Was der Vertrag regelt: Art. 28 DSGVO.
AV-Vertrag nach Art. 28 DSGVO.
Was ein Auftragsverarbeitungsvertrag regelt, steht in Art. 28 DSGVO. Diese Seite gibt den Wortlaut wieder und sagt, auf welcher Grundlage ByeBot verarbeitet.
Stand: 01.08.2026
In Ausschreibungen und Datenschutzprüfungen wird der AV-Vertrag beim Namen genannt, oft ohne dass jemand nachschlägt, was die Verordnung dazu tatsächlich sagt. Deshalb steht der Wortlaut hier. Was daraus für Ihre eigene Einbindung folgt, entscheiden Sie und Ihre Rechtsberatung. Von uns kommen die Tatsachen, nicht die Bewertung.
Was ist ein Auftragsverarbeitungsvertrag?
Der Vertrag, der eine Verarbeitung im Auftrag bindet.
Art. 28 Abs. 3 DSGVO spricht von einem Vertrag oder einem anderen Rechtsinstrument nach dem Unionsrecht oder dem Recht der Mitgliedstaaten.
Verarbeitet eine Stelle personenbezogene Daten für eine andere, dann beschreibt die Verordnung dafür zwei Rollen und einen Vertrag dazwischen. Der Vertrag legt fest, was mit den Daten geschieht, wie lange und in welchem Rahmen. Zieht der Auftragsverarbeiter selbst einen Dienstleister hinzu, wird die Kette um ein Glied länger, und Art. 28 Abs. 2 und Abs. 4 regeln, unter welchen Bedingungen.
- VerantwortlicherEntscheidet über Zwecke und Mittel der Verarbeitung. Art. 4 Nr. 7 DSGVO.
- AuftragsverarbeiterVerarbeitet personenbezogene Daten im Auftrag des Verantwortlichen. Art. 4 Nr. 8 DSGVO.
- Weiterer AuftragsverarbeiterWird nach Abs. 2 nur mit Genehmigung hinzugezogen und trägt nach Abs. 4 dieselben Pflichten.
Art. 4 Nr. 7 und Nr. 8 DSGVO definieren die ersten beiden Rollen. Das dritte Glied entsteht erst, wenn ein Auftragsverarbeiter einen weiteren hinzuzieht.
- Verantwortlicher
- Nach Art. 4 Nr. 7 DSGVO die Stelle, die allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung entscheidet.
- Auftragsverarbeiter
- Nach Art. 4 Nr. 8 DSGVO die Stelle, die personenbezogene Daten im Auftrag des Verantwortlichen verarbeitet.
- Form
- Art. 28 Abs. 9 DSGVO verlangt Schriftform und lässt dafür ausdrücklich ein elektronisches Format zu.
Was verlangt Art. 28 Abs. 3 DSGVO?
Fünf Angaben und acht Punkte.
Satz 1 nennt, was im Vertrag festgelegt ist. Satz 2 zählt in den Buchstaben a bis h auf, was er insbesondere vorsieht.
Die Verarbeitung durch einen Auftragsverarbeiter erfolgt auf der Grundlage eines Vertrags oder eines anderen Rechtsinstruments nach dem Unionsrecht oder dem Recht der Mitgliedstaaten, der bzw. das den Auftragsverarbeiter in Bezug auf den Verantwortlichen bindet und in dem Gegenstand und Dauer der Verarbeitung, Art und Zweck der Verarbeitung, die Art der personenbezogenen Daten, die Kategorien betroffener Personen und die Pflichten und Rechte des Verantwortlichen festgelegt sind. Dieser Vertrag bzw. dieses andere Rechtsinstrument sieht insbesondere vor, dass der Auftragsverarbeiter […]
Art. 28 Abs. 3 Satz 1 und 2 DSGVO
- Angabe 1Gegenstand und Dauer der Verarbeitung
- Angabe 2Art und Zweck der Verarbeitung
- Angabe 3Die Art der personenbezogenen Daten
- Angabe 4Die Kategorien betroffener Personen
- Angabe 5Die Pflichten und Rechte des Verantwortlichen
Wortlaut nach Art. 28 Abs. 3 Satz 1 DSGVO, gekürzt auf die Stichworte.
- Buchstabe aVerarbeitung nur auf dokumentierte Weisung des Verantwortlichen
- Buchstabe bZur Vertraulichkeit oder zur Verschwiegenheit verpflichtete Personen
- Buchstabe cAlle nach Art. 32 DSGVO erforderlichen Maßnahmen
- Buchstabe dDie Bedingungen aus Abs. 2 und Abs. 4 für weitere Auftragsverarbeiter
- Buchstabe eUnterstützung bei Anträgen betroffener Personen nach Kapitel III
- Buchstabe fUnterstützung bei den Pflichten aus Art. 32 bis Art. 36 DSGVO
- Buchstabe gLöschen oder Zurückgeben nach Ende der Verarbeitungsleistungen
- Buchstabe hNachweise bereitstellen, Überprüfungen und Inspektionen ermöglichen
Sinngemäße Kurzfassung. Maßgeblich ist der Verordnungstext, verlinkt in den Quellen.
Die Buchstaben d, e und f verweisen weiter: d auf Abs. 2 und Abs. 4 für weitere Auftragsverarbeiter, e auf die Betroffenenrechte aus Kapitel III, f auf die Pflichten aus Art. 32 bis Art. 36 DSGVO. Ein AV-Vertrag ist deshalb selten kurz.
Auf welcher Grundlage verarbeitet ByeBot?
Im Auftrag des Kunden, auf Servern in Gunzenhausen.
Hetzner ist unser Auftragsverarbeiter. Ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO liegt vor.
- Anbieter
- Luvion Labs UG (haftungsbeschränkt), Rheydter Straße 67, 41352 Korschenbroich, Amtsgericht Neuss HRB 25514
- Verarbeitung
- Die Prüfungen auf einer Kundenwebsite verarbeiten wir im Auftrag des Kunden.
- Hosting
- Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, Deutschland. Auftragsverarbeitung nach Art. 28 DSGVO, in jedem Tarif dieselbe.
- Drittland
- Keine Übertragung. Es gibt keinen Tarif, in dem die Prüfung woanders läuft.
- Liste
- Der Abschnitt Hosting der Datenschutzerklärung nennt den Auftragsverarbeiter mit Anschrift und Rechtsgrundlage. Mehr dazu ›
In der Kette
Deutschland
- Prüfung auf der Kundenwebsite
- Hosting bei Hetzner in Gunzenhausen
- AVV nach Art. 28 DSGVO
- Gleicher Standort in jedem Tarif
Nicht in der Kette
Kein Drittland
- Keine Cookies für das CAPTCHA
- Kein seitenübergreifendes Tracking
- Kein Verkauf von Daten
- Kein KI-Training an Besucherdaten
- Keine Übertragung in ein Drittland
Die linke Spalte beschreibt die Verarbeitung der Prüfdaten. Die rechte Spalte nennt Verarbeitungen, die es bei ByeBot nicht gibt.
Sie brauchen einen AV-Vertrag mit uns?
Schreiben Sie an info@byebot.de.
Nennen Sie darin Ihr Unternehmen und die Domains, auf denen ByeBot läuft. Alles Weitere klären wir im Einzelfall mit Ihnen.
- Kontakt
- info@byebot.de
- Anbieter
- Luvion Labs UG (haftungsbeschränkt)
- Anschrift
- Rheydter Straße 67, 41352 Korschenbroich, Deutschland
- Register
- Amtsgericht Neuss, HRB 25514
- Geschäftsführung
- Leon Weinmann
Was auf dieser Seite nicht steht.
Kein Vertragstext, keine Fristen, keine Bewertung.
Auf dieser Seite
Tatsachen
- Wortlaut von Art. 28 DSGVO
- Unsere eigene Verarbeitung
- Hosting bei Hetzner, Deutschland
- Kontakt für eine Anfrage
Nicht auf dieser Seite
Keine Zusagen
- Kein Vertragsentwurf zum Download
- Keine Bearbeitungszeiten
- Keine Rechtsberatung
- Kein ISO 27001, kein SOC 2
Die rechte Spalte ist kein Versehen. Was wir vertraglich zusagen, sagen wir im Vertrag zu.
- Kein Download
- Hier liegt kein Vertragsentwurf zum Herunterladen. Was wir vertraglich zusagen, sagen wir im Vertrag zu, nicht auf einer Marketingseite.
- Keine Fristen
- Zu Bearbeitungszeiten, Formaten oder Vertragsinhalten steht hier bewusst nichts.
- Keine Rechtsberatung
- Diese Seite gibt Gesetzestext wieder und beschreibt unsere eigene Verarbeitung. Sie ordnet keinen Einzelfall ein.
- Keine Zertifikate
- Wir halten weder ISO 27001 noch SOC 2. Wer eine Zertifikatsnummer für die Ausschreibung sucht, bekommt sie hier nicht.
Fragen zur Auftragsverarbeitung.
Kurze Antworten mit Artikel und Absatz. Wo wir etwas nicht haben, steht das hier ebenfalls.
Welche Form sieht Art. 28 Abs. 9 DSGVO für den Vertrag vor?
Die Schriftform. Art. 28 Abs. 9 DSGVO verlangt sie und lässt dafür ausdrücklich ein elektronisches Format zu. Zum Inhalt selbst macht Art. 28 Abs. 3 DSGVO die Vorgaben: fünf Angaben in Satz 1 und acht Punkte in den Buchstaben a bis h von Satz 2.
Was passiert, wenn ein Auftragsverarbeiter einen weiteren hinzuzieht?
Die Kette wird um ein Glied länger. Art. 28 Abs. 2 und Abs. 4 DSGVO regeln, unter welchen Bedingungen: hinzugezogen wird nach Abs. 2 nur mit Genehmigung, und nach Abs. 4 trägt das weitere Glied dieselben Pflichten. Buchstabe d aus Abs. 3 Satz 2 verweist auf genau diese beiden Absätze.
Wo stehen die Unterauftragsverarbeiter von ByeBot?
Im Abschnitt Hosting der Datenschutzerklärung unter byebot.de/datenschutz, mit Anschrift und Rechtsgrundlage. Das Hosting läuft bei der Hetzner Online GmbH in Gunzenhausen, die Auftragsverarbeitung nach Art. 28 DSGVO ist in jedem Tarif dieselbe. Eine Übertragung in ein Drittland gibt es nicht, und es gibt keinen Tarif, in dem die Prüfung woanders läuft.
Setzt ByeBot Cookies für die Prüfung?
Nein. Für das CAPTCHA werden keine Cookies gesetzt. Es gibt kein seitenübergreifendes Tracking, keinen Verkauf von Daten, kein KI-Training an Besucherdaten und keine Übertragung in ein Drittland. Die Prüfungen auf einer Kundenwebsite verarbeiten wir im Auftrag des Kunden, auf Servern in Deutschland.
Hält ByeBot ISO 27001 oder SOC 2?
Nein, wir halten weder ISO 27001 noch SOC 2. Wer eine Zertifikatsnummer für die Ausschreibung sucht, bekommt sie hier nicht. Auch ein Vertragsentwurf zum Herunterladen liegt hier nicht. Was wir vertraglich zusagen, sagen wir im Vertrag zu, nicht auf einer Marketingseite.
Wer ist Vertragspartner bei ByeBot?
Die Luvion Labs UG (haftungsbeschränkt), Rheydter Straße 67, 41352 Korschenbroich, eingetragen beim Amtsgericht Neuss unter HRB 25514. Geschäftsführer ist Leon Weinmann. Wer einen AV-Vertrag mit uns anfragen will, schreibt an info@byebot.de und nennt darin sein Unternehmen und die Domains, auf denen ByeBot läuft.
Sieben Tage testen, dann entscheiden.
Ein Zahlungsmittel wird zu Beginn hinterlegt. In der Testphase liegt die Grenze bei 10.000 Prüfungen. Danach ab 19 € im Monat.