Auftragsverarbeitungsvertrag

1. Parteien und Gegenstand

Verantwortlicher ist der in Bestellung oder Angebot bezeichnete Kunde. Auftragsverarbeiter ist die SoftwareGenie24 UG (haftungsbeschränkt), Dorfstr. 24, 38319 Remlingen, Deutschland.

Gegenstand ist die Verarbeitung personenbezogener Daten im Rahmen des bestellten Managed Hostings, der technischen Administration, Updates, Wartung, Fehlerbehebung, Sicherheitsmaßnahmen, Zustandsüberwachung, Datensicherung und Wiederherstellung für Skillent oder Inventonia. Bei Self-Hosted-Support gilt diese Vereinbarung nur, soweit ein Zugriff auf personenbezogene Daten ausdrücklich beauftragt oder freigegeben wird.

Art, Zweck und Dauer der Verarbeitung werden durch Produkt, Betriebsmodell, Bestellung, Hauptvertrag und dokumentierte Weisungen konkretisiert. Die Verarbeitung beginnt frühestens mit der Einrichtung der Managed-Umgebung und endet mit Rückgabe oder Löschung nach Vertragsende.

2. Weisungen und Verantwortlichkeit

SoftwareGenie24 verarbeitet personenbezogene Daten ausschließlich nach dokumentierten Weisungen des Kunden, soweit keine gesetzliche Pflicht zur Verarbeitung besteht. In diesem Fall wird der Kunde vor der Verarbeitung informiert, sofern das Gesetz dies zulässt.

Der Hauptvertrag und die gewählte Produktkonfiguration gelten als anfängliche Weisung. Weitere Weisungen können in Textform über die vereinbarten Kontaktwege erteilt werden. Hält SoftwareGenie24 eine Weisung für datenschutzwidrig, wird der Kunde unverzüglich informiert und die betroffene Ausführung bis zur Klärung ausgesetzt, soweit keine akute Schutzmaßnahme erforderlich ist.

Der Kunde bleibt für Rechtsgrundlagen, Informationspflichten, Betroffenenrechte, Lösch- und Aufbewahrungsregeln, zulässige Benutzer sowie die inhaltliche Rechtmäßigkeit verantwortlich.

3. Datenarten und betroffene Personen

Verarbeitet werden je nach Nutzung Stamm- und Kontaktdaten, Benutzer- und Kontodaten, Organisationsdaten, Kommunikations- und Supportdaten, Vertrags- und Nutzungsdaten, Protokoll- und Metadaten sowie Dokumente und Anhänge.

Skillent kann insbesondere Ausbildungs-, Berichtsheft-, Nachweis-, Freigabe-, Planungs-, Bewertungs- und Exportdaten von Auszubildenden, Ausbildern, Prüfern, Beschäftigten und Ansprechpartnern enthalten. Inventonia kann insbesondere Asset-, Zuordnungs-, Übergabe-, Inventur-, Wartungs-, Vertrags-, Audit- und Anhangsdaten von Beschäftigten, Dienstleistern und Ansprechpartnern enthalten.

Besondere Kategorien personenbezogener Daten sind nicht Zweck des Standardauftrags. Sollen solche Daten planmäßig verarbeitet werden, informiert der Kunde SoftwareGenie24 vorab, damit Schutzmaßnahmen und Vertragsumfang geprüft werden können.

4. Pflichten von SoftwareGenie24

SoftwareGenie24 verpflichtet alle zugriffsberechtigten Personen auf Vertraulichkeit, beschränkt Zugriffe auf das erforderliche Maß und stellt sicher, dass diese Personen personenbezogene Daten nur auf Weisung verarbeiten.

SoftwareGenie24 unterstützt den Kunden unter Berücksichtigung von Art und Umfang der Verarbeitung bei Betroffenenrechten, Datenschutz-Folgenabschätzungen, vorherigen Konsultationen und den Pflichten aus Art. 32 bis 36 DSGVO. Datenschutzverletzungen im Verantwortungsbereich von SoftwareGenie24 werden dem Kunden unverzüglich mit den jeweils verfügbaren Informationen gemeldet.

Anfragen von Betroffenen oder Behörden, die den Kunden betreffen, werden unverzüglich weitergeleitet, soweit keine gesetzliche Pflicht zur eigenen Bearbeitung besteht.

5. Technische und organisatorische Maßnahmen

SoftwareGenie24 setzt ein dem Risiko angemessenes Schutzniveau um. Dazu gehören insbesondere rollenbasierte Zugriffsbeschränkung, starke administrative Authentisierung, verschlüsselte Übertragung, geschützte Geheimnisse und Schlüssel, Protokollierung sicherheitsrelevanter Vorgänge, Schwachstellen- und Patchmanagement, Systemüberwachung, verschlüsselte getrennte Sicherungen, Wiederherstellungsverfahren, Incident-Behandlung und geregelte Supportzugriffe.

Produktive und administrative Zugänge werden auf berechtigte Personen begrenzt. Inhaltsbezogene Supportzugriffe benötigen grundsätzlich eine vorherige dokumentierte Kundenfreigabe und werden auf Zweck und Dauer des Vorgangs beschränkt.

SoftwareGenie24 darf Maßnahmen fortentwickeln, wenn das vereinbarte Schutzniveau insgesamt nicht unterschritten wird. Wesentliche nachteilige Änderungen werden vorab mitgeteilt.

6. Unterauftragsverarbeiter

Der Kunde erteilt die allgemeine Genehmigung zum Einsatz der nachstehend genannten Unterauftragsverarbeiter:

• Henrik Kramer e.K., Kurpromenade 48, 23743 Grömitz, Deutschland – je nach vereinbarter Betriebsumgebung Infrastruktur- und Hosting-Leistungen im Managed Hosting.
• Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, Deutschland – je nach vereinbarter Betriebsumgebung Rechenzentrums-, Cloud-, Speicher- und Netzwerkinfrastruktur.

Welche der genannten Hostingoptionen für die konkrete Kundenumgebung eingesetzt wird, ergibt sich aus dem vereinbarten Angebot und der technischen Bereitstellung.

SoftwareGenie24 informiert mindestens 14 Kalendertage vor dem geplanten Einsatz eines neuen oder ersetzten Unterauftragsverarbeiters. Der Kunde kann innerhalb dieser Frist aus wichtigem datenschutzrechtlichem Grund widersprechen. Die Parteien suchen eine angemessene Alternative; ist sie nicht verfügbar, kann der betroffene Leistungsteil gekündigt werden.

Unterauftragsverarbeiter werden mindestens zu denselben Datenschutzpflichten verpflichtet. SoftwareGenie24 bleibt gegenüber dem Kunden für deren Pflichterfüllung verantwortlich.

7. Verarbeitungsort und Drittland

Die Standardverarbeitung erfolgt ausschließlich in der EU beziehungsweise im EWR. Eine Drittlandübermittlung erfolgt nur nach dokumentierter Weisung oder gesonderter Vereinbarung und unter Einhaltung der Anforderungen aus Kapitel V DSGVO.

8. Nachweise und Kontrollen

SoftwareGenie24 stellt die zur Prüfung der Pflichten erforderlichen Informationen zur Verfügung, insbesondere diese Vereinbarung, Sicherheits- und TOM-Beschreibungen, Dienstleisterinformationen und geeignete Betriebsnachweise.

Der Kunde kann nach angemessener Vorankündigung Kontrollen selbst oder durch einen zur Vertraulichkeit verpflichteten Prüfer durchführen. Kontrollen sollen vorrangig durch Dokumentenprüfung erfolgen, den Betrieb nicht unangemessen beeinträchtigen und Rechte anderer Kunden sowie Geschäftsgeheimnisse schützen.

Ein besonderer Aufwand für nicht anlassbezogene Vor-Ort-Prüfungen kann nach vorheriger Abstimmung berechnet werden. Kontrollen bei konkretem Datenschutzvorfall und zwingende Behördenrechte bleiben unberührt.

9. Rückgabe und Löschung

Nach Ende der Verarbeitung gibt SoftwareGenie24 die personenbezogenen Daten nach Wahl und Weisung des Kunden zurück oder löscht sie, soweit keine gesetzliche Aufbewahrungspflicht entgegensteht. Für Managed Hosting gelten zusätzlich die Abruf- und Wechselzeiten der Managed-Hosting- und Exit-Bedingungen.

Produktive Daten werden nach der vereinbarten Abruffrist gelöscht. Sicherungskopien werden gesperrt, nicht für neue Zwecke verarbeitet und im planmäßigen Sicherungszyklus überschrieben. Aufbewahrungspflichtige Restbestände werden zweckgebunden gesperrt.

Auf Anfrage bestätigt SoftwareGenie24 den Abschluss der produktiven Löschung in Textform.

10. Laufzeit und Vorrang

Diese Vereinbarung gilt für die Dauer der Auftragsverarbeitung und darüber hinaus, solange SoftwareGenie24 auftragsbezogene personenbezogene Daten verarbeitet oder geschützt aufbewahrt.

Bei Widersprüchen gehen die datenschutzrechtlichen Regelungen dieses AVV für die Auftragsverarbeitung den allgemeinen Vertragsbedingungen vor. Haftung und Vergütung richten sich im Übrigen nach Hauptvertrag und AGB, soweit Art. 28 DSGVO nichts Abweichendes verlangt.

Die elektronische Annahme im Managed-Checkout oder eine beiderseitige Vereinbarung in Textform schließt diesen AVV verbindlich ein. Stand: 2026-08-01.