Auftragsverarbeitungsvertrag (Art. 28 DSGVO)
Version 1.0 · Stand 03.11.2026 · Kundenportal portal.pioniercopilot.de
zwischen
dem im Portal angemeldeten Betrieb (Mandant), nachfolgend „Verantwortlicher“,
und
Pioneerdesk GmbH, Palmberg 29, 84539 Zangberg, vertreten durch den Geschäftsführer Marcus Lenczyk, nachfolgend „Auftragsverarbeiter“.
§ 1 Gegenstand und Dauer
Gegenstand ist die Verarbeitung personenbezogener Daten durch den Auftragsverarbeiter beim Betrieb des Kundenportals unter portal.pioniercopilot.de: Übernahme von Daten aus der Branchensoftware (ERP-Datenbank) des Verantwortlichen, ihre Speicherung und ihre Auswertung (z. B. verfügbare und verkaufte Stunden, Durchlaufzeiten von Aufträgen). Der Vertrag gilt für die Laufzeit des Hauptvertrags und endet mit ihm.
§ 2 Art, Zweck, Datenarten, Betroffene
- Art und Zweck: Ein Agent beim Verantwortlichen liest eine Kopie der Datenbank seiner Branchensoftware nur lesend, verschlüsselt sie und überträgt sie in das Portal. Der Auftragsverarbeiter speichert die Kopien mit ihrer Historie und erstellt daraus Auswertungen für den Verantwortlichen.
- Datenarten: Die Kopie umfasst den Inhalt dieser Datenbank, insbesondere:
- Kunden-, Interessenten- und Lieferantendaten des Verantwortlichen (Name, Anschrift, Kontaktdaten, Angebote, Aufträge, Rechnungen, Zahlungen)
- Beschäftigtendaten (Name oder Kennung, Wochenstunden, Arbeitstage, Ein- und Austritt, erfasste Zeiten, Abwesenheiten)
- Zugangsdaten der Portal-Nutzer (Name, dienstliche E-Mail, Rolle; Passwort nur als Hash; Zwei-Faktor-Geheimnis verschlüsselt)
- Protokolldaten (Zeitpunkte, gekürzte IP-Adressen, Aktionen im Portal)
- Besondere Kategorien (Art. 9 DSGVO): nicht Zweck der Verarbeitung. Enthält die Datenbank Abwesenheitsgründe wie Krankheit, werden diese mitgespeichert, aber nur für zusammengefasste Kapazitätsauswertungen genutzt.
- Keine Auswertungen je Beschäftigtem, solange der Verantwortliche dies nicht ausdrücklich beauftragt und die Mitbestimmung (z. B. Betriebsrat) geklärt hat.
- Betroffene: Kunden, Interessenten und Lieferanten des Verantwortlichen, seine Beschäftigten sowie die Nutzer des Portals.
§ 3 Weisungsbindung
Der Auftragsverarbeiter verarbeitet Daten nur auf dokumentierte Weisung des Verantwortlichen. Weisungen erfolgen in der Regel über die Konfiguration des Portals und des Agenten. Abweichende Weisungen erfolgen in Textform.
§ 4 Technische und organisatorische Maßnahmen
Der Auftragsverarbeiter unterhält die TOMs nach Anlage 1 und passt sie dem Stand der Technik an. Eine Änderung darf das Schutzniveau nicht senken.
§ 5 Unterauftragsverarbeiter
Der Verantwortliche stimmt den Subprozessoren in Anlage 2 zu. Neue oder geänderte Subprozessoren kündigt der Auftragsverarbeiter mindestens 30 Tage vorher in Textform an. Der Verantwortliche kann aus wichtigem datenschutzrechtlichem Grund widersprechen.
§ 6 Vertraulichkeit
Alle Personen, die mit der Verarbeitung befasst sind, sind auf Vertraulichkeit verpflichtet.
§ 7 Unterstützung bei Betroffenenrechten
Anfragen Betroffener (Auskunft, Berichtigung, Löschung, Einschränkung, Widerspruch, Datenübertragbarkeit) unterstützt der Auftragsverarbeiter innerhalb von 14 Tagen nach Eingang. Da die Daten aus der Branchensoftware des Verantwortlichen stammen, erfolgen Berichtigungen dort und gelangen mit dem nächsten Lauf in das Portal.
§ 8 Meldung von Verletzungen
Datenschutzverletzungen meldet der Auftragsverarbeiter dem Verantwortlichen unverzüglich, spätestens 48 Stunden nach Kenntnis, mit den nach Art. 33 Abs. 3 DSGVO erforderlichen Angaben, soweit bekannt.
§ 9 Löschung und Rückgabe
- Nach Vertragsende: Löschung oder Rückgabe aller personenbezogenen Daten nach Wahl des Verantwortlichen, innerhalb von 30 Tagen. Die Löschung wird auf Verlangen bestätigt.
- Sicherungen: Datenbanksicherungen werden nach 32 Tagen gelöscht.
- Unveränderliches Protokoll: Einträge des signierten Protokolls bleiben zum Nachweis erhalten; sie enthalten keine Inhalte der übernommenen Datenbank, nur Aktionen, Kennungen und gekürzte IP-Adressen.
- Gesetzliche Aufbewahrungspflichten des Auftragsverarbeiters bleiben unberührt.
§ 10 Nachweise und Audits
Der Auftragsverarbeiter stellt auf Anfrage bereit:
- diese TOMs
- die Zertifikate der Subprozessoren (u. a. ISO 27001 und BSI C5 bei STACKIT)
- eine Auskunft zu Sicherheitsprüfungen
Vor-Ort-Audits sind nach Ankündigung von mindestens 14 Tagen möglich, höchstens einmal jährlich, außer aus konkretem Anlass.
§ 11 Haftung
Es gelten die gesetzlichen Regelungen (Art. 82 DSGVO). Die Haftungsregelungen des Hauptvertrags gelten ergänzend.
§ 12 Schlussbestimmungen
Änderungen bedürfen der Textform. Es gilt deutsches Recht. Dieser Vertrag wird elektronisch geschlossen: Der Verantwortliche zeichnet ihn im Portal nach Anmeldung mit Zwei-Faktor-Authentifizierung; der Auftragsverarbeiter hat ihn durch Bereitstellung im Portal angenommen.
Die Anlagen stehen unter Technische und organisatorische Maßnahmen.