Vereinbarung zur Auftragsverarbeitung (AVV / DPA) - Basisfassung
1. Gegenstand und Dauer
Diese Basisfassung regelt die Verarbeitung personenbezogener Daten durch Nachtrag24 im Auftrag des Kunden im Zusammenhang mit der Nutzung der SaaS-Plattform.
Die Verarbeitung erfolgt für die Dauer des Nutzungsvertrages sowie für erforderliche Nachlaufzeiten zur Vertragsabwicklung und gesetzlicher Aufbewahrung, soweit anwendbar.
2. Art und Zweck der Verarbeitung
Nachtrag24 verarbeitet Daten zur Erfassung, Übermittlung, Dokumentation und Workflow-Unterstützung von Nachträgen sowie für den technischen Betrieb der Plattform.
Eine rechtliche oder fachliche Prüfung der durch den Kunden eingegebenen Inhalte ist nicht Gegenstand dieser Verarbeitung.
3. Kategorien personenbezogener Daten
- Account- und Stammdaten (z. B. Name, E-Mail, Rolle)
- Projekt-, Kunden- und Ansprechpartnerdaten
- Kommunikations- und Workflowdaten im Nachtragsprozess
- Technische Nutzungs- und Protokolldaten
4. Kategorien betroffener Personen
- Nutzerkonten des Kunden (z. B. Mitarbeiter)
- Ansprechpartner und Kontaktpersonen des Kunden
- Weitere im Projektkontext durch den Kunden erfasste Personen
5. Rollenverteilung
Der Kunde ist in der Regel Verantwortlicher im Sinne der DSGVO für die von ihm eingegebenen personenbezogenen Daten.
Nachtrag24 ist in der Regel Auftragsverarbeiter und verarbeitet personenbezogene Daten nur im Rahmen dieser Vereinbarung, der Weisungen des Kunden.
6. Weisungsbindung
Nachtrag24 verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Kunden, sofern keine abweichende gesetzliche Verpflichtung besteht.
7. Vertraulichkeit
Personen, die bei Nachtrag24 Zugriff auf personenbezogene Daten erhalten, sind zur Vertraulichkeit verpflichtet und auf einen datenschutzkonformen Umgang mit diesen Daten hingewiesen.
8. Technische und organisatorische Maßnahmen (Basis)
- Zugangsschutz zu Konten durch Authentifizierung und Rollen-/Berechtigungskonzepte innerhalb der Plattform
- Transportverschlüsselung bei der Datenübertragung
- Logging und betriebliche Schutzmaßnahmen auf Plattform- und Infrastrukturebene
- Regelmäßige Aktualisierung und Wartung der eingesetzten Softwarekomponenten
9. Unterauftragsverarbeiter / Dienstleister
Nachtrag24 setzt zur Leistungserbringung externe Dienstleister ein, insbesondere:
- Hosting, Deployment und Laufzeitbetrieb der Webanwendung: Vercel
- Datenbank-, Authentifizierungs- und backendnahe Dienste: Supabase
- Transaktionaler E-Mail-Versand: Resend
- Domain-/DNS-nahe Infrastruktur: IONOS
Für Entwicklungs- und Versionsverwaltungszwecke wird GitHub eingesetzt; GitHub ist nicht der primäre Hosting-Anbieter des Produktbetriebs.
Der Einsatz erfolgt nur, soweit dies für den Betrieb der Plattform erforderlich ist.
10. Unterstützung des Kunden
Nachtrag24 unterstützt den Kunden im angemessenen Umfang bei der Erfüllung datenschutzrechtlicher Pflichten, insbesondere bei Anfragen zu Betroffenenrechten und bei der Bearbeitung von Sicherheitsvorfällen, soweit die Verarbeitung durch Nachtrag24 betroffen ist.
11. Löschung und Rückgabe
Nach Vertragsende werden personenbezogene Daten nach Maßgabe der vertraglichen und gesetzlichen Vorgaben gelöscht oder gesperrt, soweit keine Aufbewahrungspflichten entgegenstehen.
Der Kunde bleibt für eigene Export-, Archivierungs- und Nachweispflichten verantwortlich.
12. Nachweis und Audit
Nachtrag24 stellt auf Anfrage angemessene Informationen zur Verfügung, die den Nachweis einer datenschutzkonformen Auftragsverarbeitung im Rahmen dieser Basisfassung unterstützen.
Vor-Ort-Prüfungen erfolgen nur nach vorheriger Abstimmung und unter Berücksichtigung von Sicherheits- und Vertraulichkeitsanforderungen.
13. Schlussbestimmungen
Diese Basisfassung ergänzt die AGB und Datenschutzhinweise von Nachtrag24. Bei Widersprüchen gehen ausdrücklich vereinbarte vertragliche Regelungen zur Auftragsverarbeitung vor.
Änderungen und Ergänzungen dieser Basisfassung bedürfen der Textform.