Stand: August 2026 · Art. 28 DSGVO
Dieser Auftragsverarbeitungsvertrag (AVV) konkretisiert die Pflichten aus § 12 der Allgemeinen Geschäftsbedingungen und ist Bestandteil des Vertrages über die Nutzung von Doclution.
Verantwortlicher (Auftraggeber)
Das Unternehmen, das Doclution auf Grundlage eines Abonnements nutzt (nachfolgend „Kunde“ oder „Verantwortlicher“). Maßgeblich sind die im Kundenkonto hinterlegten Firmendaten.
Auftragsverarbeiter (Auftragnehmer)
DERS Solution GmbH
Delitzscher Straße 73 · 06116 Halle (Saale) · Deutschland
Vertreten durch den Geschäftsführer Danny Eckhardt
Handelsregister: Amtsgericht Stendal · HRB 37763
E-Mail: de@doclution.de
Nachfolgend einzeln „Partei“, gemeinsam „Parteien“.
Der Auftragsverarbeiter erbringt für den Verantwortlichen Leistungen nach Maßgabe des zwischen den Parteien geschlossenen Hauptvertrages über die Nutzung der Software-Plattform Doclution einschließlich der zugehörigen mobilen Anwendungen (nachfolgend „Hauptvertrag“). Im Rahmen dieser Leistungserbringung verarbeitet der Auftragsverarbeiter personenbezogene Daten im Auftrag und nach Weisung des Verantwortlichen. Dieser Vertrag konkretisiert die datenschutzrechtlichen Rechte und Pflichten der Parteien nach Art. 28 Abs. 3 DSGVO und geht bei Widersprüchen zu datenschutzrechtlichen Regelungen des Hauptvertrages diesem vor. Im Übrigen bleiben die Regelungen des Hauptvertrages unberührt.
Datenschutzrechtlich Verantwortlicher im Sinne des Art. 4 Nr. 7 DSGVO ist ausschließlich der Kunde. Er entscheidet allein über Zweck und Mittel der Verarbeitung und ist für die Zulässigkeit der Verarbeitung sowie für die Wahrung der Rechte betroffener Personen verantwortlich. Der Kunde ist insbesondere dafür verantwortlich, dass für die Erhebung von Fotos, Standortdaten und Zeitdaten seiner Beschäftigten eine tragfähige Rechtsgrundlage besteht und dass eine gegebenenfalls erforderliche Beteiligung der Arbeitnehmervertretung erfolgt ist. Der Auftragsverarbeiter verarbeitet die Daten ausschließlich zur Erbringung der vertraglich vereinbarten Leistungen und verfolgt keine eigenen Zwecke. Verarbeitet der Auftragsverarbeiter Daten für eigene Zwecke, etwa zur Abrechnung des Abonnements oder für die Vertragskorrespondenz mit dem Kunden, handelt er insoweit als eigenständig Verantwortlicher außerhalb dieses Vertrages.
Zweck der Verarbeitung ist die Bereitstellung und der Betrieb von Doclution als Software-as-a-Service, insbesondere die digitale Foto-Dokumentation von Arbeitsprozessen, die Beweissicherung, die Auftrags- und Nachweisverwaltung, die Erstellung von Berichten sowie die Kommunikation der Beteiligten innerhalb der Plattform. Die Verarbeitung umfasst je nach gebuchtem Tarif namentlich das Erheben, Erfassen, Speichern, Organisieren, Ordnen, Auslesen, Abfragen, Verwenden, Übermitteln an vom Kunden bestimmte Empfänger, Einschränken und Löschen personenbezogener Daten. Die Verarbeitung erfolgt automatisiert auf Servern des Auftragsverarbeiters sowie auf den Endgeräten der Nutzer des Kunden. Eine Verwendung der Daten zu eigenen Analyse- oder Werbezwecken des Auftragsverarbeiters findet nicht statt; die Auswertung vollständig anonymisierter Nutzungsdaten zur Sicherheit und Weiterentwicklung des Dienstes bleibt hiervon unberührt.
Die Verarbeitung beginnt mit der Freischaltung des Zugangs zu Doclution und ist auf die Laufzeit des Hauptvertrages befristet. Der Vertrag endet automatisch mit Beendigung des Hauptvertrages, ohne dass es einer gesonderten Kündigung bedarf. Die Pflichten zur Löschung, Rückgabe und Vertraulichkeit bestehen über das Vertragsende hinaus fort, bis sie vollständig erfüllt sind.
Gegenstand der Verarbeitung sind insbesondere: (1) Foto- und Bilddaten aus der Dokumentation von Arbeitsprozessen einschließlich der darin gegebenenfalls sichtbaren Personen, Fahrzeuge und Kennzeichen, (2) Standortdaten in Form eines einmaligen GPS-Snapshots im Moment der Aufnahme, (3) Zeitstempel und Zeiterfassungsdaten, (4) Auftrags-, Referenz- und Vorgangsdaten einschließlich Freitextangaben und erfasster Datenfelder, (5) Stammdaten der Nutzerkonten wie Name, Benutzername, E-Mail-Adresse, Rolle, Team- und Firmenzuordnung, (6) digitale Unterschriften als Bilddatei nebst Unterzeichnername, (7) Chat- und Nachrichteninhalte innerhalb der Plattform, (8) technische Protokolldaten wie Zugriffs-, Anmelde- und Änderungsprotokolle, Geräte- und Sitzungskennungen sowie IP-Adressen, soweit sie zur Sicherheit und Nachvollziehbarkeit des Betriebs erforderlich sind. Der konkrete Umfang wird durch die vom Kunden gewählte Konfiguration, die von ihm angelegten Vorlagen und die gebuchten Funktionen bestimmt. Besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO sind nicht Gegenstand des Auftrages; der Kunde stellt sicher, dass solche Daten nicht ohne vorherige gesonderte Vereinbarung in die Plattform eingestellt werden.
Betroffene Personen sind insbesondere: Beschäftigte des Kunden einschließlich Leiharbeitnehmern, Auszubildenden und freien Mitarbeitern, die die Plattform nutzen oder deren Tätigkeit dokumentiert wird; Ansprechpartner und Beschäftigte von Kunden, Auftraggebern, Lieferanten und sonstigen Geschäftspartnern des Kunden, etwa als Unterzeichner einer Empfangsbestätigung; sowie sonstige Personen, die auf dokumentierten Fotos zufällig oder anlassbezogen abgebildet sind. Der Kunde ist verpflichtet, diese Personen nach Art. 13 und 14 DSGVO zu informieren.
Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen, einschließlich in Bezug auf die Übermittlung von Daten an ein Drittland oder an eine internationale Organisation, sofern er nicht durch das Recht der Union oder der Mitgliedstaaten, dem er unterliegt, zur Verarbeitung verpflichtet ist. In einem solchen Fall teilt der Auftragsverarbeiter dem Verantwortlichen diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht eine solche Mitteilung nicht wegen eines wichtigen öffentlichen Interesses verbietet. Der Hauptvertrag, dieser Vertrag sowie die vom Kunden in der Plattform vorgenommenen Einstellungen und Konfigurationen stellen die ursprüngliche Weisung dar. Einzelweisungen sind in Textform an die oben genannte Kontaktadresse zu richten; mündliche Weisungen sind unverzüglich in Textform zu bestätigen. Weisungsberechtigt sind die vom Kunden benannten Administratoren beziehungsweise die im Kundenkonto als Manager hinterlegten Personen. Der Auftragsverarbeiter informiert den Verantwortlichen unverzüglich, wenn er der Auffassung ist, dass eine Weisung gegen die DSGVO oder andere Datenschutzvorschriften verstößt; er ist berechtigt, die Ausführung der betreffenden Weisung bis zu deren Bestätigung oder Änderung auszusetzen.
Der Auftragsverarbeiter verarbeitet die Daten ausschließlich im Rahmen dieses Vertrages und der Weisungen des Verantwortlichen. Er führt ein Verzeichnis aller Kategorien von Verarbeitungstätigkeiten im Auftrag nach Art. 30 Abs. 2 DSGVO und stellt dem Verantwortlichen die den Auftrag betreffenden Angaben auf Anfrage zur Verfügung. Er benennt eine für den Datenschutz zuständige Kontaktstelle, die über die oben genannte E-Mail-Adresse erreichbar ist; ob eine gesetzliche Pflicht zur Benennung eines Datenschutzbeauftragten besteht, prüft jede Partei für ihren Bereich eigenständig und teilt eine Benennung der anderen Partei mit. Der Auftragsverarbeiter arbeitet auf Anfrage mit der zuständigen Aufsichtsbehörde zusammen und unterrichtet den Verantwortlichen unverzüglich über behördliche Maßnahmen oder Ermittlungen, die die Verarbeitung im Auftrag betreffen. Er informiert den Verantwortlichen ferner unverzüglich, wenn eine Behörde, ein Gericht oder ein sonstiger Dritter Zugriff auf die Daten des Verantwortlichen verlangt, soweit dies rechtlich zulässig ist.
Der Auftragsverarbeiter setzt zur Verarbeitung ausschließlich Personen ein, die zur Vertraulichkeit verpflichtet oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen. Die Verpflichtung erfolgt vor Aufnahme der Tätigkeit, ist zu dokumentieren und besteht auch nach Beendigung der Tätigkeit fort. Die eingesetzten Personen werden regelmäßig über die für sie geltenden Datenschutzpflichten unterrichtet. Zugriff auf Daten des Verantwortlichen erhalten nur Personen, die diesen Zugriff zur Erfüllung ihrer Aufgaben benötigen.
Der Auftragsverarbeiter trifft unter Berücksichtigung des Stands der Technik, der Implementierungskosten sowie der Art, des Umfangs, der Umstände und der Zwecke der Verarbeitung geeignete technische und organisatorische Maßnahmen, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten. Dazu zählen insbesondere die Verschlüsselung sämtlicher Übertragungswege, eine rollenbasierte Zugriffskontrolle, die strikte Mandantentrennung zwischen den Firmen, die protokollierte Nachvollziehbarkeit von Zugriffen und Änderungen, die gesicherte Speicherung von Zugangsdaten sowie regelmäßige Datensicherungen. Die Maßnahmen sind in der Anlage 1 zu diesem Vertrag im Einzelnen beschrieben und Gegenstand fortlaufender Überprüfung. Der Auftragsverarbeiter ist berechtigt, die Maßnahmen an den technischen Fortschritt anzupassen, solange das vereinbarte Schutzniveau nicht unterschritten wird; wesentliche Änderungen werden dokumentiert und dem Verantwortlichen auf Anfrage mitgeteilt.
Der Verantwortliche erteilt dem Auftragsverarbeiter die allgemeine Genehmigung im Sinne des Art. 28 Abs. 2 Satz 2 DSGVO, weitere Auftragsverarbeiter zur Erbringung der vertraglich geschuldeten Leistungen heranzuziehen, insbesondere für den Betrieb der Server-Infrastruktur, für den Versand von E-Mails sowie für Wartungs- und Supportleistungen. Die jeweils aktuelle Liste der Unterauftragsverarbeiter wird dem Kunden auf Anfrage in Textform zur Verfügung gestellt. Der Auftragsverarbeiter informiert den Verantwortlichen mindestens vier Wochen vor der beabsichtigten Hinzuziehung oder Ersetzung eines Unterauftragsverarbeiters in Textform. Der Verantwortliche kann der Änderung innerhalb von zwei Wochen nach Zugang der Mitteilung aus wichtigem, datenschutzrechtlich begründetem Anlass in Textform widersprechen. Widerspricht der Verantwortliche und kann die beabsichtigte Änderung nicht mit vertretbarem Aufwand vermieden werden, ist der Verantwortliche berechtigt, den Hauptvertrag zum Zeitpunkt des Wirksamwerdens der Änderung außerordentlich zu kündigen. Der Auftragsverarbeiter wählt Unterauftragsverarbeiter sorgfältig aus, verpflichtet sie vertraglich auf Datenschutzpflichten, die denen dieses Vertrages entsprechen, und haftet für deren Verhalten wie für eigenes Verhalten. Reine Nebenleistungen ohne Bezug zu den Daten des Verantwortlichen, etwa Telekommunikations-, Reinigungs- oder Entsorgungsdienstleistungen, gelten nicht als Unterauftragsverarbeitung; auch insoweit trifft der Auftragsverarbeiter angemessene Schutzvorkehrungen.
Die Verarbeitung der Daten des Verantwortlichen findet ausschließlich in Mitgliedstaaten der Europäischen Union oder in Vertragsstaaten des Abkommens über den Europäischen Wirtschaftsraum statt. Eine Verlagerung der Verarbeitung in ein Drittland darf nur mit vorheriger Zustimmung des Verantwortlichen und nur unter Einhaltung der Voraussetzungen der Art. 44 bis 49 DSGVO erfolgen. Nutzt der Verantwortliche eigene Speicherziele oder Schnittstellen zu Drittsystemen und bestimmt dadurch selbst einen Speicherort außerhalb der EU beziehungsweise des EWR, liegt die datenschutzrechtliche Bewertung dieser Übermittlung in seiner Verantwortung.
Der Auftragsverarbeiter unterstützt den Verantwortlichen nach Möglichkeit mit geeigneten technischen und organisatorischen Maßnahmen dabei, seiner Pflicht zur Beantwortung von Anträgen auf Wahrnehmung der Betroffenenrechte nach Kapitel III der DSGVO nachzukommen, insbesondere bei Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Datenübertragbarkeit und Widerspruch. Die hierfür erforderlichen Funktionen zur Recherche, Berichtigung, Sperrung, Löschung und zum Export stehen dem Verantwortlichen im Portal zur eigenständigen Nutzung zur Verfügung. Wendet sich eine betroffene Person unmittelbar an den Auftragsverarbeiter, leitet dieser das Anliegen unverzüglich an den Verantwortlichen weiter und beantwortet es nicht selbst. Über die im Portal verfügbaren Funktionen hinausgehende Unterstützungsleistungen kann der Auftragsverarbeiter nach Aufwand vergüten lassen, sofern die Unterstützung nicht auf einem von ihm zu vertretenden Umstand beruht.
Der Auftragsverarbeiter unterstützt den Verantwortlichen bei der Einhaltung der in den Art. 32 bis 36 DSGVO genannten Pflichten, insbesondere bei der Sicherheit der Verarbeitung, bei der Meldung von Verletzungen des Schutzes personenbezogener Daten, bei der Benachrichtigung betroffener Personen, bei Datenschutz-Folgenabschätzungen und bei einer etwaigen vorherigen Konsultation der Aufsichtsbehörde. Hierzu stellt er die ihm vorliegenden erforderlichen Informationen zur Verfügung. Wird dem Auftragsverarbeiter eine Verletzung des Schutzes personenbezogener Daten des Verantwortlichen bekannt, meldet er dies dem Verantwortlichen unverzüglich, in der Regel innerhalb von 24 Stunden nach Kenntniserlangung, in Textform. Die Meldung enthält, soweit verfügbar, eine Beschreibung der Art der Verletzung, die Kategorien und die ungefähre Zahl der betroffenen Personen und Datensätze, die wahrscheinlichen Folgen, die ergriffenen oder vorgeschlagenen Abhilfemaßnahmen sowie eine Kontaktstelle für Rückfragen. Fehlende Angaben werden ohne unangemessene Verzögerung nachgereicht. Der Auftragsverarbeiter ergreift unverzüglich die erforderlichen Maßnahmen zur Sicherung der Daten und zur Minderung möglicher nachteiliger Folgen. Die Meldung an die Aufsichtsbehörde und an betroffene Personen obliegt dem Verantwortlichen.
Der Auftragsverarbeiter stellt dem Verantwortlichen alle erforderlichen Informationen zum Nachweis der Einhaltung der in Art. 28 DSGVO niedergelegten Pflichten zur Verfügung und ermöglicht Überprüfungen einschließlich Inspektionen, die vom Verantwortlichen oder einem von diesem beauftragten Prüfer durchgeführt werden, und trägt zu diesen bei. Der Nachweis kann durch aktuelle Selbstauskünfte, durch die Vorlage der Beschreibung der technischen und organisatorischen Maßnahmen oder durch Berichte unabhängiger Stellen erfolgen, soweit solche vorliegen. Vor-Ort-Kontrollen sind mit einer Ankündigungsfrist von mindestens zwei Wochen, während der üblichen Geschäftszeiten, ohne Störung des Betriebsablaufs und nach Verpflichtung der prüfenden Personen zur Vertraulichkeit durchzuführen; sie finden in der Regel höchstens einmal jährlich statt, es sei denn, es besteht ein besonderer Anlass wie eine Datenschutzverletzung oder eine behördliche Anordnung. Der Auftragsverarbeiter kann von ihm zu vertretende Prüfungen nicht in Rechnung stellen; für darüber hinausgehenden Prüfaufwand kann eine angemessene Vergütung vereinbart werden. Prüfrechte der zuständigen Aufsichtsbehörde bleiben unberührt.
Nach Abschluss der Erbringung der Verarbeitungsleistungen löscht der Auftragsverarbeiter alle personenbezogenen Daten des Verantwortlichen oder gibt sie nach dessen Wahl zurück, sofern nicht nach dem Recht der Union oder der Mitgliedstaaten eine Verpflichtung zur Speicherung besteht. Im laufenden Betrieb gelöschte Daten werden für 30 Tage in einem System-Papierkorb vorgehalten und können in dieser Zeit durch den Verantwortlichen wiederhergestellt werden; nach Ablauf dieser Frist erfolgt die unwiderrufliche Löschung. Nach Beendigung des Hauptvertrages stellt der Auftragsverarbeiter dem Verantwortlichen dessen Daten für 30 Tage zum Export bereit. Anschließend werden alle Daten des Verantwortlichen einschließlich vorhandener Kopien innerhalb von 90 Tagen vollständig gelöscht. Datensicherungen werden im Rahmen der regulären Sicherungszyklen überschrieben; bis zur endgültigen Löschung aus den Sicherungen bleiben die Daten den Schutzmaßnahmen dieses Vertrages unterworfen. Die Löschung wird dem Verantwortlichen auf Anfrage in Textform bestätigt. Soweit gesetzliche Aufbewahrungspflichten der Löschung entgegenstehen, werden die betroffenen Daten in der Verarbeitung eingeschränkt und ausschließlich zu diesem Zweck aufbewahrt.
Für die Haftung der Parteien im Verhältnis zueinander gelten die Regelungen des Hauptvertrages, soweit dieser Vertrag nichts Abweichendes bestimmt. Die Haftung gegenüber betroffenen Personen richtet sich nach Art. 82 DSGVO. Im Innenverhältnis tragen die Parteien einen etwaigen Schaden nach ihrem jeweiligen Verantwortungsanteil. Verarbeitet der Auftragsverarbeiter Daten unter Verstoß gegen dokumentierte Weisungen des Verantwortlichen oder unter Missachtung der ihm nach der DSGVO speziell auferlegten Pflichten, haftet er insoweit nach den gesetzlichen Vorschriften. Der Verantwortliche stellt den Auftragsverarbeiter von Ansprüchen Dritter frei, die darauf beruhen, dass die vom Verantwortlichen veranlasste Verarbeitung ohne tragfähige Rechtsgrundlage erfolgte oder gegen die vom Verantwortlichen zu erfüllenden Pflichten verstieß, es sei denn, der Auftragsverarbeiter hat den Verstoß zu vertreten.
Dieser Vertrag ist an die Laufzeit des Hauptvertrages gebunden und kann nicht isoliert ordentlich gekündigt werden. Das Recht zur außerordentlichen Kündigung aus wichtigem Grund bleibt unberührt; ein wichtiger Grund liegt für den Verantwortlichen insbesondere vor, wenn der Auftragsverarbeiter schwerwiegend gegen die Vorschriften der DSGVO oder gegen wesentliche Pflichten dieses Vertrages verstößt und den Verstoß trotz Aufforderung nicht innerhalb einer angemessenen Frist abstellt. Änderungen und Ergänzungen dieses Vertrages bedürfen der Textform; dies gilt auch für die Aufhebung dieses Textformerfordernisses. Ändern sich die rechtlichen Rahmenbedingungen oder verlangt eine Aufsichtsbehörde Anpassungen, werden die Parteien diesen Vertrag einvernehmlich an die geänderten Anforderungen anpassen.
Es gilt das Recht der Bundesrepublik Deutschland unter Ausschluss des UN-Kaufrechts. Ausschließlicher Gerichtsstand ist Halle (Saale), sofern der Verantwortliche Kaufmann, juristische Person des öffentlichen Rechts oder öffentlich-rechtliches Sondervermögen ist. Sollten einzelne Bestimmungen dieses Vertrages ganz oder teilweise unwirksam sein oder werden, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt; an die Stelle der unwirksamen Regelung tritt diejenige zulässige Regelung, die dem wirtschaftlich und datenschutzrechtlich Gewollten am nächsten kommt. Bei Widersprüchen zwischen diesem Vertrag und den Allgemeinen Geschäftsbedingungen gehen in datenschutzrechtlichen Fragen die Regelungen dieses Vertrages vor.
Vertraulichkeit
Integrität
Verfügbarkeit und Belastbarkeit
Verfahren zur Überprüfung, Bewertung und Evaluierung
Die Maßnahmen entsprechen dem Stand bei Veröffentlichung dieser Fassung und werden fortlaufend weiterentwickelt. Eine Unterschreitung des beschriebenen Schutzniveaus ist ausgeschlossen.
Der Auftragsverarbeiter setzt zur Erbringung der Leistungen weitere Auftragsverarbeiter ein, insbesondere in den Bereichen Server- und Hosting-Infrastruktur, E-Mail-Versand sowie Wartung und Support. Die jeweils aktuelle Liste der Unterauftragsverarbeiter wird dem Kunden auf Anfrage in Textform zur Verfügung gestellt und enthält Name, Anschrift, Leistungsgegenstand und Verarbeitungsort.
Änderungen werden nach Maßgabe von Ziffer 11 dieses Vertrages mitgeteilt. Anfragen richten Sie bitte an de@doclution.de.
Dieser Auftragsverarbeitungsvertrag wird mit Abschluss des Hauptvertrages über die Nutzung von Doclution wirksam und bedarf keiner gesonderten Unterzeichnung. Eine unterschriebene Ausfertigung stellen wir auf Anfrage in Textform zur Verfügung. Ergänzende Informationen finden Sie in unseren AGB, in der Datenschutzerklärung und im Impressum.