Auftragsverarbeitungsvertrag (AVV)

Diese Vereinbarung zur Auftragsverarbeitung gemäß Art. 28 DSGVO (nachfolgend „AVV“) wird geschlossen zwischen dem Betrieb, der die Software Wachwerk nutzt (nachfolgend „Verantwortlicher“), und dem Anbieter der Software (nachfolgend „Auftragsverarbeiter“, Kontaktdaten siehe Impressum).

Der AVV wird bei der Registrierung elektronisch akzeptiert (Art. 28 Abs. 9 DSGVO lässt das elektronische Format ausdrücklich zu); Zeitpunkt und Versionsstand der Zustimmung werden gespeichert. Er ist Bestandteil des Nutzungsvertrags und gilt für dessen gesamte Laufzeit.

Der Auftragsverarbeiter stellt eine Software zur Organisation von Sicherheitsdienstleistungen bereit (Dienstplanung, Wachbuch, Vorfalldokumentation, Kontrollgänge, Abrechnung, Lohnvorbereitung u. a.). Dabei verarbeitet er personenbezogene Daten ausschließlich im Auftrag und nach Weisung des Verantwortlichen. Die Dauer entspricht der Laufzeit des Nutzungsvertrags.

Zweck ist der Betrieb der Software für den Verantwortlichen. Verarbeitet werden insbesondere:

• Stammdaten der Mitarbeiter (Name, Kontaktdaten, Rolle, Qualifikationen einschließlich Nachweisen nach § 34a GewO und Bewacherregister-ID)
• Schicht- und Einsatzdaten (Dienstpläne, Zuweisungen, Check-ins an Kontrollpunkten, Zeiterfassung, Lohn-relevante Daten)
• Standortdaten — ausschließlich während einer laufenden Schicht, technisch auf genau einen aktuellen Standort je Person begrenzt und nach Schichtende gelöscht; ohne laufende Schicht wird kein Standort angenommen
• Revisionssichere Dokumentation (Wachbuch-Einträge, Vorfallberichte samt Anhängen), die Personenbezug enthalten kann — auch zu Dritten
• Kunden- und Objektdaten des Verantwortlichen sowie Abrechnungsdaten
• Freitexte mit möglichem Personenbezug (z. B. Verläufe des KI-Assistenten)

Betroffene sind Mitarbeiter und Subunternehmer des Verantwortlichen, dessen Kunden und Ansprechpartner sowie Dritte, die in Wachbuch- oder Vorfalldokumentationen erwähnt werden.

Der Auftragsverarbeiter verarbeitet die Daten ausschließlich im Rahmen der Vereinbarung und der dokumentierten Weisungen des Verantwortlichen (Art. 28 Abs. 3 lit. a DSGVO). Die Nutzung der Softwarefunktionen durch den Verantwortlichen gilt als Weisung. Hält der Auftragsverarbeiter eine Weisung für rechtswidrig, informiert er den Verantwortlichen unverzüglich.

Alle mit der Verarbeitung befassten Personen sind zur Vertraulichkeit verpflichtet (Art. 28 Abs. 3 lit. b DSGVO). Die Verpflichtung besteht über das Ende der Tätigkeit hinaus fort.

Der Auftragsverarbeiter trifft insbesondere folgende Maßnahmen:

• Mandantentrennung auf Datenebene: jeder Zugriff ist an den Betrieb gebunden
• Transportverschlüsselung (TLS) für sämtliche Verbindungen; Passwörter nur als bcrypt-Hash
• Rollenbasierte Zugriffskontrolle mit serverseitiger Durchsetzung
• Revisionssichere, manipulationserkennende Verkettung der Dokumentation (Hash-Kette)
• Protokollierung von Änderungen (Audit-Log) einschließlich Zugriffen auf Standortdaten
• Datensparsamkeit durch Systemgestaltung (z. B. keine Standort-Historie, automatisierte Löschfristen)
• Hosting in der EU; verschlüsselte Ablage besonders sensibler Konfigurationswerte

Die Maßnahmen werden dem Stand der Technik entsprechend fortgeschrieben; ein Absenken des Schutzniveaus ist ausgeschlossen.

Der Verantwortliche erteilt die allgemeine Genehmigung (Art. 28 Abs. 2 DSGVO) zum Einsatz der in der Datenschutzerklärung aufgeführten Unterauftragsverarbeiter, derzeit aus den Kategorien: Hosting und Datenbank (EU), Content-Delivery-Network, Datei-Speicher für Anhänge, Zahlungsabwicklung, E-Mail-Versand, Push-Benachrichtigungsdienste der Geräteplattformen sowie KI-Dienste (nur für die vom Verantwortlichen aktiv genutzten KI-Funktionen). Mit allen Unterauftragsverarbeitern bestehen Verträge nach Art. 28 DSGVO.

Über beabsichtigte Änderungen informiert der Auftragsverarbeiter vorab in Textform; der Verantwortliche kann aus wichtigem datenschutzrechtlichem Grund widersprechen. Bei Verarbeitung außerhalb der EU/des EWR werden geeignete Garantien nach Kapitel V DSGVO (insbesondere Standardvertragsklauseln) sichergestellt.

Der Auftragsverarbeiter unterstützt den Verantwortlichen mit geeigneten technischen und organisatorischen Maßnahmen bei der Erfüllung von Betroffenenrechten (Art. 12–23 DSGVO) — die Software stellt hierfür integrierte Werkzeuge bereit (Datenauskunft, Anonymisierung) — sowie bei den Pflichten aus Art. 32–36 DSGVO (Sicherheit, Meldung von Verletzungen, Datenschutz-Folgenabschätzung).

Der Auftragsverarbeiter meldet dem Verantwortlichen Verletzungen des Schutzes personenbezogener Daten unverzüglich nach Bekanntwerden (Art. 33 Abs. 2 DSGVO) und stellt die für die Meldung an die Aufsichtsbehörde erforderlichen Informationen bereit.

Nach Ende des Nutzungsvertrags werden alle personenbezogenen Daten nach Wahl des Verantwortlichen zurückgegeben oder gelöscht, soweit keine gesetzliche Aufbewahrungspflicht besteht (z. B. handels- und steuerrechtliche Fristen, Beweissicherung der revisionssicheren Dokumentation). Details regelt die Seite „Konto und Daten löschen“.

Der Auftragsverarbeiter stellt dem Verantwortlichen alle erforderlichen Informationen zum Nachweis der Einhaltung der Pflichten aus Art. 28 DSGVO zur Verfügung und ermöglicht Überprüfungen (Art. 28 Abs. 3 lit. h DSGVO) — vorrangig durch aussagekräftige Dokumentation; Vor-Ort-Kontrollen nach angemessener Ankündigung.

Es gilt deutsches Recht. Sollten einzelne Bestimmungen unwirksam sein, bleibt die Wirksamkeit im Übrigen unberührt. Bei Widersprüchen zwischen diesem AVV und dem Nutzungsvertrag geht in datenschutzrechtlichen Fragen der AVV vor.

Version 1.0 — Stand: 26. Juli 2026