Vertrag zur Auftragsverarbeitung (AVV)

1. Gegenstand & Dauer

Verarbeitung personenbezogener Daten im Rahmen der Bereitstellung und Nutzung der Vendorz-SaaS, für die Dauer des Hauptvertrags.

2. Art, Zweck, Datenkategorien & Betroffene

Art/Zweck: Speicherung, Strukturierung, Auswertung und Bereitstellung im Rahmen des Lieferanten-, Vertrags- und Spend-Managements. Datenkategorien: Stamm- und Kontaktdaten von Lieferanten und deren Ansprechpartnern, Vertrags- und Dokumentendaten, Bewertungen, Nutzungs-/Protokolldaten. Betroffene: Mitarbeitende des Kunden, Ansprechpartner von Lieferanten.

3. Pflichten des Auftragsverarbeiters

Verarbeitung ausschließlich nach dokumentierten Weisungen des Verantwortlichen; Verpflichtung der Beschäftigten auf Vertraulichkeit; Umsetzung der technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO; Unterstützung bei Betroffenenrechten und Meldepflichten; unverzügliche Information bei Verdacht auf Datenschutzverletzungen.

4. Technische und organisatorische Maßnahmen (TOM)

Mandantentrennung auf Datenbankebene über Row-Level-Security (je Datensatz organisations- gebunden, getestet); rollenbasierte Zugriffsrechte; Verschlüsselung in Transit (TLS) und im Ruhezustand; ausschließliches Hosting in der EU/im EWR; Protokollierung sicherheits- relevanter Vorgänge; regelmäßige Backups. [Vollständiges TOM-Dokument vor Launch als Anlage beifügen.]

5. Unterauftragsverarbeiter

Der Verantwortliche genehmigt den Einsatz folgender Unterauftragsverarbeiter mit Verarbeitung in der EU/im EWR bzw. in einem Land mit Angemessenheitsbeschluss:

• Hetzner Online GmbH (Deutschland) – Hosting, Datenbank, Dateispeicher.
• Mistral AI (Frankreich) – KI-gestützte Dokumentenextraktion (EU-Modell, Standard).
• Scaleway SAS (Frankreich, iliad-Gruppe) – Versand von Transaktions-E-Mails (Scaleway Transactional Email, Region fr-par).
• Mollie B.V. (Niederlande) – Zahlungsabwicklung.
• Skribble AG (Schweiz – Land mit EU-Angemessenheitsbeschluss) – elektronische Signatur, nur bei aktivem Kündigungs-/Signatur-Modul.
• [Frontend-Hosting: EU-Anbieter ergänzen, sobald die Migration weg von Netlify steht.]

Über Änderungen der Unterauftragsverarbeiter informiert der Auftragsverarbeiter; der Verantwortliche kann einer Änderung aus wichtigem Grund widersprechen.

6. Betroffenenrechte & Unterstützung

Der Auftragsverarbeiter unterstützt den Verantwortlichen mit geeigneten Maßnahmen bei der Erfüllung von Betroffenenanfragen sowie bei Datenschutz-Folgenabschätzungen und Meldepflichten nach Art. 33/34 DSGVO.

7. Löschung & Rückgabe

Nach Beendigung des Hauptvertrags werden die personenbezogenen Daten nach Wahl des Verantwortlichen gelöscht oder zurückgegeben, sofern keine gesetzliche Aufbewahrungspflicht besteht.

8. Nachweise & Kontrollen

Der Auftragsverarbeiter stellt dem Verantwortlichen die zur Einhaltung des Art. 28 DSGVO erforderlichen Informationen bereit und ermöglicht angemessene Überprüfungen.