v1.2 · 08.08.2026
Stand: 08.08.2026 Version: 1.0 Geltungsbereich: Art. 28 DSGVO, Art. 32 DSGVO, Art. 82 DSGVO Vertragspartner: flowgeist (Auftragsverarbeiter) ↔ Kunde (Verantwortlicher)
Dieser Auftragsverarbeitungsvertrag (AVV) regelt die Rechte und Pflichten des Verantwortlichen (Kunde) und des Auftragsverarbeiters (flowgeist) bei der Verarbeitung personenbezogener Daten im Rahmen der Nutzung der flowgeist TOOL Plattform. Er dient der Erfüllung der Verpflichtungen aus Art. 28 DSGVO und stellt sicher, dass die Verarbeitung personenbezogener Daten ausschließlich im Rahmen der Weisungen des Verantwortlichen und unter Einhaltung der gesetzlichen Vorgaben der DSGVO erfolgt.
Der Verantwortliche beauftragt den Auftragsverarbeiter mit der Verarbeitung personenbezogener Daten im Rahmen der Bereitstellung der flowgeist TOOL Plattform (Werkzeugverwaltung). Dieser Vertrag ist Bestandteil der zugrundeliegenden Nutzungsvereinbarung (AGB) zwischen den Parteien.
(1) Gegenstand dieses Vertrages ist die Verarbeitung personenbezogener Daten durch den Auftragsverarbeiter im Auftrag des Verantwortlichen. Der Auftragsverarbeiter erbringt die Dienstleistungen im Rahmen der flowgeist TOOL Plattform, einer Multi-Tenant SaaS-Lösung zur Verwaltung von Spezialwerkzeugen und Equipment, umfassend:
(2) Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich nach der schriftlichen (auch elektronisch, Art. 28 Abs. 2 DSGVO) Weisung des Verantwortlichen, einschließlich der Übermittlung an Dritte, sofern dies in der Weisung enthalten oder gesetzlich vorgeschrieben ist.
(3) Dieser Vertrag gilt für die Laufzeit des zugrundeliegenden Nutzungsvertrages (AGB) und endet mit dessen Beendigung. Nach Beendigung gelten die Regelungen zur Löschung und Rückgabe gemäß § 3 Abs. 7 dieses Vertrages fort.
(4) Jede Partei kann diesen Vertrag aus wichtigem Grund außerordentlich kündigen, insbesondere bei schwerwiegenden Verstößen gegen datenschutzrechtliche Vorgaben.
(1) Art und Umfang der Verarbeitung ergeben sich aus dem zugrundeliegenden Nutzungsvertrag (AGB), dieser Vereinbarung sowie den produktspezifischen Leistungsbeschreibungen. Die Verarbeitung umfasst die folgenden Kategorien personenbezogener Daten:
| Datenkategorie | Beschreibung | Beispiele |
|---|---|---|
| Stammdaten | Angaben zur Identität und zum Unternehmen | Name, Vorname, E-Mail-Adresse, Firmenname, Anschrift |
| Zugangsdaten | Daten zur Authentifizierung | Passwort-Hash (Argon2id), MFA/TOTP-Secret |
| Werkzeug-Nutzungsdaten | Daten zur Nutzung der Plattformfunktionen | Wer hat welches Werkzeug ausgeliehen, Ausleih- und Rückgabezeitpunkte |
| Audit-Daten | Protokollierung von Systemzugriffen | Login-Zeiten, durchgeführte Aktionen, IP-Adresse |
| Rechnungsdaten | Daten zur Abrechnung | Stripe Customer ID, Rechnungsbetrag, Rechnungsdatum |
| Support-Daten | Daten im Rahmen der Supportabwicklung | Support-Anfragen, Kommunikationsverlauf |
(2) Die Verarbeitung erfolgt für die folgenden Zwecke:
(3) Die von der Verarbeitung betroffenen Kategorien personenbezogener Daten betreffen folgende Personenkreise:
(4) Die Übermittlung, Offenlegung oder sonstige Verarbeitung der personenbezogenen Daten außerhalb der in diesem Vertrag beschriebenen Zwecke bedarf der vorherigen schriftlichen Weisung des Verantwortlichen und ist nur zulässig, wenn eine gesetzliche Verpflichtung besteht (Art. 28 Abs. 3 lit. a DSGVO).
Der Auftragsverarbeiter stellt sicher, dass die Personen, die im Auftrag die Verarbeitung personenbezogener Daten durchführen, einer angemessenen Vertraulichkeitsverpflichtung unterliegen (Art. 28 Abs. 3 lit. b, Art. 29 DSGVO, § 53 BDSG). Alle Mitarbeiter des Auftragsverarbeiters, die Zugang zu personenbezogenen Daten haben, werden vor Aufnahme ihrer Tätigkeit über die datenschutzrechtlichen Verpflichtungen belehrt und verpflichten sich schriftlich zur Vertraulichkeit.
Der Auftragsverarbeiter trifft die erforderlichen technischen und organisatorischen Maßnahmen gemäß Art. 32 DSGVO, um ein dem Risiko angemessenes Schutzniveau für die Sicherheit, Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit der Verarbeitungssysteme zu gewährleisten. Die Maßnahmen sind im Anhang „TOMs Referenz” dieses Vertrages detailliert beschrieben und Bestandteil dieses Vertrages. Der Auftragsverarbeiter dokumentiert die Umsetzung und Einhaltung dieser Maßnahmen.
Der Auftragsverarbeiter darf die Verarbeitung personenbezogener Daten durch Unterauftragsverarbeiter (weitere Auftragsverarbeiter) nur mit vorheriger gesonderter oder allgemeiner schriftlicher Genehmigung des Verantwortlichen durchführen (Art. 28 Abs. 2, Abs. 4 DSGVO). Der Verantwortliche erteilt hiermit seine allgemeine Genehmigung für die folgenden Unterauftragsverarbeiter:
| Unterauftragsverarbeiter | Standort | Zweck | Drittstaatenbezug |
|---|---|---|---|
| Hetzner Online GmbH | Deutschland (Falkenstein) | Hosting, Datenbank (PostgreSQL 16), Backup | Keine Drittstaaten |
| Stripe Payments Europe, Ltd. | Irland / USA (Konzernmutter) | Zahlungsabwicklung | EU-US Data Privacy Framework + SCC |
Der Auftragsverarbeiter schließt mit den Unterauftragsverarbeitern Verträge gemäß Art. 28 Abs. 4 DSGVO, die die gleichen Datenschutzverpflichtungen wie dieser Vertrag enthalten. Der Auftragsverarbeiter bleibt gegenüber dem Verantwortlichen für die Einhaltung der Verpflichtungen durch die Unterauftragsverarbeiter voll verantwortlich. Bei einem Wechsel oder der Hinzunahme weiterer Unterauftragsverarbeiter informiert der Auftragsverarbeiter den Verantwortlichen rechtzeitig, so dass dieser die Möglichkeit hat, der Beauftragung zu widersprechen.
Der Auftragsverarbeiter unterstützt den Verantwortlichen unter Berücksichtigung der Art der Verarbeitung mit angemessenen technischen und organisatorischen Maßnahmen, soweit dies erforderlich ist, damit der Verantwortlicher seinen Verpflichtungen zur Beantwortung von Auskunfts- und anderen Anträgen Betroffener (Art. 12–22 DSGVO) nachkommen kann (Art. 28 Abs. 3 lit. e DSGVO). Der Auftragsverarbeiter leitet Anfragen Betroffener unverzüglich an den Verantwortlichen weiter, sofern diese sich direkt an den Auftragsverarbeiter richten.
Der Auftragsverarbeiter unterstützt den Verantwortlichen bei der Durchführung einer Datenschutz-Folgenabschätzung (DSFA) gemäß Art. 35 DSGVO, soweit dies erforderlich ist. Der Auftragsverarbeiter stellt dem Verantwortlichen auf Anforderung die erforderlichen Informationen über die Verarbeitung und die getroffenen Sicherheitsmaßnahmen zur Verfügung (Art. 28 Abs. 3 lit. f DSGVO, Art. 35 Abs. 2 DSGVO).
Der Auftragsverarbeiter meldet dem Verantwortlichen unverzüglich, spätestens jedoch 24 Stunden nach Kenntniserlangung, jede Verletzung des Schutzes personenbezogener Daten, die den Verantwortlichen betrifft (Art. 28 Abs. 3 lit. g, Art. 33 DSGVO). Die Meldung erfolgt schriftlich oder elektronisch und enthält mindestens folgende Informationen:
Der Auftragsverarbeiter dokumentiert jede Verletzung des Schutzes personenbezogener Daten einschließlich der Art der Verletzung, der Folgen und der ergriffenen Maßnahmen (Art. 33 Abs. 5 DSGVO). Der Auftragsverarbeiter unterstützt den Verantwortlichen bei der Meldung an die Aufsichtsbehörde und die Information der Betroffenen, soweit gesetzlich erforderlich.
Nach Abschluss der Verarbeitungsdienstleistungen oder vorzeitigem Beenden der Weisung, spätestens jedoch 30 Tage nach Beendigung des Nutzungsvertrages, löscht der Auftragsverarbeiter alle personenbezogenen Daten, die im Auftrag verarbeitet wurden, oder übergibt sie dem Verantwortlichen, sofern keine gesetzliche Aufbewahrungspflicht entgegensteht (Art. 28 Abs. 3 lit. g, lit. h DSGVO). Die Löschung erfolgt unter Berücksichtigung der folgenden Fristen:
| Datenkategorie | Frist zur Löschung/Rückgabe |
|---|---|
| Stammdaten | 30 Tage nach Kündigung |
| Werkzeug-Nutzungsdaten | 30 Tage nach Kündigung |
| Audit-Logs | 3 Jahre (gesetzliche Aufbewahrungspflicht) |
| Rechnungsdaten | 10 Jahre (§ 147 AO, § 14b UStG) |
Daten, die gesetzlichen Aufbewahrungspflichten unterliegen, werden bis zum Ablauf der Aufbewahrungsfrist gesperrt und nicht mehr für Verarbeitungszwecke genutzt. Der Auftragsverarbeiter bestätigt dem Verantwortlichen die Löschung schriftlich oder elektronisch.
Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich nach dokumentierter Weisung des Verantwortlichen (Art. 28 Abs. 3 lit. a DSGVO). Der Auftragsverarbeiter informiert den Verantwortlichen unverzüglich, wenn eine Weisung seiner Meinung nach gegen Rechtsvorschriften verstößt. Der Auftragsverarbeiter ist berechtigt, die Durchführung der Weisung auszusetzen, bis der Verantwortliche die Rechtmäßigkeit der Weisung bestätigt oder anpasst.
Die folgenden Aufbewahrungsfristen gelten für die im Rahmen dieses Vertrages verarbeiteten Daten:
| Datenkategorie | Aufbewahrungsfrist | Rechtsgrundlage |
|---|---|---|
| Stammdaten | 30 Tage nach Kündigung | Vertragsabwicklung |
| Werkzeug-Nutzungsdaten | 30 Tage nach Kündigung | Vertragsabwicklung |
| Audit-Logs | 3 Jahre | Sicherheit, Missbrauchserkennung |
| Stripe-Webhook-Logs (PII) | 30 Tage, danach Pseudonymisierung | Zahlungsabwicklung |
| Rechnungen | 10 Jahre | § 147 AO, § 14b UStG |
(1) Der Verantwortliche ist für die Rechtmäßigkeit der Verarbeitung und die Einhaltung der datenschutzrechtlichen Vorgaben verantwortlich (Art. 28 Abs. 3 lit. a DSGVO). Der Verantwortliche stellt sicher, dass die Verarbeitung der personenbezogenen Daten, die er dem Auftragsverarbeiter überlässt, rechtmäßig ist und die Rechte der Betroffenen gewahrt werden.
(2) Der Verantwortliche erteilt die Weisungen zur Verarbeitung personenbezogener Daten schriftlich oder in elektronischer Form (Art. 28 Abs. 2 DSGVO). Der Verantwortliche trägt die Verantwortung für die Richtigkeit und Vollständigkeit der übermittelten Daten.
(3) Der Verantwortliche ist verantwortlich für die Richtigkeit und Vollständigkeit der in die flowgeist TOOL Plattform eingegebenen Werkzeugdaten und Nutzerdaten. Der Auftragsverarbeiter übernimmt keine Haftung für die Richtigkeit der Inventarisierungsdaten.
(4) Der Verantwortliche informiert den Auftragsverarbeiter unverzüglich über festgestellte Fehler oder Unregelmäßigkeiten bei der Verarbeitung personenbezogener Daten.
(5) Der Verantwortliche stellt sicher, dass die von ihm benannten Nutzer der Plattform über die geltenden Datenschutzbestimmungen informiert werden und die erforderlichen Einwilligungen und Berechtigungen vorliegen.
(6) Der Verantwortliche prüft vor der Übermittlung personenbezogener Daten an den Auftragsverarbeiter, ob eine Datenschutz-Folgenabschätzung (DSFA) gemäß Art. 35 DSGVO erforderlich ist, und führt diese ggf. durch.
(1) Der Verantwortliche hat das Recht, jederzeit Kontrollen und Audits zur Kontrolle der Einhaltung der in diesem Vertrag und im Anhang (TOMs) festgelegten Pflichten durchzuführen oder durchführen zu lassen (Art. 28 Abs. 3 lit. h DSGVO). Der Auftragsverarbeiter unterstützt den Verantwortlichen bei der Durchführung von Kontrollen in angemessenem Umfang.
(2) Der Auftragsverarbeiter stellt dem Verantwortlichen auf Anforderung die erforderlichen Nachweise über die Einhaltung der in Art. 28 und Art. 32 DSGVO niedergelegten Pflichten zur Verfügung (Art. 28 Abs. 3 lit. h DSGVO). Dies umfasst insbesondere Nachweise über die Umsetzung der technischen und organisatorischen Maßnahmen.
(3) Kontrollen und Audits werden mit einer angemessenen Vorankündigung von mindestens 14 Tagen geplant und durchgeführt, soweit nicht ein dringender Verdacht auf eine Datenschutzverletzung eine kurzfristige Kontrolle erforderlich macht. Kontrollen erfolgen während der üblichen Geschäftszeiten und stören den Betriebsablauf des Auftragsverarbeiters nicht unverhältnismäßig.
(4) Die Kosten für routinemäßige Kontrollen trägt der Auftragsverarbeiter. Kontrollen, die aufgrund eines konkreten Verdachts auf eine Datenschutzverletzung oder auf Veranlassung einer Aufsichtsbehörde durchgeführt werden, trägt die Partei, die die Kontrolle veranlasst hat, es sei denn, der Verdacht bestätigt sich und eine Partei hat die Verletzung verursacht.
(1) Die primäre Verarbeitung personenbezogener Daten erfolgt in Deutschland. Die Server des Auftragsverarbeiters stehen bei Hetzner Online GmbH in Falkenstein (Deutschland). Eine Übermittlung in Drittstaaten findet insoweit nicht statt.
(2) Im Rahmen der Zahlungsabwicklung erfolgt eine Datenübermittlung an Stripe Payments Europe, Ltd. (Irland) sowie an die US-Konzernmutter Stripe, Inc. (USA). Die Übermittlung in die USA (Drittstaat) erfolgt auf Grundlage des EU-US Data Privacy Frameworks, unter dem Stripe, Inc. als zertifiziertes Unternehmen registriert ist. Ergänzend werden Standardvertragsklauseln (SCC) gemäß Art. 46 Abs. 2 lit. c DSGVO vereinbart.
(3) Der Auftragsverarbeiter informiert den Verantwortlichen über geplante Änderungen bezüglich der Hinzunahme oder des Wechsels von Unterauftragsverarbeitern in Drittstaaten, so dass der Verantwortliche die Möglichkeit hat, der Beauftragung zu widersprechen.
(4) Weitere Datenübermittlungen in Drittstaaten finden nicht statt. Die Plattform nutzt keine externen KI-Dienste und keine externen Analytics-Dienste.
(1) Die Haftung der Parteien richtet sich nach den gesetzlichen Bestimmungen, insbesondere nach Art. 82 DSGVO und §§ 280, 276 BGB.
(2) Der Auftragsverarbeiter haftet dem Verantwortlichen für den Schaden, der durch eine Verletzung der in diesem Vertrag festgelegten Pflichten entsteht, nach Maßgabe der gesetzlichen Bestimmungen.
(3) Der Auftragsverarbeiter haftet unbeschränkt für Vorsatz und grobe Fahrlässigkeit sowie für Schäden an Leben, Körper und Gesundheit.
(4) Im Falle leichter Fahrlässigkeit haftet der Auftragsverarbeiter nur bei Verletzung einer wesentlichen Vertragspflicht (Kardinalpflicht), deren Verletzung die Erreichung des Vertragszwecks gefährdet, und nur in Höhe des vertragstypischen, vorhersehbaren Schadens.
(5) Soweit der Auftragsverarbeiter außerhalb der Weisung des Verantwortlichen handelt oder gegen die Weisung verstößt, haftet er für den entstandenen Schaden gemäß Art. 82 DSGVO.
(6) Die Haftung für indirekte Schäden, Folgeschäden und entgangenen Gewinn ist, soweit gesetzlich zulässig, auf den vertragstypischen, vorhersehbaren Schaden begrenzt.
(1) Dieser Vertrag unterliegt dem Recht der Bundesrepublik Deutschland unter Ausschluss des UN-Kaufrechts (CISG).
(2) Ausschließlicher Gerichtsstand für alle Streitigkeiten aus oder im Zusammenhang mit diesem Vertrag ist, soweit gesetzlich zulässig, Mettmann (Deutschland).
(3) Sollten einzelne Bestimmungen dieses Vertrages unwirksam oder undurchführbar sein oder werden, so berührt dies die Wirksamkeit der übrigen Bestimmungen nicht. Die Parteien werden die unwirksame Bestimmung durch eine wirksame ersetzen, die dem wirtschaftlichen Zweck der unwirksamen Bestimmung am nächsten kommt.
(4) Änderungen und Ergänzungen dieses Vertrages bedürfen der Schriftform. Dies gilt auch für die Aufhebung der Schriftformklausel.
(5) Dieser Vertrag ist Bestandteil des zugrundeliegenden Nutzungsvertrages (AGB) zwischen den Parteien. Im Flege von Widersprüchen zwischen diesem Vertrag und dem Nutzungsvertrag gehen die Bestimmungen dieses Vertrages im Hinblick auf die Verarbeitung personenbezogener Daten vor.
(6) Eine Abtretung von Rechten aus diesem Vertrag bedarf der vorherigen schriftlichen Zustimmung der jeweils anderen Partei.
Auftragsverarbeiter: flowgeist Inhaber: Ralf Carsjens Eidamshauser Straße 13 40822 Mettmann Deutschland
Verantwortlicher (Kunde): [Name des Kunden / Unternehmen] [Anschrift] [E-Mail-Adresse] [Ansprechpartner]
Die technischen und organisatorischen Maßnahmen gemäß Art. 32 DSGVO und Art. 28 Abs. 3 lit. c DSGVO sind im separaten Dokument „Technische und organisatorische Maßnahmen (TOMs) – flowgeist TOOL” detailliert beschrieben. Dieses Dokument ist Bestandteil dieses Auftragsverarbeitungsvertrages und wird hiermit in Bezug genommen.
Die Maßnahmen umfassen insbesondere:
| Version | Datum | Wesentliche Änderungen |
|---|---|---|
| 1.0 | 08.08.2026 | Erstfassung des AVV für flowgeist TOOL |
Ort, Datum: ___________________________
Verantwortlicher (Kunde):
Unterschrift
Name (Druckschrift)
Ort, Datum: ___________________________
Auftragsverarbeiter (flowgeist):
Unterschrift
Name (Druckschrift)
© 2026 flowgeist – Ralf Carsjens · Alle Rechte vorbehalten