Vereinbarung über die Auftragsverarbeitung (AVV)

Vertragsfassung · Stand: 15. Oktober 2026 · Solutiness GmbH

1. Gegenstand und Dauer der Verarbeitung

(1) Der Auftragsverarbeiter übernimmt für den Verantwortlichen SaaS-Dienstleistungen zur Bereitstellung der Softwareplattform iziflow (insbesondere Mitarbeiterverwaltung, Schulungen und HSE-Unterweisungen, Quizprüfungen, Nachweiszertifikate, betriebliche Melde- und Dialogfunktionen sowie künftige modulare Unternehmenserweiterungen) auf Grundlage des Hauptvertrages (AGB).

(2) Hierbei verarbeitet der Auftragsverarbeiter personenbezogene Daten im Auftrag und nach dokumentierter Weisung des Auftraggebers im Sinne von Art. 28 DSGVO.

(3) Die Dauer dieser Vereinbarung entspricht der Laufzeit des Hauptvertrages.

2. Art und Zweck der Verarbeitung, Datenkategorien und Betroffene

(1) Zweck: Bereitstellung der modularen Cloud-Software, Zuweisung von Schulungskursen und betrieblichen Aufgaben, Versand personalisierter Express-Zugangslinks per SMS und E-Mail, Auswertung von Verständnisprüfungen, Ausstellung digital signierter Prüfzertifikate zur Erfüllung gesetzlicher Pflichten nach § 12 ArbSchG und DGUV Vorschrift 1 sowie Bereitstellung von Melde-, Feedback- und Supportkanälen.

(2) Kategorien betroffener Personen: Beschäftigte des Auftraggebers (Monteure, Handwerker, Reinigungskräfte, Büroangestellte); Führungskräfte, Meister, Administratoren und Sicherheitsfachkräfte (SiFa); externe Kontakte (im CRM-Modul).

(3) Arten der verarbeiteten Daten: Personenstammdaten (Vor- und Nachname, Spracheinstellung); Kommunikationsdaten (Mobilfunknummer, geschäftliche E-Mail); Schulungs- und Moduldaten (Zuweisungen, Fristen, Bearbeitungszeiten, Prüfungsantworten, Punktestand, Bestehensstatus, Ausstellungszeitpunkte von Zertifikaten und Nachweisen); Systemdaten (IP-Adressen, Gerätekennung, Magic-Link-Tokens, Zeitstempel, Audit-Trail); Support- und Meldedaten (Fragen, Hinweise und Dokumentationsfotos an die SiFa bzw. betriebliche Ansprechpartner).

3. Pflichten des Auftragsverarbeiters

(1) Weisungsgebundenheit: Daten werden ausschließlich auf dokumentierte Weisung des Auftraggebers verarbeitet.

(2) Vertraulichkeit: Alle mit der Verarbeitung betrauten Personen haben sich schriftlich zur Vertraulichkeit verpflichtet.

(3) Datensicherheit (Art. 32 DSGVO): Der Auftragsverarbeiter trifft alle erforderlichen technischen und organisatorischen Maßnahmen (TOM). Die Maßnahmen sind in Anlage 1 verbindlich niedergelegt.

(4) Unterstützungspflichten: Unterstützung bei Betroffenenrechten (Art. 15–22 DSGVO) und Meldung von Datenschutzverletzungen binnen maximal 48 Stunden.

(5) Löschung und Rückgabe: Nach Beendigung des Hauptvertrages löscht oder übergibt der Auftragnehmer alle Daten nach Wahl des Auftraggebers, sofern keine gesetzlichen Aufbewahrungsfristen entgegenstehen.

4. Unterauftragsverhältnisse (Subunternehmer)

(1) Der Auftraggeber erteilt die allgemeine Genehmigung, weitere Unterauftragsverarbeiter hinzuzuziehen. Die genehmigten Unterauftragsverarbeiter sind in Anlage 2 aufgeführt.

(2) Der Auftragnehmer informiert über geplante Änderungen mindestens 14 Tage vorab. Der Auftraggeber kann aus wichtigem datenschutzrechtlichem Grund widersprechen.

Anlage 1 zum AVV: Technische und organisatorische Maßnahmen (TOM)

Gemäß Art. 32 DSGVO implementiert die Solutiness GmbH folgende Schutzmaßnahmen:

• Zutritts- und Zugangskontrolle: Hosting in nach ISO 27001 zertifizierten Hochsicherheits-Rechenzentren (Hetzner Online GmbH, Deutschland) mit biometrischer Zugangskontrolle, Videoüberwachung und 24/7-Sicherheitsdienst. Administrativer Serverzugriff ausschließlich via geschütztem VPN, Public-Key-Authentifizierung und Zwei-Faktor-Authentifizierung (2FA).
• Zugriffskontrolle & Mandantentrennung (Multi-Tenancy): Strikte logische Mandantentrennung auf Datenbankebene über tenant_id und PostgreSQL Row-Level-Security (RLS). Ein mandantenübergreifender Zugriff ist architektonisch ausgeschlossen. Granulares Rollenmodell (superadmin, admin, office, master, sifa, worker).
• Verschlüsselung & Weitergabekontrolle: Durchgehende Transportverschlüsselung via TLS 1.3 / HTTPS mit Perfect Forward Secrecy. Speicherung sensibler Daten und Zertifikate mit Verschlüsselung im Ruhezustand (Encryption-at-Rest, AES-256). Sichere Hashverfahren (Argon2id / bcrypt) für Passwörter. Kryptografisch signierte Einmal-Tokens für Mitarbeiterzugänge.
• Eingabekontrolle & Nachweissicherheit: Vollständiger digitaler Audit-Trail: Kurszuweisungen, Bearbeitungszeiten, Quizversuche und Zertifikatserstellungen werden unveränderlich mit Zeitstempel und User-ID protokolliert. Kryptografische Prüfhashes auf allen Schulungsnachweisen zur Verhinderung von Fälschungen.
• Verfügbarkeitskontrolle: Tägliche automatisierte Backups mit georedundanter Speicherung innerhalb der EU. Dokumentierte Notfall-Wiederherstellungsprozesse (Disaster Recovery RPO < 24h, RTO < 4h). USV und redundante Netzanbindung.

Anlage 2 zum AVV: Genehmigte Unterauftragsverarbeiter (Subunternehmer)

Für die Verarbeitung von Beschäftigtendaten des Kunden sind folgende Dienstleister genehmigt:

Hinweis zur Abgrenzung: Reine Zahlungs- und Buchhaltungsdienstleister der Solutiness GmbH (wie Stripe Payments Europe Ltd. oder FastBill GmbH) verarbeiten keine Mitarbeiter- oder Unterweisungsdaten des Auftraggebers und sind daher nicht Bestandteil dieses Mitarbeiter-AVV.