Auftragsverarbeitungsvertrag

Stand: 08. Oktober 2026 · Version 1.1

Präambel

Dieser Auftragsverarbeitungsvertrag (im Folgenden „AVV") konkretisiert die datenschutzrechtlichen Pflichten der Parteien aus dem zwischen ihnen geschlossenen Hauptvertrag (Klientrix-Nutzungsvertrag, vgl. AGB). Er findet auf alle Tätigkeiten Anwendung, bei denen Mitarbeiter des Auftragnehmers oder dessen Sub-Auftragnehmer mit personenbezogenen Daten des Auftraggebers in Berührung kommen.

§ 1 Vertragsparteien

Verantwortlicher (Auftraggeber): Der Coach, Berater oder die Agentur, die ein Klientrix-Konto registriert hat. Persönliche Angaben werden im Konto-Profil erfasst und gelten bei Vertragsschluss als wechselseitig bestätigt.

Auftragsverarbeiter (Auftragnehmer): Weboa – Webdesign & Marketing, Abdulhamit Özdemir, Planckstraße 9, 71665 Vaihingen an der Enz.

§ 2 Gegenstand und Dauer der Verarbeitung

Gegenstand: Bereitstellung der Klientrix-SaaS-Plattform zur Verwaltung von Klienten-Daten, Sessions, Paketen, Rechnungen und Terminen.

Art und Zweck: Hosting, Speicherung, Anzeige und Verarbeitung der vom Auftraggeber eingegebenen Daten ausschließlich zur Erfüllung der im Klientrix-Hauptvertrag beschriebenen Leistungen.

Dauer: Laufzeit des Klientrix-Hauptvertrags. Nach dessen Ende werden die Daten gemäß § 8 Abs. 4 AGB innerhalb von 30 Tagen unwiderruflich gelöscht.

§ 3 Art der Daten und Kategorien Betroffener

Datenkategorien:

• Stammdaten der Klienten (Name, E-Mail, Telefon, Anschrift)
• Vertragsdaten (Pakete, Kontingente, Vertragsbeginn)
• Session-Notizen und Coaching-Dokumentation (sofern vom Auftraggeber eingegeben)
• Termin-Daten und Kalender-Einträge
• Rechnungs- und Zahlungs-Metadaten
• Datei-Anhänge (sofern vom Auftraggeber hochgeladen)

Betroffene Personengruppen: Klienten und Interessenten des Auftraggebers sowie dessen Team-Mitglieder.

§ 4 Pflichten des Auftragnehmers

• Verarbeitung ausschließlich auf dokumentierte Weisung des Auftraggebers (Art. 28 Abs. 3 lit. a DSGVO).
• Verpflichtung aller mit der Verarbeitung befassten Personen auf Vertraulichkeit (Art. 28 Abs. 3 lit. b DSGVO).
• Treffen aller erforderlichen technisch-organisatorischen Maßnahmen (siehe § 7).
• Unterstützung des Auftraggebers bei der Wahrnehmung von Betroffenen­rechten (Auskunft, Löschung, Datenübertragung).
• Unverzügliche Meldung von Datenschutzvorfällen an den Auftraggeber, spätestens innerhalb von 24 Stunden nach Kenntnis.
• Auf Wunsch Mitwirkung bei Datenschutz-Folgenabschätzungen (Art. 35–36 DSGVO).

§ 5 Pflichten des Auftraggebers

• Sicherstellung der Rechtsgrundlage für die Datenverarbeitung (Einwilligung, Vertrag, berechtigtes Interesse).
• Wahrnehmung der Pflichten als Verantwortlicher gegenüber den Betroffenen.
• Information der Klienten über die Nutzung von Klientrix als Verarbeiter.
• Vertrauliche Behandlung der eigenen Zugangsdaten.

§ 6 Sub-Auftragsverarbeiter

(1) Der Auftraggeber stimmt dem Einsatz der unter /datenschutz aufgeführten Sub-Prozessoren zu (Hetzner, Resend für System-Mails, Stripe für das Klientrix-Abo, Plausible; nur bei aktiver Nutzung durch den Auftraggeber: Anthropic, Google, Microsoft, Zoom).

(2) Bei Wechsel oder Hinzufügen weiterer Sub-Auftragnehmer informiert der Auftragnehmer den Auftraggeber mindestens 30 Tage im Voraus per E-Mail. Der Auftraggeber kann widersprechen. Im Falle eines berechtigten Widerspruchs steht beiden Parteien ein außerordentliches Kündigungsrecht zu.

(3) Der Auftragnehmer schließt mit allen Sub-Auftragnehmern eigene AVVs nach Art. 28 DSGVO ab und stellt sicher, dass sie gleichwertige Pflichten übernehmen.

§ 7 Technisch-organisatorische Maßnahmen (TOMs)

Der Auftragnehmer setzt mindestens folgende Maßnahmen um:

Bereich	Maßnahmen
Vertraulichkeit	Rechenzentrum der Hetzner Online GmbH in Falkenstein (Zutrittskontrolle durch Hetzner). Server-Zugang per SSH ausschließlich mit Schlüssel; Anmeldung per Passwort und als Root ist abgeschaltet; fail2ban gegen Anmeldeversuche. Zugangsschlüssel und Passwörter zu verbundenen Diensten (OAuth-Tokens, SMTP- und Zoom-Zugänge) werden verschlüsselt gespeichert (AES-256-GCM).
Integrität	Übertragung ausschließlich verschlüsselt über HTTPS (TLS 1.2 und 1.3) mit HSTS (zwei Jahre, inkl. Subdomains). Passwörter der Nutzer nur als bcrypt-Hash. Wichtige Aktionen (z. B. Löschungen, Exporte, Einstellungen zum Versand) werden im Audit-Log protokolliert. Datenbank und Datenträger sind nicht zusätzlich verschlüsselt.
Verfügbarkeit	Tägliche automatische Sicherung von Datenbank und hochgeladenen Dateien, 14 Tage aufbewahrt; die Sicherungen liegen derzeit auf demselben Server. Health-Checks und automatischer Neustart der Dienste; automatische Sicherheits-Updates des Betriebssystems (unattended-upgrades).
Belastbarkeit	Getrennte Container für Anwendung, Datenbank, Webserver und Zeitsteuerung mit festen Speichergrenzen und automatischem Neustart.
Wiederherstellbarkeit	Wiederherstellung aus der täglichen Sicherung; Daten seit der letzten Sicherung (bis zu 24 Stunden) können verloren gehen. Weil die Sicherungen auf demselben Server liegen, schützen sie vor Bedien- und Softwarefehlern, nicht vor einem Totalausfall des Servers. Feste Wiederherstellungszeiten werden nicht zugesagt.
Pseudonymisierung und Löschung	Der Auftraggeber kann Klienten-Daten in der App anonymisieren oder löschen (Recht auf Vergessen).
Zugriffskontrolle	Rollen mit abgestuften Rechten (Inhaber, Coach, Assistenz); Anmeldung über Sitzungen mit höchstens 30 Tagen Laufzeit.

§ 8 Kontrollrechte

Der Auftraggeber kann sich jederzeit über die Einhaltung dieses AVV überzeugen. Auf Anfrage stellt der Auftragnehmer aktuelle TOM-Dokumentation, Backup-Reports und Sub-Prozessor-Listen zur Verfügung. Vor-Ort-Kontrollen sind nach vorheriger Abstimmung möglich.

§ 9 Datenrückgabe und Löschung

(1) Nach Beendigung des Hauptvertrags hat der Auftraggeber 30 Tage Zeit, einen vollständigen Datenexport (JSON; einzelne Listen zusätzlich als CSV) über die App-Einstellungen herunterzuladen.

(2) Nach Ablauf der 30-Tage-Frist werden alle Daten unwiderruflich gelöscht. Backups werden im normalen Retention-Zyklus überschrieben (max. 14 Tage).

§ 10 Haftung

Es gelten die Haftungsregelungen aus § 9 der Klientrix-AGB sowie die Bestimmungen des Art. 82 DSGVO.

§ 11 Schlussbestimmungen

(1) Sollten einzelne Bestimmungen dieses AVV unwirksam sein, bleibt die Wirksamkeit der übrigen unberührt.

(2) Änderungen werden dem Auftraggeber 30 Tage vor Inkrafttreten per E-Mail mitgeteilt.

(3) Es gilt deutsches Recht. Gerichtsstand ist der Sitz des Auftragnehmers.

Dieser AVV gilt mit Vertragsschluss als verbindlich vereinbart und kann jederzeit unter klientrix.de/avv abgerufen werden.