Vertrag zur Auftragsverarbeitung (AVV)

Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO zwischen dem Kunden (nachfolgend Verantwortlicher) und der KINDERMANN.IO UG (haftungsbeschränkt), Seumestr. 7, 30161 Hannover (nachfolgend Auftragsverarbeiter).

Stand: Juli 2026

Dieser Vertrag konkretisiert die Pflichten der Parteien aus dem zugrunde liegenden Nutzungsvertrag über die Plattform Tickware, soweit der Auftragsverarbeiter personenbezogene Daten im Auftrag des Verantwortlichen verarbeitet.

1. Gegenstand und Dauer der Verarbeitung

1.1 Gegenstand der Verarbeitung ist die Bereitstellung und der Betrieb der Software-as-a-Service-Plattform Tickware einschließlich Ticketsystem, ERP-Funktionen, Warehouse-Management, Zeiterfassung und gebuchter Erweiterungen.

1.2 Die Dauer der Verarbeitung entspricht der Laufzeit des Nutzungsvertrags. Sie endet mit dessen Beendigung und der anschließenden Rückgabe oder Löschung der Daten nach Ziffer 9.

2. Art und Zweck der Verarbeitung

2.1 Die Verarbeitung erfolgt ausschließlich zu dem Zweck, dem Verantwortlichen die vertraglich vereinbarten Leistungen bereitzustellen.

2.2 Umfasst sind insbesondere das Erheben, Speichern, Ordnen, Auslesen, Verwenden, Übermitteln innerhalb der Plattform, Einschränken und Löschen von Daten sowie die zum Betrieb erforderliche Datensicherung und Fehleranalyse.

2.3 Eine Verarbeitung zu eigenen Zwecken des Auftragsverarbeiters findet nicht statt.

3. Art der personenbezogenen Daten

Je nach Nutzung der Plattform durch den Verantwortlichen können insbesondere folgende Datenarten verarbeitet werden:

• Stammdaten von Beschäftigten und Ansprechpartnern (Name, Personalnummer, Rolle, Abteilung)
• Kontaktdaten (dienstliche E-Mail-Adresse, Telefonnummer, Anschrift)
• Kunden- und Lieferantendaten des Verantwortlichen (Ansprechpartner, Anschriften, Kommunikationsdaten)
• Vorgangsdaten aus Tickets, Subtickets, Serviceberichten und Arbeitspaketen (einschließlich freier Textfelder, Anhängen und Notizen)
• Zeit- und Einsatzdaten (Arbeitszeiten, Anfahrts- und Reisezeiten, Abwesenheiten)
• Bestell- und Lagerdaten mit Personenbezug (Besteller, Bearbeiter, Empfänger)
• Nutzungsdaten (Anmeldezeitpunkte, Protokolldaten der Plattform)

4. Kategorien betroffener Personen

• Beschäftigte, Auszubildende und freie Mitarbeiter des Verantwortlichen
• Ansprechpartner bei Kunden, Interessenten und Lieferanten des Verantwortlichen
• sonstige Personen, deren Daten der Verantwortliche in die Plattform einstellt

5. Weisungsrecht des Verantwortlichen

5.1 Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen. Der Nutzungsvertrag einschließlich dieses AVV stellt die initiale Weisung dar.

5.2 Weisungen erfolgen in Textform an info@tickware.de. Mündliche Weisungen sind unverzüglich in Textform zu bestätigen.

5.3 Ist der Auftragsverarbeiter der Auffassung, dass eine Weisung gegen datenschutzrechtliche Vorschriften verstößt, informiert er den Verantwortlichen unverzüglich. Er ist berechtigt, die Ausführung auszusetzen, bis der Verantwortliche die Weisung bestätigt oder ändert.

5.4 Ist der Auftragsverarbeiter aufgrund von Unionsrecht oder dem Recht eines Mitgliedstaats zur Verarbeitung verpflichtet, unterrichtet er den Verantwortlichen vor der Verarbeitung, sofern das Recht dies nicht wegen eines wichtigen öffentlichen Interesses verbietet.

6. Vertraulichkeit

6.1 Der Auftragsverarbeiter setzt zur Verarbeitung nur Personen ein, die zur Vertraulichkeit verpflichtet oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen.

6.2 Die eingesetzten Personen werden über die einschlägigen Datenschutzvorschriften und die Weisungsgebundenheit unterrichtet.

7. Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

Der Auftragsverarbeiter trifft die folgenden Maßnahmen und hält sie während der Vertragslaufzeit aufrecht. Er darf sie weiterentwickeln, sofern das Schutzniveau nicht unterschritten wird.

7.1 Vertraulichkeit

• Zutrittskontrolle: Betrieb in Rechenzentren innerhalb der Europäischen Union mit Zutrittssicherung, Videoüberwachung und dokumentierter Besucherverwaltung
• Zugangskontrolle: individuelle Benutzerkonten, Passwortrichtlinien, optionale Zwei-Faktor-Authentisierung für administrative Zugänge, automatische Sperrung nach fehlgeschlagenen Anmeldeversuchen
• Zugriffskontrolle: rollenbasiertes Berechtigungskonzept nach dem Prinzip der geringsten Rechte, getrennte Mandanten je Kunde
• Trennungskontrolle: logische Trennung der Kundendaten, getrennte Umgebungen für Entwicklung, Test und Produktion

7.2 Integrität

• Weitergabekontrolle: ausschließlich TLS-verschlüsselte Übertragung; Datenträger werden vor Aussonderung sicher gelöscht oder vernichtet
• Eingabekontrolle: Protokollierung sicherheitsrelevanter administrativer Vorgänge einschließlich Zeitpunkt und handelndem Konto

7.3 Verfügbarkeit und Belastbarkeit

• arbeitstägliche Datensicherung mit einer Vorhaltezeit von 14 Tagen
• Überwachung der Systeme, Schutz vor Schadsoftware sowie unterbrechungsfreie Stromversorgung und Brandschutz im Rechenzentrum
• dokumentiertes Verfahren zur Wiederherstellung nach einem Zwischenfall

7.4 Verfahren zur Überprüfung und Bewertung

• regelmäßige Aktualisierung eingesetzter Software und zeitnahe Einspielung sicherheitsrelevanter Updates
• Überprüfung der Maßnahmen bei wesentlichen Änderungen, mindestens jährlich
• Datenschutz durch Technikgestaltung und datenschutzfreundliche Voreinstellungen (Art. 25 DSGVO)

8. Unterauftragsverarbeiter

8.1 Der Verantwortliche erteilt eine allgemeine Genehmigung zur Hinzuziehung von Unterauftragsverarbeitern. Zum Zeitpunkt des Vertragsschlusses eingesetzte Unterauftragsverarbeiter stellt der Auftragsverarbeiter auf Anforderung in einer aktuellen Übersicht bereit; sie umfasst Name, Anschrift, Leistung und Verarbeitungsort.

8.2 Der Auftragsverarbeiter informiert den Verantwortlichen mindestens vier Wochen vor der Beauftragung eines neuen oder dem Wechsel eines bestehenden Unterauftragsverarbeiters in Textform. Der Verantwortliche kann innerhalb von zwei Wochen ab Zugang aus wichtigem datenschutzrechtlichem Grund widersprechen. Im Fall eines berechtigten Widerspruchs, der eine Leistungserbringung unmöglich macht, steht beiden Parteien ein Sonderkündigungsrecht zu.

8.3 Der Auftragsverarbeiter verpflichtet Unterauftragsverarbeiter vertraglich auf ein Schutzniveau, das diesem Vertrag entspricht.

8.4 Eine Verarbeitung außerhalb der Europäischen Union oder des Europäischen Wirtschaftsraums findet nicht statt.

9. Rückgabe und Löschung

9.1 Nach Beendigung des Nutzungsvertrags stellt der Auftragsverarbeiter die Daten für 30 Tage in einem gängigen, maschinenlesbaren Format zum Export bereit.

9.2 Nach Ablauf dieser Frist löscht er die Daten einschließlich vorhandener Kopien, sofern keine gesetzliche Aufbewahrungspflicht entgegensteht. Sicherungskopien werden im Rahmen des regulären Sicherungszyklus überschrieben.

9.3 Die Löschung wird auf Anforderung in Textform bestätigt.

10. Unterstützungspflichten

10.1 Der Auftragsverarbeiter unterstützt den Verantwortlichen im Rahmen des Zumutbaren bei der Erfüllung von Betroffenenanfragen nach Art. 12 bis 23 DSGVO. Wendet sich eine betroffene Person unmittelbar an ihn, leitet er die Anfrage unverzüglich weiter und beantwortet sie nicht selbst.

10.2 Er unterstützt den Verantwortlichen bei der Datenschutz-Folgenabschätzung (Art. 35 DSGVO) und einer etwaigen vorherigen Konsultation der Aufsichtsbehörde (Art. 36 DSGVO).

10.3 Er meldet dem Verantwortlichen Datenschutzverletzungen unverzüglich, spätestens innerhalb von 24 Stunden nach Kenntniserlangung, und stellt die zur Meldung nach Art. 33 DSGVO erforderlichen Informationen bereit.

11. Nachweise und Kontrollen

11.1 Der Auftragsverarbeiter weist die Einhaltung der Pflichten aus diesem Vertrag auf Anforderung in geeigneter Weise nach, insbesondere durch eine aktuelle Dokumentation der technischen und organisatorischen Maßnahmen.

11.2 Der Verantwortliche ist berechtigt, sich von der Einhaltung zu überzeugen. Kontrollen vor Ort werden mit angemessener Vorlaufzeit von mindestens zwei Wochen, während der üblichen Geschäftszeiten und ohne Störung des Betriebsablaufs durchgeführt. Der Auftragsverarbeiter kann Kontrollen von einer Verschwiegenheitsverpflichtung abhängig machen.

11.3 Für den Aufwand über eine Kontrolle je Kalenderjahr hinaus kann der Auftragsverarbeiter eine angemessene Vergütung verlangen, sofern die Kontrolle nicht durch einen konkreten Anlass veranlasst ist.

12. Verantwortlichkeit und Schlussbestimmungen

12.1 Der Verantwortliche ist für die Rechtmäßigkeit der Verarbeitung sowie für die Wahrung der Rechte betroffener Personen allein verantwortlich.

12.2 Änderungen und Ergänzungen dieses Vertrags bedürfen der Textform.

12.3 Bei Widersprüchen zwischen diesem Vertrag und dem Nutzungsvertrag gehen die Regelungen dieses Vertrags in Bezug auf die Auftragsverarbeitung vor.

12.4 Es gilt deutsches Recht. Sollte eine Bestimmung unwirksam sein, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt.