AVV / DPA

Stand: 2026-09-16

Dieser AVV gilt zwischen dem jeweiligen Kunden als Verantwortlichem und Davis Gabriels Kalnozols, handelnd unter der Geschäftsbezeichnung „savien“, Meierberger Str. 14, 31737 Rinteln, Deutschland („savien“), als Auftragsverarbeiter.

Dieser AVV wird nur durch die ausdrueckliche Annahme fuer eine bestimmte Organisation durch deren Inhaber oder eine nachweisbar vertretungsberechtigte Person einbezogen. Registrierung, Einladung, Verbindung oder Nutzung allein bewirken keine Annahme dieses AVV.

1. Gegenstand und Dauer

Gegenstand der Verarbeitung ist die Bereitstellung, der Betrieb, die Wartung, der Support und die Sicherung von savien als B2B-SaaS.

Die Dauer der Verarbeitung entspricht der Laufzeit des Hauptvertrags. Nach Vertragsende werden personenbezogene Daten nach Wahl des Verantwortlichen nach Massgabe von Abschnitt 13 zurueckgegeben oder geloescht.

2. Rollenabgrenzung

Der Kunde ist Verantwortlicher fuer personenbezogene Daten, die er oder seine Nutzer in savien fuer eigene B2B-Prozesse verarbeiten. Der Kunde entscheidet ueber Zwecke und Mittel dieser Verarbeitung.

savien verarbeitet diese personenbezogenen Kundendaten als Auftragsverarbeiter, soweit keine eigene Verantwortlichkeit besteht.

savien bleibt selbst Verantwortlicher fuer eigene Vertrags-, Abrechnungs-, Sicherheits-, Website-, Support- und Betriebsdaten. Diese Verarbeitungen sind in der Datenschutzerklaerung beschrieben und nicht Gegenstand dieses AVV.

3. Art und Zweck der Verarbeitung

Die Verarbeitung erfolgt zur:

• Bereitstellung der Plattformfunktionen.
• Speicherung und Anzeige von Kundendaten.
• Authentifizierung und Berechtigungspruefung.
• Kommunikation zwischen Haendlern, Lieferanten und Mitarbeitenden.
• Dokumenten- und Dateiverwaltung.
• Benachrichtigung per E-Mail und In-App.
• Abrechnung, Support, Fehleranalyse, Sicherheit, Backups und Missbrauchspraevention.
• Anbindung optionaler Drittanbieter-Integrationen nach Aktivierung durch den Kunden.
• Export, Portierung, Rueckgabe und Loeschung von Kundendaten nach Vertrag, DSGVO und ggf. EU Data Act.

4. Kategorien betroffener Personen

• Nutzer und Mitarbeitende des Kunden.
• Haendler, Lieferanten und deren Ansprechpartner.
• Eingeladene Nutzer und Geschaeftspartner.
• Supportkontakte.
• Sonstige Personen, deren Daten der Kunde in savien eintraegt oder hochlaedt.

5. Kategorien personenbezogener Daten

• Namen, Firmenzuordnung, Rollen und Berechtigungen.
• E-Mail-Adressen, Telefonnummern, Geschaeftsadressen.
• Authentifizierungs- und Sessiondaten.
• Bestell-, Liefer-, Artikel-, Katalog-, Preis-, Sendungs- und Ruecksendungsdaten.
• Kommentare, Dokumente, Dateien und Metadaten.
• Benachrichtigungs- und Kommunikationsdaten.
• Integrationsdaten, etwa BillBee-Zugangsdaten und SKU-Zuordnungen.
• Nutzungs-, Sicherheits-, Fehler- und Auditdaten.

Besondere Kategorien personenbezogener Daten im Sinne von Art. 9 DSGVO sowie Daten nach Art. 10 DSGVO sind nicht vorgesehen. Der Kunde verpflichtet sich, solche Daten nicht ohne vorherige Vereinbarung und geeignete Schutzmassnahmen in savien zu verarbeiten.

6. Weisungen des Kunden

Wir verarbeiten personenbezogene Daten nur auf dokumentierte Weisung des Kunden, soweit keine gesetzliche Pflicht entgegensteht. Weisungen ergeben sich aus dem Hauptvertrag, diesem AVV, den Einstellungen in der Anwendung und dokumentierten Einzelweisungen.

Weisungen muessen in Textform oder ueber die Anwendung erfolgen. Muendliche Weisungen sind unverzueglich in Textform zu bestaetigen.

Wenn wir eine Weisung fuer rechtswidrig halten, informieren wir den Kunden, soweit rechtlich zulaessig. Wir duerfen die Ausfuehrung einer offensichtlich rechtswidrigen Weisung aussetzen, bis sie bestaetigt, geaendert oder zurueckgenommen wurde.

7. Vertraulichkeit

Wir verpflichten alle Personen, die Zugriff auf personenbezogene Daten haben, zur Vertraulichkeit, soweit sie nicht bereits einer gesetzlichen Verschwiegenheitspflicht unterliegen.

8. Technische und organisatorische Massnahmen

Wir treffen geeignete technische und organisatorische Massnahmen nach Art. 32 DSGVO. Die vertragliche TOM-Anlage und die Sicherheitsuebersicht sind vor Vertragsschluss abrufbar. Die TOM-Anlage beschreibt den vereinbarten Standard; vertrauliche betriebliche Nachweise stellen wir nach Abschnitt 14 bereit.

Die bei Annahme massgebliche TOM-Anlage und Unterauftragsverarbeiterliste werden mit Dokument-ID, Version und Inhalts-Hash zusammen mit dem AVV protokolliert und gespeichert. Wir duerfen Massnahmen durch mindestens gleichwertige Massnahmen ersetzen. Das vereinbarte Sicherheitsniveau darf nicht abgesenkt werden. Individuelle Zusatzanforderungen beduerfen einer gesonderten Vereinbarung vor Beginn der betroffenen Verarbeitung.

9. Unterauftragsverarbeiter

Der Kunde erteilt eine allgemeine Genehmigung zum Einsatz von Unterauftragsverarbeitern. Die aktuelle Liste der Unterauftragsverarbeiter ist dauerhaft abrufbar.

Wir informieren den Kunden mindestens 30 Kalendertage vor dem beabsichtigten Einsatz eines neuen oder ersetzten Unterauftragsverarbeiters.

Der Kunde kann innerhalb dieser Frist aus wichtigem datenschutzrechtlichem Grund widersprechen. Wir pruefen den Einwand und zumutbare Alternativen. Wenn der Einwand nicht geloest werden kann, kann der Kunde den konkret betroffenen Dienst vor Einsatz des neuen Unterauftragsverarbeiters beenden.

Ist wegen einer unvorhersehbaren Sicherheits- oder Gesetzesanforderung oder des Ausfalls eines Dienstleisters ein schnellerer Wechsel erforderlich, holen wir vor dem Einsatz die ausdrueckliche gesonderte Genehmigung des Kunden ein. Ohne diese Genehmigung wird kein neuer Unterauftragsverarbeiter vor Ablauf des vereinbarten Informations- und Widerspruchsverfahrens eingesetzt. Erforderliche voruebergehende Schutzmassnahmen werden dem Kunden unverzueglich mitgeteilt.

Mit Unterauftragsverarbeitern schliessen wir Vereinbarungen, die den Anforderungen von Art. 28 DSGVO entsprechen. Unterauftragsverarbeiter duerfen wiederum weitere Subprocessor einsetzen, soweit dies vertraglich abgesichert und in der jeweiligen Anbieterstruktur vorgesehen ist.

10. Drittlandtransfers

Datenuebermittlungen in Drittlaender erfolgen nur, wenn die Voraussetzungen der DSGVO erfuellt sind, insbesondere durch:

• Angemessenheitsbeschluss nach Art. 45 DSGVO.
• EU-Standardvertragsklauseln nach Art. 46 DSGVO.
• Zusaetzliche Schutzmassnahmen, soweit erforderlich.
• EU-US Data Privacy Framework, soweit einschlaegig und der Dienstleister zertifiziert ist.

Soweit Standardvertragsklauseln erforderlich sind, gelten diese ergaenzend. Bei Widerspruechen gehen zwingende Regelungen der Standardvertragsklauseln vor.

11. Unterstuetzung des Kunden

Wir unterstuetzen den Kunden in angemessenem Umfang bei:

• Bearbeitung von Betroffenenanfragen.
• Umsetzung von Loesch-, Auskunfts-, Berichtigungs- und Exportanfragen.
• Sicherheit der Verarbeitung.
• Meldung und Untersuchung von Datenschutzverletzungen.
• Datenschutz-Folgenabschaetzungen und vorheriger Konsultation, soweit die Verarbeitung durch savien betroffen ist.
• Rueckgabe, Portierung und Loeschung von Kundendaten nach Vertragsende.

Der Kunde bleibt fuer die rechtliche Bewertung und Kommunikation mit Betroffenen oder Aufsichtsbehoerden verantwortlich, soweit er Verantwortlicher ist. Fuer Unterstuetzung, die ueber die Standardfunktionen und angemessene Mitwirkung hinausgeht, koennen die Parteien eine gesonderte Verguetung vereinbaren, soweit gesetzlich zulaessig.

12. Datenschutzverletzungen

Wenn uns eine Verletzung des Schutzes personenbezogener Daten bekannt wird, die Kundendaten betrifft, informieren wir den Kunden unverzueglich nach Massgabe von Art. 33 DSGVO.

Die Meldung enthaelt, soweit verfuegbar:

• Art des Vorfalls,
• betroffene Daten- und Personenkategorien,
• ungefaehre Anzahl betroffener Personen und Datensaetze, soweit bekannt,
• moegliche Folgen,
• ergriffene oder vorgeschlagene Massnahmen,
• Kontaktstelle fuer Rueckfragen.

Wir werden angemessene Massnahmen treffen, um den Vorfall zu untersuchen, einzudaemmen und kuenftige gleichartige Vorfaelle zu verhindern.

13. Rueckgabe und Loeschung

Nach Vertragsende waehlt der Verantwortliche, ob die personenbezogenen Kundendaten zurueckgegeben oder geloescht werden. Die Wahl kann vor Vertragsende oder innerhalb von 30 Tagen nach unserer Aufforderung in Textform oder ueber die dafuer bereitgestellte Funktion ausgeuebt werden.

Bei Wahl der Rueckgabe stellen wir die Daten in einem angemessenen, strukturierten und gaengigen Format ueber einen sicheren Uebertragungsweg bereit. Die Rueckgabe wird nicht davon abhaengig gemacht, ob eine Standard-Exportfunktion technisch verfuegbar ist. Nach bestaetigter Rueckgabe loeschen wir die bei uns vorhandenen Kopien.

Bei Wahl der Loeschung loeschen oder anonymisieren wir die aktiven personenbezogenen Kundendaten und bestaetigen den Abschluss. In beiden Faellen duerfen Daten nur weiter gespeichert werden, soweit und solange eine gesetzliche Aufbewahrungspflicht dies verlangt; solche Daten werden gesperrt und nicht fuer andere Zwecke verarbeitet.

Sicherungskopien werden nach der Wahl fuer die weitere Nutzung gesperrt und im regulaeren Backup-Zyklus, spaetestens innerhalb von 90 Tagen, ueberschrieben oder geloescht. Wird innerhalb dieses Zeitraums eine Sicherung wiederhergestellt, wird die Rueckgabe- oder Loeschanweisung vor Freigabe des wiederhergestellten Systems erneut angewendet.

14. Nachweise und Audits

Wir stellen dem Kunden auf Anfrage geeignete Nachweise zur Einhaltung dieses AVV zur Verfuegung, etwa TOM-Beschreibungen, Subprocessor-Informationen, Sicherheitsdokumentation oder Zertifikate, soweit vorhanden.

Wir ermoeglichen und unterstuetzen Ueberpruefungen einschliesslich Inspektionen durch den Kunden oder einen von ihm beauftragten Pruefer nach Art. 28 Abs. 3 lit. h DSGVO. Umfang, Zeitpunkt und Schutz anderer Kunden werden angemessen abgestimmt. Dokumentenpruefungen oder Remote-Audits koennen genutzt werden, soweit sie den Pruefzweck erfuellen; sie schliessen erforderliche Inspektionen nicht aus. Bei konkreten Anhaltspunkten fuer Verstoesse oder auf behoerdliche Anforderung darf die Abstimmung notwendige Pruefungen nicht verzoegern.

Kosten externer oder kundenindividueller Audits traegt der Kunde, soweit gesetzlich zulaessig und nicht anders vereinbart.

15. Internationale Nutzung durch Kunden

Wenn der Kunde savien fuer Personen, Unternehmen oder Daten ausserhalb Deutschlands oder der EU/des EWR nutzt, bleibt der Kunde fuer zusaetzliche lokale Datenschutz-, Informations- und Transferpflichten verantwortlich, soweit er darueber entscheidet.

16. Rangfolge

Bei Widerspruechen zwischen Hauptvertrag und AVV geht dieser AVV in datenschutzrechtlichen Fragen vor. Zwingende gesetzliche Anforderungen und ggf. anwendbare EU-Standardvertragsklauseln bleiben unberuehrt.

17. Annahme, Organisation und Versionsnachweis

Die Annahme gilt nur fuer die im Annahmevorgang bezeichnete Organisation. Sie darf nur durch den Inhaber oder eine Person erfolgen, deren Vertretungsberechtigung fuer die Organisation bestaetigt und protokolliert wurde.

Der Annahmenachweis enthaelt mindestens Dokument-ID, Version, Inhalts-Hash, Sprache, Zeitpunkt, Organisation, Nutzer, Berechtigungsrolle und die Vertretungsbestaetigung. Die angenommene Fassung und ihre Anlagen bleiben fuer die Organisation dauerhaft abrufbar, sodass der vereinbarte Stand vollstaendig rekonstruiert werden kann.