Auftragsverarbeitungsvereinbarung (AVV)

Standardfassung der Replya GmbH gemäß Art. 28 DSGVO

Fassung 2.0 · Stand: 2. Juni 2026

Geltung, Vertragsschluss und Fassung

Diese Auftragsverarbeitungsvereinbarung (nachfolgend „AVV“ oder „Vertrag“) regelt die datenschutzrechtlichen Rechte und Pflichten der Parteien im Rahmen des zwischen ihnen geschlossenen Vertrages über die Bereitstellung und den Betrieb des Nachrichtendienstes „Replya Messenger“ (nachfolgend „Hauptvertrag“).

Auftragnehmer (Auftragsverarbeiter) ist die

Replya GmbH, Im Mittelfeld 4–6, 63500 Seligenstadt (HRB 58075, Amtsgericht Offenbach; USt-IdNr. DE455983516)

Auftraggeber (Verantwortlicher) ist das Unternehmen, das mit dem Auftragnehmer einen Hauptvertrag über die Nutzung des Replya Messenger schließt. Die Identität des Auftraggebers sowie seine Kontakt-, Melde- und Rechnungsdaten ergeben sich aus dem Hauptvertrag bzw. aus den im Kundenkonto hinterlegten Angaben. Auftraggeber und Auftragnehmer werden nachfolgend gemeinsam auch „Vertragsparteien“ genannt.

Diese AVV ist Bestandteil des Hauptvertrages und wird mit dessen Abschluss verbindlich einbezogen. Sie wird gemäß Art. 28 Abs. 9 DSGVO in elektronischer Form geschlossen; eine gesonderte Unterzeichnung ist nicht erforderlich. Auf Wunsch – insbesondere bei größeren oder individuell verhandelten Vertragsverhältnissen – stellt der Auftragnehmer eine individuell unterzeichnete Fassung dieser AVV bereit ( datenschutz@replya.de ).

Es gilt jeweils die unter replya.de/avv veröffentlichte Fassung in der zum Zeitpunkt des Vertragsschlusses gültigen Version. Zur Änderung der Fassung siehe Ziffer 10.6.

1. Präambel

Soweit die vom Auftragnehmer zu erbringenden Leistungen die Verarbeitung von personenbezogenen Daten umfassen bzw. erfordern, erfolgt die Verarbeitung dieser Daten ausschließlich auf der Grundlage dieser AVV gemäß Art. 28 der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung, nachfolgend „DSGVO“). Sie findet Anwendung auf Tätigkeiten, bei denen Mitarbeiter des Auftragnehmers oder durch den Auftragnehmer beauftragte Dritte mit personenbezogenen Daten des Auftraggebers in Berührung kommen können.

2. Definitionen

2.1. Personenbezogene Daten. Personenbezogene Daten sind alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen, vgl. Art. 4 Nr. 1 DSGVO.

2.2. Datenverarbeitung im Auftrag. Datenverarbeitung im Auftrag ist die Verarbeitung personenbezogener Daten durch den Auftragsverarbeiter (Auftragnehmer) nach Weisung und im Auftrag des Verantwortlichen (Auftraggeber).

2.3. Subunternehmer. Als Auftragnehmer des Auftragsverarbeiters im Sinne der DSGVO ist der Subunternehmer ein „weiterer Auftragsverarbeiter“, vgl. Art. 28 Abs. 4 DSGVO.

2.4. Weisung. Weisung ist die auf einen bestimmten datenschutzmäßigen Umgang (zum Beispiel Anonymisierung, Sperrung, Löschung, Herausgabe) des Auftragnehmers mit personenbezogenen Daten gerichtete Anordnung des Auftraggebers. Die Weisungen werden anfänglich durch den Hauptvertrag und diese AVV festgelegt; der Auftraggeber hat ein Weisungsrecht im Rahmen dieser vereinbarten Leistung.

3. Gegenstand, Dauer, Art, Umfang und Ort

3.1. Der Auftragnehmer verarbeitet personenbezogene Daten im Auftrag des Auftraggebers ausschließlich zum Zweck der Erbringung der Dienstleistungen, die vom Auftragnehmer zur Erfüllung des Hauptvertrages zu erbringen sind und die im Hauptvertrag weiter konkretisiert sind. Ergänzend gelten die Bestimmungen des Hauptvertrages, wobei die Bestimmungen dieses Vertrages hinsichtlich der Datenverarbeitungsvorgänge vorrangig sind.

3.2. Die Dauer der Auftragsverarbeitung entspricht der Dauer des Hauptvertrages.

3.3. Soweit der Hauptvertrag keine Regelungen zur Vertragsdauer enthält, gilt Folgendes: Dieser Vertrag beginnt mit Abschluss des Hauptvertrages und wird auf unbestimmte Zeit geschlossen. Er ist mit einer Frist von 6 Monaten zum Jahresende kündbar.

3.4. Das Recht zur fristlosen Kündigung aus wichtigem Grund bleibt unberührt. Der Auftraggeber kann den Vertrag außerdem jederzeit ohne Einhaltung einer Frist kündigen, wenn ein schwerwiegender Verstoß des Auftragnehmers gegen die Bestimmungen der DSGVO oder dieser Vereinbarung vorliegt, der Auftragnehmer eine Weisung des Auftraggebers nicht ausführen kann oder will oder der Auftragnehmer den Zutritt des Auftraggebers oder dessen Datenschutzbeauftragten oder der Beauftragten der Revision vertragswidrig verweigert.

3.5. Der Gegenstand, Zweck und Umfang der vereinbarten Datenverarbeitung ergibt sich aus dem Hauptvertrag, bzw. ergänzend wie folgt: Bereitstellung und Betrieb des Nachrichtendienstes „Replya Messenger“ zur vereinfachten und zentralisierten Kommunikation zwischen dem Auftraggeber und dessen Kunden über WhatsApp. Die Leistung umfasst insbesondere:

Verwaltung und Verarbeitung von Kundenkommunikation (Text, Medien, Dokumente),

Bereitstellung eines Multi-User-Systems (Nutzerverwaltung, Rollen, Rechte),

sichere Speicherung, Verarbeitung und Synchronisation der Kommunikationsdaten,

Bereitstellung einer Web-Applikation und APIs zur Nutzung des Systems,

Logging, Protokollierung und Monitoring der System- und Kommunikationsvorgänge,

Nutzung der WhatsApp Business API über Meta,

Serverhosting, Datenspeicherung und Infrastruktur über Hetzner (Deutschland/EU).

3.6. Die Kategorien der betroffenen Personen umfassen:

Kunden, Interessenten des Auftraggebers

Mitarbeitende des Auftraggebers

Administratoren / Systemnutzer

3.7. Die Datenverarbeitung umfasst folgende Arten von Daten:

Personenstammdaten (Name, Profilinformationen)

Mobile Telefonnummer

WhatsApp Accountname

Kommunikation (Anfragen, ggf. besondere personenbezogene Daten, Medien wie Bilder, PDFs, Anhänge)

System- und Protokolldaten (Logins, IP-Adressen, Geräteinformationen, Aktivitätslogs)

3.8. Die Datenerhebung, -verarbeitung und -nutzung durch den Auftragnehmer erfolgt ausschließlich auf dem Gebiet der Bundesrepublik Deutschland, in einem Mitgliedstaat der Europäischen Union oder in einem anderen Vertragsstaat des Abkommens über den Europäischen Wirtschaftsraum. Eine Verlagerung in ein Drittland darf nur erfolgen, wenn dies nach Art. 44 ff. DSGVO zulässig und vom Auftraggeber vorab schriftlich zugestimmt worden ist. Weitergehende Pflichten, Auflagen und Vorbehalte im Zusammenhang mit einer Tätigkeitsverlagerung, insbesondere infolge von Subdelegation, gemäß dem Hauptvertrag bleiben unberührt.

3.9. Soweit der Auftragnehmer für den Auftraggeber Wartungsarbeiten an IT-Systemen durchführt, gelten zusätzlich folgende Vereinbarungen:

3.9.1. Der Auftragnehmer darf im Rahmen der Wartung nur auf personenbezogene Daten des Auftraggebers zugreifen, wenn dies für die Durchführung der Wartung erforderlich ist. Es ist dem Auftragnehmer bei der Wartung untersagt, personenbezogene Daten des Auftraggebers auf eigenen IT-Systemen oder Datenträgern zu speichern, es sei denn der Auftraggeber weist ihn hierzu an.

3.9.2. Fernwartungsarbeiten hat der Auftragnehmer dem Auftraggeber im Vorfeld anzukündigen. Der Auftraggeber ist berechtigt, die Durchführung der Fernwartung mitzuverfolgen. Auf Anfrage und soweit erforderlich, wirkt der Auftragnehmer an der Konfiguration technischer Kontrolleinrichtungen mit.

3.9.3. Die Fernwartung ist nur von Geschäftsräumen des Auftragnehmers aus zulässig. Notwendige Datenübertragungen zu Zwecken der Fernwartung müssen in hinreichend verschlüsselter Form erfolgen. Der Auftragnehmer verwendet nach dem Stand der Technik hinreichend sichere Authentisierungsverfahren.

4. Pflichten des Auftragnehmers

4.1. Der Auftragnehmer darf personenbezogene Daten nur im Rahmen der Weisungen des Auftraggebers verarbeiten, es sei denn, es liegt ein Ausnahmefall im Sinne des Art. 28 Abs. 3 a) DSGVO vor. Der Auftragnehmer informiert den Auftraggeber unverzüglich, wenn er der Auffassung ist, dass eine Weisung gegen anwendbare Gesetze verstößt. Die Weisungen werden anfänglich durch den Vertrag festgelegt und können vom Auftraggeber danach in schriftlicher Form oder in einem elektronischen Format (Textform) an die vom Auftragnehmer bezeichnete Stelle durch einzelne Weisungen geändert, ergänzt oder ersetzt werden (Einzelweisung). Mündliche Weisungen sind anschließend vom Verantwortlichen zu dokumentieren. Der Auftragnehmer befolgt außerdem die internen Arbeitsanweisungen/Richtlinien des Auftraggebers, die dem Auftragnehmer bekannt sind. Im Fall von Widersprüchen zwischen den Weisungen und den Arbeitsanweisungen sind die Einzelanweisungen vorrangig.

4.2. Der Auftragnehmer sichert in seinem Verantwortungsbereich die Umsetzung und Einhaltung der vereinbarten technischen und organisatorischen Maßnahmen (TOM) entsprechend Art. 32 DSGVO zu. Insgesamt handelt es sich bei den zu treffenden Maßnahmen um Maßnahmen der Datensicherheit und zur Gewährleistung eines dem Risiko angemessenen Schutzniveaus hinsichtlich der Vertraulichkeit, der Integrität, der Verfügbarkeit sowie der Belastbarkeit der Systeme. Insbesondere wird der Auftragnehmer seine innerbetriebliche Organisation so gestalten, dass sie den besonderen Anforderungen des Datenschutzes gerecht wird. Zudem unterstützt er den Auftraggeber bei der Einhaltung der in Art. 32 DSGVO genannten Pflichten (Art. 28 Abs. 3 lit. c, f DSGVO). Der Auftragnehmer stellt sicher, dass er oder seine etwaigen Subunternehmer zur Erbringung der Dienstleistung die Verarbeitung und Speicherung von Anwendungen und schutzwürdigen Daten in virtuellen Netzwerken (z. B. in Form des Cloud Computing) nur mit vorheriger Zustimmung des Auftraggebers vornehmen.

4.3. Der Auftragnehmer bietet nach Maßgabe des Art. 28 Abs. 1, 5 DSGVO hinreichende Garantien dafür, dass die geeigneten technischen und organisatorischen Maßnahmen durchgeführt werden, die gewährleisten, dass die Verarbeitung im Einklang mit der DSGVO und den Rechten der betroffenen Person steht. Dazu hat er ein umfassendes und aktuelles Datenschutz- und Datensicherheitskonzept für diese Auftragsverarbeitung erstellt (Anlage 1). Der Auftragnehmer ist verpflichtet, dieses Datenschutz- und Datensicherheitskonzept zu pflegen und fortlaufend zu aktualisieren, wobei das vereinbarte Schutzniveau nicht unterschritten werden darf. Eine Beschreibung des Datenschutz- und Datensicherheitskonzepts ist als Anlage 1 Bestandteil dieser Vereinbarung.

4.4. Der Auftragnehmer wirkt nach Maßgabe des Art. 28 Abs. 3 lit. f DSGVO kostenfrei bei der Erstellung einer Datenschutz-Folgenabschätzung gemäß Art. 35 DSGVO und ggf. bei der vorherigen Konsultation der Aufsichtsbehörden gemäß Art. 36 DSGVO mit. Zudem hat der Auftragnehmer kostenfrei auf Anfrage an der Erstellung und der Aktualisierung des Verfahrensverzeichnisses des Auftraggebers mitzuwirken, soweit es die Dokumentation der technischen und organisatorischen Sicherheitsmaßnahmen betrifft. Er hat dem Auftraggeber die erforderlichen Angaben und Dokumente auf Anfrage offen zu legen.

4.5. Der Auftragnehmer ist außerdem verpflichtet, mitarbeiterbezogene oder -beziehbare Daten von Mitarbeitern des Auftraggebers und seiner verbundenen Unternehmen nicht zur Leistungs- oder Verhaltenskontrolle und nicht zu anderen Zwecken und in anderen Anwendungen zu verarbeiten als mit den Mitbestimmungsgremien des Auftraggebers vereinbart. Der Auftraggeber wird den Auftragnehmer über etwaige einschlägige Vereinbarungen mit den Mitbestimmungsgremien und den daraus resultierenden Anforderungen umfassend informieren; im Fall von Widersprüchen mit diesem Vertrag informiert der Auftragnehmer den Auftraggeber unverzüglich und dieser erteilt eine entsprechende Weisung.

4.6. Der Auftragnehmer gewährleistet, dass es den mit der Verarbeitung der Daten des Auftraggebers befassten Mitarbeitern und anderen für den Auftragnehmer tätigen Personen untersagt ist, die Daten außerhalb der Weisung zu verarbeiten. Ferner gewährleistet der Auftragnehmer, dass sich die zur Verarbeitung der personenbezogenen Daten befugten Personen zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen. Die Vertraulichkeits-/Verschwiegenheitspflicht besteht auch nach Beendigung des Auftrages fort. Auf Verlangen des Auftraggebers ist die jeweilige Verpflichtung der mit der Verarbeitung der Daten des Auftraggebers befassten Mitarbeiter nachzuweisen.

4.7. Der Auftragnehmer hat einen externen Datenschutzbeauftragten benannt. Name und Kontaktdaten des Datenschutzbeauftragten sowie des Ansprechpartners für Informationssicherheitsfragen des Auftragnehmers lauten:

Datenschutzbeauftragter: Herr Dr. Blazy (GDPC – Marschall und Blazy GbR) Telefon: +49 (0) 561 830 99 165 Postanschrift: Replya GmbH, Im Mittelfeld 4–6, 63500 Seligenstadt – Datenschutzbeauftragter (vertraulich) – E-Mail: datenschutz@replya.de

Ansprechpartner Informationssicherheit: Michael Som, Replya GmbH, info@replya.de

Jeder Wechsel des Datenschutzbeauftragten sowie des Ansprechpartners für Informationssicherheitsfragen des Auftragnehmers ist dem Auftraggeber mitzuteilen; bei einer veröffentlichten Fassung erfolgt die Mitteilung durch Aktualisierung dieser AVV unter replya.de/avv.

4.8. Der Auftragnehmer ist zur laufenden Kontrolle seiner Datenverarbeitungsprozesse und Systeme in Bezug auf die Einhaltung der datenschutzrechtlichen Vorgaben verpflichtet. Der Auftragnehmer hat dies zu dokumentieren und die entsprechenden Aufzeichnungen dem Auftraggeber auf Anforderung mindestens einmal im Jahr zum Zwecke des Nachweises zur Verfügung zu stellen. Hierzu hat der Auftragnehmer auf Anforderung vorzulegen:

die Einhaltung genehmigter Verhaltensregeln gemäß Art. 40 DSGVO; oder

die Zertifizierung nach einem genehmigten Zertifizierungsverfahren gemäß Art. 42 DSGVO; oder

aktuelle Testate, Berichte, Penetrationstests, Ergebnisse von Notfall-Wiederanlaufübungen, Maßnahmenpläne oder Berichtsauszüge unabhängiger Instanzen (z. B. Wirtschaftsprüfer, Revision, Datenschutzbeauftragter, IT-Sicherheitsabteilung, Datenschutzauditoren, Qualitätsauditoren); oder

eine geeignete Zertifizierung durch IT-Sicherheits- oder Datenschutzaudits (z. B. BSI-Grundschutz).

In den Nachweisen identifizierte Schwachstellen müssen zeitnah unter Berücksichtigung der Kritikalitätsstufe behoben werden. Der Auftragnehmer stimmt zu, dass der Auftraggeber nach vorheriger Ankündigung und unter Kostenübernahme durch den Auftraggeber, ebenfalls jährlich Penetrationstests auf für den Auftraggeber bereitgestellten Komponenten durchführen kann. Des Weiteren können die Softwarekomponenten des Auftraggebers zur Überprüfung an einen Dienstleister übermittelt werden.

4.9. Der Auftragnehmer unterrichtet den Auftraggeber umgehend bei Störungen des Betriebsablaufs, bei Verdacht auf Verletzungen oder anderen Unregelmäßigkeiten bei der Verarbeitung der personenbezogenen Daten des Auftraggebers sowie über Kontrollhandlungen und Maßnahmen der Aufsichtsbehörde nach Kapitel VIII der DSGVO.

4.10. Dem Auftragnehmer ist bekannt, dass der Auftraggeber verpflichtet ist, umfassend alle Verletzungen des Schutzes personenbezogener Daten (Art. 4 Nr. 12 DSGVO) zu dokumentieren und ggf. den Aufsichtsbehörden bzw. der betroffenen Person binnen 72 Stunden zu melden. Sofern es zu solchen Verletzungen gekommen ist, wird der Auftragnehmer den Auftraggeber gemäß Art. 28 Abs. 3 lit. f DSGVO bei der Einhaltung seiner Meldepflichten unterstützen. Er wird die Verletzungen unverzüglich dem Auftraggeber melden und hierbei zumindest folgende Informationen mitteilen:

eine Beschreibung der Art der Verletzung, der Kategorien und ungefähre Anzahl der betroffenen Personen und Datensätze,

Name und Kontaktdaten eines Ansprechpartners für weitere Informationen,

eine Beschreibung der wahrscheinlichen Folgen der Verletzung sowie

eine Beschreibung der ergriffenen Maßnahmen zur Behebung oder Abmilderung der Verletzung.

Die Meldung erfolgt an die vom Auftraggeber im Hauptvertrag bzw. im Kundenkonto hinterlegte Melde- und Kontaktadresse. Der Auftraggeber ist verpflichtet, diese Adresse aktuell zu halten.

4.11. Überlassene Datenträger sowie sämtliche hiervon gefertigte Kopien oder Reproduktionen verbleiben im Eigentum des Auftraggebers. Der Auftragnehmer hat diese sorgfältig zu verwahren, so dass sie Dritten nicht zugänglich sind. Der Auftragnehmer ist verpflichtet, dem Auftraggeber jederzeit Auskünfte zu erteilen, soweit seine personenbezogenen Daten und Unterlagen betroffen sind. Die datenschutzkonforme Vernichtung von Test- und Ausschussmaterial übernimmt der Auftragnehmer nach vorheriger Freigabe (Schrift- oder Textform) durch den Auftraggeber. In besonderen, vom Auftraggeber zu bestimmenden Fällen erfolgt eine Aufbewahrung bzw. Übergabe.

4.12. Nach Abschluss der vertraglichen Leistungen oder früher nach Aufforderung durch den Auftraggeber – spätestens mit Beendigung des Hauptvertrages – hat der Auftragnehmer sämtliche in seinen Besitz gelangte Unterlagen, erstellte Verarbeitungs- und Nutzungsergebnisse sowie Datenbestände, die im Zusammenhang mit dem Auftragsverhältnis stehen, dem Auftraggeber auszuhändigen oder nach dessen vorheriger Zustimmung (Schrift- und Textform) datenschutzgerecht zu vernichten bzw. zu löschen. Soweit gesetzliche Aufbewahrungspflichten bestehen, hat die Löschung/Vernichtung der Daten erst nach deren Ablauf zu erfolgen. Das Protokoll der Löschung/Vernichtung ist auf Anforderung vorzulegen. Dokumentationen, die dem Nachweis der auftrags- und ordnungsgemäßen Datenverarbeitung dienen, sind durch den Auftragnehmer entsprechend der jeweiligen Aufbewahrungsfristen über das Vertragsende hinaus aufzubewahren. Er kann sie zu seiner Entlastung bei Vertragsende dem Auftraggeber übergeben.

4.13. In automatisierten Verarbeitungssystemen hat der Auftragnehmer mindestens die folgenden Arbeitsvorgänge zu protokollieren: Erhebung, Veränderung, Abfrage, Offenlegung einschließlich Übermittlung sowie Kombination und Löschung. Protokolle zu Abfragen und Offenlegungen müssen es ermöglichen, die Begründung, das Datum und die Uhrzeit dieser Vorgänge und soweit wie möglich die Identität der Person, die die personenbezogenen Daten abgefragt oder offengelegt hat, und die Identität des Empfängers der Daten festzustellen.

5. Pflichten des Auftraggebers

5.1. Der Auftraggeber wird den Auftragnehmer über ihm bekannt gewordene, etwaige datenschutzrechtliche Mängel bei der Durchführung der Auftragsverarbeitung unterrichten.

5.2. Der Auftraggeber hat sich vor Beginn der Datenverarbeitung im Zuge der bisherigen Zusammenarbeit von der Einhaltung der beim Auftragnehmer getroffenen TOM zur Datensicherheit zu überzeugen. Er darf dies nach seiner Wahl insbesondere durch einen Abgleich der eingesetzten Verfahren mit den Anforderungen des Datenschutz- und Datensicherheitskonzeptes sowie durch verschiedene Prüfungen der internen Revision, des/der Informationssicherheitsbeauftragten, des/der Datenschutzbeauftragten oder deren jeweiligen Beauftragten durchführen. Der Auftraggeber wird eine entsprechende Überprüfung auch während der Vertragslaufzeit regelmäßig durchführen.

6. Anfragen betroffener Personen

6.1. Ist der Auftraggeber aufgrund geltender Datenschutzgesetze gegenüber den betroffenen Personen verpflichtet, Auskünfte zur Erhebung, Verarbeitung oder Nutzung von personenbezogenen Daten dieser Person zu geben, wird der Auftragnehmer den Auftraggeber dabei unterstützen, diese Informationen bereit zu stellen.

6.2. Der Auftragnehmer hat nur nach Weisung des Auftraggebers die Daten, die im Auftrag verarbeitet werden, zu berichtigen, zu löschen oder einzuschränken. Soweit eine betroffene Person sich unmittelbar an den Auftragnehmer zwecks Berichtigung, Einschränkung, Löschung oder Auskunftserteilung wendet, wird der Auftragnehmer dieses Ersuchen unverzüglich an den Auftraggeber weiterleiten. Die Beantwortung der Auskunftsersuchen erfolgt dabei ausschließlich durch den Auftraggeber.

6.3. Soweit vom Leistungsumfang umfasst, sind Löschkonzept, Recht auf Vergessenwerden, Berichtigung, Datenportabilität und Auskunft nach dokumentierter Weisung des Auftraggebers unmittelbar durch den Auftragnehmer sicherzustellen.