Vereinbarung zur Auftragsverarbeitung (AVV)

gemäß Art. 28 DSGVO · Stand: 26.07.2026 · inhaltlich am tatsächlichen technischen Ist-Stand der Software ausgerichtet

§ 1 Vertragsparteien

Verantwortlicher (Art. 4 Nr. 7 DSGVO): der Kunde — der Betrieb, der VibeCheck bestellt, mit den in der Bestellung angegebenen Firmen- und Kontaktdaten. — nachfolgend „Verantwortlicher" —

Auftragsverarbeiter (Art. 4 Nr. 8 DSGVO):
Buchta AI Systems, Inhaber Christian Buchta
Hattersheimer Straße 3, 60326 Frankfurt am Main
E-Mail: info@buchta.systems — nachfolgend „Auftragsverarbeiter" —

§ 2 Gegenstand und Dauer

1. Gegenstand ist die Bereitstellung und der Betrieb der Web-Anwendung „VibeCheck" (anonymer wöchentlicher Stimmungs-Check) für den Verantwortlichen, einschließlich Hosting, Wartung, Backups, technischem Support und Weiterentwicklung.
2. Die Vereinbarung beginnt mit der Bestellung und gilt für die Dauer des Nutzungsvertrags (AGB). Sie endet mit dessen Beendigung; § 11 (Löschung) gilt darüber hinaus.
3. Verarbeitungsort ist ausschließlich Deutschland bzw. die EU (§ 9).

§ 3 Art und Zweck der Verarbeitung

• Zweck: wöchentliche Stimmungsabfrage der Beschäftigten (drei Stufen Grün/Gelb/Rot), anonyme Aggregat-Auswertung für die Belegschaft und — je nach gewähltem Anonymitäts-Modus — identifizierte Auswertung ausschließlich für die Geschäftsleitung („halb-anonym") oder gar keine identifizierte Auswertung („voll-anonym"). Grundlage ist die Einwilligung der Beschäftigten (Art. 6 Abs. 1 lit. a DSGVO / § 26 Abs. 2 BDSG; Nutzungsvereinbarung in der App).
• Art: Erheben, Speichern, Anzeigen (aggregiert bzw. identifiziert je Rolle und Modus), E-Mail-/SMS-Versand (Login, Erinnerungen, Beteiligungs-Digest), Pseudonymisieren, Löschen, verschlüsseltes Sichern (Backups).

§ 4 Art der personenbezogenen Daten

1. Stammdaten: Name, E-Mail-Adresse und/oder Mobilnummer (optional; nur bei aktiviertem Kontakt-Import/SMS-Einladung, freiwillig, dient ausschließlich Login/Einladung/Erinnerung per SMS und wird bei Deaktivierung entfernt), Rolle (Verwaltung/Teamleitung/Mitarbeiter:in), Aktiv-Status.
2. Nutzungsdaten: wöchentlicher Stimmungswert (Grün/Gelb/Rot) mit Kalenderwoche und Zeitstempel; Bestätigungen (Nutzungsvereinbarung, Manager-Selbstverpflichtung). Optionaler Hinweis an die Leitung (nur bei aktiviertem Kommentar-Feature UND halb-anonymem Modus): von der Mitarbeiter:in freiwillig verfasster Kurz-Freitext (max. 200 Zeichen), nur für die Geschäftsleitung sichtbar, nie für Kolleg:innen; im voll-anonymen Modus deaktiviert (und beim Umschalten gelöscht). Feedback-Termin (nur bei aktiviertem Feature): freiwilliger Gesprächswunsch — gespeichert werden Name, Kalenderwoche, Status und ggf. ein vorgeschlagener Termin-Zeitpunkt; nie eine Farbe/Stimmung (strikt vom Stimmungswert getrennt); die Kalender-Datei wird lokal erzeugt (kein Kalender-Zugriff).
3. Protokoll-/Sicherheitsdaten: Login-Metadaten (ausgestellte/widerrufene Sitzungs-Tokens, verbrauchte Login-Links und Einmal-Codes — Codes ausschließlich als kryptografischer Hash), Auth-Diagnose-Log (Nutzer-ID und technischer Grund, ohne Namen/E-Mail), Audit-Log der Leitungs-Einsichten (ohne Stimmungswerte), Webserver-Logs mit IP-Adressen (Löschung nach 14 Tagen).
4. Freitext-Feedback (In-App-Kanal): freiwillig verfasste Meldungen (Bug/Verbesserung/Feedback) mit Rolle und App-Kontext, ohne Namens-/Kontozuordnung.

§ 5 Kategorien betroffener Personen

Beschäftigte des Verantwortlichen sowie die Geschäftsleitung selbst.

§ 6 Weisungsrecht

1. Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen (Art. 28 Abs. 3 lit. a DSGVO); diese Vereinbarung und die Funktionsweise der App sind die Grundweisung. Weisungen ergehen in Textform (E-Mail genügt).
2. Hält der Auftragsverarbeiter eine Weisung für datenschutzwidrig, informiert er den Verantwortlichen unverzüglich und darf die Ausführung bis zur Klärung aussetzen.

§ 7 Vertraulichkeit

Der Auftragsverarbeiter verpflichtet sich zur Vertraulichkeit. Zugriff auf personenbezogene Daten hat ausschließlich der Inhaber persönlich; werden künftig weitere Personen einbezogen, werden sie vor Aufnahme der Tätigkeit auf Vertraulichkeit verpflichtet (Art. 28 Abs. 3 lit. b DSGVO).

§ 8 Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

Die umgesetzten Maßnahmen sind in Anlage 1 (TOM) beschrieben; Kernpunkte: EU-Hosting (Deutschland), Transportverschlüsselung, Anonymitäts-Architektur mit fünf Schutzschichten, PII-freie Betreiber-Sicht, clientseitig verschlüsselte Backups, Server-Härtung, IP-Log-Begrenzung auf 14 Tage, Pseudonymisierung beim Deaktivieren. Der Auftragsverarbeiter darf die Maßnahmen fortentwickeln, solange das Schutzniveau nicht unterschritten wird.

§ 9 Sub-Auftragsverarbeiter (Art. 28 Abs. 2, 4 DSGVO)

1. Der Verantwortliche erteilt die allgemeine Genehmigung für die in Anlage 2 gelisteten Sub-Auftragsverarbeiter. Über beabsichtigte Änderungen informiert der Auftragsverarbeiter vorab in Textform; der Verantwortliche kann aus wichtigem datenschutzrechtlichem Grund binnen 14 Tagen widersprechen.
2. Mit jedem Sub-Auftragsverarbeiter bestehen Verträge nach Art. 28 DSGVO. Für Beschäftigtendaten findet keine Verarbeitung außerhalb der EU statt.

§ 10 Unterstützung des Verantwortlichen

1. Betroffenenrechte (Art. 12–23 DSGVO): Die App stellt einen Selbst-Export bereit („Meine Daten exportieren", Art. 15); Löschung erfolgt durch Deaktivierung mit sofortiger Pseudonymisierung von Name und E-Mail. Darüber hinaus unterstützt der Auftragsverarbeiter bei Betroffenenanfragen unverzüglich, spätestens binnen 10 Werktagen.
2. Datenpannen (Art. 33, 34 DSGVO): Meldung an den Verantwortlichen unverzüglich nach Kenntnis mit den nach Art. 33 Abs. 3 DSGVO erforderlichen Angaben; Unterstützung bei Melde- und Benachrichtigungspflichten.
3. DSFA (Art. 35, 36 DSGVO): Unterstützung mit den vorhandenen technischen Informationen (Systemdokumentation liegt vor).

§ 11 Löschung und Rückgabe nach Vertragsende

1. Nach Beendigung stellt der Auftragsverarbeiter auf Wunsch einen vollständigen Datenexport (maschinenlesbar, JSON) bereit; der Kunde kann ihn zudem jederzeit selbst in der Verwaltung abrufen.
2. Anschließend werden alle personenbezogenen Daten aus den aktiven Systemen gelöscht — automatisiert spätestens 30 Tage nach Vertragsende. Verschlüsselte Backups laufen automatisch aus (lokale Kopien nach 14 Tagen, Objektspeicher-Kopien nach spätestens 90 Tagen, Server-Snapshots nach 7 Tagen).
3. Gesetzliche Aufbewahrungspflichten bleiben unberührt.

§ 12 Nachweis- und Kontrollrechte (Art. 28 Abs. 3 lit. h DSGVO)

Der Auftragsverarbeiter stellt alle zum Nachweis erforderlichen Informationen zur Verfügung (u. a. Systemdokumentation, TOM-Anlage, Sub-AV-Verträge) und ermöglicht Überprüfungen durch den Verantwortlichen oder einen beauftragten Prüfer nach vorheriger Ankündigung mit angemessener Frist, während üblicher Geschäftszeiten und ohne Störung des Betriebs.

§ 13 Haftung

Die Haftung richtet sich nach Art. 82 DSGVO und den gesetzlichen Vorschriften.

§ 14 Schlussbestimmungen

1. Diese Vereinbarung wird in Textform geschlossen (Bestätigung im Bestellprozess); Änderungen und Ergänzungen bedürfen der Textform.
2. Es gilt deutsches Recht.
3. Sollten einzelne Bestimmungen unwirksam sein, bleibt die Vereinbarung im Übrigen wirksam; anstelle der unwirksamen Bestimmung gilt die gesetzliche Regelung.
4. Bei Widersprüchen zwischen dieser AVV und sonstigen Vereinbarungen der Parteien geht diese AVV hinsichtlich des Datenschutzes vor.

Anlage 1 — Technische und organisatorische Maßnahmen (TOM, Ist-Stand)

Zutritts-/Zugangskontrolle

• Hosting auf dedizierter Cloud-Instanz (Hetzner, Rechenzentrum Nürnberg/DE; Zutrittskontrolle des Rechenzentrums beim Sub-AV).
• Server-Zugang ausschließlich per SSH-Schlüssel (kein Passwort-, kein root-Login), Cloud-Firewall + ufw (nur Ports 22/80/443), fail2ban, automatische Sicherheitsupdates.
• Datenbank und Anwendungs-Backend sind nicht aus dem Internet erreichbar (nur über den Reverse-Proxy im internen Netz).

Zugriffskontrolle (Anwendung)

• Passwortlose Anmeldung per Magic-Link: einmalig verwendbar (Single-Use) und zeitlich begrenzt; Sitzungs-Tokens serverseitig widerrufbar (nur Hashes in der Datenbank).
• Alternativ eintippbarer 6-stelliger Einmal-Code aus derselben Login-Mail: in der Datenbank ausschließlich als kryptografischer Hash, 10 Minuten gültig, einmalig verwendbar, nach 5 Fehlversuchen gesperrt; pro Person ist stets nur der zuletzt angeforderte Code gültig.
• Rollenmodell mit getrennten Endpunkten; die Rolle wird bei jedem Zugriff aus der Datenbank geprüft (nie aus dem Client-Token).
• Identifizierte Leitungs-Sicht (nur halb-anonymer Modus) nur nach bestätigter Selbstverpflichtung; jeder Einblick wird protokolliert und den Beschäftigten in der App transparent gemacht (Anzahl Einsichtstage).

Anonymitätsschutz (Kern der Anwendung, fünf Schichten)

• Getrennte API-Routen je Rolle; Antwort-Schemas ohne PII-Felder; SQL auf Mitarbeiter-Pfaden lädt keine identifizierenden Spalten; Kleingruppen-Maskierung („<3" bei Zählwerten 1–2); kein Aggregat unter 5 Gesamtantworten (N ≥ 5).
• Betreiber-Statusseite enthält ausschließlich Betriebs- und Zähldaten — keine Namen, E-Mails oder Stimmungswerte (durch automatisierte Tests im CI abgesichert).

Übertragungskontrolle

• TLS 1.2/1.3 (Auto-Renewal), HSTS, Content-Security-Policy und weitere Sicherheits-Header; keine Einbindung externer CDNs.
• E-Mail-Versand DKIM-signiert über EU-Relay (Anlage 2).

Eingabe-/Verarbeitungskontrolle

• Audit-Log der Leitungs-Einsichten (ohne Stimmungswerte, tagesentdoppelt); Admin-Änderungen werden auditiert; PII-freies Auth-Diagnose-Log.
• Rate-Limits (streng auf Auth-Endpunkte), Verbindungslimits, fail2ban-Eskalation — jeweils pro echter Client-IP.

Verfügbarkeitskontrolle

• Tägliche Backups: komprimiert und clientseitig AES256-verschlüsselt vor jedem Upload; Schlüssel verbleibt ausschließlich auf dem App-Server. Vier Schichten: lokal (14 Tage), Objektspeicher (90 Tage, nur Chiffrat), verschlüsselte Mail-Kopie an den Betreiber, Server-Snapshots (7 Slots). Wiederherstellung getestet.
• Statusüberwachung (Datenbank, Mailversand, Zertifikat, Backup-Alter, Server-Auslastung) mit Problem-Benachrichtigung.

Datensparsamkeit / Löschkonzept

• Webserver-Logs (IP-Adressen) werden nach 14 Tagen gelöscht.
• Deaktivierte Nutzerkonten werden sofort pseudonymisiert (Name/E-Mail überschrieben, nicht wiederherstellbar).
• Suspendierte Betriebe werden 30 Tage nach Vertragsende automatisch vollständig gelöscht (§ 11).
• In-App-Feedback wird ohne Kontozuordnung gespeichert (nur Rolle + Kontext).

Anlage 2 — Sub-Auftragsverarbeiter

Für Beschäftigtendaten: kein Sub-AV außerhalb der EU. Externe Verfügbarkeits-Überwachung prüft ausschließlich die öffentliche URL und verarbeitet keine personenbezogenen Daten der Beschäftigten.

AGB · Impressum & Datenschutz