Auftrags­verarbeitungs­vertrag (AVV)

Version 1.4 – Stand: 11.10.2026 (Online-Fassung für Bestellungen im Shop; Änderung gegenüber Version 1.3: Metricool als Unterauftragnehmer für Social-Media-Management ergänzt)

Vertragsparteien

Auftraggeber (Verantwortlicher): das Unternehmen, das bei Newmountains.IT eine Leistung beauftragt, für die diese Vereinbarung gilt – mit Firmenname und Anschrift gemäß Bestellung bzw. Auftrag (nachfolgend „Auftraggeber“).

Auftragnehmer (Auftragsverarbeiter): Newmountains.IT, Raphael Neuberger, Oberndorferstraße 22, 84032 Landshut, info@newmountains.it, www.newmountains.it (nachfolgend „Auftragnehmer“).

– zusammen „Parteien“ genannt –

Präambel

Diese AVV konkretisiert die datenschutzrechtlichen Verpflichtungen der Parteien gemäß Art. 28 DSGVO für alle Leistungsverträge zwischen Auftraggeber und Auftragnehmer (Hauptvertrag) und geht bei datenschutzrechtlichen Widersprüchen den Regelungen des Hauptvertrags vor.

Der Auftragnehmer (Newmountains.IT) verarbeitet personenbezogene Daten ausschließlich im Auftrag und nach Weisung des Auftraggebers. Er ist Auftragsverarbeiter gem. Art. 4 Nr. 8 DSGVO und beauftragt seinerseits die in Anlage 3 genannten Sub-Auftragsverarbeiter.

Hinweis Chat-Dienst (chat.newmountains.it): Der Auftraggeber agiert als Verantwortlicher gegenüber seinen Website-Besuchern. AnyChat (anychat.one) ist Sub-Auftragsverarbeiter des Auftragnehmers und verarbeitet Daten auf Hetzner-Servern in Nürnberg, Deutschland.

Es wird Folgendes vereinbart:

§ 1 Gegenstand, Ort und Dauer

(1) Gegenstand, Art, Umfang und Zweck der Verarbeitung, Datenkategorien sowie Kategorien betroffener Personen sind in Anlage 1 beschrieben.

(2) Die Verarbeitung findet ausschließlich in der EU/dem EWR statt. Jede Verlagerung in ein Drittland bedarf der vorherigen dokumentierten Weisung des Auftraggebers und darf nur erfolgen, wenn die Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind. Mögliche Rechtsgrundlagen: Angemessenheitsbeschluss (Art. 45 DSGVO), Standarddatenschutzklauseln (Art. 46 Abs. 2 lit. c/d), verbindliche interne Vorschriften (Art. 46 Abs. 2 lit. b), genehmigte Verhaltensregeln (Art. 46 Abs. 2 lit. e i. V. m. Art. 40), genehmigter Zertifizierungsmechanismus (Art. 46 Abs. 2 lit. f i. V. m. Art. 42). Details in Anlage 3.

(3) Die Laufzeit entspricht der Laufzeit des Hauptvertrags. Wird die Datenverarbeitung über das Auftragsende hinaus fortgeführt oder der Vertrag vor Beendigung der Verarbeitung gekündigt, gilt diese AVV bis zur Beendigung fort. Das Recht zur außerordentlichen Kündigung bei schwerwiegendem Datenschutzverstoß bleibt unberührt.

(4) Änderungen bedürfen der Schriftform oder eines dokumentierten elektronischen Formats.

§ 2 Weisungsbefugnis und Verantwortlichkeit

(1) Der Auftragnehmer verarbeitet personenbezogene Daten ausschließlich gemäß den dokumentierten Weisungen des Auftraggebers und nicht zu eigenen Zwecken.

(2) Weisungen werden schriftlich oder in Textform erteilt (E-Mail: info@newmountains.it oder vereinbartes Ticket-System). Mündliche Weisungen bestätigt der Auftraggeber unverzüglich in Textform. Datenschutzrechtliche Weisungen werden durch den Auftragnehmer dokumentiert und von beiden Parteien für die Geltungsdauer sowie anschließend drei volle Kalenderjahre aufbewahrt.

(3) Ist der Auftragnehmer der Auffassung, eine Weisung verstoße gegen die DSGVO, informiert er den Auftraggeber unverzüglich und kann die Durchführung bis zur Klärung aussetzen.

(4) Ist der Auftragnehmer nach EU- oder mitgliedstaatlichem Recht zur Verarbeitung verpflichtet (z. B. gegenüber Strafverfolgungsbehörden), teilt er dies dem Auftraggeber vor der Verarbeitung mit, sofern das Recht eine solche Mitteilung nicht wegen eines wichtigen öffentlichen Interesses verbietet (Art. 28 Abs. 3 S. 2 lit. a DSGVO).

§ 3 Pflichten des Auftragnehmers

3.1 Vertraulichkeit und Geheimhaltung

(1) Alle mit der Verarbeitung befassten Personen sind auf die Vertraulichkeit verpflichtet (Art. 28 Abs. 3 lit. b, Art. 29 DSGVO). Diese Verpflichtung besteht über das Beschäftigungsende hinaus fort.

(2) Kopien und Duplikate werden ohne Wissen des Auftraggebers nicht erstellt, ausgenommen Sicherheitskopien und gesetzlich erforderliche Aufbewahrungen.

(3) Soweit im Rahmen der Auftragsverarbeitung Geschäftsgeheimnisse des Auftraggebers i. S. d. § 2 Abs. 1 GeschGehG bekannt werden, verpflichtet sich der Auftragnehmer, diese durch angemessene Geheimhaltungsmaßnahmen zu schützen (§ 23 i. V. m. § 4 GeschGehG). Diese Pflicht gilt für alle eingesetzten Personen und besteht über das Vertragsende hinaus fort.

3.2 Berichtigung, Einschränkung und Löschung von Daten

(4) Der Auftragnehmer darf die im Auftrag verarbeiteten Daten nicht eigenmächtig, sondern nur nach dokumentierter Weisung des Auftraggebers berichtigen, löschen oder deren Verarbeitung einschränken. Direkt beim Auftragnehmer eingehende Ersuchen betroffener Personen werden unverzüglich an den Auftraggeber weitergeleitet.

3.3 Technische und organisatorische Maßnahmen (TOM)

(5) Der Auftragnehmer verpflichtet sich zur Umsetzung und Einhaltung geeigneter TOM gem. Art. 28 Abs. 3 lit. c und Art. 32 DSGVO hinsichtlich Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit. Die TOM sind in Anlage 2 dokumentiert.

(6) Die TOM unterliegen dem technischen Fortschritt. Alternative adäquate Maßnahmen sind zulässig, sofern das Schutzniveau nicht unterschritten wird. Wesentliche Änderungen sind zu dokumentieren und rechtzeitig mitzuteilen.

(7) Der Auftragnehmer überprüft regelmäßig, dass Unterauftragnehmer ein mindestens gleichwertiges Schutzniveau einhalten. Die Nachweisbarkeit gegenüber dem Auftraggeber im Rahmen von § 7 ist gewährleistet.

3.4 Unterstützung bei Betroffenenrechten (Art. 12–22 DSGVO)

(8) Der Auftragnehmer unterstützt den Auftraggeber bei Anträgen betroffener Personen (Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit, Widerspruch). Direkt eingehende Anfragen werden unverzüglich, spätestens innerhalb von 3 Werktagen, an den Auftraggeber weitergeleitet (gesetzliche Beantwortungsfrist: 1 Monat, Art. 12 Abs. 3 DSGVO).

3.5 Meldung von Datenschutzverletzungen

Hinweis: Der Auftraggeber hat nach Art. 33 DSGVO nur 72 Stunden zur Meldung an die Aufsichtsbehörde. Der Auftragnehmer reagiert daher intern deutlich früher.

(9) Der Auftragnehmer informiert den Auftraggeber unverzüglich, spätestens innerhalb von 24 Stunden nach Bekanntwerden einer Datenschutzverletzung. Die Meldung enthält: (a) Art der Verletzung, (b) betroffene Kategorien und geschätzte Anzahl Personen, (c) wahrscheinliche Folgen, (d) ergriffene Gegenmaßnahmen. Der Auftragnehmer stellt dem Auftraggeber sämtliche relevanten Informationen für dessen Informationspflicht gegenüber Betroffenen unverzüglich zur Verfügung.

(10) Ist eine vollständige Meldung innerhalb von 24 Stunden nicht möglich, wird zunächst eine Erstmeldung übermittelt und stufenweise ergänzt. Die Pflicht zur Meldung an die Aufsichtsbehörde (Art. 33 DSGVO) liegt allein beim Auftraggeber.

3.6 DSFA, Behördenkonsultation und Zusammenarbeit mit Aufsichtsbehörden

(11) Der Auftragnehmer unterstützt den Auftraggeber bei Datenschutz-Folgenabschätzungen gem. Art. 35 DSGVO sowie bei Konsultationen gem. Art. 36 DSGVO.

(12) Auftraggeber und Auftragnehmer arbeiten auf Anfrage mit der zuständigen Aufsichtsbehörde bei der Erfüllung ihrer Aufgaben zusammen (Art. 31 DSGVO). Der Auftragnehmer informiert den Auftraggeber unverzüglich über Kontrollhandlungen und Maßnahmen der Aufsichtsbehörde sowie über behördliche Ermittlungen im Zusammenhang mit der Auftragsverarbeitung.

(13) Soweit der Auftraggeber einer Kontrolle der Aufsichtsbehörde, einem Ordnungswidrigkeits- oder Strafverfahren oder einem Haftungsanspruch im Zusammenhang mit der Auftragsverarbeitung ausgesetzt ist, unterstützt ihn der Auftragnehmer nach besten Kräften.

3.7 Löschung und Herausgabe von Daten

(14) Nach Beendigung des Hauptvertrags werden alle personenbezogenen Daten sowie Test- und Ausschussmaterial auf Weisung des Auftraggebers zurückgegeben oder innerhalb von 30 Tagen datenschutzgerecht vernichtet, sofern keine gesetzliche Aufbewahrungspflicht entgegensteht. Sicherungskopien werden nach Ablauf der Backup-Retention gelöscht (Hetzner: 30 Tage, netcup: 14 Tage, AnyChat-Transkripte: 365 Tage). Das Protokoll der Löschung ist dem Auftraggeber auf Anforderung vorzulegen; die Löschung wird unaufgefordert in Textform mit Datumsangabe bestätigt.

(15) Dokumentationen zum Nachweis der vertragsmäßigen Datenverarbeitung werden gemäß den gesetzlichen Aufbewahrungsfristen über das Vertragsende hinaus aufbewahrt und können dem Auftraggeber bei Vertragsende übergeben werden.

§ 4 Pflichten des Auftraggebers

(1) Der Auftraggeber trägt die alleinige Verantwortung für die Rechtmäßigkeit der Auftragsverarbeitung.

(2) Der Auftraggeber informiert den Auftragnehmer unverzüglich bei datenschutzrechtlichen Fehlern oder Unregelmäßigkeiten.

(3) Der Auftraggeber benennt einen Ansprechpartner für datenschutzrelevante Fragen (siehe § 7 Abs. 4).

(4) Der Auftraggeber unterstützt den Auftragnehmer bei Kontrollhandlungen der Aufsichtsbehörde gem. Art. 58 DSGVO.

(5) Der Auftraggeber führt ein Verzeichnis von Verarbeitungstätigkeiten gem. Art. 30 DSGVO (Abs. 1 als Verantwortlicher, ggf. Abs. 2 als Auftragsverarbeiter).

§ 5 Besondere Kategorien (Art. 9 DSGVO)

Hinweis: Besondere Kategorien (u. a. Gesundheitsdaten, biometrische Daten) erfordern eine ausdrückliche Rechtsgrundlage und erhöhte TOM. In E-Mails oder Chats können solche Daten unbeabsichtigt auftreten.

(1) Standardmäßig werden keine besonderen Kategorien nach Art. 9 Abs. 1 DSGVO verarbeitet. Bis zur gesonderten Vereinbarung in Textform ist deren Verarbeitung nicht zulässig.

(2) Benötigt der Auftraggeber die Verarbeitung besonderer Kategorien, ist dies gesondert in Textform zu vereinbaren (Ergänzung zu Anlage 1, Abschnitt 5); zusätzliche Schutzmaßnahmen werden dabei festgelegt.

§ 6 Einschaltung von Unterauftragnehmern

(1) Als Unterauftragsverhältnisse gelten solche Dienstleistungen, die sich unmittelbar auf die Verarbeitung personenbezogener Daten im Auftrag des Auftraggebers beziehen.

(2) Der Auftragnehmer ist berechtigt, Unterauftragnehmer gem. Art. 28 Abs. 2 DSGVO einzusetzen. Freigegebene Unterauftragnehmer sind in Anlage 3 aufgeführt.

(3) Der Auftraggeber erteilt seine allgemeine Genehmigung zur Einschaltung weiterer Unterauftragnehmer. Der Auftragnehmer informiert den Auftraggeber über jede Änderung in Textform mit ausreichendem Vorlauf.

(4) Der Auftraggeber kann innerhalb von 14 Tagen nach Bekanntgabe in Textform widersprechen. Bei fehlendem Widerspruch gilt die Zustimmung als erteilt. Bei unlösbaren Differenzen steht dem Auftraggeber ein Sonderkündigungsrecht für die betroffene Leistung zu.

(5) Die Weitergabe personenbezogener Daten an den Unterauftragnehmer und sein erstmaliges Tätigwerden sind erst zulässig, wenn alle Voraussetzungen für die Unterbeauftragung vorliegen, insbesondere die vertragliche Einbindung gem. Art. 28 Abs. 2–4 DSGVO abgeschlossen ist.

(6) Der Auftragnehmer stellt vertraglich sicher, dass Unterauftragnehmer denselben Datenschutzpflichten unterliegen wie der Auftragnehmer gegenüber dem Auftraggeber (Art. 28 Abs. 4 DSGVO).

(7) Eine weitere Auslagerung durch den Unterauftragnehmer (Ketten-Unterauftragsverhältnis) bedarf der ausdrücklichen Zustimmung des Auftraggebers in Textform, soweit sie nicht in Anlage 3 bereits aufgeführt ist. Sämtliche Regelungen dieser AVV sind auch dem weiteren Unterauftragnehmer aufzuerlegen. Erbringt ein Unterauftragnehmer Leistungen außerhalb der EU/des EWR, sichert der Auftragnehmer die datenschutzrechtliche Zulässigkeit durch Garantien gem. Art. 44 ff. DSGVO.

(8) Nicht als Unterauftragsverhältnis gelten untergeordnete Nebenleistungen ohne Datenzugriff (z. B. Telekommunikation, Reinigung).

§ 7 Kontrollrechte, Datenschutzbeauftragter und Ansprechpartner

(1) Der Auftraggeber hat das Recht, Überprüfungen selbst oder durch im Einzelfall benannte Prüfer (nicht in direktem Wettbewerb zum Auftragnehmer) durchzuführen. Kontrollen sind in der Regel vorab anzukündigen, sofern der Kontrollzweck nicht andernfalls gefährdet wäre.

(2) Der Auftragnehmer erteilt auf Anforderung die erforderlichen Auskünfte und weist die Einhaltung seiner Pflichten nach. Nachweismöglichkeiten: Zertifizierungen (z. B. ISO 27001), Testate, Berichte unabhängiger Instanzen, Einhaltung genehmigter Verhaltensregeln gem. Art. 40 DSGVO, genehmigter Zertifizierungsmechanismus gem. Art. 42 DSGVO.

(3) Vor-Ort-Kontrollen sind auf eine Prüfung pro Kalenderjahr beschränkt (ausgenommen: anlassbezogene Kontrollen nach Datenpannen). Soweit die Kontrolle nicht aufgrund eines Verstoßes des Auftragnehmers erforderlich wurde, trägt der Auftraggeber die entstehenden Kosten.

(4) Newmountains.IT beschäftigt regelmäßig weniger als 20 Personen mit automatisierter Verarbeitung. Eine gesetzliche Pflicht zur Bestellung eines Datenschutzbeauftragten besteht nach § 38 BDSG derzeit nicht. Ansprechpartnerin des Auftragnehmers: Sandra Neuberger, Geschäftsführung, datenschutz@newmountains.it, Telefon 0871 20 655 600. Ansprechpartner des Auftraggebers ist die bei der Bestellung bzw. Beauftragung angegebene Kontaktperson, sofern der Auftraggeber in Textform keine andere Person benennt.

§ 8 Drittlandsübermittlung

(1) Drittlandstransfers erfolgen nur auf Grundlage der Art. 44 ff. DSGVO. Details und Rechtsgrundlagen in Anlage 3.

(2) Der Auftragnehmer informiert den Auftraggeber über geplante Änderungen rechtzeitig vorab.

§ 9 Haftung

(1) Die Haftung richtet sich nach Art. 82 DSGVO sowie dem Hauptvertrag.

(2) Soweit eine Haftung des Auftragnehmers auf einer schuldhaften Pflichtverletzung des Auftraggebers beruht, stellt der Auftraggeber den Auftragnehmer anteilig von Drittansprüchen frei.

§ 10 Schlussbestimmungen und Abschluss

(1) Diese AVV hat bei datenschutzrechtlichen Widersprüchen Vorrang vor dem Hauptvertrag.

(2) Änderungen bedürfen der Schriftform oder eines dokumentierten elektronischen Formats.

(3) Es gilt deutsches Recht. Ausschließlicher Gerichtsstand ist Landshut.

(4) Salvatorische Klausel: Die Unwirksamkeit einzelner Bestimmungen berührt die Gültigkeit der übrigen nicht.

(5) Diese AVV gilt auch für zukünftige Leistungsverträge, soweit keine separate AVV vereinbart wird.

(6) Diese AVV wird in einem elektronischen Format geschlossen (Art. 28 Abs. 9 DSGVO). Bei Bestellungen im Online-Shop stimmt der Auftraggeber ihr durch Aktivieren der entsprechenden Checkbox vor Absenden der Bestellung zu; Zeitpunkt, Fassung und betroffene Leistungen werden mit der Bestellung gespeichert und in der Bestellbestätigung genannt. Bei Beauftragung außerhalb des Shops erfolgt der Abschluss in Textform. Auf Wunsch stellt der Auftragnehmer zusätzlich eine unterzeichnete Fassung bereit (Anfrage an info@newmountains.it).

Anlage 1: Verarbeitungsspezifikationen

1. Gegenstand, Art und Zweck

IT-Dienstleistungen: Cloud-Infrastruktur, E-Mail-Sicherheit, Webhosting, CRM-Betrieb, Live-Chat (chat.newmountains.it), Automatisierung, Social-Media-Management, Telefonie, Managed IT.

2. Dauer

Laufzeit des Hauptvertrags. Nach Vertragsende Löschung innerhalb von 30 Tagen bzw. nach Ablauf der Backup-Retention (Hetzner 30 Tage, netcup 14 Tage, AnyChat 365 Tage).

3. Art der Daten

• Personenstammdaten (Name, Adresse, Geburtsdatum)
• Kommunikationsdaten (E-Mail, Telefon)
• Vertragsstammdaten, -historie, Zahlungsdaten
• Log-Daten (IP-Adressen, Zugriffszeitpunkte)
• Authentifizierungsdaten (Nutzernamen, verschlüsselte Passwörter)
• Chat-Inhalte und Transkripte (AnyChat)
• Chat-Metadaten: IP, Browser/User-Agent, Gerät, Betriebssystem, Session-IDs, ungefähre Geolokation, Referrer, Zeitstempel
• E-Mail-Inhalte (verarbeitet via Hornetsecurity)
• System-Metriken und Performance-Daten
• Social-Media-Inhalte, Kommentare und Direktnachrichten sowie Profil- und Reichweitenstatistiken der verbundenen Social-Media-Konten (verarbeitet via Metricool)

4. Kategorien betroffener Personen

• Kunden, Interessenten, Abonnenten
• Beschäftigte, externe Mitarbeiter, Lieferanten, Handelsvertreter, Ansprechpartner
• Website-Besucher und Chat-Nutzer
• Follower, Kommentierende und Kontakte der Social-Media-Kanäle des Auftraggebers

5. Besondere Kategorien (Art. 9 DSGVO)

Standard: keine besonderen Kategorien (keine Gesundheitsdaten, keine biometrischen Daten, keine Daten zur rassischen/ethnischen Herkunft, keine politischen/religiösen Überzeugungen). Abweichungen nur nach gesonderter Vereinbarung gemäß § 5.

6. Verarbeitungsort

Primär Deutschland und EU/EWR. Drittlandstransfers und Rechtsgrundlagen in Anlage 3.

Anlage 2: Technische und organisatorische Maßnahmen (TOM)

Die TOM gem. Art. 32 DSGVO sind dokumentiert und werden mindestens jährlich überprüft.

Anlage 3: Freigegebene Unterauftragnehmer

Mit allen Unterauftragnehmern bestehen DSGVO-konforme AVV gem. Art. 28 DSGVO. Änderungen werden gem. § 6 Abs. 3 rechtzeitig mitgeteilt. Stand: 11.10.2026.

Fragen zu dieser Vereinbarung oder Wunsch nach einer unterzeichneten Fassung: info@newmountains.it · 0871 20 655 600