Auftragsverarbeitungsvertrag
Stand: August 2026
Dieser Auftragsverarbeitungsvertrag (nachfolgend „AVV") regelt die Verarbeitung personenbezogener Daten durch den Anbieter im Auftrag des Kunden im Rahmen der Nutzung der Software „Surge" und ist Bestandteil der zwischen den Parteien geschlossenen Nutzungsvereinbarung (AGB).
Art. 1 Gegenstand und Dauer der Verarbeitung
(1) Gegenstand: Der Auftragnehmer (Anbieter) verarbeitet personenbezogene Daten im Auftrag des Auftraggebers (Kunden) zur Bereitstellung und zum Betrieb der Sales-Gamification-Software „Surge". Die Verarbeitung dient der Erfüllung des zwischen den Parteien geschlossenen SaaS-Nutzungsvertrags.
(2) Dauer: Die Verarbeitung erfolgt für die Dauer des Nutzungsvertrags. Nach Vertragsende werden die Daten gemäß Art. 7 dieses AVV gelöscht oder zurückgegeben.
Art. 2 Art und Zweck der Verarbeitung
Die Verarbeitung personenbezogener Daten erfolgt zu folgenden Zwecken:
- Bereitstellung und Betrieb der Software-Plattform
- Speicherung und Auswertung von Vertriebsaktivitäten (Sales Events)
- Berechnung und Anzeige von Ranglisten, Gamification-Elementen und Kennzahlen
- Verwaltung von Nutzer-Accounts und Rollen
- Bereitstellung des TV-Display-Moduls
- Berechnung und Anzeige von Provisionsübersichten
- Technische Bereitstellung von Benachrichtigungen und Live-Updates
Art. 3 Art der personenbezogenen Daten
Im Rahmen der Auftragsverarbeitung können folgende Kategorien personenbezogener Daten verarbeitet werden:
Stammdaten der Nutzer:
- Vor- und Nachname
- E-Mail-Adresse
- Benutzerrolle und Teamzugehörigkeit
- Optional: Profilbild
Leistungsdaten:
- Vertriebsaktivitäten und deren Ergebnisse (Art, Wert, Zeitpunkt)
- Ranglisten- und Punktestände
- Badge- und Erfolgshistorie
- Wettbewerbsteilnahmen und -ergebnisse
- Streaks und Aktivitätszeiträume
- Provisionsbezogene Berechnungsgrundlagen
Technische Nutzungsdaten:
- Login-Zeitstempel
- IP-Adressen (im Rahmen des Hosting-Betriebs)
- Geräteinformationen (Browser, Betriebssystem)
Es werden keine besonderen Kategorien personenbezogener Daten im Sinne des Art. 9 DSGVO verarbeitet.
Art. 4 Kreis der Betroffenen
Von der Verarbeitung sind folgende Personengruppen betroffen:
- Mitarbeiter des Kunden, insbesondere Vertriebsmitarbeiter
- Teamleiter und Führungskräfte des Kunden
- Administratoren des Kunden
Art. 5 Pflichten des Auftragnehmers
(1) Der Auftragnehmer verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Auftraggebers (die Nutzungsvereinbarung und dieser AVV stellen solche Weisungen dar) und nicht zu eigenen Zwecken.
(2) Der Auftragnehmer stellt sicher, dass sich die zur Verarbeitung der personenbezogenen Daten befugten Personen zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen.
(3) Der Auftragnehmer setzt alle gemäß Art. 32 DSGVO erforderlichen technischen und organisatorischen Maßnahmen um (siehe Art. 8 dieses AVV).
(4) Der Auftragnehmer unterstützt den Auftraggeber soweit möglich durch geeignete technische und organisatorische Maßnahmen bei der Erfüllung der Pflichten des Auftraggebers, insbesondere bei:
- der Beantwortung von Anfragen betroffener Personen (Auskunft, Löschung, Berichtigung, Datenübertragbarkeit)
- der Einhaltung der in den Art. 32 bis 36 DSGVO genannten Pflichten
(5) Der Auftragnehmer stellt dem Auftraggeber alle erforderlichen Informationen zum Nachweis der Einhaltung der in diesem Artikel niedergelegten Pflichten zur Verfügung und ermöglicht Überprüfungen, einschließlich Inspektionen, die vom Auftraggeber oder einem vom Auftraggeber beauftragten Prüfer durchgeführt werden, und trägt zu diesen bei. Über geplante Überprüfungen ist der Auftragnehmer mindestens 4 Wochen im Voraus zu informieren.
(6) Der Auftragnehmer informiert den Auftraggeber unverzüglich, wenn er der Ansicht ist, dass eine Weisung des Auftraggebers gegen diese Verordnung oder gegen sonstige Datenschutzvorschriften der Union oder der Mitgliedstaaten verstößt.
Art. 6 Unterauftragsverarbeiter
(1) Der Auftragnehmer setzt folgende Unterauftragsverarbeiter ein, die der Auftraggeber mit Abschluss dieses AVV genehmigt:
| Anbieter | Sitz | Zweck |
|---|---|---|
| Supabase Inc. | USA (EU-Region Frankfurt) | Datenbank, Authentifizierung, Echtzeit-Datenübertragung |
| Cloudflare Inc. | USA (EU-Server) | Hosting, CDN, DNS |
| Resend Inc. | USA | E-Mail-Versand (Transaktions-E-Mails) |
| Expo (Expo Technology Inc.) | USA | Mobile App Build-Infrastruktur |
(2) Alle genannten Unterauftragsverarbeiter verarbeiten Daten primär auf Servern innerhalb der EU oder auf Basis geeigneter Transfermechanismen (EU-Standardvertragsklauseln oder Angemessenheitsbeschluss).
(3) Der Auftragnehmer informiert den Auftraggeber über beabsichtigte Änderungen hinsichtlich der Hinzuziehung oder des Austauschs von Unterauftragsverarbeitern. Der Auftraggeber hat das Recht, gegen solche Änderungen aus datenschutzrechtlichen Gründen Einspruch zu erheben. Kommt keine Einigung zustande, hat der Auftraggeber das Recht, den Vertrag außerordentlich zu kündigen.
(4) Der Auftragnehmer stellt vertraglich sicher, dass die von ihm beauftragten Unterauftragsverarbeiter dieselben Datenschutzpflichten erfüllen, die in diesem AVV vereinbart sind.
Art. 7 Löschung und Rückgabe von Daten
(1) Nach Beendigung des Nutzungsvertrags stellt der Auftragnehmer dem Auftraggeber alle gespeicherten Daten für einen Zeitraum von 30 Tagen in einem gängigen, maschinenlesbaren Format (CSV/JSON) zum Export bereit.
(2) Nach Ablauf dieser Frist löscht der Auftragnehmer alle personenbezogenen Daten des Auftraggebers vollständig und unwiderruflich, sofern keine gesetzlichen Aufbewahrungspflichten entgegenstehen. Der Auftraggeber kann eine Bestätigung der Löschung anfordern.
(3) Backups werden innerhalb von 90 Tagen nach Vertragsende ebenfalls vollständig gelöscht.
Art. 8 Technische und organisatorische Maßnahmen (TOM)
Der Auftragnehmer trifft folgende technische und organisatorische Maßnahmen zum Schutz der personenbezogenen Daten:
Zutrittskontrolle (physisch):
- Nutzung von Cloud-Infrastruktur in zertifizierten Rechenzentren (Supabase/Cloudflare)
- Kein eigenes physisches Rechenzentrum
Zugangskontrolle:
- Starke Passwörter und Multi-Faktor-Authentifizierung für administrative Zugänge
- Rollenbasiertes Berechtigungskonzept (Row Level Security in der Datenbank)
- Automatische Session-Timeouts
Zugriffskontrolle:
- Granulares Berechtigungssystem (Rollen: Vertriebler, Teamleiter, Admin)
- Protokollierung von administrativen Zugriffen
- Minimalprinzip bei Datenbankzugriffen
Trennungskontrolle:
- Mandantentrennung auf Datenbankebene durch organization_id
- Strikte Row Level Security Policies für alle Tabellen
Übertragungssicherheit:
- Ausschließlich verschlüsselte Datenübertragung via HTTPS/TLS 1.2+
- SSL/TLS-Zertifikate für alle Domains
Eingabekontrolle:
- Protokollierung wesentlicher Datenänderungen
- Audit-Trail für administrative Aktionen
Verfügbarkeitskontrolle:
- Automatische Backups durch Supabase (tägliche Snapshots)
- Redundante Infrastruktur durch Cloud-Anbieter
- Monitoring und Alerting
Datenschutz durch Technikgestaltung:
- Pseudonymisierung wo technisch möglich (interne IDs statt Klarnamen in Logs)
- Datensparsamkeit: nur notwendige Daten werden erhoben
Art. 9 Meldung von Datenschutzverletzungen
(1) Der Auftragnehmer informiert den Auftraggeber unverzüglich, spätestens jedoch innerhalb von 24 Stunden nach Bekanntwerden einer Verletzung des Schutzes personenbezogener Daten.
(2) Die Meldung enthält soweit möglich:
- Eine Beschreibung der Art der Verletzung
- Angaben zu den betroffenen Datenkategorien und Betroffenen
- Die wahrscheinlichen Folgen der Verletzung
- Ergriffene oder vorgeschlagene Maßnahmen zur Behebung
(3) Die Meldung erfolgt per E-Mail an die vom Auftraggeber benannte Kontaktadresse.
Art. 10 Weisungsrecht des Auftraggebers
(1) Der Auftraggeber kann jederzeit schriftlich Weisungen zur Art und Weise der Datenverarbeitung erteilen.
(2) Weisungen können insbesondere die Löschung bestimmter Daten, die Berichtigung von Daten oder die Auskunft über gespeicherte Daten betreffen.
(3) Weisungen sind per E-Mail an support@surgearena.app zu richten.
DSGN4u, Inh. Mario Broj — Stand August 2026
Dieser AVV wird mit Abschluss des Nutzungsvertrags automatisch Vertragsbestandteil. Eine gesonderte Unterzeichnung ist nicht erforderlich, sofern beide Parteien dem Nutzungsvertrag zugestimmt haben. Auf Wunsch des Kunden kann eine gesondert unterzeichnete Version bereitgestellt werden.