Entwurf — wird vor Veröffentlichung juristisch geprüft.

Auftragsverarbeitungsvertrag

Muster gemäß Art. 28 DSGVO · Stand: 30. August 2026

Dieser Auftragsverarbeitungsvertrag (AVV) ergänzt die Allgemeinen Geschäftsbedingungen für die Nutzung des Bürosystems „MH Build“ (nachfolgend „Hauptvertrag“). Er wird geschlossen zwischen dem Kunden als Verantwortlichem und der MH Build UG (haftungsbeschränkt), Dieselstraße 73, 22307 Hamburg, als Auftragsverarbeiter (nachfolgend „Anbieter“).

Der Abschluss erfolgt elektronisch bei der Kontoeröffnung: Mit der Buchung des Systems nimmt der Kunde diesen Vertrag an; er wird damit Vertragsbestandteil, ohne dass es einer gesonderten Unterschrift bedarf (Art. 28 Abs. 9 DSGVO — elektronisches Format genügt). Der Vertragstext ist jederzeit unter dieser Adresse abrufbar; der Kunde erhält ihn zusätzlich mit der Buchungsbestätigung. Ergänzend bleibt der Abschluss in Textform über info@mh-build.de möglich.

§ 1 Gegenstand und Dauer

1. Gegenstand dieses Vertrags ist die Verarbeitung personenbezogener Daten durch den Anbieter im Auftrag des Kunden im Rahmen des Betriebs des Bürosystems „MH Build“ gemäß Hauptvertrag.
2. Die Dauer dieses Vertrags entspricht der Laufzeit des Hauptvertrags. Eine gesonderte Kündigung dieses Vertrags ist nur zusammen mit dem Hauptvertrag möglich; das Recht zur außerordentlichen Kündigung bleibt unberührt.

§ 2 Art und Zweck der Verarbeitung, Datenarten, Betroffene

1. Art und Zweck: Speicherung, Organisation, Bereitstellung, Sicherung und Löschung der Daten, die der Kunde zur Führung seines Büros im System verarbeitet (u. a. Auftrags-, Termin-, Dokumenten- und Kommunikationsverwaltung); ferner — soweit im gebuchten Paket enthalten und vom Kunden aktiviert — das automatisierte Lesen, Qualifizieren, Entwerfen und nach Freigabe Versenden von Kommunikation durch KI-gestützte Funktionen nach Maßgabe des Freigabemodells des Hauptvertrags (§ 8a AGB).
2. Arten personenbezogener Daten (soweit vom Kunden eingestellt):
   • Stammdaten (Namen, Firmenbezeichnungen, Anschriften),
   • Kontaktdaten (E-Mail-Adressen, Telefonnummern),
   • Vertrags- und Auftragsdaten (Aufträge, Angebote, Rechnungen),
   • Kommunikationsinhalte (E-Mails, Nachrichten, Notizen), soweit der Kunde Postfach- oder KI-Funktionen nutzt,
   • Beschäftigtendaten der Mitarbeiterinnen und Mitarbeiter des Kunden (Namen, Kontaktdaten, Zuständigkeiten, Zeiten),
   • Inhalte hochgeladener Dokumente und Notizen,
   • soweit der Kunde einem Gesundheits- oder Rechtsberuf angehört und solche Daten einstellt: besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO (insbesondere Gesundheitsdaten von Patientinnen und Patienten) sowie Daten, die einem Berufsgeheimnis unterliegen (§ 4 Abs. 2 bis 4 dieses Vertrags).
3. Kategorien betroffener Personen: Kundinnen und Kunden, Interessenten und Lieferanten des Kunden; Beschäftigte des Kunden; Patientinnen und Patienten, Mandantinnen und Mandanten sowie Klientinnen und Klienten des Kunden; sonstige Kontaktpersonen, deren Daten der Kunde im System verarbeitet.
4. Die Produktivdaten des Bürosystems werden ausschließlich in Rechenzentren in Deutschland gespeichert (Zusage des Hauptvertrags). Fernwartungs- und Support-Zugriffe von Unterauftragsverarbeitern aus Drittländern sind nur im Rahmen der Anlage 2 zulässig und durch geeignete Garantien nach Kapitel V DSGVO abgesichert. Für die Auslieferung der öffentlichen Website gilt Anlage 2.

§ 3 Weisungsrecht des Kunden

1. Der Anbieter verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Kunden, sofern er nicht durch das Recht der Union oder der Mitgliedstaaten zur Verarbeitung verpflichtet ist; in einem solchen Fall teilt der Anbieter dem Kunden diese Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht dies nicht verbietet.
2. Die Nutzung der Funktionen des Systems durch den Kunden gilt als Weisung. Darüber hinausgehende Weisungen erteilt der Kunde in Textform an info@mh-build.de.
3. Hält der Anbieter eine Weisung für datenschutzrechtlich unzulässig, informiert er den Kunden unverzüglich; er darf die Ausführung bis zu einer Klärung aussetzen.

§ 4 Vertraulichkeit und Berufsgeheimnis

1. Der Anbieter setzt für die Verarbeitung nur Personen ein, die zur Vertraulichkeit verpflichtet wurden oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen. Die Verpflichtung besteht auch nach Beendigung der Tätigkeit fort.
2. Gehört der Kunde einem Berufsstand mit gesetzlicher Schweigepflicht an (insbesondere Heilberufe, Rechtsanwältinnen und Rechtsanwälte, Steuerberaterinnen und Steuerberater), gilt ergänzend: Der Anbieter und die von ihm eingesetzten Personen sind mitwirkende Personen im Sinne des § 203 Abs. 3 und 4 StGB. Der Anbieter verpflichtet sämtliche eingesetzten Personen vor Aufnahme ihrer Tätigkeit zur Geheimhaltung und belehrt sie über die Strafbarkeit einer unbefugten Offenbarung nach § 203 Abs. 4 StGB.
3. Der Anbieter nimmt geschützte Geheimnisse nur zur Kenntnis, soweit dies zur Vertragserfüllung erforderlich ist, und offenbart sie nicht unbefugt.
4. Zieht der Anbieter für solche Daten Unterauftragsverarbeiter hinzu (§ 6), verpflichtet er diese in gleicher Weise nach § 203 Abs. 4 StGB und stellt die Weitergabe dieser Pflichten in der Auftragskette sicher.

§ 5 Technische und organisatorische Maßnahmen

1. Der Anbieter trifft die in Anlage 1 beschriebenen technischen und organisatorischen Maßnahmen gemäß Art. 32 DSGVO und entwickelt sie entsprechend dem Stand der Technik fort. Die Maßnahmen dürfen fortgeschrieben werden, solange das vereinbarte Schutzniveau nicht unterschritten wird.
2. Wesentliche Änderungen dokumentiert der Anbieter und teilt sie dem Kunden auf Anfrage mit.

§ 6 Unterauftragsverarbeiter

1. Der Kunde erteilt die allgemeine Genehmigung zur Einschaltung der in Anlage 2 aufgeführten Unterauftragsverarbeiter.
2. Der Anbieter informiert den Kunden vorab in Textform über beabsichtigte Änderungen (Hinzuziehung oder Ersetzung von Unterauftragsverarbeitern). Der Kunde kann der Änderung innerhalb von vier Wochen aus wichtigem datenschutzrechtlichem Grund widersprechen. Kommt keine einvernehmliche Lösung zustande, kann jede Partei den Hauptvertrag zum Zeitpunkt des geplanten Einsatzes kündigen.
3. Der Anbieter verpflichtet Unterauftragsverarbeiter vertraglich mindestens auf das Datenschutzniveau dieses Vertrags. Bei Verarbeitung in einem Drittland stellt der Anbieter geeignete Garantien gemäß Kapitel V DSGVO sicher (insbesondere EU-Standardvertragsklauseln).
4. Kein KI-Training: Der Anbieter verwendet personenbezogene Daten des Kunden nicht zum Training, zur Feinabstimmung oder zur Verbesserung von KI-Modellen — weder eigener noch fremder — und setzt nur KI-Anbieter ein, die sich vertraglich verpflichten, übermittelte Inhalte nicht zu Trainingszwecken zu verwenden und nicht über die Auftragserfüllung hinaus zu speichern.
5. Eine mandantenübergreifende Auswertung von Kundendaten zu eigenen Zwecken des Anbieters findet nicht statt.

§ 7 Unterstützung des Kunden

1. Der Anbieter unterstützt den Kunden mit geeigneten technischen und organisatorischen Maßnahmen dabei, Anträge betroffener Personen auf Wahrnehmung ihrer Rechte (Art. 12 bis 23 DSGVO) zu beantworten.
2. Der Anbieter unterstützt den Kunden unter Berücksichtigung der Art der Verarbeitung und der ihm zur Verfügung stehenden Informationen bei der Einhaltung der Pflichten aus Art. 32 bis 36 DSGVO (Sicherheit der Verarbeitung, Meldung von Verletzungen, Datenschutz-Folgenabschätzung, vorherige Konsultation).

§ 8 Meldung von Verletzungen des Schutzes personenbezogener Daten

Der Anbieter meldet dem Kunden jede Verletzung des Schutzes personenbezogener Daten, die Daten des Kunden betrifft, unverzüglich nach Bekanntwerden. Die Meldung enthält, soweit bereits verfügbar, die Angaben nach Art. 33 Abs. 3 DSGVO (Art der Verletzung, betroffene Kategorien und ungefähre Zahl der Betroffenen, wahrscheinliche Folgen, ergriffene und vorgeschlagene Maßnahmen).

§ 9 Nachweise und Kontrollen

1. Der Anbieter stellt dem Kunden alle Informationen zur Verfügung, die zum Nachweis der Einhaltung der Pflichten aus Art. 28 DSGVO erforderlich sind.
2. Der Kunde kann Kontrollen — auch durch beauftragte Dritte, die nicht Wettbewerber des Anbieters sind — nach rechtzeitiger Ankündigung während der üblichen Geschäftszeiten durchführen. Der Anbieter kann Kontrollen vorrangig durch die Vorlage geeigneter Nachweise (etwa Berichte, Zertifikate oder Testate) erfüllen.

§ 10 Löschung und Rückgabe nach Auftragsende

1. Nach Beendigung des Hauptvertrags stellt der Anbieter dem Kunden die Daten gemäß der Exportregelung des Hauptvertrags (Export in einem gängigen, maschinenlesbaren Format, 30 Tage nach Vertragsende) zur Verfügung.
2. Nach Ablauf der Exportfrist löscht der Anbieter sämtliche personenbezogenen Daten des Kunden einschließlich vorhandener Kopien, soweit keine gesetzliche Aufbewahrungspflicht besteht. Die Löschung wird dem Kunden auf Anfrage in Textform bestätigt.

§ 11 Haftung, Schlussbestimmungen

1. Für die Haftung gelten Art. 82 DSGVO sowie die Haftungsregelungen des Hauptvertrags.
2. Bei Widersprüchen zwischen diesem Vertrag und dem Hauptvertrag gehen in Fragen des Datenschutzes die Regelungen dieses Vertrags vor.
3. Es gilt das Recht der Bundesrepublik Deutschland. Sollten einzelne Bestimmungen unwirksam sein oder werden, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt.