Auftragsverarbeitungsvertrag (AVV)

ReadyQMS · Stand: 14.09.2026

Zur rechtlichen Prüfung: Diese Vertragsunterlagen werden vor Vertragsschluss kundenspezifisch geprüft und vereinbart. Sie stellen keine Rechtsberatung dar.

1. Vertragsparteien und Rangfolge

Verantwortlicher ist die Organisation, die ReadyQMS bestellt hat (Kunde); Auftragsverarbeiter ist der Betreiber von ReadyQMS. Beide Parteien und ihre Anschriften ergeben sich aus dem Hauptvertrag (Bestellung/Abonnement). Bei Widersprüchen geht dieser Vertrag hinsichtlich der Verarbeitung personenbezogener Daten dem Hauptvertrag vor.

2. Gegenstand und Dauer der Verarbeitung

Gegenstand ist die Bereitstellung der QMS-Software ReadyQMS als Software-as-a-Service gemäß Hauptvertrag. Die Dauer entspricht der Laufzeit des Hauptvertrags.

3. Art und Zweck der Verarbeitung

Hosting und Bereitstellung eines Qualitätsmanagement-Systems: Speicherung, Anzeige, Suche und Auswertung der vom Verantwortlichen eingestellten Inhalte, Versand von Benachrichtigungen sowie optionale KI-gestützte Suche über die eigene Dokumentation.

4. Art der personenbezogenen Daten

Benutzerstammdaten (Name, geschäftliche E-Mail-Adresse, optionales Profilbild), Anmeldedaten (Zeitpunkte, Anmeldeverfahren), Inhaltsdaten des QM-Systems (Dokumente, Vorgänge, Registereinträge) sowie Protokolldaten (Audit-Trail).

5. Kategorien betroffener Personen

Beschäftigte des Verantwortlichen, externe Benutzer mit gewährtem Zugang sowie in Inhalten genannte Personen (z. B. Ansprechpartner von Kunden oder Lieferanten in Reklamationen).

6. Pflichten des Auftragsverarbeiters

Verarbeitung nur auf dokumentierte Weisung des Verantwortlichen; Verpflichtung der eingesetzten Personen zur Vertraulichkeit; Umsetzung der technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO (Anlage TOMs); Unterstützung des Verantwortlichen bei Betroffenenrechten (Art. 12–23 DSGVO) und bei den Pflichten aus Art. 32–36 DSGVO; unverzügliche Meldung von Verletzungen des Schutzes personenbezogener Daten.

7. Unterauftragsverarbeiter

Der Verantwortliche erteilt die allgemeine Genehmigung zum Einsatz der im Trust Center veröffentlichten Unterauftragsverarbeiter. Über beabsichtigte Änderungen wird der Verantwortliche vorab informiert und kann der Änderung aus wichtigem Grund widersprechen.

8. Nachweise und Kontrollen

Der Auftragsverarbeiter stellt dem Verantwortlichen alle erforderlichen Informationen zum Nachweis der Einhaltung der Pflichten nach Art. 28 DSGVO zur Verfügung und ermöglicht Überprüfungen in angemessenem Umfang.

9. Löschung und Rückgabe

Nach Vertragsende exportiert der Verantwortliche seine Daten selbstständig (vollständiger Organisations-Export als ZIP/CSV). Anschließend löscht der Auftragsverarbeiter die Daten, soweit keine gesetzlichen Aufbewahrungspflichten entgegenstehen.

Anlage: Unterauftragsverarbeiter

• Amazon Web Services EMEA SARL — Hosting, Datenbank (Aurora DSQL), Dateispeicher (S3), KI-Funktionen (Amazon Bedrock) (AWS-Region eu-central-1 (Frankfurt, Deutschland))
• Mailjet SAS (Sinch-Gruppe) — Transaktions-E-Mails (Anmeldelinks, Erinnerungen, Benachrichtigungen) (EU)
• Microsoft Ireland Operations Ltd. — Anmeldung über Microsoft Entra ID — nur, wenn die Organisation die Microsoft-Anmeldung nutzt (EU/EWR)
• Stripe Payments Europe, Ltd. — Zahlungsabwicklung des Abonnements. Zahlungsdaten werden direkt von Stripe erhoben; QMS-Inhalte erhält Stripe nicht. (Irland (Einzelheiten: Stripe-Datenschutzhinweise))

Anlage: Technische und organisatorische Maßnahmen

Siehe Dokument „Technische und organisatorische Maßnahmen (TOMs)“, Stand 14.09.2026.