Auftragsverarbeitung (AVV)
Vereinbarung gem. Art. 28 DSGVO · Bestandteil des Nutzungsvertrags · Stand: August 2026 · Entwurf — juristische Prüfung ausstehend
1. Parteien
Verantwortlicher: der registrierte Betrieb (Kunde). Auftragsverarbeiter: Brinn Computer, Inhaberin Amine Bassiouni, Ricklinger Stadtweg 13, 30459 Hannover („Anbieter").
2. Gegenstand und Zweck
Bereitstellung der SaaS-Plattform „Kraltec". Verarbeitet werden die vom Kunden eingegebenen personenbezogenen Daten (Kunden-, Kontakt-, Beleg-, Projekt-, Kommunikations-, Arbeitszeit- und Fotodaten) ausschließlich zur Vertragserfüllung und nach Weisung des Kunden.
3. Technische und organisatorische Maßnahmen (Art. 32)
U. a.: Mandantentrennung auf Datenbank-Ebene (Row-Level-Security), TLS-Transportverschlüsselung, Verschlüsselung sensibler Felder (AES-256-GCM), rollenbasierte Zugriffskontrolle mit Zwei-Faktor-Option, Audit-Protokollierung, tägliche Backups mit regelmäßigen Wiederherstellungstests, Hosting in Deutschland.
4. Unterauftragsverarbeiter
Der Kunde genehmigt den Einsatz folgender Unterauftragsverarbeiter (Information vor Änderungen, Widerspruchsrecht):
- Hetzner Online GmbH — Infrastruktur-Hosting, Deutschland
- Microsoft Ireland Operations Ltd. — nur bei vom Kunden aktivierter Microsoft-365-Postfach-Anbindung, EU
- OpenAI — nur bei Nutzung des KI-Angebots-Assistenten; übermittelt werden ausschließlich Arbeitsbeschreibungs-Texte, keine Kundenstammdaten (USA, EU-Standardvertragsklauseln)
5. Pflichten des Anbieters
Verarbeitung nur auf dokumentierte Weisung; Vertraulichkeit der Beschäftigten; Unterstützung bei Betroffenenrechten (Datenexport und Löschung als Self-Service in der Plattform); unverzügliche Meldung von Datenschutzverletzungen; Nachweis-/Auditrechte im gesetzlichen Umfang.
6. Dauer und Löschung
Die Vereinbarung gilt für die Dauer des Nutzungsvertrags. Nach Beendigung werden alle Daten restlos gelöscht; der Kunde hat vorher den Vollexport zu nutzen. Gesetzliche Aufbewahrungspflichten (z. B. § 147 AO) liegen beim Kunden.