Auftragsverarbeitungsvertrag (AVV)

nach Art. 28 Abs. 3 DSGVO für die Nutzung der Software „MaschPilot"
Stand: 13. November 2026

Präambel

Dieser Vertrag gilt zwischen dem Kunden („Verantwortlicher") und der Punitech GmbH, Kirrlacherstr. 23, 68753 Waghäusel („Auftragsverarbeiter"). Er ist Bestandteil jedes Vertrags über die Nutzung von MaschPilot als Software as a Service, einschließlich der kostenlosen Testphase, und wird mit der Registrierung oder der Unterzeichnung eines individuellen Angebots wirksam. Auf Wunsch stellt der Auftragsverarbeiter eine gegengezeichnete Fassung in Textform bereit. Für Installationen auf Servern des Kunden (On-Premises) gilt dieser Vertrag nur, soweit der Auftragsverarbeiter dort im Rahmen von Support oder Wartung Zugriff auf personenbezogene Daten erhält.

§ 1 Gegenstand und Dauer

(1) Gegenstand ist die Verarbeitung personenbezogener Daten, die der Verantwortliche oder seine Nutzer in seinem Arbeitsbereich speichern, durch den Auftragsverarbeiter bei der Bereitstellung, dem Betrieb, der Datensicherung, der Wartung und dem Support der Software.

(2) Die Dauer entspricht der Laufzeit des Hauptvertrags zuzüglich der Zeit bis zur vollständigen Löschung nach § 9.

§ 2 Art und Zweck der Verarbeitung, Datenarten, Betroffene

(1) Art und Zweck: Speichern, Organisieren, Anzeigen, Auswerten, Exportieren, Übermitteln (z. B. Bestell-E-Mails an Lieferanten, Synchronisation mit vom Verantwortlichen verbundenen Diensten) und Löschen von Daten zur Durchführung des Hauptvertrags.

(2) Datenarten: Stammdaten von Nutzern (Name, Benutzername, E-Mail, Rolle, Stundensatz, Wochenstunden), Anmelde- und Sitzungsdaten, Arbeitszeiten, Spesen und Abwesenheiten (ohne Abwesenheitsgrund), Projekt-, Lager-, Einkaufs-, Service- und Rechnungsdaten mit Bezug zu Personen, Kontaktdaten von Kunden, Lieferanten und Herstellern samt CRM-Notizen, Dokumente und Dateien, Unterschriften auf Abnahmeprotokollen sowie alle weiteren Inhalte, die der Verantwortliche hochlädt.

(3) Betroffene: Beschäftigte und Beauftragte des Verantwortlichen, Ansprechpartner seiner Kunden, Lieferanten und sonstigen Geschäftspartner sowie weitere Personen, deren Daten der Verantwortliche speichert.

(4) Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO) sind nicht Gegenstand der Verarbeitung. Der Verantwortliche speichert solche Daten nicht in der Software, insbesondere keine Krankheitsgründe in Zeit- oder Abwesenheitsdaten.

§ 3 Weisungen

(1) Der Auftragsverarbeiter verarbeitet die Daten nur auf dokumentierte Weisung des Verantwortlichen, auch in Bezug auf Übermittlungen in Drittländer, es sei denn, er ist durch Unionsrecht oder das Recht eines Mitgliedstaats dazu verpflichtet; in diesem Fall teilt er dem Verantwortlichen diese Anforderungen vor der Verarbeitung mit, sofern das Recht dies nicht verbietet.

(2) Die Weisungen sind abschließend im Hauptvertrag, in diesem Vertrag und in der Nutzung der Funktionen der Software durch den Verantwortlichen festgelegt. Weitere Weisungen erteilt der Verantwortliche in Textform an hallo@maschpilot.de. Weisungen, die über den vereinbarten Leistungsumfang hinausgehen, können gesondert vergütet werden.

(3) Hält der Auftragsverarbeiter eine Weisung für rechtswidrig, informiert er den Verantwortlichen unverzüglich und darf die Ausführung bis zur Bestätigung oder Änderung aussetzen.

§ 4 Vertraulichkeit

Der Auftragsverarbeiter setzt nur Personen ein, die auf Vertraulichkeit verpflichtet sind oder einer gesetzlichen Verschwiegenheitspflicht unterliegen und die mit den einschlägigen Datenschutzvorschriften vertraut gemacht wurden. Zugriff auf Inhalte des Arbeitsbereichs erfolgt nur, soweit dies für Betrieb, Fehlerbehebung oder Support auf Anfrage des Verantwortlichen erforderlich ist.

§ 5 Technische und organisatorische Maßnahmen

(1) Der Auftragsverarbeiter trifft die in Anlage 1 beschriebenen Maßnahmen nach Art. 32 DSGVO.

(2) Die Maßnahmen unterliegen dem technischen Fortschritt. Der Auftragsverarbeiter darf sie durch gleichwertige oder bessere Maßnahmen ersetzen; das Schutzniveau darf nicht unterschritten werden. Wesentliche Änderungen werden dokumentiert.

§ 6 Unterauftragsverarbeiter

(1) Der Verantwortliche erteilt die allgemeine Genehmigung zum Einsatz von Unterauftragsverarbeitern. Die bei Vertragsschluss eingesetzten Unterauftragsverarbeiter sind in Anlage 2 aufgeführt und gelten als genehmigt.

(2) Über beabsichtigte Hinzuziehungen oder Ersetzungen informiert der Auftragsverarbeiter mindestens vier Wochen im Voraus per E-Mail an die Rechnungs- oder Administrator-Adresse des Arbeitsbereichs. Der Verantwortliche kann innerhalb dieser Frist aus wichtigem datenschutzrechtlichem Grund in Textform widersprechen. Können sich die Parteien nicht einigen, kann der Verantwortliche den Hauptvertrag zum Zeitpunkt der Änderung kündigen; bereits gezahlte Entgelte für die Zeit danach werden anteilig erstattet.

(3) Der Auftragsverarbeiter erlegt jedem Unterauftragsverarbeiter vertraglich dieselben Datenschutzpflichten auf, die in diesem Vertrag festgelegt sind. Er haftet gegenüber dem Verantwortlichen für deren Einhaltung nach Art. 28 Abs. 4 DSGVO.

(4) Eine Verarbeitung außerhalb der EU / des EWR erfolgt nur, wenn die Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind, insbesondere auf Grundlage eines Angemessenheitsbeschlusses oder der EU-Standardvertragsklauseln.

(5) Dienste, die der Verantwortliche selbst mit eigenem Konto verbindet (z. B. lexoffice, Clockodo, Personio), sind keine Unterauftragsverarbeiter des Auftragsverarbeiters. Für sie ist der Verantwortliche selbst verantwortlich.

§ 7 Unterstützung des Verantwortlichen

(1) Der Auftragsverarbeiter unterstützt den Verantwortlichen mit geeigneten technischen und organisatorischen Maßnahmen bei der Erfüllung der Rechte Betroffener (Art. 12–22 DSGVO). Hierfür stehen in der Software Selbstbedienungsfunktionen zur Verfügung (Datenauskunft je Nutzer, Export des gesamten Arbeitsbereichs, Berichtigung, Löschung gesperrter Nutzer). Wendet sich eine betroffene Person direkt an den Auftragsverarbeiter, leitet er die Anfrage unverzüglich an den Verantwortlichen weiter.

(2) Er unterstützt den Verantwortlichen unter Berücksichtigung der ihm vorliegenden Informationen bei den Pflichten nach Art. 32–36 DSGVO (Sicherheit, Meldung von Verletzungen, Datenschutz-Folgenabschätzung, vorherige Konsultation). Unterstützung, die über die Selbstbedienungsfunktionen hinausgeht und nicht durch einen Verstoß des Auftragsverarbeiters veranlasst ist, kann nach Aufwand vergütet werden.

§ 8 Meldung von Verletzungen des Schutzes personenbezogener Daten

Der Auftragsverarbeiter meldet dem Verantwortlichen eine ihm bekannt gewordene Verletzung des Schutzes personenbezogener Daten unverzüglich, möglichst innerhalb von 48 Stunden, an die Administrator- oder Rechnungs-E-Mail des Arbeitsbereichs. Die Meldung enthält, soweit bekannt, die Angaben nach Art. 33 Abs. 3 DSGVO; fehlende Angaben werden nachgereicht. Der Auftragsverarbeiter ergreift unverzüglich Maßnahmen zur Eindämmung und dokumentiert den Vorfall.

§ 9 Löschung und Rückgabe

(1) Der Verantwortliche kann seine Daten jederzeit, auch nach Kündigung bis zur Löschung, über die Exportfunktion der Software herunterladen (ZIP mit JSON-Dateien je Tabelle und allen Dokumenten). Damit erfolgt die Rückgabe nach Art. 28 Abs. 3 lit. g DSGVO.

(2) Nach Vertragsende oder auf Veranlassung des Verantwortlichen wird der Arbeitsbereich schreibgeschützt und nach einer Karenzzeit von 30 Tagen endgültig gelöscht. In Datensicherungen enthaltene Daten werden mit deren regulärem Ablauf überschrieben, spätestens nach 30 weiteren Tagen; bis dahin bleiben sie geschützt und werden nicht aktiv verarbeitet.

(3) Gesetzliche Aufbewahrungspflichten des Auftragsverarbeiters bleiben unberührt. Eigene Aufbewahrungspflichten des Verantwortlichen (z. B. für Rechnungen nach § 147 AO, § 257 HGB) erfüllt dieser durch rechtzeitigen Export.

§ 10 Nachweise und Kontrollen

(1) Der Auftragsverarbeiter stellt dem Verantwortlichen auf Anfrage alle erforderlichen Informationen zum Nachweis der Einhaltung dieses Vertrags zur Verfügung, vorrangig durch Selbstauskünfte, diese Anlage 1, Nachweise der Unterauftragsverarbeiter (z. B. Zertifikate wie ISO/IEC 27001) und Antworten auf angemessene Fragebögen.

(2) Reichen diese Nachweise im Einzelfall nicht aus, sind Inspektionen durch den Verantwortlichen oder einen von ihm beauftragten, zur Verschwiegenheit verpflichteten Prüfer, der kein Wettbewerber des Auftragsverarbeiters ist, nach Ankündigung von mindestens vier Wochen während der Geschäftszeiten und ohne Störung des Betriebs möglich, in der Regel höchstens einmal im Kalenderjahr. Rechenzentren der Unterauftragsverarbeiter werden durch deren Nachweise geprüft. Den Aufwand trägt der Verantwortliche, es sei denn, die Prüfung ergibt einen wesentlichen Verstoß des Auftragsverarbeiters.

§ 11 Eigene Verarbeitungen des Auftragsverarbeiters

Für folgende Verarbeitungen ist der Auftragsverarbeiter selbst Verantwortlicher, und sie sind in der Datenschutzerklärung beschrieben: Vertrags- und Abrechnungsdaten des Kunden, Fehlerberichte und freiwilliges Feedback zur Verbesserung der Software, Nutzungsstatistiken (Registrierung, letzter Aktivitätstag, Anzahl aktiver Tage, Anzahl der Datensätze je Funktion ohne deren Inhalt) für Betrieb, Abrechnung der Plätze und Produktentwicklung sowie Sicherheitsprotokolle. Inhalte des Arbeitsbereichs werden hierfür nicht ausgewertet.

§ 12 Haftung und Schlussbestimmungen

(1) Für die Haftung gilt Art. 82 DSGVO. Im Innenverhältnis gelten im Übrigen die Haftungsregelungen des Hauptvertrags, soweit gesetzlich zulässig.

(2) Bei Widersprüchen geht dieser Vertrag in Fragen des Datenschutzes den Allgemeinen Geschäftsbedingungen vor. Änderungen und Ergänzungen bedürfen der Textform. Sollten einzelne Bestimmungen unwirksam sein, bleibt die Wirksamkeit der übrigen unberührt.

(3) Es gilt deutsches Recht. Gerichtsstand ist, soweit gesetzlich zulässig, der Sitz des Auftragsverarbeiters.

Anlage 1: Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

Vertraulichkeit

• Zutrittskontrolle: Betrieb ausschließlich in Rechenzentren des Hosting-Anbieters (Anlage 2) mit dessen Zutrittskontrollen, Videoüberwachung und Sicherheitspersonal; keine eigenen Server in Büroräumen.
• Zugangskontrolle: Anmeldung nur mit persönlichem Konto; Passwörter ausschließlich als bcrypt-Hash; Begrenzung von Anmeldeversuchen; kurzlebige Zugangstoken (30 Minuten) und widerrufbare Sitzungstoken; Passwort-Zurücksetzen nur über einmalige, zeitlich begrenzte Links, von denen nur ein Hash gespeichert wird. Administrativer Zugriff auf die Server nur für berechtigte Personen mit persönlichen Schlüsseln.
• Zugriffskontrolle: Rollen- und Rechtekonzept, das serverseitig durchgesetzt wird; Kosten und Stundensätze nur für berechtigte Rollen; Werkstatt-Plätze auf ihre Funktionen beschränkt. Der Betreiber-Bereich zeigt nur Kontodaten und Zahlen, keine Inhalte der Arbeitsbereiche.
• Trennungskontrolle: Jeder Kunde hat einen eigenen Arbeitsbereich; jeder Datensatz ist einem Arbeitsbereich zugeordnet und die Trennung wird von der Anwendung bei jeder Abfrage erzwungen; Zugangstoken gelten nur für ihren Arbeitsbereich. Getrennte Test- und Produktivumgebungen.
• Pseudonymisierung und Verschlüsselung: Übertragung ausschließlich per TLS; Zugangsdaten zu verbundenen Diensten verschlüsselt gespeichert und nicht im Export enthalten; Datensicherungen werden verschlüsselt, bevor sie die Hosting-Umgebung verlassen.

Integrität

• Weitergabekontrolle: Verschlüsselte Übertragung; Exporte nur für Administratoren; E-Mails nur an vom Verantwortlichen hinterlegte Empfänger.
• Eingabekontrolle: Erstellende Person und Zeitpunkt werden bei wesentlichen Datensätzen gespeichert (z. B. Buchungen, Stücklisten-Historie, Dokumentrevisionen, Abnahmeprotokolle).

Verfügbarkeit und Belastbarkeit

• Datenbanksicherung vor jeder Softwareaktualisierung; Wiederherstellungsverfahren dokumentiert; Überwachung von Fehlern mit automatischer Fehlererfassung.
• Rechenzentren mit redundanter Strom- und Netzanbindung, Brandschutz und Klimatisierung (Hosting-Anbieter).

Verfahren zur regelmäßigen Überprüfung

• Automatisierte Tests, darunter Tests zur Mandantentrennung, vor jeder Auslieferung; Code-Review; Verwaltung bekannter Schwachstellen in Abhängigkeiten.
• Datenschutzfreundliche Voreinstellungen: Abwesenheitsgründe werden nicht übernommen; nicht zugeordnete Personen aus verbundenen Personalsystemen werden nicht importiert.
• Dokumentierter Prozess für Datenschutzvorfälle und Anfragen Betroffener.

Anlage 2: Unterauftragsverarbeiter