Dieser Vertrag konkretisiert die Pflichten der Vertragsteile zum Datenschutz, die sich aus der Nutzung der Software „kaava“ ergeben. Er gilt für alle Verarbeitungen personenbezogener Daten, die der Auftragsverarbeiter für den Verantwortlichen im Rahmen des Hauptvertrags durchführt.

1. Vertragsteile

Dieser Auftragsverarbeitungsvertrag (im Folgenden „AVV") wird gemäß Art. 28 Abs. 3 DSGVO geschlossen und ist integrierender Bestandteil des Hauptvertrags über die Nutzung der Software „kaava“. Im Fall von Widersprüchen zwischen diesem AVV und dem Hauptvertrag gehen die Regelungen dieses AVV vor, soweit sie die Verarbeitung personenbezogener Daten betreffen.

2. Gegenstand, Art und Zweck der Verarbeitung

Gegenstand ist die Bereitstellung und der Betrieb der Software „kaava“ als webbasierter Dienst einschließlich Hosting, Wartung, Datensicherung und Support.

Art der Verarbeitung: Erheben, Erfassen, Organisieren, Ordnen, Speichern, Anpassen, Auslesen, Abfragen, Verwenden, Übermitteln, Einschränken, Löschen und Vernichten personenbezogener Daten mittels automatisierter Verfahren.

Zweck ist ausschließlich die Erbringung der im Hauptvertrag vereinbarten Leistungen, insbesondere die Verwaltung von Kunden-, Kontakt-, Auftrags- und Kommunikationsdaten des Verantwortlichen. Eine Verarbeitung zu eigenen Zwecken des Auftragsverarbeiters, insbesondere zu Werbezwecken, zur Profilbildung oder zum Training von Modellen künstlicher Intelligenz, findet nicht statt.

3. Dauer

Die Dauer dieses AVV entspricht der Laufzeit des Hauptvertrags. Er endet automatisch mit dessen Beendigung, ohne dass es einer gesonderten Kündigung bedarf. Die Pflichten nach Punkt 11 (Löschung und Rückgabe) und Punkt 8 (Vertraulichkeit) gelten darüber hinaus fort.

4. Art der Daten und Kreis der betroffenen Personen

Welche Daten konkret verarbeitet werden, bestimmt allein der Verantwortliche durch die Nutzung der Software. Typischerweise sind das:

Kreis der Betroffenen: Kunden, Interessenten und Lieferanten des Verantwortlichen sowie deren Ansprechpersonen, Beschäftigte und sonstige Nutzer des Verantwortlichen.

Besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO sind nicht Gegenstand dieses Vertrags. Beabsichtigt der Verantwortliche, solche Daten zu verarbeiten, ist dies vorab in Textform zu vereinbaren, damit ergänzende Schutzmaßnahmen festgelegt werden können.

5. Weisungsrecht

Der Auftragsverarbeiter verarbeitet die personenbezogenen Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen. Als solche Weisung gilt auch die Nutzung der Software durch den Verantwortlichen im Rahmen ihrer bestimmungsgemäßen Funktionen.

Weisungen erfolgen in Textform an office@kaava.eu. Mündlich erteilte Weisungen sind unverzüglich in Textform zu bestätigen.

Ist der Auftragsverarbeiter der Auffassung, dass eine Weisung gegen datenschutzrechtliche Bestimmungen verstößt, informiert er den Verantwortlichen unverzüglich. Er ist berechtigt, die Ausführung der betreffenden Weisung bis zu deren Bestätigung oder Änderung auszusetzen.

Ist der Auftragsverarbeiter aufgrund des Unionsrechts oder des Rechts eines Mitgliedstaats zur Verarbeitung verpflichtet, informiert er den Verantwortlichen vor der Verarbeitung, sofern das betreffende Recht diese Mitteilung nicht wegen eines wichtigen öffentlichen Interesses verbietet.

6. Pflichten des Auftragsverarbeiters

• Verarbeitung ausschließlich im Rahmen dieses Vertrags und der Weisungen des Verantwortlichen.
• Umsetzung und Aufrechterhaltung der technischen und organisatorischen Maßnahmen nach Anhang 1.
• Verpflichtung aller zur Verarbeitung befugten Personen auf Vertraulichkeit und Unterweisung in die einschlägigen Datenschutzvorschriften.
• Unterstützung des Verantwortlichen bei der Erfüllung der Pflichten nach Art. 32 bis 36 DSGVO, insbesondere bei Datenschutz-Folgenabschätzungen und der Meldung von Verletzungen des Schutzes personenbezogener Daten.
• Führung eines Verzeichnisses aller Kategorien von Verarbeitungstätigkeiten gemäß Art. 30 Abs. 2 DSGVO.
• Benennung einer Kontaktstelle für Datenschutzanfragen: office@kaava.eu.
• Verarbeitung ausschließlich innerhalb der Europäischen Union, soweit in Anhang 2 nichts Abweichendes offengelegt ist.

7. Pflichten des Verantwortlichen

Der Verantwortliche ist für die Rechtmäßigkeit der Verarbeitung und für die Wahrung der Rechte der betroffenen Personen verantwortlich. Er stellt insbesondere sicher, dass eine Rechtsgrundlage für die von ihm veranlassten Verarbeitungen besteht, dass die betroffenen Personen ordnungsgemäß informiert werden und dass er den Auftragsverarbeiter über datenschutzrechtlich relevante Besonderheiten der Verarbeitung rechtzeitig informiert.

Er benennt eine für Datenschutzfragen zuständige Ansprechperson und hält deren Kontaktdaten aktuell, damit Meldungen nach Punkt 10 zugestellt werden können.

8. Vertraulichkeit

Der Auftragsverarbeiter stellt sicher, dass sich die zur Verarbeitung befugten Personen zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen. Diese Verpflichtung besteht auch nach Beendigung ihrer Tätigkeit fort.

Der Zugriff auf personenbezogene Daten des Verantwortlichen erfolgt nach dem Grundsatz der geringstmöglichen Berechtigung und nur, soweit dies zur Leistungserbringung, insbesondere zur Störungsbehebung, erforderlich ist. Zugriffe zu Supportzwecken werden protokolliert.

9. Unterstützung bei Betroffenenrechten

Der Auftragsverarbeiter unterstützt den Verantwortlichen mit geeigneten technischen und organisatorischen Maßnahmen dabei, Anträgen betroffener Personen auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Datenübertragbarkeit und Widerspruch nachzukommen.

Wendet sich eine betroffene Person unmittelbar an den Auftragsverarbeiter, leitet dieser das Anliegen unverzüglich an den Verantwortlichen weiter und erteilt selbst keine Auskunft, sofern er nicht dazu angewiesen oder gesetzlich verpflichtet ist.

Soweit die Software die Erfüllung eines Betroffenenrechts durch den Verantwortlichen selbst ermöglicht, insbesondere durch Export-, Berichtigungs- und Löschfunktionen, erfolgt diese Unterstützung ohne gesondertes Entgelt. Darüber hinausgehender Aufwand wird nach dem im Hauptvertrag vereinbarten Stundensatz verrechnet.

10. Verletzungen des Schutzes personenbezogener Daten

Der Auftragsverarbeiter meldet dem Verantwortlichen jede ihm bekannt gewordene Verletzung des Schutzes personenbezogener Daten unverzüglich, längstens innerhalb von 24 Stunden ab Kenntnis, in Textform an die vom Verantwortlichen benannte Kontaktstelle.

Die Meldung enthält, soweit verfügbar, eine Beschreibung der Art der Verletzung, die betroffenen Kategorien und die ungefähre Zahl der betroffenen Personen und Datensätze, die wahrscheinlichen Folgen sowie die ergriffenen oder vorgeschlagenen Abhilfemaßnahmen. Stehen Angaben noch nicht vollständig zur Verfügung, erfolgt die Meldung zunächst mit den bekannten Informationen und wird laufend ergänzt.

Die Meldung an die Aufsichtsbehörde nach Art. 33 DSGVO und die Benachrichtigung der betroffenen Personen nach Art. 34 DSGVO obliegen dem Verantwortlichen.

11. Löschung und Rückgabe

Nach Beendigung des Hauptvertrags gibt der Auftragsverarbeiter die verarbeiteten Daten nach Wahl des Verantwortlichen zurück oder löscht sie.

Die Daten werden nach Vertragsende 30 Tage zum Abruf bereitgehalten. Ein vollständiger Export in einem gängigen, maschinenlesbaren Format wird einmalig kostenlos zur Verfügung gestellt. Nach Ablauf der 30 Tage werden die Daten aus den produktiven Systemen gelöscht.

Aus Sicherungskopien werden die Daten im Zuge der regulären Rotation der Sicherungen entfernt; die Aufbewahrungsdauer der Sicherungen ist in Anhang 1 angegeben. Bis zur endgültigen Löschung bleiben die Sicherungen den Schutzmaßnahmen dieses Vertrags unterworfen.

Eine darüber hinausgehende Aufbewahrung erfolgt nur, soweit das Unionsrecht oder das Recht eines Mitgliedstaats dies vorschreibt. In diesem Fall werden die Daten gesperrt und ausschließlich zum gesetzlichen Zweck verarbeitet.

12. Subauftragsverarbeiter

Der Verantwortliche erteilt eine allgemeine Genehmigung zur Beauftragung der in Anhang 2 genannten Subauftragsverarbeiter.

Der Auftragsverarbeiter informiert den Verantwortlichen mindestens vier Wochen vor der Beauftragung eines weiteren oder der Ablösung eines bestehenden Subauftragsverarbeiters in Textform. Der Verantwortliche kann innerhalb dieser Frist aus einem wichtigen datenschutzrechtlichen Grund widersprechen. Im Fall eines berechtigten Widerspruchs, dem nicht abgeholfen werden kann, ist der Verantwortliche berechtigt, den Hauptvertrag zum Zeitpunkt der beabsichtigten Änderung außerordentlich zu kündigen.

Der Auftragsverarbeiter verpflichtet jeden Subauftragsverarbeiter vertraglich auf Datenschutzpflichten, die denen dieses Vertrags entsprechen, und haftet für dessen Verhalten wie für eigenes.

13. Kontrollrechte

Der Verantwortliche hat das Recht, die Einhaltung dieses Vertrags zu überprüfen. Der Auftragsverarbeiter erbringt den Nachweis vorrangig durch Auskunft, durch Vorlage der Dokumentation der technischen und organisatorischen Maßnahmen oder durch aktuelle Prüfberichte oder Zertifikate.

Reicht das im Einzelfall nicht aus, kann der Verantwortliche nach Ankündigung mit angemessener Frist, in der Regel zwei Wochen, während der üblichen Geschäftszeiten und ohne Störung des Betriebsablaufs eine Überprüfung vor Ort durchführen oder durch einen zur Verschwiegenheit verpflichteten, nicht mit dem Auftragsverarbeiter im Wettbewerb stehenden Prüfer durchführen lassen. Der Auftragsverarbeiter wirkt daran mit.

Für Überprüfungen, die über eine jährliche Kontrolle hinausgehen und nicht durch einen konkreten Anlass begründet sind, kann der Auftragsverarbeiter den angemessenen Aufwand nach dem vereinbarten Stundensatz verrechnen.

14. Haftung

Für die Haftung im Verhältnis der Vertragsteile gelten die Bestimmungen des Hauptvertrags. Art. 82 DSGVO bleibt davon unberührt.

Anhang 1: Technische und organisatorische Maßnahmen

Maßnahmen nach Art. 32 DSGVO, Stand 11. August 2026. Der Auftragsverarbeiter passt die Maßnahmen an den Stand der Technik an; das Schutzniveau darf dabei nicht unterschritten werden.

Anhang 2: Subauftragsverarbeiter

Stand 11. August 2026. Die mit „nur bei aktivierter Funktion" gekennzeichneten Verarbeiter kommen ausschließlich dann zum Einsatz, wenn der Verantwortliche die betreffende Funktion aktiviert oder das entsprechende Konto verbindet.

Ort, Datum sowie die Unterschriften beider Vertragsteile sind auf der Ausfertigung zu ergänzen. Alternativ kann dieser AVV in Textform, etwa durch Bestätigung per E-Mail, angenommen werden.