Auftragsverarbeitungsvertrag (AVV) nach Art. 28 DSGVO

Entwurf für die Beta-Phase – vor dem öffentlichen Start rechtlich prüfen lassen.

Stand: 2026-10-02.2. Zwischen dem Kunden (Verantwortlicher) und SJ Works, Sean Justus, Kaiser-Friedrich-Ring 17, 65185 Wiesbaden (Auftragsverarbeiter). Der AVV wird bei der Registrierung bzw. im Konto elektronisch abgeschlossen.

1. Gegenstand und Dauer

• SJW BI: lesender Zugriff auf die JTL-Wawi-Datenbank des Kunden, Spiegelung der für Auswertungen nötigen Daten in eine getrennte Datenbank, Berechnung und Anzeige von Auswertungen, Export auf Anforderung. Keine Änderung der JTL-Daten.
• SJW PIM: Lesen von Artikel- und Lieferantendaten aus der JTL-Wawi, Erhebung von Produktdaten bei Lieferanten und B2B-Kunden des Kunden, Prüfung und Freigabe durch den Kunden. Ein Zurückschreiben in die JTL-Wawi erfolgt nur, wenn ein Superadmin des Kunden es im PIM ausdrücklich freigeschaltet hat (Voreinstellung: gesperrt).
• Dauer: Laufzeit der jeweiligen Buchung.

2. Art der Daten und betroffene Personen

• Endkunden des Kunden: Kundennummer, Name, Firma, Rechnungs- und Lieferadresse, Belege, Positionen, Beträge, Zahlungs- und Versandart.
• Lieferanten und B2B-Kunden des Kunden: Firmen- und Ansprechpartnerdaten, Zugangsdaten zum PIM, eingereichte Produktdaten.
• Mitarbeiter des Kunden: Name, E-Mail, Rolle, Anmeldezeitpunkte, Audit-Log.
• Verbindungsdaten zur JTL-Datenbank, verschlüsselt gespeichert.

Keine Bank- oder Kartendaten und keine besonderen Kategorien nach Art. 9 DSGVO.

3. Pflichten des Auftragsverarbeiters

• Verarbeitung nur auf dokumentierte Weisung des Kunden; Vertraulichkeitsverpflichtung aller Beteiligten.
• Unterstützung bei Betroffenenanfragen sowie bei Pflichten nach Art. 32 bis 36 DSGVO.
• Meldung von Datenschutzverletzungen unverzüglich, spätestens 24 Stunden nach Kenntnis.
• Nachweis der Einhaltung und Ermöglichung von Kontrollen nach Absprache.
• Zugriff des Anbieters auf Kundendaten nur zur Unterstützung auf Anfrage des Kunden oder zur Störungsbehebung, jeweils protokolliert. In SJW BI über die Funktion „Als Kunde ansehen“: zeitlich begrenzt (60 Minuten) und nur lesend. In SJW PIM mit einem eigenen, als „SJ Works“ gekennzeichneten Betreiberkonto mit Administratorrechten; bestehende Konten des Kunden werden dabei nicht verändert. Mit diesem AVV erteilt der Kunde dafür seine Zustimmung.

4. Unterauftragsverarbeiter

Neue Unterauftragsverarbeiter werden dem Kunden mindestens 30 Tage vorher mitgeteilt; der Kunde kann aus wichtigem datenschutzrechtlichem Grund widersprechen. Eine Verarbeitung außerhalb der EU/des EWR findet nicht statt.

5. Technische und organisatorische Maßnahmen

• Persönliche Konten, Passwörter nur als Hash, Sperre nach wiederholten Fehlversuchen, Rollen je Kunde.
• Strikte Trennung je Kunde: eigenes Datenbankschema (BI) bzw. eigene Datenbank (PIM).
• TLS für alle Verbindungen. Die JTL-Datenbank wird entweder per TLS mit geprüftem Server-Zertifikat oder über einen vom Kunden ausgehend aufgebauten, verschlüsselten SSH-Tunnel angebunden; Zugangsdaten werden verschlüsselt gespeichert.
• Eigene Domains des Kunden (z. B. für das PIM) erhalten automatisch ein Zertifikat von Let’s Encrypt; dabei wird nur der Domainname übermittelt, keine personenbezogenen Daten.
• Nur lesender Datenbankzugang für Auswertungen; Protokollierung sicherheitsrelevanter Aktionen.
• Tägliche Datensicherung auf dem Server und zusätzlich in einem zweiten Hetzner-Rechenzentrum in Deutschland; gehärteter Server (SSH nur mit Schlüssel, Firewall, automatische Sicherheitsupdates).

6. Löschung und Rückgabe

Nach Ende einer Buchung oder auf Weisung löscht der Auftragsverarbeiter die Daten des Kunden spätestens nach 30 Tagen; Sicherungen laufen nach spätestens 30 Tagen aus. Vorher kann der Kunde seine Daten exportieren. Gesetzliche Aufbewahrungspflichten bleiben unberührt.

7. Kontakt

SJ Works, hello@sjworks.de