Auftragsverarbeitungsvertrag (AVV) gemäß Art. 28 DSGVO

Stand: Oktober 2026 (v4)

zwischen dem Creator (Nutzer der Plattform Mevio, nachfolgend „Verantwortlicher“) und der Beringer Mast UG (haftungsbeschränkt), Betreiberin der Plattform Mevio (nachfolgend „Mevio“ oder „Auftragsverarbeiter“).

Dieser Vertrag ist Bestandteil des Nutzungsvertrags (AGB § 10) und wird mit der Registrierung bei Mevio abgeschlossen. Eine gesonderte Unterschrift ist nicht erforderlich.

1. Gegenstand und Dauer

(1) Mevio verarbeitet personenbezogene Daten im Auftrag des Verantwortlichen, soweit dieser über Mevio eine Website, Kurse, Produkte oder E-Mail-Kommunikation gegenüber eigenen Kunden und Website-Besuchern betreibt.

(2) Der Vertrag gilt für die Dauer des Nutzungsvertrags. Bestimmungen zur Löschung und Rückgabe gelten darüber hinaus.

2. Art, Zweck und Umfang der Verarbeitung

3. Weisungen

(1) Mevio verarbeitet die Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen. Die Weisungen ergeben sich aus diesem Vertrag, den AGB und der Nutzung der Plattformfunktionen durch den Verantwortlichen (z. B. Anlegen eines Newsletters, Veröffentlichen eines Kurses).

(2) Ist Mevio der Ansicht, dass eine Weisung gegen Datenschutzvorschriften verstößt, weist Mevio den Verantwortlichen unverzüglich darauf hin.

4. Pflichten von Mevio

(1) Vertraulichkeit: Personen, die bei Mevio Zugang zu den Daten haben, sind zur Vertraulichkeit verpflichtet.

(2) Sicherheit: Mevio trifft die technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO gemäß Anlage 1.

(3) Unterstützung: Mevio unterstützt den Verantwortlichen bei der Beantwortung von Anträgen betroffener Personen (Art. 12–23 DSGVO) sowie bei den Pflichten aus Art. 32–36 DSGVO, soweit die Plattform dafür Funktionen bereitstellt.

(4) Datenschutzerklärung: Mevio stellt auf der Website des Verantwortlichen automatisch ein Impressum und eine Datenschutzerklärung bereit, die die über Mevio erfolgenden Verarbeitungen und die eingesetzten Unterauftragsverarbeiter benennen und bei Änderungen automatisch aktualisiert werden. Grundlage sind die Geschäftsdaten, die der Verantwortliche in Mevio hinterlegt.

(5) Meldung von Verletzungen: Mevio informiert den Verantwortlichen unverzüglich, spätestens innerhalb von 48 Stunden, nachdem eine Verletzung des Schutzes personenbezogener Daten bekannt geworden ist.

(6) Löschung und Rückgabe: Der Verantwortliche kann seine Daten jederzeit über die Plattform als Datei exportieren. Mit der Löschung des Kontos löscht Mevio die Daten unverzüglich, sofern keine gesetzliche Aufbewahrungspflicht besteht; Sicherungskopien des Datenbankanbieters werden im Rahmen seines regulären Sicherungszyklus überschrieben.

(7) Nachweise: Mevio stellt die zum Nachweis der Einhaltung erforderlichen Informationen zur Verfügung und ermöglicht Überprüfungen, in der Regel durch Vorlage von Dokumentation und Zertifizierungen der Unterauftragsverarbeiter.

5. Unterauftragsverarbeiter

(1) Der Verantwortliche erteilt Mevio die allgemeine Genehmigung, die in Anlage 2 genannten Unterauftragsverarbeiter einzusetzen.

(2) Mevio informiert den Verantwortlichen mindestens 14 Tage vorher per E-Mail über beabsichtigte Änderungen. Der Verantwortliche kann aus wichtigem datenschutzrechtlichem Grund widersprechen; kommt keine Einigung zustande, kann er den Nutzungsvertrag kündigen.

(3) Mevio verpflichtet Unterauftragsverarbeiter vertraglich auf ein gleichwertiges Datenschutzniveau. Übermittlungen in Drittländer erfolgen nur auf Grundlage eines Angemessenheitsbeschlusses (z. B. EU-US Data Privacy Framework) oder von Standardvertragsklauseln.

6. Pflichten des Verantwortlichen

Der Verantwortliche ist für die Rechtmäßigkeit der Verarbeitung gegenüber seinen Kunden verantwortlich, hält seine Geschäftsdaten in Mevio aktuell und informiert Mevio unverzüglich, wenn er Fehler oder Unregelmäßigkeiten feststellt.

Anlage 1 — Technische und organisatorische Maßnahmen (Zusammenfassung)

• Verschlüsselte Übertragung (TLS) für alle Verbindungen
• Hosting bei Anbietern mit EU-Rechenzentren (Datenbank in der EU-Region Irland)
• Mandantentrennung auf Datenbankebene (Row Level Security)
• Zugriff auf Produktivdaten nur für berechtigte Personen
• Automatisierte Fehlerüberwachung ohne Aufzeichnung von Formulareingaben
• Datensicherung durch den Datenbankanbieter gemäß dessen Leistungsumfang
• Automatisierte Prüfung veröffentlichter Inhalte auf rechtswidrige Inhalte

Anlage 2 — Unterauftragsverarbeiter

Diese Liste wird automatisch aus dem Dienstleister-Register der Plattform erzeugt.