Auftragsverarbeitungsvertrag (AV-Vertrag)
Stand: 16. September 2026
zwischen
eviral GmbH, Rheinpromenade 10, 40789 Monheim am Rhein
vertreten durch den Geschäftsführer Ömer Özcan
Amtsgericht Düsseldorf, HRB 114450
E-Mail: info@eviral.de
nachfolgend "Auftragsverarbeiter"
und
dem Kunden (Unternehmer im Sinne des § 14 BGB)
nachfolgend "Verantwortlicher"
1. Gegenstand des Vertrags
Dieser Vertrag regelt die Verarbeitung personenbezogener Daten durch den Auftragsverarbeiter im Auftrag des Verantwortlichen gemäß Art. 28 DSGVO. Gegenstand ist die Bereitstellung der cloudbasierten Reputationsmanagement-Plattform von eviral, einschließlich KI-basierter Analysefunktionen, Review-Management, Kommunikationsfunktionen und Automations-Workflows, sowie die Erstellung und Veröffentlichung von Beiträgen für die Social-Media-Konten des Verantwortlichen.
2. Art und Zweck der Verarbeitung
Die Verarbeitung dient der Nutzung sämtlicher Funktionen der Plattform, insbesondere:
- Aggregation und Darstellung von Bewertungen
- Versand von Review-Requests über E-Mail, SMS oder WhatsApp
- KI-basierte Antwortvorschläge
- Auswertung der Reputation und Performance
- Verwaltung von Endkundendaten
- Nutzung von Landingpages, Widgets und QR-Codes
- Erstellung, Bearbeitung und Veröffentlichung von Beiträgen für die Social-Media-Konten des Verantwortlichen
- Verarbeitung des vom Verantwortlichen bereitgestellten Bild- und Videomaterials
3. Art der Daten
Es können folgende personenbezogene Daten verarbeitet werden:
- Namen, E-Mail-Adressen, Telefonnummern
- Bewertungen, Antworten, Feedback
- technische Daten (IP-Adresse, Browserinformationen, Zeitstempel)
- Kommunikationsinhalte im Rahmen von Review-Requests
- Bild- und Videoaufnahmen aus dem Betrieb des Verantwortlichen, einschließlich darauf abgebildeter Personen, Fahrzeuge und Kennzeichen
- Metadaten und Logs
4. Kategorien betroffener Personen
- Endkunden des Verantwortlichen
- Mitarbeiter des Verantwortlichen
- Nutzer der Plattform
- Personen, die auf dem bereitgestellten Bild- und Videomaterial abgebildet sind
5. Pflichten des Auftragsverarbeiters
Der Auftragsverarbeiter verpflichtet sich:
- Daten ausschließlich im Rahmen dieses Vertrags zu verarbeiten
- Daten nicht an Dritte weiterzugeben, außer zur Erfüllung der Dienstleistung
- alle Personen zur Vertraulichkeit zu verpflichten
- angemessene technische und organisatorische Maßnahmen zu ergreifen
- den Verantwortlichen bei der Erfüllung von Betroffenenrechten zu unterstützen
- Datenschutzverletzungen unverzüglich zu melden
- Daten nach Vertragsende zu löschen oder zu übergeben
6. Technische und organisatorische Maßnahmen (TOMs)
Der Auftragsverarbeiter garantiert Maßnahmen wie:
- TLS-Verschlüsselung
- Zugriffsbeschränkung und Rollenmodelle
- gesicherte EU-Serverstandorte
- regelmäßige Datensicherungen
- Sicherheitsprotokollierung
- Systemüberwachung
7. Unterauftragsverarbeiter
Der Verantwortliche erteilt seine allgemeine schriftliche Genehmigung zum Einsatz von Unterauftragsverarbeitern in folgenden Kategorien:
- Anbieter der Bewertungs- und Reputationsplattform (technische Bereitstellung)
- Hosting- und Infrastrukturanbieter mit Serverstandort in der EU
- Zahlungsdienstleister
- Anbieter für Telefonie sowie für den Versand von E-Mail, SMS und Messenger-Nachrichten
- Anbieter für KI-gestützte Text- und Sprachverarbeitung
Eine jederzeit aktuelle Liste der eingesetzten Unterauftragsverarbeiter mit Name, Anschrift und erbrachter Leistung stellt der Auftragsverarbeiter dem Verantwortlichen auf Anfrage in Textform zur Verfügung.
Der Auftragsverarbeiter informiert den Verantwortlichen rechtzeitig in Textform, bevor ein weiterer Unterauftragsverarbeiter hinzugezogen oder ein bestehender ausgetauscht wird. Der Verantwortliche kann dem innerhalb von vier Wochen nach Zugang der Mitteilung aus wichtigem Grund widersprechen.
8. Ort der Verarbeitung
Die Verarbeitung findet innerhalb der EU statt.
Für Dienste mit Drittlandbezug (Meta, Stripe, KI-Anbieter) werden Standardvertragsklauseln gemäß Art. 46 DSGVO eingesetzt.
Werden Beiträge auf Social-Media-Plattformen veröffentlicht, geschieht dies auf Weisung des Verantwortlichen. Ab der Veröffentlichung verarbeiten die Plattformbetreiber die Inhalte eigenverantwortlich und teilweise außerhalb der EU. Der Verantwortliche stellt sicher, dass die abgebildeten Personen in die Veröffentlichung eingewilligt haben.
9. Rechte und Pflichten des Verantwortlichen
Der Verantwortliche bleibt Eigentümer der Daten und ist für deren Rechtmäßigkeit verantwortlich.
Er muss sicherstellen, dass alle gespeicherten Endkundendaten rechtskonform erhoben wurden.
10. Unterstützung bei Betroffenenrechten
Der Auftragsverarbeiter unterstützt bei:
- Auskunftsersuchen
- Berichtigung
- Löschung
- Einschränkung und Datenübertragbarkeit
Der Auftragsverarbeiter unterstützt den Verantwortlichen außerdem bei einer Datenschutz-Folgenabschätzung und bei einer vorherigen Konsultation der Aufsichtsbehörde, soweit dies erforderlich ist und die benötigten Informationen beim Auftragsverarbeiter vorliegen.
Der Auftragsverarbeiter stellt dem Verantwortlichen auf Anfrage alle Informationen zur Verfügung, die zum Nachweis der Einhaltung dieses Vertrags erforderlich sind, und ermöglicht Überprüfungen einschließlich Inspektionen. Überprüfungen erfolgen nach angemessener Vorankündigung, während der üblichen Geschäftszeiten und ohne unangemessene Beeinträchtigung des Betriebs. Der Nachweis kann auch durch aktuelle Zertifikate, Testate oder Berichte unabhängiger Stellen geführt werden.
11. Löschung von Daten
Nach Vertragsende werden Daten gelöscht, es sei denn gesetzliche Aufbewahrungsfristen bestehen.
Der Export liegt in der Verantwortung des Verantwortlichen.
12. Weisungsgebundenheit
Der Auftragsverarbeiter darf personenbezogene Daten nur gemäß dokumentierten Weisungen des Verantwortlichen verarbeiten.
Bei unklaren Weisungen erfolgt Rücksprache.
Ist der Auftragsverarbeiter der Ansicht, dass eine Weisung gegen datenschutzrechtliche Vorschriften verstößt, informiert er den Verantwortlichen unverzüglich und kann die Ausführung bis zu einer Bestätigung aussetzen.
13. Haftung
Jede Partei haftet im Rahmen der gesetzlichen Vorgaben.
Der Auftragsverarbeiter haftet nicht für Fehler, die aus falschen oder rechtswidrigen Anweisungen des Verantwortlichen resultieren.
14. Vertragsdauer
Dieser Vertrag gilt für die Dauer der Nutzung der eviral-Plattform und endet automatisch mit dem Hauptvertrag.
15. Schlussbestimmungen
Es gilt deutsches Recht.
Gerichtsstand ist Monheim am Rhein.
Änderungen bedürfen der Textform.