Auftragsverarbeitungsvereinbarung (AVV)

Auftragsverarbeitungsvereinbarung

gemäß Art. 28 DSGVO · Stand: 2026-05-25

Diese Auftragsverarbeitungsvereinbarung (AVV) wird mit deiner Registrierung bei PushPig automatisch zwischen dir als Verantwortlichem und Heiko Stuhrmann als Auftragsverarbeiter geschlossen und gilt für die Dauer deiner Nutzung des Dienstes. Eine separate Unterzeichnung ist nicht erforderlich. Solltest du eine zusätzliche, individuell unterzeichnete Fassung benötigen, kannst du uns über das Kontaktformular kontaktieren.

Parteien

Verantwortlicher im Sinne dieser Vereinbarung ist der bei PushPig registrierte Nutzer (natürliche oder juristische Person). Die Identifizierung erfolgt über die im PushPig-Konto hinterlegten Stammdaten (Benutzername, E-Mail-Adresse, ggf. Rechnungsdaten beim Pro-Tarif).

Auftragsverarbeiter:

Heiko Stuhrmann
c/o Block Services
Stuttgarter Str. 106
70736 Fellbach, Deutschland
E-Mail: webmaster@pushpig.de

§ 1 Gegenstand und Dauer

Gegenstand der Vereinbarung ist die Verarbeitung personenbezogener Daten durch den Auftragsverarbeiter zur Erbringung des Dienstes PushPig, insbesondere zur Speicherung, Übermittlung und Zustellung von Push-Benachrichtigungen im Auftrag des Verantwortlichen.
Die Vereinbarung beginnt mit Registrierung des Verantwortlichen bei PushPig und gilt für die Dauer der Hauptleistungsbeziehung. Sie endet automatisch mit Löschung des PushPig-Kontos.
Die Verarbeitung erfolgt ausschließlich auf dokumentierte Weisung des Verantwortlichen, soweit der Auftragsverarbeiter nicht durch das Unionsrecht oder das Recht eines Mitgliedstaats zur Verarbeitung verpflichtet ist. Weisungen werden in der Regel durch Aktionen im PushPig-Kundenbereich erteilt (Anlegen/Löschen von Kanälen, Versand-Aufträge, Konto-Löschung) und können durch schriftliche Ergänzungen (E-Mail genügt) konkretisiert werden.

§ 2 Art und Zweck der Verarbeitung

Art der Verarbeitung: Erhebung, Speicherung, Strukturierung, Übermittlung, Auslesen, Verwenden, Einschränken, Löschen oder Vernichten personenbezogener Daten im Rahmen der Push-Notification-Zustellung und der Nutzerverwaltung.
Zweck: Bereitstellung des Dienstes PushPig, d. h. Zustellung von Push- Nachrichten an Android-Geräte (Firebase Cloud Messaging), Browser (Web Push), per E-Mail oder Webhooks; Verwaltung von Kanälen, Abonnenten, Vorlagen, Bulk-Versand-Jobs und API-Schlüsseln.

§ 3 Art der personenbezogenen Daten

Gegenstand der Verarbeitung können insbesondere folgende Datenkategorien sein:

Stammdaten (Benutzername, E-Mail-Adresse, Passwort-Hash, Avatar)
Kommunikationsdaten (Push-Inhalte: Titel, Text, optionale Nutzdaten)
Geräte- und Token-Daten (FCM-Token, Web-Push-Endpoint, p256dh/auth)
Empfängerlisten beim CSV-Bulk-Versand (Benutzername plus pro-Empfänger-Variablen)
Nutzungsdaten (Zeitstempel von Sendungen, IP-Adresse, User-Agent in Logs)
Webhook-Payloads, soweit personenbezogen
2FA-Daten (TOTP-Secret, registrierte Passkeys)

§ 4 Kategorien der betroffenen Personen

Nutzer (Kunden) des Verantwortlichen, sofern sie über PushPig kontaktiert werden
Mitarbeiter des Verantwortlichen, die den Dienst verwenden
Sonstige Empfänger von Push-Nachrichten und E-Mails, die vom Verantwortlichen veranlasst sind

§ 5 Pflichten des Auftragsverarbeiters

Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich im Rahmen dieser Vereinbarung und nach dokumentierter Weisung des Verantwortlichen, es sei denn, er ist gesetzlich zu einer anderen Verarbeitung verpflichtet (in diesem Fall teilt er dies dem Verantwortlichen vor der Verarbeitung mit, sofern das Gesetz dem nicht entgegensteht).
Der Auftragsverarbeiter stellt sicher, dass die zur Verarbeitung der personenbezogenen Daten befugten Personen sich zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen.
Der Auftragsverarbeiter unterstützt den Verantwortlichen unter Berücksichtigung der Art der Verarbeitung und der ihm zur Verfügung stehenden Informationen bei der Einhaltung der in den Artt. 32 bis 36 DSGVO genannten Pflichten.
Personenbezogene Daten werden ausschließlich innerhalb der EU/EWR verarbeitet, mit Ausnahme der in Anhang 2 aufgeführten Unterauftragsverarbeiter, für die ein angemessenes Datenschutzniveau (Art. 46 DSGVO, EU-US Data Privacy Framework, Standardver tragsklauseln) gesichert ist.

§ 6 Technische und organisatorische Maßnahmen (TOM)

Der Auftragsverarbeiter trifft die in Anhang 1 beschriebenen technischen und organisatorischen Maßnahmen gemäß Art. 32 DSGVO und sichert deren Einhaltung während der Vertragslaufzeit zu. Änderungen, die das Sicherheitsniveau nicht herabsetzen, sind zulässig.

§ 7 Berichtigung, Einschränkung und Löschung der Daten

Der Auftragsverarbeiter darf personenbezogene Daten nur nach Weisung des Verantwortlichen berichtigen, löschen oder deren Verarbeitung einschränken.
Anfragen betroffener Personen leitet der Auftragsverarbeiter unverzüglich an den Verantwortlichen weiter und beantwortet sie nicht eigenständig.

§ 8 Unterauftragsverhältnisse

Der Verantwortliche erteilt mit Registrierung die allgemeine schriftliche Genehmigung zur Einbeziehung der in Anhang 2 genannten Unterauftragsverarbeiter.
Beabsichtigte Änderungen (neue oder Austausch von Unterauftragsverarbeitern) wird der Auftragsverarbeiter dem Verantwortlichen mit angemessener Frist (mindestens 30 Tage) vorab über die im Konto hinterlegte E-Mail-Adresse oder durch Veröffentlichung einer neuen Fassung dieser AVV (mit eindeutigem Hinweis im Dienst) mitteilen. Der Verantwortliche hat ein Widerspruchsrecht aus wichtigem Grund. Bei berechtigtem Widerspruch sind die Parteien zur außerordentlichen Kündigung des Hauptleistungsvertrags berechtigt.
Der Auftragsverarbeiter stellt durch entsprechende vertragliche Regelungen sicher, dass die Pflichten dieser Vereinbarung den Unterauftragsverarbeitern auferlegt werden.

§ 9 Kontrollrechte des Verantwortlichen

Der Verantwortliche hat das Recht, die Einhaltung dieser Vereinbarung durch den Auftrags verarbeiter zu kontrollieren. Die Kontrolle erfolgt regelmäßig durch Anforderung einer Selbstauskunft oder Vorlage eines aktuellen Prüfberichts eines unabhängigen Sachverständigen (z. B. ISO-27001-Zertifikat eines Subprozessors).
Vor-Ort-Kontrollen sind nur in begründeten Ausnahmefällen und nach Abstimmung mit angemessener Vorlaufzeit (mindestens 4 Wochen) zulässig. Der Auftragsverarbeiter kann den damit verbundenen Aufwand nach üblichen Sätzen in Rechnung stellen.

§ 10 Mitteilung bei Verstößen

Der Auftragsverarbeiter meldet dem Verantwortlichen jede Verletzung des Schutzes personenbezogener Daten unverzüglich, spätestens jedoch innerhalb von 72 Stunden nach Kenntnisnahme, unter Angabe der nach Art. 33 Abs. 3 DSGVO erforderlichen Informationen. Die Meldung erfolgt an die im Konto hinterlegte E-Mail-Adresse.

§ 11 Weisungsbefugnis des Verantwortlichen

Weisungen werden durch Anweisungen aus dem PushPig-Kundenbereich (z. B. Anlegen/Löschen von Kanälen, Versand-Aufträge, Konto-Löschung) sowie durch ergänzende schriftliche Weisungen (E-Mail genügt) erteilt.
Ist der Auftragsverarbeiter der Meinung, dass eine Weisung gegen Datenschutzvorschriften verstößt, hat er den Verantwortlichen unverzüglich darauf hinzuweisen und ist berechtigt, die Ausführung auszusetzen, bis die Weisung bestätigt oder geändert wird.

§ 12 Löschung und Rückgabe nach Auftragsende

Nach Beendigung der Hauptleistungsbeziehung (Konto-Löschung) löscht der Auftragsverarbeiter alle personenbezogenen Daten des Verantwortlichen, sofern nicht gesetzliche Aufbewahrungs pflichten entgegenstehen.
Die Standard-Löschfristen sind in der Datenschutzerklärung dokumentiert. Bei Konto-Löschung werden Stamm- und Push-Subscription-Daten unverzüglich entfernt; Backups werden binnen 30 Tagen überschrieben.
Der Verantwortliche kann seine Daten vor der Löschung selbständig über die Konto-Funktionen exportieren oder per E-Mail anfordern.

§ 13 Haftung

Es gilt Art. 82 DSGVO. Die Parteien haften gegenüber Betroffenen nach Maßgabe der dort getroffenen Bestimmungen. Im Innenverhältnis haftet jede Partei für die ihr zurechenbaren Verstöße. Eine etwaige Haftung im Innenverhältnis zwischen den Parteien ist auf grobe Fahrlässigkeit und Vorsatz beschränkt, soweit nicht zwingende gesetzliche Vorschriften entgegenstehen.

§ 14 Änderungen dieser Vereinbarung

Der Auftragsverarbeiter ist berechtigt, diese AVV anzupassen, soweit dies aufgrund geänderter Rechtslage, neuer Subprozessoren oder veränderter Verarbeitungsabläufe erforderlich ist. Wesentliche Änderungen werden dem Verantwortlichen mit angemessener Frist (mindestens 30 Tage) vorab per E-Mail oder durch deutlich sichtbaren Hinweis im Dienst angekündigt.
Widerspricht der Verantwortliche den Änderungen nicht innerhalb der Frist, gelten sie als angenommen. Bei berechtigtem Widerspruch sind beide Parteien zur Kündigung des Hauptleistungsvertrags berechtigt.
Die jeweils aktuelle Fassung dieser AVV ist unter pushpig.de/avv abrufbar.

§ 15 Sonstige Regelungen

Sollte das Eigentum oder die Verfügungsgewalt des Verantwortlichen über die Daten beim Auftragsverarbeiter durch Pfändung, Beschlagnahme, Insolvenz- oder Vergleichsverfahren oder sonstige Ereignisse oder Maßnahmen Dritter gefährdet werden, hat der Auftragsverarbeiter den Verantwortlichen unverzüglich darüber zu informieren.
Es gilt deutsches Recht. Ausschließlicher Gerichtsstand ist, soweit gesetzlich zulässig, der Sitz des Auftragsverarbeiters.
Sollte eine Bestimmung dieser Vereinbarung unwirksam sein oder werden, so wird hierdurch die Gültigkeit der übrigen Bestimmungen nicht berührt.

Anhang 1: Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

1. Vertraulichkeit (Art. 32 Abs. 1 lit. b DSGVO)

Zutrittskontrolle: Serverstandorte werden ausschließlich durch zertifizierte Rechenzentrumsbetreiber innerhalb der Europäischen Union bereitgestellt. Eigene Hardware wird nicht eingesetzt.
Zugangskontrolle: SSH-Zugang per Public-Key-Authentifizierung, kein Passwort-Login. Admin-Konten mit verpflichtender 2FA.
Zugriffskontrolle: Rollenbasierte Berechtigungen in der Anwendung (User / Admin), Channel-Owner-Trennung, API-Keys mit feingranularen Scopes pro Kanal und Aktion.
Trennungskontrolle: Strikte Mandantentrennung in der Datenbank durch user_id-Foreign-Keys; physisch getrennte Datenbanken zwischen Produktiv- und Entwicklungssystemen.
Pseudonymisierung: Passwörter ausschließlich als Argon2id-Hash gespeichert; Session-IDs zufällig generiert (256 Bit Entropie).

2. Integrität (Art. 32 Abs. 1 lit. b DSGVO)

Weitergabekontrolle: Sämtliche Datenübertragung ausschließlich verschlüsselt via TLS 1.2+ (HTTPS, FCM, Webhooks).
Eingabekontrolle: Audit-Logs für Konto-Ereignisse (Login, Logout, Push-Versand, Webhook-Aufrufe) mit IP-Adresse und Zeitstempel; Aufbewahrungsdauer max. 30 Tage.

3. Verfügbarkeit und Belastbarkeit (Art. 32 Abs. 1 lit. b DSGVO)

Verfügbarkeitskontrolle: Tägliche Datenbank-Backups, verschlüsselt im EU-Rechenzentrum gespeichert, Aufbewahrung 30 Tage.
Wiederherstellbarkeit: Restore-Verfahren regelmäßig getestet.
DDoS-/Missbrauchsschutz: Anwendungsseitiges Rate-Limiting sowie Bot-Schutz (Honeypot + Zeitprüfung) auf Login, Registrierung, Passwort-Reset, Kontaktformular und Newsletter-Anmeldung.

4. Verfahren zur regelmäßigen Überprüfung (Art. 32 Abs. 1 lit. d DSGVO)

Datenschutz-Management: Privacy-by-Design im Entwicklungsprozess, jährliche Überprüfung der Verarbeitungstätigkeiten.
Incident-Response-Management: Definierter Meldeweg bei Datenpannen (vgl. § 10).
Auftragskontrolle: Schriftliche Verpflichtung von Subprozessoren (siehe Anhang 2).

Anhang 2: Genehmigte Unterauftragsverarbeiter

Folgende Unterauftragsverarbeiter werden mit Zustimmung des Verantwortlichen eingesetzt:

Anbieter	Sitz	Zweck	Datenübermittlungsmechanismus
Google LLC (Firebase Cloud Messaging)	USA	Zustellung von Android-Push-Nachrichten	EU-US Data Privacy Framework + SCC
Polar Software, Inc. (nur bei Pro-Tarif)	USA	Zahlungsabwicklung als Merchant of Record	EU-US Data Privacy Framework + SCC
Strato AG (SMTP-Versand)	Deutschland (EU)	Versand von Verifizierungs-, Einladungs- und Benachrichtigungs-E-Mails	EU / kein Drittlandtransfer

Aktualisierungen dieser Liste werden gemäß § 8 dieser Vereinbarung dem Verantwortlichen mitgeteilt.

Hilfe & API · Preise · Kontakt · Impressum · Datenschutz