Vertrag über die Auftragsverarbeitung (AVV)

Stand: Juli 2026

Vertrag über die Auftragsverarbeitung gemäß Art. 28 Abs. 3 DSGVO für die Nutzung der FoodCoopApp Pro. Die Verwaltung einer FoodCoop bestätigt diesen Vertrag in der App, bevor personenbezogene Daten anderer Personen erfasst werden.

Diese Vereinbarung (nachfolgend „AVV“) konkretisiert die datenschutzrechtlichen Rechte und Pflichten der Parteien im Rahmen der Verarbeitung personenbezogener Daten, die der Auftragsverarbeiter im Auftrag des Verantwortlichen bei der Bereitstellung der Applikation „FoodCoopApp Pro“ und des zugehörigen zentralen Servers durchführt. Sie ist Bestandteil des zwischen den Parteien bestehenden Nutzungsvertrags (AGB FoodCoopApp Pro).

Verantwortlicher (Art. 4 Nr. 7 DSGVO): Die jeweilige FoodCoop (Lebensmittel-Einkaufsgemeinschaft), vertreten durch ihre in der App als „Verwaltung“ bezeichneten Mitglieder bzw. ihren rechtlichen Träger (z. B. eingetragener Verein, GbR oder juristische Person). Identifizierung und Kontaktdaten der konkreten FoodCoop ergeben sich aus dem in der App hinterlegten Mandantenprofil (Name der FoodCoop, Kontakt der Verwaltung).

Auftragsverarbeiter (Art. 4 Nr. 8 DSGVO): Bernd Lambrecht, Gartenstraße 38, 53773 Hennef (Sieg), Deutschland, Tel.: +49 2242 9017993 · E-Mail: bernd@lambrecht-su.de (nachfolgend „Anbieter“ oder „Auftragsverarbeiter“).

Verantwortlicher und Auftragsverarbeiter nachfolgend einzeln „Partei“ und gemeinsam „Parteien“.

Präambel

Der Anbieter stellt mit der FoodCoopApp Pro eine Applikation „App“ nebst zentralem Server bereit, mit der eine FoodCoop ihr gemeinschaftliches Bestell- und Abrechnungswesen organisiert. Die gemeinsamen Daten der FoodCoop werden hierzu in einer zentralen, mandantengetrennten Datenbank auf einem Server in Deutschland verarbeitet, damit mehrere Mitglieder gleichzeitig von ihren Endgeräten auf denselben Datenbestand zugreifen können. Datenschutzrechtlich Verantwortlicher für die dabei verarbeiteten Mitglieder- und Geschäftsdaten ist die jeweilige FoodCoop; der Anbieter wird insoweit ausschließlich weisungsgebunden als Auftragsverarbeiter tätig. Die kostenfreie Standalone-Version der App sowie die App „PlateRating“ sind nicht Gegenstand dieser Vereinbarung, da dort keine serverseitige Verarbeitung durch den Anbieter stattfindet. Ebenfalls nicht erfasst sind die optionalen KI-Funktionen mit eigenem API-Schlüssel; insoweit ist der Nutzer selbst Verantwortlicher gegenüber dem jeweiligen KI-Anbieter.

1. Gegenstand, Dauer und Konkretisierung des Auftrags

1.1 Gegenstand des Auftrags ist die Verarbeitung personenbezogener Daten durch den Auftragsverarbeiter im Auftrag des Verantwortlichen im Rahmen der Bereitstellung und des Betriebs der FoodCoopApp Pro einschließlich des zentralen Servers. Art und Zweck der Verarbeitung, die Art der personenbezogenen Daten und die Kategorien betroffener Personen ergeben sich abschließend aus Anlage 1.

1.2 Die Verarbeitung findet ausschließlich innerhalb der Europäischen Union bzw. des Europäischen Wirtschaftsraums statt. Eine Verarbeitung in einem Drittland findet im Rahmen dieses Auftrags nicht statt (§ 7).

1.3 Die Dauer dieses Auftrags entspricht der Laufzeit des Nutzungsvertrags über die FoodCoopApp Pro. Der Auftrag beginnt mit der wirksamen Einbeziehung dieser AVV (Ziffer 12) und endet mit Beendigung des Nutzungsverhältnisses der FoodCoop, ohne dass es einer gesonderten Kündigung dieser AVV bedarf.

1.4 Der Verantwortliche bleibt im Rahmen dieses Auftrags die für die Verarbeitung Verantwortliche Stelle im Sinne des Art. 4 Nr. 7 DSGVO. Er ist für die Rechtmäßigkeit der Verarbeitung, insbesondere für das Vorliegen einer Rechtsgrundlage sowie für die Information der betroffenen Personen nach Art. 13, 14 DSGVO, allein verantwortlich.

2. Weisungsrecht des Verantwortlichen

2.1 Der Auftragsverarbeiter verarbeitet die personenbezogenen Daten ausschließlich im Rahmen der getroffenen Vereinbarungen und nach dokumentierten Weisungen des Verantwortlichen, es sei denn, er ist nach dem Recht der Union oder der Mitgliedstaaten zur Verarbeitung verpflichtet (Art. 28 Abs. 3 lit. a DSGVO). In diesem Fall teilt der Auftragsverarbeiter dem Verantwortlichen die rechtlichen Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht dies nicht wegen eines wichtigen öffentlichen Interesses verbietet.

2.2 Die Weisungen werden anfänglich durch diese AVV und die zugehörigen Anlagen festgelegt und können vom Verantwortlichen danach in Textform oder in einem dokumentierten elektronischen Format (z. B. über die in der App bereitgestellten Verwaltungsfunktionen und Konfigurationseinstellungen) geändert, ergänzt oder ersetzt werden. Einzelweisungen außerhalb der App richtet der Verantwortliche an die in Ziffer 11 genannte Kontaktstelle.

2.3 Der Auftragsverarbeiter informiert den Verantwortlichen unverzüglich, wenn er der Auffassung ist, dass eine Weisung gegen datenschutzrechtliche Vorschriften verstößt (Art. 28 Abs. 3 S. 3 DSGVO). Der Auftragsverarbeiter ist berechtigt, die Umsetzung einer offensichtlich rechtswidrigen Weisung auszusetzen, bis sie vom Verantwortlichen bestätigt oder geändert wird.

2.4 Mündliche Weisungen bestätigt der Verantwortliche unverzüglich in Textform. Weisungen werden von beiden Parteien dokumentiert und für die Dauer ihrer Gültigkeit sowie anschließend für die Dauer der geltenden Verjährungsfristen aufbewahrt.

3. Pflichten des Auftragsverarbeiters

Der Auftragsverarbeiter gewährleistet insbesondere Folgendes:

4. Unterauftragsverarbeiter

4.1 Der Verantwortliche erteilt dem Auftragsverarbeiter die allgemeine Genehmigung zur Hinzuziehung weiterer Auftragsverarbeiter (Unterauftragsverarbeiter) im Sinne des Art. 28 Abs. 2 S. 2 DSGVO. Die zum Zeitpunkt des Vertragsschlusses eingesetzten Unterauftragsverarbeiter sind in Anlage 3 aufgeführt und gelten als genehmigt.

4.2 Der Auftragsverarbeiter informiert den Verantwortlichen über jede beabsichtigte Änderung in Bezug auf die Hinzuziehung oder Ersetzung von Unterauftragsverarbeitern (z. B. durch Aktualisierung von Anlage 3 in der App oder auf der Website mit Hinweis an die Verwaltung). Der Verantwortliche kann einer solchen Änderung innerhalb von zwei Wochen ab Information aus wichtigem, datenschutzbezogenem Grund widersprechen (Art. 28 Abs. 2 S. 1 DSGVO).

4.3 Widerspricht der Verantwortliche berechtigt und kann keine einvernehmliche Lösung gefunden werden, ist der Auftragsverarbeiter berechtigt, den betroffenen Teil der Leistung einzustellen; der Verantwortliche ist in diesem Fall zur außerordentlichen Kündigung des Nutzungsvertrags berechtigt.

4.4 Der Auftragsverarbeiter verpflichtet jeden Unterauftragsverarbeiter vertraglich zu denselben Datenschutzpflichten, die in dieser AVV festgelegt sind, insbesondere zu hinreichenden Garantien für geeignete technische und organisatorische Maßnahmen (Art. 28 Abs. 4 DSGVO). Kommt der Unterauftragsverarbeiter seinen Datenschutzpflichten nicht nach, haftet der Auftragsverarbeiter gegenüber dem Verantwortlichen für die Einhaltung der Pflichten des Unterauftragsverarbeiters.

4.5 Nicht als Unterauftragsverarbeitung im Sinne dieser Vorschrift gelten Nebenleistungen, die der Auftragsverarbeiter als Nebenleistung in Anspruch nimmt (z. B. Telekommunikationsleistungen, Post-/Transportdienstleistungen, Wartung und Benutzerservice), sowie die eigenverantwortliche Datenverarbeitung durch Dritte wie App-Store-Betreiber oder KI-Anbieter. Der Auftragsverarbeiter trifft insoweit angemessene Vorkehrungen zur Wahrung der Sicherheit der Daten.

5. Betroffenenrechte

5.1 Der Auftragsverarbeiter unterstützt den Verantwortlichen mit geeigneten technischen und organisatorischen Maßnahmen bei seiner Pflicht, Anträge betroffener Personen auf Wahrnehmung ihrer Rechte (Art. 12–23 DSGVO – insbesondere Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit und Widerspruch) zu beantworten, soweit dies angesichts der Art der Verarbeitung möglich ist (Art. 28 Abs. 3 lit. e) DSGVO).

5.2 Wendet sich eine betroffene Person unmittelbar an den Auftragsverarbeiter, leitet dieser das Anliegen unverzüglich an den Verantwortlichen weiter. Der Auftragsverarbeiter beantwortet solche Anfragen nicht selbstständig, es sei denn, er ist vom Verantwortlichen hierzu angewiesen worden.

5.3 Berichtigungen, Löschungen und Einschränkungen von Daten nimmt der Auftragsverarbeiter nur auf Weisung des Verantwortlichen vor. Soweit dem Verantwortlichen die Ausübung dieser Rechte über die Verwaltungsfunktionen der App selbst möglich ist, nimmt er diese eigenständig vor.

6. Meldung von Verletzungen des Schutzes personenbezogener Daten

6.1 Der Auftragsverarbeiter meldet dem Verantwortlichen jede ihm bekannt gewordene Verletzung des Schutzes personenbezogener Daten, die im Rahmen dieses Auftrags verarbeitete Daten betrifft, unverzüglich – in der Regel innerhalb von 48 Stunden nach Bekanntwerden. Die Meldung erfolgt an die vom Verantwortlichen hinterlegte Kontaktadresse.

6.2 Die Meldung enthält, soweit verfügbar, mindestens eine Beschreibung der Art der Verletzung einschließlich der betroffenen Kategorien und der ungefähren Zahl betroffener Personen und Datensätze, die wahrscheinlichen Folgen, die ergriffenen oder vorgeschlagenen Maßnahmen zur Behebung und Schadensbegrenzung sowie eine Kontaktstelle für weitere Informationen.

6.3 Der Auftragsverarbeiter unterstützt den Verantwortlichen bei dessen Melde- und Benachrichtigungspflichten nach Art. 33 und 34 DSGVO. Die Beurteilung, ob eine Meldung an die Aufsichtsbehörde oder eine Benachrichtigung betroffener Personen erforderlich ist, obliegt dem Verantwortlichen.

7. Ort der Verarbeitung, keine Drittlandübermittlung

7.1 Die Verarbeitung der personenbezogenen Daten im Rahmen dieses Auftrags erfolgt ausschließlich in einem Rechenzentrum innerhalb der Bundesrepublik Deutschland. Eine Verlagerung der Verarbeitung in ein Drittland außerhalb der EU/des EWR bedarf der vorherigen Zustimmung des Verantwortlichen und ist nur unter Einhaltung der Voraussetzungen der Art. 44 ff. DSGVO zulässig.

7.2 Die optionalen KI-Funktionen, bei denen Daten in ein Drittland (USA) gelangen können, erfolgen ausschließlich im Verantwortungsbereich des Nutzers und unmittelbar zwischen dessen Endgerät und dem KI-Anbieter. Sie sind nicht Gegenstand dieser Auftragsverarbeitung; der Auftragsverarbeiter überträgt insoweit selbst keine Daten.

8. Nachweis- und Kontrollrechte

8.1 Der Auftragsverarbeiter stellt dem Verantwortlichen alle erforderlichen Informationen zum Nachweis der Einhaltung der in Art. 28 DSGVO und dieser AVV niedergelegten Pflichten zur Verfügung (Art. 28 Abs. 3 lit. h DSGVO). Der Nachweis der technischen und organisatorischen Maßnahmen kann durch aktuelle Testate, Berichte oder Berichtsauszüge unabhängiger Instanzen, geeignete Zertifizierungen (z. B. nach ISO/IEC 27001) oder – bezogen auf das Hosting – durch entsprechende Nachweise des Unterauftragsverarbeiters geführt werden.

8.2 Der Verantwortliche ist berechtigt, sich vor Beginn der Verarbeitung und danach in angemessenen Abständen von der Einhaltung der technischen und organisatorischen Maßnahmen zu überzeugen. Überprüfungen erfolgen vorrangig auf Grundlage der vorgelegten Nachweise. Soweit dies im Einzelfall nicht ausreicht, ermöglicht der Auftragsverarbeiter Überprüfungen – einschließlich Inspektionen – durch den Verantwortlichen oder einen von diesem beauftragten, zur Verschwiegenheit verpflichteten Prüfer.

8.3 Inspektionen sind mit angemessener Vorankündigung (in der Regel mindestens zwei Wochen), zu den üblichen Geschäftszeiten und ohne Störung des Betriebsablaufs durchzuführen. Der durch eine Vor-Ort-Prüfung beim Auftragsverarbeiter entstehende angemessene Aufwand kann dem Verantwortlichen in Rechnung gestellt werden, sofern die Prüfung nicht durch einen konkreten Anlass (z. B. eine Datenschutzverletzung) veranlasst ist.

9. Löschung und Rückgabe nach Beendigung

9.1 Nach Abschluss der Verarbeitung löscht der Auftragsverarbeiter sämtliche im Auftrag verarbeiteten personenbezogenen Daten oder gibt sie – nach Wahl des Verantwortlichen – zurück, sofern nicht nach dem Recht der Union oder der Mitgliedstaaten eine Verpflichtung zur Speicherung besteht (Art. 28 Abs. 3 lit. g) DSGVO).

9.2 Vor der Löschung stellt der Auftragsverarbeiter dem Verantwortlichen die Möglichkeit bereit, eine vollständige, maschinenlesbare und wieder-importierbare Sicherung sämtlicher Daten herunterzuladen. Nach dauerhafter Einstellung der Pro-Nutzung werden die zentralen Daten der FoodCoop nach einer angemessenen Frist gelöscht.

9.3 Endet lediglich das Abonnement eines einzelnen Mitglieds, während die FoodCoop fortbesteht, bleiben die Daten der FoodCoop erhalten; es wird lediglich der Zugriff des betroffenen Geräts eingeschränkt.

9.4 Die Löschung ist dem Verantwortlichen auf Anforderung in geeigneter Weise zu bestätigen. Bestehende gesetzliche Aufbewahrungspflichten des Verantwortlichen bleiben unberührt.

10. Haftung

Für die Haftung der Parteien gilt Art. 82 DSGVO. Im Innenverhältnis richtet sich die Verteilung der Haftung nach dem jeweiligen Verantwortungsbeitrag der Parteien. Im Übrigen gelten die Haftungsregelungen des zugrunde liegenden Nutzungsvertrags (AGB FoodCoopApp Pro), soweit sie den zwingenden Vorgaben der DSGVO nicht entgegenstehen.

11. Kontaktstellen

Kontaktstelle beim Auftragsverarbeiter für alle Fragen zum Datenschutz und zu dieser AVV:

Bernd Lambrecht, Gartenstraße 38, 53773 Hennef (Sieg), E-Mail: bernd@lambrecht-su.de.

Kontaktstelle beim Verantwortlichen ist die in der App als „Verwaltung“ der FoodCoop hinterlegte Person bzw. die von der FoodCoop benannte Stelle.

12. Zustandekommen, Form und Schlussbestimmungen

12.1 Diese AVV kommt elektronisch zustande. Die Verwaltung der FoodCoop bestätigt sie vor der ersten Erfassung personenbezogener Daten anderer Personen in der Pro-Version durch aktive Bestätigung in der App (In-App-Bestätigung, z. B. durch Setzen eines Häkchens und Betätigen der Schaltfläche „Auftragsverarbeitungsvertrag abschließen“). Der Auftragsverarbeiter protokolliert Zeitpunkt und Fassung der Bestätigung und stellt der Verwaltung den vollständigen Vertragstext auf einem dauerhaften Datenträger (z. B. als speicherbares PDF in der App oder per E-Mail) zur Verfügung. Die elektronische Bestätigung genügt der Form des Art. 28 Abs. 9 DSGVO (elektronisches Format).

12.2 Die Person, die die AVV für die FoodCoop bestätigt, sichert zu, zur Vertretung der FoodCoop bzw. ihres rechtlichen Trägers berechtigt zu sein.

12.3 Änderungen und Ergänzungen dieser AVV sowie ihrer Anlagen bedürfen der Textform. Bei Widersprüchen zwischen dieser AVV und dem Nutzungsvertrag gehen die Regelungen dieser AVV in datenschutzrechtlichen Fragen vor.

12.4 Sollten einzelne Bestimmungen dieser AVV unwirksam sein oder werden, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt. Es gilt das Recht der Bundesrepublik Deutschland unter Ausschluss des UN-Kaufrechts. Ausschließlicher Gerichtsstand ist Hennef (Sieg).

Anlage 1 – Gegenstand und Einzelheiten der Verarbeitung

1. Art und Zweck der Verarbeitung

Bereitstellung und Betrieb der FoodCoopApp Pro einschließlich des zentralen, mandantengetrennten Servers zur Abwicklung des gemeinschaftlichen Bestell- und Abrechnungswesens einer FoodCoop, insbesondere: zentrale Speicherung und Synchronisierung der gemeinsamen Daten, Durchführung von Bestellrunden, Lieferkontrolle, Abrechnung, Kassenbuchführung, Abholorganisation sowie Prüfung des Abo-Status je Gerät.

2. Kategorien betroffener Personen

3. Kategorien personenbezogener Daten

Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO) sind nicht Gegenstand des Auftrags. Der Verantwortliche stellt sicher, dass solche Daten nicht in der Pro-Version erfasst werden.

4. Rechtsgrundlagen (im Verhältnis Verantwortlicher und betroffene Personen)

Regelmäßig Art. 6 Abs. 1 S. 1 lit. b) DSGVO (Mitgliedschafts- bzw. Bestellverhältnis) sowie Art. 6 Abs. 1 S. 1 lit. c) DSGVO hinsichtlich gesetzlicher Aufbewahrungspflichten der FoodCoop (z. B. § 257 HGB, § 147 AO). Die Bestimmung und Dokumentation der Rechtsgrundlage obliegt dem Verantwortlichen.

Anlage 2 – Technische und Organisatorische Maßnahmen, TOMs (Art. 32 DSGVO)

Die nachfolgenden Maßnahmen orientieren sich am Stand der Technik sowie an den einschlägigen Empfehlungen und Bausteinen des Bundesamts für Sicherheit in der Informationstechnik (BSI) für die sichere Entwicklung und den Betrieb mobiler Anwendungen – insbesondere den Prüfaspekten des BSI-Projekts zur App-Sicherheit („BSI-Mindeststandard“ / BSI-Baustein APP.1.4 „Mobile Anwendungen (Apps)“ des IT-Grundschutz-Kompendiums sowie der OWASP-MASVS-Anlehnung). Sie werden fortlaufend an die technologische Entwicklung angepasst.

1. Vertraulichkeit – Zutritts-, Zugangs- und Zugriffskontrolle

2. Vertraulichkeit & Integrität – Übertragungs- und Eingabekontrolle

3. Verfügbarkeit und Belastbarkeit

4. Mandantentrennung und Zweckbindung

5. Sichere App-Entwicklung und Betrieb (BSI APP.1.4 / SDLC)

6. Organisatorische Maßnahmen

Anlage 3 – Genehmigte Unterauftragsverarbeiter

Der Verantwortliche genehmigt zum Zeitpunkt des Vertragsschlusses die Hinzuziehung des folgenden Unterauftragsverarbeiters (§ 4 dieser AVV):

Hinweis zu Empfängern in eigener Verantwortlichkeit (keine Unterauftragsverarbeiter)

Folgende Stellen verarbeiten personenbezogene Daten unabhängig vom Anbieter und in eigener datenschutzrechtlicher Verantwortlichkeit; sie sind keine Unterauftragsverarbeiter im Sinne dieser AVV: