Vertrag über die Auftragsverarbeitung (AVV)

nach Art. 28 Datenschutz-Grundverordnung (DSGVO)

Stand: 12. Oktober 2026

zwischen dem Kunden, der DooDock nach den Allgemeinen Geschäftsbedingungen (AGB) nutzt, als Verantwortlichem (der „Auftraggeber“)

und Björn Juncker, Einzelunternehmer, Geschäftsbezeichnung DooDigital, Am Kleesbrock 20, 33719 Bielefeld, als Auftragsverarbeiter (der „Auftragnehmer“).

Dieser Vertrag ist Bestandteil der AGB. Er wird mit deren Annahme bei der Registrierung in elektronischer Form geschlossen (Art. 28 Abs. 9 DSGVO).

§ 1 Gegenstand und Dauer

(1) Der Auftragnehmer stellt dem Auftraggeber DooDock nach den AGB bereit und betreibt es. Dabei verarbeitet er die personenbezogenen Daten, die der Auftraggeber und seine Nutzer im Arbeitsbereich speichern oder über verbundene Dienste abrufen.

(2) Art und Zweck der Verarbeitung, die Arten der Daten und die Kategorien betroffener Personen stehen in Anlage 1.

(3) Dieser Vertrag gilt für die Laufzeit der AGB und darüber hinaus, bis der Auftragnehmer alle Daten des Auftraggebers nach § 9 zurückgegeben oder gelöscht hat.

§ 2 Weisungen

(1) Der Auftragnehmer verarbeitet die Daten nur auf dokumentierte Weisung des Auftraggebers, auch in Bezug auf die Übermittlung in ein Drittland, es sei denn, er ist durch das Recht der Union oder eines Mitgliedstaats dazu verpflichtet. In diesem Fall teilt er dem Auftraggeber die rechtliche Anforderung vor der Verarbeitung mit, sofern das Recht dies nicht wegen eines wichtigen öffentlichen Interesses verbietet.

(2) Die Weisungen des Auftraggebers ergeben sich aus den AGB, diesem Vertrag und der Nutzung von DooDock durch den Auftraggeber und seine Nutzer, etwa wenn sie Daten anlegen, ändern oder löschen, Einstellungen vornehmen, Konten bei Diensten Dritter verbinden oder eine KI-Funktion aufrufen. Weitere Weisungen erteilt der Auftraggeber in Textform an info@doodigital.agency.

(3) Ist der Auftragnehmer der Ansicht, dass eine Weisung gegen Datenschutzrecht verstößt, informiert er den Auftraggeber unverzüglich. Er darf die Ausführung der Weisung aussetzen, bis der Auftraggeber sie bestätigt oder ändert.

(4) Für Weisungen, die über den Leistungsumfang der AGB hinausgehen, kann der Auftragnehmer eine angemessene Vergütung verlangen.

§ 3 Pflichten des Auftragnehmers

(1) Der Auftragnehmer verarbeitet die Daten ausschließlich zur Erfüllung dieses Vertrags und nicht für eigene Zwecke. Kopien erstellt er nur, soweit sie für den Betrieb und die Datensicherung nötig sind.

(2) Zugriff auf die Daten hat nur der Auftragnehmer selbst. Setzt er weitere Personen ein, verpflichtet er sie vor dem ersten Zugriff zur Vertraulichkeit, soweit sie nicht einer gesetzlichen Verschwiegenheitspflicht unterliegen.

(3) Der Auftragnehmer trifft die technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO, die in Anlage 2 beschrieben sind. Er darf sie weiterentwickeln, solange das Schutzniveau nicht sinkt.

(4) Die Daten werden in Deutschland verarbeitet. Eine Verarbeitung außerhalb der Europäischen Union oder des Europäischen Wirtschaftsraums findet nur durch die in Anlage 3 genannten Unterauftragsverarbeiter statt und nur, wenn die Voraussetzungen der Art. 44 bis 49 DSGVO erfüllt sind.

(5) Ansprechpartner für den Datenschutz ist Björn Juncker, info@doodigital.agency.

§ 4 Pflichten des Auftraggebers

(1) Der Auftraggeber ist für die Rechtmäßigkeit der Verarbeitung verantwortlich, insbesondere für eine Rechtsgrundlage und die Information der betroffenen Personen.

(2) Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO) verarbeitet er in DooDock nur, soweit dies zulässig ist.

(3) Stellt der Auftraggeber Fehler oder Unregelmäßigkeiten bei der Verarbeitung fest, informiert er den Auftragnehmer unverzüglich.

§ 5 Unterauftragsverarbeiter

(1) Der Auftraggeber erteilt dem Auftragnehmer die allgemeine Genehmigung, Unterauftragsverarbeiter einzusetzen (Art. 28 Abs. 2 DSGVO). Die in Anlage 3 genannten Unterauftragsverarbeiter gelten mit Abschluss dieses Vertrags als genehmigt.

(2) Will der Auftragnehmer einen Unterauftragsverarbeiter hinzuziehen oder ersetzen, informiert er den Auftraggeber mindestens vier Wochen vorher in Textform. Der Auftraggeber kann innerhalb dieser Frist aus einem wichtigen datenschutzrechtlichen Grund in Textform widersprechen. Einigen sich die Parteien nicht, kann jede Partei den Vertrag zu dem Zeitpunkt kündigen, zu dem der Wechsel wirksam werden soll.

(3) Muss ein Unterauftragsverarbeiter aus Sicherheitsgründen kurzfristig ersetzt werden, informiert der Auftragnehmer den Auftraggeber unverzüglich; das Widerspruchsrecht nach Absatz 2 gilt dann ab der Information.

(4) Der Auftragnehmer verpflichtet jeden Unterauftragsverarbeiter vertraglich auf die Datenschutzpflichten dieses Vertrags (Art. 28 Abs. 4 DSGVO). Er haftet gegenüber dem Auftraggeber dafür, dass der Unterauftragsverarbeiter diese Pflichten einhält.

(5) Keine Unterauftragsverarbeiter sind:

• Dienste, die der Auftraggeber selbst mit seinen eigenen Konten verbindet, etwa Meta, LinkedIn, Google (Analytics, Ads, Search Console, Gmail, Kalender), Canva oder sein eigener Mailserver. Mit diesen Diensten hat der Auftraggeber ein eigenes Vertragsverhältnis; der Auftragnehmer übermittelt ihnen Daten nur auf Weisung des Auftraggebers.
• Anbieter von Telekommunikationsdiensten, die Daten nur übertragen.

§ 6 Rechte der betroffenen Personen

(1) DooDock bietet Funktionen, mit denen der Auftraggeber Daten einsehen, berichtigen, exportieren und löschen kann. Reichen diese Funktionen nicht aus, unterstützt der Auftragnehmer den Auftraggeber bei der Erfüllung der Rechte betroffener Personen (Art. 12 bis 22 DSGVO).

(2) Wendet sich eine betroffene Person direkt an den Auftragnehmer, leitet er die Anfrage unverzüglich an den Auftraggeber weiter und beantwortet sie nicht selbst, es sei denn, der Auftraggeber weist ihn dazu an.

§ 7 Verletzungen des Schutzes personenbezogener Daten und weitere Unterstützung

(1) Der Auftragnehmer meldet dem Auftraggeber jede Verletzung des Schutzes personenbezogener Daten unverzüglich, spätestens 48 Stunden nachdem er davon Kenntnis erlangt hat. Die Meldung enthält, soweit bekannt, die Angaben nach Art. 33 Abs. 3 DSGVO; was noch nicht bekannt ist, reicht er schrittweise nach. Er ergreift sofort die Maßnahmen, die nötig sind, um die Daten zu sichern und mögliche nachteilige Folgen zu mindern.

(2) Der Auftragnehmer unterstützt den Auftraggeber bei der Datenschutz-Folgenabschätzung und der vorherigen Konsultation der Aufsichtsbehörde (Art. 35, 36 DSGVO), indem er die Informationen zur Verfügung stellt, über die er verfügt.

(3) Der Auftragnehmer informiert den Auftraggeber über Kontrollen und Maßnahmen einer Aufsichtsbehörde, die diese Verarbeitung betreffen.

(4) Werden die Daten beim Auftragnehmer durch Pfändung, Beschlagnahme, ein Insolvenzverfahren oder andere Ereignisse oder Maßnahmen Dritter gefährdet, informiert er den Auftraggeber unverzüglich.

§ 8 Nachweise und Kontrollen

(1) Der Auftragnehmer stellt dem Auftraggeber alle Informationen zur Verfügung, die nötig sind, um die Einhaltung der Pflichten nach Art. 28 DSGVO nachzuweisen, in der Regel durch diesen Vertrag, die Beschreibung der Maßnahmen in Anlage 2 und schriftliche Auskünfte.

(2) Der Auftraggeber oder ein von ihm beauftragter Prüfer, der zur Verschwiegenheit verpflichtet ist und nicht im Wettbewerb mit dem Auftragnehmer steht, kann Kontrollen durchführen. Kontrollen sind mindestens vier Wochen vorher anzukündigen, finden während der üblichen Geschäftszeiten statt, dürfen den Betrieb nicht unverhältnismäßig stören und erfolgen in der Regel höchstens einmal im Kalenderjahr, es sei denn, ein konkreter Anlass rechtfertigt eine weitere Kontrolle. Für das Rechenzentrum verweist der Auftragnehmer auf die Nachweise von IONOS.

(3) Jede Partei trägt ihre eigenen Kosten. Für Aufwand, der über eine Kontrolle im Kalenderjahr hinausgeht, ohne dass ein Verstoß des Auftragnehmers festgestellt wird, kann der Auftragnehmer eine angemessene Vergütung verlangen.

§ 9 Rückgabe und Löschung

(1) Nach Ende der Leistungen gibt der Auftragnehmer die Daten nach Wahl des Auftraggebers zurück oder löscht sie (Art. 28 Abs. 3 lit. g DSGVO). Die Rückgabe richtet sich nach § 11 AGB: Der Auftraggeber kann bis 30 Tage nach Vertragsende eine vollständige Kopie seiner Daten verlangen.

(2) Nach Übergabe der Kopie, spätestens 30 Tage nach Vertragsende, löscht der Auftragnehmer den Arbeitsbereich mit Datenbank und Dateien vom Server. In den verschlüsselten Datensicherungen ist er spätestens zwölf Monate später nicht mehr enthalten; bis dahin werden diese Kopien nicht verwendet.

(3) Daten, die der Auftraggeber während der Laufzeit in DooDock löscht, werden im laufenden System gelöscht und sind spätestens zwölf Monate später auch aus allen Datensicherungen entfernt. Die Löschfristen, die DooDock selbst anwendet, stehen in Anlage 1.

(4) Auf Verlangen bestätigt der Auftragnehmer die Löschung in Textform.

§ 10 Haftung

Für die Haftung gegenüber betroffenen Personen gilt Art. 82 DSGVO. Im Verhältnis der Parteien zueinander gilt § 9 AGB.

§ 11 Schlussbestimmungen

(1) Bei Widersprüchen zwischen diesem Vertrag und den AGB geht dieser Vertrag in Fragen des Datenschutzes vor.

(2) Änderungen dieses Vertrags richten sich nach § 14 AGB, Änderungen der Unterauftragsverarbeiter nach § 5 dieses Vertrags.

(3) Erklärungen nach diesem Vertrag bedürfen der Textform; eine E-Mail genügt.

(4) Verbindlich ist die deutsche Fassung dieses Vertrags. Die englische Fassung dient nur dem Verständnis.

Anlage 1: Gegenstand der Verarbeitung

Art der Verarbeitung

Erheben, Speichern, Ordnen, Abrufen, Anzeigen, Übermitteln (etwa per E-Mail oder im Kundenportal), Erzeugen von Dokumenten, Sichern und Löschen von Daten.

Zweck

Bereitstellung von DooDock nach den AGB, einschließlich Betrieb, Sicherheit, Fehlerbehebung, Datensicherung und Support.

Arten der Daten

Welche Daten verarbeitet werden, bestimmt der Auftraggeber. DooDock ist für folgende Daten ausgelegt:

• Kontakt- und Stammdaten: Namen, E-Mail-Adressen, Telefonnummern, Unternehmen, Anschriften, Positionen, Notizen.
• Vertrags- und Abrechnungsdaten: Angebote, Rechnungen, Beträge, Umsatzsteuer-Identifikationsnummern, Zahlungen, Bankverbindungen.
• Annahmenachweise: Zeitpunkt, IP-Adresse und Browserkennung, wenn ein Kunde ein Angebot verbindlich annimmt.
• Projekt- und Inhaltsdaten: Meilensteine, Kommentare, Feedback, Dateien, Artikel der Wissensdatenbank.
• Kommunikationsdaten: Chat-Nachrichten, E-Mails, die über DooDock versendet werden, und, wenn der Auftraggeber ein Postfach oder einen Kalender verbindet, deren Inhalte und Termine.
• Nutzer- und Zugangsdaten: Namen, E-Mail-Adressen, Rollen und Berechtigungen, Passwörter nur als Hashwert, Anmeldezeitpunkte, ein Protokoll der Zugriffsänderungen.
• Mitarbeiterdaten, wenn der Auftraggeber das Mitarbeiterportal nutzt: Profile, Dienstpläne, Anträge, Dokumente und Lohnabrechnungen mit Gehalts-, Steuer- und Sozialversicherungsdaten. Lohnabrechnungen können über das Kirchensteuermerkmal die Religionszugehörigkeit erkennen lassen; das ist eine besondere Kategorie personenbezogener Daten (Art. 9 DSGVO).
• Daten verbundener Social-Media- und Werbekonten: überwiegend zusammengefasste Kennzahlen, außerdem Beiträge und Kommentare, die der Auftraggeber über DooDock abruft oder veröffentlicht.
• Technische Daten: IP-Adressen und Browserkennungen in Server-Protokollen, Fehlerberichte.

Kategorien betroffener Personen

• Nutzer des Auftraggebers (Mitarbeiter und freie Mitarbeiter);
• Kunden und Interessenten des Auftraggebers und deren Ansprechpartner;
• Nutzer des Kundenportals;
• Kommunikationspartner des Auftraggebers;
• Personen, die in Inhalten des Auftraggebers vorkommen.

Löschfristen, die DooDock selbst anwendet

Alle übrigen Daten bleiben gespeichert, bis der Auftraggeber sie löscht oder der Vertrag endet (§ 9).

Anlage 2: Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

Vertraulichkeit

• Zutritt: Der Server steht in einem Rechenzentrum der IONOS SE in Deutschland. Den physischen Zutritt regelt und überwacht IONOS.
• Zugang zum Server: Administratoren melden sich nur mit kryptografischen Schlüsseln an; Anmeldungen mit Passwort sind abgeschaltet.
• Zugang zur Verwaltung: Das zentrale Verwaltungssystem verlangt ein Passwort und einen zweiten Faktor. Nur Björn Juncker hat Zugang. Es spricht mit den Arbeitsbereichen ausschließlich über signierte Anfragen.
• Zugang zu DooDock: Passwörter werden nur als Hashwert (bcrypt) gespeichert. Links zum Zurücksetzen eines Passworts sind eine Stunde gültig, Einladungslinks sieben Tage; eine Passwortänderung macht ältere Links ungültig.
• Zugriff: Rollen und Berechtigungen je Person und Modul (ansehen, bearbeiten, voll). Jede Schnittstelle prüft die Berechtigung bei jeder Anfrage. Nutzer des Kundenportals sehen nur, was für sie freigegeben ist. Zugriffsänderungen werden protokolliert.
• Trennung: Jeder Auftraggeber hat eine eigene Installation mit eigener Datenbank, eigenem Dateiordner, eigenen Prozessen und eigenen Adressen. Die Anwendungen laufen unter eigenen Systembenutzern ohne Administratorrechte. Test- und Vorführumgebungen enthalten nur erfundene Daten.
• Verschlüsselung: Alle Verbindungen sind mit TLS (HTTPS) verschlüsselt. Datensicherungen werden auf dem Server verschlüsselt, bevor sie ihn verlassen; den Schlüssel hat nur Björn Juncker. Zugangsdaten für Mailserver der Auftraggeber werden verschlüsselt gespeichert.
• Datensparsamkeit bei Fehlerberichten: Vor dem Speichern werden E-Mail-Adressen, lange Zahlenfolgen und Zugangsschlüssel entfernt.

Integrität

• Weitergabe: Daten werden nur verschlüsselt übertragen. Interne Aufrufe, etwa zur Erzeugung von PDF-Dokumenten, sind mit kurzlebigen Signaturen gesichert.
• Eingabekontrolle: Versendete Angebote und Rechnungen werden als unveränderliche Fassung gespeichert; jede Änderung erzeugt eine neue Fassung. Die verbindliche Annahme eines Angebots wird mit Zeitpunkt, IP-Adresse und Browserkennung protokolliert. Zugriffsänderungen werden protokolliert.

Verfügbarkeit und Belastbarkeit

• Datensicherung: Jede Nacht um etwa 3:30 Uhr eine verschlüsselte Sicherung je Installation auf Google Drive; sieben tägliche und zwölf monatliche Sicherungen. Eine Sicherung des Hosting-Systems auf dem Server ist eine zweite Ebene.
• Wiederherstellung: Die Wiederherstellung aus der Sicherung wurde am 5. Oktober 2026 erprobt.
• Überwachung: Das zentrale Verwaltungssystem prüft laufend die Erreichbarkeit und Fehler aller Installationen und alarmiert Björn Juncker bei Störungen im Produktivbetrieb. Abgestürzte Dienste starten automatisch neu.

Verfahren zur regelmäßigen Überprüfung

• Auslieferung: Jede neue Version läuft zuerst durch automatische Tests, darunter eine Prüfung, dass jede Schnittstelle Berechtigungen prüft, und dann durch eine Testumgebung, bevor sie in den Produktivbetrieb geht. Änderungen an der Datenbank werden als versionierte Migrationen ausgeliefert; vor jeder Migration wird gesichert.
• Trennung: Bei jeder Auslieferung prüft ein automatischer Test, dass die Installationen voneinander getrennt sind.
• Dienstleister: Unterauftragsverarbeiter werden vor ihrem Einsatz auf ihre Datenschutz- und Sicherheitsmaßnahmen geprüft.

Anlage 3: Unterauftragsverarbeiter

Google kann die Inhalte der Datensicherungen nicht lesen, weil sie vor dem Hochladen verschlüsselt werden. Anthropic verwendet die übermittelten Inhalte nach seinen geschäftlichen Bedingungen nicht zum Training von KI-Modellen und löscht sie grundsätzlich innerhalb von 30 Tagen.