Zum Inhalt springen

Auftragsverarbeitungsvertrag (AVV)

Stand: 6. November 2026

Vertrag zur Auftragsverarbeitung gemäß Art. 28 Datenschutz-Grundverordnung (DSGVO)

1. Parteien und Vertragsschluss

(1) Auftraggeber (Verantwortlicher) ist der Kunde, der mit dem Auftragnehmer einen Vertrag über die Nutzung einer oder mehrerer SaaS-Anwendungen geschlossen hat (Hauptvertrag).

(2) Auftragnehmer (Auftragsverarbeiter) ist:
Vasgen Sargsyan – SAIMEX PERSONAL®
Buchholzstraße 7, 32602 Vlotho, Deutschland
E-Mail: Info@meinper.de · Telefon: 05228 626 99 80

(3) Dieser Vertrag ist Bestandteil des Hauptvertrags und wird mit dessen Abschluss vereinbart (§ 13 der AGB). Er ist in elektronischem Format abgeschlossen (Art. 28 Abs. 9 DSGVO). Auf Wunsch stellt der Auftragnehmer ihn zusätzlich zur Unterschrift bereit.

(4) Bei Widersprüchen geht dieser Vertrag hinsichtlich des Datenschutzes dem Hauptvertrag, den AGB und den Nutzungsbedingungen vor.

2. Gegenstand, Dauer, Art und Zweck der Verarbeitung

(1) Gegenstand ist die Bereitstellung der vom Auftraggeber gebuchten Anwendungen (MeinPer.de Personal ERP, MailStreet, Bewerber-Karte, InvoiceOne) über das Internet einschließlich Hosting, Speicherung, Datensicherung, Wartung, Fehlerbehebung und Support.

(2) Art der Verarbeitung: Erheben, Erfassen, Speichern, Ordnen, Anpassen, Auslesen, Abfragen, Verwenden, Übermitteln an vom Auftraggeber bestimmte Empfänger (z. B. E-Mail-Versand), Abgleichen, Einschränken, Löschen und Vernichten – jeweils nur, soweit dies zur Erbringung der vereinbarten Leistungen erforderlich ist.

(3) Zweck ist ausschließlich die Erbringung der Leistungen aus dem Hauptvertrag. Der Auftragnehmer verarbeitet die Daten nicht für eigene Zwecke.

(4) Die Dauer entspricht der Laufzeit des Hauptvertrags zuzüglich der in Abschnitt 10 genannten Fristen für Rückgabe und Löschung.

3. Art der Daten und Kreis der betroffenen Personen

(1) Je nach gebuchter Anwendung und Nutzung durch den Auftraggeber werden insbesondere folgende Daten verarbeitet:

  • Stamm- und Kontaktdaten (z. B. Name, Anschrift, Telefon, E-Mail-Adresse),
  • Bewerberdaten (z. B. Qualifikationen, Berufe, Verfügbarkeit, Wohnort bzw. Umkreis, Lebensläufe und andere Unterlagen, Notizen, Status im Bewerbungsprozess),
  • Beschäftigtendaten (z. B. Personalstammdaten, Einsätze, Zeiten, Abwesenheiten, Dokumente),
  • Kunden- und Lieferantendaten, Ansprechpartner, Rechnungs- und Zahlungsdaten (z. B. Bankverbindung, SEPA-Mandate),
  • Kommunikationsdaten (z. B. E-Mails, Nachrichten, Chat, Empfängerlisten und Versandstatus),
  • Nutzer- und Protokolldaten der Benutzer des Auftraggebers (z. B. Benutzername, Rollen, Zeitpunkt und Art von Änderungen).

(2) Betroffene Personen sind insbesondere Bewerber, Beschäftigte und Leiharbeitnehmer, Kunden, Interessenten, Lieferanten und deren Ansprechpartner, Empfänger von E-Mails sowie die Benutzer des Auftraggebers.

(3) Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO, z. B. Gesundheitsdaten) verarbeitet der Auftragnehmer nur, wenn der Auftraggeber sie in die Anwendungen eingibt. Der Auftraggeber entscheidet darüber in eigener Verantwortung und stellt sicher, dass hierfür eine Rechtsgrundlage besteht.

4. Weisungen des Auftraggebers

(1) Der Auftragnehmer verarbeitet die Daten nur auf dokumentierte Weisung des Auftraggebers, auch in Bezug auf Übermittlungen in Drittländer, es sei denn, er ist durch Unionsrecht oder deutsches Recht zur Verarbeitung verpflichtet; in diesem Fall teilt er dem Auftraggeber diese Anforderungen vor der Verarbeitung mit, sofern das Recht dies nicht verbietet.

(2) Die Weisungen ergeben sich aus dem Hauptvertrag, diesem Vertrag und der Nutzung der Funktionen der Anwendungen durch den Auftraggeber und seine Benutzer (z. B. Anlegen, Ändern, Exportieren, Versenden, Löschen). Weitere Weisungen erteilt der Auftraggeber in Textform.

(3) Ist der Auftragnehmer der Ansicht, dass eine Weisung gegen Datenschutzvorschriften verstößt, weist er den Auftraggeber unverzüglich darauf hin. Er darf die Durchführung der Weisung aussetzen, bis sie vom Auftraggeber bestätigt oder geändert wird.

5. Vertraulichkeit

Der Auftragnehmer setzt nur Personen ein, die zur Vertraulichkeit verpflichtet wurden oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen, und die mit den maßgeblichen Datenschutzbestimmungen vertraut gemacht wurden. Diese Personen dürfen die Daten nur entsprechend den Weisungen des Auftraggebers verarbeiten.

6. Technische und organisatorische Maßnahmen

(1) Der Auftragnehmer trifft die nach Art. 32 DSGVO erforderlichen technischen und organisatorischen Maßnahmen. Sie sind in Anlage 1 beschrieben.

(2) Die Maßnahmen unterliegen dem technischen Fortschritt. Der Auftragnehmer darf sie durch gleichwertige oder bessere Maßnahmen ersetzen; das Schutzniveau darf dabei nicht unterschritten werden. Wesentliche Änderungen dokumentiert er.

7. Unterauftragsverarbeiter

(1) Der Auftraggeber genehmigt den Einsatz der in Anlage 2 genannten Unterauftragsverarbeiter (Teil A) und Dienste (Teil B) und erteilt die allgemeine Genehmigung, weitere Unterauftragsverarbeiter einzusetzen.

(2) Der Auftragnehmer informiert den Auftraggeber mindestens vier Wochen vor dem Einsatz eines neuen oder dem Austausch eines Unterauftragsverarbeiters in Textform (z. B. per E-Mail oder durch Aktualisierung von Anlage 2 mit Hinweis per E-Mail). Der Auftraggeber kann innerhalb dieser Frist aus wichtigem datenschutzrechtlichem Grund widersprechen. Können sich die Parteien nicht einigen, kann der Auftraggeber die betroffene Leistung zum Zeitpunkt des Einsatzes kündigen.

(3) Der Auftragnehmer verpflichtet Unterauftragsverarbeiter (Anlage 2 Teil A) vertraglich auf ein Datenschutzniveau, das diesem Vertrag entspricht. Die in Anlage 2 Teil B genannten Dienste stellen einzelne Funktionen bereit (z. B. Kartendarstellung); dabei werden nur die dort genannten Daten übertragen, und zwar zu den Bedingungen der jeweiligen Anbieter. Der Auftraggeber kann einzelne dieser Funktionen auf Wunsch ausschalten lassen, soweit die Anwendung dies zulässt.

(4) Keine Unterauftragsverarbeitung sind Dienste, die der Auftraggeber in den Anwendungen selbst einschaltet und mit deren Anbietern er eigene Verträge hat (z. B. Verbindung zu Lexware Office, sevDesk, Online-Bezahldiensten wie Stripe oder PayPal, eigene E-Mail-Postfächer, Bankverbindungen). Die Übermittlung an diese Dienste erfolgt auf Weisung des Auftraggebers.

8. Unterstützung des Auftraggebers

(1) Der Auftragnehmer unterstützt den Auftraggeber mit geeigneten Maßnahmen bei der Erfüllung der Rechte der betroffenen Personen (Art. 12 bis 22 DSGVO). Die Anwendungen bieten hierfür insbesondere Funktionen zum Auskunft geben, Berichtigen, Exportieren und Löschen. Wendet sich eine betroffene Person direkt an den Auftragnehmer, leitet dieser die Anfrage unverzüglich an den Auftraggeber weiter.

(2) Der Auftragnehmer unterstützt den Auftraggeber unter Berücksichtigung der ihm zur Verfügung stehenden Informationen bei der Einhaltung der Pflichten aus Art. 32 bis 36 DSGVO (Sicherheit, Meldung von Datenschutzverletzungen, Datenschutz-Folgenabschätzung, vorherige Konsultation).

(3) Für Unterstützungsleistungen, die über die Bereitstellung der vorhandenen Funktionen hinausgehen und nicht auf einem Verstoß des Auftragnehmers beruhen, kann der Auftragnehmer eine angemessene Vergütung verlangen, sofern er dies vorher ankündigt.

9. Meldung von Datenschutzverletzungen

Der Auftragnehmer meldet dem Auftraggeber Verletzungen des Schutzes personenbezogener Daten, die Daten des Auftraggebers betreffen, unverzüglich, spätestens innerhalb von 48 Stunden nach Kenntnis, per E-Mail an die hinterlegte Kontaktadresse. Die Meldung enthält, soweit bekannt, die Angaben nach Art. 33 Abs. 3 DSGVO; fehlende Angaben werden nachgereicht. Der Auftragnehmer ergreift unverzüglich Maßnahmen zur Eindämmung und zur Minderung möglicher Folgen.

10. Rückgabe und Löschung nach Vertragsende

(1) Der Auftraggeber kann seine Daten während der Laufzeit jederzeit über die Exportfunktionen sichern. Auf Anforderung in Textform, die bis spätestens 30 Tage nach Vertragsende eingehen muss, stellt der Auftragnehmer einen Export in einem gängigen, maschinenlesbaren Format bereit (§ 20 der AGB).

(2) Nach Ablauf dieser Frist löscht der Auftragnehmer die Daten des Auftraggebers, sofern nicht nach Unionsrecht oder deutschem Recht eine Pflicht zur Speicherung besteht. In Datensicherungen enthaltene Daten werden mit dem regulären Sicherungszyklus (bis zu vier Wochen) überschrieben. Auf Verlangen bestätigt der Auftragnehmer die Löschung in Textform.

11. Nachweise und Überprüfungen

(1) Der Auftragnehmer stellt dem Auftraggeber auf Anfrage alle erforderlichen Informationen zum Nachweis der Einhaltung der Pflichten aus Art. 28 DSGVO zur Verfügung, insbesondere eine aktuelle Beschreibung der technischen und organisatorischen Maßnahmen.

(2) Der Auftraggeber kann Überprüfungen, einschließlich Inspektionen, durch sich selbst oder einen zur Verschwiegenheit verpflichteten Prüfer durchführen, der kein Wettbewerber des Auftragnehmers ist. Überprüfungen sind mit angemessener Frist (in der Regel mindestens zwei Wochen) anzukündigen, während der üblichen Geschäftszeiten durchzuführen und dürfen den Betrieb nicht unverhältnismäßig stören. Für Rechenzentren der Unterauftragsverarbeiter genügen in der Regel deren aktuelle Nachweise (z. B. Zertifikate oder Prüfberichte).

12. Ort der Verarbeitung und Drittländer

Die Daten des Auftraggebers werden in Rechenzentren in Deutschland gespeichert. Eine Übermittlung in Drittländer erfolgt nur im Rahmen der in Anlage 2 genannten Dienste und nur, wenn die Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind (z. B. Angemessenheitsbeschluss oder Standardvertragsklauseln).

13. Haftung und Schlussbestimmungen

(1) Für die Haftung gilt Art. 82 DSGVO. Im Übrigen gelten die Haftungsregelungen des Hauptvertrags (§ 22 der AGB), soweit gesetzlich zulässig.

(2) Änderungen dieses Vertrags bedürfen der Textform; § 24 der AGB gilt entsprechend.

(3) Sollten einzelne Bestimmungen unwirksam sein, bleibt die Wirksamkeit der übrigen unberührt. Es gilt deutsches Recht.

Anlage 1 – Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

Vertraulichkeit

  • Zutrittskontrolle: Server ausschließlich in Rechenzentren des Hosting-Anbieters in Deutschland; der physische Zutritt wird dort durch den Hosting-Anbieter geregelt (siehe dessen technische und organisatorische Maßnahmen). Der Auftragnehmer betreibt keine eigenen Server mit Kundendaten in seinen Büroräumen.
  • Zugangskontrolle: persönliche Benutzerkonten; Passwörter nur als sicherer Hash gespeichert; Sperre nach wiederholten Fehlanmeldungen; Sicherheitsfrage gegen automatisierte Anmeldeversuche; Verwaltungszugänge nur für berechtigte Personen; Sperre gegen das Ändern von Programmdateien über die Verwaltungsoberfläche (Update-Sperre).
  • Zugriffskontrolle: Rollen- und Berechtigungskonzept je Benutzer, vom Auftraggeber selbst verwaltet; Zugriff durch den Auftragnehmer nur, soweit für Betrieb, Wartung oder Support erforderlich.
  • Trennungskontrolle: getrennte Bereiche je Kunde; Demo-Installationen getrennt von den Kundensystemen mit eigener Datenbank und ausschließlich Beispieldaten.
  • Verschlüsselung: Übertragung ausschließlich verschlüsselt (HTTPS/TLS); Zugangsschlüssel zu Schnittstellen und E-Mail-Postfächern verschlüsselt gespeichert.

Integrität

  • Weitergabekontrolle: Übermittlungen nur verschlüsselt und nur an vom Auftraggeber bestimmte Empfänger bzw. die in Anlage 2 genannten Dienste.
  • Eingabekontrolle: Protokollierung von Änderungen mit Zeitpunkt und handelndem Benutzer in den Anwendungen (z. B. Änderungsprotokoll der Bewerber-Karte, Protokoll von InvoiceOne).

Verfügbarkeit und Belastbarkeit

  • regelmäßige Datensicherungen durch den Hosting-Anbieter (Aufbewahrung bis zu vier Wochen) sowie zusätzliche Sicherungen der Anwendungen durch den Auftragnehmer,
  • regelmäßige Sicherheits- und Funktionsupdates,
  • Exportfunktionen, mit denen der Auftraggeber seine Daten selbst sichern kann.

Verfahren zur regelmäßigen Überprüfung

  • Überprüfung der Maßnahmen bei wesentlichen Änderungen der Anwendungen, mindestens einmal jährlich,
  • Auftragskontrolle: Unterauftragsverarbeiter nur mit Vertrag nach Art. 28 DSGVO; Weisungen des Auftraggebers werden dokumentiert.

Anlage 2 – Unterauftragsverarbeiter und eingesetzte Dienste

Teil A – Unterauftragsverarbeiter

  • ALL-INKL.COM – Neue Medien Münnich, Hauptstraße 68, 02742 Friedersdorf, Deutschland – Hosting der Anwendungen und Datenbanken, Datensicherung, E-Mail-Versand. Ort: Deutschland.

Teil B – Weitere eingesetzte Dienste (einzelne Funktionen)

  • OpenStreetMap Foundation, St John’s Innovation Centre, Cowley Road, Cambridge, CB4 0WS, Vereinigtes Königreich – Kartendarstellung (IP-Adresse der Benutzer, Kartenausschnitt) und Umwandlung von Adressen in Koordinaten (Nominatim; Postleitzahl, Ort und gegebenenfalls Straße, ohne Namen; Abfrage vom Server). Grundlage: Angemessenheitsbeschluss (Art. 45 DSGVO).
  • Cloudflare, Inc., 101 Townsend St., San Francisco, CA 94107, USA – Auslieferung einzelner Programmbibliotheken (unpkg.com, cdnjs.cloudflare.com; IP-Adresse der Benutzer). Grundlage: EU-US Data Privacy Framework bzw. Standardvertragsklauseln.
  • Esri Inc., 380 New York Street, Redlands, CA 92373, USA – nur wenn ein Benutzer in der Bewerber-Karte die Satellitenansicht wählt (IP-Adresse, Kartenausschnitt). Grundlage: EU-US Data Privacy Framework bzw. Standardvertragsklauseln.
  • Push-Dienste der Browserhersteller (z. B. Google, Apple, Mozilla) – nur wenn ein Benutzer Benachrichtigungen im Browser erlaubt (Gerätekennung des Browsers, verschlüsselte Benachrichtigungsinhalte). Grundlage: EU-US Data Privacy Framework bzw. Standardvertragsklauseln.