Auftragsverarbeitungsvertrag (AVV)

Stand: 6. Oktober 2026

Diese Vereinbarung wird mit der Buchung eines Pakets Bestandteil des Vertrags zwischen dem Kunden (Gastgeberin bzw. Gastgeber) und dem Anbieter, soweit der Anbieter personenbezogene Daten im Auftrag des Kunden verarbeitet.

Hinweis für Kunden, keine Rechtsberatung. Als Gastgeberin bzw. Gastgeber sind Sie in der Regel dafür verantwortlich, Ihre Gäste über die Verarbeitung ihrer Daten zu informieren. Der Eingabedialog für Gäste zeigt dazu einen kurzen Hinweis mit Link zur Datenschutzerklärung. Je nach Fall kann bei rein privater Nutzung (z. B. private Hochzeitsfeier) die sogenannte Haushaltsausnahme (Art. 2 Abs. 2 lit. c DSGVO) greifen, sodass Sie nicht als Verantwortlicher im Sinne der DSGVO gelten. Bei gewerblicher oder öffentlicher Nutzung (z. B. Café, Veranstalter) ist dies regelmäßig nicht der Fall. Ob das auf Sie zutrifft, müssen Sie selbst beurteilen.

1. Gegenstand, Parteien und Rollen

(1) Verantwortlicher im Sinne des Art. 4 Nr. 7 DSGVO ist der Kunde (Auftraggeber). Auftragsverarbeiter im Sinne des Art. 4 Nr. 8 DSGVO ist Native Project GbR, Am Kroatengarten 5, 98630 Römhild (Auftragnehmer, Anbieter).

(2) Gegenstand ist die Verarbeitung der personenbezogenen Daten von Gästen, die in das Gästebuch des Kunden eingetragen werden, im Rahmen der Bereitstellung der Web-Anwendung gemäß AGB.

(3) Für die Kundendaten (Konto, Buchung, Zahlung) ist der Anbieter selbst Verantwortlicher. Hierfür gilt die Datenschutzerklärung, nicht dieser Vertrag.

2. Dauer

Der Vertrag beginnt mit der Freischaltung des Gästebuchs und endet mit der vollständigen Löschung der Gästedaten gemäß Ziffer 9, spätestens mit Beendigung des Hauptvertrags und Ablauf der dort vereinbarten Löschfrist (90 Tage nach Ablauf der Laufzeit von 12 Monaten).

3. Art und Zweck der Verarbeitung

Der Anbieter speichert und stellt die Gästedaten bereit, damit der Kunde sie in seinem Gästebuch anzeigen, lesen, moderieren und exportieren kann. Die Verarbeitung umfasst insbesondere Erheben (Eingabe durch Gäste), Speichern, Anzeigen, Übermitteln an den Kunden, Exportieren, Löschen und die dazu erforderliche technische Verarbeitung (z. B. Größenanpassung von Fotos). Der Zweck ist ausschließlich der Betrieb des Gästebuchs für den Kunden.

4. Art der Daten und Kreis der Betroffenen

Datenarten: Name, Datum, Anlass, Eintragstext, Foto (ggf. mit Metadaten), technische Daten wie Zeitpunkt des Eintrags.
Betroffene: Gäste, die einen Eintrag verfassen, sowie Personen, die auf hochgeladenen Fotos erkennbar sind.

Eine Verarbeitung besonderer Kategorien personenbezogener Daten (Art. 9 DSGVO) ist nicht beabsichtigt. Der Kunde weist Gäste gegebenenfalls darauf hin, solche Angaben nicht zu machen. Fotos können je nach Inhalt Rückschlüsse auf besondere Kategorien zulassen, der Kunde trägt dafür die Verantwortung für die Zulässigkeit.

5. Pflichten des Auftragsverarbeiters (Anbieter)

Verarbeitung der Daten nur auf dokumentierte Weisung des Kunden. Die Weisung ergibt sich aus diesem Vertrag, den Einstellungen im Konto und der Nutzung der Funktionen. Hält der Anbieter eine Weisung für rechtswidrig, informiert er den Kunden unverzüglich.
Verpflichtung der zur Verarbeitung befugten Personen zur Vertraulichkeit.
Umsetzung geeigneter technischer und organisatorischer Maßnahmen nach Art. 32 DSGVO (Ziffer 6).
Einhaltung der Bedingungen für den Einsatz weiterer Auftragsverarbeiter (Ziffer 7).
Unterstützung des Kunden bei Anfragen betroffener Personen (Ziffer 8) und bei den Pflichten nach Art. 32 bis 36 DSGVO, soweit dies im Rahmen der Leistung möglich ist.
Information des Kunden unverzüglich bei Verletzungen des Schutzes personenbezogener Daten, die die Gästedaten betreffen (Art. 33 Abs. 2 DSGVO).
Löschung oder Rückgabe der Daten nach Ende der Leistung (Ziffer 9).
Bereitstellung der erforderlichen Informationen zum Nachweis der Einhaltung dieses Vertrags (Ziffer 10).
Der Anbieter verarbeitet die Daten innerhalb der EU bzw. des EWR, soweit nicht in Ziffer 7 anders angegeben. Eine Verarbeitung in Drittländern erfolgt nur unter den Voraussetzungen der Art. 44 ff. DSGVO.

6. Technische und organisatorische Maßnahmen

Vertraulichkeit, Übertragung: Verschlüsselte Übertragung (HTTPS/TLS) zwischen Browser und Server.
Zugriffsschutz: Zugriffsbeschränkung auf Datenbankebene durch Row-Level-Security. Nur der jeweilige Kunde kann auf die Einträge seines Gästebuchs zugreifen. Der Text von Einträgen ist standardmäßig nur für den Kunden lesbar.
Mandantentrennung: Daten verschiedener Kunden werden logisch getrennt gespeichert und durch die Zugriffsregeln voneinander abgeschirmt.
Authentifizierung: Anmeldung mit E-Mail und Passwort über Supabase Auth (Mailversand über Resend). Passwörter werden nur als Hash gespeichert.
Speicherung: Datenbank und Dateispeicher in der Region Frankfurt (EU), Verschlüsselung der gespeicherten Daten durch den Infrastrukturanbieter.
Verfügbarkeit, Backups: Datensicherungen je nach gebuchtem Tarif des Infrastrukturanbieters: tägliche automatische Sicherungen des Infrastrukturanbieters, soweit im gebuchten Tarif enthalten; Aufbewahrung nach dem jeweiligen Tarif, in der Regel wenige Tage.
Organisation: Zugriff des Anbieters auf Gästedaten nur im Rahmen von Support und Wartung und nur durch dazu befugte Personen. Administrativer Zugang nur für die Geschäftsführung, geschützt durch Passwort und, soweit verfügbar, Zwei-Faktor-Anmeldung; Zugriffsdaten werden nicht weitergegeben; Kundendaten sind durch Zugriffsregeln (Row-Level-Security) je Konto getrennt.
Wirksamkeitsprüfung: Die Maßnahmen werden regelmäßig überprüft und bei Bedarf angepasst. Der Anbieter darf sie weiterentwickeln, sofern das Schutzniveau nicht unterschritten wird.

7. Unterauftragsverarbeiter

Der Kunde erteilt eine allgemeine Genehmigung für den Einsatz der folgenden Unterauftragsverarbeiter:

Supabase Inc.: Datenbank, Authentifizierung, Dateispeicher. Region Frankfurt (EU). Auftragsverarbeitungsvertrag (DPA) mit Supabase Inc. besteht.
Netlify, Inc.: Hosting der statischen Website, USA. Übermittlung auf Grundlage des EU-US Data Privacy Framework bzw. der EU-Standardvertragsklauseln.
Resend, Inc.: Versand von System- und Hinweis-E-Mails an den Kunden (nur E-Mail-Adresse und Mailinhalt, keine Gästedaten), Versand aus der EU-Region Irland; Anbieter mit Sitz in den USA.

Der Anbieter informiert den Kunden mindestens 30 Tage im Voraus per E-Mail oder im Konto über beabsichtigte Änderungen. Der Kunde kann aus wichtigem datenschutzrechtlichem Grund innerhalb dieser Frist widersprechen. Bei Widerspruch können die Parteien eine Lösung suchen. Gelingt dies nicht, kann der Kunde sein Gästebuch löschen bzw. den Hauptvertrag außerordentlich kündigen. Der Anbieter legt den Unterauftragsverarbeitern Pflichten auf, die diesem Vertrag entsprechen.

Der Zahlungsdienstleister Stripe ist kein Unterauftragsverarbeiter für Gästedaten. Gästedaten werden nicht an Stripe übermittelt.

8. Rechte der Betroffenen

Wenden sich Gäste direkt an den Anbieter (z. B. wegen Auskunft oder Löschung), leitet der Anbieter die Anfrage an den Kunden weiter und beantwortet sie nicht selbst, soweit ihm das nach der Anfrage möglich ist. Der Kunde kann Einträge im Gästebuch selbst einsehen, exportieren und löschen. Soweit weitere Unterstützung erforderlich ist, hilft der Anbieter im Rahmen des Zumutbaren.

9. Löschung und Rückgabe

(1) Der Kunde kann Einträge und sein Gästebuch jederzeit selbst löschen und die Inhalte exportieren.

(2) Nach Ablauf der Laufzeit von 12 Monaten sind keine neuen Einträge mehr möglich, der Export bleibt bis zur Löschung verfügbar. Der Anbieter löscht alle Gästedaten 90 Tage nach Ablauf bzw. bei Löschung durch den Kunden entsprechend der technischen Löschroutinen. Backups werden im Rahmen des regulären Backup-Zyklus überschrieben.

(3) Gesetzliche Aufbewahrungspflichten bleiben unberührt.

10. Kontrollrechte

Der Kunde ist berechtigt, die Einhaltung dieses Vertrags zu überprüfen. Der Anbieter stellt auf Anfrage die erforderlichen Informationen bereit (z. B. Beschreibung der Maßnahmen, Nachweise der Unterauftragsverarbeiter). Vor-Ort-Kontrollen sind mit angemessener Frist (mindestens 14 Tage), während der üblichen Geschäftszeiten und ohne unverhältnismäßige Störung des Betriebs möglich. Da die Plattform bei Dritten gehostet wird, beschränken sich Kontrollen in der Regel auf die vom Anbieter beherrschbaren Bereiche.

11. Pflichten des Verantwortlichen (Kunde)

Der Kunde ist für die Rechtmäßigkeit der Verarbeitung der Gästedaten und für die Wahrung der Betroffenenrechte verantwortlich, insbesondere für die Information seiner Gäste (Art. 13 DSGVO) und gegebenenfalls das Einholen von Einwilligungen.
Der Kunde nutzt die Einstellung zur Sichtbarkeit von Texten bewusst. Bei öffentlich geschalteten Texten sind diese für alle mit dem Link sichtbar.
Der Kunde informiert den Anbieter unverzüglich, wenn er Fehler oder Unregelmäßigkeiten bei der Verarbeitung feststellt.
Ansprechpartner für Datenschutzfragen des Anbieters: greb@native-project.de.

12. Haftung und Schlussbestimmungen

(1) Für die Haftung gilt Art. 82 DSGVO. Im Innenverhältnis gelten die Haftungsregelungen der AGB, soweit rechtlich zulässig.

(2) Bei Widersprüchen zwischen diesem Vertrag und den AGB gehen die Regelungen dieses Vertrags zur Verarbeitung personenbezogener Daten vor.

(3) Änderungen und Ergänzungen bedürfen der Textform. Es gilt deutsches Recht. Sollten einzelne Bestimmungen unwirksam sein, bleibt die Wirksamkeit der übrigen unberührt.