Auftragsverarbeitungsvertrag

Vereinbarung zur Auftragsverarbeitung (AVV)
gemäß Art. 28 Abs. 3 Datenschutz-Grundverordnung (DSGVO)

Vertragspartner
Auftragsverarbeiter:

DUVET UG (haftungsbeschränkt)
Am Waldthausenpark 9-11
45127 Essen
E-Mail: [email protected]
Vertreten durch: Florian Bettzieche

Auftraggeber: Der jeweilige Kunde von cookie2go.com (nachfolgend „Auftraggeber“ genannt).

§ 1 Gegenstand und Dauer der Verarbeitung
(1) Gegenstand: Gegenstand des Auftrags ist die Bereitstellung und Erbringung der Dienstleistungen über die Softwareplattform cookie2go.com. Dies umfasst insbesondere die Speicherung, Verwaltung und Protokollierung von Cookie-Einwilligungen (Consent Management) der Besucher des Online-Angebots des Auftraggebers.
(2) Dauer: Die Laufzeit dieser Vereinbarung richtet sich nach der Laufzeit des zwischen den Parteien geschlossenen Hauptvertrages (Nutzungsvertrag über cookie2go.com).

§ 2 Art und Zweck der Verarbeitung, Datenkategorien und Betroffene
(1) Art und Zweck der Verarbeitung: Erhebung, Speicherung, Anonymisierung und Bereitstellung von Log-Daten bezüglich der Cookie- und Privacy-Einstellungen der Websitenutzer des Auftraggebers zur Nachweiserfüllung der DSGVO-Konformität.
(2) Kategorien betroffener Personen: Besucher und Nutzer der Websites/Webanwendungen des Auftraggebers.
(3) Kategorien personenbezogener Daten:

Anonymisierte bzw. gekürzte IP-Adressen
Einwilligungs-ID (Consent-ID) und Status der Einwilligung (Opt-in / Opt-out)
Zeitstempel (Datum und Uhrzeit der Einwilligung)
Browser- und Geräteinformationen (User-Agent)
Spracheinstellungen

§ 3 Rechte und Pflichten des Auftraggebers
(1) Der Auftraggeber ist für die Beurteilung der Rechtmäßigkeit der Verarbeitung gemäß Art. 6 Abs. 1 DSGVO verantwortlich (Verantwortlicher im Sinne der DSGVO).
(2) Der Auftraggeber hat das Recht, dem Auftragsverarbeiter ergänzende Weisungen bezüglich der Datenverarbeitung zu erteilen. Weisungen sind grundsätzlich in Textform zu übermitteln.

§ 4 Pflichten des Auftragsverarbeiters
(1) Weisungsgebundenheit: Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich im Rahmen der getroffenen Vereinbarungen und nach Weisung des Auftraggebers.
(2) Vertraulichkeit: Der Auftragsverarbeiter gewährleistet, dass sich die zur Verarbeitung der personenbezogenen Daten befugten Personen zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen.
(3) Sicherheit der Verarbeitung: Der Auftragsverarbeiter ergreift alle nach Art. 32 DSGVO erforderlichen technischen und organisatorischen Maßnahmen (TOMs) zur Gewährleistung eines dem Risiko angemessenen Schutzniveaus.
(4) Unterstützungspflichten: Der Auftragsverarbeiter unterstützt den Auftraggeber nach Möglichkeit mit geeigneten technischen und organisatorischen Maßnahmen bei der Erfüllung von Anträgen auf Wahrnehmung von Betroffenenrechten (Kapitel III DSGVO) sowie bei der Einhaltung der Pflichten nach den Artikeln 32 bis 36 DSGVO.
(5) Meldung von Datenschutzverletzungen: Der Auftragsverarbeiter informiert den Auftraggeber unverzüglich, sobald ihm Verletzungen des Schutzes personenbezogener Daten bekannt werden.

§ 5 Subunternehmer (Weitere Auftragsverarbeiter)
(1) Der Auftraggeber erteilt dem Auftragsverarbeiter die allgemeine Genehmigung, weitere Auftragsverarbeiter (Subunternehmer) für die Erbringung der Dienstleistung hinzuzuziehen (z. B. Hosting-Provider, Rechenzentren).
(2) Der Auftragsverarbeiter informiert den Auftraggeber über jede beabsichtigte Änderung bezüglich der Hinzuziehung oder Ersetzung von Subunternehmern. Dem Auftraggeber steht in diesem Fall ein Einspruchsrecht zu.
(3) Dem Subunternehmer sind vertraglich dieselben Datenschutzpflichten aufzuerlegen, die in dieser Vereinbarung zwischen Auftraggeber und Auftragsverarbeiter festgelegt sind.

§ 6 Kontrollrechte des Auftraggebers
(1) Der Auftragsverarbeiter stellt dem Auftraggeber alle erforderlichen Informationen zum Nachweis der Einhaltung der in dieser Vereinbarung niedergelegten Pflichten zur Verfügung.
(2) Der Auftragsverarbeiter ermöglicht Überprüfungen – einschließlich Inspektionsbesuchen –, die vom Auftraggeber oder einem von diesem beauftragten Prüfer durchgeführt werden, und trägt dazu bei.

§ 7 Löschung und Rückgabe von Daten
Nach Abschluss der Erbringung der Verarbeitungsleistungen oder nach Ablauf des Hauptvertrags löscht der Auftragsverarbeiter alle personenbezogenen Daten oder gibt sie dem Auftraggeber nach dessen Wahl zurück, sofern nicht nach dem Recht der Europäischen Union oder dem Recht der Bundesrepublik Deutschland eine Verpflichtung zur Speicherung der personenbezogenen Daten besteht.

§ 8 Schlussbestimmungen
(1) Sollten einzelne Teile dieser Vereinbarung unwirksam sein oder werden, so wird die Wirksamkeit der übrigen Bestimmungen hierdurch nicht berührt.
(2) Diese Vereinbarung unterliegt dem Recht der Bundesrepublik Deutschland.

Anlage 1: Technische und Organisatorische Maßnahmen (TOM)
Der Auftragsverarbeiter setzt unter anderem folgende Sicherheitsmaßnahmen gemäß Art. 32 DSGVO um:

Zutrittskontrolle: Schutz der Serverinfrastruktur vor unbefugtem physischen Zutritt (Einsatz zertifizierter Rechenzentren).
Zugangskontrolle: Schutz der Systeme vor unbefugter Nutzung durch Passwortrichtlinien, 2-Faktor-Authentifizierung und verschlüsselte Verbindungen.
Zugriffskontrolle: Beschränkung der Zugriffsrechte auf Daten strikt nach dem Minimum-PRivilege-Prinzip (Need-to-know-Prinzip).
Trennungsgebot: Mandantentrennung; Daten unterschiedlicher Kunden werden logisch voneinander getrennt verarbeitet.
Pseudonymisierung & Verschlüsselung: Datenübertragung erfolgt ausschließlich verschlüsselt (TLS/HTTPS). Speicherung von IP-Adressen nur in gekürzter/anonymisierter Form.
Verfügbarkeitskontrolle: Regelmäßige automatisierte Backups und Redundanzen zur Sicherstellung der Datenverfügbarkeit.

Stand: 02.11.2026