Stand: Oktober 2026 · Art. 28 DSGVO
Dieser Vertrag zur Auftragsverarbeitung (AVV) konkretisiert die datenschutzrechtlichen Pflichten des Anbieters bei der Verarbeitung personenbezogener Daten im Rahmen der Nutzung von Operis CRM.
Er ergänzt den Hauptvertrag über die Nutzung der Software. Bei Widersprüchen gehen die Regelungen dieses AVV den allgemeinen Regelungen des Hauptvertrags vor, soweit sie die Verarbeitung personenbezogener Daten betreffen.
Der Kunde ist Verantwortlicher im Sinne von Art. 4 Nr. 7 DSGVO für die von ihm in Operis CRM verarbeiteten personenbezogenen Daten.
Max Papenberg verarbeitet diese Daten als Auftragsverarbeiter im Sinne von Art. 4 Nr. 8 DSGVO.
Die Verarbeitung erfolgt ausschließlich im Rahmen der in diesem AVV beschriebenen Zwecke und der dokumentierten Weisungen des Kunden, soweit keine gesetzliche Verpflichtung zur Verarbeitung besteht.
Gegenstand der Verarbeitung ist die Bereitstellung und der Betrieb von Operis CRM einschließlich Speicherung, Verwaltung, Anzeige, Kommunikation, Sicherung und Wiederherstellung der vom Kunden eingestellten Daten.
Die Verarbeitung beginnt mit der Bereitstellung des jeweiligen Mandanten und endet grundsätzlich mit der Beendigung des Hauptvertrags und der anschließenden Löschung bzw. Rückgabe der Daten nach Maßgabe dieses AVV.
Die konkreten Verarbeitungszwecke umfassen insbesondere Kunden- und Fahrzeugverwaltung, Vorgangsverwaltung, Dokumentenverwaltung, Terminverwaltung, Rechnungs- und Belegprozesse, Mitarbeiter- und Zeiterfassung, die Anbindung der E-Mail-Postfächer des Kunden (Abruf, Anzeige, Versand und – soweit freigeschaltet – Vorsortierung eingehender E-Mails), KI-gestützte Funktionen nach Anlage 1 Nr. 4 und 6 sowie die jeweils gebuchten Funktionen.
Je nach Nutzung des Systems können insbesondere folgende Datenarten verarbeitet werden:
Betroffen sein können insbesondere Kunden und Interessenten des Kunden, Ansprechpartner, Fahrzeughalter, Mitarbeiter und Nutzer des Kunden sowie sonstige Personen, deren Daten der Kunde im Rahmen seiner Geschäftstätigkeit in Operis CRM verarbeitet.
Der Anbieter verarbeitet personenbezogene Daten grundsätzlich nur auf dokumentierte Weisung des Kunden.
Weisungen können im Rahmen der Nutzung der Software insbesondere durch das Anlegen, Ändern, Exportieren oder Löschen von Daten und durch die Konfiguration des Mandanten erteilt werden.
Der Anbieter informiert den Kunden, wenn er der Auffassung ist, dass eine Weisung gegen Datenschutzrecht verstößt.
Der Anbieter verpflichtet die mit der Verarbeitung befassten Personen auf Vertraulichkeit, soweit diese nicht bereits einer entsprechenden gesetzlichen Verschwiegenheitspflicht unterliegen.
Zugriffe werden nach dem Prinzip der Erforderlichkeit vergeben. Der Anbieter trifft angemessene Maßnahmen gegen unbefugten Zugriff und gegen eine Vermischung von Daten verschiedener Mandanten.
Der Anbieter trifft angemessene technische und organisatorische Maßnahmen nach Art. 32 DSGVO. Dazu gehören insbesondere Authentifizierung und Zugriffskontrollen, Mandantentrennung, Transportverschlüsselung, sichere Passwortverarbeitung, Protokollierung sicherheitsrelevanter Vorgänge sowie Datensicherungen.
Die Maßnahmen werden unter Berücksichtigung des Stands der Technik, der Implementierungskosten, der Art, des Umfangs, der Umstände und der Zwecke der Verarbeitung sowie des Risikos für die Rechte und Freiheiten natürlicher Personen angemessen weiterentwickelt.
Einzelheiten der technischen Umgebung und der eingesetzten Unterauftragsverarbeiter sind in den Anlagen zu diesem AVV beschrieben.
Der Anbieter unterstützt den Kunden im angemessenen und technisch möglichen Umfang bei der Bearbeitung von Anfragen betroffener Personen, insbesondere bei Auskunft, Berichtigung, Löschung und Einschränkung der Verarbeitung.
Die eigentliche datenschutzrechtliche Kommunikation mit der betroffenen Person und die Entscheidung über die Rechtmäßigkeit der Verarbeitung verbleiben beim Kunden als Verantwortlichem.
Für Löschungen innerhalb eines Mandanten stehen dem Kunden die hierfür vorgesehenen Funktionen zur Selbstbedienung zur Verfügung. Gesetzliche Aufbewahrungspflichten und technisch bzw. rechtlich erforderliche Bestandserhaltung bleiben unberührt.
Der Anbieter informiert den Kunden unverzüglich, soweit ihm eine Verletzung des Schutzes personenbezogener Daten bekannt wird, die Daten des Kunden betrifft und eine entsprechende Information rechtlich erforderlich ist.
Der Anbieter unterstützt den Kunden im angemessenen Umfang bei der Erfüllung seiner Pflichten nach Art. 32 bis 36 DSGVO, soweit dies aufgrund der konkreten Verarbeitung erforderlich und zumutbar ist.
Der Anbieter stellt dem Kunden die zur Nachweisführung nach Art. 28 DSGVO erforderlichen Informationen in angemessenem Umfang zur Verfügung.
Kontrollen und Audits sind nach vorheriger angemessener Ankündigung und unter Wahrung der Vertraulichkeit sowie der Sicherheit anderer Kunden möglich. Der Kunde hat zunächst vorhandene Zertifikate, Prüfberichte, technische Dokumentationen und sonstige geeignete Nachweise zu verwenden.
Unangemessene Beeinträchtigungen des laufenden Betriebs sowie der Rechte anderer Kunden sind zu vermeiden.
Der Anbieter darf die in Anlage 1 genannten Unterauftragsverarbeiter einsetzen. Der Kunde erteilt seine allgemeine Genehmigung zur Beauftragung dieser Unterauftragsverarbeiter.
Der Anbieter informiert den Kunden über beabsichtigte Änderungen bei den eingesetzten Unterauftragsverarbeitern im Rahmen der gesetzlichen Anforderungen. Der Kunde kann aus wichtigem datenschutzrechtlichem Grund widersprechen.
Die eingesetzten Unterauftragsverarbeiter werden vertraglich zu angemessenen Datenschutz- und Sicherheitsanforderungen verpflichtet.
Nach Beendigung der Auftragsverarbeitung löscht oder gibt der Anbieter die personenbezogenen Daten nach Wahl des Kunden zurück, soweit dies technisch vorgesehen und rechtlich zulässig ist.
Gesetzliche Aufbewahrungspflichten bleiben unberührt. Daten, die aufgrund gesetzlicher Pflichten aufzubewahren sind, werden für andere Zwecke gesperrt bzw. nur noch im erforderlichen Umfang verarbeitet.
Backups können aufgrund ihrer technischen Struktur mit einer zeitlichen Verzögerung gelöscht bzw. überschrieben werden. Sie werden nicht für den regulären Geschäftsbetrieb genutzt und unterliegen angemessenen Zugriffsbeschränkungen.
Die Parteien erfüllen ihre jeweiligen gesetzlichen Pflichten. Der Kunde bleibt insbesondere für die Rechtmäßigkeit der Verarbeitung, die Rechtsgrundlagen, Informationspflichten gegenüber betroffenen Personen und die Richtigkeit der von ihm eingegebenen Daten verantwortlich.
Die Haftung richtet sich im Übrigen nach den gesetzlichen Vorschriften und dem Hauptvertrag.
Dieser AVV gilt ab Beginn der Auftragsverarbeitung und endet mit deren Beendigung.
Änderungen und Ergänzungen dieses AVV bedürfen der Textform, soweit nicht gesetzlich eine strengere Form vorgeschrieben ist.
Sollten einzelne Bestimmungen dieses AVV unwirksam sein oder werden, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt.
Stand: Oktober 2026.
Operis wird als cloudbasierte Anwendung betrieben. Die Produktionsdatenbank wird bei Railway in Amsterdam, Niederlande, betrieben.
Backups und Objekte werden bei Cloudflare R2 verarbeitet. Für die Operis-Buckets ist eine EU-Jurisdiction konfiguriert.
Beim Einsatz von Brevo, Anthropic und Microsoft Azure erfolgt die Verarbeitung im Rahmen der jeweiligen Dienste und der hierfür geltenden datenschutzrechtlichen und vertraglichen Schutzmechanismen. Der Anbieter setzt diese Dienste nur für die in Anlage 1 beschriebenen Zwecke ein. Bei Anthropic kann die Verarbeitung außerhalb der EU erfolgen (siehe Anlage 1 Nr. 4).
GitHub wird insbesondere für GitHub Actions und die automatisierte Datensicherung eingesetzt.
Soweit bei einem Dienst eine Verarbeitung außerhalb des EWR nicht ausgeschlossen werden kann, werden die hierfür gesetzlich erforderlichen Garantien eingesetzt.
Der Kunde kann innerhalb seines Mandanten personenbezogene Kundendaten grundsätzlich selbst verwalten und – soweit keine gesetzlichen oder technischen Gründe entgegenstehen – löschen.
Bestehen aufbewahrungspflichtige oder historisch relevante Belege bzw. Vorgänge, kann statt einer vollständigen Löschung eine Anonymisierung des Kundestamms vorgesehen sein. Dabei bleiben für die Nachvollziehbarkeit erforderliche Belege und deren aufbewahrungspflichtige Inhalte erhalten.
Die konkrete Lösch- und Anonymisierungslogik wird technisch so umgesetzt, dass gesetzliche Aufbewahrungspflichten nicht durch eine Kundenlöschung umgangen werden.