Auftragsverarbeitungsvertrag (AVV)

Stand: 11. Oktober 2026

Dieser Vertrag gilt zwischen der Agentur, die EVOAR Files nutzt (Verantwortlicher), und EVOAR, Inhaber Marvin Mischler, Am Steingarten 8, 68169 Mannheim (Auftragsverarbeiter). Er wird mit der Registrierung abgeschlossen und gilt in jedem Tarif, auch im kostenlosen Free-Tarif.

1. Gegenstand und Dauer

Der Auftragsverarbeiter stellt dem Verantwortlichen die Software EVOAR Files zur Verfügung, mit der dieser Dateien hochlädt, mit seinen Kunden prüft, kommentiert und freigibt. Dabei verarbeitet er personenbezogene Daten im Auftrag des Verantwortlichen. Der Vertrag läuft, solange der Verantwortliche EVOAR Files nutzt, und endet mit der Löschung seines Kontos.

2. Art der Daten und betroffene Personen

• Daten: Namen, E-Mail-Adressen und Benutzernamen; Inhalte der hochgeladenen Dateien; Kommentare, Markierungen, Freigaben und Entscheidungen; Protokolle der Nutzung, auf Wunsch mit IP-Adresse und Gerät bei der Anmeldung.
• Betroffene: Teammitglieder des Verantwortlichen; Ansprechpartner und Prüfer bei seinen Kunden; Personen, die in den hochgeladenen Dateien vorkommen.

Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO) soll der Verantwortliche nur hochladen, wenn er dafür eine Rechtsgrundlage hat.

3. Weisungen

Der Auftragsverarbeiter verarbeitet die Daten nur auf dokumentierte Weisung des Verantwortlichen. Weisungen sind die Funktionen der Software, so wie der Verantwortliche sie nutzt und einstellt, sowie Anweisungen per E-Mail an hello@evoar.de. Hält der Auftragsverarbeiter eine Weisung für rechtswidrig, teilt er das unverzüglich mit. Eine Verarbeitung für eigene Zwecke findet nicht statt.

4. Vertraulichkeit

Alle Personen, die beim Auftragsverarbeiter Zugang zu den Daten haben, sind zur Vertraulichkeit verpflichtet.

5. Technische und organisatorische Maßnahmen

• Standort: Server, Dateien und Backups liegen in Rechenzentren in Deutschland (Hetzner, Nürnberg).
• Verschlüsselung: Alle Verbindungen laufen über TLS. Zugangsschlüssel zu fremden Diensten (etwa Google Drive) werden verschlüsselt gespeichert.
• Zugang: Passwörter nur als Hash (Argon2); Zwei-Faktor-Anmeldung per E-Mail-Code; Begrenzung von Anmeldeversuchen; Sitzungen mit Ablaufzeit.
• Trennung: Die Daten jeder Agentur sind serverseitig von denen anderer Agenturen getrennt. Kunden sehen nur, was für sie freigegeben ist.
• Rechte: Rollen und Rechte je Person und Kunde; Administratorzugriff auf die Server nur für den Inhaber, per SSH-Schlüssel.
• Verfügbarkeit: Tägliche Sicherung der Datenbank, Aufbewahrung 14 Tage; Überwachung von Speicher und Betrieb.
• Nachvollziehbarkeit: Protokoll aller Aktionen an Dateien, Versionen und Freigaben.
• Löschung: Papierkorb mit Frist, danach endgültige Löschung; einstellbare Aufbewahrungsfristen je Agentur.

Der Auftragsverarbeiter darf die Maßnahmen weiterentwickeln, solange das Schutzniveau nicht sinkt.

6. Unterauftragsverarbeiter

Der Verantwortliche ist mit folgenden Unterauftragsverarbeitern einverstanden:

• Hetzner Online GmbH, Gunzenhausen, Deutschland: Rechenzentrum, Server, Speicher, Backups.
• Google Ireland Limited, Dublin, Irland: Versand der E-Mails aus der App (Google Workspace). Übermittlung in die USA möglich, auf Grundlage des EU-US Data Privacy Framework und von Standardvertragsklauseln.
• OpenRouter, Inc. und Anthropic, PBC, USA: nur wenn der Verantwortliche die Kommentarübersetzung für einen Kunden einschaltet; übermittelt wird nur der Text des Kommentars, auf Grundlage von Standardvertragsklauseln.

Über neue oder geänderte Unterauftragsverarbeiter informiert der Auftragsverarbeiter vorab per E-Mail. Der Verantwortliche kann innerhalb von 14 Tagen aus wichtigem Grund widersprechen; kommt keine Einigung zustande, kann er den Vertrag zum Wirksamwerden der Änderung kündigen.

Verbindet der Verantwortliche eigene Konten bei Google Drive oder Canva, geschieht das in seinem eigenen Vertragsverhältnis mit diesen Anbietern.

7. Unterstützung

Der Auftragsverarbeiter unterstützt den Verantwortlichen bei Anfragen betroffener Personen (Auskunft, Berichtigung, Löschung, Datenübertragbarkeit), bei Datenschutz-Folgenabschätzungen und bei Meldungen an Aufsichtsbehörden, soweit es um die Verarbeitung in EVOAR Files geht.

8. Datenpannen

Wird dem Auftragsverarbeiter eine Verletzung des Schutzes personenbezogener Daten bekannt, meldet er sie dem Verantwortlichen unverzüglich, möglichst innerhalb von 24 Stunden, mit den Angaben, die er zu diesem Zeitpunkt hat.

9. Kontrollen

Der Verantwortliche kann sich nach vorheriger Absprache davon überzeugen, dass dieser Vertrag eingehalten wird, in der Regel durch schriftliche Auskunft und geeignete Nachweise. Vor-Ort-Prüfungen sind nach Ankündigung mit angemessener Frist zu üblichen Geschäftszeiten möglich.

10. Ende des Auftrags

Löscht der Verantwortliche sein Konto oder verlangt er die Löschung, löscht der Auftragsverarbeiter alle Inhalte innerhalb von 30 Tagen, sofern keine gesetzliche Pflicht zur Aufbewahrung besteht. Bis dahin kann der Verantwortliche seine Dateien herunterladen. Kopien in Backups verschwinden mit deren Ablauf nach 14 Tagen.

11. Schlussbestimmungen

Es gilt deutsches Recht. Bei Widersprüchen geht dieser Vertrag den AGB vor, soweit es um den Schutz personenbezogener Daten geht.