Vertrag zur Auftragsverarbeitung (AVV)

Version 1.2 | Stand: Februar 2026

1. Gegenstand und Dauer der Vereinbarung

Dieser Vertrag regelt die Rechte und Pflichten der Parteien im Rahmen der Verarbeitung personenbezogener Daten durch die PF IT Consult GmbH (Auftragsverarbeiter) im Auftrag des Kunden (Verantwortlicher). Er gilt für die Nutzung der Cloud- und Synchronisationsdienste der HITS-App-Serie (Inventarmanager, Wartungsmanager). Die Laufzeit entspricht der Dauer des Nutzungsverhältnisses. Dieser Vertrag gilt ergänzend zu den jeweils gültigen Nutzungsbedingungen / AGB der PF IT Consult GmbH.

2. Art und Zweck der Verarbeitung

Zweck der Verarbeitung ist die Bereitstellung einer App-basierten Softwarelösung zur Inventar- und Wartungsverwaltung.

• Datenkategorien: Stammdaten (Name, E-Mail), Inventardaten, Protokolldaten.
• Betroffene Personen: Mitarbeiter, Kunden oder Mandanten des Verantwortlichen.

3. Ort der Verarbeitung & Hosting

Die PF IT Consult GmbH betreibt eine eigene Server-Infrastruktur am Standort Brandenburg an der Havel. Die Datenspeicherung erfolgt ausschließlich in Deutschland.

4. Technische und Organisatorische Maßnahmen (TOM)

Der Auftragsverarbeiter setzt ein Sicherheitskonzept gemäß BSI IT-Grundschutz++ um (entspricht den Anforderungen der NIS2-Richtlinie). Details umfassen:

• Vertraulichkeit: TLS 1.3 Verschlüsselung, Rollenkonzepte, Passwort-Hashing.
• Integrität & Verfügbarkeit: Monitoring via CheckMK, georedundante Backups, USV-Schutz.
• Physische Sicherheit: Alarmgesicherter Serverraum im eigenen Firmengebäude.

5. Unterauftragsverhältnisse & Drittlandtransfer

Der Kunde stimmt dem Einsatz folgender Subunternehmer zu:

1. Google (Firebase): Ausschließlich für Push-Dienste und Crash-Reporting. Sofern hierbei personenbezogene Daten betroffen sind, erfolgt die Übermittlung auf Grundlage von EU-Standardvertragsklauseln sowie dem EU-U.S. Data Privacy Framework.
2. Apple/Google: Zur Abwicklung der App-Distribution und In-App-Käufe.

6. Pflichten und Unterstützung des Auftragsverarbeiters

• Weisungsrecht: Die Verarbeitung erfolgt ausschließlich auf dokumentierte Weisung des Verantwortlichen. Hält der Auftragsverarbeiter eine Weisung für rechtswidrig, informiert er den Verantwortlichen unverzüglich. Eine Verarbeitung zu eigenen Zwecken des Auftragsverarbeiters findet nicht statt.
• Betroffenenrechte: Der Auftragsverarbeiter unterstützt den Verantwortlichen bei der Erfüllung von Rechten betroffener Personen (Art. 12–22 DSGVO).
• Sicherheit & NIS2: Unterstützung bei der Meldung von Verletzungen und bei Datenschutz-Folgenabschätzungen.

7. Kontroll- und Auditrechte

Der Verantwortliche ist berechtigt, die Einhaltung dieses Vertrags nach angemessener Vorankündigung zu den üblichen Geschäftszeiten zu überprüfen oder durch einen zur Verschwiegenheit verpflichteten Prüfer kontrollieren zu lassen. Der Auftragsverarbeiter stellt hierfür notwendige Informationen bereit.

8. Rückgabe und Löschung von Daten

Nach Beendigung des Vertrages löscht der Auftragsverarbeiter die Daten oder gibt sie auf Weisung des Verantwortlichen in einem gängigen maschinenlesbaren Format zurück, sofern keine gesetzlichen Aufbewahrungspflichten bestehen.

9. Kontakt für Datenschutzanliegen

Zentrale Anlaufstelle für Weisungen und Vorfälle: datenschutz@pfitconsult.de