Auftragsverarbeitungsvertrag (AVV) gemäß Art. 28 DSGVO

Version 1.1, Stand 24. Juli 2026 (ersetzt Version 1.0 vom 2. Juli 2026)

Unternio-Kunde? In der App unter Einstellungen → AVV wird dieser Vertrag automatisch mit deinen Firmendaten befüllt; dort kannst du ihn elektronisch bestätigen und mit Nachweis für deine Unterlagen drucken.

Dieser Auftragsverarbeitungsvertrag (im Folgenden „AVV") wird geschlossen zwischen:

Präambel

(1) Der Verantwortliche nutzt die webbasierte Software „unternio" (SaaS) des Auftragsverarbeiters zur Organisation seines Geschäftsbetriebs, insbesondere für Aufgaben- und Fristenverwaltung (Kontrollregister), Vertragsverwaltung (Vertragsregister), Kundenverwaltung (CRM mit Kontakten, Verkaufschancen und Kommunikationshistorie), Angebots- und Rechnungserstellung (einschließlich E-Rechnung) sowie, soweit genutzt, Personal- und Dienstplanverwaltung.

(2) Im Rahmen der Nutzung werden personenbezogene Daten im Auftrag des Verantwortlichen durch den Auftragsverarbeiter verarbeitet. Diese Verarbeitung erfolgt gemäß der Datenschutz-Grundverordnung (EU) 2016/679 („DSGVO") und den einschlägigen nationalen Datenschutzgesetzen.

(3) Die Parteien sind sich einig, dass der Kunde Verantwortlicher im Sinne des Art. 4 Nr. 7 DSGVO und die Pik Production GmbH Auftragsverarbeiter im Sinne des Art. 4 Nr. 8 DSGVO ist.

(4) Dieser AVV konkretisiert die datenschutzrechtlichen Pflichten der Parteien. Er ist Bestandteil des Hauptvertrags (Abo-Vertrag über die Nutzung von unternio) und wird elektronisch geschlossen: Mit Abschluss des Hauptvertrags (Registrierung bzw. Abo-Abschluss) gilt dieser AVV in der jeweils veröffentlichten Fassung als vereinbart, ohne dass es einer Unterschrift bedarf. Auf Wunsch stellen wir eine unterschriebene Fassung in Textform bereit (Anfrage an support@unternio.de).

1. Definitionen

Die verwendeten Begriffe haben die Bedeutung, die ihnen in der DSGVO zugewiesen wird (insbesondere Art. 4 DSGVO: personenbezogene Daten, Verarbeitung, Verantwortlicher, Auftragsverarbeiter, Verletzung des Schutzes personenbezogener Daten).

2. Gegenstand und Dauer der Verarbeitung

(1) Gegenstand: Bereitstellung und Betrieb der Web-Software unternio gemäß Anlage 1.

(2) Dauer: Die Dauer dieses AVV richtet sich nach der Laufzeit des Hauptvertrags. Nach Beendigung gelten die Bestimmungen zur Löschung oder Rückgabe der Daten gemäß Ziffer 6.7.

3. Art und Zweck der Verarbeitung

(1) Art: Erheben, Speichern, Verändern, Übermitteln, Einschränken und Löschen von Daten im Rahmen der Bereitstellung und Nutzung der Software.

(2) Zweck: Ausschließlich die Erfüllung der vertraglichen Leistungen gemäß Hauptvertrag und den Weisungen des Verantwortlichen. Eine Verarbeitung zu eigenen Zwecken des Auftragsverarbeiters findet nicht statt; es erfolgt kein Tracking und keine werbliche Nutzung der Inhaltsdaten.

4. Art der personenbezogenen Daten und Kategorien betroffener Personen

(1) Art der Daten (abhängig davon, was der Verantwortliche in die Software eingibt):

• Stammdaten (Name, Firma, Adresse, E-Mail, Telefon von Kontakten des Verantwortlichen)
• Vertragsdaten (Vertragspartner, Laufzeiten, Kündigungsfristen, Konditionen)
• Angebots- und Rechnungsdaten, einschließlich E-Rechnungsdaten (Empfänger, Positionen, Beträge, Zahlungsziele, Steuernummern)
• Kommunikations- und Vertriebsdaten (Notizen, Interaktionshistorie, Verkaufschancen)
• Aufgaben- und Organisationsdaten (Aufgaben, Zuständigkeiten, Fristen)
• Personal- und Dienstplandaten, soweit der Verantwortliche das Personal-Modul nutzt (Namen, Abteilungen, Schichten, Urlaubs- und Abwesenheitszeiten)
• Nutzerdaten der Software-Nutzer des Verantwortlichen (Name, E-Mail, Rolle, Anmeldedaten)
• Nutzungsdaten (IP-Adressen, Log-Daten, Zugriffszeiten)

(2) Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO) sind grundsätzlich nicht Gegenstand der vereinbarten Verarbeitung. Einzige Ausnahme: Nutzt der Verantwortliche das Personal-Modul, können bei der Abwesenheitsverwaltung Daten verarbeitet werden, aus denen sich mittelbar Gesundheitsinformationen ergeben (Abwesenheitsart „krank", jeweils nur Zeitraum und Abwesenheitsart, keine Diagnosen, keine Atteste, keine sonstigen Gesundheitsangaben). Diese Verarbeitung ist von diesem AVV umfasst; der Verantwortliche stellt sicher, dass er hierfür über eine Rechtsgrundlage verfügt (insbesondere § 26 Abs. 3 BDSG, Art. 9 Abs. 2 lit. b DSGVO) und gibt darüber hinaus keine besonderen Kategorien personenbezogener Daten (z. B. Diagnosen, Gesundheitsakten, Religionszugehörigkeit) in die Software ein, sofern nicht gesondert vereinbart.

(3) Kategorien betroffener Personen:

• Kunden und Interessenten des Verantwortlichen
• Ansprechpartner bei Geschäftspartnern und Lieferanten des Verantwortlichen
• Beschäftigte und Nutzer der Software auf Seiten des Verantwortlichen

5. Pflichten und Rechte des Verantwortlichen

(1) Der Verantwortliche ist für die Rechtmäßigkeit der Datenverarbeitung, die Wahrung der Betroffenenrechte und die Erfüllung der Informationspflichten allein verantwortlich.

(2) Der Verantwortliche kann jederzeit Weisungen zur Verarbeitung erteilen, soweit sie im Rahmen des Hauptvertrags liegen. Weisungen erfolgen in Textform (E-Mail genügt). Standardweisung ist die vertragsgemäße Nutzung der Software über deren Funktionen (Anlegen, Ändern, Exportieren, Löschen von Daten durch den Verantwortlichen selbst).

(3) Der Verantwortliche informiert den Auftragsverarbeiter unverzüglich, wenn er Fehler oder Unregelmäßigkeiten bei der Verarbeitung feststellt.

6. Pflichten des Auftragsverarbeiters

6.1 Weisungsgebundenheit

(1) Der Auftragsverarbeiter verarbeitet Daten ausschließlich im Rahmen der getroffenen Vereinbarungen und der dokumentierten Weisungen des Verantwortlichen, sofern nicht Rechtsvorschriften der Union oder der Mitgliedstaaten eine andere Verarbeitung vorschreiben; in diesem Fall teilt er dem Verantwortlichen diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern rechtlich zulässig.

(2) Hält der Auftragsverarbeiter eine Weisung für rechtswidrig, informiert er den Verantwortlichen unverzüglich und darf die Ausführung bis zur Bestätigung oder Änderung aussetzen.

6.2 Vertraulichkeit

Der Auftragsverarbeiter stellt sicher, dass alle zur Verarbeitung befugten Personen zur Vertraulichkeit verpflichtet wurden (schriftliche Verpflichtung auf das Datengeheimnis) oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen.

6.3 Technische und organisatorische Maßnahmen (TOMs)

(1) Der Auftragsverarbeiter trifft geeignete technische und organisatorische Maßnahmen gemäß Art. 32 DSGVO. Die aktuell umgesetzten Maßnahmen sind in Anlage 3 beschrieben.

(2) Der Auftragsverarbeiter kann die TOMs weiterentwickeln, sofern das Schutzniveau nicht wesentlich unterschritten wird. Wesentliche Änderungen werden dem Verantwortlichen mitgeteilt.

6.4 Unterauftragsverarbeiter

(1) Der Verantwortliche erteilt die allgemeine Genehmigung zur Beauftragung der in Anlage 2 aufgeführten Unterauftragsverarbeiter.

(2) Der Auftragsverarbeiter schließt mit jedem Unterauftragsverarbeiter einen Vertrag, der die Datenschutzpflichten dieses AVV im Wesentlichen abbildet.

(3) Der Auftragsverarbeiter informiert den Verantwortlichen über beabsichtigte Änderungen (Hinzuziehung oder Ersetzung von Unterauftragsverarbeitern) in Textform mit einer Frist von mindestens 4 Wochen. Der Verantwortliche kann aus wichtigem datenschutzrechtlichem Grund widersprechen; im Fall des Widerspruchs steht beiden Parteien ein außerordentliches Kündigungsrecht des Hauptvertrags zu.

(4) Der Auftragsverarbeiter bleibt für die Einhaltung der Pflichten durch Unterauftragsverarbeiter voll verantwortlich.

6.5 Unterstützungspflichten

(1) Der Auftragsverarbeiter unterstützt den Verantwortlichen mit geeigneten Maßnahmen bei der Beantwortung von Betroffenenanfragen (Art. 12 bis 22 DSGVO). Die Software stellt hierfür Export- und Löschfunktionen bereit.

(2) Der Auftragsverarbeiter unterstützt den Verantwortlichen bei den Pflichten aus Art. 32 bis 36 DSGVO (Sicherheit, Meldung von Verletzungen des Schutzes personenbezogener Daten, Datenschutz-Folgenabschätzung).

(3) Der Auftragsverarbeiter meldet dem Verantwortlichen Verletzungen des Schutzes personenbezogener Daten, die dessen Daten betreffen, unverzüglich, spätestens innerhalb von 48 Stunden nach Kenntnis, mit den Informationen gemäß Art. 33 Abs. 3 DSGVO.

6.6 Kontrollrechte des Verantwortlichen

(1) Der Verantwortliche kann die Einhaltung dieses AVV überprüfen: vorrangig durch Anforderung von Nachweisen (aktuelle TOM-Dokumentation, Zertifikate, Auditberichte, Selbstauskünfte), nachrangig durch Kontrollen in Absprache mit dem Auftragsverarbeiter zu üblichen Geschäftszeiten mit angemessener Ankündigungsfrist (mindestens 14 Tage).

(2) Der Auftragsverarbeiter stellt auf Anforderung alle zur Kontrolle erforderlichen Informationen bereit.

6.7 Löschung und Rückgabe von Daten

(1) Nach Beendigung des Hauptvertrags löscht der Auftragsverarbeiter alle im Auftrag verarbeiteten personenbezogenen Daten oder gibt sie nach Wahl des Verantwortlichen zurück (Export in einem gängigen, maschinenlesbaren Format, z. B. CSV), sofern keine gesetzliche Aufbewahrungspflicht besteht.

(2) Die Löschung oder Rückgabe erfolgt unverzüglich, spätestens innerhalb von 30 Tagen nach Beendigung des Vertrags. Daten in Backups werden spätestens mit der regulären Backup-Rotation, spätestens nach weiteren 35 Tagen, überschrieben bzw. gelöscht. Die Löschung wird auf Anforderung in Textform bestätigt.

7. Haftung

(1) Die Parteien haften einander nach den gesetzlichen Vorschriften (Art. 82 DSGVO).

(2) Die Haftung des Auftragsverarbeiters für einfache Fahrlässigkeit wird auf die Höhe der in den letzten 12 Monaten gezahlten Vergütung, mindestens 10.000 Euro, pro Schadensfall begrenzt. Diese Begrenzung gilt nicht bei Vorsatz, grober Fahrlässigkeit, Schäden an Leben, Körper oder Gesundheit sowie soweit Art. 82 DSGVO zwingend entgegensteht.

(3) Der Verantwortliche stellt den Auftragsverarbeiter von Ansprüchen Dritter frei, die auf einer rechtswidrigen Verarbeitung durch den Verantwortlichen beruhen (insbesondere Eingabe von Daten ohne Rechtsgrundlage).

8. Schlussbestimmungen

(1) Änderungen und Ergänzungen dieses AVV bedürfen der Textform.

(2) Sollten einzelne Bestimmungen unwirksam sein oder werden, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt.

(3) Es gilt das Recht der Bundesrepublik Deutschland. Gerichtsstand ist Hannover, sofern der Verantwortliche Kaufmann, juristische Person des öffentlichen Rechts oder öffentlich-rechtliches Sondervermögen ist.

(4) Dieser AVV tritt mit Abschluss des Hauptvertrags in Kraft.

Anlage 1: Beschreibung der Verarbeitung

1. Gegenstand: Bereitstellung und Betrieb der Web-Software „unternio" (SaaS) durch die Pik Production GmbH mit den Modulen Kontrollregister (Aufgaben und Fristen), Vertragsregister, CRM (Kontakte, Verkaufspipeline, Kommunikationshistorie), Angebote und Rechnungen (einschließlich E-Rechnung) sowie Personal-/Dienstplanverwaltung, soweit vom Verantwortlichen genutzt.

2. Art der Daten: siehe Ziffer 4 Abs. 1 und 2 dieses AVV.

3. Kategorien betroffener Personen: siehe Ziffer 4 Abs. 3 dieses AVV.

4. Zweck: Erfüllung der vertraglichen Leistungen gemäß Hauptvertrag, insbesondere Bereitstellung, Wartung, Support und Weiterentwicklung der Software sowie Sicherstellung ihrer Funktionalität und Sicherheit.

5. TOMs: siehe Anlage 3.

6. Ort der Datenverarbeitung: Ausschließlich Rechenzentren in Deutschland (Hetzner Online GmbH, Standort Nürnberg). Datenbank, Authentifizierung und Dateispeicher (selbst gehostetes Supabase) sowie der E-Rechnungsdienst laufen auf demselben, vom Auftragsverarbeiter betriebenen Server. Es findet keine Übermittlung in Drittländer statt.

Anlage 2: Aktuelle Unterauftragsverarbeiter

Hinweis 1: Der Zahlungsdienstleister Mollie B.V. (Amsterdam, Niederlande) verarbeitet Zahlungsdaten des Verantwortlichen bei Abschluss des Abos. Mollie handelt dabei als eigenständiger Verantwortlicher (regulierter Zahlungsdienstleister) und ist daher kein Unterauftragsverarbeiter im Sinne dieser Anlage.

Hinweis 2: Datenbank, Authentifizierung und Dateispeicher (selbst gehostetes Supabase), die Reichweitenmessung (selbst gehostetes Umami) sowie der E-Rechnungsdienst werden vom Auftragsverarbeiter selbst auf dem Hetzner-Server betrieben und sind keine gesonderten Unterauftragsverarbeiter. Das Quellcode-Hosting (GitHub) enthält keine personenbezogenen Kundendaten und ist daher kein Unterauftragsverarbeiter. Das Cookie-Einwilligungstool CCM19 (Papoo Software & Media GmbH) und das Google-Ads-Conversion-Tag kommen ausschließlich auf der öffentlichen Website zum Einsatz, nicht innerhalb der vom Verantwortlichen genutzten Anwendung, und verarbeiten keine Inhaltsdaten des Verantwortlichen.

Anlage 3: Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

Stand: 24. Juli 2026. Der Auftragsverarbeiter setzt insbesondere folgende Maßnahmen um:

Vertraulichkeit

• Zutrittskontrolle: Serverbetrieb ausschließlich im ISO-27001-zertifizierten Rechenzentrum der Hetzner Online GmbH in Deutschland (Standort Nürnberg) mit Zutrittssicherung, Videoüberwachung und 24/7-Betrieb durch Hetzner.
• Zugangskontrolle: Authentifizierung der Nutzer über E-Mail und Passwort (kryptografisches Hashing) mit E-Mail-Bestätigung per Einmal-Code; Zwei-Faktor-Authentifizierung (2FA) für administrative Zugänge; SSH-Zugang zum Server ausschließlich per Schlüsselpaar.
• Zugriffskontrolle: Strikte Mandantentrennung auf Datenbankebene über Row Level Security (RLS) auf allen Datentabellen; rollenbasiertes Berechtigungskonzept je Organisation mit serverseitig abgesicherter Rechteprüfung; Grundsatz der Datenminimierung und Least Privilege bei internen Zugängen.

Integrität

• Weitergabekontrolle: Ausschließlich TLS-verschlüsselte Übertragung (HTTPS) an allen öffentlichen Endpunkten; abgesicherte Schnittstellen (Token-Authentifizierung, RLS, serverseitige Prüfung von Zugriffsrechten).
• Eingabekontrolle: Protokollierung administrativer Datenbankzugriffe; GoBD-konforme Festschreibung von Rechnungen mit fortlaufenden, nicht wiederverwendeten Nummernkreisen und Beleg-Änderungsprotokoll.

Verfügbarkeit und Belastbarkeit

• Backups: Tägliche, verschlüsselte Sicherungen der Datenbank auf einen räumlich getrennten Speicher (Hetzner Object Storage); die Wiederherstellbarkeit wird getestet.
• Serverstandort: ausschließlich Deutschland.
• Notfallvorsorge: dokumentierte Wiederaufbau- und Incident-Response-Anleitung (Runbook).

Verfahren zur regelmäßigen Überprüfung, Bewertung und Evaluierung

• Mandantentrennung und Zugriffsrechte werden bei wesentlichen Änderungen sowie durch wiederkehrende automatisierte Sicherheitsprüfungen kontrolliert; die TOM-Dokumentation wird mindestens jährlich sowie anlassbezogen aktualisiert.
• Zweckbindung: Kundendaten werden ausschließlich zur Leistungserbringung verarbeitet, kein Tracking, keine Werbenutzung, keine Weitergabe.

Die jeweils aktuelle, ausführliche TOM-Dokumentation stellt der Auftragsverarbeiter auf Anforderung in Textform bereit (Anfrage an support@unternio.de).