Anmelden
← Startseite

Auftragsverarbeitungsvertrag (AVV)

gemäß Art. 28 DSGVO

Stand: 5. November 2026

1. Vertragsparteien

Dieser Auftragsverarbeitungsvertrag wird geschlossen zwischen:

Auftraggeber (Verantwortlicher):
Der Verantwortliche, für den auf der Plattform Mevorius eine Organisation geführt wird (nachfolgend „Auftraggeber“). Den Vertrag schließt die Person ab, die die Organisation erstellt. Erklärungen des Auftraggebers nach diesem Vertrag geben die Inhaberinnen und Inhaber der Organisation ab; die ausdrückliche Bestätigung einer geänderten Fassung (Abschnitt 14) kann auch eine dazu bevollmächtigte Administratorin oder ein dazu bevollmächtigter Administrator der Organisation abgeben. Mitteilungen des Auftragnehmers gehen an die E-Mail-Adressen der Inhaberinnen und Inhaber.

Auftragnehmer (Auftragsverarbeiter):
Constantin Beyna
Becherwaldstraße 35
79249 Merzhausen
E-Mail: info@mevorius.de
(nachfolgend „Auftragnehmer“)

2. Gegenstand und Dauer

Dieser Vertrag regelt die Verarbeitung personenbezogener Daten durch den Auftragnehmer im Rahmen der Bereitstellung der SaaS-Plattform Mevorius zur Verwaltung von Organisationen, Mitgliedern und Schichtplänen.

Der Vertrag gilt ab dem Zeitpunkt der Akzeptanz durch den Auftraggeber (Erstellung einer Organisation). Er wird zusammen mit dem Vertrag nach den Vertragsbedingungen für Organisationen (nachfolgend „Hauptvertrag“) geschlossen und gilt für dessen Dauer; wann er endet, regelt Abschnitt 13.

3. Art und Zweck der Verarbeitung

Der Auftragnehmer verarbeitet personenbezogene Daten ausschließlich zum Zweck der Bereitstellung der vereinbarten Plattformfunktionen. Die Verarbeitung umfasst insbesondere:

  • Speicherung, Verarbeitung und Darstellung von Mitarbeiterstammdaten
  • Verwaltung von Schichtplänen und Schichtzuweisungen
  • Verarbeitung von Verfügbarkeiten und Abwesenheitsanträgen
  • Verwaltung von Einladungen und Zugriffsberechtigungen
  • Bereitstellung von Benachrichtigungen und Kalender-Integrationen
  • Protokollierung von Änderungen (Audit-Logs)

4. Art der personenbezogenen Daten

Gegenstand der Verarbeitung sind folgende Kategorien personenbezogener Daten:

  • Stammdaten: Name, E-Mail-Adresse, Telefonnummer, Adresse, Geburtsdatum
  • Beschäftigungsdaten: Eintrittsdatum, Austrittsdatum, Vertragsstunden, Bereiche
  • Planungsdaten: Schichten, Verfügbarkeiten, Abwesenheiten (inkl. hochgeladener Dateianhänge)
  • Zugangsdaten: Einladungs-Token, Rollen und Berechtigungen
  • Kommunikationsdaten: Benachrichtigungseinstellungen
  • Protokolldaten: Audit-Logs, Aktionszeitpunkte

Im Rahmen der Erfassung von Abwesenheitsgründen (z. B. Krankheit), von Gründen für die Ablehnung eines Antrags sowie zugehöriger Dateianhänge können auch besondere Kategorien personenbezogener Daten gemäß Art. 9 DSGVO (insbesondere Gesundheitsdaten) verarbeitet werden. Der Auftraggeber ist dafür verantwortlich, dass für diese Verarbeitung eine geeignete Rechtsgrundlage nach Art. 9 Abs. 2 DSGVO vorliegt.

5. Kategorien betroffener Personen

  • Mitglieder der Organisation (Mitarbeiter, Admins)
  • Vom Auftraggeber eingeladene Personen

6. Pflichten des Auftragnehmers

Der Auftragnehmer verpflichtet sich:

  • Personenbezogene Daten ausschließlich auf dokumentierte Weisung des Auftraggebers zu verarbeiten
  • Sicherzustellen, dass zur Verarbeitung befugte Personen zur Vertraulichkeit verpflichtet sind
  • Alle erforderlichen technischen und organisatorischen Maßnahmen gemäß Art. 32 DSGVO zu treffen
  • Die Bedingungen dieses Vertrags bei der Hinzuziehung weiterer Auftragsverarbeiter (Unterauftragsverarbeiter) einzuhalten
  • Angesichts der Art der Verarbeitung den Auftraggeber soweit möglich bei der Erfüllung von Betroffenenanfragen zu unterstützen
  • Den Auftraggeber bei der Einhaltung seiner Pflichten nach Art. 32–36 DSGVO zu unterstützen
  • Nach Abschluss der Leistungserbringung alle personenbezogenen Daten nach Wahl des Auftraggebers zu löschen oder zurückzugeben; die Rückgabe erfolgt auf Anfrage an info@mevorius.de, die bis 30 Tage nach dem Ende dieses Vertrags eingehen muss; danach werden die Daten gelöscht
  • Dem Auftraggeber alle erforderlichen Informationen zum Nachweis der Einhaltung der in Art. 28 DSGVO niedergelegten Pflichten zur Verfügung zu stellen

7. Pflichten des Auftraggebers

Der Auftraggeber ist verantwortlich für:

  • Die Rechtmäßigkeit der Verarbeitung personenbezogener Daten auf der Plattform
  • Die Einholung erforderlicher Einwilligungen oder das Vorliegen anderer Rechtsgrundlagen für die Verarbeitung
  • Die Information der betroffenen Personen (Mitarbeiter) über die Verarbeitung ihrer Daten
  • Die Wahrung der Betroffenenrechte nach Art. 15–22 DSGVO
  • Die Sicherstellung einer geeigneten Rechtsgrundlage bei der Verarbeitung besonderer Kategorien personenbezogener Daten (insbesondere Gesundheitsdaten)

8. Unterauftragsverarbeiter

Der Auftraggeber erteilt hiermit die allgemeine Genehmigung zur Hinzuziehung folgender Unterauftragsverarbeiter:

  • IONOS SE, Elgendorfer Str. 57, 56410 Montabaur, Deutschland (E-Mail-Postfach info@mevorius.de: Empfang und Beantwortung von Anfragen, auch Betroffenenanfragen nach Abschnitt 11) – Datenschutzerklärung
  • Databricks, Inc. (Neon, LLC), 160 Spear Street, Suite 1300, San Francisco, CA 94105, USA (Datenbankhosting Neon, AWS Frankfurt, EU) – Datenschutzerklärung
  • Okta, Inc. (Auth0), 100 First Street, Floor 6, San Francisco, CA 94105, USA (Authentifizierung, Datenhaltung in der Region EU) – Datenschutzerklärung
  • Plus Five Five, Inc. (Resend), 2261 Market Street #5039, San Francisco, CA 94114, USA (E-Mail-Versand, Datenhaltung USA) – Datenschutzerklärung
  • Vercel Inc., 440 N Barranca Avenue #4133, Covina, CA 91723, USA (Hosting und Dateispeicherung über Vercel Blob; Dateien in Region FRA1, Frankfurt, EU) – Datenschutzerklärung

Änderungen bei den Unterauftragsverarbeitern teilt der Auftragnehmer als Änderung dieses Vertrags nach Abschnitt 14 mit; für den Widerspruch gilt Abschnitt 14.

9. Technische und organisatorische Maßnahmen (TOMs)

Der Auftragnehmer hat folgende technische und organisatorische Maßnahmen zum Schutz personenbezogener Daten getroffen:

  • Verschlüsselung der Datenübertragung via TLS/HTTPS
  • Verschlüsselung gespeicherter Daten (at rest)
  • Zugriffskontrollen und Authentifizierung über Auth0, mit einer Passwort-Richtlinie und einer Sperre nach wiederholten Fehlversuchen
  • Rollenbasierte Berechtigungssysteme innerhalb der Plattform
  • Hosting in einem EU-Rechenzentrum (AWS Frankfurt) über Neon
  • Protokollierung sicherheitsrelevanter Ereignisse (Audit-Logs)
  • Regelmäßige Überprüfung der Sicherheitsmaßnahmen

10. Datenpannen

Der Auftragnehmer informiert den Auftraggeber unverzüglich, spätestens jedoch innerhalb von 72 Stunden, nachdem er Kenntnis von einer Verletzung des Schutzes personenbezogener Daten erlangt hat, per E-Mail an die Inhaberinnen und Inhaber der Organisation.

11. Betroffenenrechte

Soweit der Auftraggeber zur Erfüllung von Betroffenenanfragen die Unterstützung des Auftragnehmers benötigt (z. B. Auskunft, Löschung, Datenübertragbarkeit), stellt der Auftragnehmer die hierfür erforderlichen technischen Möglichkeiten innerhalb der Plattform zur Verfügung oder unterstützt auf Anfrage per E-Mail an info@mevorius.de.

12. Internationale Datentransfers

Soweit personenbezogene Daten an Unterauftragsverarbeiter außerhalb des Europäischen Wirtschaftsraums (EWR) übermittelt werden oder diese von dort auf sie zugreifen, gilt für die Unterauftragsverarbeiter mit Sitz in den USA:

  • Okta (Auth0), Resend und Databricks (Neon): das EU-U.S. Data Privacy Framework (DPF) und die Standardvertragsklauseln (SCC) der EU-Kommission
  • Vercel: das DPF

13. Laufzeit und Kündigung

Dieser Vertrag ist auf die Dauer des Hauptvertrags befristet. Er endet automatisch mit der Löschung der Organisation oder mit dem Ende des Hauptvertrags, außerdem mit Ablauf der Widerspruchsfrist, wenn der Auftraggeber einer Änderung nach Abschnitt 14 widerspricht; mit diesem Vertrag endet dann auch der Hauptvertrag. Die Pflichten zur Vertraulichkeit und Datenlöschung bleiben nach Beendigung des Vertrags bestehen.

Unabhängig von der Laufzeit dieses Vertrags löscht der Auftragnehmer die Protokolldaten zu Abwesenheitsvorgängen (Anlage, Änderung, Löschung, Genehmigung, Ablehnung und Rücknahme von Abwesenheiten sowie Verfall offener Abwesenheitsanträge) nach Ablauf von zwölf Monaten. Die Frist beginnt mit Ablauf des Kalenderjahres, in dem der jeweilige Protokolleintrag entstanden ist. Wird die Organisation vorher gelöscht oder endet der Hauptvertrag vorher, gilt die frühere Löschung; maßgeblich ist stets das zuerst eintretende Ereignis.

Dateianhänge zu Abwesenheitsanträgen löscht der Auftragnehmer ebenfalls unabhängig von der Laufzeit: bei einem genehmigten Antrag 12 Monate nach dem letzten Tag des beantragten Zeitraums, bei einem abgelehnten Antrag oder einer zurückgenommenen Genehmigung 30 Tage nach dem Tag der Entscheidung, bei einem Antrag, über den nicht entschieden wurde, 30 Tage nach dem letzten Tag des beantragten Zeitraums. Die Fristen beginnen mit dem Ende des genannten Tages; eine Frist von 12 Monaten endet mit dem Tag, der im zwölften Monat danach dieselbe Zahl trägt, und fehlt dieser Tag, mit dem letzten Tag dieses Monats. Gelöscht wird in den täglichen Löschläufen danach; der Antrag selbst bleibt bestehen. Zieht die betroffene Person einen offenen Antrag zurück, löscht der Auftragnehmer ihn samt Anhängen sofort. Benötigt der Auftraggeber einen Anhang über diese Fristen hinaus, sichert er ihn vor Fristablauf außerhalb der Plattform. Wird die Organisation vorher gelöscht oder endet der Hauptvertrag vorher, gilt die frühere Löschung.

Löscht eine Person ihr Nutzerkonto, endet ihre Mitgliedschaft in der Organisation: ihre Mitgliedsdaten werden gelöscht, und ihr Name wird aus Protokollen, Entscheidungen und Veröffentlichungen der Organisation entfernt; technische Kennnummern ohne Namen können dort bleiben. Der Nachweis einer AVV-Bestätigung durch diese Person bleibt bis zur Löschung der Organisation gespeichert.

14. Schlussbestimmungen

Für diesen Vertrag gilt das Recht der Bundesrepublik Deutschland. Sollten einzelne Bestimmungen dieses Vertrags unwirksam sein oder werden, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt. Änderungen dieses Vertrags teilt der Auftragnehmer dem Auftraggeber per E-Mail an die Inhaberinnen und Inhaber der Organisation mit. Die Mitteilung nennt die geänderte Fassung, den Tag der Mitteilung, das Ende der Widerspruchsfrist und den Tag des Inkrafttretens und weist auf das Widerspruchsrecht und die Folgen eines Widerspruchs hin. Der Auftraggeber kann der Änderung bis zum Ende der Widerspruchsfrist in Textform widersprechen, insbesondere per E-Mail an info@mevorius.de. Die Frist beträgt 14 Tage; der Tag der Mitteilung wird nicht mitgerechnet, und fällt ihr letzter Tag auf einen Samstag, einen Sonntag oder einen gesetzlichen Feiertag in Baden-Württemberg, endet sie mit dem nächsten Werktag. Am Tag nach dem Ende der Widerspruchsfrist tritt die geänderte Fassung in Kraft; bis dahin gilt die bisherige Fassung. Widerspricht der Auftraggeber nicht, gilt die geänderte Fassung ab ihrem Inkrafttreten als vereinbart. Bei einem Widerspruch endet dieser Vertrag mit Ablauf der Widerspruchsfrist und mit ihm der Hauptvertrag; für die Daten der Organisation gelten dann Abschnitt 6 (Löschung oder Rückgabe) und Abschnitt 13. Bestätigt der Auftraggeber die geänderte Fassung vor ihrem Inkrafttreten ausdrücklich, gilt sie ab der Bestätigung.

Bevollmächtigung

Die den AVV abschließende Person erklärt hiermit ausdrücklich, dass sie zur rechtsverbindlichen Vertretung des Verantwortlichen im Sinne dieser Vereinbarung bevollmächtigt ist und diese Erklärung mit Bindungswirkung für den Verantwortlichen abgibt. Erfolgt der Abschluss durch eine nicht bevollmächtigte Person, liegt die Verantwortung hierfür ausschließlich beim Verantwortlichen.