Zur Startseite

Vertrag zur Auftragsverarbeitung (AVV)

gemäß Art. 28 Abs. 3 DSGVO · Stand: 05.05.2026

1. Gegenstand und Dauer der Verarbeitung

Dieser Vertrag konkretisiert die datenschutzrechtlichen Verpflichtungen der Parteien, die sich aus dem zwischen dem Auftraggeber (Kunde) und dem Auftragnehmer (Raphael Fenner, DERAY) geschlossenen Hauptvertrag zur Erbringung von Drohnen-Dienstleistungen ergeben. Der Auftragnehmer verarbeitet personenbezogene Daten für den Auftraggeber im Sinne von Art. 4 Nr. 2 und Art. 28 DSGVO.

Die Dauer dieser Vereinbarung richtet sich nach der Laufzeit des Hauptvertrages, sofern sich aus den Bestimmungen dieses Vertrages keine darüberhinausgehenden Verpflichtungen ergeben.

2. Art und Zweck der Verarbeitung, Art der Daten und Kategorien betroffener Personen

2.1 Art und Zweck: Durchführung von Drohnenflügen zur Inspektion, Thermografie oder Vermessung (RGB- und Infrarotaufnahmen) sowie die anschließende Auswertung und Berichterstellung.

2.2 Kategorien betroffener Personen: Mitarbeiter des Auftraggebers, Besucher des Einsatzortes, Anwohner oder Passanten (als „Beiwerk" bei Außenaufnahmen).

2.3 Arten personenbezogener Daten: Bild- und Videoaufnahmen (Gesichter, Merkmale), Standortdaten, Kennzeichen, Infrarotprofile.

3. Pflichten des Auftragnehmers

Der Auftragnehmer bestätigt, dass er die folgenden Pflichten einhält:

  • Weisungsgebundenheit: Die Verarbeitung erfolgt ausschließlich im Rahmen der getroffenen Vereinbarungen und nach Weisung des Auftraggebers.
  • Vertraulichkeit: Alle zur Verarbeitung der Daten berechtigten Personen sind zur Vertraulichkeit verpflichtet.
  • Sicherheit: Der Auftragnehmer trifft alle erforderlichen technischen und organisatorischen Maßnahmen (TOM), um ein dem Risiko angemessenes Schutzniveau zu gewährleisten (Art. 32 DSGVO).
  • Meldepflicht: Der Auftragnehmer informiert den Auftraggeber unverzüglich, nachdem ihm eine Verletzung des Schutzes personenbezogener Daten im Sinne von Art. 33 Abs. 2 DSGVO bekannt geworden ist.
  • Unterstützung: Der Auftragnehmer unterstützt den Auftraggeber bei der Beantwortung von Anfragen betroffener Personen und der Einhaltung der in Art. 32 bis 36 DSGVO genannten Pflichten.
  • Löschung: Nach Abschluss der Erbringung der Verarbeitungsleistungen löscht der Auftragnehmer alle personenbezogenen Daten oder gibt sie zurück, sofern keine gesetzliche Speicherpflicht besteht.

4. Pflichten des Auftraggebers

Der Auftraggeber ist im Rahmen dieses Vertrages für die Einhaltung der gesetzlichen Bestimmungen der DSGVO, insbesondere für die Rechtmäßigkeit der Datenweitergabe an den Auftragnehmer sowie für die Rechtmäßigkeit der Datenverarbeitung, allein verantwortlich („Verantwortlicher" gemäß Art. 4 Nr. 7 DSGVO).

5. Unterauftragsverhältnisse

Der Auftraggeber erteilt dem Auftragnehmer die allgemeine Genehmigung, weitere Subunternehmer (Unterauftragsverarbeiter) einzusetzen (z. B. externe Piloten oder Cloud-Speicheranbieter). Der Auftragnehmer informiert den Auftraggeber vorab über jede beabsichtigte Änderung in Bezug auf die Hinzuziehung oder Ersetzung von Subunternehmern. Der Auftraggeber hat das Recht, dieser Änderung aus wichtigem datenschutzrechtlichem Grund innerhalb von 14 Tagen zu widersprechen. Der Auftragnehmer muss dem Subunternehmer dieselben Datenschutzpflichten auferlegen, die in diesem Vertrag festgelegt sind.

6. Kontrollrechte

Der Auftraggeber hat das Recht, im Benehmen mit dem Auftragnehmer Überprüfungen durchzuführen oder durch im Einzelfall zu benennende Prüfer durchführen zu lassen. Der Auftragnehmer verpflichtet sich, dem Auftraggeber auf Anfrage alle erforderlichen Informationen zum Nachweis der Einhaltung seiner Pflichten zur Verfügung zu stellen.

7. Schlussbestimmungen

Sollten einzelne Bestimmungen dieses Vertrages unwirksam sein, berührt dies die Wirksamkeit der übrigen Bestimmungen nicht. Es gilt das Recht der Bundesrepublik Deutschland.

Anlage: Technische und organisatorische Maßnahmen (TOM) — Muster für DERAY

1. Vertraulichkeit (Zutritts-, Zugangs- und Zugriffskontrolle)
  • Sicherung der Datenträger (SD-Karten und USB-Sticks) gegen unbefugte Entnahme während des Transports und Aufbewahrung in verschlossenen Behältnissen.
  • Einsatz verschlüsselter USB-Sticks (Hardware- oder Software-Verschlüsselung) zur sicheren Speicherung und zum Transport von Bild- und Videodaten.
  • Passwortgeschützte Rechnersysteme und verschlüsselte Datenübertragung (z. B. Google Drive oder gesicherte Cloud-Links).
  • Keine Speicherung von Rohdaten auf frei zugänglichen Servern.
2. Integrität (Weitergabekontrolle)
  • Übermittlung der Inspektionsberichte ausschließlich an den benannten Ansprechpartner des Auftraggebers.
  • Nutzung von Verschlüsselungsverfahren bei der digitalen Übermittlung.
3. Verfügbarkeit und Belastbarkeit
  • Regelmäßige Backups der Auswertungsdaten bis zur endgültigen Abnahme durch den Kunden.
4. Verfahren zur regelmäßigen Überprüfung (Datenschutz-Management)
  • Regelmäßige Löschung von „Beiwerk" (Gesichter/Kennzeichen) durch Verpixelung oder Löschen der Sequenz unmittelbar nach der Rohdatensichtung, sofern nicht auftragsrelevant.