Auftragsverarbeitungsvertrag (AVV)

Gemäß Art. 28 DSGVO · Stand: Juli 2026

Dieser Auftragsverarbeitungsvertrag gilt zwischen Ihnen als Automatenbetreiber (nachfolgend „Verantwortlicher") und VendVoice als Auftragsverarbeiter. Er ist Bestandteil des Nutzungsvertrags (siehe AGB) und wird mit Bestätigung der AGB bzw. mit Nutzung der Plattform wirksam. Soweit VendVoice personenbezogene Daten ausschließlich in Ihrem Auftrag verarbeitet, gilt das Folgende.

§ 1 Parteien und Rollen

Verantwortlicher: Sie als Betreiber der über die Plattform erfassten Vendingautomaten.
Auftragsverarbeiter: Vend Voice, Inhaber: David Ergin, Detmolder Straße 97, 33100 Paderborn, Deutschland, E-Mail: info@vendvoice.de.

§ 2 Gegenstand, Art, Zweck und Dauer der Verarbeitung

Gegenstand ist die Bereitstellung der SaaS-Plattform VendVoice zur Erhebung und Auswertung von Kundenfeedback per QR-Code-Abstimmung. VendVoice verarbeitet personenbezogene Daten nur, soweit dies zur Erbringung dieser Leistung erforderlich ist. Die Verarbeitung erfolgt für die Dauer des Nutzungsvertrags.

Hinweis zum Umfang: Die eigentlichen Kundenabstimmungen werden anonym erhoben (keine IP-, Session- oder Gerätekennung, kein genauer Zeitpunkt) und stellen regelmäßig keine personenbezogenen Daten dar. Eine Auftragsverarbeitung im engeren Sinne betrifft daher vor allem Konto- und Nutzungsdaten sowie etwaige von Ihnen eingestellte Inhalte.

§ 3 Weisungsgebundenheit

VendVoice verarbeitet die Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen, auch hinsichtlich der Übermittlung in Drittländer, sofern nicht eine gesetzliche Verpflichtung besteht (Art. 28 Abs. 3 lit. a DSGVO). Ihre Konfiguration und Nutzung der Plattform gelten als Weisung. Hält VendVoice eine Weisung für rechtswidrig, wird VendVoice Sie unverzüglich informieren.

§ 4 Pflichten des Auftragsverarbeiters

• Verpflichtung der zur Verarbeitung befugten Personen auf Vertraulichkeit (Art. 28 Abs. 3 lit. b, Art. 29 DSGVO);
• Umsetzung geeigneter technischer und organisatorischer Maßnahmen (Art. 32 DSGVO) gemäß Anlage 2;
• Unterstützung des Verantwortlichen bei der Beantwortung von Betroffenenanfragen (§ 7) sowie bei den Pflichten aus Art. 32–36 DSGVO;
• unverzügliche Meldung von Verletzungen des Schutzes personenbezogener Daten (§ 8);
• Löschung oder Rückgabe der Daten nach Ende der Verarbeitung (§ 9);
• Bereitstellung der zum Nachweis erforderlichen Informationen und Ermöglichung von Überprüfungen (§ 10).

§ 5 Technisch-organisatorische Maßnahmen (Art. 32 DSGVO)

VendVoice trifft die in Anlage 2 beschriebenen Maßnahmen und hält diese während der Vertragsdauer auf einem dem Risiko angemessenen Stand. Maßnahmen dürfen fortentwickelt werden, sofern das Schutzniveau nicht unterschritten wird.

§ 6 Unterauftragsverarbeiter (Art. 28 Abs. 2 und 4 DSGVO)

Der Verantwortliche erteilt die allgemeine Genehmigung zur Beauftragung der in Anlage 3genannten Unterauftragsverarbeiter. VendVoice erlegt jedem Unterauftragsverarbeiter dieselben Datenschutzpflichten auf, wie sie in diesem Vertrag festgelegt sind. Über beabsichtigte Änderungen (Hinzuziehung oder Ersetzung) informiert VendVoice mit angemessener Frist in Textform; Sie können einer Änderung aus wichtigem, datenschutzbezogenem Grund widersprechen.

§ 7 Unterstützung bei Betroffenenrechten

VendVoice unterstützt Sie mit geeigneten technischen und organisatorischen Maßnahmen dabei, Anträgen betroffener Personen auf Wahrnehmung ihrer Rechte (Art. 15–22 DSGVO) nachzukommen, und stellt hierfür Funktionen zur Auskunft, Berichtigung, Löschung und zum Export (u. a. CSV) bereit.

§ 8 Meldung von Datenschutzverletzungen

VendVoice meldet Ihnen Verletzungen des Schutzes personenbezogener Daten, die die von diesem Vertrag erfassten Daten betreffen, unverzüglich nach Bekanntwerden und stellt die zur Erfüllung Ihrer Melde- und Benachrichtigungspflichten (Art. 33, 34 DSGVO) erforderlichen Informationen bereit.

§ 9 Löschung und Rückgabe nach Vertragsende

Nach Abschluss der Erbringung der Verarbeitungsleistungen löscht VendVoice nach Ihrer Wahl die personenbezogenen Daten oder gibt sie zurück und löscht vorhandene Kopien, sofern keine gesetzliche Aufbewahrungspflicht besteht (Art. 28 Abs. 3 lit. g DSGVO). Für den Export steht Ihnen nach Vertragsende ein angemessener Zeitraum zur Verfügung.

§ 10 Nachweise und Überprüfungen

VendVoice stellt Ihnen die zum Nachweis der Einhaltung der Pflichten aus Art. 28 DSGVO erforderlichen Informationen zur Verfügung und ermöglicht angemessene Überprüfungen, einschließlich Inspektionen. Diese können vorrangig durch aussagekräftige Nachweise (z. B. Testate, Zertifizierungen oder Berichte der Unterauftragsverarbeiter) erbracht werden.

§ 11 Übermittlung in Drittländer

Eine Verarbeitung außerhalb der EU/des EWR erfolgt nur unter Einhaltung der Voraussetzungen der Art. 44 ff. DSGVO (Angemessenheitsbeschluss – insbesondere EU-US Data Privacy Framework – oder EU-Standardvertragsklauseln mit ergänzenden Maßnahmen). Die zentrale Datenspeicherung erfolgt in der EU (siehe Anlage 3).

§ 12 Haftung und Schlussbestimmungen

Für die Haftung gilt Art. 82 DSGVO. Im Übrigen gelten die Haftungsregelungen des Nutzungsvertrags. Es gilt deutsches Recht. Bei Widersprüchen zwischen diesem AVV und den AGB gehen im Anwendungsbereich der Auftragsverarbeitung die Regelungen dieses AVV vor.

Anlage 1 – Art der Daten und Kreis der Betroffenen

Kategorien betroffener Personen:

• Sie als Betreiber sowie ggf. Ihre Mitarbeitenden mit Kontozugang (Nutzungsdaten);
• Endkundinnen und Endkunden Ihrer Automaten – jedoch nur in anonymer Form (Abstimmungen ohne Personenbezug).

Arten der verarbeiteten Daten:

• Konto-/Stammdaten (Name, E-Mail, Passwort verschlüsselt, ggf. Firmen- und Rechnungsdaten);
• Nutzungs- und Inhaltsdaten (Automaten-, Standort-, Produkt- und Umfragedaten);
• Abrechnungsdaten kostenpflichtiger Tarife;
• anonyme Abstimmungsdaten (Stimme, freiwillige Angabe zu Altersgruppe/Geschlecht, tagesgenaues Datum) – ohne Personenbezug.

Anlage 2 – Technisch-organisatorische Maßnahmen (Art. 32 DSGVO)

• Verschlüsselung der Datenübertragung (TLS) und verschlüsselte Speicherung der Passwörter;
• Mandantentrennung auf Datenbankebene (Row Level Security), sodass jeder Betreiber ausschließlich eigene Daten sieht;
• rollenbasierte Zugriffskontrolle und Beschränkung des Zugriffs auf das erforderliche Minimum;
• Datensparsamkeit bei Abstimmungen (keine IP-/Geräte-/Sitzungskennung, tagesgenaues Datum);
• Datenverarbeitung der zentralen Datenbank innerhalb der EU (Region Frankfurt);
• Protokollierung, Fehler-/Sicherheitsmonitoring und regelmäßige Aktualisierung eingesetzter Komponenten.

Anlage 3 – Genehmigte Unterauftragsverarbeiter