Vereinbarung zur Auftragsverarbeitung gemäß Art. 28 DSGVO

KüchenLead – AVV Version 1.0
Stand: August 2026

zwischen

dem im elektronischen Bestell- und Onboardingprozess bezeichneten Küchenstudio bzw. Unternehmen

– nachfolgend „Auftraggeber“ oder „Verantwortlicher“ –

und

KüchenLead
Inhaber: Erik Hassler
Schreibergasse 9
91462 Dachsbach
Deutschland
E-Mail: info@kuechenlead.de

– nachfolgend „Auftragnehmer“ oder „Auftragsverarbeiter“ –

wird folgende Vereinbarung zur Auftragsverarbeitung gemäß Art. 28 DSGVO geschlossen.

1. Gegenstand und Zweck der Vereinbarung

1. Diese Vereinbarung konkretisiert die datenschutzrechtlichen Rechte und Pflichten der Parteien im Zusammenhang mit der Nutzung von KüchenLead, soweit der Auftragnehmer personenbezogene Daten im Auftrag des Auftraggebers verarbeitet.
2. KüchenLead stellt dem Auftraggeber eine digitale Softwarelösung zur Erfassung, Strukturierung und Qualifizierung von Anfragen potentieller Kundinnen und Kunden des Auftraggebers zur Verfügung.
3. Über den digitalen Küchenberater können Interessenten insbesondere Angaben zu ihrer geplanten Küche, ihren Wünschen, ihrem Budget, ihren Kontaktdaten sowie gegebenenfalls Bilder, Grundrisse und weitere Planungsunterlagen übermitteln.
4. KüchenLead verarbeitet diese Daten ausschließlich im Rahmen der vereinbarten Leistung und entsprechend den dokumentierten Weisungen des Auftraggebers, soweit keine gesetzliche Verpflichtung zu einer darüber hinausgehenden Verarbeitung besteht.
5. Art, Umfang und Zweck der Verarbeitung sowie die betroffenen Personengruppen und Datenarten ergeben sich ergänzend aus Anlage 1 – Beschreibung der Auftragsverarbeitung.

2. Dauer der Verarbeitung

1. Diese Vereinbarung gilt für die Dauer des zwischen den Parteien bestehenden Hauptvertrags über die Nutzung von KüchenLead.
2. Sie beginnt mit dem elektronischen Abschluss im Rahmen des KüchenLead-Onboardings und endet grundsätzlich mit der vollständigen Beendigung der Verarbeitung personenbezogener Daten im Auftrag des Auftraggebers.
3. Pflichten, die ihrer Natur nach über das Vertragsende hinaus gelten, insbesondere Vertraulichkeits-, Lösch- und Nachweispflichten, bleiben bis zu ihrer vollständigen Erfüllung bestehen.

3. Verantwortlichkeit und Weisungsbefugnis

1. Der Auftraggeber ist Verantwortlicher im Sinne von Art. 4 Nr. 7 DSGVO.
2. KüchenLead verarbeitet personenbezogene Daten als Auftragsverarbeiter im Sinne von Art. 4 Nr. 8 DSGVO.
3. Der Auftraggeber bleibt für die Rechtmäßigkeit der Erhebung und Verarbeitung der personenbezogenen Daten sowie für die Wahrung der Rechte der betroffenen Personen verantwortlich.
4. Die Verarbeitung durch KüchenLead erfolgt ausschließlich auf dokumentierte Weisung des Auftraggebers.
5. Als dokumentierte Weisungen gelten insbesondere:
   • die Bestimmungen des Hauptvertrags,
   • diese Vereinbarung einschließlich ihrer Anlagen,
   • die bestimmungsgemäße Nutzung und Konfiguration von KüchenLead durch den Auftraggeber,
   • sowie zusätzliche Weisungen des Auftraggebers in Textform.
6. Weisungen können insbesondere per E-Mail an info@kuechenlead.de erteilt werden.
7. KüchenLead informiert den Auftraggeber unverzüglich, wenn KüchenLead der Auffassung ist, dass eine Weisung gegen die DSGVO oder andere anwendbare Datenschutzvorschriften verstößt.
8. KüchenLead ist berechtigt, die Ausführung einer erkennbar rechtswidrigen Weisung bis zur Klärung auszusetzen.

4. Pflichten des Auftraggebers

1. Der Auftraggeber ist für die Rechtmäßigkeit der Verarbeitung der personenbezogenen Daten verantwortlich.
2. Der Auftraggeber stellt insbesondere sicher, dass:
   • eine geeignete Rechtsgrundlage für die Verarbeitung besteht,
   • betroffene Personen ordnungsgemäß über die Verarbeitung informiert werden,
   • die gegenüber Interessenten bereitgestellte Datenschutzerklärung aktuell und rechtmäßig ist,
   • nur solche personenbezogenen Daten über KüchenLead verarbeitet werden, die für den vorgesehenen Zweck erforderlich sind,
   • und die von KüchenLead bereitgestellten Funktionen datenschutzkonform eingesetzt werden.
3. Der Auftraggeber informiert KüchenLead unverzüglich, wenn ihm Fehler, Unregelmäßigkeiten oder Verstöße im Zusammenhang mit der Auftragsverarbeitung bekannt werden.
4. Die bestimmungsgemäße Nutzung von KüchenLead ist nicht auf die Verarbeitung besonderer Kategorien personenbezogener Daten gemäß Art. 9 DSGVO ausgelegt.
5. Der Auftraggeber soll daher keine besonderen Kategorien personenbezogener Daten über KüchenLead erheben oder verarbeiten lassen, sofern dies nicht zuvor ausdrücklich vereinbart und datenschutzrechtlich geprüft wurde.

5. Vertraulichkeit

1. KüchenLead stellt sicher, dass Personen, die zur Verarbeitung personenbezogener Daten befugt sind, zur Vertraulichkeit verpflichtet wurden oder einer entsprechenden gesetzlichen Verschwiegenheitspflicht unterliegen.
2. Personenbezogene Daten dürfen nur solchen Personen zugänglich gemacht werden, die den Zugriff zur Erfüllung der vereinbarten Leistungen benötigen.
3. Die Verpflichtung zur Vertraulichkeit besteht auch nach Beendigung der Tätigkeit beziehungsweise des Vertragsverhältnisses fort.

6. Technische und organisatorische Maßnahmen

1. KüchenLead trifft unter Berücksichtigung des Stands der Technik, der Implementierungskosten sowie Art, Umfang, Umständen und Zwecken der Verarbeitung geeignete technische und organisatorische Maßnahmen zur Gewährleistung eines dem Risiko angemessenen Schutzniveaus.
2. Die aktuell eingesetzten technischen und organisatorischen Maßnahmen sind in
   Anlage 2 – Technische und organisatorische Maßnahmen (TOM)
   beschrieben.
3. Die TOM sind Bestandteil dieser Vereinbarung.
4. KüchenLead darf technische und organisatorische Maßnahmen weiterentwickeln und an technische oder organisatorische Veränderungen anpassen.
5. Dabei darf das vereinbarte Sicherheitsniveau nicht unangemessen unterschritten werden.

7. Unterstützung bei Betroffenenrechten

1. KüchenLead unterstützt den Auftraggeber im Rahmen der verfügbaren technischen und organisatorischen Möglichkeiten bei der Erfüllung seiner Pflichten gegenüber betroffenen Personen.
2. Dies betrifft insbesondere Anträge auf:
   • Auskunft,
   • Berichtigung,
   • Löschung,
   • Einschränkung der Verarbeitung,
   • Datenübertragbarkeit,
   • sowie gegebenenfalls Widerspruch.
3. Erhält KüchenLead unmittelbar eine Anfrage einer betroffenen Person, die sich erkennbar auf Daten eines Auftraggebers bezieht, wird KüchenLead die Anfrage grundsätzlich an den betreffenden Auftraggeber weiterleiten.
4. KüchenLead wird eine solche Anfrage nicht eigenständig inhaltlich beantworten, soweit dies nicht gesetzlich vorgeschrieben oder vom Auftraggeber angewiesen wurde.
5. KüchenLead stellt dem Auftraggeber im Rahmen der vereinbarten Funktionalität technische Möglichkeiten zur Suche, Berichtigung, Auskunft beziehungsweise zum Export und zur Löschung personenbezogener Daten zur Verfügung.

8. Unterstützung bei Datenschutzpflichten des Auftraggebers

1. KüchenLead unterstützt den Auftraggeber unter Berücksichtigung der Art der Verarbeitung und der verfügbaren Informationen angemessen bei der Einhaltung der Pflichten aus Art. 32 bis 36 DSGVO.
2. Dies betrifft insbesondere:
   • Sicherheit der Verarbeitung,
   • Meldung von Verletzungen des Schutzes personenbezogener Daten,
   • Benachrichtigung betroffener Personen,
   • Datenschutz-Folgenabschätzungen,
   • sowie gegebenenfalls vorherige Konsultationen mit Aufsichtsbehörden.
3. Der Umfang der Unterstützung richtet sich nach Art und Umfang der vereinbarten Verarbeitung und den KüchenLead tatsächlich zur Verfügung stehenden Informationen.

9. Verletzungen des Schutzes personenbezogener Daten

1. KüchenLead informiert den Auftraggeber unverzüglich, sobald KüchenLead eine Verletzung des Schutzes personenbezogener Daten feststellt, die personenbezogene Daten betrifft, welche KüchenLead im Auftrag des Auftraggebers verarbeitet.
2. Die Mitteilung enthält, soweit die entsprechenden Informationen verfügbar sind, insbesondere:
   • Art der Verletzung,
   • die betroffenen Daten beziehungsweise Datenkategorien,
   • die voraussichtlich betroffenen Personengruppen,
   • die möglichen Folgen der Verletzung,
   • sowie die ergriffenen oder geplanten Maßnahmen zur Behebung und Begrenzung möglicher Auswirkungen.
3. Sind nicht alle Informationen unmittelbar verfügbar, können diese schrittweise ergänzt werden.
4. KüchenLead unterstützt den Auftraggeber angemessen bei der Erfüllung etwaiger Melde- und Benachrichtigungspflichten gegenüber Aufsichtsbehörden und betroffenen Personen.

10. Unterauftragsverarbeiter

1. Der Auftraggeber erteilt KüchenLead die allgemeine Genehmigung, weitere Auftragsverarbeiter einzusetzen, soweit dies für die Bereitstellung von KüchenLead erforderlich ist.
2. Die bei Abschluss dieser Vereinbarung eingesetzten Unterauftragsverarbeiter beziehungsweise die relevante technische Verarbeitungskette ergeben sich aus
   Anlage 3 – Unterauftragsverarbeiter.
3. Anlage 3 ist Bestandteil dieser Vereinbarung.
4. KüchenLead stellt sicher, dass Unterauftragsverarbeiter vertraglich zu Datenschutzpflichten verpflichtet werden, die den Anforderungen des Art. 28 DSGVO entsprechen.
5. KüchenLead bleibt gegenüber dem Auftraggeber im Rahmen der gesetzlichen Vorschriften für die Erfüllung der Pflichten der eingesetzten Unterauftragsverarbeiter verantwortlich.
6. KüchenLead ist berechtigt, Unterauftragsverarbeiter zu ergänzen, auszutauschen oder zu ersetzen, sofern dies für die Bereitstellung, Sicherheit oder Weiterentwicklung des Dienstes erforderlich ist.
7. Über wesentliche Änderungen bei Unterauftragsverarbeitern wird der Auftraggeber in geeigneter Weise informiert.
8. Der Auftraggeber kann einer Änderung aus berechtigten datenschutzrechtlichen Gründen widersprechen.
9. Können die Parteien einen berechtigten Widerspruch nicht angemessen lösen und ist die weitere Leistung ohne den betreffenden Unterauftragsverarbeiter nicht möglich, bleiben die gesetzlichen und vertraglichen Beendigungsrechte unberührt.

11. Datenverarbeitung in Drittländern

1. Soweit personenbezogene Daten außerhalb des Europäischen Wirtschaftsraums verarbeitet werden, stellt KüchenLead sicher, dass die gesetzlichen Voraussetzungen der Art. 44 ff. DSGVO eingehalten werden.
2. Eine Übermittlung kann insbesondere auf Grundlage erfolgen:
   • eines Angemessenheitsbeschlusses der Europäischen Kommission,
   • geeigneter Garantien,
   • Standardvertragsklauseln der Europäischen Kommission,
   • oder eines anderen nach der DSGVO zulässigen Übermittlungsmechanismus.
3. Soweit Unterauftragsverarbeiter eingesetzt werden, gelten ergänzend die Angaben in Anlage 3.
4. KüchenLead berücksichtigt bei Drittlandübermittlungen die jeweils geltenden datenschutzrechtlichen Anforderungen.

12. Kontrolle und Nachweise

1. KüchenLead stellt dem Auftraggeber auf Anfrage die Informationen zur Verfügung, die erforderlich sind, um die Einhaltung der Verpflichtungen aus Art. 28 DSGVO nachzuweisen.
2. Der Auftraggeber ist berechtigt, die Einhaltung dieser Vereinbarung in angemessenem Umfang zu kontrollieren.
3. Vorrangig sollen hierfür vorhandene Dokumentationen, Sicherheitsinformationen, Prüfberichte, Zertifizierungen und schriftliche Auskünfte genutzt werden.
4. Soweit diese Informationen im Einzelfall nicht ausreichen, kann der Auftraggeber nach angemessener vorheriger Ankündigung zusätzliche Prüfungen verlangen.
5. Prüfungen müssen unter Berücksichtigung der Verhältnismäßigkeit erfolgen und dürfen den laufenden Geschäftsbetrieb, die Sicherheit der Systeme sowie Geschäfts- und Betriebsgeheimnisse anderer Kunden nicht unangemessen beeinträchtigen.
6. Vor-Ort-Prüfungen sind nur erforderlich, soweit eine Prüfung anhand verfügbarer Dokumentationen und Informationen nicht ausreichend möglich ist und ein berechtigter Anlass besteht.
7. Der Auftraggeber beziehungsweise ein von ihm eingesetzter Prüfer ist zur Vertraulichkeit verpflichtet.
8. Kosten außergewöhnlicher oder besonders aufwendiger Prüfungen können dem Auftraggeber in angemessenem Umfang berechnet werden, soweit die Prüfung nicht durch einen von KüchenLead zu vertretenden Datenschutzverstoß erforderlich geworden ist.

13. Löschung und Rückgabe personenbezogener Daten

1. Nach Beendigung der Auftragsverarbeitung löscht oder gibt KüchenLead die im Auftrag verarbeiteten personenbezogenen Daten entsprechend der Weisung des Auftraggebers und den vereinbarten Löschregelungen zurück, soweit keine gesetzliche Verpflichtung zur weiteren Speicherung besteht.
2. Für im laufenden Betrieb gespeicherte personenbezogene Daten gelten die im jeweiligen Dienst implementierten Lösch- und Aufbewahrungsfristen.
3. Daten aus Interessentenanfragen werden entsprechend dem für KüchenLead geltenden Löschkonzept verarbeitet und gelöscht.
4. Dateien und Uploads werden entsprechend den für sie vorgesehenen Löschfristen entfernt.
5. Soweit der Auftraggeber ein Studio beziehungsweise den Vertrag vollständig löschen beziehungsweise beenden lässt, werden die zugehörigen produktiven Daten entsprechend den vereinbarten Löschprozessen entfernt, soweit keine gesetzlichen Aufbewahrungspflichten entgegenstehen.
6. Bereits gelöschte Daten können für einen begrenzten Zeitraum noch in technisch notwendigen Sicherungskopien enthalten sein.
7. Diese Sicherungskopien werden nicht erneut produktiv verarbeitet und entsprechend dem vorgesehenen Backupzyklus gelöscht beziehungsweise überschrieben.
8. Gesetzlich oder vertraglich erforderliche Nachweise über den Vertragsschluss, Zahlungs- oder Zustimmungsvorgänge können unabhängig davon entsprechend den anwendbaren Aufbewahrungspflichten gespeichert werden.

14. Datensicherheit und Mandantentrennung

1. KüchenLead trifft technische Maßnahmen, um Daten unterschiedlicher Auftraggeber voneinander zu trennen und unberechtigten Zugriff zu verhindern.
2. Der Zugriff auf administrative Funktionen ist auf entsprechend berechtigte Personen beschränkt.
3. Sicherheitsrelevante Funktionen und Zugriffe werden soweit vorgesehen serverseitig kontrolliert.
4. Öffentliche Eingabeprozesse werden gegen missbräuchliche oder automatisierte Nutzung geschützt.
5. Hochgeladene Dateien werden entsprechend der vorgesehenen Speicher- und Zugriffskontrollen verarbeitet.
6. Weitere Einzelheiten ergeben sich aus den TOM gemäß Anlage 2.

15. Verarbeitung nach Beendigung des Hauptvertrags

1. Mit Beendigung des Hauptvertrags endet grundsätzlich auch die Berechtigung von KüchenLead zur Verarbeitung personenbezogener Daten im Auftrag des Auftraggebers.
2. Zulässig bleiben danach nur:
   • technisch notwendige Übergangs- und Löschprozesse,
   • die Bereitstellung einer vereinbarten Datenherausgabe,
   • Verarbeitung aufgrund zwingender gesetzlicher Pflichten,
   • sowie eine vorübergehende Speicherung innerhalb technisch notwendiger Sicherungskopien.
3. Eine Nutzung personenbezogener Daten für eigene Werbe-, Profilbildungs- oder sonstige mit dem Auftrag unvereinbare Zwecke erfolgt nicht.

16. Änderungen dieser Vereinbarung und Anlagen

1. Änderungen und Ergänzungen dieser Vereinbarung werden dokumentiert.
2. KüchenLead führt für diese Vereinbarung und ihre Anlagen Versionskennungen.
3. Wesentliche inhaltliche Änderungen werden nicht rückwirkend auf bereits dokumentierte Zustimmungen angewendet.
4. Beim elektronischen Abschluss werden insbesondere die jeweils geltenden Versionen folgender Dokumente dokumentiert:
   • AVV,
   • Technische und organisatorische Maßnahmen (TOM),
   • Liste der Unterauftragsverarbeiter.
5. Soweit eine Änderung eine erneute Zustimmung oder sonstige vertragliche Anpassung erfordert, wird diese entsprechend eingeholt.

17. Haftung

1. Für die Haftung der Parteien gelten die gesetzlichen Vorschriften sowie die im Hauptvertrag beziehungsweise in den einbezogenen Allgemeinen Geschäftsbedingungen vereinbarten Haftungsregelungen.
2. Die datenschutzrechtliche Verantwortungsverteilung nach der DSGVO bleibt hiervon unberührt.
3. Jede Partei ist für die Einhaltung der datenschutzrechtlichen Pflichten verantwortlich, die ihr nach der DSGVO und dieser Vereinbarung zugewiesen sind.

18. Rangfolge

1. Bei Widersprüchen zwischen dieser Vereinbarung und dem Hauptvertrag gehen hinsichtlich der Verarbeitung personenbezogener Daten im Auftrag die Bestimmungen dieser Vereinbarung vor.
2. Die Anlagen sind Bestandteil dieser Vereinbarung.
3. Bei Widersprüchen zwischen dem Haupttext dieser Vereinbarung und einer Anlage geht der Haupttext vor, soweit nicht in der jeweiligen Anlage ausdrücklich etwas anderes bestimmt ist.
4. Zwingende gesetzliche Vorschriften bleiben unberührt.

19. Schlussbestimmungen

1. Für diese Vereinbarung gilt deutsches Recht, soweit gesetzlich zulässig.
2. Sollte eine einzelne Bestimmung dieser Vereinbarung unwirksam oder undurchführbar sein oder werden, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt.
3. An die Stelle einer unwirksamen oder undurchführbaren Regelung treten die gesetzlichen Bestimmungen.

Anlagen

Bestandteil dieser Vereinbarung sind:

• Anlage 1 – Beschreibung der Auftragsverarbeitung
• Anlage 2 – Technische und organisatorische Maßnahmen (TOM)
• Anlage 3 – Unterauftragsverarbeiter

Die Anlagen sind über die im KüchenLead-Onboarding bereitgestellten Links vor Vertragsschluss einsehbar.

Elektronischer Abschluss

Diese Vereinbarung zur Auftragsverarbeitung wird elektronisch geschlossen.

Eine handschriftliche Unterzeichnung ist nicht erforderlich.

Der Abschluss erfolgt durch die ausdrückliche Zustimmung des Auftraggebers im elektronischen Bestell- und Onboardingprozess von KüchenLead.

KüchenLead dokumentiert dabei insbesondere:

• den Auftraggeber beziehungsweise das betreffende Studio,
• den Zeitpunkt der Zustimmung,
• die Version dieser AVV,
• die Version der Technischen und organisatorischen Maßnahmen (TOM),
• die Version der Liste der Unterauftragsverarbeiter,
• den zum Zeitpunkt des Abschlusses angezeigten Zustimmungstext,
• sowie einen technischen Inhaltsnachweis beziehungsweise Fingerprint der einbezogenen Vertragsdokumente.

Damit wird der elektronische Abschluss der Vereinbarung nachvollziehbar dokumentiert.

KüchenLead
Inhaber: Erik Hassler
Schreibergasse 9
91462 Dachsbach
Deutschland
E-Mail: info@kuechenlead.de

AVV Version 1.0 – Stand August 2026