Auftragsverarbeitungsvertrag (AVV)

Vereinbarung über die Verarbeitung personenbezogener Daten im Auftrag gemäß Art. 28 DSGVO zwischen dem Kunden als Verantwortlichem (nachfolgend „Kunde“) und

als Auftragsverarbeiter (nachfolgend „Auftragnehmer“). Dieser AVV wird mit Registrierung bzw. Nutzung des Dienstes QMreport (qmreport.de) Bestandteil des Nutzungsvertrags (AGB) und genügt dem Schriftformerfordernis des Art. 28 Abs. 9 DSGVO in elektronischem Format. Auf Anfrage an weber@qmreport.de stellen wir eine unterzeichnete Fassung als PDF bereit.

§ 1 Gegenstand und Dauer

Gegenstand ist die Bereitstellung des SaaS-Dienstes QMreport zur automatischen Erstellung von Prüfberichten aus technischen Zeichnungen. Der Auftragnehmer verarbeitet dabei personenbezogene Daten im Auftrag des Kunden. Art und Zweck der Verarbeitung, die Datenarten und die Kategorien betroffener Personen ergeben sich aus Anlage 1. Die Dauer entspricht der Laufzeit des Nutzungsvertrags.

§ 2 Weisungsrecht des Kunden

Der Auftragnehmer verarbeitet die Daten ausschließlich im Rahmen der getroffenen Vereinbarungen und auf dokumentierte Weisung des Kunden (Art. 28 Abs. 3 lit. a DSGVO). Weisungen ergeben sich in der Regel aus der Nutzung der Funktionen des Dienstes (Upload, Analyse, Löschung); ergänzende Weisungen sind in Textform an weber@qmreport.de zu richten. Der Auftragnehmer informiert den Kunden unverzüglich, wenn er der Auffassung ist, dass eine Weisung gegen Datenschutzrecht verstößt, und darf die Ausführung insoweit aussetzen.

§ 3 Vertraulichkeit

Der Auftragnehmer verpflichtet sich und etwaige zur Verarbeitung befugte Personen zur Vertraulichkeit (Art. 28 Abs. 3 lit. b DSGVO). Die Vertraulichkeitspflicht besteht auch nach Beendigung des Vertrags fort.

§ 4 Sicherheit der Verarbeitung

Der Auftragnehmer trifft die technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO, die in Anlage 2 beschrieben sind, und entwickelt sie entsprechend dem Stand der Technik fort, wobei das vereinbarte Schutzniveau nicht unterschritten werden darf.

§ 5 Unterauftragsverarbeiter

Der Kunde erteilt die allgemeine Genehmigung zum Einsatz der in Anlage 3 aufgeführten Unterauftragsverarbeiter (Art. 28 Abs. 2 DSGVO). Der Auftragnehmer informiert den Kunden über beabsichtigte Änderungen (Hinzuziehung oder Ersetzung) durch Aktualisierung der Anlage 3 unter qmreport.de/avv und, soweit möglich, per E-Mail. Der Kunde kann einer Änderung innerhalb von 30 Tagen aus wichtigem datenschutzrechtlichem Grund widersprechen; im Fall des Widerspruchs steht beiden Parteien ein außerordentliches Kündigungsrecht zu. Mit jedem Unterauftragsverarbeiter werden Verpflichtungen entsprechend diesem AVV vereinbart (Art. 28 Abs. 4 DSGVO). Übermittlungen in Drittländer erfolgen nur bei Vorliegen der Voraussetzungen der Art. 44 ff. DSGVO (insbesondere EU-Standardvertragsklauseln, Angemessenheitsbeschluss / EU-US Data Privacy Framework).

§ 6 Unterstützung des Kunden

Der Auftragnehmer unterstützt den Kunden mit geeigneten technischen und organisatorischen Maßnahmen bei der Erfüllung von Betroffenenrechten (Art. 12–23 DSGVO) sowie bei den Pflichten aus Art. 32–36 DSGVO (Sicherheit, Meldung von Verletzungen, Datenschutz-Folgenabschätzung, Konsultation). Anfragen betroffener Personen, die den Kunden betreffen, leitet der Auftragnehmer unverzüglich an den Kunden weiter.

§ 7 Meldung von Verletzungen des Schutzes personenbezogener Daten

Der Auftragnehmer meldet dem Kunden Verletzungen des Schutzes personenbezogener Daten, die Daten des Kunden betreffen, unverzüglich nach Bekanntwerden und unterstützt den Kunden bei dessen Melde- und Benachrichtigungspflichten nach Art. 33, 34 DSGVO.

§ 8 Löschung und Rückgabe

Der Kunde kann hochgeladene Dokumente, Analyseergebnisse und Vorlagen jederzeit selbst in der Anwendung löschen. Bei Löschung der Organisation bzw. des Kontos des letzten Mitglieds werden sämtliche im Auftrag verarbeiteten Daten (Dokumente, Analyseergebnisse, Vorlagen, Einstellungen, Nutzungszähler) automatisch aus den Produktivsystemen gelöscht, sofern nicht gesetzliche Aufbewahrungspflichten entgegenstehen (Art. 28 Abs. 3 lit. g DSGVO; Rechnungsdaten: § 147 AO, § 257 HGB). In Datenbank-Sicherungen (Point-in-Time-Recovery) können gelöschte Einträge technisch bedingt bis zu 35 Tage fortbestehen und werden danach automatisch überschrieben; eine Wiederherstellung erfolgt nur zur Notfall-Wiederherstellung des Gesamtsystems. Auf Wunsch stellt der Auftragnehmer die Daten vor der Löschung in einem gängigen Format bereit.

§ 9 Nachweise und Kontrollen

Der Auftragnehmer stellt dem Kunden alle erforderlichen Informationen zum Nachweis der Einhaltung der Pflichten aus Art. 28 DSGVO zur Verfügung und ermöglicht Überprüfungen (Art. 28 Abs. 3 lit. h DSGVO). Nachweise werden vorrangig durch geeignete Unterlagen (Beschreibungen der Maßnahmen, Zertifizierungen der eingesetzten Rechenzentren, z. B. ISO 27001 der AWS-Infrastruktur) erbracht. Vor-Ort-Kontrollen erfolgen nach vorheriger Anmeldung in angemessenem Umfang.

§ 10 Schlussbestimmungen

Es gilt deutsches Recht. Sollten einzelne Bestimmungen unwirksam sein, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt. Bei Widersprüchen zwischen diesem AVV und sonstigen Vereinbarungen geht dieser AVV hinsichtlich des Datenschutzes vor.

Anlage 1 — Gegenstand der Verarbeitung

Art und Zweck der Verarbeitung

Speicherung, Auswertung (einschließlich KI-gestützter Analyse) und Ausgabe hochgeladener technischer Zeichnungen und Dokumente zur Erstellung von Prüfberichten; Verwaltung von Benutzerkonten und Organisationen des Kunden.

Kategorien personenbezogener Daten

• Bestands- und Kommunikationsdaten der Nutzer des Kunden (Name, geschäftliche E-Mail-Adresse, Organisationszugehörigkeit, Login-Metadaten),
• Inhalte hochgeladener Dokumente, soweit sie personenbezogene Daten enthalten (z. B. Namen, Kürzel und Unterschriften in Schriftfeldern technischer Zeichnungen, Prüfer- und Konstrukteursangaben),
• Nutzungs- und Protokolldaten (Zeitstempel, IP-Adressen in Server-Logs).

Kategorien betroffener Personen

• Beschäftigte und Ansprechpartner des Kunden,
• in hochgeladenen Dokumenten genannte Personen (z. B. Konstrukteure, Prüfer).

Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO) sind nicht Gegenstand des Auftrags und dürfen nicht hochgeladen werden.

Anlage 2 — Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

• Verschlüsselung: Transportverschlüsselung (TLS) für sämtliche Verbindungen; serverseitige Verschlüsselung der gespeicherten Daten (Amazon S3, Amazon DynamoDB).
• Standort: Speicherung und Verarbeitung der Kundendaten in der AWS-Region eu-central-1 (Frankfurt am Main); kein öffentlicher Zugriff auf Speicher-Buckets.
• Zugangs- und Zugriffskontrolle: Zugriff auf Kundendaten nur nach Authentifizierung; strikte Mandantentrennung auf Organisationsebene (jede Anfrage wird serverseitig auf die Organisation des angemeldeten Nutzers beschränkt); Least-Privilege-IAM-Rollen für die Anwendungsinfrastruktur; Zugangsdaten und Schlüssel in AWS Secrets Manager, nicht im Quellcode.
• Netzwerksicherheit: Anwendung in privater VPC hinter Load Balancer und CloudFront; Ursprungsserver nur mit geheimem Header erreichbar; interne PDF-Konvertierung über IAM-signierte, nicht öffentliche Endpunkte.
• Verfügbarkeit und Wiederherstellbarkeit: Kontinuierliche Point-in-Time-Recovery-Backups der Datenbank; redundante, verwaltete AWS-Dienste; Gesundheitsüberwachung mit automatischem Neustart.
• Protokollierung: Zentrale Protokollierung (AWS CloudWatch) zur Fehleranalyse und Missbrauchserkennung.
• Organisatorisches: Zugriff auf Produktionssysteme ausschließlich durch den Auftragnehmer über individuell authentifizierte AWS-Zugänge; Auswahl von Unterauftragsverarbeitern nach Datenschutz- und Sicherheitskriterien; zertifizierte Rechenzentrumsinfrastruktur (u. a. ISO 27001, SOC 2 bei AWS).

Anlage 3 — Genehmigte Unterauftragsverarbeiter

Hinweis: Die Zahlungsabwicklung über Stripe Payments Europe, Ltd. ist nicht Gegenstand dieses AVV; Stripe handelt insoweit teilweise als eigenständiger Verantwortlicher (siehe Datenschutzerklärung).

Stand: Juli 2026