← Zurück

Auftragsverarbeitungsvertrag (Muster)

Nach Art. 28 DSGVO – zwischen dem Verantwortlichen (Mandant/Kunde) und dem Auftragsverarbeiter (Hubfox GmbH, Betreiber von Meldefox). Angemeldete Mandanten können den ausgefüllten AVV jederzeit in der Anwendung erzeugen und herunterladen.

1 · Gegenstand

Betrieb der internen Meldestelle (Meldefox) als SaaS: Entgegennahme, Speicherung und Bearbeitung von Meldungen nach dem HinSchG im Auftrag des Verantwortlichen.

2 · Art der Daten und Betroffene

Meldungsinhalte, ggf. Identitäts-/Kontaktdaten hinweisgebender und betroffener Personen, Anhänge. Betroffene: Beschäftigte, Hinweisgeber, in Meldungen genannte Personen.

3 · Technische und organisatorische Maßnahmen (Auszug)

1. Verschlüsselung ruhender Fallinhalte (AES-256-GCM, mandantenspezifischer Schlüssel, Envelope-Verfahren).
2. Ausschluss des Betreiberzugriffs auf Fallinhalte; „Remote-Aufschalten" im Code gesperrt.
3. Keine IP-Protokollierung auf dem Meldekanal.
4. Verschlüsselte, getrennt aufbewahrte Backups; regelmäßiger Restore-Test.
5. Revisionssicheres, unveränderliches Audit-Log (Hash-Kette).
6. Rollen- und Rechtekonzept mit technischer Trennung Verwaltung ↮ Fallzugriff.

4 · Unterauftragsverarbeiter

Hosting: Hetzner Online GmbH, Rechenzentrum Deutschland (Falkenstein/Nürnberg). Weitere Unterauftragsverarbeiter nur mit Information und Widerspruchsrecht.

5 · Weisungen, Löschung, Kontrolle

Verarbeitung ausschließlich auf dokumentierte Weisung. Löschung/Rückgabe nach Vertragsende; gesetzliche Aufbewahrung (§ 11 Abs. 5 HinSchG: Löschung 3 Jahre nach Verfahrensabschluss) bleibt unberührt. Der Verantwortliche kann die Einhaltung prüfen.

Dies ist ein Muster zur Orientierung und ersetzt keine Rechtsberatung. Der rechtsverbindliche AVV wird bei Vertragsschluss bereitgestellt.