Vertrag über die Auftragsverarbeitung (AVV)

nach Art. 28 Abs. 3 DSGVO · Stand: 27.10.2026

Parteien

Auftraggeber (Verantwortlicher): der Betrieb, der ein Konto bei Levio Flow angelegt hat (Name und Anschrift wie im Kundenkonto hinterlegt).

Auftragnehmer (Auftragsverarbeiter): Rustamjon Paiziev, Levio Flow, Hauptstraße 16, 54570 Deudesfeld, Deutschland, E-Mail: levioflow@gmail.com.

Dieser Vertrag ist Bestandteil des Nutzungsvertrags nach den Allgemeinen Geschäftsbedingungen (§ 8) und gilt mit dessen Abschluss als vereinbart. Auf Wunsch stellt der Auftragnehmer eine unterzeichnete Fassung bereit.

1. Gegenstand, Dauer, Art und Zweck

Der Auftragnehmer stellt dem Auftraggeber die Software Levio Flow als Webanwendung bereit (Dienstpläne, Arbeitszeiten, Abwesenheiten, Aufgaben, Team-Kommunikation, Zimmer, Service, Bestellungen, Reservierungen, Gäste, Kontakte, Lohn-Vorschau) und verarbeitet dabei personenbezogene Daten im Auftrag des Auftraggebers.
Zweck ist ausschließlich die Erbringung dieses Dienstes: Speichern, Synchronisieren zwischen Geräten, Anzeigen, automatisches Löschen nach den eingestellten Fristen, Datensicherung und technischer Support.
Der Vertrag läuft so lange wie der Nutzungsvertrag. Pflichten, die über das Vertragsende hinaus wirken (Ziffer 9, Vertraulichkeit), bleiben bestehen.

2. Art der Daten und Kreis der Betroffenen

Betroffene	Daten
Beschäftigte des Auftraggebers	Name, Zugangscode, Schichten und Dienstpläne, Arbeitszeiten (Kommen, Gehen, Pausen, ggf. Status der Standortprüfung ohne Koordinaten), Abwesenheiten und Urlaubsanträge (ggf. Krankmeldung ohne Diagnose), Aufgaben, Chat-Nachrichten, freiwillige Profilangaben (Foto, Hobbys, Geburtstag), Kontaktdaten, Stundenlohn und Lohn-Vorschau
Gäste des Auftraggebers	Name, Telefonnummer, Zimmer, An- und Abreise, Verpflegung, Notizen, Bestellungen, Reservierungen (Datum, Uhrzeit, Personenzahl, Wunsch)
Geschäftspartner	Lieferanten und Kontakte (Name, Firma, Telefon, E-Mail, Anschrift)

Besondere Kategorien nach Art. 9 DSGVO sind für den Dienst nicht vorgesehen. Der Auftraggeber trägt Gesundheitsdaten (z. B. Diagnosen) nicht in Freitextfelder ein.

3. Weisungen

Der Auftragnehmer verarbeitet die Daten nur auf dokumentierte Weisung des Auftraggebers, auch in Bezug auf Übermittlungen in Drittländer, es sei denn, er ist durch Unionsrecht oder deutsches Recht dazu verpflichtet; in diesem Fall teilt er dies dem Auftraggeber vorher mit, soweit das Recht dies nicht verbietet.
Weisungen sind die Einstellungen und Aktionen des Auftraggebers in der Anwendung (z. B. Anlegen, Ändern, Löschen, Aufbewahrungsfristen unter „Daten & Sichtbarkeit“) sowie Weisungen in Textform an die oben genannte E-Mail-Adresse.
Hält der Auftragnehmer eine Weisung für rechtswidrig, weist er den Auftraggeber unverzüglich darauf hin.

4. Vertraulichkeit

Der Auftragnehmer setzt nur Personen ein, die zur Vertraulichkeit verpflichtet sind oder einer gesetzlichen Verschwiegenheitspflicht unterliegen. Inhaltsdaten des Auftraggebers werden nur eingesehen, soweit dies für Support oder Fehlerbehebung auf Anfrage des Auftraggebers erforderlich ist. Die Verwaltungsoberfläche des Auftragnehmers zeigt keine Inhaltsdaten (Dienstpläne, Arbeitszeiten, Chats, Mitarbeiter- oder Gästedaten).

5. Technische und organisatorische Maßnahmen

Der Auftragnehmer trifft die Maßnahmen nach Art. 32 DSGVO, die in Anlage 1 beschrieben sind. Er darf sie weiterentwickeln, solange das Schutzniveau nicht unterschritten wird.

6. Unterauftragsverarbeiter

Der Auftraggeber genehmigt die in Anlage 2 genannten Unterauftragsverarbeiter.
Der Auftragnehmer informiert den Auftraggeber mindestens 14 Tage vorher in der Anwendung oder per E-Mail über die beabsichtigte Hinzuziehung oder Ersetzung weiterer Unterauftragsverarbeiter. Der Auftraggeber kann innerhalb dieser Frist aus wichtigem datenschutzrechtlichem Grund widersprechen; kommt keine Einigung zustande, kann er den Nutzungsvertrag zum Zeitpunkt der Änderung kündigen.
Der Auftragnehmer verpflichtet Unterauftragsverarbeiter vertraglich auf dieselben Datenschutzpflichten wie in diesem Vertrag. Eine Verarbeitung außerhalb der EU/des EWR findet nur statt, wenn die Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind.

7. Unterstützung des Auftraggebers

Der Auftragnehmer unterstützt den Auftraggeber mit geeigneten technischen und organisatorischen Maßnahmen bei der Erfüllung der Rechte der Betroffenen (Art. 12–23 DSGVO). Die Anwendung bietet dafür Export- und Löschfunktionen („Datenschutz & Meine Daten“). Wenden sich Betroffene direkt an den Auftragnehmer, leitet er die Anfrage unverzüglich an den Auftraggeber weiter.
Der Auftragnehmer unterstützt den Auftraggeber bei der Einhaltung der Pflichten nach Art. 32 bis 36 DSGVO (Sicherheit, Meldung von Verletzungen, Datenschutz-Folgenabschätzung, vorherige Konsultation) unter Berücksichtigung der ihm vorliegenden Informationen.

8. Verletzungen des Schutzes personenbezogener Daten

Der Auftragnehmer meldet dem Auftraggeber eine ihm bekannt gewordene Verletzung des Schutzes personenbezogener Daten unverzüglich, möglichst innerhalb von 24 Stunden, per E-Mail an die Konto-Adresse. Die Meldung enthält, soweit bekannt, die Angaben nach Art. 33 Abs. 3 DSGVO. Der Auftragnehmer ergreift unverzüglich Maßnahmen, um die Verletzung zu beheben und nachteilige Folgen zu mindern.

9. Löschung und Rückgabe nach Vertragsende

Nach Ende des Nutzungsvertrags kann der Auftraggeber seine Daten 30 Tage lang über die Export-Funktion herunterladen. Danach löscht der Auftragnehmer alle Daten des Auftraggebers endgültig, soweit nicht eine gesetzliche Pflicht zur Speicherung besteht. Datensicherungen werden mit Ablauf ihrer Aufbewahrungsfrist (14 Tage) durch Überschreiben gelöscht.

10. Nachweise und Kontrollen

Der Auftragnehmer stellt dem Auftraggeber auf Anfrage alle erforderlichen Informationen zum Nachweis der Einhaltung dieses Vertrags zur Verfügung und ermöglicht Überprüfungen, einschließlich Inspektionen, durch den Auftraggeber oder einen von ihm beauftragten Prüfer, der zur Verschwiegenheit verpflichtet ist. Inspektionen werden mit angemessener Frist (in der Regel 14 Tage) angekündigt und während der üblichen Geschäftszeiten durchgeführt; die Rechte der Aufsichtsbehörden bleiben unberührt.

11. Haftung und Schlussbestimmungen

Für die Haftung gilt Art. 82 DSGVO; im Übrigen gelten die Haftungsregeln der AGB. Bei Widersprüchen geht dieser Vertrag in Fragen des Datenschutzes den AGB vor. Änderungen bedürfen der Textform. Es gilt deutsches Recht.

Anlage 1 – Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

Bereich	Maßnahmen
Zutritts- und Zugangskontrolle (Rechenzentrum)	Hosting in nach ISO/IEC 27001 zertifizierten Rechenzentren der Hetzner Online GmbH in Deutschland mit Zutrittskontrolle durch den Anbieter; administrativer Serverzugang ausschließlich durch den Auftragnehmer.
Zugangskontrolle (Anwendung)	Passwörter nur als scrypt-Hash mit individuellem Salt; Mindestlänge 8 Zeichen; Begrenzung von Anmeldeversuchen; zufällige Sitzungsschlüssel (256 Bit), serverseitig nur als Hash gespeichert; automatischer Ablauf nach 90 Tagen Inaktivität; Abmeldung aller Geräte bei Passwortänderung oder -rücksetzung; Zurücksetzen nur über einmal gültige, zeitlich begrenzte E-Mail-Links.
Zugriffskontrolle	Rollen Arbeitgeber / Mitarbeiter; Mitarbeiter sehen nur freigegebene Bereiche und nur ihre eigenen Arbeitszeiten; Lohndaten und Zugangscodes nur für den Arbeitgeber; Chef-Einstellungen (z. B. Aufbewahrung) können Mitarbeiter nicht ändern; Mandantentrennung je Betrieb auf Datenbankebene; Zugang eines Mitarbeiters wird bei Entfernen oder neuem Code sofort ungültig.
Weitergabekontrolle	Übertragung ausschließlich verschlüsselt (TLS, HSTS); keine Einbindung von Drittanbietern (Schriften, Bibliotheken, Analyse) im Browser; strenge Content-Security-Policy.
Eingabekontrolle	Protokoll aller Änderungen an Arbeitszeiten (wer, wann, was); serverseitige Prüfung aller Eingaben.
Verfügbarkeit und Belastbarkeit	Tägliche Datensicherung der Datenbank (14 Tage aufbewahrt) zusätzlich auf einem getrennten Speicher; automatische Zusammenführung gleichzeitiger Änderungen statt Überschreiben; Wiederherstellung nach Massenlöschungen durch Mitarbeiter (14 Tage); automatischer Neustart der Dienste; Begrenzung von Anfragen gegen Überlastung.
Datenminimierung und Löschung	Automatisches Löschen nach festen bzw. vom Auftraggeber gewählten Fristen; keine Zugriffsprotokolle mit IP-Adressen; Standortprüfung speichert keine Koordinaten.
Überprüfung	Automatisierte Tests der Zugriffsregeln und der Datenzusammenführung vor jedem Update; Prüfung der Maßnahmen bei wesentlichen Änderungen, mindestens jährlich.

Anlage 2 – Unterauftragsverarbeiter

Unternehmen	Leistung	Ort der Verarbeitung
Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen	Hosting (Server, Speicher, Datensicherung)	Deutschland
Anthropic, PBC, 548 Market Street, PMB 90375, San Francisco, CA 94104, USA	KI-Antworten im Hilfe-Chat „Levi & Flo“ (nur Text der Frage, keine Betriebsdaten)	USA – EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO)
Twilio Inc. (Dienst „SendGrid“), USA	Versand von System-E-Mails (Bestätigungs- und Passwort-Links, Antworten auf Fragen) – nur E-Mail-Adresse, Name und Text der E-Mail	USA – EU-US Data Privacy Framework (Art. 45 DSGVO), ergänzend EU-Standardvertragsklauseln