VERTRAG ZUR AUFTRAGSVERARBEITUNG GEMÄSS ART. 28 DSGVO – VORLAGE TUTTI

Stand: 1. Oktober 2026 · Entwurf

Hinweis zur Verwendung: Diese Vorlage ist für Dienstleister ohne eigenen Standard-AVV gedacht (z. B. Webagentur, Freelancer mit Zugriff auf Kundendaten, IT-Support, Installateur der Videoanlage mit Fernzugriff). Bei bsport, Squarespace, Google, Microsoft/Google Workspace u. Ä. akzeptiert ihr stattdessen deren Standard-AVV im jeweiligen Konto. Stripe, Partnerplattformen (Urban Sports Club, ClassPass, Wellpass) und der Steuerberater sind eigenständige Verantwortliche und benötigen keinen AVV.


zwischen

Tutti Studio I GmbH, Perlacher Straße 66, 82031 Grünwald, vertreten durch die Geschäftsführer Nicholas Peisch und Constantin Greinacher
– „Verantwortlicher“ –

und

[Name Dienstleister], [Anschrift]
– „Auftragsverarbeiter“ –


§ 1 Gegenstand und Dauer

(1) Der Auftragsverarbeiter verarbeitet personenbezogene Daten im Auftrag des Verantwortlichen im Rahmen des Hauptvertrags vom [Datum] über [Leistung, z. B. Betreuung der Website]. Gegenstand, Art und Zweck der Verarbeitung, Datenarten und betroffene Personen ergeben sich aus Anlage 1.

(2) Dieser Vertrag gilt für die Dauer des Hauptvertrags und darüber hinaus, solange der Auftragsverarbeiter Daten des Verantwortlichen verarbeitet.


§ 2 Weisungsgebundenheit

(1) Der Auftragsverarbeiter verarbeitet die Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen, auch hinsichtlich Übermittlungen in Drittländer, es sei denn, er ist gesetzlich zur Verarbeitung verpflichtet; in diesem Fall teilt er dies vorab mit, soweit zulässig.

(2) Weisungen erfolgen in Textform. Weisungsberechtigt sind [Name/Funktion]. Ist der Auftragsverarbeiter der Ansicht, dass eine Weisung gegen Datenschutzrecht verstößt, weist er unverzüglich darauf hin.


§ 3 Vertraulichkeit

Der Auftragsverarbeiter setzt nur Personen ein, die zur Vertraulichkeit verpflichtet sind oder einer gesetzlichen Verschwiegenheitspflicht unterliegen, und die mit den Datenschutzbestimmungen vertraut gemacht wurden.


§ 4 Technische und organisatorische Maßnahmen

Der Auftragsverarbeiter trifft die in Anlage 2 beschriebenen Maßnahmen nach Art. 32 DSGVO. Er darf sie weiterentwickeln, sofern das Schutzniveau nicht unterschritten wird; wesentliche Änderungen sind zu dokumentieren und mitzuteilen.


§ 5 Unterauftragsverarbeiter

(1) Der Verantwortliche genehmigt die in Anlage 3 genannten Unterauftragsverarbeiter. Die Hinzuziehung oder Ersetzung weiterer Unterauftragsverarbeiter teilt der Auftragsverarbeiter mindestens [30] Tage vorher in Textform mit; der Verantwortliche kann aus wichtigem datenschutzrechtlichem Grund widersprechen.

(2) Der Auftragsverarbeiter erlegt Unterauftragsverarbeitern dieselben Datenschutzpflichten auf und haftet für deren Einhaltung.


§ 6 Drittlandtransfer

Eine Verarbeitung außerhalb des EWR erfolgt nur mit vorheriger Zustimmung des Verantwortlichen und wenn die Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind (z. B. Angemessenheitsbeschluss, Standardvertragsklauseln).


§ 7 Unterstützungspflichten

Der Auftragsverarbeiter unterstützt den Verantwortlichen mit geeigneten Maßnahmen bei der Beantwortung von Anträgen betroffener Personen (Art. 12–23 DSGVO), bei der Sicherheit der Verarbeitung, bei Meldungen von Datenschutzverletzungen, bei Datenschutz-Folgenabschätzungen und bei Konsultationen der Aufsichtsbehörde (Art. 32–36 DSGVO). Anträge betroffener Personen leitet er unverzüglich weiter.


§ 8 Datenschutzverletzungen

Der Auftragsverarbeiter meldet dem Verantwortlichen eine Verletzung des Schutzes personenbezogener Daten unverzüglich, spätestens innerhalb von [24] Stunden nach Kenntnis, mit den Angaben nach Art. 33 Abs. 3 DSGVO, soweit verfügbar.


§ 9 Kontrollrechte

Der Auftragsverarbeiter stellt alle Informationen zum Nachweis der Einhaltung dieses Vertrags zur Verfügung und ermöglicht Überprüfungen, einschließlich Inspektionen, durch den Verantwortlichen oder einen beauftragten Prüfer nach angemessener Vorankündigung. Aktuelle Zertifikate oder Prüfberichte (z. B. ISO 27001) können als Nachweis dienen.


§ 10 Löschung und Rückgabe

Nach Ende der Leistungen löscht der Auftragsverarbeiter nach Wahl des Verantwortlichen alle Daten oder gibt sie zurück und löscht vorhandene Kopien, sofern keine gesetzliche Speicherpflicht besteht. Die Löschung ist auf Anfrage schriftlich zu bestätigen.


§ 11 Haftung

Für die Haftung gegenüber betroffenen Personen gilt Art. 82 DSGVO. Im Innenverhältnis haftet jede Partei für Schäden, die durch ihre Verstöße gegen diesen Vertrag oder die DSGVO verursacht wurden.


§ 12 Schlussbestimmungen

(1) Bei Widersprüchen geht dieser Vertrag dem Hauptvertrag in datenschutzrechtlichen Fragen vor.

(2) Änderungen bedürfen der Textform. Es gilt deutsches Recht; Gerichtsstand ist München.

(3) Sollte eine Bestimmung unwirksam sein, bleibt der Vertrag im Übrigen wirksam.


[Ort, Datum]

Verantwortlicher: ______________________________

Auftragsverarbeiter: ______________________________


ANLAGE 1 – BESCHREIBUNG DER VERARBEITUNG (je Dienstleister ausfüllen)

- Gegenstand und Zweck: [z. B. Wartung und Weiterentwicklung der Website; Installation und Fernwartung der Videoanlage]
- Art der Verarbeitung: [Speichern, Abrufen, Einsehen, Verändern, Löschen]
- Datenarten: [Kontaktdaten, Kundenkonto- und Buchungsdaten, Zahlungsinformationen (ohne vollständige Kartendaten), Videoaufzeichnungen, technische Nutzungsdaten]
- Besondere Kategorien (Art. 9 DSGVO): [keine / Gesundheitsangaben aus dem Onboarding – nur wenn zwingend erforderlich]
- Betroffene Personen: [Kunden, Interessenten, Website-Besucher, Mitarbeitende, Studio-Besucher]
- Ort der Verarbeitung: [EU/EWR; sonst Land und Transfergrundlage]


ANLAGE 2 – TECHNISCHE UND ORGANISATORISCHE MASSNAHMEN (MINDESTSTANDARD)

- Zugangs- und Zugriffskontrolle: persönliche Konten, starke Passwörter, Zwei-Faktor-Authentifizierung, Rollen- und Berechtigungskonzept nach dem Need-to-know-Prinzip, Entzug von Zugriffen bei Projektende.
- Verschlüsselung: TLS bei der Übertragung; Verschlüsselung gespeicherter Daten, wo technisch möglich; verschlüsselte Endgeräte.
- Weitergabekontrolle: keine Speicherung von Kundendaten auf privaten Geräten oder in nicht freigegebenen Cloud-Diensten.
- Verfügbarkeit: regelmäßige Backups, getestete Wiederherstellung, Virenschutz und Sicherheitsupdates.
- Eingabekontrolle: Protokollierung von Administratorzugriffen, soweit möglich.
- Trennungsgebot: Trennung der Daten des Verantwortlichen von Daten anderer Kunden.
- Organisation: Verpflichtung der Mitarbeitenden auf Vertraulichkeit, Schulung, Verfahren zur Meldung von Datenschutzverletzungen, regelmäßige Überprüfung der Maßnahmen.


ANLAGE 3 – GENEHMIGTE UNTERAUFTRAGSVERARBEITER

1. [Unternehmen, Sitz] – Leistung: [z. B. Hosting] – Ort der Verarbeitung: [Land] – Transfergrundlage: [EU / Angemessenheitsbeschluss / SCC]
2. [Unternehmen, Sitz] – Leistung: [z. B. E-Mail-Versand] – Ort der Verarbeitung: [Land] – Transfergrundlage: [EU / Angemessenheitsbeschluss / SCC]