Auftragsverarbeitungsvertrag (AVV)
1. Parteien
Auftraggeber (Verantwortlicher): Der Kunde, der Belehrungsmatrix nutzt und Mitarbeiterdaten eingibt.
Auftragsverarbeiter: Silas Nutz, Mandavo Softwareentwicklung, Daimlerstraße 50, 74211 Leingarten, Deutschland, hello@mandavotech.com.
2. Gegenstand und Dauer
Der Auftragsverarbeiter stellt die SaaS-Anwendung Belehrungsmatrix bereit. Er verarbeitet personenbezogene Daten im Auftrag des Auftraggebers, soweit dieser Organisations-, Standort- und Mitarbeiterdaten sowie Belehrungsdokumentationen eingibt. Die Verarbeitung dauert für die Laufzeit des Nutzungsvertrags und endet mit Vertragsbeendigung und Kontolöschung, vorbehaltlich gesetzlicher Aufbewahrungspflichten des Auftragsverarbeiters (z. B. Rechnungsdaten).
3. Art und Zweck der Verarbeitung
- Speicherung von Mitarbeiternamen, Terminen und Standortzuordnungen
- Berechnung von Fälligkeitsterminen für Arbeitgeberbelehrungen nach §43 Abs. 4 IfSG
- Versand von Erinnerungs-E-Mails an vom Auftraggeber konfigurierte Adressen
- Dokumentation bestätigter Arbeitgeberbelehrungen (Datum, optional verantwortliche Person)
- PDF-, CSV- und JSON-Exporte auf Weisung des Auftraggebers
Der Auftragsverarbeiter führt keine Belehrungen durch und speichert keine Gesundheitsdaten im Sinne von Art. 9 DSGVO.
4. Kategorien betroffener Personen und Daten
Betroffene Personen: Mitarbeiter des Auftraggebers, die lebensmittelhandelnd tätig sind.
Datenkategorien: Name, Beschäftigungsbeginn, Standort, Daten zu Bescheinigung §43 Abs. 1 (sofern erfasst), Daten zu Arbeitgeberbelehrungen §43 Abs. 4, Zeitstempel der Dokumentation.
5. Pflichten des Auftragsverarbeiters
- Verarbeitung nur auf dokumentierte Weisung des Auftraggebers (Nutzung des Dienstes)
- Vertraulichkeit der mit der Verarbeitung befassten Personen
- Technische und organisatorische Maßnahmen (TOM) angemessen zum Risiko
- Unterstützung bei Betroffenenrechten, soweit Art. 28 DSGVO es erfordert
- Meldung von Datenschutzverletzungen ohne unangemessene Verzögerung
- Löschung oder Rückgabe der Daten nach Vertragsende (Kontolöschung durch Auftraggeber; Backups bis zu 30 Tage)
6. Unterauftragsverarbeiter
Der Auftraggeber erteilt die allgemeine Genehmigung zum Einsatz der in der Subprozessor-Liste genannten Unterauftragsverarbeiter. Änderungen werden mit angemessener Vorlaufzeit mitgeteilt; der Auftraggeber kann widersprechen, wenn berechtigte datenschutzrechtliche Bedenken vorliegen.
7. Kontrollrechte
Der Auftraggeber kann angemessene Informationen über die Einhaltung dieses Vertrags anfordern. Vor-Ort-Prüfungen nur nach vorheriger Abstimmung und in zumutbarem Umfang.
8. Technische und organisatorische Maßnahmen (Auszug)
- TLS-Verschlüsselung für Datenübertragung
- Passwort-Hashing (scrypt), HttpOnly-Sitzungs-Cookies
- Mandantentrennung (ein Konto pro Organisation)
- Ratenbegrenzung, CSRF-Schutz, Zugriffskontrolle auf Organisationsebene
- Backups beim Hosting-Anbieter (EU)
Der vollständige TOM-Anhang steht unter Technische und organisatorische Maßnahmen (TOM) zur Verfügung (Drucken → Als PDF speichern).
9. Schlussbestimmungen
Es gilt deutsches Recht. Dieser AVV ergänzt die AGB und die Datenschutzerklärung. Bei Widersprüchen hat dieser AVV im Verhältnis Auftraggeber/Auftragsverarbeiter Vorrang für die Auftragsverarbeitung.
Download und Abschluss
Sie können diesen Vertrag als PDF speichern (Drucken → Als PDF speichern) oder im Konto elektronisch bestätigen, sofern Sie angemeldet sind.
Konto erstellen, um den AVV elektronisch zu bestätigen, oder Anfrage an hello@mandavotech.com.