Auftragsverarbeitungsvertrag (AVV)

gemäß Art. 28 DSGVO · Stand: 07/2026

zwischen dem Verantwortlichen (das die Plattform nutzende Unternehmen, nachfolgend „Auftraggeber") und dem Auftragsverarbeiter Patrick Knebelkamp, Konrad-Zuse-Str. 6, 46397 Bocholt (Safunity, nachfolgend „Auftragnehmer").

§ 1 Gegenstand und Dauer

Gegenstand ist die Verarbeitung personenbezogener Daten durch den Auftragnehmer im Auftrag des Auftraggebers im Rahmen der Nutzung der Plattform Safunity. Die Dauer entspricht der Laufzeit des Nutzungsverhältnisses.

§ 2 Art, Zweck und betroffene Personen

Art/Zweck: Speicherung und Verarbeitung von Arbeitsschutz-Daten (Verwaltung von Beschäftigten, Unterweisungsnachweisen, Verbandbuch, arbeitsmedizinischer Vorsorge, Prüfmitteln, Gefährdungsbeurteilungen u. a.).
Betroffene: Beschäftigte und ggf. weitere Personen des Auftraggebers.
Datenarten: Stammdaten (Name, Personalnummer, E-Mail, Abteilung), Nachweis-/ Nutzungsdaten sowie – soweit vom Auftraggeber eingegeben – besondere Kategorien nach Art. 9 DSGVO (Gesundheitsdaten) im Verbandbuch und in der Vorsorgekartei.

§ 3 Weisungsbindung

Der Auftragnehmer verarbeitet die Daten ausschließlich im Rahmen der getroffenen Vereinbarungen und nach dokumentierten Weisungen des Auftraggebers. Er informiert den Auftraggeber, wenn er eine Weisung für rechtswidrig hält.

§ 4 Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

Der Auftragnehmer gewährleistet geeignete TOM, insbesondere: verschlüsselte Übertragung (TLS), Passwort-Hashing, rollen- und rechtebasierte Zugriffskontrolle, Beschränkung des Zugriffs auf Gesundheitsdaten auf ausdrücklich berechtigte Personen, Protokollierung von Zugriffen und Änderungen (Audit-Log), Schutz vor unbefugtem Zugriff sowie regelmäßige Aktualisierung sicherheitsrelevanter Komponenten. Optional steht eine Zwei-Faktor-Authentifizierung zur Verfügung.

§ 5 Unterauftragsverhältnisse

Der Auftraggeber gestattet den Einsatz folgender Unterauftragnehmer: Hosting-Provider (Serverbetrieb), Stripe (Zahlungsabwicklung), OpenAI (nur bei aktivierter KI-Funktion) sowie ein Dienst zum E-Mail-Versand. Der Auftragnehmer stellt sicher, dass mit diesen entsprechende Verpflichtungen bestehen. Änderungen werden dem Auftraggeber mitgeteilt.

§ 6 Unterstützungspflichten

Der Auftragnehmer unterstützt den Auftraggeber im Rahmen des Möglichen bei der Erfüllung von Betroffenenrechten (Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit) sowie bei Datenschutz-Folgenabschätzungen und der Meldung von Datenschutzverletzungen (unverzügliche Information).

§ 7 Löschung und Rückgabe

Nach Beendigung des Auftrags werden die Daten nach Wahl des Auftraggebers zurückgegeben oder gelöscht, soweit keine gesetzlichen Aufbewahrungspflichten (z. B. § 24 DGUV Vorschrift 1 für Verbandbücher) entgegenstehen.

§ 8 Nachweise und Kontrolle

Der Auftragnehmer stellt dem Auftraggeber die zum Nachweis der Einhaltung erforderlichen Informationen zur Verfügung und ermöglicht Überprüfungen in angemessenem Rahmen.

Diese AVV-Vorlage kann auf Anfrage (info@safunity.de) als gegengezeichnetes Dokument bereitgestellt werden. Sie ersetzt keine Rechtsberatung und sollte vor dem Live-Betrieb anwaltlich geprüft werden.