Termin- und Buchungsdaten, Rechnungs- und Zahlungsdaten, Notizen, ggf. Gesundheits- oder sonstige besondere Kategorien personenbezogener Daten, soweit der Verantwortliche solche selbst in Freitextfeldern (z. B. Notizen) einträgt.
Kategorien betroffener Personen: Kund:innen und Interessent:innen des Verantwortlichen sowie dessen Mitarbeitende, soweit deren Daten im Rahmen der Personalverwaltungsmodule verarbeitet werden.
3. Technische und organisatorische Maßnahmen
Der Auftragsverarbeiter trifft die in Art. 32 DSGVO genannten Maßnahmen, insbesondere: Verschlüsselung der Datenübertragung (TLS), Verschlüsselung gespeicherter Zugangsdaten (Passwort-Hashing, keine Klartext-Passwörter), rollenbasierte Zugriffskontrolle innerhalb der Anwendung, Mandantentrennung zwischen den bei Qavero registrierten Unternehmen sowie Rate-Limiting gegen automatisierte Angriffsversuche. Details können auf Anfrage bereitgestellt werden.
4. Berichtigung, Einschränkung und Löschung der Daten
Der Auftragsverarbeiter berichtigt, löscht oder schränkt die Verarbeitung der vertragsgegenständlichen Daten ein, wenn der Verantwortliche dies über die Anwendung selbst vornimmt oder ihn anderweitig dazu anweist. Soweit eine betroffene Person sich mit einem Auskunfts-, Berichtigungs- oder Löschbegehren direkt an den Auftragsverarbeiter wendet, leitet dieser das Begehren unverzüglich an den Verantwortlichen weiter.
5. Pflichten des Auftragsverarbeiters
- Verarbeitung ausschließlich im Rahmen der getroffenen Vereinbarungen bzw. der dokumentierten Weisungen des Verantwortlichen.
- Gewährleistung, dass zur Verarbeitung befugte Personen zur Vertraulichkeit verpflichtet sind.
- Unterstützung des Verantwortlichen bei der Erfüllung von Anfragen betroffener Personen und der Pflichten aus Art. 32 bis 36 DSGVO, soweit dies über die Funktionen der Anwendung hinaus erforderlich ist.
- Unverzügliche Meldung von Verletzungen des Schutzes personenbezogener Daten an den Verantwortlichen, sobald der Auftragsverarbeiter davon Kenntnis erlangt.
- Löschung oder Rückgabe aller personenbezogenen Daten nach Beendigung der Nutzung, soweit keine gesetzliche Aufbewahrungspflicht entgegensteht (siehe Ziffer 8).
6. Unterauftragsverhältnisse
Der Verantwortliche stimmt der Beauftragung folgender Unterauftragsverarbeiter zu:
- Vercel Inc. (USA/EU-Regionen) — Hosting und Ausführung der Anwendung.
- Neon Inc. — Hosting der Datenbank (EU-Region).
- Resend — Versand transaktionaler und (bei Zustimmung) werblicher E-Mails.
- Der eingesetzte KI-Modell-Anbieter — Verarbeitung von Anfragen an den KI-Assistenten, soweit dieser genutzt wird.
- Stripe — Zahlungsabwicklung für kostenpflichtige Pläne.
- Google LLC / Google Ireland Limited — ausschließlich wenn der Verantwortliche selbst ein Gmail-Konto verbindet.
- Digital Samba (Barcelona, Spanien) — ausschließlich bei Nutzung des Meetings-Moduls.
Mit jedem Unterauftragsverarbeiter bestehen bzw. werden eigene Verträge zur Auftragsverarbeitung gemäß Art. 28 DSGVO abgeschlossen. Der Auftragsverarbeiter informiert den Verantwortlichen über beabsichtigte Änderungen in Bezug auf die Hinzuziehung oder Ersetzung weiterer Unterauftragsverarbeiter; der Verantwortliche kann diesen Änderungen innerhalb einer angemessenen Frist widersprechen.
7. Kontrollrechte des Verantwortlichen
Der Verantwortliche hat das Recht, sich von der Einhaltung der in diesem Vertrag vereinbarten Pflichten des Auftragsverarbeiters zu überzeugen, insbesondere durch Einholung von Auskünften. Angesichts der Größe und Struktur des Auftragsverarbeiters erfolgt dies vorrangig durch schriftliche Auskunftserteilung statt durch Vor-Ort-Kontrollen; Letztere können bei berechtigtem Interesse nach vorheriger Ankündigung vereinbart werden.
8. Löschung und Rückgabe von Daten nach Beendigung
Nach Beendigung der Nutzung löscht der Auftragsverarbeiter alle personenbezogenen Daten des Verantwortlichen, soweit keine gesetzliche Aufbewahrungspflicht entgegensteht (z. B. § 147 AO für Rechnungsdaten). Auf Wunsch stellt der Auftragsverarbeiter dem Verantwortlichen vor der Löschung einen Export der Daten zur Verfügung.
9. Haftung
Es gelten die Haftungsregelungen der AGB, Ziffer 8, entsprechend.
10. Schlussbestimmungen
Es gilt das Recht der Bundesrepublik Deutschland. Sollte eine Bestimmung dieses Vertrags unwirksam sein, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt.