Stand: 29. Juli 2026

Auftragsverarbeitungsvertrag (AVV) gemäß Art. 28 DSGVO

Yurii Shevchenko
Digital Marketing Consultant
Hohenzollernring 92
50672 Köln

Kontakt:
Telefon: +49 179 1444 255
E-Mail: contact@yurii-shevchenko.com

§ 1 Gegenstand und Geltungsbereich
Dieser Auftragsverarbeitungsvertrag (AVV) gilt für alle Tätigkeiten, bei denen Yurii Shevchenko (nachfolgend „Auftragnehmer") im Rahmen von Dienstleistungsverträgen personenbezogene Daten im Auftrag und auf Weisung des Auftraggebers verarbeitet.
Der AVV ergänzt den jeweiligen Hauptvertrag und ist Bestandteil der vertraglichen Vereinbarung. Im Konfliktfall hat der AVV Vorrang in datenschutzrechtlichen Fragen.

§ 2 Art, Zweck und Umfang der Verarbeitung
Art der Verarbeitung:
Erhebung, Speicherung, Auswertung, Übermittlung und Nutzung personenbezogener Daten im Rahmen digitaler Marketing- und Analysedienstleistungen.
Zweck der Verarbeitung:
Einrichtung und Betrieb von Web-Analyse- und Tracking-Systemen (z. B. Google Analytics 4, Google Tag Manager), Verwaltung und Optimierung von Online-Werbekampagnen (z. B. Google Ads), Conversion-Tracking sowie Erstellung von Performance-Berichten.
Art der betroffenen Daten:
Nutzungsdaten (z. B. IP-Adressen, Gerätedaten, Browser-Informationen), Verhaltensdaten (z. B. Seitenaufrufe, Klickpfade, Verweildauer), Conversion-Daten sowie technische Identifikatoren (z. B. Cookies, Client-IDs).
Kategorien betroffener Personen:
Besucher und Nutzer der Website(s) des Auftraggebers sowie Personen, die mit den Werbemaßnahmen des Auftraggebers interagieren.
Dauer der Verarbeitung:
Die Verarbeitung erfolgt für die Dauer des jeweiligen Hauptvertrages. Nach Vertragsende gelten die Regelungen in § 8 dieses AVV.

§ 3 Pflichten des Auftragnehmers
Weisungsgebundenheit:
Personenbezogene Daten werden ausschließlich auf dokumentierte Weisung des Auftraggebers verarbeitet. Ist der Auftragnehmer der Auffassung, dass eine Weisung gegen datenschutzrechtliche Vorschriften verstößt, informiert er den Auftraggeber unverzüglich.
Vertraulichkeit:
Alle zur Verarbeitung befugten Personen sind zur Vertraulichkeit verpflichtet oder unterliegen einer gesetzlichen Verschwiegenheitspflicht.
Technische und organisatorische Maßnahmen:
Der Auftragnehmer ergreift alle erforderlichen Maßnahmen gemäß Art. 32 DSGVO (siehe § 7 dieses AVV).
Unterstützungspflichten:
Der Auftragnehmer unterstützt den Auftraggeber bei der Erfüllung seiner Pflichten gegenüber betroffenen Personen (Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit) durch geeignete technische und organisatorische Maßnahmen.
Meldepflicht bei Datenschutzverletzungen:
Der Auftragnehmer informiert den Auftraggeber unverzüglich, spätestens innerhalb von 48 Stunden, sobald ihm eine Verletzung des Schutzes personenbezogener Daten bekannt wird.
Nachweispflicht:
Der Auftragnehmer stellt alle erforderlichen Informationen zur Verfügung, um die Einhaltung der Pflichten dieses AVV nachzuweisen, und ermöglicht Überprüfungen durch den Auftraggeber oder einen von ihm beauftragten Prüfer.

§ 4 Pflichten des Auftraggebers
Der Auftraggeber ist allein verantwortlich für die Rechtmäßigkeit der Verarbeitung personenbezogener Daten sowie für die Einhaltung der Informationspflichten gegenüber betroffenen Personen gemäß Art. 13 und 14 DSGVO.
Der Auftraggeber stellt sicher, dass auf der eigenen Website ein rechtskonformes Consent Management (Cookie-Banner) implementiert ist, bevor Tracking- und Analyse-Tools aktiviert werden.
Weisungen werden ausschließlich in schriftlicher Form erteilt (mindestens per E-Mail).
Der Auftraggeber informiert den Auftragnehmer unverzüglich, wenn er Fehler oder Unregelmäßigkeiten bei der Verarbeitung personenbezogener Daten feststellt.

§ 5 Unterauftragsverarbeitung
Der Auftragnehmer ist berechtigt, Subunternehmer (Unterauftragsverarbeiter) einzusetzen. Durch den Abschluss des Hauptvertrages erteilt der Auftraggeber seine allgemeine Genehmigung für den Einsatz der folgenden Plattformen:
Google LLC — Analytics, Tag Management, Werbung (GA4, GTM, Google Ads); Sitz: USA (Datenübermittlung auf Basis von EU-Standardvertragsklauseln).
Meta Platforms Ireland Ltd. — Werbung, sofern vertraglich vereinbart; Sitz: Irland.
Beabsichtigt der Auftragnehmer, weitere Unterauftragsverarbeiter hinzuzuziehen oder bestehende auszutauschen, informiert er den Auftraggeber mindestens 14 Tage im Voraus. Der Auftraggeber kann Änderungen aus berechtigten datenschutzrechtlichen Gründen schriftlich ablehnen.
Der Auftragnehmer stellt sicher, dass alle Unterauftragsverarbeiter denselben Datenschutzpflichten unterliegen wie in diesem AVV festgelegt.

§ 6 Drittlandübermittlung
Sofern personenbezogene Daten in Länder außerhalb des Europäischen Wirtschaftsraums (EWR) übermittelt werden (insbesondere an Google LLC, USA), erfolgt dies auf Basis geeigneter Garantien gemäß Art. 46 DSGVO (EU-Standardvertragsklauseln). Der Auftragnehmer stellt sicher, dass entsprechende Vereinbarungen mit den jeweiligen Anbietern bestehen.
§ 7 Technische und organisatorische Maßnahmen (TOMs)
Zutrittskontrolle:
Unbefugter Zutritt zu Datenverarbeitungsanlagen wird durch gesicherte Arbeitsumgebung und Bildschirmsperre verhindert.
Zugangskontrolle:
Zugang zu Systemen ist durch starke Passwörter und, wo möglich, Zwei-Faktor-Authentifizierung (2FA) geschützt.
Zugriffskontrolle:
Zugriff auf personenbezogene Daten erfolgt nur durch berechtigte Personen; Zugriffsrechte werden auf das notwendige Minimum beschränkt (Principle of Least Privilege).
Weitergabekontrolle:
Datenübertragungen erfolgen ausschließlich über verschlüsselte Verbindungen (TLS/HTTPS).
Eingabekontrolle:
Änderungen in Systemen sind nachvollziehbar und werden protokolliert, soweit die jeweilige Plattform dies ermöglicht.
Verfügbarkeitskontrolle:
Regelmäßige Datensicherungen werden durch die eingesetzten Plattformen gewährleistet.
Trennungskontrolle:
Daten verschiedener Auftraggeber werden organisatorisch getrennt verarbeitet (separate Konten, Arbeitsbereiche und Zugänge je Auftraggeber).

§ 8 Löschung und Rückgabe von Daten
Nach Beendigung des Hauptvertrages oder auf Weisung des Auftraggebers löscht oder gibt der Auftragnehmer alle personenbezogenen Daten des Auftraggebers zurück, sofern keine gesetzliche Aufbewahrungspflicht besteht.
Der Auftragnehmer ist berechtigt, Kopien von Daten zu Archivierungszwecken aufzubewahren, soweit dies zur Erfüllung gesetzlicher Aufbewahrungspflichten (HGB, AO) oder zur Nachweisbarkeit im Streitfall erforderlich ist.
Personenbezogene Daten, die ausschließlich auf den Plattformen des Auftraggebers gespeichert sind (z. B. im Google Analytics-Konto des Auftraggebers), verbleiben nach Vertragsende im Verantwortungsbereich des Auftraggebers.

§ 9 Haftung
Die Haftung der Parteien bei Verstößen gegen datenschutzrechtliche Vorschriften richtet sich nach den gesetzlichen Regelungen der DSGVO, insbesondere Art. 82 DSGVO, sowie den Haftungsbeschränkungen des jeweiligen Hauptvertrages, soweit diese mit dem anwendbaren Datenschutzrecht vereinbar sind.

§ 10 Anwendbares Recht und Geltungsdauer
Dieser AVV unterliegt dem Recht der Bundesrepublik Deutschland.
Der AVV gilt in der zum Zeitpunkt der Unterzeichnung des Hauptvertrages aktuellen Fassung. Der Auftragnehmer behält sich das Recht vor, diesen AVV bei geänderten gesetzlichen Anforderungen oder geänderter Verarbeitungspraxis anzupassen. Wesentliche Änderungen werden dem Auftraggeber mindestens 30 Tage vor Inkrafttreten per E-Mail mitgeteilt.
Dieser AVV tritt mit Abschluss des jeweiligen Hauptvertrages in Kraft und endet automatisch mit dessen Beendigung, vorbehaltlich der Regelungen in § 8.