Auftragsverarbeitungsvertrag

p2cx GmbH — gemäß Art. 28 DSGVO

§ 1 Präambel

1. Dieser Auftragsverarbeitungsvertrag (nachfolgend „AVV") ergänzt den zwischen dem Auftraggeber (nachfolgend „Verantwortlicher") und der p2cx GmbH (nachfolgend „Auftragsverarbeiter") geschlossenen Hauptvertrag über die Nutzung von SaaS-Produkten der p2cx GmbH.
2. Der AVV konkretisiert die datenschutzrechtlichen Pflichten der Parteien im Zusammenhang mit der Auftragsverarbeitung gemäß Art. 28 der Datenschutz-Grundverordnung (DSGVO).
3. Dieser AVV gilt für alle Tätigkeiten, bei denen Beschäftigte des Auftragsverarbeiters oder durch ihn beauftragte Unterauftragnehmer personenbezogene Daten des Verantwortlichen verarbeiten.

§ 2 Vertragsgegenstand und Dauer

1. Der Auftragsverarbeiter erbringt für den Verantwortlichen browserbasierte bzw. app-basierte Softwarelösungen als Software-as-a-Service. Die jeweils genutzten Produkte und Module ergeben sich aus dem Hauptvertrag bzw. dem Angebot.
2. Im Rahmen dieser Leistungserbringung verarbeitet der Auftragsverarbeiter personenbezogene Daten ausschließlich im Auftrag und nach Weisung des Verantwortlichen.
3. Die Laufzeit dieses AVV richtet sich nach der Laufzeit des Hauptvertrages. Er endet automatisch mit Beendigung des Hauptvertrages, unbeschadet etwaiger Aufbewahrungspflichten.

§ 3 Weisungsrecht

1. Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen — einschließlich der Übermittlung personenbezogener Daten an ein Drittland — es sei denn, der Auftragsverarbeiter ist nach Unionsrecht oder dem Recht der Mitgliedstaaten hierzu verpflichtet.
2. Weisungen werden in der Regel durch den Hauptvertrag und diesen AVV erteilt. Die Nutzung der Services im Rahmen der systemseitig vorgesehenen Standardprozesse gilt als allgemeine Weisung. Darüber hinausgehende Einzelweisungen können in Textform (E-Mail) erteilt werden. Weisungen und deren Änderungen werden vom Auftragsverarbeiter dokumentiert und aufbewahrt. Bei Widersprüchen gilt die Rangfolge: (1) dieser AVV, (2) Hauptvertrag/AGB, (3) Einzelweisungen.
3. Der Auftragsverarbeiter informiert den Verantwortlichen unverzüglich, wenn er der Auffassung ist, dass eine Weisung gegen datenschutzrechtliche Vorschriften verstößt. Der Auftragsverarbeiter ist berechtigt, die Durchführung einer solchen Weisung auszusetzen, bis der Verantwortliche die Weisung bestätigt oder ändert.

§ 4 Art und Zweck der Verarbeitung

1. Die Art der Verarbeitung umfasst die automatisierte Verarbeitung personenbezogener Daten, insbesondere Erhebung, Speicherung, Veränderung, Abfrage, Verwendung und Löschung.
2. Der Zweck der Verarbeitung ergibt sich aus dem Hauptvertrag und umfasst insbesondere:
   • Bereitstellung und Betrieb der SaaS-Produkte
   • Verarbeitung von Geschäftsdaten des Kunden (z. B. Buchungsdaten, Belegdaten bei Sortwerk)
   • Nutzerverwaltung und Authentifizierung
   • KI-gestützte Analyse und Automatisierung
3. Die Kategorien betroffener Personen umfassen insbesondere:
   • Mitarbeiter und Beschäftigte des Verantwortlichen
   • Kunden und Geschäftspartner des Verantwortlichen
   • Lieferanten des Verantwortlichen
4. Die Kategorien personenbezogener Daten umfassen insbesondere:
   • Stammdaten (Name, Vorname, Anrede, Titel)
   • Kontaktdaten (E-Mail-Adresse, Telefonnummer, Anschrift)
   • Beschäftigtendaten (Personalnummer, Abteilung, Position)
   • Finanzdaten (Kontoinformationen, Buchungsdaten, Rechnungsdaten)
   • Nutzungsdaten (IP-Adresse, Login-Zeiten, Zugriffsprotokolle der Anwendung). Serverlogs werden getrennt verarbeitet und sind nicht Bestandteil der Auftragsverarbeitung.

§ 5 Technische und organisatorische Maßnahmen

1. Der Auftragsverarbeiter trifft vor Beginn der Verarbeitung die in Anlage 1 dargestellten technischen und organisatorischen Maßnahmen und hält diese für die Dauer der Auftragsverarbeitung aufrecht.
2. Die technischen und organisatorischen Maßnahmen unterliegen dem technischen Fortschritt und der Weiterentwicklung. Der Auftragsverarbeiter darf alternative, gleichwertige Maßnahmen umsetzen, wobei das Sicherheitsniveau nicht unterschritten werden darf.
3. Wesentliche Änderungen sind zu dokumentieren und dem Verantwortlichen auf Anfrage mitzuteilen.
4. Der Auftragsverarbeiter überprüft die Wirksamkeit der technischen und organisatorischen Maßnahmen regelmäßig, mindestens einmal jährlich, und passt sie bei Bedarf an.

§ 6 Vertraulichkeit

1. Der Auftragsverarbeiter stellt sicher, dass sich alle mit der Verarbeitung personenbezogener Daten befassten Personen zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen.
2. Diese Verpflichtung besteht auch nach Beendigung des Vertragsverhältnisses fort.

§ 7 Betroffenenrechte

1. Der Auftragsverarbeiter unterstützt den Verantwortlichen nach Möglichkeit mit geeigneten technischen und organisatorischen Maßnahmen bei der Erfüllung der Betroffenenrechte gemäß Kapitel III der DSGVO (Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit, Widerspruch).
2. Wendet sich eine betroffene Person direkt an den Auftragsverarbeiter, wird dieser das Ersuchen unverzüglich an den Verantwortlichen weiterleiten.

§ 8 Unterauftragnehmer

1. Der Verantwortliche stimmt dem Einsatz der in der folgenden Tabelle aufgeführten Unterauftragnehmer zu:

* Microsoft verarbeitet Daten primär in der EU. Ein Zugriff aus Drittländern (z. B. USA) im Rahmen von Support oder Wartung kann nicht vollständig ausgeschlossen werden. Absicherung erfolgt über EU-Standardvertragsklauseln (SCC) und zusätzliche technische Maßnahmen (siehe § 12).

2. Die aktuelle Liste der Unterauftragnehmer einschließlich verbundener Unternehmen wird vom Auftragsverarbeiter gepflegt und ist unter p2cx.de/de/avv einsehbar.
3. Der Auftragsverarbeiter informiert den Verantwortlichen in Textform über jede beabsichtigte Änderung in Bezug auf die Hinzuziehung oder Ersetzung von Unterauftragnehmern. Der Verantwortliche kann gegen die Änderung innerhalb von vier Wochen nach Zugang der Mitteilung Einspruch erheben. Erhebt der Verantwortliche berechtigten Einspruch und kann keine einvernehmliche Lösung gefunden werden, steht dem Verantwortlichen ein Sonderkündigungsrecht zu.
4. Der Auftragsverarbeiter stellt vertraglich sicher, dass die Unterauftragnehmer dieselben Datenschutzpflichten einhalten, die in diesem AVV festgelegt sind.

§ 9 Meldung von Datenschutzverletzungen

1. Der Auftragsverarbeiter informiert den Verantwortlichen ohne schuldhaftes Zögern, spätestens jedoch innerhalb von 48 Stunden, nachdem ihm eine Verletzung des Schutzes personenbezogener Daten bekannt wird.
2. Die Meldung enthält mindestens:
   1. eine Beschreibung der Art der Verletzung,
   2. die Kategorien und die ungefähre Zahl der betroffenen Personen und Datensätze,
   3. eine Beschreibung der wahrscheinlichen Folgen,
   4. eine Beschreibung der ergriffenen oder vorgeschlagenen Abhilfemaßnahmen.
3. Der Auftragsverarbeiter unterstützt den Verantwortlichen bei der Erfüllung seiner Meldepflichten gegenüber der Aufsichtsbehörde und den betroffenen Personen.

§ 10 Prüfrechte

1. Der Verantwortliche hat das Recht, die Einhaltung der in diesem AVV getroffenen Regelungen zu überprüfen. Der Auftragsverarbeiter stellt hierzu alle erforderlichen Informationen zum Nachweis der Einhaltung der in Art. 28 DSGVO niedergelegten Pflichten zur Verfügung.
2. Prüfungen erfolgen vorrangig durch Bereitstellung von Nachweisen, Zertifikaten oder Berichten unabhängiger Dritter (z. B. Audit-Reports, Zertifizierungen). Vor-Ort-Inspektionen sind möglich, wenn die vorgenannten Nachweise nicht ausreichen.
3. Vor-Ort-Inspektionen sind auf höchstens eine Prüfung pro Kalenderjahr begrenzt, sofern kein begründeter Anlass eine häufigere Prüfung erfordert (z. B. Datenschutzvorfall). Die Prüfung ist mindestens vier Wochen im Voraus anzukündigen und findet während der üblichen Geschäftszeiten statt.
4. Die Ergebnisse der Prüfung sind vom Verantwortlichen vertraulich zu behandeln.
5. Die Kosten der Prüfung trägt der Verantwortliche, es sei denn, die Prüfung ergibt wesentliche Verstöße des Auftragsverarbeiters gegen diesen AVV.
6. Prüfungen dürfen den laufenden Betrieb des Auftragsverarbeiters nicht unangemessen beeinträchtigen. Eine Einsichtnahme in Daten anderer Kunden ist ausgeschlossen.

§ 11 Löschung und Rückgabe von Daten

1. Nach Beendigung des Hauptvertrages werden die personenbezogenen Daten des Verantwortlichen nach dessen Wahl zurückgegeben oder gelöscht, sofern nicht eine gesetzliche Pflicht zur Aufbewahrung besteht. Der Verantwortliche teilt seine Wahl innerhalb von 14 Tagen nach Vertragsende mit; andernfalls erfolgt die Löschung.
2. Im Falle der Rückgabe werden die Daten in einem gängigen, maschinenlesbaren Format (z. B. CSV, JSON) bereitgestellt.
3. Die Löschung der produktiven Daten erfolgt innerhalb von 30 Tagen nach Vertragsende. In automatisierten Backups enthaltene Daten werden im Rahmen der regulären Backup-Rotation überschrieben, spätestens jedoch innerhalb von 90 Tagen nach Vertragsende.
4. Der Auftragsverarbeiter bestätigt die vollständige Löschung auf Verlangen in Textform.

§ 12 Drittlandtransfer

1. Die Verarbeitung personenbezogener Daten erfolgt vorrangig innerhalb der EU bzw. des EWR. Ein Zugriff aus Drittländern (z. B. durch Unterauftragnehmer im Rahmen von Support oder Wartung) kann bei einzelnen Diensten nicht vollständig ausgeschlossen werden (vgl. § 8).
2. Soweit ein Drittlandtransfer stattfindet, stellt der Auftragsverarbeiter sicher, dass ein angemessenes Datenschutzniveau gewährleistet ist, insbesondere durch:
   1. einen Angemessenheitsbeschluss der EU-Kommission (z. B. EU-US Data Privacy Framework),
   2. Standardvertragsklauseln (SCC) gemäß Art. 46 Abs. 2 lit. c DSGVO,
   3. zusätzliche technische und organisatorische Maßnahmen (z. B. Verschlüsselung, Pseudonymisierung).
3. Der Auftragsverarbeiter führt für Drittlandtransfers eine Risikoabschätzung (Transfer Impact Assessment) durch und stellt diese dem Verantwortlichen auf Anfrage zur Verfügung.

§ 13 KI-spezifische Regelungen

1. Soweit im Rahmen der Services Künstliche Intelligenz (KI) eingesetzt wird, gelten ergänzend folgende Regelungen:
   1. Personenbezogene Daten werden nicht zum Training von KI-Modellen verwendet. Eingabedaten (Prompts) werden ausschließlich zur Verarbeitung der konkreten Anfrage genutzt und nicht dauerhaft gespeichert oder zur weiteren Verarbeitung verwendet.
   2. KI-Verarbeitungen erfolgen über EU-gehostete KI-Dienste. Der Auftragsverarbeiter stellt sicher, dass die eingesetzten KI-Anbieter keine Kundendaten für eigene Trainingszwecke verwenden.
   3. Der Auftragsverarbeiter dokumentiert den Einsatz von KI-Systemen, deren Zweck und Risikobewertung gemäß der EU-KI-Verordnung (AI Act). Die KI-Nutzung wird je Anfrage protokolliert (Modell, Zeitpunkt, Kosten — ohne Inhaltsdaten).
   4. Der Verantwortliche wird über wesentliche Änderungen am KI-Einsatz (z. B. Wechsel des KI-Anbieters oder Modells) in Textform informiert.
   5. Verantwortlicher für die Ergebnisse der KI-gestützten Verarbeitung bleibt der Verantwortliche. KI-generierte Ergebnisse stellen Vorschläge dar und ersetzen keine eigenverantwortliche Prüfung.

§ 14 Unterstützung bei Datenschutz-Folgenabschätzungen

1. Der Auftragsverarbeiter unterstützt den Verantwortlichen unter Berücksichtigung der Art der Verarbeitung und der ihm zur Verfügung stehenden Informationen bei der Durchführung von Datenschutz-Folgenabschätzungen gemäß Art. 35 DSGVO.
2. Gleiches gilt für die vorherige Konsultation der Aufsichtsbehörde gemäß Art. 36 DSGVO, soweit diese erforderlich ist.

§ 15 Haftung

1. Die Haftung der Parteien richtet sich nach den gesetzlichen Bestimmungen, insbesondere Art. 82 DSGVO, sowie den Regelungen des Hauptvertrages.
2. Im Innenverhältnis haftet jede Partei für Schäden, die sie durch eine ihr zuzurechnende Pflichtverletzung verursacht hat. Wird eine Partei von einem Betroffenen auf Schadensersatz in Anspruch genommen, kann sie von der anderen Partei den Ausgleich des Anteils verlangen, der auf deren Verantwortungsbereich entfällt.
3. Die Haftung des Auftragsverarbeiters für leichte Fahrlässigkeit ist — soweit rechtlich zulässig, unbeschadet der zwingenden Regelungen des Art. 82 DSGVO und der im Hauptvertrag getroffenen Vereinbarungen — begrenzt auf den Gesamtbetrag der vom Verantwortlichen in den letzten zwölf Monaten gezahlten Vergütung. Dies gilt nicht für Schäden aus der Verletzung des Lebens, des Körpers oder der Gesundheit.

§ 16 Schlussbestimmungen

1. Im Falle von Widersprüchen zwischen diesem AVV und dem Hauptvertrag gehen die Regelungen dieses AVV in Bezug auf den Datenschutz vor.
2. Es gilt das Recht der Bundesrepublik Deutschland.
3. Gerichtsstand ist Lübeck.
4. Sollten einzelne Bestimmungen dieses AVV unwirksam sein oder werden, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt.