RECHTLICHES · ART. 28 DSGVO
Auftragsverarbeitungsvertrag
Stand: 01. Mai 2026 · Version 1.0
Präambel
Dieser Auftragsverarbeitungsvertrag (im Folgenden „AVV") konkretisiert die datenschutzrechtlichen Pflichten der Parteien aus dem zwischen ihnen geschlossenen Hauptvertrag (Klientrix-Nutzungsvertrag, vgl. AGB). Er findet auf alle Tätigkeiten Anwendung, bei denen Mitarbeiter des Auftragnehmers oder dessen Sub-Auftragnehmer mit personenbezogenen Daten des Auftraggebers in Berührung kommen.
§ 1 Vertragsparteien
Verantwortlicher (Auftraggeber): Der Coach, Berater oder die Agentur, die ein Klientrix-Konto registriert hat. Persönliche Angaben werden im Konto-Profil erfasst und gelten bei Vertragsschluss als wechselseitig bestätigt.
Auftragsverarbeiter (Auftragnehmer): Weboa – Webdesign & Marketing, Abdulhamit Özdemir, Planckstraße 9, 71665 Vaihingen an der Enz.
§ 2 Gegenstand und Dauer der Verarbeitung
Gegenstand: Bereitstellung der Klientrix-SaaS-Plattform zur Verwaltung von Klienten-Daten, Sessions, Paketen, Rechnungen und Terminen.
Art und Zweck: Hosting, Speicherung, Anzeige und Verarbeitung der vom Auftraggeber eingegebenen Daten ausschließlich zur Erfüllung der im Klientrix-Hauptvertrag beschriebenen Leistungen.
Dauer: Laufzeit des Klientrix-Hauptvertrags. Nach dessen Ende werden die Daten gemäß § 8 Abs. 4 AGB innerhalb von 30 Tagen unwiderruflich gelöscht.
§ 3 Art der Daten und Kategorien Betroffener
Datenkategorien:
- Stammdaten der Klienten (Name, E-Mail, Telefon, Anschrift)
- Vertragsdaten (Pakete, Kontingente, Vertragsbeginn)
- Session-Notizen und Coaching-Dokumentation (sofern vom Auftraggeber eingegeben)
- Termin-Daten und Kalender-Einträge
- Rechnungs- und Zahlungs-Metadaten
- Datei-Anhänge (sofern vom Auftraggeber hochgeladen)
Betroffene Personengruppen: Klienten und Interessenten des Auftraggebers sowie dessen Team-Mitglieder.
§ 4 Pflichten des Auftragnehmers
- Verarbeitung ausschließlich auf dokumentierte Weisung des Auftraggebers (Art. 28 Abs. 3 lit. a DSGVO).
- Verpflichtung aller mit der Verarbeitung befassten Personen auf Vertraulichkeit (Art. 28 Abs. 3 lit. b DSGVO).
- Treffen aller erforderlichen technisch-organisatorischen Maßnahmen (siehe § 7).
- Unterstützung des Auftraggebers bei der Wahrnehmung von Betroffenenrechten (Auskunft, Löschung, Datenübertragung).
- Unverzügliche Meldung von Datenschutzvorfällen an den Auftraggeber, spätestens innerhalb von 24 Stunden nach Kenntnis.
- Auf Wunsch Mitwirkung bei Datenschutz-Folgenabschätzungen (Art. 35–36 DSGVO).
§ 5 Pflichten des Auftraggebers
- Sicherstellung der Rechtsgrundlage für die Datenverarbeitung (Einwilligung, Vertrag, berechtigtes Interesse).
- Wahrnehmung der Pflichten als Verantwortlicher gegenüber den Betroffenen.
- Information der Klienten über die Nutzung von Klientrix als Verarbeiter.
- Vertrauliche Behandlung der eigenen Zugangsdaten.
§ 6 Sub-Auftragsverarbeiter
(1) Der Auftraggeber stimmt dem Einsatz der unter /datenschutz aufgeführten Sub-Prozessoren zu (Hetzner, Resend, Anthropic, Stripe, Google, Twilio, Plausible).
(2) Bei Wechsel oder Hinzufügen weiterer Sub-Auftragnehmer informiert der Auftragnehmer den Auftraggeber mindestens 30 Tage im Voraus per E-Mail. Der Auftraggeber kann widersprechen. Im Falle eines berechtigten Widerspruchs steht beiden Parteien ein außerordentliches Kündigungsrecht zu.
(3) Der Auftragnehmer schließt mit allen Sub-Auftragnehmern eigene AVVs nach Art. 28 DSGVO ab und stellt sicher, dass sie gleichwertige Pflichten übernehmen.
§ 7 Technisch-organisatorische Maßnahmen (TOMs)
Der Auftragnehmer setzt mindestens folgende Maßnahmen um:
| Bereich | Maßnahmen |
|---|---|
| Vertraulichkeit | Hetzner-Rechenzentrum mit Zutrittskontrolle, SSH-Zugang ausschließlich per Public-Key, kein Root-Login, fail2ban, Hetzner-Firewall, UFW. |
| Integrität | TLS 1.3, HSTS preload, AES-256 at-rest, bcrypt für Passwörter, projektweite Verschlüsselung sensibler Konfiguration. |
| Verfügbarkeit | Tägliche automatisierte Backups (14 Tage Retention), unabhängiger Storage-Snapshot, Health-Checks, automatische Sicherheits-Updates (unattended-upgrades). |
| Belastbarkeit | Container-basierte Architektur, Restart-on-failure, Cron-Sidecar. |
| Wiederherstellbarkeit | RTO < 4 Stunden, RPO < 24 Stunden im Beta-Zeitraum. |
| Pseudonymisierung | Klienten-Daten können auf Wunsch des Auftraggebers anonymisiert werden (Recht auf Vergessen). |
| Zugriffskontrolle | Rollen-basierte Berechtigungen (Owner, Coach, Assistant), session-basierte Authentifizierung mit 30-Tage-Tokens, Audit-Log aller administrativen Aktionen. |
§ 8 Kontrollrechte
Der Auftraggeber kann sich jederzeit über die Einhaltung dieses AVV überzeugen. Auf Anfrage stellt der Auftragnehmer aktuelle TOM-Dokumentation, Backup-Reports und Sub-Prozessor-Listen zur Verfügung. Vor-Ort-Kontrollen sind nach vorheriger Abstimmung möglich.
§ 9 Datenrückgabe und Löschung
(1) Nach Beendigung des Hauptvertrags hat der Auftraggeber 30 Tage Zeit, einen vollständigen Datenexport (JSON+CSV) über die App-Einstellungen herunterzuladen.
(2) Nach Ablauf der 30-Tage-Frist werden alle Daten unwiderruflich gelöscht. Backups werden im normalen Retention-Zyklus überschrieben (max. 14 Tage).
§ 10 Haftung
Es gelten die Haftungsregelungen aus § 9 der Klientrix-AGB sowie die Bestimmungen des Art. 82 DSGVO.
§ 11 Schlussbestimmungen
(1) Sollten einzelne Bestimmungen dieses AVV unwirksam sein, bleibt die Wirksamkeit der übrigen unberührt.
(2) Änderungen werden dem Auftraggeber 30 Tage vor Inkrafttreten per E-Mail mitgeteilt.
(3) Es gilt deutsches Recht. Gerichtsstand ist der Sitz des Auftragnehmers.
Dieser AVV gilt mit Vertragsschluss als verbindlich vereinbart und kann jederzeit unter klientrix.de/avv abgerufen werden.