Auftragsverarbeitungsvertrag

(1) Der Auftragsverarbeiter betreibt für den Verantwortlichen die ERP-/Dispositionssoftware „nice2CU“ als kundenindividuelle Instanz (SaaS) und verarbeitet dabei personenbezogene Daten im Auftrag.

(2) Die Dauer der Verarbeitung entspricht der Laufzeit des Hauptvertrags. Nach Vertragsende gilt § 9.

(3) Nicht Gegenstand dieses AVV ist die Erhebung pseudonymisierter Nutzungs- und Telemetriedaten durch den Auftragsverarbeiter zur Sicherstellung des Betriebs und zur Weiterentwicklung der Software; diese erfolgt in eigener Verantwortung des Auftragsverarbeiters nach § 11 Abs. 4 der AGB.

(1) Art und Zweck: Hosting, Speicherung, Anzeige, Auswertung und Übermittlung von Daten im Rahmen der Funktionen der Software (Auftragsabwicklung, Personal- und Materialdisposition, Lager, Personalverwaltung, Faktura, CRM, Auswertungen, Kommunikation, optionale AI-Funktionen und Webshop) einschließlich Datensicherung und Störungsbeseitigung.

(2) Kategorien personenbezogener Daten: Stammdaten (Name, Anschrift, Kontaktdaten), Vertrags- und Abrechnungsdaten, Personaldaten der Mitarbeiter des Verantwortlichen (u. a. Arbeits- und Abwesenheitszeiten, Qualifikationen, Einsatzplanung), Kommunikationsdaten (Nachrichten, E-Mail-Inhalte in der AI-Inbox), Nutzungs- und Protokolldaten sowie vom Verantwortlichen in Dokumenten und Freitexten gespeicherte Daten. Soweit der Verantwortliche sie in der Software verarbeitet, können auch besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO betroffen sein, insbesondere Gesundheitsdaten im Rahmen von Abwesenheiten und Krankmeldungen. Welche Daten den AI-Funktionen zugänglich sind, steuert der Verantwortliche über Einstellungen, Rollen und Berechtigungen.

(3) Kategorien betroffener Personen: Mitarbeiter und Bewerber des Verantwortlichen, Kunden und Interessenten des Verantwortlichen, Ansprechpartner von Lieferanten und Partnern sowie sonstige Personen, deren Daten der Verantwortliche in der Software verarbeitet.

(1) Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen — auch in Bezug auf die Übermittlung in ein Drittland —, sofern er nicht durch das Recht der Union oder der Mitgliedstaaten hierzu verpflichtet ist; in einem solchen Fall teilt er dem Verantwortlichen diese Anforderungen vor der Verarbeitung mit, sofern das Recht dies nicht verbietet (Art. 28 Abs. 3 lit. a DSGVO).

(2) Die Nutzung der Software durch den Verantwortlichen und die Regelungen des Hauptvertrags gelten als generelle Weisung. Einzelweisungen bedürfen der Textform. Weisungsberechtigt sind die im Hauptvertrag oder in Textform benannten Ansprechpartner des Verantwortlichen sowie die Administratoren seiner Instanz.

(3) Der Auftragsverarbeiter informiert den Verantwortlichen unverzüglich, wenn er der Auffassung ist, dass eine Weisung gegen die DSGVO oder andere Datenschutzbestimmungen verstößt; er darf die Umsetzung bis zur Bestätigung oder Änderung aussetzen.

Der Auftragsverarbeiter gewährleistet, dass sich die zur Verarbeitung befugten Personen zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen (Art. 28 Abs. 3 lit. b DSGVO). Die Verpflichtung besteht auch nach Beendigung der Tätigkeit fort.

(1) Der Auftragsverarbeiter trifft die in Anlage 1 beschriebenen technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO und entwickelt sie entsprechend dem Stand der Technik fort; das vereinbarte Schutzniveau darf dabei nicht unterschritten werden.

(2) Wesentliche Änderungen der Maßnahmen dokumentiert der Auftragsverarbeiter und stellt sie dem Verantwortlichen auf Anfrage bereit.

(1) Der Verantwortliche erteilt die allgemeine Genehmigung zur Einschaltung der in Anlage 2 aufgeführten Subauftragsverarbeiter (Art. 28 Abs. 2 DSGVO).

(2) Der Auftragsverarbeiter informiert den Verantwortlichen in Textform über beabsichtigte Änderungen (Hinzuziehung oder Ersetzung). Der Verantwortliche kann innerhalb von 14 Kalendertagen ab Zugang der Information aus wichtigem datenschutzrechtlichem Grund widersprechen. Kommt bei einem Widerspruch keine einvernehmliche Lösung zustande, kann der Verantwortliche den Hauptvertrag außerordentlich zum Zeitpunkt der beabsichtigten Änderung kündigen.

(3) Der Auftragsverarbeiter erlegt jedem Subauftragsverarbeiter durch Vertrag dieselben Datenschutzpflichten auf, die in diesem AVV festgelegt sind (Art. 28 Abs. 4 DSGVO), und bleibt dem Verantwortlichen gegenüber für dessen Leistungen verantwortlich.

(4) Nicht als Unterauftragsverhältnisse gelten Nebenleistungen ohne Zugriff auf Auftragsdaten (z. B. Post-, Transport-, Reinigungs- oder Telekommunikationsleistungen).

(5) Aktiviert der Verantwortliche Integrationen zu Drittanbietern, mit denen er einen eigenen Vertrag unterhält (z. B. Zahlungs-, Shop-, Messaging- oder Cloud-Speicherdienste), erfolgt die Übermittlung an diese Anbieter auf seine Weisung. Diese Anbieter sind keine Subauftragsverarbeiter des Auftragsverarbeiters.

(1) Der Auftragsverarbeiter unterstützt den Verantwortlichen mit geeigneten technischen und organisatorischen Maßnahmen dabei, Anträge betroffener Personen nach Kapitel III der DSGVO (Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit, Widerspruch) zu beantworten (Art. 28 Abs. 3 lit. e DSGVO). Die Export-, Korrektur- und Löschfunktionen der Software stehen hierfür zur Verfügung.

(2) Der Auftragsverarbeiter unterstützt den Verantwortlichen unter Berücksichtigung der Art der Verarbeitung und der ihm zur Verfügung stehenden Informationen bei der Einhaltung der Pflichten aus Art. 32 bis 36 DSGVO (Sicherheit der Verarbeitung, Meldung von Verletzungen, Datenschutz-Folgenabschätzung, vorherige Konsultation) (Art. 28 Abs. 3 lit. f DSGVO).

(3) Verletzungen des Schutzes personenbezogener Daten, die Auftragsdaten betreffen, meldet der Auftragsverarbeiter dem Verantwortlichen unverzüglich, spätestens innerhalb von 48 Stunden nach Kenntnis, mit den nach Art. 33 Abs. 3 DSGVO verfügbaren Informationen.

(1) Der Auftragsverarbeiter stellt dem Verantwortlichen alle erforderlichen Informationen zum Nachweis der Einhaltung der Pflichten aus Art. 28 DSGVO zur Verfügung (Art. 28 Abs. 3 lit. h DSGVO), insbesondere die TOM-Dokumentation nach § 5 und die Subauftragsverarbeiter-Liste nach § 6.

(2) Der Verantwortliche kann Überprüfungen — einschließlich Inspektionen — selbst oder durch einen beauftragten, zur Verschwiegenheit verpflichteten Prüfer durchführen. Kontrollen vor Ort erfolgen nach angemessener Vorankündigung, während der üblichen Geschäftszeiten, ohne unverhältnismäßige Störung des Betriebs und höchstens einmal jährlich, sofern kein konkreter Anlass eine weitergehende Kontrolle erfordert.

(3) Der Nachweis kann auch durch aktuelle Testate, Prüfberichte oder Zertifizierungen unabhängiger Stellen erbracht werden, auch solche der Subauftragsverarbeiter (z. B. ISO/IEC 27001 des Rechenzentrumsbetreibers; Art. 28 Abs. 5 DSGVO). Den Aufwand für Kontrollen, die über eine Kontrolle je Kalenderjahr hinausgehen und nicht durch einen konkreten Anlass oder festgestellte Verstöße veranlasst sind, kann der Auftragsverarbeiter angemessen in Rechnung stellen.

Nach Abschluss der Erbringung der Verarbeitungsleistungen gibt der Auftragsverarbeiter nach Wahl des Verantwortlichen alle personenbezogenen Daten in einem strukturierten, gängigen und maschinenlesbaren Format zurück oder löscht sie — einschließlich vorhandener Kopien —, sofern nicht nach Unions- oder mitgliedstaatlichem Recht eine Pflicht zur Speicherung besteht (Art. 28 Abs. 3 lit. g DSGVO). Es gelten die Fristen des § 14 der AGB, für die Testphase die des § 4 Abs. 4 der AGB; die Löschung aus Datensicherungen erfolgt im Rahmen der regulären Backup-Rotation, spätestens nach 90 Tagen. Auf Wunsch bestätigt der Auftragsverarbeiter die Löschung in Textform.

(1) Die Instanzen des Verantwortlichen werden in Rechenzentren in Deutschland betrieben; dort werden die Auftragsdaten gespeichert. Übermittlungen an Subauftragsverarbeiter erfolgen nur nach Maßgabe von Anlage 2.

(2) Eine Übermittlung in Drittländer findet nur statt, soweit sie in Anlage 2 ausgewiesen ist oder der Verantwortliche sie angewiesen hat, und nur unter den Voraussetzungen des Kapitels V DSGVO. Übermittlungen in die USA stützen sich auf den Angemessenheitsbeschluss zum EU-US Data Privacy Framework, soweit der Empfänger danach zertifiziert ist, und/oder auf EU-Standardvertragsklauseln (Durchführungsbeschluss (EU) 2021/914). Für Übermittlungen auf Grundlage von Standardvertragsklauseln führt der Auftragsverarbeiter eine dokumentierte Übermittlungs-Folgenabschätzung (Transfer Impact Assessment) durch und stellt sie dem Verantwortlichen auf Anfrage bereit.

(1) Für die Haftung gilt Art. 82 DSGVO; im Innenverhältnis gelten die Haftungsregelungen des Hauptvertrags.

(2) Bei Widersprüchen zwischen diesem AVV und dem Hauptvertrag geht dieser AVV in datenschutzrechtlichen Fragen vor. Im Übrigen gelten Rechtswahl und Gerichtsstand des Hauptvertrags.

1. Pseudonymisierung und Verschlüsselung (Art. 32 Abs. 1 lit. a):

• Transportverschlüsselung sämtlicher Verbindungen (TLS 1.2+, HSTS)
• Verschlüsselung der Datenträger im Rechenzentrum (at rest)
• Verschlüsselte Speicherung von Zugangs-Tokens und Secrets; zentrales Schlüssel-/Secret-Management

2. Vertraulichkeit (Art. 32 Abs. 1 lit. b):

• Zutrittskontrolle: gesicherte Rechenzentrumsflächen (Zutrittssysteme, Besucherregelung des RZ-Betreibers)
• Zugangskontrolle: zentrales Identitätsmanagement (Keycloak-SSO), Passwort-Richtlinien, Zwei-Faktor-Authentisierung, personalisierte Administrationszugänge
• Zugriffskontrolle: rollenbasiertes Berechtigungskonzept in der Software (Least Privilege), Protokollierung administrativer Zugriffe
• Trennungskontrolle: strikte Mandantentrennung durch kundenindividuelle Instanzen mit eigener Datenbank und eigenem Namespace

3. Integrität:

• Änderungsprotokollierung in der Anwendung (Versionierung zentraler Entitäten)
• Kontrollierte, nachvollziehbare Software-Deployments (CI/CD mit versionierten Container-Images aus geschützter Build-Pipeline)
• Eingabe-/Weitergabekontrolle über Berechtigungen und API-Token mit begrenztem Geltungsbereich

4. Verfügbarkeit und Belastbarkeit:

• Tägliche Datensicherungen mit definierter Aufbewahrung (Rotation, max. 90 Tage)
• Redundante Infrastruktur des Rechenzentrums (Strom/USV, Klima, Brandschutz, Netzanbindung)
• Monitoring, Alarmierung und Kapazitätsmanagement; Schutz vor Überlast auf Netzwerkebene

5. Wiederherstellbarkeit (Art. 32 Abs. 1 lit. c):

• Dokumentiertes Restore-Verfahren; regelmäßige Wiederherstellungstests
• Incident-Response-Prozess mit definierten Meldewegen (§ 7 Abs. 3)

6. Verfahren zur regelmäßigen Überprüfung (Art. 32 Abs. 1 lit. d):

• Regelmäßiges Patch- und Update-Management für Anwendung und Plattform
• Sicherheitsüberprüfungen der Anwendung im Entwicklungsprozess (Code-Review, automatisierte Prüfungen)
• Jährliche Überprüfung und Fortschreibung dieser Maßnahmen; Schulung und Verpflichtung der Mitarbeiter

• Hetzner Online GmbH, Gunzenhausen

  Leistung

  Rechenzentrum: Betrieb der Kundeninstanzen, Datenbanken und Datensicherungen

  Ort der Verarbeitung

  Deutschland

  Transfermechanismus

  Kein Drittland

• Microsoft Ireland Operations Ltd., Dublin (Microsoft Azure)

  Leistung

  E-Mail-Versand aus der Software sowie AI-Funktionen über Azure OpenAI Service

  Ort der Verarbeitung

  EU; Zugriff aus Drittländern im Einzelfall möglich

  Transfermechanismus

  EU-Standardvertragsklauseln; EU-US Data Privacy Framework

• Anthropic Ireland, Limited, Dublin

  Leistung

  AI-Funktionen (Sprachmodell Claude); keine Nutzung der Daten zum ModelltrainingNur bei aktivierten AI-Funktionen

  Ort der Verarbeitung

  USA

  Transfermechanismus

  EU-Standardvertragsklauseln

• Google Ireland Limited, Dublin (Firebase Cloud Messaging)

  Leistung

  Zustellung von Push-Benachrichtigungen an Android-GeräteNur bei Nutzung der Mobile App mit Push-Benachrichtigungen

  Ort der Verarbeitung

  EU / USA

  Transfermechanismus

  EU-Standardvertragsklauseln; EU-US Data Privacy Framework

• Apple Inc., Cupertino (Apple Push Notification Service)

  Leistung

  Zustellung von Push-Benachrichtigungen an iOS-GeräteNur bei Nutzung der Mobile App mit Push-Benachrichtigungen

  Ort der Verarbeitung

  USA

  Transfermechanismus

  EU-US Data Privacy Framework

Die jeweils aktuelle Liste ist unter nice2cu.ai/avv abrufbar. Änderungen werden nach § 6 Abs. 2 angekündigt.