EPATRONIC
Beratung anfragen

Auftragsverarbeitungsvertrag (AVV)

Vertrag über die Verarbeitung personenbezogener Daten im Auftrag nach Art. 28 DSGVO für die Plattform „EUTHENIA“. Fassung: Oktober 2026 (Fassung 2026-10.1). Er wird bei der Registrierung angenommen; Fassung und Zeitpunkt der Annahme werden festgehalten.

zwischen dem Kunden (Unternehmen, das sich bei EUTHENIA registriert hat; nachfolgend „Verantwortlicher“) und der EPATRONIC Systems GmbH, Altrottstr. 31, 69190 Walldorf, vertreten durch den Geschäftsführer Damian Hillebrand (nachfolgend „Auftragsverarbeiter“).

§ 1 Gegenstand und Dauer

(1) Der Auftragsverarbeiter stellt dem Verantwortlichen die Plattform „EUTHENIA“ als Software-as-a-Service bereit (Nutzungsvertrag nach den AGB, nachfolgend „Hauptvertrag“) und verarbeitet dabei personenbezogene Daten im Auftrag und nach Weisung des Verantwortlichen.

(2) Der Vertrag gilt für die Dauer des Hauptvertrags, einschließlich der kostenlosen Testphase.

§ 2 Art, Zweck, Daten und Betroffene

Art und Zweck der Verarbeitung, die Arten personenbezogener Daten und die Kategorien betroffener Personen ergeben sich aus Anlage 1.

§ 3 Weisungen

(1) Der Auftragsverarbeiter verarbeitet Daten nur auf dokumentierte Weisung des Verantwortlichen, auch hinsichtlich der Übermittlung in ein Drittland, es sei denn, er ist durch Unionsrecht oder das Recht eines Mitgliedstaats zur Verarbeitung verpflichtet; in diesem Fall teilt er dies vorab mit, soweit rechtlich zulässig.

(2) Weisungen werden durch die Nutzung der Funktionen und Einstellungen der Plattform sowie in Textform gegenüber den Ansprechpartnern nach Anlage 4 erteilt.

(3) Hält der Auftragsverarbeiter eine Weisung für datenschutzwidrig, informiert er den Verantwortlichen unverzüglich und darf die Ausführung bis zur Bestätigung aussetzen.

§ 4 Pflichten des Auftragsverarbeiters

  • Vertraulichkeit: Er setzt nur Personen ein, die zur Vertraulichkeit verpflichtet sind.
  • Sicherheit: Er trifft die Maßnahmen nach Anlage 2 (Art. 32 DSGVO) und entwickelt sie fort; eine wesentliche Verschlechterung ist unzulässig.
  • Protokollierung: Die Plattform protokolliert Anmeldungen und wichtige Änderungen (Zeitpunkt, Benutzer, Aktion, betroffenes Objekt).
  • Unterstützung: Er unterstützt den Verantwortlichen bei Anträgen betroffener Personen (Art. 15–22 DSGVO), der Datenschutz-Folgenabschätzung und Konsultationen der Aufsichtsbehörde (Art. 32–36 DSGVO). Entstehender Aufwand richtet sich nach dem Hauptvertrag.
  • Verletzungen: Er meldet Verletzungen des Schutzes personenbezogener Daten unverzüglich, spätestens innerhalb von 48 Stunden nach Kenntnis, mit den verfügbaren Angaben zu Art, Umfang, Folgen und Maßnahmen (Art. 33, 34 DSGVO).
  • Verzeichnis: Er führt ein Verzeichnis der Verarbeitungstätigkeiten nach Art. 30 Abs. 2 DSGVO.
  • Keine automatisierten Entscheidungen: Auswertungen, Berechnungen und Planungsvorschläge der Plattform treffen keine Entscheidungen mit Rechtswirkung (Art. 22 DSGVO); der Verantwortliche prüft und übernimmt Ergebnisse selbst.

§ 5 Unterauftragsverarbeiter

(1) Der Verantwortliche erteilt die allgemeine Genehmigung zum Einsatz der in Anlage 3 genannten Unterauftragsverarbeiter.

(2) Der Auftragsverarbeiter informiert mindestens 30 Tage vor Hinzuziehung oder Austausch eines Unterauftragsverarbeiters in Textform. Der Verantwortliche kann innerhalb von 14 Tagen aus wichtigem datenschutzrechtlichem Grund widersprechen; kommt keine Einigung zustande, haben beide Seiten ein Sonderkündigungsrecht zum Ende des Abrechnungszeitraums.

(3) Der Auftragsverarbeiter verpflichtet Unterauftragsverarbeiter vertraglich auf dieselben Datenschutzpflichten und haftet für sie nach Art. 28 Abs. 4 DSGVO.

§ 6 Drittlandübermittlung

Eine Übermittlung in Drittländer erfolgt nur bei Vorliegen der Voraussetzungen der Art. 44 ff. DSGVO (Angemessenheitsbeschluss, insbesondere EU-US Data Privacy Framework, oder Standardvertragsklauseln). Anlage 3 nennt Standort und Grundlage.

§ 7 Kontrollrechte und Nachweise

(1) Der Auftragsverarbeiter stellt auf Anforderung die Informationen bereit, die zum Nachweis der Einhaltung erforderlich sind (insbesondere Maßnahmenbeschreibung, Berichte zu Sicherung und Wiederherstellung, Prüfberichte Dritter, sobald vorhanden).

(2) Der Verantwortliche kann Überprüfungen selbst oder durch einen zur Vertraulichkeit verpflichteten Prüfer durchführen. Sie sind 14 Tage vorher anzukündigen und während der üblichen Geschäftszeiten ohne Störung des Betriebs durchzuführen; Nachweise nach Absatz 1 gehen vor.

§ 8 Rückgabe und Löschung

(1) Nach Abschluss der Verarbeitung löscht der Auftragsverarbeiter nach Wahl des Verantwortlichen alle personenbezogenen Daten oder gibt sie zurück, sofern keine gesetzliche Speicherpflicht besteht.

(2) Der Verantwortliche kann seine Daten vor Vertragsende selbst exportieren (Datenexport in der Systemverwaltung); Dokumente und den Gesamtbestand stellt der Auftragsverarbeiter auf Anfrage innerhalb von 10 Werktagen bereit.

(3) Die Löschung erfolgt innerhalb von 30 Tagen nach Vertragsende; Sicherungen werden mit der regulären Rotation überschrieben (spätestens nach 6 Monaten). Protokolleinträge enthalten keine Inhalte (nur Zeitpunkt, Benutzer, Aktion, Objektkennung).

§ 9 Haftung und Schlussbestimmungen

(1) Es gilt Art. 82 DSGVO; im Innenverhältnis gelten die Haftungsregelungen des Hauptvertrags.

(2) Änderungen bedürfen der Textform. Bei Widersprüchen geht dieser Vertrag dem Hauptvertrag vor, soweit es um Datenschutz geht. Ist eine Bestimmung unwirksam, bleibt der Vertrag im Übrigen wirksam. Es gilt deutsches Recht; Gerichtsstand ist, soweit zulässig, Mannheim.

(3) Wird der Vertrag inhaltlich geändert, teilt der Auftragsverarbeiter die neue Fassung in Textform mit; frühere Annahmen bleiben als Nachweis gespeichert.

Anlage 1 – Beschreibung der Verarbeitung

  • Gegenstand/Zweck: Bereitstellung der Plattform: Unternehmenssoftware (ERP) mit Kunden-, Lieferanten- und Artikelverwaltung, Angeboten, Aufträgen, Rechnungen und E-Rechnungen, Kasse, Kundendienst, Vertrieb und Marketing (CRM), Projekten, Personalverwaltung, Produktion, Logistik, Dokumentenablage und Auswertungen.
  • Art: Speichern, Ordnen, Abfragen, Verwenden, Übermitteln im Rahmen der Funktionen (z. B. Versand von Belegen per E-Mail auf Veranlassung des Nutzers), Löschen.
  • Datenarten: Stamm- und Kontaktdaten, Vertrags-, Beleg- und Zahlungsdaten (z. B. Bankverbindungen), Kommunikations- und Termindaten, Dokumente, Personaldaten (z. B. Stammdaten, Arbeitszeiten, Abwesenheiten, Gehaltsdaten), Nutzungs- und Protokolldaten (E-Mail, IP-Adresse, Zeitpunkt, Aktion).
  • Betroffene: Mitarbeitende des Verantwortlichen, Kunden, Interessenten, Lieferanten und deren Ansprechpartner, Bewerberinnen und Bewerber.
  • Besondere Kategorien (Art. 9 DSGVO): nicht vorgesehen; sie können nur in vom Verantwortlichen erfassten Personaldaten oder abgelegten Dokumenten enthalten sein. Er stellt die Rechtsgrundlage sicher.

Anlage 2 – Technische und organisatorische Maßnahmen

Die Maßnahmen sind unter Sicherheit & Datenschutz beschrieben und werden in der jeweils aktuellen Fassung Teil dieses Vertrags.

Anlage 3 – Unterauftragsverarbeiter

  • Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen (Deutschland): Hosting der Plattform, Datenbank und Dokumentenspeicher im Rechenzentrum Nürnberg; Auftragsverarbeitungsvertrag nach Art. 28 DSGVO.
  • STRATO GmbH, Otto-Ostrowski-Straße 7, 10249 Berlin (Deutschland): E-Mail-Versand der Plattform sowie Speicherziel (HiDrive) für ausgelagerte, bereits vor der Übertragung verschlüsselte Sicherungen; der Schlüssel liegt nicht beim Anbieter; Auftragsverarbeitungsvertrag nach Art. 28 DSGVO (Version 3.6, abgeschlossen am 12.05.2026); Datenverarbeitung in der EU.
  • Optional, nur bei Verbindung durch den Nutzer: Microsoft Ireland Operations Ltd. (Microsoft Teams im Callcenter) für das jeweils verbundene Konto.

Anlage 4 – Ansprechpartner

Auftragsverarbeiter: Damian Hillebrand, Geschäftsführer, [email protected]. Verantwortlicher: die bei der Registrierung angegebene Person (Administrator des Unternehmens).