Auftragsverarbeitungsvertrag (AVV)

Gegenstand ist die Verarbeitung personenbezogener Daten durch den Auftragsverarbeiter im Rahmen der Bereitstellung der SaaS-Anwendung PräferenzPilot (Präferenzkalkulation, Verwaltung und Einholung von Lieferantenerklärungen, Nachweis-Entwürfe, REST-API). Die Dauer entspricht der Laufzeit des Nutzungsvertrags; §7 (Löschung) bleibt unberührt.

Art und Zweck: Speicherung, Anzeige, Auswertung (deterministische Kalkulation) und Übermittlung (E-Mail-Anfragen an Lieferanten) der vom Kunden eingegebenen Daten; Hosting und Sicherung.

Datenarten: Kontaktdaten von Ansprechpartnern der Lieferanten des Kunden (Name, geschäftliche E-Mail-Adresse), Namen verantwortlicher Personen auf Lieferantenerklärungen, Nutzerkonten-Daten des Kunden (E-Mail), Geschäftsdaten mit Personenbezug in Artikeln/Stücklisten, Protokoll- und Metadaten.

Kategorien betroffener Personen: Mitarbeiter und Ansprechpartner des Kunden sowie der Lieferanten des Kunden.

Der Auftragsverarbeiter verarbeitet die Daten ausschließlich auf dokumentierte Weisung des Kunden (Art. 28 Abs. 3 lit. a DSGVO). Die Nutzung der Anwendungsfunktionen durch den Kunden gilt als Weisung. Ist der Auftragsverarbeiter der Ansicht, dass eine Weisung gegen Datenschutzrecht verstößt, informiert er den Kunden unverzüglich (Art. 28 Abs. 3 Satz 3 DSGVO). Eine Verarbeitung zu eigenen Zwecken findet nicht statt; unberührt bleiben Verarbeitungen, zu denen der Auftragsverarbeiter nach Unions- oder Mitgliedstaatsrecht verpflichtet ist — in diesem Fall teilt er dem Kunden diese Anforderungen vor der Verarbeitung mit, sofern das Recht dies nicht verbietet.

Der Auftragsverarbeiter gewährleistet, dass sich die zur Verarbeitung befugten Personen zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen (Art. 28 Abs. 3 lit. b DSGVO).

Der Auftragsverarbeiter trifft insbesondere folgende Maßnahmen (Art. 28 Abs. 3 lit. c DSGVO):

• Datenhaltung in einem Rechenzentrum in Frankfurt am Main (EU); Anwendungs-Hosting in der EU-Region (Frankfurt).
• Strikte Mandantentrennung auf Datenbankebene (Row-Level-Security je Konto), zusätzlich account-bezogene Filterung in der Anwendung.
• Transportverschlüsselung (TLS) für sämtliche Verbindungen; Verschlüsselung der Daten „at rest" beim Datenbank-Anbieter.
• Zugriffsschutz durch Authentifizierung; API-Zugriff nur über konto-gebundene Schlüssel, von denen ausschließlich ein SHA-256-Hash gespeichert wird; Widerrufsmöglichkeit je Schlüssel.
• Härtung der Web-Anwendung (u. a. Content-Security-Policy mit Nonces, Sicherheits-Header, Rate-Limits auf sensiblen Endpunkten).
• Unveränderbarer, append-only geführter Kalkulations-Audit-Trail; Protokollierung sicherheitsrelevanter Ereignisse.
• Magic-Link-Zugriffe (Lieferanten-Formulare) über lange, einmalige Zufalls-Tokens ohne Kontozwang; keine anonyme Datenbank-Zugriffsberechtigung.

Die Maßnahmen werden dem Stand der Technik entsprechend fortgeschrieben; ein Absenken des Schutzniveaus ist ausgeschlossen.

Der Kunde erteilt die allgemeine Genehmigung (Art. 28 Abs. 2 DSGVO) zum Einsatz der folgenden weiteren Auftragsverarbeiter:

• Vercel Inc. — Hosting und Auslieferung der Web-Anwendung. Ort/Transfer: USA — Übermittlung auf Basis der EU-Standardvertragsklauseln und eines Auftragsverarbeitungsvertrags.
• Supabase, Inc. — Datenbank, Authentifizierung und Speicherung der Anwendungsdaten. Ort/Transfer: Speicherung im Rechenzentrum Frankfurt am Main (EU); Anbieter mit Sitz in den USA, abgesichert durch Standardvertragsklauseln und Auftragsverarbeitungsvertrag.
• Stripe Payments Europe, Ltd. — Abwicklung der Abonnement-Zahlungen (für die eigentliche Zahlungsabwicklung agiert Stripe teilweise als eigenständig Verantwortlicher). Ort/Transfer: Irland (EU).
• Resend (Plus Five Five, Inc.) — Versand von Transaktions-E-Mails, insbesondere Anfragen und Erinnerungen zu Lieferantenerklärungen im Auftrag unserer Kunden. Ort/Transfer: USA — Übermittlung auf Basis der EU-Standardvertragsklauseln (DPA des Anbieters) und des EU-U.S. Data Privacy Framework; E-Mail-Versand über die EU-Region (Irland).
• Google (Google Cloud EMEA Ltd. / Gemini API) — KI-gestützte Komfortfunktionen (Klartext-Erklärungen, Eingabe-Vorschläge, Auslesen hochgeladener Dokumente, Assistent). Verarbeitet werden nur die dafür übergebenen Artikel-, Stücklisten- und Dokumentangaben. Das verbindliche Ursprungs-Urteil trifft die geprüfte Engine, nicht die KI. Bei der kostenpflichtigen Nutzung der Gemini-API werden die übermittelten Inhalte nicht zum Training verwendet.. Ort/Transfer: USA/EU — Übermittlung auf Basis der EU-Standardvertragsklauseln und des Google-Auftragsverarbeitungsvertrags (Cloud Data Processing Addendum).
• INWX GmbH & Co. KG — Domain- und E-Mail-Hosting. Ort/Transfer: Deutschland (EU).

Über beabsichtigte Änderungen (Hinzufügen oder Ersetzen) informiert der Auftragsverarbeiter vorab durch Aktualisierung dieser Liste und Hinweis in der Anwendung bzw. per E-Mail; der Kunde kann der Änderung aus wichtigem datenschutzrechtlichem Grund widersprechen. Bei Drittlandübermittlungen bestehen geeignete Garantien nach Kapitel V DSGVO (EU-Standardvertragsklauseln bzw. Angemessenheitsbeschluss, z. B. EU-U.S. Data Privacy Framework). Mit allen Subunternehmern bestehen Verträge, die den Pflichten dieses AVV entsprechen (Art. 28 Abs. 4 DSGVO).

Der Auftragsverarbeiter unterstützt den Kunden mit geeigneten technischen und organisatorischen Maßnahmen bei der Erfüllung von Betroffenenrechten (Art. 12–23 DSGVO) sowie bei den Pflichten aus Art. 32–36 DSGVO — insbesondere durch Export-, Lösch- und Auskunftsfunktionen in der Anwendung sowie unverzügliche Meldung von Verletzungen des Schutzes personenbezogener Daten (Art. 28 Abs. 3 lit. e und f DSGVO).

Nach Abschluss der Erbringung der Verarbeitungsleistungen löscht der Auftragsverarbeiter alle personenbezogenen Daten oder gibt sie zurück — nach Wahl des Kunden (Kontolöschung in der Anwendung bzw. Anfrage an kontakt@praeferenzpilot.de) —, sofern nicht Unions- oder Mitgliedstaatsrecht eine Aufbewahrung verlangt (z. B. § 257 HGB, § 147 AO; der Kalkulations-Audit-Trail unterliegt der zollrechtlichen Aufbewahrung) (Art. 28 Abs. 3 lit. g DSGVO).

Der Auftragsverarbeiter stellt dem Kunden alle erforderlichen Informationen zum Nachweis der Einhaltung der Pflichten aus Art. 28 DSGVO zur Verfügung und ermöglicht und unterstützt Überprüfungen — einschließlich Inspektionen —, die vom Kunden oder einem von ihm beauftragten Prüfer durchgeführt werden (Art. 28 Abs. 3 lit. h DSGVO). Kontrollen erfolgen nach angemessener Vorankündigung zu üblichen Geschäftszeiten; vorrangig werden aussagekräftige Nachweise (Zertifikate/Berichte der Infrastruktur-Anbieter, Dokumentation der Maßnahmen nach §5) bereitgestellt.

Für die Haftung gilt Art. 82 DSGVO; im Übrigen gelten die Haftungsregelungen der AGB. Es gilt deutsches Recht. Sollten einzelne Bestimmungen unwirksam sein, bleibt der AVV im Übrigen wirksam; anstelle der unwirksamen Bestimmung gilt die gesetzliche Regelung. Bei Widersprüchen zwischen diesem AVV und den AGB gehen hinsichtlich der Verarbeitung personenbezogener Daten die Regelungen dieses AVV vor.