# Auftragsverarbeitungsvertrag (AVV) Stand: 2026-08-01 Dieser AVV gilt zwischen dem jeweiligen Kunden als Verantwortlichem und Davis Gabriels Kalnozols, handelnd unter der Geschäftsbezeichnung „savien“, Meierberger Str. 14, 31737 Rinteln, Deutschland („savien“), als Auftragsverarbeiter. Dieser AVV wird nur durch die ausdrueckliche Annahme fuer eine bestimmte Organisation durch deren Inhaber oder eine nachweisbar vertretungsberechtigte Person einbezogen. Registrierung, Einladung, Verbindung oder Nutzung allein bewirken keine Annahme dieses AVV. ## 1. Gegenstand und Dauer Gegenstand der Verarbeitung ist die Bereitstellung, der Betrieb, die Wartung, der Support und die Sicherung von savien als B2B-SaaS. Die Dauer der Verarbeitung entspricht der Laufzeit des Hauptvertrags. Nach Vertragsende werden personenbezogene Daten nach Wahl des Verantwortlichen nach Massgabe von Abschnitt 13 zurueckgegeben oder geloescht. ## 2. Rollenabgrenzung Der Kunde ist Verantwortlicher fuer personenbezogene Daten, die er oder seine Nutzer in savien fuer eigene B2B-Prozesse verarbeiten. Der Kunde entscheidet ueber Zwecke und Mittel dieser Verarbeitung. savien verarbeitet diese personenbezogenen Kundendaten als Auftragsverarbeiter, soweit keine eigene Verantwortlichkeit besteht. savien bleibt selbst Verantwortlicher fuer eigene Vertrags-, Abrechnungs-, Sicherheits-, Website-, Support- und Betriebsdaten. Diese Verarbeitungen sind in der Datenschutzerklaerung beschrieben und nicht Gegenstand dieses AVV. ## 3. Art und Zweck der Verarbeitung Die Verarbeitung erfolgt zur: - Bereitstellung der Plattformfunktionen. - Speicherung und Anzeige von Kundendaten. - Authentifizierung und Berechtigungspruefung. - Kommunikation zwischen Haendlern, Lieferanten und Mitarbeitenden. - Dokumenten- und Dateiverwaltung. - Benachrichtigung per E-Mail und In-App. - Abrechnung, Support, Fehleranalyse, Sicherheit, Backups und Missbrauchspraevention. - Anbindung optionaler Drittanbieter-Integrationen nach Aktivierung durch den Kunden. - Export, Portierung, Rueckgabe und Loeschung von Kundendaten nach Vertrag, DSGVO und ggf. EU Data Act. ## 4. Kategorien betroffener Personen - Nutzer und Mitarbeitende des Kunden. - Haendler, Lieferanten und deren Ansprechpartner. - Eingeladene Nutzer und Geschaeftspartner. - Supportkontakte. - Sonstige Personen, deren Daten der Kunde in savien eintraegt oder hochlaedt. ## 5. Kategorien personenbezogener Daten - Namen, Firmenzuordnung, Rollen und Berechtigungen. - E-Mail-Adressen, Telefonnummern, Geschaeftsadressen. - Authentifizierungs- und Sessiondaten. - Bestell-, Liefer-, Artikel-, Katalog-, Preis-, Sendungs- und Ruecksendungsdaten. - Kommentare, Dokumente, Dateien und Metadaten. - Benachrichtigungs- und Kommunikationsdaten. - Integrationsdaten, etwa BillBee-Zugangsdaten und SKU-Zuordnungen. - Nutzungs-, Sicherheits-, Fehler- und Auditdaten. Besondere Kategorien personenbezogener Daten im Sinne von Art. 9 DSGVO sowie Daten nach Art. 10 DSGVO sind nicht vorgesehen. Der Kunde verpflichtet sich, solche Daten nicht ohne vorherige Vereinbarung und geeignete Schutzmassnahmen in savien zu verarbeiten. ## 6. Weisungen des Kunden Wir verarbeiten personenbezogene Daten nur auf dokumentierte Weisung des Kunden, soweit keine gesetzliche Pflicht entgegensteht. Weisungen ergeben sich aus dem Hauptvertrag, diesem AVV, den Einstellungen in der Anwendung und dokumentierten Einzelweisungen. Weisungen muessen in Textform oder ueber die Anwendung erfolgen. Muendliche Weisungen sind unverzueglich in Textform zu bestaetigen. Wenn wir eine Weisung fuer rechtswidrig halten, informieren wir den Kunden, soweit rechtlich zulaessig. Wir duerfen die Ausfuehrung einer offensichtlich rechtswidrigen Weisung aussetzen, bis sie bestaetigt, geaendert oder zurueckgenommen wurde. ## 7. Vertraulichkeit Wir verpflichten alle Personen, die Zugriff auf personenbezogene Daten haben, zur Vertraulichkeit, soweit sie nicht bereits einer gesetzlichen Verschwiegenheitspflicht unterliegen. ## 8. Technische und organisatorische Massnahmen Wir treffen geeignete technische und organisatorische Massnahmen nach Art. 32 DSGVO. Eine [öffentliche Sicherheitsübersicht mit dem Zugangsprozess für die maßgeblichen Detail-TOMs](/de/toms) ist dauerhaft abrufbar. Die bei Annahme massgebliche Detailfassung wird durch Dokument-ID, Version und Inhalts-Hash bestimmt. Wir duerfen TOMs weiterentwickeln, solange das Sicherheitsniveau nicht wesentlich unterschritten wird. Wesentliche Verschlechterungen werden wir dem Kunden mitteilen. ## 9. Unterauftragsverarbeiter Der Kunde erteilt eine allgemeine Genehmigung zum Einsatz von Unterauftragsverarbeitern. Die aktuelle [Liste der Unterauftragsverarbeiter](/de/unterauftragsverarbeiter) ist dauerhaft abrufbar. Wir informieren den Kunden mindestens 30 Kalendertage vor dem beabsichtigten Einsatz eines neuen oder ersetzten Unterauftragsverarbeiters. Der Kunde kann innerhalb dieser Frist aus wichtigem datenschutzrechtlichem Grund widersprechen. Wir pruefen den Einwand und zumutbare Alternativen. Wenn der Einwand nicht geloest werden kann, kann der Kunde den konkret betroffenen Dienst vor Einsatz des neuen Unterauftragsverarbeiters beenden. Nur wenn eine nicht vorhersehbare Sicherheits- oder Gesetzesanforderung oder der kurzfristige Ausfall eines bestehenden Dienstleisters einen sofortigen Wechsel zwingend erforderlich macht, darf die Vorankuendigungsfrist unterschritten werden. In diesem Fall informieren wir unverzueglich, begruenden die Ausnahme und erhalten das Widerspruchsrecht fuer die weitere Nutzung aufrecht. Mit Unterauftragsverarbeitern schliessen wir Vereinbarungen, die den Anforderungen von Art. 28 DSGVO entsprechen. Unterauftragsverarbeiter duerfen wiederum weitere Subprocessor einsetzen, soweit dies vertraglich abgesichert und in der jeweiligen Anbieterstruktur vorgesehen ist. ## 10. Drittlandtransfers Datenuebermittlungen in Drittlaender erfolgen nur, wenn die Voraussetzungen der DSGVO erfuellt sind, insbesondere durch: - Angemessenheitsbeschluss nach Art. 45 DSGVO. - EU-Standardvertragsklauseln nach Art. 46 DSGVO. - Zusaetzliche Schutzmassnahmen, soweit erforderlich. - EU-US Data Privacy Framework, soweit einschlaegig und der Dienstleister zertifiziert ist. Soweit Standardvertragsklauseln erforderlich sind, gelten diese ergaenzend. Bei Widerspruechen gehen zwingende Regelungen der Standardvertragsklauseln vor. ## 11. Unterstuetzung des Kunden Wir unterstuetzen den Kunden in angemessenem Umfang bei: - Bearbeitung von Betroffenenanfragen. - Umsetzung von Loesch-, Auskunfts-, Berichtigungs- und Exportanfragen. - Sicherheit der Verarbeitung. - Meldung und Untersuchung von Datenschutzverletzungen. - Datenschutz-Folgenabschaetzungen und vorheriger Konsultation, soweit die Verarbeitung durch savien betroffen ist. - Rueckgabe, Portierung und Loeschung von Kundendaten nach Vertragsende. Der Kunde bleibt fuer die rechtliche Bewertung und Kommunikation mit Betroffenen oder Aufsichtsbehoerden verantwortlich, soweit er Verantwortlicher ist. Fuer Unterstuetzung, die ueber die Standardfunktionen und angemessene Mitwirkung hinausgeht, koennen die Parteien eine gesonderte Verguetung vereinbaren, soweit gesetzlich zulaessig. ## 12. Datenschutzverletzungen Wenn uns eine Verletzung des Schutzes personenbezogener Daten bekannt wird, die Kundendaten betrifft, informieren wir den Kunden unverzueglich nach Massgabe von Art. 33 DSGVO. Die Meldung enthaelt, soweit verfuegbar: - Art des Vorfalls, - betroffene Daten- und Personenkategorien, - ungefaehre Anzahl betroffener Personen und Datensaetze, soweit bekannt, - moegliche Folgen, - ergriffene oder vorgeschlagene Massnahmen, - Kontaktstelle fuer Rueckfragen. Wir werden angemessene Massnahmen treffen, um den Vorfall zu untersuchen, einzudaemmen und kuenftige gleichartige Vorfaelle zu verhindern. ## 13. Rueckgabe und Loeschung Nach Vertragsende waehlt der Verantwortliche, ob die personenbezogenen Kundendaten zurueckgegeben oder geloescht werden. Die Wahl kann vor Vertragsende oder innerhalb von 30 Tagen nach unserer Aufforderung in Textform oder ueber die dafuer bereitgestellte Funktion ausgeuebt werden. Bei Wahl der Rueckgabe stellen wir die Daten in einem angemessenen, strukturierten und gaengigen Format ueber einen sicheren Uebertragungsweg bereit. Die Rueckgabe wird nicht davon abhaengig gemacht, ob eine Standard-Exportfunktion technisch verfuegbar ist. Nach bestaetigter Rueckgabe loeschen wir die bei uns vorhandenen Kopien. Bei Wahl der Loeschung loeschen oder anonymisieren wir die aktiven personenbezogenen Kundendaten und bestaetigen den Abschluss. In beiden Faellen duerfen Daten nur weiter gespeichert werden, soweit und solange eine gesetzliche Aufbewahrungspflicht dies verlangt; solche Daten werden gesperrt und nicht fuer andere Zwecke verarbeitet. Sicherungskopien werden nach der Wahl fuer die weitere Nutzung gesperrt und im regulaeren Backup-Zyklus, spaetestens innerhalb von 90 Tagen, ueberschrieben oder geloescht. Wird innerhalb dieses Zeitraums eine Sicherung wiederhergestellt, wird die Rueckgabe- oder Loeschanweisung vor Freigabe des wiederhergestellten Systems erneut angewendet. ## 14. Nachweise und Audits Wir stellen dem Kunden auf Anfrage geeignete Nachweise zur Einhaltung dieses AVV zur Verfuegung, etwa TOM-Beschreibungen, Subprocessor-Informationen, Sicherheitsdokumentation oder Zertifikate, soweit vorhanden. Audits sind nach vorheriger Abstimmung moeglich, wenn sie erforderlich, verhaeltnismaessig und ohne Gefaehrdung von Sicherheit, Vertraulichkeit oder Rechten anderer Kunden durchfuehrbar sind. Vorrangig sollen Dokumentenpruefungen, Frageboegen, Zertifikate oder Remote-Audits genutzt werden. Kosten externer oder kundenindividueller Audits traegt der Kunde, soweit gesetzlich zulaessig und nicht anders vereinbart. ## 15. Internationale Nutzung durch Kunden Wenn der Kunde savien fuer Personen, Unternehmen oder Daten ausserhalb Deutschlands oder der EU/des EWR nutzt, bleibt der Kunde fuer zusaetzliche lokale Datenschutz-, Informations- und Transferpflichten verantwortlich, soweit er darueber entscheidet. ## 16. Rangfolge Bei Widerspruechen zwischen Hauptvertrag und AVV geht dieser AVV in datenschutzrechtlichen Fragen vor. Zwingende gesetzliche Anforderungen und ggf. anwendbare EU-Standardvertragsklauseln bleiben unberuehrt. ## 17. Annahme, Organisation und Versionsnachweis Die Annahme gilt nur fuer die im Annahmevorgang bezeichnete Organisation. Sie darf nur durch den Inhaber oder eine Person erfolgen, deren Vertretungsberechtigung fuer die Organisation bestaetigt und protokolliert wurde. Der Annahmenachweis enthaelt mindestens Dokument-ID, Version, Inhalts-Hash, Sprache, Zeitpunkt, Organisation, Nutzer, Berechtigungsrolle und die Vertretungsbestaetigung. Die angenommene Fassung und ihre Anlagen bleiben fuer die Organisation dauerhaft abrufbar, sodass der vereinbarte Stand vollstaendig rekonstruiert werden kann.