elyph · Mattzen Studio, Inhaber Jan Hubig · Stand 25.8.2026 · Fassung 2
Vereinbarung zur Auftragsverarbeitung (AVV) gemäß Art. 28 DSGVO
Fassung 2.0 · gültig ab dem Tag des Vertragsschlusses · veröffentlicht im elyph Vertrauenszentrum unter elyph.io/vertrauen
zwischen
dem Auftraggeber (Verantwortlicher im Sinne von Art. 4 Nr. 7 DSGVO)
Firma: ____________________________ · Anschrift: ____________________________ · Vertretungsberechtigte Person: ____________________________ · Kontakt Datenschutz: ____________________________
und
Mattzen Studio, Inhaber Jan Hubig, [ZU ERGÄNZEN: vollständige Anschrift des Unternehmenssitzes] (nachfolgend „Auftragnehmer“), Betreiber der SaaS-Plattform elyph (Auftragsverarbeiter im Sinne von Art. 4 Nr. 8 DSGVO).
Diese Vereinbarung konkretisiert die datenschutzrechtlichen Pflichten der Parteien im Rahmen des zwischen ihnen bestehenden Vertrags über die Nutzung von elyph (nachfolgend „Hauptvertrag“).
1.1 Gegenstand der Verarbeitung ist die Bereitstellung und der Betrieb der cloudbasierten SaaS-Plattform elyph für Arbeitsschutz-, EHS- und Compliance-Prozesse sowie die dabei anfallende Verarbeitung personenbezogener Daten im Auftrag des Auftraggebers. Einzelheiten ergeben sich aus Anlage 1.
1.2 Die Vereinbarung beginnt mit ihrem Abschluss und läuft für die Dauer des Hauptvertrags. Sie endet mit dessen Beendigung, spätestens jedoch mit der vollständigen Rückgabe oder Löschung der personenbezogenen Daten nach Ziffer 15.
1.3 Der Auftraggeber kann diese Vereinbarung jederzeit kündigen, wenn er den Hauptvertrag kündigt. Eine gesonderte Kündigung dieser Vereinbarung ohne Beendigung des Hauptvertrags ist ausgeschlossen.
2.1 Der Auftragnehmer verarbeitet personenbezogene Daten ausschließlich zur Erbringung der im Hauptvertrag vereinbarten Leistungen. Dazu zählen insbesondere Erheben, Erfassen, Speichern, Organisieren, Ordnen, Auslesen, Abfragen, Verwenden, Übermitteln innerhalb der Plattform, Einschränken, Löschen und Vernichten.
2.2 Die Verarbeitung umfasst insbesondere Informationen zu Gefährdungsbeurteilungen, Maßnahmen, Verantwortlichkeiten, Arbeitsschutzvorgängen, Kommunikation, Nachweisen und weiteren EHS- und Compliance-Prozessen, je nach Konfiguration und Nutzung durch den Auftraggeber.
2.3 Eine Verarbeitung zu eigenen Zwecken des Auftragnehmers findet nicht statt. Der Auftragnehmer darf ausschließlich anonymisierte, keiner Person mehr zuordenbare Daten zur Sicherstellung des Betriebs, zur Fehleranalyse und zur Weiterentwicklung der Plattform nutzen.
2.4 Die Verarbeitung findet in Mitgliedstaaten der Europäischen Union oder des Europäischen Wirtschaftsraums statt, soweit nicht nach Ziffer 14 etwas anderes gilt.
Die Kategorien der verarbeiteten personenbezogenen Daten ergeben sich aus Anlage 1 und werden durch die Eingaben und Konfigurationen des Auftraggebers bestimmt.
Die Kategorien betroffener Personen ergeben sich aus Anlage 1.
5.1 Die Nutzung von elyph kann die Verarbeitung besonderer Kategorien personenbezogener Daten nach Art. 9 Abs. 1 DSGVO umfassen, insbesondere gesundheitsbezogener Informationen im Zusammenhang mit Arbeitsschutz, Unfällen, Einschränkungen der Einsatzfähigkeit oder arbeitsmedizinischen Vorgängen.
5.2 Solche Daten werden ausschließlich verarbeitet, soweit sie vom Auftraggeber im Rahmen der Nutzung von elyph eingegeben, hochgeladen oder anderweitig zur Verarbeitung bereitgestellt werden. Der Auftragnehmer erhebt derartige Daten nicht selbst und fordert sie nicht an.
5.3 Der Auftraggeber verantwortet die Zulässigkeit der Verarbeitung besonderer Kategorien personenbezogener Daten, insbesondere das Vorliegen einer Ausnahme nach Art. 9 Abs. 2 DSGVO sowie die Erforderlichkeit der eingegebenen Daten. Der Auftragnehmer trifft für diese Daten die in Ziffer 11 genannten Maßnahmen unter Berücksichtigung des erhöhten Schutzbedarfs.
6.1 Der Auftraggeber ist Verantwortlicher für die im Auftrag verarbeiteten personenbezogenen Daten. Er ist für die Rechtmäßigkeit der Verarbeitung sowie für die Wahrung der Rechte betroffener Personen verantwortlich.
6.2 Der Auftraggeber ist allein für die Beurteilung verantwortlich, welche Daten er in elyph verarbeitet, und für die Vergabe, Pflege und den Entzug von Benutzerkonten und Berechtigungen innerhalb seiner Organisation.
6.3 Der Auftraggeber informiert den Auftragnehmer unverzüglich, wenn er Fehler oder Unregelmäßigkeiten bei der Prüfung der Verarbeitungsergebnisse feststellt.
6.4 Weisungsberechtigt auf Seiten des Auftraggebers sind die von ihm benannten Personen. Der Auftraggeber teilt dem Auftragnehmer Änderungen in Textform mit.
7.1 Der Auftragnehmer verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Auftraggebers.
7.2 Der Hauptvertrag, diese Vereinbarung einschließlich Anlage 1 sowie die vom Auftraggeber innerhalb von elyph vorgenommenen Konfigurationen und Eingaben gelten als dokumentierte Weisungen.
7.3 Weitere Weisungen erfolgen in Textform oder über die dafür vorgesehenen Funktionen der Plattform und werden vom Auftragnehmer dokumentiert.
7.4 Weisungen, die über den vertraglich vereinbarten Leistungsumfang hinausgehen, kann der Auftragnehmer von einer gesonderten Vergütung abhängig machen; die Erfüllung zwingender gesetzlicher Pflichten bleibt hiervon unberührt.
Der Auftragnehmer darf personenbezogene Daten abweichend von Ziffer 7 verarbeiten, wenn er hierzu nach dem Unionsrecht oder dem Recht eines Mitgliedstaats verpflichtet ist. In diesem Fall teilt er dem Auftraggeber diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht eine solche Mitteilung nicht wegen eines wichtigen öffentlichen Interesses verbietet (Art. 28 Abs. 3 lit. a DSGVO).
Ist der Auftragnehmer der Auffassung, dass eine Weisung des Auftraggebers gegen die DSGVO oder andere Datenschutzbestimmungen der Union oder der Mitgliedstaaten verstößt, informiert er den Auftraggeber unverzüglich. Der Auftragnehmer ist berechtigt, die Ausführung der betreffenden Weisung bis zu deren Bestätigung oder Änderung durch den Auftraggeber auszusetzen.
10.1 Der Auftragnehmer verarbeitet personenbezogene Daten nur durch Personen, die zur Vertraulichkeit verpflichtet sind oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen. Die Verpflichtung besteht auch nach Beendigung der Tätigkeit fort.
10.2 Der Auftragnehmer stellt sicher, dass die zur Verarbeitung befugten Personen im erforderlichen Umfang im Datenschutz unterwiesen sind und ausschließlich im Rahmen ihrer Aufgaben Zugriff erhalten.
11.1 Der Auftragnehmer trifft die nach Art. 32 DSGVO erforderlichen technischen und organisatorischen Maßnahmen, um ein dem Risiko angemessenes Schutzniveau sicherzustellen.
11.2 Die zum Zeitpunkt des Vertragsschlusses geltenden Maßnahmen sind im gesondert veröffentlichten Dokument „Technische und organisatorische Maßnahmen (Art. 32 DSGVO)“ im elyph Vertrauenszentrum unter elyph.io/vertrauen beschrieben. Dieses Dokument ist Bestandteil dieser Vereinbarung.
11.3 Die Maßnahmen dürfen technisch und organisatorisch weiterentwickelt und angepasst werden, um dem technischen Fortschritt, veränderten Bedrohungslagen oder Änderungen der Plattform Rechnung zu tragen. Das vereinbarte Gesamtschutzniveau darf dadurch nicht wesentlich abgesenkt werden. Wesentliche Änderungen werden im Vertrauenszentrum dokumentiert und dem Auftraggeber in Textform mitgeteilt.
11.4 Der Auftraggeber kann jederzeit die jeweils aktuelle Fassung der Maßnahmenbeschreibung abrufen.
12.1 Der Auftragnehmer unterstützt den Auftraggeber mit geeigneten technischen und organisatorischen Maßnahmen dabei, seiner Pflicht zur Beantwortung von Anträgen betroffener Personen nach Kapitel III der DSGVO nachzukommen.
12.2 Wendet sich eine betroffene Person unmittelbar an den Auftragnehmer, leitet dieser das Anliegen unverzüglich an den Auftraggeber weiter und beantwortet es nicht selbst.
12.3 Soweit die Plattform Funktionen für Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit und Widerspruch bereitstellt, erfolgt die Unterstützung vorrangig über diese Funktionen. Darüber hinausgehende Unterstützung kann gesondert vergütet werden.
13.1 Der Auftragnehmer unterstützt den Auftraggeber bei der Einhaltung der Pflichten aus Art. 32 bis 36 DSGVO unter Berücksichtigung der Art der Verarbeitung und der ihm zur Verfügung stehenden Informationen.
13.2 Der Auftragnehmer meldet dem Auftraggeber eine Verletzung des Schutzes personenbezogener Daten unverzüglich nach Bekanntwerden, in der Regel innerhalb von 24 Stunden. Die Meldung enthält die dem Auftragnehmer verfügbaren Informationen nach Art. 33 Abs. 3 DSGVO sowie die getroffenen und vorgeschlagenen Gegenmaßnahmen.
13.3 Der Auftragnehmer unterstützt den Auftraggeber bei Datenschutz-Folgenabschätzungen nach Art. 35 DSGVO und bei vorherigen Konsultationen der Aufsichtsbehörde nach Art. 36 DSGVO durch Bereitstellung der erforderlichen Informationen zur Plattform.
13.4 Der Auftragnehmer informiert den Auftraggeber unverzüglich über behördliche Maßnahmen oder Ermittlungen, die die im Auftrag verarbeiteten Daten betreffen.
14.1 Der Auftraggeber erteilt dem Auftragnehmer die allgemeine schriftliche Genehmigung zum Einsatz von Unterauftragsverarbeitern nach Art. 28 Abs. 2 Satz 2 DSGVO.
14.2 Die eingesetzten Unterauftragsverarbeiter werden im elyph Vertrauenszentrum unter elyph.io/vertrauen veröffentlicht. Die Liste enthält mindestens: Name, Sitz, Funktion beziehungsweise Art der Verarbeitung, Verarbeitungsort, gegebenenfalls Drittland und gegebenenfalls den eingesetzten Transfermechanismus. Die zum Zeitpunkt des Vertragsschlusses veröffentlichte Liste gilt als genehmigt.
14.3 Beabsichtigte Hinzuziehungen neuer oder Ersetzungen bestehender Unterauftragsverarbeiter teilt der Auftragnehmer dem Auftraggeber vor deren Einsatz in Textform mit.
14.4 Der Auftraggeber kann einer Änderung innerhalb von 14 Tagen nach Zugang der Mitteilung aus wichtigem datenschutzrechtlichem Grund in Textform widersprechen. Kann der Widerspruch nicht durch eine für beide Seiten zumutbare Lösung ausgeräumt werden, ist der Auftraggeber berechtigt, den betroffenen Leistungsteil oder den Hauptvertrag mit Wirkung zum geplanten Einsatzzeitpunkt zu kündigen.
14.5 Der Auftragnehmer verpflichtet Unterauftragsverarbeiter vertraglich zu im Wesentlichen denselben Datenschutzpflichten, wie sie in dieser Vereinbarung festgelegt sind, insbesondere zu hinreichenden Garantien nach Art. 28 Abs. 4 DSGVO.
14.6 Der Auftragnehmer bleibt gegenüber dem Auftraggeber für die Einhaltung der Datenschutzpflichten durch die von ihm eingesetzten Unterauftragsverarbeiter voll verantwortlich.
14.7 Eine Übermittlung personenbezogener Daten in ein Drittland erfolgt nur, wenn die Voraussetzungen des Kapitels V der DSGVO erfüllt sind, insbesondere auf Grundlage eines Angemessenheitsbeschlusses oder der Standardvertragsklauseln der Europäischen Kommission nebst erforderlicher ergänzender Maßnahmen. Der jeweils genutzte Transfermechanismus wird in der Liste nach Ziffer 14.2 ausgewiesen.
14.8 Nicht als Unterauftragsverarbeitung gelten Nebenleistungen, die der Auftragnehmer bei Dritten in Anspruch nimmt, ohne dass diese personenbezogene Daten des Auftraggebers verarbeiten, etwa Telekommunikationsleistungen oder Wartung ohne Datenzugriff.
15.1 Der Auftraggeber kann die von ihm verarbeiteten Daten während der Vertragslaufzeit jederzeit über die dafür vorgesehenen Exportfunktionen von elyph abrufen.
15.2 Nach Beendigung des Hauptvertrags gibt der Auftragnehmer die personenbezogenen Daten nach Wahl des Auftraggebers zurück oder löscht sie, soweit dies technisch und rechtlich möglich ist. Der Auftraggeber teilt seine Wahl spätestens 30 Tage nach Vertragsende mit; erfolgt keine Mitteilung, werden die Daten gelöscht.
15.3 Die Löschung erfolgt innerhalb von 30 Tagen nach Ablauf der Frist nach Ziffer 15.2 und wird dem Auftraggeber auf Anforderung in Textform bestätigt.
15.4 Bestehen gesetzliche Aufbewahrungspflichten, bleiben die betroffenen Daten gespeichert; ihre Verarbeitung wird auf den Zweck der Erfüllung dieser Pflichten eingeschränkt.
15.5 Sicherungskopien werden nach den regulären Aufbewahrungszyklen des Auftragnehmers überschrieben oder gelöscht, sofern eine sofortige selektive Löschung aus Backups technisch nicht möglich ist. Bis zur endgültigen Löschung bleiben die Daten in den Sicherungskopien gesperrt und werden ausschließlich zur Wiederherstellung im Störungsfall verwendet. Die maximale Vorhaltedauer der Sicherungskopien beträgt [ZU ERGÄNZEN: tatsächliche maximale Backup-Aufbewahrungsdauer, z. B. 30 Tage].
16.1 Der Auftragnehmer stellt dem Auftraggeber alle Informationen zur Verfügung, die zum Nachweis der Einhaltung der Pflichten aus Art. 28 DSGVO erforderlich sind, und ermöglicht Überprüfungen einschließlich Inspektionen, die vom Auftraggeber oder einem von ihm beauftragten Prüfer durchgeführt werden, und trägt zu diesen bei.
16.2 Der Nachweis erfolgt vorrangig durch geeignete Unterlagen, insbesondere die Maßnahmenbeschreibung nach Ziffer 11, Dokumentationen im Vertrauenszentrum sowie – soweit vorhanden – Zertifizierungen, Prüfberichte unabhängiger Stellen oder Berichte über durchgeführte Sicherheitsprüfungen.
16.3 Reichen diese Nachweise im Einzelfall nicht aus, kann der Auftraggeber eine weitergehende Überprüfung einschließlich einer Vor-Ort-Prüfung verlangen. Diese erfolgt nach angemessener vorheriger Ankündigung von in der Regel 14 Tagen, während üblicher Geschäftszeiten, unter Wahrung der Vertraulichkeit und Sicherheit der Daten anderer Kunden und ohne unverhältnismäßige Beeinträchtigung des Geschäftsbetriebs. Prüfer, die zum Auftragnehmer im Wettbewerb stehen, kann der Auftragnehmer begründet ablehnen.
16.4 Regelmäßige Vor-Ort-Prüfungen finden höchstens einmal jährlich statt; anlassbezogene Prüfungen bei konkreten Anhaltspunkten für Datenschutzverstöße oder nach einer Verletzung des Schutzes personenbezogener Daten bleiben jederzeit möglich.
16.5 Gesetzliche Prüf- und Kontrollrechte des Auftraggebers, betroffener Personen und der Aufsichtsbehörden werden durch die Regelungen dieser Ziffer nicht eingeschränkt.
17.1 Diese Vereinbarung ist versioniert. Maßgeblich für das Vertragsverhältnis ist ausschließlich die von den Parteien unterzeichnete oder elektronisch akzeptierte Fassung. Eine später im Vertrauenszentrum veröffentlichte Fassung ersetzt die vereinbarte Fassung nicht automatisch; Änderungen dieser Vereinbarung bedürfen der Zustimmung beider Parteien.
17.2 Unberührt bleiben die vereinbarten Änderungsmechanismen für die technischen und organisatorischen Maßnahmen nach Ziffer 11 und für die Liste der Unterauftragsverarbeiter nach Ziffer 14.
17.3 Das elyph Vertrauenszentrum unter elyph.io/vertrauen ist die zentrale Informationsquelle für die aktuelle AVV-Fassung, die technischen und organisatorischen Maßnahmen, die Liste der Unterauftragsverarbeiter, Datenschutzinformationen sowie weitere Sicherheits- und Compliance-Nachweise.
17.4 Die Vereinbarung kann wirksam geschlossen werden durch Unterzeichnung der als PDF bereitgestellten Fassung durch beide Parteien oder durch einen dokumentierten elektronischen Abschluss innerhalb von elyph, bei dem eine vertretungsberechtigte Person des Auftraggebers die angezeigte Fassung akzeptiert und elyph Fassung, Zeitpunkt und handelnde Person protokolliert. Art. 28 Abs. 9 DSGVO lässt ein elektronisches Format ausdrücklich zu.
18.1 Diese Vereinbarung geht bei Widersprüchen zu Regelungen des Hauptvertrags in datenschutzrechtlichen Fragen vor.
18.2 Änderungen und Ergänzungen bedürfen der Textform. Dies gilt auch für die Änderung dieser Formklausel.
18.3 Sollten einzelne Bestimmungen unwirksam sein, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt. Die Parteien ersetzen die unwirksame Bestimmung durch eine wirksame Regelung, die dem wirtschaftlichen und datenschutzrechtlichen Zweck am nächsten kommt.
18.4 Es gilt deutsches Recht. Gerichtsstand ist [ZU ERGÄNZEN: Gerichtsstand am Sitz des Auftragnehmers].
| Auftraggeber (Verantwortlicher) | Auftragnehmer (Auftragsverarbeiter) |
|---|---|
| Firma: ____________________ | Mattzen Studio, Inhaber Jan Hubig |
| Name: ____________________ | Name: Jan Hubig |
| Funktion: ____________________ | Funktion: Inhaber |
| Ort, Datum: ____________________ | Ort, Datum: [ZU ERGÄNZEN: Ort], vorunterzeichnet |
| Unterschrift: ____________________ | Unterschrift: vorunterzeichnet in der PDF-Fassung |
Bei elektronischem Abschluss innerhalb von elyph ersetzt das Protokoll über Fassung, Zeitpunkt und handelnde Person die Unterschrift des Auftraggebers.
1. Gegenstand der Verarbeitung
Bereitstellung und Betrieb der SaaS-Plattform elyph für Arbeitsschutz-, EHS- und Compliance-Prozesse einschließlich Speicherung, Auswertung und Nachverfolgung der vom Auftraggeber eingegebenen Inhalte.
2. Dauer der Verarbeitung
Für die Laufzeit des Hauptvertrags zuzüglich der Fristen nach Ziffer 15 dieser Vereinbarung.
3. Art der Verarbeitung
Erheben, Erfassen, Speichern, Organisieren, Ordnen, Auslesen, Abfragen, Verwenden, Anpassen, Übermitteln innerhalb der Plattform und an vom Auftraggeber bestimmte Empfänger, Einschränken, Löschen und Vernichten. Automatisierte Verarbeitung durch Plattformfunktionen einschließlich der vom Auftraggeber aktivierten KI-gestützten Unterstützungsfunktionen.
4. Zwecke der Verarbeitung
5. Kategorien personenbezogener Daten
6. Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO)
Gesundheitsbezogene Informationen, insbesondere Angaben zu Arbeitsunfällen, gesundheitlichen Einschränkungen, arbeitsmedizinischen Vorgängen, Belastungen oder Schutzbedarfen, ausschließlich soweit der Auftraggeber solche Angaben in elyph eingibt, hochlädt oder anderweitig zur Verarbeitung bereitstellt. Eine darüber hinausgehende Verarbeitung besonderer Kategorien findet nicht statt.
7. Kategorien betroffener Personen
8. Verarbeitungsorte und eingesetzte Unterauftragsverarbeiter
Die eingesetzten Unterauftragsverarbeiter, ihre Sitze, Verarbeitungsorte, gegebenenfalls Drittländer und Transfermechanismen sind im elyph Vertrauenszentrum unter elyph.io/vertrauen veröffentlicht und Bestandteil dieser Anlage.
Dieses Dokument wird im Vertrauenszentrum unter elyph.io/vertrauen laufend gepflegt. Maßgeblich ist die dort veröffentlichte Fassung.