Auftragsverarbeitungsvertrag (AVV)

1. Gegenstand und Dauer der Verarbeitung

Gegenstand ist die Bereitstellung der SaaS-Plattform pgday.app (Sales-Gamification: Lead-Erfassung, Events, Auswertungen). Die Dauer entspricht der Laufzeit des Nutzungsvertrags. Nach Vertragsende werden personenbezogene Daten gemäß Ziffer 7 gelöscht.

2. Art, Zweck und Kategorien

Art und Zweck: Speicherung, Organisation und Auswertung von Lead- und Nutzungsdaten zur Vertriebs-Gamification im Auftrag des Kunden.

Kategorien betroffener Personen: Mitarbeitende des Kunden (Nutzerkonten), vom Kunden erfasste Kontakte/Leads, Teilnehmende öffentlicher Event-Anmeldungen.

Datenkategorien: Stammdaten (Name, E-Mail), Kontaktdaten von Leads (Name, E-Mail, Telefon, Firma, Notizen), Nutzungs- und Aktivitätsdaten (Punkte, Events), technische Daten (IP, Zugriffszeiten).

3. Weisungsrecht

Der Anbieter verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Kunden — regelmäßig abschließend definiert durch die Funktionen der Plattform und diesen Vertrag. Hält der Anbieter eine Weisung für rechtswidrig, informiert er den Kunden unverzüglich.

4. Vertraulichkeit und technisch-organisatorische Maßnahmen (TOM)

Zur Verarbeitung befugte Personen sind zur Vertraulichkeit verpflichtet. Der Anbieter trifft geeignete Maßnahmen nach Art. 32 DSGVO, insbesondere: strikte Mandantentrennung (Multi-Tenant-Architektur mit Row Level Security auf Datenbankebene), TLS-Verschlüsselung sämtlicher Übertragungen, Verschlüsselung ruhender Daten beim Datenbank-Anbieter, rollenbasierte Zugriffskontrolle, automatische Löschung eventbezogener Lead-Daten 30 Tage nach Event-Ende, Audit-Protokollierung sicherheitsrelevanter Vorgänge.

5. Unterauftragsverarbeiter

Der Kunde genehmigt die unten aufgeführten Unterauftragsverarbeiter. Über beabsichtigte Änderungen informiert der Anbieter vorab in Textform (z. B. per E-Mail oder Änderung dieser Seite); der Kunde kann aus wichtigem Grund widersprechen. Bei Übermittlungen in Drittländer bestehen geeignete Garantien (EU-Standardvertragsklauseln, ggf. EU-US Data Privacy Framework).

6. Unterstützung und Meldepflichten

Der Anbieter unterstützt den Kunden bei der Erfüllung von Betroffenenrechten (Art. 12–23 DSGVO) — u. a. durch Self-Service-Funktionen für Datenexport und Kontolöschung — sowie bei den Pflichten aus Art. 32–36 DSGVO. Verletzungen des Schutzes personenbezogener Daten meldet der Anbieter dem Kunden unverzüglich, spätestens innerhalb von 48 Stunden nach Kenntnis.

7. Löschung und Rückgabe

Nach Vertragsende kann der Kunde seine Daten 30 Tage lang exportieren (CSV/JSON). Anschließend löscht der Anbieter alle personenbezogenen Daten des Kunden, soweit keine gesetzlichen Aufbewahrungspflichten bestehen (z. B. Rechnungsdaten gemäß §§ 147 AO, 257 HGB).

8. Nachweis und Kontrollrechte

Der Anbieter stellt dem Kunden alle erforderlichen Informationen zum Nachweis der Pflichten aus Art. 28 DSGVO zur Verfügung. Kontrollen erfolgen vorrangig durch Auskünfte und aktuelle Testate/Zertifikate der Unterauftragsverarbeiter (z. B. SOC 2 / ISO 27001 von Supabase, Vercel, Stripe). Vor-Ort-Kontrollen sind nach angemessener Ankündigung während üblicher Geschäftszeiten möglich.