Auftragsverarbeitungsvertrag (AVV)

gemäß Art. 28 Abs. 3 DSGVO

Präambel

Dieser Auftragsverarbeitungsvertrag (nachfolgend „AVV") konkretisiert die datenschutzrechtlichen Rechte und Pflichten der Vertragsparteien im Zusammenhang mit der Verarbeitung personenbezogener Daten im Rahmen der Bereitstellung der Software PLANKA als Software-as-a-Service (SaaS).

Dieser AVV ist Bestandteil der Allgemeinen Geschäftsbedingungen (AGB) der PLANKA Software GmbH und wird mit Abschluss des Nutzungsvertrags wirksam. Er gilt ausschließlich für die SaaS-Version. Für die On-Premise-Version findet keine Auftragsverarbeitung durch den Anbieter statt.

§ 1 Vertragsparteien

Auftraggeber (Verantwortlicher): [Firma des Kunden] [Name] [Anschrift]

[PLZ] [Ort]

[Land] E-Mail: [E-Mail-Adresse] Telefon: [Telefon] USt-IdNr.: [USt-IdNr.] (nachfolgend „Auftraggeber")

Auftragnehmer (Auftragsverarbeiter): PLANKA Software GmbH Lindauer Str. 4 87439 Kempten, Deutschland Geschäftsführer: Lothar Hinz, N. Berglmeir Handelsregister: HRB 17740, Amtsgericht Kempten E-Mail: datenschutz@planka.group (nachfolgend „Auftragnehmer")

§ 2 Gegenstand und Dauer der Verarbeitung

2.1 Gegenstand

Der Auftragnehmer verarbeitet personenbezogene Daten im Auftrag des Auftraggebers im Rahmen der Bereitstellung der SaaS-Software PLANKA gemäß dem Nutzungsvertrag und diesen Bestimmungen.

2.2 Dauer

Dieser AVV beginnt mit dem Nutzungsvertrag und endet mit dessen Beendigung. Die Pflichten aus diesem AVV bestehen fort, solange der Auftragnehmer personenbezogene Daten des Auftraggebers verarbeitet.

§ 3 Art und Zweck der Verarbeitung

3.1 Art der Verarbeitung

Die Verarbeitung umfasst folgende Tätigkeiten:

• Speicherung und Bereitstellung von Daten auf der SaaS-Plattform
• Technische Verarbeitung zur Darstellung und Funktionserbringung der Software
• Erstellung und Wiederherstellung von Datensicherungen (Backups)
• Technische Protokollierung zum Zweck der Systemsicherheit und Fehleranalyse
• Übermittlung von Daten im Rahmen der Bereitstellung (verschlüsselte Datenübertragung)

3.2 Zweck der Verarbeitung

Die Verarbeitung erfolgt ausschließlich zum Zweck der Bereitstellung und des Betriebs der Software PLANKA für den Auftraggeber gemäß dem Nutzungsvertrag. Eine Verarbeitung zu eigenen Zwecken des Auftragnehmers findet nicht statt.

§ 4 Kategorien betroffener Personen

Die von der Verarbeitung betroffenen Personenkategorien umfassen:

• Mitarbeiter und Beschäftigte des Auftraggebers
• Externe Dienstleister und Berater des Auftraggebers
• Eingeladene Nutzer und Gastbenutzer
• Sonstige Personen, deren Daten der Auftraggeber in die Software eingibt

§ 5 Kategorien personenbezogener Daten

5.1 Kontodaten

Benutzername, E-Mail-Adresse, Vor- und Nachname (sofern angegeben), Profilbild (sofern hochgeladen), Rolle und Berechtigungen innerhalb der Instanz.

5.2 Technische Zugriffsdaten

IP-Adresse, Browser-Typ und -Version, Betriebssystem, Zeitpunkt und Dauer des Zugriffs, Referrer-URL.

5.3 Nutzungsgenerierte Daten

Von den Endbenutzern erstellte, bearbeitete oder hochgeladene Inhalte (Boards, Karten, Kommentare, Anhänge, Dateien). Art und Umfang dieser Daten werden ausschließlich vom Auftraggeber bestimmt.

5.4 Besondere Kategorien

Eine Verarbeitung besonderer Kategorien personenbezogener Daten gemäß Art. 9 DSGVO ist nicht Gegenstand dieses AVV. Sollte der Auftraggeber solche Daten in die Software eingeben, liegt dies in seiner alleinigen Verantwortung.

§ 6 Weisungsbefugnis des Auftraggebers

6.1 Weisungsgebundenheit

Der Auftragnehmer verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Auftraggebers – auch in Bezug auf die Übermittlung personenbezogener Daten an ein Drittland oder eine internationale Organisation –, sofern er nicht durch das Recht der Union oder der Mitgliedstaaten, dem er unterliegt, hierzu verpflichtet ist. In einem solchen Fall teilt der Auftragnehmer dem Auftraggeber diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht eine solche Mitteilung nicht wegen eines wichtigen öffentlichen Interesses verbietet.

6.2 Erteilung von Weisungen

Weisungen werden in der Regel durch den Nutzungsvertrag und diesen AVV erteilt. Darüber hinausgehende Einzelweisungen bedürfen der Schriftform (E-Mail genügt) und sind an datenschutz@planka.group zu richten.

6.3 Hinweispflicht

Ist der Auftragnehmer der Auffassung, dass eine Weisung des Auftraggebers gegen die DSGVO oder andere Datenschutzvorschriften verstößt, hat er den Auftraggeber unverzüglich darauf hinzuweisen. Der Auftragnehmer ist berechtigt, die Durchführung der betreffenden Weisung bis zu einer Bestätigung oder Änderung durch den Auftraggeber auszusetzen.

§ 7 Vertraulichkeit

7.1 Verpflichtung zur Vertraulichkeit

Der Auftragnehmer gewährleistet, dass die zur Verarbeitung der personenbezogenen Daten befugten Personen sich zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen.

7.2 Zugriffsbeschränkung

Der Auftragnehmer stellt sicher, dass der Zugang zu personenbezogenen Daten des Auftraggebers auf diejenigen Personen beschränkt ist, die diesen Zugang zur Erfüllung der vertraglichen Pflichten benötigen.

§ 8 Technische und organisatorische Maßnahmen

8.1 Maßnahmen gemäß Art. 32 DSGVO

Der Auftragnehmer trifft unter Berücksichtigung des Stands der Technik, der Implementierungskosten und der Art, des Umfangs, der Umstände und der Zwecke der Verarbeitung sowie der unterschiedlichen Eintrittswahrscheinlichkeit und Schwere des Risikos für die Rechte und Freiheiten natürlicher Personen geeignete technische und organisatorische Maßnahmen, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten.

8.2 Konkrete Maßnahmen

Der Auftragnehmer setzt insbesondere folgende Maßnahmen um:

Vertraulichkeit:

• Zugangs- und Zugriffskontrolle: Mehrstufige Authentifizierung für administrative Zugänge, rollenbasiertes Berechtigungsmanagement, individuelle Benutzerkonten
• Verschlüsselte Datenübertragung (TLS/SSL)
• Server-Zugang ausschließlich via SSH-Key-Authentifizierung
• Firewall und Fail2ban (nur notwendige Ports geöffnet)
• 2FA, SQL-Injection- und CSRF/XSS-Schutz
• Zugriffskontrolle und Berechtigungsmanagement
• Trennungsgebot: Logische Mandantentrennung der Kundeninstanzen, getrennte Datenbanken pro Kundeninstanz

Integrität:

• Eingabekontrolle: Protokollierung von Änderungen an personenbezogenen Daten innerhalb der Anwendung (Audit-Logs)
• Weitergabekontrolle: Verschlüsselte Übertragungswege, keine unverschlüsselte Datenübertragung

Verfügbarkeit und Belastbarkeit:

• Regelmäßige automatisierte Backups
• Redundante Infrastruktur beim Hosting-Provider
• Monitoring und Alarmierung bei Systemausfällen
• Notfallpläne zur Wiederherstellung der Verfügbarkeit

Verfahren zur regelmäßigen Überprüfung:

• Regelmäßige Überprüfung und Aktualisierung der Sicherheitsmaßnahmen
• Zeitnahe Einspielung von Sicherheitsupdates
• Regelmäßige Überprüfung der Zugangsberechtigungen

8.3 Anpassung der Maßnahmen

Der Auftragnehmer überprüft die technischen und organisatorischen Maßnahmen regelmäßig und passt sie dem aktuellen Stand der Technik an. Das Sicherheitsniveau darf hierbei nicht unterschritten werden.

§ 9 Sub-Auftragsverarbeiter

9.1 Genehmigte Sub-Auftragsverarbeiter

Der Auftraggeber erteilt dem Auftragnehmer hiermit die allgemeine schriftliche Genehmigung, weitere Auftragsverarbeiter (Sub-Auftragsverarbeiter) hinzuzuziehen, vorbehaltlich der Informationspflicht gemäß § 9.3.

Zum Zeitpunkt des Vertragsschlusses setzt der Auftragnehmer folgende Sub-Auftragsverarbeiter ein:

Angekündigte Änderung nach § 9.3: Der Auftragnehmer beabsichtigt, zusätzlich die netcup GmbH, Emmy-Noether-Straße 10, 76131 Karlsruhe, Deutschland, für Server-Hosting und Infrastruktur heranzuziehen; die Verarbeitung findet in Deutschland statt. Die Hetzner Online GmbH bleibt für einen Teil der Infrastruktur bestehen. Der Einsatz erfolgt frühestens 14 Tage nach Bekanntgabe dieser Fassung. Diese Angabe gilt als Information im Sinne des § 9.3; das Widerspruchsrecht nach § 9.4 bleibt unberührt.

9.2 Eigenverantwortliche Dritte (keine Sub-Auftragsverarbeiter)

Folgende Dritte verarbeiten Daten als eigenständig Verantwortliche und unterliegen nicht diesem AVV:

An PayPro Global werden ausschließlich abrechnungs- und lizenzierungsrelevante Daten übermittelt (z. B. Anzahl aktiver Benutzerlizenzen). Personenbezogene Daten der Endbenutzer oder inhaltliche Nutzungsdaten werden nicht an PayPro Global übermittelt.

9.3 Informationspflicht bei Änderungen

Der Auftragnehmer informiert den Auftraggeber über jede beabsichtigte Änderung in Bezug auf die Hinzuziehung oder die Ersetzung von Sub-Auftragsverarbeitern mindestens 14 Tage vor der geplanten Änderung per E-Mail an den hinterlegten Instanz-Betreiber und durch einen Hinweis auf der Website des Auftragnehmers.

9.4 Widerspruchsrecht

Der Auftraggeber kann gegen die Hinzuziehung eines neuen Sub-Auftragsverarbeiters innerhalb von 14 Tagen nach Erhalt der Information Widerspruch einlegen, sofern berechtigte datenschutzrechtliche Bedenken bestehen. Der Widerspruch bedarf der Schriftform.

Im Falle eines begründeten Widerspruchs bemüht sich der Auftragnehmer um eine für beide Seiten zumutbare Lösung. Kann keine Lösung gefunden werden und ist die Erbringung der Leistung ohne den betreffenden Sub-Auftragsverarbeiter nicht möglich, hat jede Partei das Recht, den Nutzungsvertrag zum nächstmöglichen Zeitpunkt zu kündigen.

9.5 Pflichten gegenüber Sub-Auftragsverarbeitern

Der Auftragnehmer stellt sicher, dass jedem Sub-Auftragsverarbeiter im Wege eines Vertrags oder eines anderen Rechtsinstruments nach dem Unionsrecht oder dem Recht des betreffenden Mitgliedstaats dieselben Datenschutzpflichten auferlegt werden, die in diesem AVV festgelegt sind, insbesondere die Pflicht, hinreichende Garantien dafür zu bieten, dass die geeigneten technischen und organisatorischen Maßnahmen so durchgeführt werden, dass die Verarbeitung entsprechend den Anforderungen der DSGVO erfolgt.

Kommt der Sub-Auftragsverarbeiter seinen Datenschutzpflichten nicht nach, so haftet der Auftragnehmer gegenüber dem Auftraggeber für die Einhaltung der Pflichten des Sub-Auftragsverarbeiters.

§ 10 Datenübermittlung in Drittländer

10.1 Grundsatz

Für Auftraggeber mit Sitz innerhalb der EU/des EWR werden personenbezogene Daten ausschließlich auf Servern innerhalb der Europäischen Union verarbeitet.

10.2 Nicht-EU-Kunden

Für Auftraggeber mit Sitz außerhalb der EU/des EWR kann das Hosting auch in Rechenzentren außerhalb der EU erfolgen, wenn dies dem Standort des Auftraggebers technisch oder vertraglich entspricht. In diesem Fall stellt der Auftragnehmer durch geeignete Garantien sicher, dass ein angemessenes Datenschutzniveau gewährleistet ist, insbesondere durch:

• Standardvertragsklauseln (Standard Contractual Clauses, SCC) gemäß Art. 46 Abs. 2 lit. c DSGVO in der jeweils aktuellen Fassung der Europäischen Kommission
• Angemessenheitsbeschlüsse der Europäischen Kommission gemäß Art. 45 DSGVO, sofern vorhanden
• Ergänzende Schutzmaßnahmen, soweit nach Maßgabe der EuGH-Rechtsprechung erforderlich

10.3 Transparenz

Der aktuelle Verarbeitungsort für die Instanz des Auftraggebers wird auf Anfrage mitgeteilt.

§ 11 Unterstützungspflichten

11.1 Betroffenenrechte

Der Auftragnehmer unterstützt den Auftraggeber nach Möglichkeit mit geeigneten technischen und organisatorischen Maßnahmen bei der Erfüllung seiner Pflicht zur Beantwortung von Anträgen auf Wahrnehmung der in Kapitel III DSGVO genannten Rechte der betroffenen Personen, insbesondere:

• Auskunftsrecht (Art. 15 DSGVO)
• Recht auf Berichtigung (Art. 16 DSGVO)
• Recht auf Löschung (Art. 17 DSGVO)
• Recht auf Einschränkung der Verarbeitung (Art. 18 DSGVO)
• Mitteilungspflicht (Art. 19 DSGVO)
• Recht auf Datenübertragbarkeit (Art. 20 DSGVO)
• Widerspruchsrecht (Art. 21 DSGVO)

Soweit ein Endbenutzer sich direkt an den Auftragnehmer wendet, wird der Auftragnehmer den Anfragenden an den Auftraggeber verweisen und den Auftraggeber unverzüglich informieren.

11.2 Weitere Unterstützungspflichten

Der Auftragnehmer unterstützt den Auftraggeber unter Berücksichtigung der Art der Verarbeitung und der ihm zur Verfügung stehenden Informationen bei der Einhaltung der in den Art. 32 bis 36 DSGVO genannten Pflichten, insbesondere:

• Sicherheit der Verarbeitung (Art. 32 DSGVO)
• Meldung von Verletzungen des Schutzes personenbezogener Daten an die Aufsichtsbehörde (Art. 33 DSGVO)
• Benachrichtigung der betroffenen Personen (Art. 34 DSGVO)
• Datenschutz-Folgenabschätzung (Art. 35 DSGVO)
• Vorherige Konsultation der Aufsichtsbehörde (Art. 36 DSGVO)

§ 12 Meldung von Datenschutzverletzungen

12.1 Meldepflicht

Der Auftragnehmer unterrichtet den Auftraggeber unverzüglich, nachdem ihm eine Verletzung des Schutzes personenbezogener Daten bekannt geworden ist. Die Meldung erfolgt per E-Mail an den hinterlegten Instanz-Betreiber.

12.2 Inhalt der Meldung

Die Meldung enthält mindestens:

• eine Beschreibung der Art der Verletzung des Schutzes personenbezogener Daten, soweit möglich mit Angabe der Kategorien und der ungefähren Zahl der betroffenen Personen und der betroffenen Datensätze
• den Namen und die Kontaktdaten der Anlaufstelle für weitere Informationen
• eine Beschreibung der wahrscheinlichen Folgen der Verletzung
• eine Beschreibung der ergriffenen oder vorgeschlagenen Maßnahmen zur Behebung der Verletzung und gegebenenfalls Maßnahmen zur Abmilderung ihrer möglichen nachteiligen Auswirkungen

12.3 Dokumentation

Der Auftragnehmer dokumentiert alle Verletzungen des Schutzes personenbezogener Daten einschließlich aller im Zusammenhang mit der Verletzung stehenden Fakten, ihrer Auswirkungen und der ergriffenen Abhilfemaßnahmen.

12.4 Frist

Die Erstmeldung an den Auftraggeber erfolgt so schnell wie möglich, in der Regel innerhalb von 24 Stunden nach Bekanntwerden. Soweit die vollständigen Informationen nicht zeitgleich bereitgestellt werden können, erfolgt die Information schrittweise ohne unangemessene weitere Verzögerung.

§ 13 Löschung und Rückgabe von Daten

13.1 Datenexport

Der Auftragnehmer stellt dem Auftraggeber nach Beendigung des Nutzungsvertrags auf Anfrage die personenbezogenen Daten in einem maschinenlesbaren Standardformat zur Verfügung. Die unterstützten Exportformate sind in der technischen Dokumentation auf der Website des Auftragnehmers beschrieben.

13.2 Exportfrist

Der Auftraggeber hat ab Beendigung des Nutzungsvertrags 30 Tage Zeit, den Export seiner Daten anzufordern.

13.3 Löschung

Nach Ablauf der Exportfrist oder auf ausdrückliche Weisung des Auftraggebers löscht der Auftragnehmer alle personenbezogenen Daten unwiderruflich, einschließlich aller vorhandenen Kopien, soweit nicht das Unionsrecht oder das Recht der Mitgliedstaaten eine Speicherung der personenbezogenen Daten vorschreibt.

13.4 Löschbestätigung

Der Auftragnehmer bestätigt die vollständige Löschung auf Anfrage des Auftraggebers schriftlich.

13.5 Backup-Daten

Daten in Backup-Systemen werden spätestens innerhalb von 30 Tagen nach Löschung der Produktivdaten gelöscht.

§ 14 Kontrollrechte des Auftraggebers

14.1 Nachweispflicht

Der Auftragnehmer stellt dem Auftraggeber alle erforderlichen Informationen zum Nachweis der Einhaltung der in Art. 28 DSGVO niedergelegten Pflichten zur Verfügung und ermöglicht Überprüfungen – einschließlich Inspektionen –, die vom Auftraggeber oder einem von diesem beauftragten Prüfer durchgeführt werden, und trägt zu diesen bei.

14.2 Prüfungsmodalitäten

Inspektionen vor Ort erfolgen nach Vorankündigung von mindestens 14 Tagen unter angemessener Berücksichtigung der betrieblichen Abläufe des Auftragnehmers und unter Wahrung der Vertraulichkeit gegenüber anderen Kunden. Der Auftraggeber trägt die Kosten der Prüfung, es sei denn, die Prüfung ergibt einen wesentlichen Verstoß des Auftragnehmers gegen diesen AVV.

14.3 Alternativnachweis

Der Auftragnehmer kann die Einhaltung seiner Pflichten auch durch Vorlage geeigneter Nachweise belegen, insbesondere durch:

• Aktuelle Zertifizierungen oder Prüfberichte unabhängiger Dritter (z. B. ISO 27001, SOC 2), sofern vorhanden
• Selbstauskünfte und Dokumentation der technischen und organisatorischen Maßnahmen
• Prüfberichte des Hosting-Providers

Die Vorlage solcher Nachweise ersetzt eine Vor-Ort-Inspektion, sofern der Auftraggeber keine begründeten Zweifel an der Vollständigkeit oder Richtigkeit der Nachweise vorbringt.

14.4 Häufigkeit

Der Auftraggeber darf Prüfungen höchstens einmal pro Kalenderjahr durchführen, es sei denn, es liegen konkrete Anhaltspunkte für einen Verstoß gegen diesen AVV vor.

§ 15 Haftung

Die Haftung der Parteien richtet sich nach den gesetzlichen Bestimmungen der DSGVO, insbesondere Art. 82 DSGVO, sowie nach den Haftungsbestimmungen des Nutzungsvertrags (AGB).

§ 16 Schlussbestimmungen

16.1 Vorrang

Bei Widersprüchen zwischen diesem AVV und dem Nutzungsvertrag (AGB) gehen die Bestimmungen dieses AVV in datenschutzrechtlichen Fragen vor.

16.2 Änderungen

Änderungen dieses AVV bedürfen der Schriftform. Der Auftragnehmer kann den AVV anpassen, soweit dies zur Einhaltung geänderter gesetzlicher Anforderungen erforderlich ist. Für das Änderungsverfahren gilt § 18.3 der AGB entsprechend.

16.3 Salvatorische Klausel

Sollten einzelne Bestimmungen dieses AVV unwirksam sein oder werden, berührt dies die Wirksamkeit der übrigen Bestimmungen nicht.

16.4 Anwendbares Recht und Gerichtsstand

Es gilt deutsches Recht. Der Gerichtsstand richtet sich nach den Bestimmungen des Nutzungsvertrags (AGB).

Datum des Vertragsschlusses: 21.08.2026

Auftraggeber:

[Firma des Kunden] [Name]

Auftragnehmer:

PLANKA Software GmbH Lindauer Str. 4 87439 Kempten, Deutschland

Hinweis: Platzhalter ({{...}}), die bei Vertragsschluss nicht befüllt werden, entfallen ersatzlos.

Anlage 1: Aktuelle Liste der Sub-Auftragsverarbeiter

(Stand: 21. August 2026)

Änderungen an dieser Liste werden gemäß § 9.3 dieses AVV kommuniziert.