gemäß Art. 28 Abs. 3 DSGVO · Stand: 20. August 2026
Dieser AVV wird relevant, sobald Sie als Kund:in personenbezogene Daten Dritter (z. B. Ihre Team-Mitglieder oder Zulieferer-Ansprechpartner:innen) in Pflichtpilot eintragen. Für Ihre eigenen Konto-/Firmendaten sind wir Verantwortlicher — siehe Datenschutzerklärung, Abschnitt 2. Beim Onboarding akzeptieren Sie diesen AVV gesondert per Checkbox.
Gegenstand ist die Bereitstellung der SaaS-Plattform Pflichtpilot gemäß Hauptvertrag (AGB). Die Verarbeitung im Auftrag dauert für die Laufzeit des Hauptvertrags an.
Speicherung und Anzeige von Team-Mitglieder-Stammdaten zur Schulungs-Zuweisung und -Nachverfolgung; Speicherung und Weiterleitung von Lieferanten-Kontaktdaten zur Durchführung der Sicherheits-Selbstauskunft und Anzeige der daraus resultierenden Einstufung im Kundenkonto.
Name, E-Mail-Adresse, Funktion/Rolle, Telefonnummer (soweit von der Kund:in erfasst), Antworten aus Schulungs-/Selbstauskunfts-Fragebögen. Es werden ausdrücklich keine besonderen Kategorien personenbezogener Daten nach Art. 9 DSGVO (z. B. Gesundheitsdaten, religiöse Überzeugungen) verarbeitet; die Kund:in verpflichtet sich, solche Daten nicht in Pflichtpilot einzutragen.
Mitarbeitende der Kund:in; Ansprechpartner:innen bei Zulieferern der Kund:in.
Die Kund:in ist für die Rechtmäßigkeit der Erhebung der in Pflichtpilot eingetragenen Daten Dritter verantwortlich, insbesondere für die ordnungsgemäße Information der betroffenen Personen (z. B. eigener Mitarbeitenden) nach Art. 13 DSGVO. Der Kund:in stehen die in diesem AVV geregelten Weisungs- und Kontrollrechte zu.
Wir verarbeiten personenbezogene Daten ausschließlich auf dokumentierte Weisung der Kund:in. Die bestimmungsgemäße Nutzung der Software-Funktionen durch die Kund:in gilt als generelle Weisung im Sinne dieses AVV. Abweichende Einzelweisungen bedürfen der Textform.
Alle Personen, die bei uns oder bei von uns eingesetztem externem Support-Personal Zugriff auf die im Auftrag verarbeiteten Daten haben, sind zur Vertraulichkeit verpflichtet (§ 53 BDSG, Art. 28 Abs. 3 lit. b DSGVO). Dies gilt gleichermaßen für Freelancer und externes Support-Personal, soweit eingesetzt.
Verschlüsselte Übertragung (TLS) und Speicherung (at-rest) sämtlicher Daten; mandantenspezifische Datentrennung mittels Row-Level-Security auf Datenbankebene (Supabase RLS), sodass jede Kund:in ausschließlich auf ihre eigenen Daten zugreifen kann; rollenbasierte Zugriffsbeschränkung innerhalb unseres Teams; Protokollierung sicherheitsrelevanter Zugriffe. Details siehe Sicherheit.
Die aktuelle, verbindliche Liste eingesetzter Sub-Auftragsverarbeiter finden Sie unter Eingesetzte Auftragsverarbeiter. Vor Aufnahme eines neuen Sub-Auftragsverarbeiters informieren wir die Kund:in vorab und räumen ein Widerspruchsrecht innerhalb angemessener Frist ein.
Wir unterstützen die Kund:in im Rahmen des technisch Möglichen und Zumutbaren bei der Erfüllung von Anfragen betroffener Personen (Art. 12–22 DSGVO) sowie bei Datenschutz-Folgenabschätzungen und etwaigen Konsultationen der Aufsichtsbehörde (Art. 32–36 DSGVO).
Wir melden der Kund:in eine Verletzung des Schutzes personenbezogener Daten unverzüglich, spätestens innerhalb von 48 Stunden nach Kenntnisnahme, damit die Kund:in ihre eigene 72-Stunden-Frist gegenüber der zuständigen Aufsichtsbehörde einhalten kann.
Nach Beendigung des Hauptvertrags löschen wir alle im Auftrag verarbeiteten Daten innerhalb von 30 Tagen unwiderruflich, sofern keine gesetzlichen Aufbewahrungspflichten entgegenstehen. Die Kund:in kann einzelne Datenkategorien bereits während der Vertragslaufzeit jederzeit selbst über ihr Konto (Profil) zurücksetzen.
Die Kund:in hat das Recht, sich von der Einhaltung der in diesem AVV vereinbarten Pflichten durch geeignete Nachweise überzeugen zu lassen, insbesondere durch Vorlage aktueller Zertifikate, Selbstauskünfte oder Prüfberichte unserer Sub-Auftragsverarbeiter. Ein unbeschränktes Vor-Ort-Auditrecht besteht angesichts der Mandantenvielzahl unserer Multi-Tenant-SaaS nicht; auf begründete Anfrage stellen wir zusätzliche, zumutbare Nachweise zur Verfügung.