Auftragsverarbeitungsvertrag

Stand 5 September 2026

Vereinbarung zur Auftragsverarbeitung nach Art. 28 DSGVO einschließlich TOMs und genehmigter Unterauftragsverarbeiter.

Dieser AVV gilt zwischen dem Kunden, der im Passvanta-Bestellvorgang oder Enterprise-Auftrag bezeichnet ist, als Verantwortlichem oder weiterem Auftragsverarbeiter und Ömer Salmaz, Passvanta, Philippsburger Straße 83a, 68753 Waghäusel, als Auftragsverarbeiter. Er wird mit Annahme im Bestellvorgang oder durch Bezugnahme im Enterprise-Auftrag Bestandteil des Hauptvertrags.

1 Gegenstand und Dauer

Passvanta verarbeitet personenbezogene Daten zur Bereitstellung der SaaS-Plattform, zur Konten- und Berechtigungsverwaltung, Speicherung und Strukturierung von Kundeninhalten, Lieferantenanfragen, Dokumentenverarbeitung, KI-Extraktion, Support, Sicherheit, Export und Löschung. Die Verarbeitung dauert für die Laufzeit des Hauptvertrags zuzüglich der vereinbarten Export-, Lösch- und Sicherungsfristen.

2 Weisungen

Passvanta verarbeitet personenbezogene Daten nur auf dokumentierte Weisung des Kunden, soweit keine unionsrechtliche oder mitgliedstaatliche Pflicht besteht. Der Hauptvertrag, die Produktkonfiguration und dokumentierte Supportanweisungen bilden die anfänglichen Weisungen. Passvanta informiert den Kunden unverzüglich, wenn eine Weisung nach eigener Auffassung gegen Datenschutzrecht verstößt, und darf sie bis zur Klärung aussetzen.

3 Vertraulichkeit

Passvanta stellt sicher, dass zur Verarbeitung befugte Personen auf Vertraulichkeit verpflichtet sind oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen und nur erforderlichen Zugriff erhalten.

4 Sicherheit

Passvanta trifft angemessene technische und organisatorische Maßnahmen nach Art. 32 DSGVO. Die in Anlage 2 beschriebenen Maßnahmen sind Mindestverpflichtungen. Passvanta darf sie weiterentwickeln, sofern das Schutzniveau nicht wesentlich sinkt.

5 Betroffenenrechte

Passvanta leitet unmittelbar eingehende Betroffenenanfragen unverzüglich an den Kunden weiter und unterstützt ihn durch verfügbare technische Funktionen und angemessene organisatorische Hilfe. Passvanta beantwortet die Anfrage nicht in eigener Sache, soweit der Kunde verantwortlich ist, außer eine gesetzliche Pflicht verlangt dies.

6 Datenschutzverletzungen

Passvanta informiert den Kunden nach Bekanntwerden einer Verletzung des Schutzes von Auftragsdaten unverzüglich und, soweit möglich, innerhalb von 24 Stunden. Die Mitteilung enthält die verfügbaren Informationen zu Art und Umfang, betroffenen Kategorien, voraussichtlichen Folgen, Gegenmaßnahmen und Kontaktstelle. Fehlende Informationen werden ohne unangemessene Verzögerung nachgereicht.

7 Unterstützung

Passvanta unterstützt den Kunden unter Berücksichtigung der Art der Verarbeitung und verfügbaren Informationen bei Sicherheit, Meldungen, Benachrichtigungen, Datenschutz-Folgenabschätzungen und Konsultationen nach Art. 32 bis 36 DSGVO. Außerordentlicher Aufwand, den Passvanta nicht verursacht hat, kann nach vorheriger Abstimmung angemessen berechnet werden, soweit dies rechtlich zulässig ist.

8 Unterauftragsverarbeiter

Der Kunde erteilt eine allgemeine Genehmigung für die in Anlage 3 genannten Unterauftragsverarbeiter. Passvanta informiert so früh wie möglich und grundsätzlich mindestens 14 Tage vor einer beabsichtigten Hinzufügung oder Ersetzung in Textform oder über ein abonniertes Änderungsregister. Kündigt ein bestehender Plattformanbieter eine zwingende Änderung mit kürzerer Frist an, informiert Passvanta den Kunden unverzüglich nach Erhalt und vor dem Einsatz, soweit Passvanta den Einsatzzeitpunkt kontrolliert. Der Kunde kann aus nachweisbaren datenschutzrechtlichen Gründen widersprechen. Können die Parteien keine angemessene Lösung finden, kann der Kunde den betroffenen Dienstteil zum Einsatzzeitpunkt kündigen. Passvanta verpflichtet Unterauftragsverarbeiter mindestens entsprechend Art. 28 Abs. 4 DSGVO und bleibt für deren Pflichten verantwortlich.

9 Drittlandübermittlungen

Übermittlungen außerhalb des EWR erfolgen nur auf dokumentierte Weisung und mit einem Mechanismus nach Kapitel V DSGVO, insbesondere Angemessenheitsbeschluss oder Standardvertragsklauseln. Passvanta dokumentiert erforderliche Transferprüfungen und ergreift zusätzliche Maßnahmen, soweit erforderlich. Soweit ein Anbieter mehrere Mechanismen nennt, ist der für das konkrete Konto tatsächlich genutzte Mechanismus maßgeblich.

10 Nachweise und Kontrollen

Passvanta stellt erforderliche Informationen zum Nachweis der Einhaltung bereit. Der Kunde nutzt zunächst aktuelle Zertifikate, Prüfberichte und Dokumentation. Reichen diese objektiv nicht aus, darf er einmal jährlich und zusätzlich bei begründetem Vorfall eine Prüfung durch einen unabhängigen, zur Vertraulichkeit verpflichteten Prüfer durchführen. Prüfungen sind rechtzeitig anzukündigen, auf relevante Systeme zu beschränken und dürfen Sicherheit sowie Rechte anderer Kunden nicht beeinträchtigen.

11 Rückgabe und Löschung

Nach Ende der Leistung gibt Passvanta auf Weisung exportierbare Auftragsdaten zurück oder löscht sie, sofern keine gesetzliche Aufbewahrungspflicht besteht. Exportierbare Daten bleiben nach Ende der Übergangsphase mindestens 30 Kalendertage abrufbar. Sicherungskopien werden bis zur planmäßigen Überschreibung gesperrt und nicht für andere Zwecke verarbeitet. Gesetzlich aufzubewahrende Daten werden gesperrt und nach Fristablauf gelöscht.

12 Pflichten des Kunden

Der Kunde ist für Rechtmäßigkeit, Transparenz, Datenminimierung, Richtigkeit, Löschfristen und Weisungen verantwortlich. Er nutzt keine besonderen Kategorien, Strafdaten oder hochriskanten Personaldaten, sofern deren Verarbeitung nicht ausdrücklich vereinbart, risikobewertet und technisch freigegeben wurde.

13 Vorrang und Haftung

Bei Widersprüchen geht dieser AVV für Auftragsverarbeitung dem Hauptvertrag vor. Zwingende Haftung nach DSGVO bleibt unberührt; im Innenverhältnis gelten ergänzend die wirksamen Haftungsregeln des Hauptvertrags.

Anlage 1 Beschreibung der Verarbeitung

Merkmal Festlegung

Nutzer und Administratoren des Kunden; Beschäftigte und Ansprechpartner von Kunden, Lieferanten und Betroffene Personen Dienstleistern; Empfänger von Supplier-Anfragen; Personen, deren geschäftliche Angaben in hochgeladenen Nachweisen enthalten sind

Stamm- und Kontaktdaten; Konto-, Rollen- und Authentifizierungsdaten; Organisationszuordnung; Datenarten Produkt- und Lieferantendaten mit Personenbezug; Dokumentinhalte und Metadaten; Kommunikations-, Audit-, Support- und Sicherheitsdaten; KI-Eingaben und -Ausgaben

Besondere Daten Nicht vorgesehen. Verarbeitung nur nach gesonderter schriftlicher Vereinbarung und Risikoprüfung

Bereitstellung, Speicherung, Strukturierung, Validierung, KI-Extraktion, Lieferantenkommunikation, Zwecke Auditierung, Veröffentlichung auf Kundenweisung, Support, Sicherheit, Export und Löschung

Erheben, Erfassen, Organisieren, Ordnen, Speichern, Anpassen, Auslesen, Abfragen, Übermitteln, Verarbeitungsvorgänge Abgleichen, Einschränken, Löschen und Vernichten

Dauer Hauptvertragslaufzeit zuzüglich Export-, Lösch-, Backup- und gesetzlicher Aufbewahrungsfristen

Anlage 2 Technische und organisatorische Maßnahmen

• Transportverschlüsselung mit aktuellem TLS für externe Verbindungen und Verschlüsselung ruhender Daten, soweit die eingesetzten Plattformdienste dies unterstützen; Schlüssel und Geheimnisse werden getrennt von Anwendungsdaten verwaltet. • Mandantentrennung auf Organisations- und Datenebene; serverseitige Autorisierungsprüfung für jeden geschützten Zugriff; Supplier erhalten nur explizit freigegebene Daten. • Rollen- und Berechtigungskonzept nach dem Erforderlichkeitsprinzip; getrennte Rechte für Veröffentlichung, Registry-Einreichung, API-Schlüssel, Eigentümerwechsel und Abrechnung. • Individuelle Nutzerkonten, sichere Passwort-Hashes, zeitlich begrenzte Sitzungen, Schutz vor CSRF, Rate Limits und widerrufbare, zufällige Supplier-Tokens; Mehrfaktor-Authentifizierung für privilegierte interne Zugriffe. • Protokollierung sicherheits- und compliance-relevanter Aktionen; Schutz der Protokolle vor unberechtigter Änderung; begrenzte, dokumentierte Aufbewahrung. • Regelmäßige Aktualisierung von Abhängigkeiten, Schwachstellenbehandlung, getrennte Entwicklungs- und Produktionsumgebungen, Review kritischer Änderungen und geregelte Geheimnisrotation. • Datensicherung und Wiederherstellungsverfahren mit regelmäßig geprüfter Wiederherstellbarkeit; Sicherungen sind zugriffsbeschränkt und unterliegen einem Löschzyklus. • Verfahren für Sicherheitsvorfälle mit Erkennung, Eindämmung, Beweissicherung, Risikobewertung, Benachrichtigung und Nachbereitung. • Datenminimierung, Lösch- und Exportfunktionen, dokumentierte Aufbewahrungsregeln sowie Prozesse für Betroffenenrechte und Kundenweisungen. • Vertragliche Kontrolle von Unterauftragsverarbeitern, DPA/SCC-Prüfung, Regionsauswahl, Änderungsüberwachung und Transfer Impact Assessments, soweit erforderlich. • KI-Anbieter werden über Business- oder API-Verträge mit DPA genutzt. Freiwilliges Training mit Kundeninhalten bleibt deaktiviert; Inhalte werden auf das erforderliche Maß reduziert und kritische Ergebnisse einer menschlichen Prüfung zugeführt. Freigabebedingung: Dieser TOM-Katalog darf erst als umgesetzt bezeichnet werden, wenn jede Maßnahme technisch getestet, einer verantwortlichen Person zugeordnet und in einem internen Nachweis dokumentiert wurde.

Anlage 3 Genehmigte Unterauftragsverarbeiter

Unterauftragsverarbeiter Leistung Verarbeitungsort Transfergrundlage

Vercel, Inc. Web- und App-Hosting USA; Region nach Konto DPA, SCC oder Angemessenheitsbeschluss

Unterauftragsverarbeiter Leistung Verarbeitungsort Transfergrundlage

DNS, CDN, WAF und Cloudflare, Inc. USA und globales Netzwerk DPA, SCC oder EU-US DPF Sicherheit

Databricks, Inc. mit Neon Datenbank USA; Datenregion nach Projekt DPA und SCC; EU-Region wählen Platform

Plus Five Five, Inc. Resend E-Mail-Versand USA DPA, SCC und laut Anbieter EU-US DPF

OpenAI Ireland Limited und Irland und mögliche verbundene KI-Verarbeitung DPA; SCC oder Angemessenheitsbeschluss Drittländer Unterauftragsverarbeiter

Frankreich; weitere Orte nach Mistral AI SAS KI-Verarbeitung DPA; Mechanismus nach Konfiguration Produkt

Google Cloud EMEA Limited und Irland und mögliche Cloud DPA; SCC oder Gemini API verbundene Unternehmen Drittländer Angemessenheitsbeschluss

Domain und E-Mail- Deutschland; nach IONOS SE AVV soweit Auftragsverarbeitung Adressverwaltung Produktkonfiguration

Stripe Payments Europe, Limited verarbeitet Zahlungsdaten je nach Funktion auch als eigenständig Verantwortlicher und ist deshalb nicht pauschal als Unterauftragsverarbeiter für sämtliche Kundendaten eingeordnet. Google Analytics und Google Ads sowie Meta Platforms Ireland Limited werden für Passvantas eigenes Marketing nur nach Einwilligung eingesetzt und gehören nicht zur kundenseitigen Auftragsverarbeitung.