Auftragsverarbeitungsvertrag

1. Parteien und Gegenstand

Verantwortlicher ist der in Bestellung oder Angebot bezeichnete Kunde. Auftragsverarbeiter ist die SoftwareGenie24 UG (haftungsbeschränkt), Mauernstraße 33, 38100 Braunschweig, Deutschland.

Gegenstand ist die Verarbeitung personenbezogener Daten im Rahmen des bestellten Managed Hostings, der technischen Administration, Updates, Wartung, Fehlerbehebung, Sicherheitsmaßnahmen, Zustandsüberwachung, Datensicherung und Wiederherstellung für Skillent, Inventonia oder eine vereinbarte Website, Webanwendung beziehungsweise individuelle Software. Bei Self-Hosted- oder Projektsupport gilt diese Vereinbarung nur, soweit ein Zugriff auf personenbezogene Daten ausdrücklich beauftragt oder freigegeben wird.

Art, Zweck und Dauer der Verarbeitung werden durch Produkt, Betriebsmodell, Bestellung, Hauptvertrag und dokumentierte Weisungen konkretisiert. Die Verarbeitung beginnt frühestens mit der Einrichtung der Managed-Umgebung und endet mit Rückgabe oder Löschung nach Vertragsende.

2. Weisungen und Verantwortlichkeit

SoftwareGenie24 verarbeitet personenbezogene Daten ausschließlich nach dokumentierten Weisungen des Kunden, soweit keine gesetzliche Pflicht zur Verarbeitung besteht. In diesem Fall wird der Kunde vor der Verarbeitung informiert, sofern das Gesetz dies zulässt.

Der Hauptvertrag und die gewählte Produktkonfiguration gelten als anfängliche Weisung. Weitere Weisungen können in Textform über die vereinbarten Kontaktwege erteilt werden. Hält SoftwareGenie24 eine Weisung für datenschutzwidrig, wird der Kunde unverzüglich informiert und die betroffene Ausführung bis zur Klärung ausgesetzt, soweit keine akute Schutzmaßnahme erforderlich ist.

Der Kunde bleibt für Rechtsgrundlagen, Informationspflichten, Betroffenenrechte, Lösch- und Aufbewahrungsregeln, zulässige Benutzer sowie die inhaltliche Rechtmäßigkeit verantwortlich.

3. Datenarten und betroffene Personen

Verarbeitet werden je nach Nutzung Stamm- und Kontaktdaten, Benutzer- und Kontodaten, Organisationsdaten, Kommunikations- und Supportdaten, Vertrags- und Nutzungsdaten, Protokoll- und Metadaten sowie Dokumente und Anhänge.

Skillent kann insbesondere Ausbildungs-, Berichtsheft-, Nachweis-, Freigabe-, Planungs-, Bewertungs- und Exportdaten von Auszubildenden, Ausbildern, Prüfern, Beschäftigten und Ansprechpartnern enthalten. Inventonia kann insbesondere Asset-, Zuordnungs-, Übergabe-, Inventur-, Wartungs-, Vertrags-, Audit- und Anhangsdaten von Beschäftigten, Dienstleistern und Ansprechpartnern enthalten.

Bei Websites, Portalen, Webanwendungen und individueller Software können je nach Auftrag insbesondere Formular-, Anfrage-, Benutzer-, Kunden-, Beschäftigten-, Inhalts-, Transaktions-, Kommunikations- und Protokolldaten sowie Dokumente und Anhänge verarbeitet werden. Die konkrete Leistungsbeschreibung und dokumentierte Weisung bestimmen den tatsächlichen Umfang.

Besondere Kategorien personenbezogener Daten sind nicht Zweck des Standardauftrags. Sollen solche Daten planmäßig verarbeitet werden, informiert der Kunde SoftwareGenie24 vorab, damit Schutzmaßnahmen und Vertragsumfang geprüft werden können.

4. Pflichten von SoftwareGenie24

SoftwareGenie24 verpflichtet alle zugriffsberechtigten Personen auf Vertraulichkeit, beschränkt Zugriffe auf das erforderliche Maß und stellt sicher, dass diese Personen personenbezogene Daten nur auf Weisung verarbeiten.

SoftwareGenie24 unterstützt den Kunden unter Berücksichtigung von Art und Umfang der Verarbeitung bei Betroffenenrechten, Datenschutz-Folgenabschätzungen, vorherigen Konsultationen und den Pflichten aus Art. 32 bis 36 DSGVO. Datenschutzverletzungen im Verantwortungsbereich von SoftwareGenie24 werden dem Kunden unverzüglich mit den jeweils verfügbaren Informationen gemeldet.

Anfragen von Betroffenen oder Behörden, die den Kunden betreffen, werden unverzüglich weitergeleitet, soweit keine gesetzliche Pflicht zur eigenen Bearbeitung besteht.

5. Technische und organisatorische Maßnahmen

SoftwareGenie24 setzt ein dem Risiko angemessenes Schutzniveau um. Dazu gehören insbesondere rollenbasierte Zugriffsbeschränkung, starke administrative Authentisierung, verschlüsselte Übertragung, geschützte Geheimnisse und Schlüssel, Protokollierung sicherheitsrelevanter Vorgänge, Schwachstellen- und Patchmanagement, Systemüberwachung, verschlüsselte getrennte Sicherungen, Wiederherstellungsverfahren, Incident-Behandlung und geregelte Supportzugriffe.

Produktive und administrative Zugänge werden auf berechtigte Personen begrenzt. Inhaltsbezogene Supportzugriffe benötigen grundsätzlich eine vorherige dokumentierte Kundenfreigabe und werden auf Zweck und Dauer des Vorgangs beschränkt.

Trennungskontrolle: Jeder Kunde erhält eine eigene Instanz mit eigener Datenbank, eigenem Datenspeicher, eigenem internen Netz und eigenen Schlüsseln, auch wenn mehrere Instanzen auf einem geteilten Server laufen. Eine gemeinsame Anwendungsdatenbank mehrerer Kunden gibt es nicht. Die Instanzen sind nur über ihre jeweilige Adresse erreichbar; interne Dienste einer Instanz sind für andere Instanzen nicht zugänglich.

Externe Sicherungskopie: Wird eine Kopie der Sicherungen außerhalb des betreuten Servers gespeichert, wird sie vor der Übertragung verschlüsselt. Der Speicheranbieter erhält nur verschlüsselte Daten und kann ihren Inhalt nicht lesen. Die Schlüssel verwaltet SoftwareGenie24; sie werden dem Speicheranbieter nicht übergeben.

SoftwareGenie24 darf Maßnahmen fortentwickeln, wenn das vereinbarte Schutzniveau insgesamt nicht unterschritten wird. Wesentliche nachteilige Änderungen werden vorab mitgeteilt.

6. Unterauftragsverarbeiter

Der Kunde erteilt die allgemeine Genehmigung zum Einsatz der nachstehend genannten Unterauftragsverarbeiter:

• Host-Unlimited.de (betrieben von der Bieber IT GmbH), Braunschweiger Straße 22, 38518 Gifhorn, Deutschland; Registergericht: Amtsgericht Hildesheim; Registernummer: HRB 207358; USt-IdNr.: DE340893627; Geschäftsführung: Tim-Gerrit Bieber – Bereitstellung der Server und der Infrastruktur für Managed Hosting, auf einem geteilten wie auf einem eigenen Server, einschließlich der Sicherungen auf dem betreuten Server; außerdem Hosting für vereinbarte Websites und Webanwendungen sowie die Serverinfrastruktur für das Support-, Ticket- und Kundenportal von SoftwareGenie24, soweit darin Support- und Kommunikationsdaten im Auftrag verarbeitet werden.
• Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, Deutschland – Bereitstellung von Servern und Infrastruktur für Managed Hosting, soweit im Angebot vereinbart, sowie Speicherung verschlüsselter Sicherungskopien an einem zweiten Standort in Deutschland, einschließlich der Sicherungskopie der Daten des Support-, Ticket- und Kundenportals.
• GieMedia UG (haftungsbeschränkt), Dorfstraße 24, 38319 Remlingen-Semmenstedt, Deutschland; Registergericht: Amtsgericht Braunschweig; Registernummer: HRB 211082 – Serverinfrastruktur für den E-Mail-Dienst von SoftwareGenie24 sowie für die Unternehmenswebsite; Verarbeitung in Deutschland. GieMedia betreibt die Server im Rechenzentrum der Keyweb AG, Neuwerkstraße 45/46, 99084 Erfurt, Deutschland (Amtsgericht Jena, HRB 112403), die als weiterer Unterauftragsverarbeiter eingebunden ist.

Auf welchem der beiden Hosting-Anbieter eine Kundenumgebung läuft, ergibt sich aus dem vereinbarten Angebot. Verschlüsselte Sicherungskopien können jeweils beim anderen Anbieter gespeichert werden.

Support- und Vertragskorrespondenz wird neben dem Portal per E-Mail geführt. Für den E-Mail-Dienst und die Unternehmenswebsite wird die Serverinfrastruktur der GieMedia UG (haftungsbeschränkt) in Deutschland eingesetzt. Dieser Dienst ist von den Managed-Hosting-Umgebungen und vom Portal getrennt; Anwendungs- und Fachdaten der betreuten Installationen laufen nicht über ihn. Soweit dabei Inhalte im Auftrag verarbeitet werden, gilt dieser AVV auch für diesen Verarbeitungsteil.

SoftwareGenie24 informiert mindestens 14 Kalendertage vor dem geplanten Einsatz eines neuen oder ersetzten Unterauftragsverarbeiters. Der Kunde kann innerhalb dieser Frist aus wichtigem datenschutzrechtlichem Grund widersprechen. Die Parteien suchen eine angemessene Alternative; ist sie nicht verfügbar, kann der betroffene Leistungsteil gekündigt werden.

Unterauftragsverarbeiter werden mindestens zu denselben Datenschutzpflichten verpflichtet. SoftwareGenie24 bleibt gegenüber dem Kunden für deren Pflichterfüllung verantwortlich.

7. Verarbeitungsort und Drittland

Die Standardverarbeitung erfolgt ausschließlich in der EU beziehungsweise im EWR. Eine Drittlandübermittlung erfolgt nur nach dokumentierter Weisung oder gesonderter Vereinbarung und unter Einhaltung der Anforderungen aus Kapitel V DSGVO.

8. Nachweise und Kontrollen

SoftwareGenie24 stellt die zur Prüfung der Pflichten erforderlichen Informationen zur Verfügung, insbesondere diese Vereinbarung, Sicherheits- und TOM-Beschreibungen, Dienstleisterinformationen und geeignete Betriebsnachweise.

Der Kunde kann nach angemessener Vorankündigung Kontrollen selbst oder durch einen zur Vertraulichkeit verpflichteten Prüfer durchführen. Kontrollen sollen vorrangig durch Dokumentenprüfung erfolgen, den Betrieb nicht unangemessen beeinträchtigen und Rechte anderer Kunden sowie Geschäftsgeheimnisse schützen.

Ein besonderer Aufwand für nicht anlassbezogene Vor-Ort-Prüfungen kann nach vorheriger Abstimmung berechnet werden. Kontrollen bei konkretem Datenschutzvorfall und zwingende Behördenrechte bleiben unberührt.

9. Rückgabe und Löschung

Nach Ende der Verarbeitung gibt SoftwareGenie24 die personenbezogenen Daten nach Wahl und Weisung des Kunden zurück oder löscht sie, soweit keine gesetzliche Aufbewahrungspflicht entgegensteht. Für Managed Hosting gelten zusätzlich die Abruf- und Wechselzeiten der Managed-Hosting- und Exit-Bedingungen.

Produktive Daten werden nach der vereinbarten Abruffrist gelöscht. Sicherungskopien werden gesperrt, nicht für neue Zwecke verarbeitet und im planmäßigen Sicherungszyklus überschrieben. Der planmäßige Zyklus beträgt im Managed-Hosting-Standard 30 Tage. Wird zusätzlich eine externe verschlüsselte Sicherungskopie geführt, enthält sie 30 tägliche, 8 wöchentliche und 12 monatliche Stände; einzelne Stände können darin bis zu zwölf Monate bestehen, bevor sie überschrieben werden. Für die Daten des Support-, Ticket- und Kundenportals wird diese Kopie im Standardbetrieb geführt. Bis zur Überschreibung bleiben die Restbestände gesperrt. Aufbewahrungspflichtige Restbestände werden zweckgebunden gesperrt.

Auf Anfrage bestätigt SoftwareGenie24 den Abschluss der produktiven Löschung in Textform.

10. Laufzeit und Vorrang

Diese Vereinbarung gilt für die Dauer der Auftragsverarbeitung und darüber hinaus, solange SoftwareGenie24 auftragsbezogene personenbezogene Daten verarbeitet oder geschützt aufbewahrt.

Bei Widersprüchen gehen die datenschutzrechtlichen Regelungen dieses AVV für die Auftragsverarbeitung den allgemeinen Vertragsbedingungen vor. Haftung und Vergütung richten sich im Übrigen nach Hauptvertrag und AGB, soweit Art. 28 DSGVO nichts Abweichendes verlangt.

Diese Vereinbarung gilt in der bei der Bestellung einbezogenen Fassung. Schließen die Parteien zusätzlich einen gesonderten, von beiden Seiten unterzeichneten Auftragsverarbeitungsvertrag einschließlich seiner Anlagen, tritt dieser für die Auftragsverarbeitung an die Stelle dieser Vereinbarung.

Die Einbeziehung in die Managed-Bestellung oder eine beiderseitige Vereinbarung in Textform schließt diesen AVV verbindlich ein. Stand: 2026-10-10.