Auftragsverarbeitungsvertrag (AVV)
Vereinbarung über die Verarbeitung personenbezogener Daten im Auftrag gemäß Art. 28 Abs. 3 DSGVO · Version 1.0
Vertragsparteien
Verantwortlicher (Auftraggeber): die jeweilige PSNV-Einheit, vertreten durch ihre Koordination/Leitung – bezeichnet beim elektronischen Abschluss im Koordinations-Backend.
Auftragsverarbeiter (Auftragnehmer): Jan Hoffmann, LL.M., MBA, Lange Str. 96, 26954 Nordenham („Betreiber", siehe Impressum).
§ 1 Gegenstand und Dauer
Der Betreiber stellt der Einheit die Plattform PSNV.app (App und Koordinations-Backend) bereit und verarbeitet dabei personenbezogene Daten im Auftrag der Einheit. Der Vertrag beginnt mit dem elektronischen Abschluss im Backend und läuft, solange die Einheit die Plattform nutzt. Die Kündigung erfolgt formlos durch Austritt der Einheit (Löschung im Backend).
§ 2 Art, Zweck und Umfang der Verarbeitung
Zweck: Einsatzunterstützung der Psychosozialen Notfallversorgung – Mitglieder- und Geräteverwaltung, Bereitstellung einheitseigener Inhalte und Kontakte, Entgegennahme pseudonymisierter Einsatzberichte, Peer-Benachrichtigungen, Versand von Info-Seiten an Betroffene.
Datenarten:
- Mitgliedsdaten: Name/Rufname, optional E-Mail, optional Telefonnummer (verschlüsselt gespeichert)
- Zugangsdaten: Geräte-Token (nur als Hash), Einladungs-Token (nur als Hash), bei Koordinationen Passwort-Hash (Argon2id) und 2FA-Geheimnisse (verschlüsselt)
- Einsatzberichte: pseudonymisiert (Anlass, Zeit, Gemeinde/Stadtteil, Kategorien) – konzeptionell ohne Namen oder Adressen Betroffener; freiwillig übertragene Einsatzfotos
- Peer-Anfragen: Name, Zeitpunkt, optionaler Freitext (transient, keine Speicherung der Anfrage)
- Versandnachweise: ausschließlich gesalzene Empfänger-Hashes, automatische Löschung nach 7 Tagen
Betroffene Personen: Mitglieder und Koordinationen der Einheit; mittelbar Empfänger:innen von Info-Seiten (keine Speicherung ihrer Adressen).
§ 3 Weisungsrecht
Der Betreiber verarbeitet die Daten ausschließlich im Rahmen dieses Vertrags und der über die Plattform-Funktionen erteilten dokumentierten Weisungen der Einheit. Hält der Betreiber eine Weisung für datenschutzwidrig, informiert er die Einheit unverzüglich.
§ 4 Vertraulichkeit
Der Betreiber verpflichtet alle mit der Verarbeitung befassten Personen auf die Vertraulichkeit (Art. 28 Abs. 3 lit. b DSGVO).
§ 5 Technische und organisatorische Maßnahmen (Art. 32 DSGVO)
- Transportverschlüsselung (TLS) für sämtliche Verbindungen; HSTS und Content-Security-Policy
- Passwort-Hashing (Argon2id), verpflichtende TOTP-2FA für Koordinationszugänge
- Token ausschließlich als SHA-256-Hashes; Telefonnummern feldverschlüsselt
- Strikte Mandantentrennung (Global Scopes, Policies, automatisierte Tests)
- Datenminimierung by Design: keine Klarnamen/Adressen Betroffener, Selbstchecks nur lokal auf den Geräten, Empfänger-Hashes mit automatischem Purge
- Server in Deutschland; Zugriff nur über schlüsselbasierte Administration
- Keine Drittland-Übermittlung, keine externen Dienste/CDNs, kein Tracking
§ 6 Unterauftragsverarbeiter
Der Betreiber setzt derzeit keine Unterauftragsverarbeiter ein; Hosting und Betrieb erfolgen auf eigener Infrastruktur in Deutschland. Der Einsatz künftiger Unterauftragsverarbeiter wird der Einheit vorab mitgeteilt; sie kann aus wichtigem datenschutzrechtlichem Grund widersprechen.
§ 7 Unterstützung der Einheit
Der Betreiber unterstützt die Einheit bei der Erfüllung von Betroffenenrechten (Art. 12–23 DSGVO) sowie bei den Pflichten aus Art. 32–36 DSGVO (Sicherheit, Meldung von Verletzungen, Datenschutz-Folgenabschätzung), soweit die Daten im Auftrag verarbeitet werden. Verletzungen des Schutzes personenbezogener Daten meldet der Betreiber der Einheit unverzüglich.
§ 8 Löschung und Rückgabe
Nach Ende der Nutzung werden die im Auftrag verarbeiteten Daten der Einheit gelöscht, soweit keine gesetzlichen Aufbewahrungspflichten bestehen. Die Einheit kann ihre Berichte vor dem Austritt selbst exportieren (CSV).
§ 9 Nachweise und Kontrollen
Der Betreiber stellt der Einheit die zum Nachweis der Pflichten aus Art. 28 DSGVO erforderlichen Informationen zur Verfügung (insbesondere diese Vereinbarung, die Datenschutzhinweise und die dokumentierten Maßnahmen) und ermöglicht angemessene Überprüfungen.
§ 10 Schlussbestimmungen
Es gilt deutsches Recht. Der elektronische Abschluss im Koordinations-Backend (dokumentiert mit Zeitstempel, Einheit, abschließender Person und Vertragsversion) ersetzt die Schriftform gemäß Art. 28 Abs. 9 DSGVO (elektronisches Format).
Version 1.0 · Stand 16.08.2026