Auftragsverarbeitungsvertrag (AVV)

gemäß Art. 28 DSGVO

Stand / Last updated: 2026-10-01

English version: Data Processing Agreement (DPA). Bei Abweichungen zwischen den Fassungen ist die deutsche Fassung maßgeblich.

Vertragsparteien und Geltung

Dieser Vertrag wird geschlossen zwischen dem Kunden von myvibecode.app (nachfolgend „Verantwortlicher“ oder „Kunde“) und der OrgOps GmbH, Kleestraße 21–23, 90461 Nürnberg, Deutschland, Geschäftsführer Rebar Hassan, Amtsgericht Nürnberg HRB 46511 (nachfolgend „Auftragsverarbeiter“ oder „OrgOps“).

Dieser AVV ist Bestandteil der Nutzungsbedingungen (Terms of Service). Er gilt, sobald der Kunde mit myvibecode.app personenbezogene Daten verarbeitet oder verarbeiten lässt, und wird mit der Annahme der Nutzungsbedingungen (Kontoerstellung bzw. Nutzung des Dienstes) wirksam vereinbart, ohne dass es einer gesonderten Unterschrift bedarf. Kunden, die eine unterzeichnete Fassung benötigen (z. B. Hochschulen, Behörden, Unternehmen), erhalten diese auf Anfrage an mail@orgops.io.

§ 1 Gegenstand und Dauer der Verarbeitung

(1) Gegenstand ist die Bereitstellung der Plattform myvibecode.app durch OrgOps: Speicherung des vom Kunden übermittelten Quellcodes, Build und Betrieb (Hosting) der Web-Anwendungen des Kunden („Apps“), Bereitstellung und Betrieb einer PostgreSQL-Datenbank je App, Datensicherung, Bereitstellung von Exportfunktionen sowie – sofern der Kunde sie nutzt – technische Unterstützung über den „Platform Brain“ und durch Support-Anfragen.

(2) Die Dauer der Verarbeitung entspricht der Laufzeit des Nutzungsverhältnisses. Die Regelungen zu Löschung und Rückgabe (§ 11) gelten über das Vertragsende hinaus.

§ 2 Art, Zweck, Art der Daten und Kategorien betroffener Personen

(1) Art und Zweck: Speichern, Hosten, Sichern, Wiederherstellen, Übertragen und Löschen von Daten, ausschließlich zum Betrieb der Apps des Kunden. Welche personenbezogenen Daten in einer App verarbeitet werden und zu welchem Zweck, bestimmt allein der Kunde.

(2) Art der Daten: alle Daten, die der Kunde bzw. die Nutzer seiner Apps in die Apps, ihre Datenbanken, ihre Konfiguration (Secrets) oder ihren Quellcode einbringen – typischerweise Stammdaten (z. B. Namen), Kontaktdaten (z. B. E-Mail-Adressen), Inhaltsdaten und Nutzungsdaten der App sowie technische Verbindungsdaten (z. B. IP-Adressen), die beim Aufruf der Apps zwangsläufig anfallen.

(3) Kategorien betroffener Personen: Nutzer der Apps des Kunden sowie sonstige Personen, deren Daten der Kunde in seinen Apps verarbeitet (z. B. Beschäftigte, Studierende, Kunden oder Interessenten des Kunden).

(4) Die Plattform ist nicht speziell für besondere Kategorien personenbezogener Daten (Art. 9, 10 DSGVO) ausgelegt. Will der Kunde solche Daten verarbeiten, prüft er vorab eigenverantwortlich, ob die in den TOM beschriebenen Maßnahmen dafür angemessen sind.

(5) Nicht Gegenstand dieses AVV ist die Verarbeitung der Kontodaten des Kunden (z. B. die E-Mail-Adresse des Kontoinhabers und eingeladener Teammitglieder) zur Bereitstellung und Abrechnung des Dienstes; hierfür ist OrgOps selbst Verantwortlicher (siehe Datenschutzerklärung). Zahlungen wickelt Polar als Merchant of Record in eigener Verantwortung ab.

§ 3 Weisungsbefugnis

(1) OrgOps verarbeitet personenbezogene Daten nur auf dokumentierte Weisung des Kunden, auch in Bezug auf Übermittlungen in Drittländer, sofern OrgOps nicht durch das Recht der Union oder eines Mitgliedstaats zur Verarbeitung verpflichtet ist; in einem solchen Fall teilt OrgOps dem Kunden diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht dies nicht verbietet.

(2) Die Weisungen werden abschließend durch die Nutzungsbedingungen, diesen AVV und die vom Kunden über das Dashboard, die Kommandozeile (mvc) oder die Plattform-Schnittstellen ausgelösten Aktionen (z. B. Deployment, Export, Löschung) erteilt. Weitere Weisungen erfolgen in Textform an mail@orgops.io.

(3) Ist OrgOps der Auffassung, dass eine Weisung gegen datenschutzrechtliche Vorschriften verstößt, informiert OrgOps den Kunden unverzüglich (Art. 28 Abs. 3 Satz 3 DSGVO).

§ 4 Vertraulichkeit

OrgOps gewährleistet, dass sich die zur Verarbeitung befugten Personen zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen. Zugriff auf Kundendaten erhalten nur Personen, die ihn für den Betrieb, die Fehlerbehebung oder den Support benötigen.

§ 5 Technische und organisatorische Maßnahmen

(1) OrgOps trifft die nach Art. 32 DSGVO erforderlichen Maßnahmen. Die zum Zeitpunkt des Vertragsschlusses umgesetzten Maßnahmen sind in der Anlage „Technische und organisatorische Maßnahmen (TOM)“ beschrieben, die Bestandteil dieses Vertrags ist.

(2) Die Maßnahmen unterliegen dem technischen Fortschritt. OrgOps darf sie durch gleichwertige oder bessere Maßnahmen ersetzen; das Schutzniveau darf dabei nicht unterschritten werden. Wesentliche Änderungen werden auf der TOM-Seite dokumentiert.

§ 6 Unterauftragsverarbeiter

(1) Der Kunde erteilt OrgOps die allgemeine Genehmigung, weitere Auftragsverarbeiter einzusetzen. Die zum Zeitpunkt des Vertragsschlusses eingesetzten Unterauftragsverarbeiter sind in der Anlage „Unterauftragsverarbeiter“ aufgeführt und gelten als genehmigt.

(2) OrgOps informiert den Kunden über jede beabsichtigte Hinzuziehung oder Ersetzung eines Unterauftragsverarbeiters, der Daten der gehosteten Apps verarbeitet, mindestens 30 Tage im Voraus per E-Mail an die Adresse des Kontoinhabers und durch Aktualisierung der Anlage. Der Kunde kann innerhalb dieser Frist aus wichtigem datenschutzrechtlichem Grund in Textform widersprechen. Finden die Parteien keine Lösung, kann der Kunde die betroffenen Leistungen zum Zeitpunkt des Wirksamwerdens der Änderung kündigen.

(3) OrgOps erlegt jedem Unterauftragsverarbeiter vertraglich dieselben Datenschutzpflichten auf, wie sie in diesem Vertrag festgelegt sind (Art. 28 Abs. 4 DSGVO). OrgOps haftet gegenüber dem Kunden für die Einhaltung dieser Pflichten durch Unterauftragsverarbeiter.

(4) Nicht als Unterauftragsverarbeitung gelten Dienste, die OrgOps als reine Nebenleistung in Anspruch nimmt und bei denen kein Zugriff auf Daten der Apps besteht (z. B. Telekommunikations- und Transitnetze).

§ 7 Ort der Verarbeitung und Drittlandübermittlung

(1) Quellcode, Datenbanken, Backups und Laufzeitumgebung der Apps werden in Rechenzentren innerhalb der Europäischen Union verarbeitet (derzeit Deutschland und Finnland, siehe Unterauftragsverarbeiter).

(2) Eine Übermittlung in Drittländer erfolgt nur, wenn die Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind (z. B. Angemessenheitsbeschluss einschließlich EU-US Data Privacy Framework oder Standardvertragsklauseln).

(3) Apps können ausgehende Verbindungen ins Internet aufbauen. Bindet der Kunde in seiner App Dienste Dritter ein (z. B. externe APIs, E-Mail- oder Zahlungsdienste), erfolgt diese Datenübermittlung auf Veranlassung und in der Verantwortung des Kunden; diese Dritten sind keine Unterauftragsverarbeiter von OrgOps.

§ 8 Unterstützung bei Betroffenenrechten

(1) OrgOps unterstützt den Kunden mit geeigneten technischen und organisatorischen Maßnahmen bei der Erfüllung der Rechte betroffener Personen (Kapitel III DSGVO). Der Kunde kann Auskunft, Berichtigung, Löschung und Datenübertragbarkeit in der Regel selbst über seine App und die jederzeit verfügbare Exportfunktion seiner Datenbank (Dashboard bzw. mvc backup) umsetzen.

(2) Wendet sich eine betroffene Person unmittelbar an OrgOps, leitet OrgOps die Anfrage unverzüglich an den Kunden weiter und beantwortet sie nicht selbst, soweit der Kunde nichts anderes anweist.

§ 9 Sonstige Unterstützungspflichten

OrgOps unterstützt den Kunden unter Berücksichtigung der Art der Verarbeitung und der verfügbaren Informationen bei der Einhaltung der Pflichten aus Art. 32 bis 36 DSGVO (Sicherheit der Verarbeitung, Meldung von Verletzungen, Datenschutz-Folgenabschätzung, vorherige Konsultation).

§ 10 Meldung von Verletzungen des Schutzes personenbezogener Daten

OrgOps meldet dem Kunden eine Verletzung des Schutzes personenbezogener Daten, die Daten seiner Apps betrifft, unverzüglich nach Bekanntwerden per E-Mail an die Adresse des Kontoinhabers. Die Meldung enthält, soweit bekannt, die Angaben nach Art. 33 Abs. 3 DSGVO; fehlende Angaben werden nachgereicht, sobald sie vorliegen. OrgOps ergreift unverzüglich die erforderlichen Maßnahmen zur Eindämmung und Behebung.

§ 11 Löschung und Rückgabe

(1) Der Kunde kann seine Datenbank jederzeit vollständig exportieren und den Quellcode seiner Apps jederzeit herunterladen. Damit ist die Rückgabe der Daten jederzeit, auch vor Vertragsende, möglich.

(2) Löscht der Kunde eine App, entfernt OrgOps deren Quellcode, Datenbank, Container-Images und laufende Container unverzüglich aus den Live-Systemen. Kopien in Datensicherungen werden nach Ablauf des Aufbewahrungsfensters von 7 Tagen automatisch gelöscht. Wird eine Sicherung wiederhergestellt, wird die Löschung erneut angewendet.

(3) Nach Beendigung des Vertrags bzw. auf Löschverlangen des Kontoinhabers (an mail@orgops.io) löscht OrgOps alle Daten des Kunden innerhalb von 30 Tagen, soweit keine gesetzliche Pflicht zur Speicherung besteht. Auf Verlangen bestätigt OrgOps die Löschung in Textform.

§ 12 Nachweise und Überprüfungen

(1) OrgOps stellt dem Kunden alle erforderlichen Informationen zum Nachweis der Einhaltung der Pflichten aus Art. 28 DSGVO zur Verfügung, insbesondere diese Dokumente, die TOM und die Liste der Unterauftragsverarbeiter. OrgOps verfügt derzeit über keine Zertifizierung nach ISO 27001 oder vergleichbaren Standards.

(2) OrgOps ermöglicht Überprüfungen einschließlich Inspektionen durch den Kunden oder einen von ihm beauftragten, zur Verschwiegenheit verpflichteten Prüfer und trägt dazu bei. Überprüfungen sind mit angemessener Frist anzukündigen, erfolgen zu den üblichen Geschäftszeiten und dürfen den Betrieb sowie die Vertraulichkeit der Daten anderer Kunden nicht beeinträchtigen. Physische Prüfungen der Rechenzentren richten sich nach den Prüfmöglichkeiten, die der jeweilige Unterauftragsverarbeiter einräumt.

§ 13 Haftung

Für die Haftung gegenüber betroffenen Personen gilt Art. 82 DSGVO. Im Übrigen gelten die Haftungsregelungen der Nutzungsbedingungen, soweit gesetzlich zulässig.

§ 14 Schlussbestimmungen

(1) Bei Widersprüchen zwischen diesem AVV und den Nutzungsbedingungen gehen in Fragen des Datenschutzes die Regelungen dieses AVV vor.

(2) Änderungen und Ergänzungen bedürfen der Textform. OrgOps kann diesen AVV anpassen, soweit dies aus rechtlichen oder technischen Gründen erforderlich ist und das Schutzniveau nicht verringert wird; der Kunde wird über Änderungen in Textform informiert.

(3) Sollte eine Bestimmung unwirksam sein, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt.

(4) Es gilt das Recht der Bundesrepublik Deutschland. Gerichtsstand für Kaufleute, juristische Personen des öffentlichen Rechts und öffentlich-rechtliche Sondervermögen ist Nürnberg.

Anlagen

• Anlage 1: Technische und organisatorische Maßnahmen (TOM)
• Anlage 2: Unterauftragsverarbeiter

Kontakt

OrgOps GmbH, Kleestraße 21–23, 90461 Nürnberg
Datenschutzanfragen und Anforderung einer unterzeichneten Fassung: mail@orgops.io