Auftragsverarbeitungsvereinbarung (AVV / DPA)

nach Art. 28 DSGVO · Anlage 1 zur Nutzungsvereinbarung

Version 1.1.0 · gültig ab 19.05.2026

§ 1 Gegenstand und Dauer der Verarbeitung

(1) Diese Vereinbarung regelt die Verarbeitung personenbezogener Daten durch die P&P Unternehmensgruppe Marco Pavlov Pereira („Auftragsverarbeiter") im Auftrag der jeweiligen Käufer-Organisation („Verantwortlicher") im Rahmen der Nutzung des Lieferantenportals.

(2) Die Vereinbarung gilt für die Dauer des Hauptvertrags (Nutzungsvereinbarung) und endet automatisch mit dessen Beendigung.

§ 2 Art und Zweck der Verarbeitung

(1) Der Auftragsverarbeiter verarbeitet die im Folgenden genannten Daten ausschließlich zu folgenden Zwecken:

• Onboarding und Stammdatenpflege von Lieferanten,
• Abwicklung von Anfragen (RFQ), Angeboten, Bestellungen,
• Dokumentenmanagement (Materialzeugnisse, Konformitätserklärungen, EMPB),
• Auditprotokollierung sicherheitskritischer Änderungen (z. B. IBAN-Änderungen),
• Bereitstellung der zugehörigen Plattform-Infrastruktur.

(2) Eine Verarbeitung für eigene Zwecke des Auftragsverarbeiters, insbesondere zum Training künstlicher Intelligenz, ist ausgeschlossen.

§ 3 Datenkategorien und Betroffenenkategorien

(1) Datenkategorien:

• Stammdaten: Firmenname, Anschrift, USt-IdNr., HRB-Nummer, GLN, DUNS;
• Kontaktdaten von Mitarbeitern: Name, Funktion, E-Mail, Telefon, Mobil;
• Bankverbindung: IBAN, BIC, Kontoinhaber;
• Vertragsdaten: Bestellungen, Angebote, Preise;
• Zertifikate: ISO 9001, IATF, EMPB-Daten;
• Auditprotokoll-Daten: Zeitstempel, Nutzer-ID, geänderte Felder.

(2) Betroffenenkategorien:

• Mitarbeiter und Vertretungsberechtigte der Lieferanten,
• Mitarbeiter und Vertretungsberechtigte des Verantwortlichen.

§ 4 Pflichten des Auftragsverarbeiters

Der Auftragsverarbeiter wird:

(1) Personenbezogene Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen verarbeiten (Art. 28 Abs. 3 lit. a DSGVO). Die Nutzung der Plattform-Funktionen entsprechend der Konfiguration des Verantwortlichen gilt als dokumentierte Weisung.

(2) Sicherstellen, dass die zur Verarbeitung befugten Personen sich zur Vertraulichkeit verpflichtet haben (Art. 28 Abs. 3 lit. b DSGVO).

(3) Die nach Art. 32 DSGVO erforderlichen technischen und organisatorischen Maßnahmen (TOMs) treffen. Eine aktuelle Beschreibung der TOMs ist als Anlage 2 beigefügt; die Liste wird laufend aktualisiert und ist mindestens jährlich zu überprüfen.

(4) Den Verantwortlichen bei der Erfüllung der Betroffenenrechte (Art. 12–23 DSGVO) unterstützen, insbesondere durch Bereitstellung technischer Funktionen für Auskunft, Berichtigung, Löschung, Einschränkung und Datenübertragbarkeit.

(5) Den Verantwortlichen bei der Einhaltung der Pflichten aus Art. 32–36 DSGVO unterstützen, insbesondere bei der Datenschutz-Folgenabschätzung (DSFA) und der vorherigen Konsultation der Aufsichtsbehörde.

(6) Personenbezogene Daten nach Beendigung der Erbringung der Verarbeitungsleistungen je nach Wahl des Verantwortlichen entweder löschen oder zurückgeben und vorhandene Kopien löschen, sofern nicht eine gesetzliche Aufbewahrungspflicht entgegensteht (Art. 28 Abs. 3 lit. g DSGVO).

(7) Dem Verantwortlichen alle erforderlichen Informationen zum Nachweis der Einhaltung der Pflichten aus Art. 28 zur Verfügung stellen sowie Audits ermöglichen (Art. 28 Abs. 3 lit. h DSGVO). Audits können durch den Verantwortlichen oder einen von diesem beauftragten unabhängigen Prüfer durchgeführt werden, mit einer Vorlauffrist von 30 Tagen, höchstens einmal pro Kalenderjahr (außer bei begründetem Anlass).

(8) Den Verantwortlichen unverzüglich, spätestens innerhalb von 24 Stunden nach Kenntnisnahme, über jede Verletzung des Schutzes personenbezogener Daten informieren (Art. 33 DSGVO). Die Meldung enthält die Angaben nach Art. 33 Abs. 3 DSGVO, soweit sie zu diesem Zeitpunkt verfügbar sind.

(9) Ein Verzeichnis von Verarbeitungstätigkeiten nach Art. 30 Abs. 2 DSGVO führen und auf Anfrage des Verantwortlichen oder der Aufsichtsbehörde offenlegen.

§ 5 Pflichten des Verantwortlichen

(1) Der Verantwortliche ist für die Rechtmäßigkeit der Datenverarbeitung gegenüber den Betroffenen alleinverantwortlich (Art. 24 DSGVO).

(2) Der Verantwortliche stellt sicher, dass eine Rechtsgrundlage im Sinne des Art. 6 DSGVO für jede an den Auftragsverarbeiter übermittelte Verarbeitung vorliegt.

(3) Der Verantwortliche informiert die Betroffenen nach Art. 13/14 DSGVO über die Verarbeitung im Lieferantenportal.

§ 6 Sub-Auftragsverarbeiter

(1) Der Auftragsverarbeiter darf weitere Auftragsverarbeiter (Sub-Auftragsverarbeiter) nur mit allgemeiner Genehmigung des Verantwortlichen einsetzen (Art. 28 Abs. 2 DSGVO).

(2) Die jeweils aktuelle Liste der Sub-Auftragsverarbeiter ist als Anlage 3 beigefügt und gilt insoweit als allgemein genehmigt.

(3) Der Auftragsverarbeiter informiert den Verantwortlichen über beabsichtigte Änderungen mit einer Vorankündigung von mindestens 30 Tagen. Der Verantwortliche kann der Änderung innerhalb dieser Frist aus berechtigtem Grund widersprechen; in diesem Fall ist der Auftragsverarbeiter berechtigt, die Vereinbarung außerordentlich zu kündigen.

(4) Der Auftragsverarbeiter überträgt die ihm in dieser Vereinbarung obliegenden Pflichten gleichwertig auf jeden Sub-Auftragsverarbeiter (Art. 28 Abs. 4 DSGVO).

§ 7 Internationale Übermittlungen

(1) Die Verarbeitung personenbezogener Daten erfolgt innerhalb der Europäischen Union (Region Frankfurt; Subverarbeiter siehe Anlage 3).

(2) Soweit eine Übermittlung in ein Drittland erforderlich werden sollte, erfolgt diese nur auf Grundlage einer der Garantien nach Art. 46 DSGVO (insbesondere Standardvertragsklauseln 2021/914 und einer Transfer-Folgenabschätzung [TIA]).

(3) Eine Übermittlung an Behörden eines Drittstaates ohne Rechtshilfeabkommen erfolgt nur, wenn der Auftragsverarbeiter dazu rechtlich verpflichtet ist; in diesem Fall informiert er den Verantwortlichen unverzüglich, soweit gesetzlich zulässig.

§ 8 Anlagen

• Anlage 2: Technische und organisatorische Maßnahmen (TOMs)
• Anlage 3: Liste der Sub-Auftragsverarbeiter
• Anlage 4: Transfer-Folgenabschätzung (TIA), auf Anfrage einsehbar

§ 9 Verhältnis zur Nutzungsvereinbarung

Bei Widersprüchen zwischen dieser AVV und der Nutzungsvereinbarung gelten die Regelungen dieser AVV vorrangig, soweit Gegenstand die Verarbeitung personenbezogener Daten ist.

§ 10 Schlussbestimmungen

(1) Auf diese Vereinbarung findet deutsches Recht Anwendung.

(2) Ausschließlicher Gerichtsstand ist der Sitz des Auftragsverarbeiters.

(3) Bei Widersprüchen mit fremdsprachigen Fassungen ist die deutsche Sprachfassung verbindlich.