Koch Laboratory

Laborbuch — Auftragsverarbeitungsvertrag (Muster)

AVV-Muster gem. Art. 28 DSGVO für Support-Einsätze mit Datenzugriff.

gemäß Art. 28 DSGVO

Hinweis: Dieses Dokument ist ein Muster für den Ausnahmefall eines Support-Einsatzes mit Datenzugriff. Es ersetzt keine Rechtsberatung; vor Verwendung rechtliche Prüfung empfohlen.

zwischen

[Name/Firma des Kunden, Anschrift] — nachfolgend „Verantwortlicher” —

und

Advena Partners, inh.Adam Koch, Weißensteinstr. 44, 58093 Hagen — nachfolgend „Auftragsverarbeiter” —

Präambel

Der Verantwortliche betreibt die Software Laborbuch (elektronische FuE-Stundenaufzeichnung) im Self-Hosting-Modell auf eigener Infrastruktur. Im Regelbetrieb hat der Auftragsverarbeiter keinen Zugriff auf personenbezogene Daten; eine Auftragsverarbeitung findet nicht statt.

Dieser Vertrag regelt ausschließlich den Ausnahmefall, dass der Verantwortliche den Auftragsverarbeiter ausdrücklich mit Support-Leistungen beauftragt, die einen Zugriff auf personenbezogene Daten erfordern können (z. B. Fehleranalyse in der Datenbank, Datenmigration, Wiederherstellung).

§ 1 Gegenstand und Dauer

  1. Gegenstand: Support-, Wartungs- und Fehleranalyse-Leistungen an der Laborbuch-Instanz des Verantwortlichen, soweit dabei ein Zugriff auf personenbezogene Daten nicht ausgeschlossen werden kann.
  2. Jeder Einsatz erfolgt nur auf vorherige, dokumentierte Anforderung des Verantwortlichen (Ticket, E-Mail) und ist zeitlich auf den Einsatz begrenzt.
  3. Der Vertrag gilt für die Dauer des Software-Überlassungs-/Supportvertrags; § 9 (Löschung) gilt darüber hinaus.

§ 2 Art, Zweck und Ort der Verarbeitung

  1. Art der Verarbeitung: lesender, in begründeten Ausnahmen schreibender Zugriff auf die Instanz des Verantwortlichen (Fernzugriff).
  2. Zweck: Störungsbeseitigung, Fehleranalyse, Datenmigration, Wiederherstellung.
  3. Ort: Die Daten verbleiben auf der Infrastruktur des Verantwortlichen. Eine Kopie auf Systeme des Auftragsverarbeiters erfolgt nur, wenn der Verantwortliche dies im Einzelfall ausdrücklich anordnet.
  4. Bevorzugt werden zugriffsarme Supportwege (Bildschirmfreigabe unter Aufsicht des Verantwortlichen, bereinigte Logauszüge, temporäres, vom Verantwortlichen angelegtes und nach Abschluss deaktiviertes Konto).

§ 3 Datenkategorien und betroffene Personen

§ 4 Pflichten des Auftragsverarbeiters

  1. Verarbeitung ausschließlich auf dokumentierte Weisung des Verantwortlichen (Art. 28 Abs. 3 lit. a DSGVO); Weisungen sind zu dokumentieren.
  2. Vertraulichkeitsverpflichtung aller eingesetzten Personen (Art. 28 Abs. 3 lit. b DSGVO).
  3. Umsetzung der technischen und organisatorischen Maßnahmen gemäß Anlage 1 (TOM, docs/compliance/TOM.de.md) in der jeweils gültigen Fassung.
  4. Unterstützung des Verantwortlichen bei Betroffenenrechten (Art. 12–23 DSGVO) sowie bei den Pflichten aus Art. 32–36 DSGVO, soweit den Einsatz betreffend.
  5. Unverzügliche Information des Verantwortlichen bei Verletzungen des Schutzes personenbezogener Daten im Verantwortungsbereich des Auftragsverarbeiters (Zuarbeit zu Art. 33/34 DSGVO), spätestens innerhalb von 48 Stunden nach Kenntniserlangung.
  6. Information des Verantwortlichen, wenn eine Weisung nach Auffassung des Auftragsverarbeiters gegen Datenschutzrecht verstößt.
  7. Jeder Support-Zugriff wird protokolliert (Zeitpunkt, Person, Umfang); lesende Zugriffe auf Berichte und Beweisdateien protokolliert die Software zusätzlich selbst (append-only Lesezugriffs-Journal).

§ 5 Unterauftragsverhältnisse

  1. Im Regelbetrieb bestehen keine Unterauftragsverarbeiter (Anlage 2).
  2. Die Beauftragung weiterer Auftragsverarbeiter bedarf der vorherigen schriftlichen Genehmigung des Verantwortlichen.

§ 6 Kontroll- und Nachweisrechte

  1. Der Auftragsverarbeiter stellt alle für den Nachweis der Pflichten nach Art. 28 DSGVO erforderlichen Informationen zur Verfügung.
  2. Der Verantwortliche kann Überprüfungen — auch vor Ort bzw. per Fernzugriff — nach angemessener Vorankündigung durchführen oder durch beauftragte Prüfer durchführen lassen.

§ 7 Betroffenenrechte

Anfragen betroffener Personen leitet der Auftragsverarbeiter unverzüglich an den Verantwortlichen weiter; eine eigenständige Beantwortung erfolgt nicht.

§ 8 Haftung

Es gilt Art. 82 DSGVO. Im Innenverhältnis haftet jede Partei entsprechend ihrem Verantwortungsanteil.

§ 9 Löschung und Rückgabe

  1. Nach Abschluss des jeweiligen Support-Einsatzes löscht der Auftragsverarbeiter sämtliche im Rahmen des Einsatzes erlangten personenbezogenen Daten (einschließlich Kopien, Logauszüge, temporäre Exporte), sofern keine gesetzliche Aufbewahrungspflicht entgegensteht, und bestätigt die Löschung auf Verlangen schriftlich.
  2. Temporäre Support-Konten werden vom Verantwortlichen deaktiviert; der Auftragsverarbeiter weist auf noch aktive Konten hin.

§ 10 Schlussbestimmungen

  1. Änderungen und Ergänzungen bedürfen der Textform.
  2. Es gilt das Recht der Bundesrepublik Deutschland.
  3. Sollten einzelne Bestimmungen unwirksam sein, bleibt der Vertrag im Übrigen wirksam.

Anlage 1: Technische und organisatorische Maßnahmen — TOM.de.md (Version 1.0, Stand 17.07.2026)

Anlage 2: Unterauftragsverarbeiter — keine (Stand 17.07.2026). Hinweis: Der Zeitstempeldienst BeatTime erhält ausschließlich SHA-256-Hashes ohne Personenbezug und ist daher kein Unterauftragsverarbeiter i. S. v. Art. 28 DSGVO.

Verantwortlicher Auftragsverarbeiter
Ort, Datum, Unterschrift Ort, Datum, Unterschrift