Auftragsverarbeitungsvertrag (AVV)

nach Art. 28 DSGVO · Version 1.0 — Stand: Mai 2026

Geltung: Dieser Auftragsverarbeitungsvertrag wird zwischen dem Kunden (im Folgenden „Verantwortlicher") und dem Anbieter Timur Kalender, Einzelunternehmer „LoumPanel", c/o COCENTER, Koppoldstr. 1, 86551 Aichach (im Folgenden „Auftragsverarbeiter") geschlossen. Er ist Bestandteil des Hauptvertrages (AGB / Nutzungsvertrag LoumPanel) und gilt mit Registrierung als angenommen.

§ 1 Gegenstand und Dauer

Gegenstand des Auftrags ist die Verarbeitung personenbezogener Daten durch den Auftragsverarbeiter für den Verantwortlichen im Rahmen der Nutzung der SaaS-Plattform LoumPanel.

Die Dauer entspricht der Laufzeit des Hauptvertrages.

§ 2 Art und Zweck der Verarbeitung

Art der Verarbeitung: Speicherung, Strukturierung, Auslesen, Verwendung, Übermittlung, Abfrage, Anpassung, Löschung von Daten zur Bereitstellung der vertraglich vereinbarten Funktionen.

Zweck: Verwaltung von Maloum-Creator-Accounts durch Agenturen, einschließlich Chat-Synchronisation, Team-Verwaltung, PPV-Scripts, Umsatz-Analytics und Audit-Trail.

§ 3 Art der personenbezogenen Daten

Verarbeitet werden insbesondere folgende Datenkategorien:

§ 4 Kategorien betroffener Personen

§ 5 Pflichten des Auftragsverarbeiters

Der Auftragsverarbeiter:

  1. verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen, sofern er nicht durch das Recht der Union oder eines Mitgliedstaates zu einer abweichenden Verarbeitung verpflichtet ist
  2. gewährleistet, dass die zur Verarbeitung befugten Personen zur Vertraulichkeit verpflichtet sind
  3. trifft alle erforderlichen Maßnahmen nach Art. 32 DSGVO (technische und organisatorische Maßnahmen, siehe § 8)
  4. unterstützt den Verantwortlichen bei der Erfüllung von Anträgen Betroffener (Art. 12-23 DSGVO) durch geeignete technische und organisatorische Maßnahmen
  5. unterstützt den Verantwortlichen bei der Einhaltung der Pflichten aus Art. 32-36 DSGVO unter Berücksichtigung der ihm zur Verfügung stehenden Informationen
  6. löscht oder gibt nach Beendigung des Vertrags sämtliche personenbezogenen Daten nach Wahl des Verantwortlichen zurück, sofern keine gesetzliche Aufbewahrungspflicht besteht
  7. stellt dem Verantwortlichen alle erforderlichen Informationen zum Nachweis der Einhaltung der Pflichten zur Verfügung und ermöglicht Überprüfungen
  8. informiert den Verantwortlichen unverzüglich, wenn er der Auffassung ist, dass eine Weisung gegen die DSGVO verstößt

§ 6 Weisungsbefugnis

Der Verantwortliche erteilt Weisungen schriftlich oder textlich (E-Mail). In Eilfällen sind mündliche Weisungen zulässig, soweit sie unverzüglich schriftlich bestätigt werden.

Weisungen werden durch die Nutzung der Plattform (Konfiguration, Eingabe, Steuerung von Funktionen) konkludent erteilt, soweit sie sich im Rahmen der Leistungsbeschreibung bewegen.

§ 7 Unterauftragsverarbeiter

Der Verantwortliche stimmt dem Einsatz folgender Unterauftragsverarbeiter zu:

AnbieterLeistungSitz
Hetzner Online GmbHHosting, Serverbetrieb, BackupsDeutschland
Stripe Payments Europe, Ltd.Zahlungsabwicklung (ab Launch)Irland
Resend, Inc.Versand von Transaktions-E-MailsUSA (EU-SCC)

Der Auftragsverarbeiter informiert den Verantwortlichen mindestens 30 Tage vor Beauftragung eines neuen oder dem Austausch eines bisherigen Unterauftragsverarbeiters. Der Verantwortliche kann aus wichtigem Grund widersprechen.

Der Auftragsverarbeiter schließt mit jedem Unterauftragsverarbeiter vertragliche Vereinbarungen, die ein Datenschutzniveau gewährleisten, das den Anforderungen dieses Vertrages entspricht.

§ 8 Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

Der Auftragsverarbeiter implementiert mindestens folgende Maßnahmen:

Vertraulichkeit

Integrität

Verfügbarkeit und Belastbarkeit

Wiederherstellbarkeit

Verfahren zur regelmäßigen Überprüfung

§ 9 Meldung von Datenschutzverletzungen

Der Auftragsverarbeiter meldet dem Verantwortlichen Verletzungen des Schutzes personenbezogener Daten unverzüglich, spätestens innerhalb von 72 Stunden nach Kenntnisnahme. Die Meldung enthält:

§ 10 Rechte des Verantwortlichen

Der Verantwortliche ist berechtigt, sich von der Einhaltung dieses Vertrages durch den Auftragsverarbeiter zu überzeugen. Hierzu kann er Auskünfte einholen und nach vorheriger Terminabsprache Vor-Ort-Kontrollen durchführen oder durch geeignete Dritte durchführen lassen, soweit diese keinem Wettbewerber des Auftragsverarbeiters angehören.

Der Auftragsverarbeiter kann anstelle einer Vor-Ort-Prüfung den Nachweis durch geeignete Zertifikate oder Berichte unabhängiger Stellen erbringen.

§ 11 Drittlandtransfers

Datenübermittlungen in Drittländer erfolgen ausschließlich auf Grundlage zulässiger Garantien (Art. 46 DSGVO, EU-Standardvertragsklauseln) oder ausdrücklicher Einwilligung (Art. 49 DSGVO).

§ 12 Löschung und Rückgabe

Nach Beendigung des Hauptvertrages werden personenbezogene Daten innerhalb von 30 Tagen gelöscht oder, nach Wahl des Verantwortlichen, in einem gängigen Format herausgegeben. Gesetzliche Aufbewahrungspflichten (insbesondere § 147 AO, § 257 HGB) bleiben unberührt.

Backup-Kopien werden im Rahmen der Backup-Rotation automatisiert gelöscht (siehe § 8 / Verfügbarkeit).

§ 13 Haftung

Die Haftung des Auftragsverarbeiters für Schäden im Rahmen dieses Vertrages richtet sich nach Art. 82 DSGVO sowie den Regelungen des Hauptvertrages.

§ 14 Schlussbestimmungen

Im Falle eines Widerspruchs zwischen diesem AVV und Regelungen des Hauptvertrages oder anderer Vereinbarungen haben die Regelungen dieses AVV Vorrang.

Es gilt deutsches Recht. Gerichtsstand ist der Sitz des Auftragsverarbeiters.

Sollten einzelne Bestimmungen dieses Vertrages unwirksam sein, berührt dies die Wirksamkeit der übrigen Bestimmungen nicht.

Version 1.0 — Stand: Mai 2026