Vertrag zur Auftragsverarbeitung (AVV)

Gemäß Art. 28 Datenschutz-Grundverordnung (DSGVO) • Stand: März 2026

Präambel: Dieser Vertrag regelt die Rechte und Pflichten der Parteien im Rahmen der Verarbeitung personenbezogener Daten durch IT-MeyCore (Inhaber: Kartal Meyer, Produkt: PfandPilot) als Auftragsverarbeiter für den Kunden als Verantwortlichen bei der Bereitstellung der SaaS-Software.

1. Gegenstand und Dauer der Vereinbarung

1.1. Der Auftragsverarbeiter erbringt für den Verantwortlichen Leistungen gemäß dem zugrundeliegenden Hauptvertrag (AGB). Gegenstand dieses Vertrages ist die Durchführung der in der Leistungsbeschreibung genannten SaaS-Dienste für das Leergut-Management.

1.2. Die Laufzeit dieses Vertrages richtet sich nach der Laufzeit des Hauptvertrages. Er endet automatisch mit der Beendigung des Hauptvertrages.

2. Art und Zweck der Datenverarbeitung

2.1. Die Verarbeitung personenbezogener Daten erfolgt ausschließlich zur Bereitstellung, Wartung, Absicherung und Abrechnung der PfandPilot Leergut-Management-Plattform.

2.2. Kategorien betroffener Personen: Beschäftigte, Mitarbeiter und Bevollmächtigte des Verantwortlichen (Marktleitung, Kassenpersonal, Hof- und Lagermitarbeiter).

2.3. Arten personenbezogener Daten:

Benutzernamen, Vor- und Nachname
Geschäftliche Kontaktdaten (E-Mail-Adresse)
Authentifizierungsdaten (Bcrypt-Passworthashes, Scanner-PINs)
System- und Nutzungsprotokolle (Zeitstempel von Kistenbuchungen und Inventuren, IP-Adressen)

3. Pflichten des Auftragsverarbeiters

Der Auftragsverarbeiter verpflichtet sich:

personenbezogene Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen zu verarbeiten (Art. 28 Abs. 3 lit. a DSGVO);
sicherzustellen, dass sich die zur Verarbeitung der personenbezogenen Daten befugten Personen zur Vertraulichkeit verpflichtet haben (Art. 28 Abs. 3 lit. b DSGVO);
alle nach Art. 32 DSGVO erforderlichen technischen und organisatorischen Maßnahmen (TOM) zu ergreifen;
den Verantwortlichen bei Anfragen betroffener Personen nach Kapitel III DSGVO sowie bei der Einhaltung der Pflichten nach den Art. 32 bis 36 DSGVO zu unterstützen;
nach Beendigung der Leistungserbringung alle personenbezogenen Daten nach Wahl des Verantwortlichen entweder zu löschen oder zurückzugeben, sofern keine gesetzliche Aufbewahrungspflicht besteht.

4. Technische und Organisatorische Maßnahmen (TOM) nach Art. 32 DSGVO

Der Auftragsverarbeiter gewährleistet ein dem Risiko angemessenes Schutzniveau durch folgende Maßnahmen:

Kontrollbereich	Umgesetzte Maßnahmen bei PfandPilot
Zutrittskontrolle	Hosting in ISO 27001 zertifizierten Hochsicherheitsrechenzentren (Hetzner Online GmbH, Deutschland) mit Videoüberwachung und 2-Faktor-Zutrittskontrolle.
Zugangskontrolle	SSH-Key-basierter Serverzugriff, Firewalls, DDoS-Schutz, Deaktivierung von Root-Passwörtern.
Zugriffskontrolle	Rollen- und Rechtemodell (Admin vs. Mitarbeiter vs. Scanner-Zähler), Bcrypt-Passwort-Hashing, sitzungsbasierte Authentifizierung mit CSRF-Schutz.
Trennungskontrolle	Multi-Tenancy Architektur mit strikt isolierten Datenbanken pro Mandant (Database-per-Tenant). Daten verschiedener Märkte sind physikalisch getrennt.
Übertragungskontrolle	Vollständige 256-Bit SSL/TLS-Transportverschlüsselung (HTTPS) mit HSTS. Lokale Barcode-Verarbeitung im Browser ohne Video-Streaming.
Verfügbarkeitskontrolle	Tägliche automatisierte, verschlüsselte Datenbank-Backups mit getrennter geografischer Aufbewahrung, USV-gesicherte Serverinfrastruktur.

5. Genehmigte Unterauftragsverarbeiter

Der Verantwortliche stimmt der Beauftragung folgender Unterauftragsverarbeiter zu:

Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, Deutschland
Zweck: Cloud-Infrastruktur, Web- und Datenbank-Hosting in Deutschland (ISO 27001 zertifiziert).
Stripe Payments Europe, Ltd., 1 Grand Canal Street Lower, Dublin, Irland
Zweck: Abwicklung von Abonnements, Rechnungsstellung und Zahlungen (PCI-DSS Level 1 zertifiziert).

Der Auftragsverarbeiter informiert den Verantwortlichen über jede beabsichtigte Änderung in Bezug auf die Hinzuziehung oder die Ersetzung weiterer Unterauftragsverarbeiter mit einer Frist von mindestens 14 Tagen vorab.

6. Kontrollrechte des Verantwortlichen

Der Verantwortliche ist berechtigt, die Einhaltung der technischen und organisatorischen Maßnahmen vor Beginn der Verarbeitung und sodann regelmäßig im angemessenen Umfang selbst oder durch einen qualifizierten Prüfer zu überprüfen.

7. Schlussbestimmungen

Sollten einzelne Bestimmungen dieser Vereinbarung unwirksam sein oder werden, berührt dies die Wirksamkeit der übrigen Bestimmungen nicht. Es gilt deutsches Recht.