Vertrag zur Auftragsverarbeitung (AVV)
nach Art. 28 DSGVO zwischen dem Kunden (nachfolgend „Verantwortlicher") und Max Coja – Coja Software & Consulting, Ibbenbürener Straße 91, 49509 Recke (nachfolgend „Auftragsverarbeiter"). Dieser Vertrag konkretisiert die datenschutzrechtlichen Pflichten der Parteien im Rahmen der Nutzung von ContactBridge.
§ 1 Gegenstand und Dauer
(1) Gegenstand ist die Verarbeitung personenbezogener Kontaktdaten durch den Auftragsverarbeiter im Auftrag des Verantwortlichen zum Zweck der Synchronisation zwischen Microsoft Outlook und Google Kontakte.
(2) Die Dauer entspricht der Laufzeit des zugrunde liegenden Nutzungsvertrags. Der Vertrag endet automatisch mit dessen Beendigung.
§ 2 Art, Umfang und Zweck; Art der Daten; Betroffene
(1) Art und Zweck: Speicherung, Abgleich und Übermittlung von Kontaktdaten zur bidirektionalen Synchronisation zwischen den vom Verantwortlichen verbundenen Konten.
(2) Art der Daten: Stammdaten von Kontakten (u. a. Name, Firma, Telefonnummern, E-Mail-Adressen, Anschriften) sowie zur Verbindung erforderliche technische Daten (verschlüsselt gespeicherte Zugriffstoken).
(3) Kategorien betroffener Personen: die im Adressbuch des Verantwortlichen gespeicherten Personen (z. B. Kunden, Interessenten, Geschäftspartner, Mitarbeiter).
§ 3 Pflichten des Auftragsverarbeiters
(1) Der Auftragsverarbeiter verarbeitet die Daten ausschließlich weisungsgebunden im Rahmen des Vertrags.
(2) Er verpflichtet die zur Verarbeitung befugten Personen zur Vertraulichkeit (Art. 28 Abs. 3 lit. b DSGVO).
(3) Er trifft die erforderlichen technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO (§ 4).
(4) Er unterstützt den Verantwortlichen bei der Beantwortung von Anträgen betroffener Personen sowie bei der Einhaltung der Pflichten nach Art. 32–36 DSGVO.
(5) Er meldet Verletzungen des Schutzes personenbezogener Daten unverzüglich nach Bekanntwerden an den Verantwortlichen.
§ 4 Technisch-organisatorische Maßnahmen (Art. 32 DSGVO)
Der Auftragsverarbeiter setzt insbesondere folgende Maßnahmen um:
• Verschlüsselung der gespeicherten Zugriffstoken (AES-256-GCM) sowie Transportverschlüsselung
(TLS/HTTPS) für sämtliche Datenübertragungen;
• Zugriffsschutz durch Authentifizierung und Mandantentrennung (jeder Kunde greift nur auf
eigene Daten zu);
• Minimierung der Berechtigungen gegenüber Drittdiensten (nur der Scope „Kontakte");
• Serverstandort innerhalb der Europäischen Union (Deutschland).
Eine detaillierte Auflistung der TOM wird auf Anfrage bereitgestellt und ist vor Go-Live zu vervollständigen.
§ 5 Unterauftragsverarbeiter
Der Verantwortliche stimmt dem Einsatz folgender Unterauftragsverarbeiter zu:
• Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, Deutschland
(Serverbetrieb/Hosting der Anwendung, Serverstandort Deutschland);
• Google Ireland Ltd. / Google LLC — Bereitstellung der Google People API
als Synchronisationsziel des vom Verantwortlichen verbundenen Google-Kontos.
Die Zahlungsabwicklung erfolgt über Stripe; hierbei verarbeitet Stripe Zahlungsdaten als eigenständig Verantwortlicher. Kontaktdaten der betroffenen Personen werden nicht an Stripe übermittelt.
§ 6 Rechte der betroffenen Personen
Der Auftragsverarbeiter unterstützt den Verantwortlichen mit geeigneten Maßnahmen bei der Erfüllung von Auskunfts-, Berichtigungs-, Löschungs- und sonstigen Betroffenenrechten. Wendet sich eine betroffene Person direkt an den Auftragsverarbeiter, leitet dieser das Anliegen unverzüglich an den Verantwortlichen weiter.
§ 7 Löschung und Rückgabe
Nach Beendigung des Vertrags löscht der Auftragsverarbeiter die verarbeiteten Daten, einschließlich der gespeicherten Zugriffstoken und Synchronisationsdaten, sofern keine gesetzliche Aufbewahrungspflicht entgegensteht. Auf Wunsch erfolgt zuvor eine Rückgabe in einem gängigen Format.
§ 8 Nachweise und Kontrollen
Der Auftragsverarbeiter stellt dem Verantwortlichen die zum Nachweis der Einhaltung der Pflichten nach Art. 28 DSGVO erforderlichen Informationen zur Verfügung und ermöglicht angemessene Überprüfungen.
§ 9 Schlussbestimmungen
Es gilt deutsches Recht. Sollten einzelne Bestimmungen unwirksam sein, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt. Änderungen bedürfen der Textform.
Stand: Juli 2026