# Auftragsverarbeitung (AVV)

<Lead>
Sobald dein Büro personenbezogene Daten über die Plattform verarbeitet, verlangt die DSGVO einen **Auftragsverarbeitungsvertrag (AVV)** nach Art. 28 zwischen dir als Verantwortlichem und dem Plattform-Betreiber als Auftragsverarbeiter. Diese Seite erklärt, was der AVV regelt und wo du ihn findest.
</Lead>

## Was der AVV regelt

<DefinitionList>
  <DefItem term="Gegenstand und Weisungsbindung">
    Der Betreiber verarbeitet personenbezogene Daten ausschließlich zur Erbringung der Plattform-Leistungen und nach deinen dokumentierten Weisungen.
  </DefItem>
  <DefItem term="Technische und organisatorische Maßnahmen">
    Die Schutzmaßnahmen aus dem Abschnitt [Datenschutz](/legal/datenschutz): EU-Hosting, Verschlüsselung, Mandanten-Trennung, Zugriffskontrolle, Audit-Protokolle.
  </DefItem>
  <DefItem term="Unterauftragsverarbeiter">
    Der Betreiber setzt geprüfte Unterauftragsverarbeiter ein (zum Beispiel Hosting-, Datenbank-, E-Mail- und Zahlungs-Dienstleister). Die aktuelle Liste wird mit den Vertragsdokumenten veröffentlicht; über Änderungen wirst du informiert.
  </DefItem>
  <DefItem term="Unterstützungspflichten">
    Der Betreiber unterstützt dich bei Betroffenen-Anfragen (Auskunft, Löschung), bei der Sicherheit der Verarbeitung und bei Meldepflichten.
  </DefItem>
  <DefItem term="Löschung nach Vertragsende">
    Nach Vertragsende werden personenbezogene Daten gemäß den vereinbarten Fristen gelöscht; vorher kannst du deine Daten exportieren.
  </DefItem>
</DefinitionList>

## Kommunikation im Namen deines Büros

Ein Teil der Nachrichten, die über die Plattform hinausgehen, geht **in deinem Namen** an deine Kundschaft: Terminbestätigungen, Antworten auf Anfragen, und, sobald du es einrichtest, werbliche Post. Für diese Nachrichten bist **du** der Verantwortliche im Sinne der DSGVO, nicht der Plattformbetreiber. Er stellt den Versandweg als Auftragsverarbeiter bereit.

Praktisch heisst das drei Dinge:

<DefinitionList>
  <DefItem term="Die Rechtsgrundlage liegt bei dir">
    Ob du eine Person werblich anschreiben darfst, entscheidet sich an ihrer Einwilligung oder an § 7 Abs. 3 UWG (Bestandskunden). Beides kannst nur du beurteilen. Die Plattform fragt dich deshalb einmal ausdrücklich danach (*Einstellungen › Datenschutz › Werbung an Bestandskunden*) und geht im Auslieferungszustand davon aus, dass keine Bestandskunden-Beziehung besteht.
  </DefItem>
  <DefItem term="Der Widerspruch wird technisch durchgesetzt">
    Jede werbliche Nachricht trägt einen Abmeldeweg. Wer ihn nutzt, ist ab diesem Moment für den ganzen Arbeitsbereich gesperrt, über alle Werkzeuge hinweg. Die Prüfung sitzt im Versand, nicht im einzelnen Werkzeug, damit kein neues Werkzeug sie umgehen kann.
  </DefItem>
  <DefItem term="Der Widerspruch überlebt die Löschung">
    Wird ein Kontakt gelöscht, bleibt ein nicht rückrechenbarer Prüfwert seiner Adresse gespeichert. Ohne ihn käme dieselbe Person beim nächsten Import zurück und würde erneut angeschrieben. Die Rechtsgrundlage dafür ist Art. 17 Abs. 3 lit. b DSGVO: Die Löschpflicht gilt nicht, soweit die Verarbeitung zur Erfüllung einer rechtlichen Verpflichtung erforderlich ist, und die Pflicht, den Widerspruch zu beachten, ist genau eine solche.
  </DefItem>
</DefinitionList>

<Info title="Unsere eigene Post ist davon getrennt">
Nachrichten des Plattformbetreibers an **dich** (Rechnungen, Sicherheitshinweise, Produkt-Informationen) sind ein anderes Verhältnis mit einem anderen Verantwortlichen. Ein Werbewiderspruch, den ein Kunde deines Büros erklärt, berührt sie nicht.
</Info>

## Wo schließe ich den AVV ab?

Den AVV findest du im Produkt unter **Einstellungen > Datenschutz**; dort ist er als Dokument hinterlegt und jederzeit abrufbar. Er gilt pro Workspace.

<Info title="Sonderfall BYOK">
Hinterlegst du eigene KI-Provider-Schlüssel ([BYOK](/help/compliance/byok)), schließt dein Büro die Auftragsverarbeitung mit dem jeweiligen KI-Anbieter direkt ab. Der Plattform-AVV deckt diese direkte Beziehung nicht ab.
</Info>

## Häufige Fragen

<Faq>
  <FaqItem q="Brauche ich den AVV wirklich?">
    Ja. Sobald du personenbezogene Daten deiner Kundschaft über die Plattform verarbeitest (schon ein Name in einer Notiz genügt), ist der AVV gesetzlich vorgeschrieben.
  </FaqItem>
  <FaqItem q="Muss jedes Teammitglied den AVV unterschreiben?">
    Nein. Der AVV wird einmal pro Workspace geschlossen, üblicherweise durch die Inhaberin oder den Inhaber.
  </FaqItem>
  <FaqItem q="Wo finde ich die Liste der Unterauftragsverarbeiter?">
    Sie wird zusammen mit den rechtsverbindlichen Vertragsdokumenten veröffentlicht und im Produkt verlinkt. Änderungen werden angekündigt, damit du widersprechen kannst.
  </FaqItem>
</Faq>