PlanPakt Logo

AVV Version 1.2

Gültig ab: 27. August 2026

Auftragsverarbeitungsvertrag (AVV)

gemäß Art. 28 Abs. 3 DSGVO

zwischen

dem Kunden (nachfolgend „Verantwortlicher“)

und

Pakton GmbH, Sandbergstr. 95, 26180 Rastede
HRB 223653, Amtsgericht Oldenburg
(nachfolgend „Auftragsverarbeiter“)

gemeinsam „Parteien“.

Version 1.2 | Stand: 27. August 2026
Abrufbar unter: https://planpakt.de/avv

§ 1 Gegenstand und Dauer

  1. Der Auftragsverarbeiter erbringt für den Verantwortlichen Leistungen im Rahmen der Software „Planpakt“ (SaaS und/oder On-Premise) einschließlich etwaiger Zusatzmodule gemäß dem jeweils geschlossenen Hauptvertrag (AGB / Order Form).

  2. Soweit der Auftragsverarbeiter dabei personenbezogene Daten im Auftrag des Verantwortlichen verarbeitet, gilt dieser AVV. Er ist Bestandteil des Gesamtvertrages und gilt, soweit unter https://planpakt.de/avv abrufbar und in den Hauptvertrag einbezogen, als vereinbart.

  3. Die Dauer dieses AVV entspricht der Dauer der Auftragsverarbeitung unter dem Hauptvertrag. Rechte und Pflichten, die ihrer Natur nach fortbestehen (insbesondere Vertraulichkeit, Nachweis- und Löschungspflichten), bleiben nach Beendigung unberührt.

  4. Abgrenzung: Verarbeitungen, bei denen die Pakton GmbH selbst Verantwortliche ist (z. B. eigene Lizenz-/Governance-Telemetrie, Fehler-Monitoring zu eigenen Betriebszwecken, PLG-Lead-Erfassung, Transaktions-E-Mails zu eigenen Vertragszwecken), unterliegen nicht diesem AVV, es sei denn, sie fallen zugleich in den Auftrag des Verantwortlichen.

§ 2 Art und Zweck der Verarbeitung

  1. Zweck: Bereitstellung, Betrieb und Support der Software sowie der gebuchten Module, einschließlich Speicherung, Abruf, Übermittlung und Löschung der vom Verantwortlichen bzw. seinen Nutzern eingegebenen oder durch die Nutzung erzeugten Daten.

  2. Art der Verarbeitung: Erheben, Speichern, Auslesen, Abfragen, Verwenden, Übermitteln, Einschränken, Anonymisieren, Löschen – jeweils im Umfang der Softwarefunktionen und Weisungen des Verantwortlichen.

2a) Anonymisierung zur Produktentwicklung: Die Anonymisierung personenbezogener Daten zum Zweck der Produktentwicklung nach § 5 Abs. 8 des Hauptvertrages erfolgt auf dokumentierte Weisung des Verantwortlichen. Die dabei entstehenden anonymen Daten weisen keinen Personenbezug mehr auf und unterfallen nicht mehr diesem Vertrag; ihre Nutzung richtet sich ausschließlich nach dem Hauptvertrag. Widerspricht der Verantwortliche nach § 5 Abs. 8 des Hauptvertrages, gilt die Weisung nach Satz 1 als widerrufen.

  1. Betriebsmodi:
    • Cloud-Betrieb: Verarbeitung auf der vom Auftragsverarbeiter genutzten Infrastruktur bei Hetzner Online GmbH in der EU (Deutschland), einschließlich Server, Datenbank und Object Storage.
    • On-Premise-Betrieb: Primärverarbeitung auf Systemen des Verantwortlichen. Dieser AVV gilt nur, soweit der Auftragsverarbeiter gleichwohl personenbezogene Daten im Auftrag verarbeitet (z. B. optionale Cloud-Dienste, Supportzugriffe).

§ 3 Kategorien betroffener Personen und Daten

  1. Betroffene Personen insbesondere:

    • Beschäftigte und sonstige Nutzer des Verantwortlichen
    • Kontaktpersonen in Stammdaten (z. B. Geschäftspartner, Lieferanten, Unterzeichner)
    • ggf. weitere Personen, deren Daten der Verantwortliche in die Software eingibt

  2. Datenkategorien insbesondere (je nach gebuchtem Funktionsumfang):

    • Stammdaten von Nutzern (z. B. Name, E-Mail, Rolle, Avatar)
    • Nutzungs- und Betriebsdaten im fachlichen Kontext (z. B. Zeiterfassung, Planungsdaten mit Personenbezug)
    • Kommunikationsinhalte (Chat)
    • Qualitätsmanagement-Inhalte (Berichte, Fotos, Dokumente)
    • Konformitäts-/PPWR-Inhalte (Erklärungen, Nachweise, Unterschriftenbilder, Lieferantendokumente)
    • Schnittstellenbezogene Daten (z. B. aus ERP-Importen), soweit personenbezogen

  3. Der Verantwortliche entscheidet über die konkreten Inhalte und die Rechtmäßigkeit der Erhebung gegenüber den Betroffenen.

§ 4 Weisungen

  1. Der Auftragsverarbeiter verarbeitet personenbezogene Daten nur auf dokumentierte Weisung des Verantwortlichen, es sei denn, er ist nach Unionsrecht oder dem Recht eines Mitgliedstaats hierzu verpflichtet. In diesem Fall informiert er den Verantwortlichen vor der Verarbeitung, soweit rechtlich zulässig.

  2. Weisungen erfolgen über die Softwarefunktionen, den Hauptvertrag, diesen AVV sowie – soweit erforderlich – in Textform (E-Mail ausreichend).

  3. Ist der Auftragsverarbeiter der Ansicht, eine Weisung verstoße gegen die DSGVO oder sonstiges Datenschutzrecht, teilt er dies dem Verantwortlichen unverzüglich mit.

§ 5 Vertraulichkeit

Der Auftragsverarbeiter stellt sicher, dass sich Personen, die zur Verarbeitung berechtigt sind, zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen.

§ 6 Technische und organisatorische Maßnahmen (TOMs)

  1. Der Auftragsverarbeiter trifft angemessene TOMs gemäß Art. 32 DSGVO. Die zum Zeitpunkt des Vertragsschlusses geltenden Maßnahmen ergeben sich aus Anlage TOM.

  2. Der Auftragsverarbeiter darf die TOMs dem Stand der Technik und den betrieblichen Erfordernissen anpassen, sofern das Schutzniveau nicht unterschritten wird.

§ 7 Sub-Prozessoren

  1. Der Verantwortliche erteilt dem Auftragsverarbeiter die allgemeine Genehmigung, Sub-Prozessoren einzusetzen, soweit dies zur Vertragserfüllung erforderlich ist.

  2. Die jeweils aktuelle Liste der Sub-Prozessoren einschließlich Einsatzzweck und Verarbeitungsort ist abrufbar unter https://planpakt.de/subprozessoren und Bestandteil dieses AVV.

  3. Der Auftragsverarbeiter informiert den Verantwortlichen über beabsichtigte Hinzuziehung oder Ersetzung von Sub-Prozessoren in Textform (E-Mail ausreichend) mit einer Vorlaufzeit von mindestens 30 Tagen. Der Verantwortliche kann aus wichtigem datenschutzrechtlichem Grund innerhalb von 14 Tagen ab Zugang der Mitteilung widersprechen. Widerspricht er fristgerecht und finden die Parteien keine einvernehmliche Lösung, kann der Verantwortliche den betroffenen Leistungsteil bzw. den Hauptvertrag außerordentlich zum Zeitpunkt des geplanten Einsatzes kündigen, soweit ihm die Fortsetzung unter Einbeziehung des Sub-Prozessors nicht zumutbar ist.

  4. Der Auftragsverarbeiter verpflichtet Sub-Prozessoren vertraglich auf ein Datenschutzniveau, das den Anforderungen von Art. 28 DSGVO entspricht.

  5. Im On-Premise-Betrieb kommen optionale Sub-Prozessoren nur zum Einsatz, soweit sie konfiguriert bzw. freigeschaltet sind.

§ 8 Unterstützung des Verantwortlichen

  1. Der Auftragsverarbeiter unterstützt den Verantwortlichen gemäß Art. 28 Abs. 3 lit. e DSGVO bei der Erfüllung von Betroffenenrechten (Art. 15–22 DSGVO). Die Unterstützung erfolgt vorrangig über die Softwarefunktionen und im Übrigen über den dokumentierten Prozess des Auftragsverarbeiters (Kontakt: datenschutz@planpakt.de). Unverhältnismäßiger Zusatzaufwand kann nach vorheriger Abstimmung gesondert vergütet werden.

  2. Der Auftragsverarbeiter unterstützt den Verantwortlichen gemäß Art. 28 Abs. 3 lit. f DSGVO bei dessen Pflichten nach Art. 32–36 DSGVO (Sicherheit, Meldepflichten, Datenschutz-Folgenabschätzung, vorherige Konsultation), soweit die erforderlichen Informationen dem Auftragsverarbeiter vorliegen.

  3. Meldungen über Verletzungen des Schutzes personenbezogener Daten teilt der Auftragsverarbeiter dem Verantwortlichen unverzüglich mit, nachdem er davon Kenntnis erlangt hat.

§ 9 Löschung und Rückgabe

  1. Nach Beendigung der Auftragsverarbeitung löscht der Auftragsverarbeiter die personenbezogenen Kundendaten nach Maßgabe des Hauptvertrags (insbesondere Exportmöglichkeit und Löschung nach Ablauf der dort genannten Frist), soweit keine zwingenden gesetzlichen Aufbewahrungspflichten des Auftragsverarbeiters entgegenstehen.

  2. Im On-Premise-Betrieb obliegen Export und Löschung dem Verantwortlichen, soweit die Daten auf dessen Systemen liegen.

  3. Auf Verlangen des Verantwortlichen bestätigt der Auftragsverarbeiter die Löschung in Textform.

§ 10 Nachweise und Kontrollen

  1. Der Auftragsverarbeiter stellt dem Verantwortlichen auf Anfrage die erforderlichen Informationen zum Nachweis der Einhaltung von Art. 28 DSGVO zur Verfügung.

  2. Kontrollen (einschließlich Audits) sind mit angemessener Frist anzukündigen, während der Geschäftszeiten durchzuführen und so zu gestalten, dass der Betrieb des Auftragsverarbeiters und die Rechte anderer Kunden nicht unverhältnismäßig beeinträchtigt werden. Der Auftragsverarbeiter kann den Nachweis auch durch aktuelle Zertifizierungen, Auditberichte oder vergleichbare Unterlagen erbringen, soweit diese die relevanten Kontrollziele abdecken.

§ 11 Ort der Verarbeitung / Drittland

Die Verarbeitung erfolgt grundsätzlich innerhalb der Europäischen Union bzw. des Europäischen Wirtschaftsraums. Erfolgt eine Verarbeitung außerhalb der EU/des EWR, stellt der Auftragsverarbeiter geeignete Garantien gemäß Art. 46 DSGVO sicher.

§ 12 Haftung

Die Haftung der Parteien richtet sich nach dem Hauptvertrag (insbesondere dessen Haftungsregelungen). Dieser AVV begründet keine darüber hinausgehende Haftung, soweit zwingendes Recht nichts anderes bestimmt.

§ 13 Schlussbestimmungen

  1. Änderungen dieses AVV erfolgen nach den Regelungen des Hauptvertrags zu Vertragsänderungen, soweit sie die Auftragsverarbeitung betreffen; die Sub-Prozessoren-Liste wird nach § 7 gepflegt.

  2. Sollten einzelne Bestimmungen unwirksam sein, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt.

  3. Es gilt das Recht der Bundesrepublik Deutschland. Gerichtsstand ist, soweit gesetzlich zulässig, der Sitz des Auftragsverarbeiters.

Anlage TOM – Technische und organisatorische Maßnahmen

Stand: 27. August 2026

Die Pakton GmbH trifft insbesondere folgende Maßnahmen. Der konkrete Umfang kann dem Stand der Technik und dem Betriebsmodus (Cloud / On-Premise) entsprechen.

1. Zugangskontrolle (Zutritt zu Räumen / Rechenzentrum)

2. Zugangskontrolle (Systeme)

3. Zugriffskontrolle

4. Weitergabekontrolle

5. Eingabekontrolle

6. Auftragskontrolle

7. Verfügbarkeitskontrolle

8. Trennungskontrolle

9. Pseudonymisierung / Verschlüsselung

10. Organisationskontrolle