Vertrag zur Auftragsverarbeitung (AVV)

Stand: 13. Juli 2026

Zwischen den Parteien

Auftraggeber (Verantwortlicher):
[Firma], [Anschrift], vertreten durch [Name]
Bei elektronischem Abschluss über die Registrierung gilt als Auftraggeber der im Konto hinterlegte Inhaber (Name und E-Mail laut Konto); die Angaben in eckigen Klammern werden durch die Kontodaten ersetzt.
— nachfolgend „Auftraggeber" —

Auftragnehmer (Auftragsverarbeiter):
Albert Artykov, Behringstraße 21, 12437 Berlin
— nachfolgend „Auftragnehmer" —

§ 1 Gegenstand, Art und Zweck der Verarbeitung

(1) Der Auftragnehmer verarbeitet personenbezogene Daten im Auftrag des Auftraggebers im Rahmen der Bereitstellung des Dienstes „schlauerbewerben.de" (Erstellung, Import und PDF-Export von Lebensläufen).

(2) Art der Verarbeitung: Erheben, Erfassen, Auslesen, Übermitteln (transient) und Umwandeln der vom Endnutzer eingegebenen Daten zum Zweck der Lebenslauf-Erstellung und PDF-Ausgabe.

(3) Zweck: Bereitstellung der vertraglich vereinbarten Funktionen gegenüber den Endnutzern des Auftraggebers.

(4) Dauer: Der Vertrag gilt für die Laufzeit des zugrunde liegenden Hauptvertrags (Nutzung des Dienstes).

§ 2 Kategorien betroffener Personen und Datenarten

(1) Betroffene Personen: Endnutzer des Auftraggebers, die einen Lebenslauf erstellen (insbesondere Bewerberinnen und Bewerber).

(2) Kategorien personenbezogener Daten:

• Stammdaten (Name, Geburtsdatum)
• Kontaktdaten (Anschrift, E-Mail, Telefon, ggf. Links zu Profilen)
• Lichtbild (optional)
• Angaben zu Werdegang, Ausbildung, Qualifikationen, Kenntnissen, Interessen
• bei eingebetteter Nutzung: eine Abrechnungsreferenz bzw. Endnutzer-Kennung zur Zuordnung des Guthabenverbrauchs (kein Lebenslauf-Inhalt)

(3) Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO) sind nicht Gegenstand des Auftrags. Sofern Endnutzer solche Daten freiwillig in Freitextfelder eingeben, erfolgt dies außerhalb des vorgesehenen Verwendungszwecks; eine gesonderte Rechtsgrundlage hierfür verantwortet der Auftraggeber.

§ 3 Pflichten des Auftragnehmers

Der Auftragnehmer verpflichtet sich insbesondere zu Folgendem (Art. 28 Abs. 3 DSGVO):

• Verarbeitung ausschließlich auf dokumentierte Weisung des Auftraggebers, auch bei Drittlandübermittlungen, sofern nicht gesetzlich zur Verarbeitung verpflichtet;
• Verpflichtung der zur Verarbeitung befugten Personen auf Vertraulichkeit;
• Umsetzung der technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO (siehe Anlage 1);
• Einhaltung der Bedingungen für die Inanspruchnahme von Unterauftragsverarbeitern (§ 5);
• Unterstützung des Auftraggebers bei der Beantwortung von Anträgen betroffener Personen (Art. 12–23 DSGVO) durch geeignete Maßnahmen;
• Unterstützung des Auftraggebers bei der Einhaltung der Pflichten aus Art. 32–36 DSGVO;
• Löschung oder Rückgabe der Daten nach Abschluss der Verarbeitung (§ 9);
• Bereitstellung aller erforderlichen Informationen zum Nachweis der Einhaltung sowie Ermöglichung von Überprüfungen (§ 10).

§ 4 Weisungsrecht

(1) Der Auftraggeber ist für die Rechtmäßigkeit der Verarbeitung sowie für die Wahrung der Rechte betroffener Personen verantwortlich (Verantwortlicher).

(2) Weisungen erfolgen grundsätzlich in Textform. Ist der Auftragnehmer der Auffassung, dass eine Weisung gegen datenschutzrechtliche Vorschriften verstößt, weist er den Auftraggeber unverzüglich darauf hin und darf die Ausführung bis zur Bestätigung aussetzen.

§ 5 Unterauftragsverarbeiter

(1) Der Auftraggeber erteilt dem Auftragnehmer die allgemeine Genehmigung zur Inanspruchnahme von Unterauftragsverarbeitern. Die zum Zeitpunkt des Vertragsschlusses eingesetzten Unterauftragsverarbeiter sind in Anlage 2 aufgeführt und werden unter www.schlauerbewerben.de/subprozessoren aktuell gehalten.

(2) Der Auftragnehmer informiert den Auftraggeber über beabsichtigte Änderungen vorab und räumt ihm ein Widerspruchsrecht ein. Widerspricht der Auftraggeber aus wichtigem, dem Datenschutz zuzuordnendem Grund, sind die Parteien um eine einvernehmliche Lösung bemüht.

(3) Der Auftragnehmer erlegt jedem Unterauftragsverarbeiter dieselben Datenschutzpflichten vertraglich auf, wie sie in diesem Vertrag festgelegt sind.

§ 6 Technische und organisatorische Maßnahmen

Der Auftragnehmer trifft die in Anlage 1 beschriebenen Maßnahmen nach Art. 32 DSGVO und hält sie während der Vertragslaufzeit auf dem Stand der Technik.

§ 7 Rechte betroffener Personen

Wendet sich eine betroffene Person unmittelbar an den Auftragnehmer, leitet dieser das Anliegen unverzüglich an den Auftraggeber weiter und unterstützt ihn bei der Erfüllung der Betroffenenrechte.

§ 8 Meldung von Datenschutzverletzungen

Der Auftragnehmer meldet dem Auftraggeber Verletzungen des Schutzes personenbezogener Daten unverzüglich nach Bekanntwerden und unterstützt ihn bei dessen Melde- und Benachrichtigungspflichten nach Art. 33, 34 DSGVO.

§ 9 Löschung und Rückgabe

Nach Abschluss der Verarbeitung löscht der Auftragnehmer die im Auftrag verarbeiteten Daten oder gibt sie nach Wahl des Auftraggebers zurück, sofern keine gesetzliche Aufbewahrungspflicht besteht. Lebenslauf-Inhalte werden ohnehin nicht dauerhaft beim Auftragnehmer gespeichert (localStorage im Browser des Endnutzers).

§ 10 Nachweise und Überprüfungen

Der Auftragnehmer stellt dem Auftraggeber die zum Nachweis der Einhaltung erforderlichen Informationen zur Verfügung und ermöglicht angemessene Überprüfungen, auch durch einen vom Auftraggeber beauftragten Prüfer. Überprüfungen werden rechtzeitig angekündigt und beeinträchtigen den Betrieb möglichst wenig.

§ 11 Haftung

Für die Haftung gelten die Regelungen des Art. 82 DSGVO sowie die Haftungsregelungen des Hauptvertrags (AGB) ergänzend, soweit sie diesem Vertrag nicht widersprechen.

§ 12 Schlussbestimmungen

(1) Bei Widersprüchen zwischen diesem Vertrag und dem Hauptvertrag gehen die Regelungen dieses Vertrags in datenschutzrechtlicher Hinsicht vor.

(2) Es gilt deutsches Recht. Gerichtsstand ist — soweit zulässig — Berlin.

(3) Sollten einzelne Bestimmungen unwirksam sein, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt.

Unterschriften

Anlage 1 — Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

• Vertraulichkeit: Zugriff auf produktive Systeme nur für berechtigte Personen; individuelle, passwortgeschützte Zugänge; Passwörter werden ausschließlich als kryptografischer Hash gespeichert.
• Verschlüsselung: Transportverschlüsselung (TLS/HTTPS) bei sämtlichen Übertragungen; Verschlüsselung ruhender Daten bei den eingesetzten Dienstleistern.
• Datensparsamkeit: Lebenslauf-Inhalte werden clientseitig im Browser gespeichert und nur transient zur PDF-Erzeugung und zum KI-Import übertragen; keine dauerhafte serverseitige Speicherung dieser Inhalte.
• Integrität und Verfügbarkeit: Betrieb auf etablierter Cloud-Infrastruktur mit Redundanz und Sicherungsmechanismen der eingesetzten Anbieter.
• Trennungskontrolle: Logische Trennung der Mandanten- bzw. Kontodaten; getrennte Speicherbereiche für eingebettete Nutzung.
• Auftragskontrolle: Einsatz von Unterauftragsverarbeitern nur mit Datenschutzverträgen (Art. 28 DSGVO) und Standardvertragsklauseln bei Drittlandbezug.

Anlage 2 — Genehmigte Unterauftragsverarbeiter

Es gilt die jeweils aktuelle Liste unter www.schlauerbewerben.de/subprozessoren. Zum Stand dieses Vertrags: