Auftragsverarbeitungsvertrag (AVV) - Muster nach Art. 28 DSGVO

Vertragsparteien

Auftraggeber (Verantwortlicher)

[Firma / Name]
[Adresse]
- nachfolgend „AG“ -

Auftragsverarbeiter

Planuro UG (haftungsbeschränkt) i. G.
Apfelhofstr. 64
52224 Stolberg
Deutschland

Vertreten durch den Geschäftsführer: Marvin Breuer
Registergericht: Amtsgericht Aachen, HRB wird nach Eintragung ergänzt
E-Mail: hey@planuro.com
Telefon: +49 (0) 211 44099224
- nachfolgend „AV“ -

Stand: 15.10.2026

§ 1 Gegenstand, Dauer und Ort der Verarbeitung

Der AV erbringt für den AG die cloudbasierte Software-Dienstleistung „Planuro“ (Software as a Service - SaaS) gemäß den AGB.

Anwendung und Datenbank werden in Frankfurt am Main (Deutschland) betrieben.

Die Verarbeitung beginnt mit der Registrierung (einschließlich der kostenlosen Testphase) und endet mit Beendigung des Vertrags. Nachlaufregelungen ergeben sich aus § 10 (Rückgabe und Löschung).

Die Verarbeitung erfolgt grundsätzlich in Deutschland bzw. der Europäischen Union. Eine Verarbeitung durch Unterauftragsverarbeiter außerhalb der EU/des EWR erfolgt nur unter den Voraussetzungen der Art. 44 ff. DSGVO (z. B. EU-US Data Privacy Framework oder EU-Standardvertragsklauseln), siehe Anlage 2.

§ 2 Art, Zweck und Kategorien der Verarbeitung

Art und Zweck:

Speichern, Abrufen, Organisieren, Übermitteln und Löschen von Daten
Bereitstellung der SaaS-Funktionen, einschließlich des Abrufs von Daten aus vom AG verbundenen Shops (z. B. Shopify, WooCommerce, Etsy)
Versand system- und vertragsbezogener E-Mails
Support- und Fehleranalyse, einschließlich des vom AG freigegebenen Support-Zugriffs

Datenarten:

Stammdaten (Name, Firma, Kontaktdaten)
Account- und Authentifizierungsdaten
Nutzungs- und Protokolldaten
Inhaltsdaten (z. B. Produkte, Kosten, Bestellungen, Lieferanten)
Abrechnungs-Metadaten (keine vollständigen Zahlungsdaten; Zahlungsabwicklung erfolgt durch Stripe/PayPal als eigenständig Verantwortliche)

Betroffene Personen:

Mitarbeitende und Administratoren des AG
Endkundinnen und Endkunden des AG (sofern vom AG erfasst)
Dienstleister, Lieferanten und Beauftragte des AG

§ 3 Weisungsbindung

Der AV verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des AG.

Als Weisung gelten auch die Einstellungen und Aktionen des AG in der Anwendung (z. B. Verbinden eines Shops, Freigabe eines Support-Zugriffs).

Weitere Weisungen sind in Textform zu erteilen.

Mehrkosten durch zusätzliche Weisungen trägt der AG, soweit diese nicht gesetzlich geschuldet sind.

§ 4 Vertraulichkeit

Der AV stellt sicher, dass ausschließlich zur Verarbeitung befugte Personen Zugriff auf personenbezogene Daten erhalten. Diese Personen sind auf Vertraulichkeit verpflichtet.

Einblick in die Inhaltsdaten einer Organisation nimmt der AV nur nach Freigabe durch den AG über den Support-Zugriff in der Anwendung oder soweit gesetzlich erforderlich.

§ 5 Technische und organisatorische Maßnahmen (TOM)

Der AV unterhält angemessene technische und organisatorische Maßnahmen gemäß Art. 32 DSGVO, insbesondere:

Zugangs- und Zugriffskontrollen (rollenbasiert, Need-to-Know)
Administrativer Zugang nur über eine separate Admin-Konsole mit Passwort, E-Mail-Code bei jeder Anmeldung, Sperre nach 60 Minuten Inaktivität und Passkey
Verschlüsselung der Datenübertragung (TLS 1.2+)
Zusätzliche Verschlüsselung von Zugangsdaten zu verbundenen Shops (AES-256-GCM)
Verschlüsselung ruhender Daten auf Plattformebene, soweit bereitgestellt
Protokollierung administrativer Aktionen (Audit-Log), Monitoring und Incident-Management
Firewalling, Netzsegmentierung, Patch- und Schwachstellenmanagement
Tägliche Backups zu Disaster-Recovery-Zwecken
Maßnahmen zur Sicherstellung von Verfügbarkeit und Resilienz

Eine TOM-Übersicht ist als Anlage 1 beigefügt und wird bei Bedarf fortgeschrieben.

Wesentliche Änderungen, die das Sicherheitsniveau mindern, werden vorab mit dem AG abgestimmt.

§ 6 Unterauftragsverhältnisse

Der AG erteilt die allgemeine Genehmigung zum Einsatz der in Anlage 2 aufgeführten Unterauftragsverarbeiter.

Über beabsichtigte Änderungen (Hinzuziehung oder Ersetzung) informiert der AV den AG mindestens 4 Wochen im Voraus in Textform. Der AG kann der Änderung innerhalb dieser Frist aus wichtigem datenschutzrechtlichem Grund widersprechen. Kann keine Einigung erzielt werden, sind beide Parteien berechtigt, den Hauptvertrag außerordentlich zu kündigen.

Der AV verpflichtet Unterauftragsverarbeiter vertraglich auf ein Datenschutzniveau, das diesem Vertrag entspricht.

§ 7 Unterstützungspflichten

Der AV unterstützt den AG angemessen bei:

der Wahrnehmung von Betroffenenrechten
der Meldung und Behandlung von Datenschutzverletzungen
Datenschutz-Folgenabschätzungen
der Erfüllung von Nachweispflichten

Aufwände werden vergütet, soweit sie nicht gesetzlich geschuldet oder vom AV zu vertreten sind.

§ 8 Meldung von Datenschutzverletzungen

Der AV meldet dem AG unverzüglich nach Kenntniserlangung Datenschutzverletzungen mit Bezug zu den verarbeiteten Daten und stellt alle verfügbaren Informationen bereit (Art, Umfang, Folgen, ergriffene Maßnahmen).

§ 9 Nachweise und Audits

Der AV stellt geeignete Nachweise zur Einhaltung der DSGVO bereit (z. B. TOM-Übersicht, Richtlinien).

Audits sind nach vorheriger Ankündigung (mindestens 10 Werktage), zu üblichen Geschäftszeiten und unter Wahrung der Vertraulichkeit möglich.

Ein Audit pro Kalenderjahr ist kostenfrei; weitere Audits bei berechtigtem Anlass. Angemessene Aufwände des AV werden vergütet.

§ 10 Rückgabe und Löschung nach Vertragsende

Der AV ermöglicht dem AG während der Vertragslaufzeit sowie bis zu 90 Tage nach Vertragsende einen Datenexport (CSV).

Danach werden personenbezogene Daten gelöscht, sofern keine gesetzlichen Aufbewahrungspflichten bestehen.

Für die kostenlose Testphase gilt: Daten werden 90 Tage nach Ende der Testphase gelöscht, sofern kein kostenpflichtiger Vertrag zustande kommt.

Eine Löschbestätigung wird auf Anfrage bereitgestellt.

§ 11 Haftung und Schlussbestimmungen

Es gilt das Haftungsregime des Hauptvertrags (AGB).

Im Übrigen findet deutsches Recht Anwendung.

Gerichtsstand für Kaufleute ist Aachen.

Anlagen

Anlage 1 - Technische und organisatorische Maßnahmen (Kurzüberblick)

Zutritts- und Zugangskontrolle (rollenbasiert)
Anmeldung mit Passwort und E-Mail-Code für neue Geräte; Geräteübersicht mit Widerruf
Separate Admin-Konsole: Passwort, E-Mail-Code bei jeder Anmeldung, Passkey, Sperre nach 60 Minuten
Support-Zugriff nur nach Freigabe durch den AG, höchstens 60 Minuten je Zugriff, protokolliert
Passwort-Policy, Least-Privilege-Prinzip
TLS 1.2+; Verschlüsselung ruhender Daten (plattformseitig); Shop-Zugangsdaten zusätzlich AES-256-GCM
Mandantentrennung, logische Isolation
Firewalling, Hardening, Patch-Management, Begrenzung von Anfragen (Rate-Limits)
Protokollierung (Audit-Log 24 Monate), Monitoring, Incident-Response-Prozess
E-Mail-Versandprotokoll ohne Adressen, Inhalte, Links oder Codes
Tägliche Backups (Disaster-Recovery)
Lieferanten- und Sub-Prozessor-Management
Vertraulichkeitsverpflichtungen der Mitarbeitenden
Maßnahmen zur Sicherstellung von Verfügbarkeit und Resilienz (Hosting mit automatischem Neustart, Health-Checks, Backups)

Anlage 2 - Unterauftragsverarbeiter

Kinsta Inc. (Sevalla) - Hosting von Anwendung und Datenbank, Rechenzentrum Frankfurt am Main (Deutschland)
Cloudflare, Inc. - Dateiablage (Cloudflare R2) und Netzwerkdienste; Übermittlung auf Grundlage des EU-US Data Privacy Framework bzw. EU-Standardvertragsklauseln
Resend - Versand von E-Mails, Region Irland (EU); soweit Zugriffe aus den USA erfolgen, auf Grundlage des EU-US Data Privacy Framework bzw. EU-Standardvertragsklauseln

Anlage 3 - Datenarten und betroffene Personen

Datenarten: Account-, Stamm-, Kommunikations-, Nutzungs- und Inhaltsdaten

Betroffene Personen: Mitarbeitende, Beauftragte, Lieferanten und Endkund(inn)en des AG (sofern erfasst)

Unterschriften

Auftraggeber (AG): ____________________________ Datum: __________

Auftragsverarbeiter (AV - Planuro UG (haftungsbeschränkt) i. G.): ____________________________ Datum: __________