Auftragsverarbeitungsvertrag (AVV)

1. Gegenstand und Dauer des Auftrags

Der Auftragsverarbeiter übernimmt für den Verantwortlichen das Hosting und die Bereitstellung der SaaS-Lösung "Simetic WorkBase". Die Dauer dieses Vertrages richtet sich nach der Laufzeit des Hauptvertrages (Nutzung der Software).

2. Art und Zweck der Verarbeitung, Art der Daten und Betroffene

Art und Zweck: Speicherung, Hosting, Bereitstellung und Sicherung von Geschäftsdaten in der Cloud-Umgebung des Auftragsverarbeiters.

Art der Daten: Personenstammdaten (Kunden, Mitarbeiter), Kommunikationsdaten, Vertragsdaten, Arbeitszeiten, Schichtpläne und System-Protokolle.

Kategorien betroffener Personen: Mitarbeiter, Lieferanten und Kunden des Verantwortlichen.

3. Technische und organisatorische Maßnahmen (TOMs)

Der Auftragsverarbeiter sichert die Umsetzung folgender IT-Sicherheitsmaßnahmen zu:

• Mandantentrennung (Isolierung): Jeder Verantwortliche erhält auf den Servern eine strikt getrennte, isolierte Datenbank (MySQL/MariaDB) sowie eine eigene Subdomain. Ein Datenabfluss zwischen verschiedenen Kunden ist architektonisch ausgeschlossen.
• Zutrittskontrolle: Die Serverstruktur wird in einem hochsicheren, ISO 27001-zertifizierten Rechenzentrum in Deutschland (BeroHost) betrieben.
• Zugangskontrolle: Der Zugang zu den Server-Infrastrukturen (HestiaCP / SSH) erfolgt ausschließlich durch autorisiertes Personal des Auftragsverarbeiters, gesichert durch kryptografische Schlüssel und restriktive Firewalls.
• Weitergabekontrolle: Jegliche Datenübertragung zwischen dem Endgerät des Nutzers und dem Server erfolgt zwingend verschlüsselt (SSL/TLS).
• Verfügbarkeitskontrolle: Es werden regelmäßige, verschlüsselte System-Backups auf getrennten Storage-Systemen erstellt, um Daten gegen versehentliche Zerstörung oder Verlust zu schützen.

4. Unterauftragsverhältnisse (Subunternehmer)

Der Auftragsverarbeiter bedient sich zur Erbringung der Dienstleistung der folgenden Subunternehmer. Der Verantwortliche stimmt deren Einsatz zu:

Unternehmen	Dienstleistung	Serverstandort
BeroHost GmbH	Bereitstellung der Root-Server und Infrastruktur	Deutschland
Hetzner Online GmbH	Bereitstellung von Storage-Infrastruktur für Off-Site-Backups	Deutschland

5. Rechte und Pflichten des Verantwortlichen

Für die Beurteilung der Zulässigkeit der Datenverarbeitung bleibt allein der Verantwortliche zuständig. Er ist berechtigt, nach vorheriger Terminabsprache, die Einhaltung der technischen und organisatorischen Maßnahmen beim Auftragsverarbeiter zu kontrollieren.

6. Löschung und Rückgabe von Daten

Kündigt der Verantwortliche seinen Account oder wird dieser unwiderruflich gelöscht, vernichtet der Auftragsverarbeiter alle technischen Systeme und Datenbanken des Verantwortlichen rückstandslos (inklusive aller Backups). Vor der Löschung obliegt es dem Verantwortlichen, seine Daten eigenständig aus dem System zu exportieren.
Ausnahme: Davon unberührt bleibt die gesetzliche Aufbewahrungspflicht des Auftragsverarbeiters (nach HGB und AO/GoBD), kaufmännische Vertrags- und Rechnungsdaten in einem sicheren Archiv (Steuer-Tresor) zu Zwecken der Steuerprüfung aufzubewahren.