Auftragsverarbeitungsvertrag (AVV)
Stand: Juni 2026 · gemäß Art. 28 DSGVO
Dieser Auftragsverarbeitungsvertrag (nachfolgend „AVV") regelt die Verarbeitung personenbezogener Daten durch den Anbieter im Auftrag des Kunden bei der Nutzung der SaaS-Plattform „WebApp von KiNi Solutions". Er ergänzt die AGB und ist Bestandteil des Vertragsverhältnisses.
1. Parteien
Verantwortlicher (Auftraggeber): der Kunde der WebApp-Plattform. Der Kunde benennt im SaaS-Vertrag seine vertretungsberechtigte verantwortliche Stelle mit Anschrift.
Auftragsverarbeiter: KiNi Solutions, Stefan Eschbach, Lehmattweg 3, 79664 Wehr, info@kini.solutions.
Datenschutz-Ansprechpartner bei KiNi: Stefan Eschbach, info@kini.solutions. KiNi Solutions ist nicht zur Bestellung eines Datenschutzbeauftragten verpflichtet gemäß Art. 37 DSGVO und § 38 BDSG (Einzelunternehmen, keine umfangreiche regelmäßige und systematische Überwachung Betroffener als Kerntätigkeit, keine umfangreiche Verarbeitung besonderer Kategorien personenbezogener Daten im Sinne von Art. 9 DSGVO).
2. Gegenstand und Dauer der Verarbeitung
(1) Gegenstand der Verarbeitung ist der Betrieb der Mitarbeiter-Plattform für den Auftraggeber. Die Verarbeitung umfasst Speicherung, Anzeige, Sortierung, Filterung, Export und Löschung personenbezogener Daten der Beschäftigten und externen Kontakte des Auftraggebers.
(2) Die Dauer der Verarbeitung entspricht der Laufzeit des SaaS-Vertrags zuzüglich einer 30-tägigen Soft-Delete-Phase nach Vertragsende sowie der gesetzlichen Aufbewahrungsfristen für buchhaltungsrelevante Daten (10 Jahre nach § 257 HGB). In der 30-tägigen Soft-Delete-Phase besteht für den Auftraggeber Export- und Lese-Zugriff auf seine Daten. Der Auftragsverarbeiter greift in dieser Phase auf personenbezogene Daten nur auf ausdrückliche Weisung des Auftraggebers zu (z. B. zur Unterstützung beim Export oder bei einer Support-Anfrage). Nach Ablauf der 30 Tage werden die Daten automatisch gelöscht; ausgenommen sind ausschließlich die nach § 257 HGB aufzubewahrenden buchhaltungsrelevanten Datensätze, die gesondert archiviert und nach Ablauf der gesetzlichen Frist ebenfalls gelöscht werden.
3. Art und Zweck der Verarbeitung
Die Verarbeitung erfolgt zum Zweck der Bereitstellung der vereinbarten Plattform-Module gemäß SaaS-Vertrag, insbesondere:
- Benutzerverwaltung (Login, Rollen, Standortzuweisung)
- Termin- und Veranstaltungs-Verwaltung inkl. Einladungen
- Auftragsverwaltung (Vergabe an interne Teams oder externe Dienstleister)
- Bestandspflege und Bestellungen für Snacks/Getränke (Vertrauenskiosk)
- Sitzungszimmer-Buchung
- Sitzungs-Protokolle (Live-Protokoll, Inputs/Outputs, Folgesitzungs-Verkettung)
- Weiterbildungs-Verwaltung (Pflicht-Zuweisungen, Auffrischungs-Erinnerung, Teilnahme-Historie)
- Dokumentenablage (allgemeine + persönlich adressierte Dokumente; Workflow Kenntnisnahme bzw. digitale Unterschrift; Rückmeldungs-Protokoll)
- Fahrtenbuch (QR-Scan am Fahrzeug, manuelle Kilometerstand-Erfassung, Start-/Ziel-Ort als Freitext, digitale Unterschrift; kein GPS-Tracking)
- Fahrzeug-Reservierung (zeitliche Buchung von Firmen-Fahrzeugen durch Mitarbeitende, Konflikt-Check, Gantt-Kalender)
- Termin-Reminder per Push (vor zugesagten Terminen, Sitzungen, Weiterbildungs-Anmeldungen; Vorlaufzeit pro Mitarbeiter konfigurierbar)
- Weiterbildungs-Feedback (anonyme Antworten ohne User-Bezug, nur Doppel-Abgabe-Schutz ĂĽber pseudonymisierten Hash)
- In-App-Postfach (System-Nachrichten an einzelne Mitarbeitende: Bestätigungen zu Anmeldungen/Reservierungen, automatischer Online-Meeting-Link-Versand nach Anmeldefrist und 1 h vor Termin-Start, Reminder, Rückmeldungen der Verwaltung zu KVP/Beschwerden)
- Beschwerde- und Verbesserungsmanagement (KVP-Vorschläge und strukturierte Beschwerden, drei Anonymitäts-Stufen: mit Klarnamen / pseudonym mit Antwort-Möglichkeit über Postfach / komplett anonym ohne Rückverfolgbarkeit, Statusverfolgung, Belohnungsvergabe, Antwort-Workflow via Postfach)
- Beauftragte (Datenschutz-, Gleichstellungs-, Sicherheitsbeauftragte und weitere konfigurierbare Stellen; pro Stelle: Vorstellung, Kontaktdaten, Audience-Beschränkung auf Standort/Team/Mitarbeiter, Nachrichten in drei Anonymitäts-Stufen, eigene Dokumentenablage mit Pflicht-Pyramiden-Einsortierung, Mail-Benachrichtigung an die Stellen-Kontaktadresse)
- Sammelbestellung bei Anbietern (alle Artikel eines Anbieters fĂĽr einen Liefertag in einem Submit, Live-VerfĂĽgbarkeit pro Artikel ĂĽber das Tageskontingent, all-or-nothing-Validierung gegen Anbieter-VerfĂĽgbarkeit/Wochentage/Abwesenheiten)
- Delegierte Verwaltungs-Rolle mit Kompetenz-Verzeichnis (steuert pro Verwaltungs-Mitarbeiter, welche Admin-Bereiche zugänglich sind, ohne volle Admin-Rechte zu vergeben)
- Extern/Gast-Rolle (App-Zugang fĂĽr Beirat, Kooperationspartner, Kunden, Klienten mit pro Konto schaltbaren Modulen und optionaler Scope-Whitelist auf Standort/Team/Personen)
- Bike-to-Work-Challenge, Tippspiel (inkl. konfigurierbarer Preise und Sortier-Grundlage)
- Interner Mitarbeiter-Chat
- E-Mail-Benachrichtigungen (Einladungen, Bestell-Mails, Anfragen an Dienstleister, Welcome-Mails)
Es findet keine automatisierte Entscheidungsfindung im Sinne von Art. 22 DSGVO, kein Profiling, kein KI-gestütztes Scoring und keine automatisierte Verhaltens- oder Leistungsanalyse statt. Filter- und Sortierfunktionen dienen ausschließlich der Anzeige und werden vom angemeldeten Benutzer selbst ausgelöst.
3a. Klarstellung zur Verwendung von KI / Machine-Learning
Der Auftragsverarbeiter erklärt, dass die Plattform keine KI- oder Machine-Learning-Module enthält und dass folgende Verarbeitungen ausgeschlossen sind:
- Keine Anbindung an Large-Language-Model-APIs (insbesondere OpenAI, Anthropic, Azure OpenAI, Google Gemini, Mistral) — weder direkt noch über Sub-Auftragsverarbeiter.
- Keine Nutzung personenbezogener Daten des Auftraggebers fĂĽr Training, Fine-Tuning oder Validierung von KI-Modellen.
- Keine automatisierte semantische Auswertung von Freitext-Inhalten (Chat, Beschwerden, KVP, Notizen).
- Keine ML-basierte Profil- oder Verhaltensanalyse von Mitarbeitenden.
Sollte der Auftragsverarbeiter zukünftig KI-Module einführen, erfolgt zuvor eine schriftliche Information mit Modellarchitektur, Sub-Auftragsverarbeitern, Speicher- und Löschkonzept sowie ggf. Zustimmungserfordernis des Auftraggebers und Änderung dieses Vertrags.
4. Kategorien betroffener Personen
- Mitarbeiterinnen und Mitarbeiter des Auftraggebers (alle Rollen: Admin, Leitung, Mitarbeiter, ggf. weitere domainspezifische Rollen)
- Externe Anbieter / externe Dienstleister, die mit der Plattform in Kontakt stehen (z. B. Lieferanten, Handwerksfirmen)
- Eingeladene Gäste an Terminen
5. Kategorien personenbezogener Daten
| Modul | Datenkategorien |
|---|---|
| Account / Login | E-Mail, Name, Rolle, Funktion, Standortzuweisung, Passwort-Hash (Argon2), Session-Token, Recovery-Code |
| Kalender / Termine | Titel, Beschreibung, Start-/Endzeit, Teilnehmerliste, Sitzungszimmer-Bezug, Datei-Anhänge, Audience-Zuordnung (User/Team/Standort) |
| Sitzungen | Verknüpfter Termin, Protokoll-Text, Inputs/Outputs, Anhänge, Folgesitzungs-Kette |
| Weiterbildungen | Typ-Bezeichnung, Auffrischungs-Intervall, Pflicht-Zuweisungen (User/Team/Standort), Teilnahme-Historie pro Mitarbeiter, optional verknĂĽpfter Termin |
| Dokumente | Dokumententitel, Beschreibung, Datei-Anhang, Pyramiden-Ebene, Frist, Audience-Zuordnung (User/Team/Standort), Workflow-Typ (Information/Kenntnisnahme/Unterschrift); pro Empfänger: Status, Zeitstempel der Rückmeldung, IP-Adresse des Klick-Zeitpunkts, bei Unterschrift der vom Empfänger eingegebene Name, bei Ablehnung die Begründung. Die digitale Unterschrift ersetzt eine handschriftliche Signatur für interne Bestätigungsvorgänge (z. B. Kenntnisnahme einer Brandschutzordnung). |
| Aufträge | Auftragstitel, Beschreibung, Standort, Zuweisung an internes Team oder externen Dienstleister, Anhänge |
| Snacks & Getränke | Bestellte Mengen, Bestand, Inventur, Käufer (Mitarbeiter-Bezug), Lieferanten-Stammdaten |
| Fahrtenbuch | Kennzeichen, Tachostand (manuell), Start-Ort + Ziel-Ort (Freitext-Eingabe durch Fahrer), Fahrer (Mitarbeiter-Bezug), Datum, digitale Unterschrift. Keine GPS-Daten — bewusster Verzicht auf Geokoordinaten und Karten-Darstellung zur Vermeidung von Profilbildung und Leistungsbeurteilung. |
| Bike-to-Work / Tippspiel | Tageseinträge, Spielergebnisse, Punktestände, Mitarbeiter-Bezug |
| Chat | Nachrichten zwischen Mitarbeitern; optionale Datei-Anhänge (Bilder JPG/PNG/WebP/GIF/SVG, PDF, Word, Excel, PowerPoint, OpenOffice, CSV/TXT, bis 15 MB) mit Original-Dateinamen. Chat-Nachrichten und Anhänge werden nach 30 Tagen automatisch gelöscht (täglicher Cleanup-Job). |
| Push-Versand (Web-Push) | Push-Subscription-Endpoint des Empfänger-Browsers/Geräts, p256dh- und auth-Schlüssel der Browser-Subscription, der Inhalt (Titel, Vorschau-Text, Ziel-URL) jeder ausgelösten Benachrichtigung. Auslöser sind neue „Aktuelles"-Beiträge, neue Termine/Veranstaltungen, neue Chat-Nachrichten sowie Termin-Reminder vor zugesagten Terminen, Sitzungen und Weiterbildungs-Anmeldungen (Vorlaufzeit zwischen 30 min und 2 Tagen, default 24 h, vom Empfänger im Profil einstellbar). Bei installierter PWA (Home-Bildschirm) setzt die App über die Web-App-Badging-API zusätzlich einen Zähler am App-Icon mit der Gesamt-Anzahl ungesehener Hinweise; übertragen wird dabei lediglich die Anzahl (eine Zahl), keine weiteren Inhalte. |
| Fahrzeug-Reservierung | Mitarbeiter-ID, Fahrzeug-ID, Start-/Endzeit, optionaler Zweck-Freitext, Status (aktiv / storniert). |
| Weiterbildungs-Feedback (anonym) | Antworten auf ein Feedback-Formular (Sterne-Rating, Freitext, Auswahl). Speicherung ohne User-Bezug; nur ein nicht-rĂĽckfĂĽhrbarer SHA-256-Hash aus User-ID und Training-ID schĂĽtzt vor Doppel-Abgabe. |
| Extern/Gast-Konten | Pro Konto fĂĽnf optionale Modul-Freischaltungen (Kalender / Mailliste / Telefonliste / Chat / Postfach) sowie ggf. Sichtbarkeits-Whitelist auf Standorte, Teams oder einzelne Mitarbeiter. |
| In-App-Postfach | Nachrichten-Kategorie, Titel, Body-Text, optionaler Link, Erstell-/Lese-Zeitstempel. System-generierte Inhalte: Anmelde-Bestätigungen, Reminder, Online-Meeting-Links, KVP/Beschwerde-Rückmeldungen, Beauftragten-Nachrichten (Eingang/Ausgang), Bestell-Bestätigungen bei Anbieter-Sammelbestellungen mit Artikel-Liste + Liefertag; read-only. Postfach-Nachrichten werden nach 30 Tagen automatisch gelöscht (täglicher Cleanup-Job). |
| Beschwerde- und KVP-Einreichungen | Pro Einreichung: Kind (kvp/beschwerde), Titel + 4 strukturierte Freitexte (was/wo/wie/Beschreibung), Anonymitäts-Modus (named/pseudonym/full), Einreichender (bei named/pseudonym intern als User-ID gespeichert für Reply-Routing; bei pseudonym sieht die Verwaltung nur ein systemgeneriertes Pseudonym „Anonym #ID"; bei full ist die Sender-ID NULL und systemseitig nicht rückführbar), Status (inkl. Soft-Delete-Status „Gelöscht"), Belohnungs-Text, Verlauf der Verwaltungs-Antworten. |
| Beauftragte (Stellen) | Pro Stelle: Titel, Beschreibung, Vorstellungstext, Kontaktangaben (E-Mail/Telefon), zugewiesene Person (interner User-Bezug ODER Verweis in die unternehmensinterne Kontaktliste; exklusiv), Audience-Zuordnung (User/Team/Standort), Pflicht-Pyramiden-Ebene fĂĽr Dokumente, Erlaubnis-Flag fĂĽr anonyme Nachrichten. |
| Nachrichten an Beauftragte | Pro Nachricht: Empfänger-Stelle, Betreff, Body-Text, Anonymitäts-Modus (named/pseudonym/full mit identischer Semantik zur KVP/Beschwerde), Sender-ID nur bei named/pseudonym, Thread-Antworten beider Seiten (bei full nicht möglich). Mail-Versand an die Kontakt-Mail der Stelle (sofern hinterlegt). Postfach-Push bei Eingang. |
| Beauftragten-Dokumente | Datei-Upload pro Stelle: Titel, Datei-Inhalt, MIME-Typ, Pflicht-Einsortierung in die Pyramiden-Ebene (Strategie / Richtlinien / Prozesse / Arbeitsanweisungen / Vorlagen), Hochlade-User, Zeitstempel. |
| Anbieter-Sammelbestellung (Vendor-Orders) | Pro Bestellung: Anbieter-Bezug, Bestellender Mitarbeiter, Artikel + Menge, Stückpreis-Snapshot, Abrechnungsart (privat/Einrichtung), Erfüllungsart (Abholung/Lieferung), Liefer-Standort (bei Lieferung oder Einrichtungsabrechnung), Liefer-Datum, Notiz, Status (offen/erfüllt/storniert). Bei Sammelbestellung mehrere Datensätze in einer Transaktion (all-or-nothing gegen Tageskontingente). |
| Verwaltungs-Kompetenzen | Pro „Verwaltung"-User Liste der Bereiche, die er pflegen darf (steuert nur Menü-Sichtbarkeit + Routen-Zugriff). Aktuell 19 Bereiche: u. a. Beauftragte, Beschwerde, Weiterbildung, Mitarbeiter, Standorte, … |
| Mandanten-Identität | Firmenname, Logo, Farben, Adresse, Tarif |
6. Pflichten des Auftragsverarbeiters
Der Auftragsverarbeiter verpflichtet sich,
- personenbezogene Daten ausschließlich im Rahmen der dokumentierten Weisungen des Auftraggebers zu verarbeiten. Der Auftraggeber benennt im SaaS-Vertrag mindestens eine weisungsbefugte Person mit Name und E-Mail-Adresse. Weisungen können per E-Mail an info@kini.solutions oder über das Superadmin-Dashboard erteilt werden. Authentizitätsprüfung: Eingehende Weisungen werden vom Auftragsverarbeiter gegen die im SaaS-Vertrag benannte(n) weisungsbefugte(n) Person(en) abgeglichen (Absender-Mailadresse). Weisungen mit invasiver Wirkung – insbesondere Massen-Löschungen, vollständige Daten-Exporte oder die Einrichtung neuer Sub-Verarbeitungen – erfordern eine schriftliche Bestätigung im Vier-Augen-Prinzip durch eine zweite, im SaaS-Vertrag benannte Person des Auftraggebers. Sämtliche Weisungen werden samt Eingangszeitpunkt, Inhalt und Bearbeitungs-Status in einer revisionssicheren Weisungs-Historie protokolliert; der Auftraggeber kann sie auf Verlangen einsehen;
- die Vertraulichkeit der zur Verarbeitung eingesetzten Personen sicherzustellen;
- angemessene technische und organisatorische Maßnahmen (siehe §8 / Anhang TOM) zu treffen und diese laufend dem Stand der Technik anzupassen;
- den Auftraggeber unverzüglich zu informieren, wenn er der Auffassung ist, dass eine Weisung gegen Datenschutzrecht verstößt;
- den Auftraggeber bei der Wahrnehmung der Betroffenenrechte zu unterstützen (Art. 15 Auskunft, Art. 16 Berichtigung, Art. 17 Löschung, Art. 18 Einschränkung, Art. 20 Datenübertragbarkeit, Art. 21 Widerspruch);
- den Auftraggeber bei den Pflichten aus Art. 32–36 DSGVO zu unterstützen, insbesondere bei der Sicherheit der Verarbeitung (Art. 32), bei der Meldung von Datenschutzverletzungen an die Aufsichtsbehörde (Art. 33) und an Betroffene (Art. 34), bei der Datenschutz-Folgenabschätzung (Art. 35) sowie bei der vorherigen Konsultation der Aufsichtsbehörde (Art. 36). Die Unterstützung erfolgt durch Bereitstellung der aktuellen TOM, Auditberichte, Speicherorte, Sub-Auftragsverarbeiter-Liste, Löschkonzept, Risiko- und Sicherheitsinformationen sowie ggf. Zertifizierungen;
- nach Beendigung des Vertrags die Daten – außerhalb gesetzlicher Aufbewahrungsfristen – zu löschen oder zurückzugeben (vgl. §11).
6a. Pflichten des Auftraggebers
Der Auftraggeber ist Verantwortlicher im Sinne von Art. 4 Nr. 7 DSGVO und für die Rechtmäßigkeit der Verarbeitung verantwortlich. Er verpflichtet sich,
- die Rechtsgrundlage jeder Verarbeitung sicherzustellen (Art. 6 DSGVO; bei Beschäftigtendaten zusätzlich § 26 BDSG) und die Zweckbindung einzuhalten;
- die in seiner Mandanten-Instanz verarbeiteten Daten auf das für den jeweiligen Zweck erforderliche Maß zu beschränken (Datenminimierung);
- seine Beschäftigten und weitere Betroffene gemäß Art. 13 DSGVO über die Verarbeitung zu informieren (interner Datenschutzhinweis);
- eine Datenschutz-Folgenabschätzung gemäß Art. 35 DSGVO zu prüfen, soweit erforderlich, und KiNi die hierfür benötigten Auskünfte einzuholen;
- die weisungsbefugte(n) Person(en) sowie die verantwortliche Stelle gegenĂĽber KiNi zu benennen und Ă„nderungen unverzĂĽglich mitzuteilen;
- bei aktivierten Modulen mit erhöhtem Risiko (z. B. Verzehr-/Einrichtungs-Abrechnung, Beauftragten-Modul mit personenbezogenen Anliegen, Beschwerde- und KVP-Management) eigene Rechtsgrundlage sowie etwaige Mitbestimmungspflichten (Betriebsrat / Mitarbeitervertretung) zu prüfen. Datenschutz-Folgenabschätzung (DSFA / DPIA, Art. 35 DSGVO): der Auftraggeber prüft eigenverantwortlich eine DSFA-Pflicht, insbesondere bei: (a) Chat-/Postfach-Inhalten als möglicher Beobachtungs-/Verhaltens-Beeinflussung, (b) Beauftragten-Modul und KVP/Beschwerde-Modul als Hinweisgeber-Kanäle, (c) Fahrtenbuch (ohne GPS) bei beruflicher Tour-Dokumentation, (d) ggf. Bike-to-Work bei aggregierten Bewegungs-Mustern, sowie weiteren Modulen je nach EDSA-Listen-Auslösern;
- Hinweisgeber-Schutz (HinSchG): Wenn der Auftraggeber im KVP-/Beschwerde-Modul oder über das Beauftragten-Modul (mit oder ohne Anonymitäts-Modus) Hinweise nach dem Hinweisgeberschutzgesetz entgegen nimmt, ist er für die Einhaltung der dortigen Vertraulichkeits- und Aufbewahrungspflichten (§ 8 ff., § 11 HinSchG — Dokumentation grundsätzlich drei Jahre nach Abschluss des Verfahrens) selbst verantwortlich. Der Auftragsverarbeiter unterstützt durch die drei Anonymitäts-Modi (named / pseudonym / full) und die Soft-Delete-Funktion der Verwaltung; Zugriffe auf Hinweisgeber-Daten durch den Auftragsverarbeiter erfolgen ausschließlich auf ausdrückliche Weisung. Die Verpflichtung des Auftraggebers zur Einrichtung interner Meldekanäle ab 50 Beschäftigten (§ 12 HinSchG) bleibt davon unberührt;
- eine Modul-Matrix als Anlage zu diesem AVV zu pflegen, die je aktiviertem Modul Zweck, Datenarten, Rechtsgrundlage, Betroffene und Löschfrist konkretisiert (Vorlage siehe Modul-Matrix-Vorlage).
- die Rollen-Matrix (Berechtigungskonzept) als Anlage zu diesem AVV zur Kenntnis zu nehmen und in der eigenen Datenschutz-Dokumentation zu referenzieren (Art. 32 Abs. 1 lit. b DSGVO). Die Matrix bildet je Rolle ab, welche Module gelesen, geschrieben oder verwaltet werden dĂĽrfen, und wird vom Auftragsverarbeiter aktuell gehalten (siehe Rollen-Matrix-Anlage).
7. Sub-Auftragsverarbeiter
Der Auftraggeber stimmt mit Vertragsschluss der Einschaltung folgender Sub-Auftragsverarbeiter zu:
| Sub-Verarbeiter | Sitz / Anschrift | Leistung |
|---|---|---|
| Hetzner Online GmbH | Industriestr. 25, 91710 Gunzenhausen, Deutschland | Server-Hosting, Storage, Netzwerk |
| Wildbit, LLC (Postmark) | 225 Chestnut Street, Philadelphia, PA 19106, USA – Drittland; Garantien durch Standardvertragsklauseln (SCC, Durchführungsbeschluss (EU) 2021/914, Modul 2 „Controller-to-Processor"); zusätzlich Zertifizierung nach EU-US Data Privacy Framework (DPF) | Versand transaktionaler E-Mails (Einladung, Welcome, Bestellung, Dienstleister-Anfrage) |
| Stripe Payments Europe Limited | 1 Grand Canal Street Lower, Grand Canal Dock, Dublin, Irland | Zahlungsabwicklung (Karte, SEPA), Subscription-Management |
| Apple Inc. (Apple Push Notification Service) | One Apple Park Way, Cupertino, CA 95014, USA – Drittland; SCC Modul 2; DPF-zertifiziert | Push-Auslieferung an Safari/iOS-Geräte (E2E-verschlüsselt nach RFC 8291) |
| Google LLC (Firebase Cloud Messaging) | 1600 Amphitheatre Parkway, Mountain View, CA 94043, USA – Drittland; SCC Modul 2; DPF-zertifiziert | Push-Auslieferung an Chrome/Android-Geräte (TLS-gesichert; Klartext liegt in der Google-Cloud zwischenzeitlich vor, daher Inhalt minimiert) |
| Mozilla Corporation (autopush) | 149 New Montgomery Street, San Francisco, CA 94105, USA – Drittland; SCC Modul 2 | Push-Auslieferung an Firefox-Geräte (E2E-verschlüsselt nach RFC 8291) |
Die Auswahl des Push-Dienstes wird automatisch vom Browser/Betriebssystem des Empfänger-Geräts vorgegeben. Übertragen werden Push-Endpoint, kryptografische Browser-Schlüssel sowie der verschlüsselte Inhalt einer Benachrichtigung (Titel + Vorschau-Text + Ziel-URL); Apple und Mozilla erfahren keinen Klartext.
Der Auftragsverarbeiter informiert den Auftraggeber mindestens 30 Tage im Voraus über beabsichtigte Änderungen oder die Einschaltung neuer Sub-Auftragsverarbeiter. Der Auftraggeber kann der Änderung innerhalb von 14 Tagen ab Information aus sachlichem Grund widersprechen. Im Falle eines Widerspruchs werden sich die Parteien um eine einvernehmliche Lösung bemühen; kommt diese nicht zustande, besteht beiden Parteien ein außerordentliches Kündigungsrecht.
Der Auftragsverarbeiter schlieĂźt mit jedem Sub-Auftragsverarbeiter einen schriftlichen Vertrag, der diesem dieselben oder mindestens gleichwertige Datenschutzpflichten auferlegt wie in der vorliegenden AVV vereinbart. Bei Drittlandstransfers werden geeignete Garantien (insbesondere Standardvertragsklauseln nach DurchfĂĽhrungsbeschluss (EU) 2021/914) verwendet.
8. Technische und organisatorische MaĂźnahmen (TOM)
| Bereich | MaĂźnahme |
|---|---|
| Vertraulichkeit | Mandanten-Trennung pro Postgres-Container und pro (Sub-)Domain. SSH-SchlĂĽsselbasierter Server-Zugang. Argon2-Passwort-Hashing. Session-Cookies HttpOnly + Secure. |
| Integrität | HTTPS / TLS 1.3 für sämtliche Verbindungen (auch für optional aufgeschaltete Custom-Domains via Let's-Encrypt-Zertifikate), Stripe-Webhook-Signaturprüfung, signierte Session-Cookies. |
| Verfügbarkeit | Tägliche Postgres-Datenbank-Backups, Wiederherstellungstest mindestens vierteljährlich. Server-Monitoring (CPU, RAM, Disk). |
| Pseudonymisierung | Wo fachlich möglich (z. B. Bike-to-Work-Statistiken auf Standortebene aggregiert). |
| Eingaben | Audit-Felder (created_at, updated_at, created_by_id) auf relevanten Modellen. Fahrtenbuch- und Anbieter-Bestellungen sind nach Abschluss schreibgeschĂĽtzt. |
| Auftragskontrolle | Klare Weisungsstruktur ĂĽber E-Mail an info@kini.solutions oder ĂĽber das Superadmin-Dashboard. |
| Trennung | Pro Mandant ein eigener Docker-Compose-Stack (App + DB + Volume), keine geteilte Infrastruktur zwischen Mandanten. |
| Belastbarkeit | Ressourcen-Limits pro Container; Service-Worker / PWA-Caching auf Client-Seite, sodass Lese-Operationen offline möglich bleiben. |
Der Auftragsverarbeiter überprüft die TOM mindestens einmal jährlich sowie anlassbezogen (insbesondere bei wesentlichen Änderungen der Risikolage, des Standes der Technik oder der eingesetzten Komponenten) und passt sie an. Der Auftraggeber wird über wesentliche Änderungen informiert.
9. Meldung von Verletzungen des Schutzes personenbezogener Daten
(1) Der Auftragsverarbeiter informiert den Auftraggeber unverzüglich, spätestens jedoch innerhalb von 24 Stunden nach Bekanntwerden einer Verletzung des Schutzes personenbezogener Daten. Die Meldung enthält mindestens:
- Art und Umfang der Verletzung sowie betroffene Datenkategorien und voraussichtliche Anzahl Betroffener,
- Zeitpunkt und Ort der Verletzung sowie die Art der Bekanntwerdung,
- voraussichtliche Folgen fĂĽr die Betroffenen,
- bereits ergriffene und geplante GegenmaĂźnahmen,
- Kontaktdaten der Person beim Auftragsverarbeiter, die zusätzliche Informationen bereitstellen kann.
(2) Die Meldung kann zunächst formlos per E-Mail an die im SaaS-Vertrag benannten weisungsbefugten Personen erfolgen und wird nachgereicht, sobald weitere Informationen vorliegen. Der Auftraggeber bleibt für die Meldung an die Aufsichtsbehörde (Art. 33 DSGVO) und an Betroffene (Art. 34 DSGVO) verantwortlich; der Auftragsverarbeiter unterstützt ihn hierbei gemäß §6.
10. Kontrollrechte und Nachweispflichten (Art. 28 Abs. 3 lit. h DSGVO)
(1) Der Auftragsverarbeiter stellt dem Auftraggeber alle erforderlichen Informationen zur Verfügung, die zum Nachweis der Einhaltung der in Art. 28 DSGVO niedergelegten Pflichten erforderlich sind. Dazu zählen insbesondere: aktuelle TOM, Verzeichnis der Sub-Auftragsverarbeiter mit Datenflüssen, Löschkonzept und Lösch-Protokolle, Backup- und Wiederanlauf-Konzept, Berechtigungskonzept und Audit-Logs, Datenschutz-Folgenabschätzungen, Pen-Test-Berichte und Zertifizierungen — letztere jeweils, soweit vorhanden.
(2) Der Auftragsverarbeiter ermöglicht und unterstützt Überprüfungen einschließlich Inspektionen, die vom Auftraggeber oder einem von ihm beauftragten unabhängigen Prüfer durchgeführt werden. Vor-Ort-Audits sowie Remote-Audits (z. B. Video-Audit mit System-Walkthrough) sind nach vorheriger Abstimmung mit einer Vorlauffrist von mindestens 14 Kalendertagen und während der üblichen Geschäftszeiten möglich; sie dürfen den laufenden Geschäftsbetrieb nicht übermäßig stören. Bei akutem Anlass (z. B. nach einer Datenschutzverletzung) verkürzt sich die Vorlauffrist auf 3 Werktage.
(3) Der Auftragsverarbeiter trägt die für die Audit-Unterstützung anfallenden eigenen Aufwendungen pauschal mit bis zu einem Personentag je Kalenderjahr; darüber hinausgehender Aufwand ist nach Aufwand zu vergüten. Bei einem Audit mit konkretem Anlass nach einer vom Auftragsverarbeiter zu vertretenden Datenschutzverletzung trägt er sämtliche Aufwendungen.
(4) Soweit der Auftragsverarbeiter den Nachweis durch eine aktuelle Zertifizierung nach anerkanntem Verfahren (z. B. ISO 27001) oder einen Bericht eines unabhängigen Prüfers führt, ersetzt dieser eine Vor-Ort-Inspektion, sofern der Auftraggeber damit einverstanden ist.
11. Löschung und Rückgabe
(1) Die Daten werden nach Vertragsende unverzüglich logisch gesperrt (Read-Only-Zugang für den Auftraggeber zu Export-Zwecken; keine Schreib-Routen mehr aktiv) und spätestens nach 30 Tagen irreversibel gelöscht, soweit keine gesetzlichen Aufbewahrungspflichten entgegenstehen.
(2) Während der 30-tägigen Sperr-Phase besteht für den Auftraggeber Export-Zugriff über das Admin-Konto. Auf der Auftragsverarbeiter-Seite erfolgt in dieser Phase keine eigenständige Verarbeitung; Zugriff erfolgt ausschließlich auf ausdrückliche Weisung des Auftraggebers (z. B. zur Export-Unterstützung). Backups werden mit derselben Frist behandelt (Backup-Rotation 14 Tage; Backups, die Daten der gelöschten Instanz enthalten, werden mit Ablauf der Rotationsfrist mit-gelöscht).
(3) Nach Ablauf der 30 Tage werden sämtliche personenbezogenen Daten irreversibel gelöscht – mit Ausnahme der nach § 257 HGB aufzubewahrenden buchhaltungsrelevanten Datensätze (insbesondere Verzehr- und Einrichtungs-Abrechnungen sowie Fahrtenbuch-Eintragungen). Diese werden gesondert archiviert und nach Ablauf der gesetzlichen Frist ebenfalls gelöscht.
(4) Jede Löschung wird automatisiert protokolliert: Zeitstempel, Mandant-Identifikator, Anzahl gelöschter Datensätze pro Tabelle, SHA-256-Prüfsumme der löschenden Operation. Das Lösch-Protokoll wird sieben Jahre aufbewahrt und ist im internen Audit-Bereich des Auftragsverarbeiters einsehbar.
(5) Auf Verlangen erhält der Auftraggeber eine schriftliche Lösch-Bestätigung mit Verweis auf die jeweilige Protokoll-Zeile.
11a. Haftung
(1) Es gilt die Haftungsregelung des Art. 82 DSGVO. Auftraggeber und Auftragsverarbeiter haften gegenüber Betroffenen entsprechend ihrer jeweiligen Verantwortung. Im Innenverhältnis haftet jede Partei für Pflichtverletzungen, die sie selbst zu vertreten hat.
(2) Haftung fĂĽr Sub-Auftragsverarbeiter (Art. 28 Abs. 4 DSGVO): Kommt ein vom Auftragsverarbeiter eingesetzter Sub-Auftragsverarbeiter seinen Datenschutzpflichten nicht nach, haftet der Auftragsverarbeiter gegenĂĽber dem Auftraggeber fĂĽr die Einhaltung der Pflichten des Sub-Auftragsverarbeiters wie fĂĽr eigenes Verschulden. Diese Haftung umfasst insbesondere Auswahl, vertragliche Verpflichtung, laufende Kontrolle und Beendigung der Sub-Verarbeitung.
(3) Der Auftragsverarbeiter wählt Sub-Auftragsverarbeiter mit Sorgfalt aus, schließt mit ihnen schriftliche Verträge mit mindestens gleichwertigen Pflichten wie aus dieser AVV ab (vgl. §7) und prüft deren Einhaltung regelmäßig. Verstöße werden dem Auftraggeber im Rahmen von §9 mitgeteilt.
(4) Weitergehende vertragliche Haftungsregelungen ergeben sich aus dem SaaS-Vertrag und den AGB.
12. Schlussbestimmungen
Es gilt deutsches Recht unter Ausschluss des UN-Kaufrechts und der kollisionsrechtlichen Verweisungsnormen. Gerichtsstand für sämtliche Streitigkeiten aus oder im Zusammenhang mit diesem AVV ist – soweit gesetzlich zulässig – der Sitz des Auftragsverarbeiters (Wehr, Baden-Württemberg). Pflichtangaben aus zwingenden Verbraucherschutz- oder Datenschutzvorschriften bleiben unberührt. Sollten einzelne Regelungen unwirksam sein, bleiben die übrigen davon unberührt. Änderungen dieses AVV bedürfen der Textform.