Auftragsverarbeitungsvertrag (AVV)
Verarbeiten Sie als Kunde personenbezogene Daten im ZeugnisManager, sind wir Ihr Auftragsverarbeiter im Sinne von Art. 28 DSGVO. Den AVV schließen wir gerne mit Ihnen ab — die folgenden Bedingungen bilden die Grundlage. Sie gelten ergänzend zu den Allgemeinen Geschäftsbedingungen und der Datenschutzerklärung.
Hinweis: Dieser Vertragstext ist eine Vorlage und ersetzt keine Rechtsberatung. Vor dem verbindlichen Abschluss sollte er geprüft und auf Ihren konkreten Einsatzfall angepasst werden. Für einen unterschriebenen AVV erreichen Sie uns unter info@werkstoffzeugnis-verwaltung.de.
§ 1 Gegenstand und Dauer
Dieser Vertrag konkretisiert die datenschutzrechtlichen Pflichten der Parteien aus dem zugrunde liegenden Nutzungsvertrag über die Software ZeugnisManager (Hauptvertrag). Er gilt für alle Tätigkeiten, bei denen der Auftragsverarbeiter (Krüger Compliance UG (haftungsbeschränkt), Meisenweg 13, 78465 Konstanz) oder durch ihn beauftragte Unterauftragsverarbeiter personenbezogene Daten des Auftraggebers (Kunde) verarbeiten. Die Laufzeit entspricht der des Hauptvertrags.
§ 2 Art, Umfang und Zweck der Verarbeitung
Gegenstand ist die Verarbeitung personenbezogener Daten zur Erbringung der vertraglich vereinbarten Leistungen: Erfassung, Zuordnung, Archivierung und Auswertung von Werkstoffzeugnissen nach EN 10204 einschließlich Materialbestand, Chargen-Rückverfolgbarkeit, Verwendungsnachweisen, Fristenüberwachung und Audit-Export.
Verarbeitet werden insbesondere Stammdaten der Nutzer (Name, dienstliche E-Mail-Adresse, Rolle), Organisations-, Auftrags- und Bauteildaten, Material- und Zeugnisdaten einschließlich der vom Auftraggeber hochgeladenen Zeugnis-Dokumente sowie Nutzungs- und Protokolldaten (Audit-Trail). Da Werkstoffzeugnisse der Typen 3.1 und 3.2 nach EN 10204 den Prüfbeauftragten des Herstellers bzw. den Sachverständigen namentlich ausweisen, können auch in den hochgeladenen Dokumenten personenbezogene Daten Dritter enthalten sein.
Kategorien betroffener Personen sind Beschäftigte und Beauftragte des Auftraggebers (z. B. Qualitätsmanagement, Produktion, Lager, Einkauf) sowie die vorgenannten, in Zeugnissen benannten Personen auf Seiten der Lieferanten.
§ 3 Pflichten des Auftragsverarbeiters
- Verarbeitung personenbezogener Daten ausschließlich im Rahmen der dokumentierten Weisungen des Auftraggebers (Art. 28 Abs. 3 lit. a DSGVO);
- Verpflichtung der zur Verarbeitung befugten Personen auf Vertraulichkeit (Art. 28 Abs. 3 lit. b, Art. 29 DSGVO);
- Umsetzung geeigneter technischer und organisatorischer Maßnahmen nach Art. 32 DSGVO (siehe § 4);
- Unterstützung des Auftraggebers bei der Beantwortung von Anträgen betroffener Personen sowie bei Datenschutz-Folgenabschätzungen (Art. 28 Abs. 3 lit. e, f DSGVO);
- unverzügliche Meldung von Verletzungen des Schutzes personenbezogener Daten (Art. 33 DSGVO).
§ 4 Technische und organisatorische Maßnahmen
Der Auftragsverarbeiter trifft die nach Art. 32 DSGVO erforderlichen Maßnahmen, insbesondere:
- verschlüsselte Datenübertragung (TLS) auf allen Verbindungen;
- Zugriffskontrolle über Authentifizierung (Clerk) und rollenbasierte Berechtigungen (Rollen für Qualitätsmanagement, Produktion, Lager, Administration);
- mandantengetrennte Datenhaltung: jede Datenbankabfrage ist auf die Organisation des angemeldeten Nutzers gefiltert;
- hochgeladene Zeugnis-Dokumente werden nicht über öffentliche Links ausgeliefert, sondern ausschließlich über einen authentifizierten, mandantengebundenen Datei-Proxy;
- Protokollierung sicherheits- und nachweisrelevanter Vorgänge (Audit-Trail);
- Betrieb von Anwendung und Datenbank in der EU-Region Frankfurt auf Infrastruktur mit anerkannter Zertifizierung.
Die Maßnahmen werden bei technischer Weiterentwicklung fortgeschrieben.
§ 5 Unterauftragsverhältnisse
Der Auftraggeber stimmt der Hinzuziehung der nachfolgend genannten Unterauftragsverarbeiter zu. Über beabsichtigte Änderungen (Hinzuziehung oder Austausch) informiert der Auftragsverarbeiter rechtzeitig; dem Auftraggeber steht ein Widerspruchsrecht aus wichtigem Grund zu.
| Anbieter | Zweck | Verarbeitungsort |
|---|---|---|
| Vercel Inc., USA | Hosting der Anwendung, Ausführung der Serverfunktionen, Dateispeicher für hochgeladene Zeugnis-PDFs (Vercel Blob) | Serverfunktionen in der EU-Region Frankfurt; Unternehmenssitz USA |
| Neon Inc., USA | Betrieb der PostgreSQL-Datenbank (Stamm-, Material-, Zeugnis- und Protokolldaten) | Datenbank in der EU-Region Frankfurt (eu-central-1); Unternehmenssitz USA |
| Clerk Inc., USA | Authentifizierung und Benutzerverwaltung (Anmeldung, Sitzungen, Einladungen) | USA |
| Resend (Plus Five Five, Inc.), USA | Versand transaktionaler E-Mails (Fristen-Erinnerungen, Einladungen, Demo-Zugang) | USA |
| Google Ireland Ltd. / Google LLC (Gemini API) | Automatisches Auslesen hochgeladener Werkstoffzeugnisse (KI-Funktion) — nur bei aktiver Nutzung dieser Funktion durch den Auftraggeber; dabei wird der Inhalt der jeweiligen PDF-Datei übermittelt | EU/USA |
Die Zahlungsabwicklung erfolgt über die Stripe Payments Europe, Ltd. Stripe verarbeitet Zahlungsdaten als eigenständig Verantwortlicher und ist deshalb nicht Unterauftragsverarbeiter im Sinne dieses Vertrags.
Soweit eine Verarbeitung in einem Drittland stattfindet, erfolgt sie auf Grundlage der Standardvertragsklauseln der EU-Kommission (Art. 46 Abs. 2 lit. c DSGVO) und/oder — soweit der Anbieter entsprechend zertifiziert ist — auf Grundlage des EU-US Data Privacy Framework (Angemessenheitsbeschluss vom 10. Juli 2023).
§ 6 Betroffenenrechte
Der Auftragsverarbeiter unterstützt den Auftraggeber im Rahmen seiner Möglichkeiten bei der Erfüllung der Rechte betroffener Personen (Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit, Widerspruch). Anfragen betroffener Personen, die beim Auftragsverarbeiter eingehen, werden an den Auftraggeber weitergeleitet.
§ 7 Löschung und Rückgabe
Nach Beendigung des Hauptvertrags löscht der Auftragsverarbeiter die verarbeiteten personenbezogenen Daten nach Wahl des Auftraggebers oder gibt sie zurück, sofern keine gesetzliche Aufbewahrungspflicht entgegensteht. Ein Datenexport (CSV sowie Audit-Paket einschließlich der hinterlegten Zeugnis-Dokumente) ist während der Vertragslaufzeit jederzeit über die Anwendung möglich. Zu beachten ist, dass den Auftraggeber für Werkstoffzeugnisse eigene Aufbewahrungspflichten treffen können.
§ 8 Nachweise und Kontrollen
Der Auftragsverarbeiter stellt dem Auftraggeber die zum Nachweis der Einhaltung der Pflichten aus Art. 28 DSGVO erforderlichen Informationen zur Verfügung und ermöglicht angemessene Überprüfungen (Art. 28 Abs. 3 lit. h DSGVO).
§ 9 Schlussbestimmungen
Es gilt das Recht der Bundesrepublik Deutschland. Sollten einzelne Bestimmungen unwirksam sein, bleibt die Wirksamkeit der übrigen unberührt. Bei Widersprüchen zwischen diesem Vertrag und dem Hauptvertrag gehen die Regelungen dieses Vertrags in Datenschutzfragen vor.
AVV abschließen
Für einen rechtsverbindlich unterzeichneten Auftragsverarbeitungsvertrag wenden Sie sich an info@werkstoffzeugnis-verwaltung.de. Wir senden Ihnen die unterschriftsfertige Fassung zu.