Vertrag zur Auftragsverarbeitung (AVV)

gemäß Art. 28 Datenschutz-Grundverordnung (DSGVO) · Stand: 23. Oktober 2026 · Version 2026-10-23

Maßgeblich ist diese deutsche Fassung. Die englische Fassung (/dpa) dient dem Verständnis.

Dieser Vertrag regelt die Verarbeitung personenbezogener Daten durch den Betreiber von Pulse im Auftrag seiner Kunden. Er gilt für alle Nutzer von Pulse, die Pulse zur Verwaltung ihres Geschäfts einsetzen und dabei personenbezogene Daten ihrer eigenen Kunden, Geschäftspartner oder Mitarbeitenden eingeben — und ergänzt die Allgemeinen Geschäftsbedingungen.

1. Gegenstand, Dauer und Rangfolge

(1) Der Auftragnehmer stellt dem Auftraggeber die Web-Anwendung Pulse als Cloud-Dienst bereit (Hosting, Speicherung und Verarbeitung der vom Auftraggeber eingegebenen Daten). Art und Zweck der Verarbeitung, die Arten personenbezogener Daten und die Kategorien betroffener Personen ergeben sich aus Anlage 1.

(2) Die Verarbeitung dauert so lange, wie der Auftraggeber ein Pulse-Konto nutzt. Der Vertrag endet mit der Beendigung des Nutzungsverhältnisses (Kündigung bzw. Löschung des Kontos) und nach Erfüllung der Pflichten aus Ziffer 12.

(3) Bei Widersprüchen zwischen diesem Vertrag und den Allgemeinen Geschäftsbedingungen gehen die Regelungen dieses Vertrags vor, soweit es um die Verarbeitung personenbezogener Daten geht.

2. Weisungsrecht

(1) Der Auftragnehmer verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Auftraggebers — auch in Bezug auf die Übermittlung in ein Drittland —, es sei denn, er ist durch Unionsrecht oder das Recht eines Mitgliedstaats zu einer anderen Verarbeitung verpflichtet. In diesem Fall teilt er dem Auftraggeber die rechtlichen Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht dies nicht wegen eines wichtigen öffentlichen Interesses verbietet.

(2) Als Weisung gelten dieser Vertrag und die vom Auftraggeber in Pulse getroffenen Einstellungen und ausgelösten Funktionen. Dazu gehört insbesondere der KI-Modus der Organisation („Aus“, „Nur auf Knopfdruck“, „Automatisch“): Der Auftragnehmer sendet Daten nur im Rahmen des gewählten Modus an die in Anlage 3 genannte KI. Einzelweisungen erteilt der Auftraggeber in Textform (E-Mail an support@pulse-business.app).

(3) Der Auftragnehmer weist den Auftraggeber unverzüglich darauf hin, wenn er der Auffassung ist, dass eine Weisung gegen datenschutzrechtliche Vorschriften verstößt. Er darf die Ausführung der Weisung aussetzen, bis der Auftraggeber sie bestätigt oder ändert.

3. Pflichten und Verantwortung des Auftraggebers

(1) Der Auftraggeber ist Verantwortlicher im Sinne der DSGVO. Er ist dafür verantwortlich, dass die Verarbeitung der von ihm eingegebenen Daten rechtmäßig ist (insbesondere eine Rechtsgrundlage besteht) und dass er seine Informationspflichten gegenüber den betroffenen Personen erfüllt.

(2) Pulse ist nicht für die Verarbeitung besonderer Kategorien personenbezogener Daten (Art. 9 DSGVO) oder von Daten über strafrechtliche Verurteilungen und Straftaten (Art. 10 DSGVO) ausgelegt. Der Auftraggeber gibt solche Daten nicht ein, es sei denn, der Auftragnehmer hat zuvor in Textform zugestimmt.

(3) Der Auftraggeber wählt den KI-Modus seiner Organisation eigenverantwortlich und prüft, ob die Übermittlung der jeweils betroffenen Daten an die KI mit seinen Pflichten gegenüber seinen Kunden vereinbar ist.

(4) Der Auftraggeber benennt dem Auftragnehmer auf Verlangen einen Ansprechpartner für datenschutzrechtliche Fragen.

4. Vertraulichkeit

Der Auftragnehmer verpflichtet sich und alle Personen, die bei ihm mit der Verarbeitung befugt sind, zur Vertraulichkeit, soweit sie nicht bereits einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen. Diese Pflicht besteht nach Beendigung dieses Vertrags fort.

5. Technische und organisatorische Maßnahmen

(1) Der Auftragnehmer trifft die in Anlage 2 beschriebenen technischen und organisatorischen Maßnahmen, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten (Art. 32 DSGVO).

(2) Die Maßnahmen werden an den Stand der Technik angepasst. Alternative Maßnahmen sind zulässig, wenn sie das Schutzniveau nicht unterschreiten. Wesentliche Änderungen dokumentiert der Auftragnehmer und stellt sie dem Auftraggeber auf Anfrage bereit.

6. Unterauftragsverarbeiter

(1) Der Auftraggeber erteilt dem Auftragnehmer die allgemeine Genehmigung, die in Anlage 3 genannten Unterauftragsverarbeiter einzusetzen.

(2) Beabsichtigte Änderungen (Hinzuziehung oder Ersetzung von Unterauftragsverarbeitern) teilt der Auftragnehmer dem Auftraggeber mindestens 30 Tage vorher in Textform mit (E-Mail an die im Konto hinterlegte Adresse und/oder Hinweis in Pulse). Der Auftraggeber kann innerhalb von 14 Tagen aus einem wichtigen datenschutzrechtlichen Grund widersprechen. Ohne Widerspruch gilt die Änderung als genehmigt. Können sich die Parteien bei berechtigtem Widerspruch nicht einigen, kann der Auftraggeber das Nutzungsverhältnis außerordentlich zum Zeitpunkt des Wirksamwerdens der Änderung kündigen.

(3) Der Auftragnehmer schließt mit jedem Unterauftragsverarbeiter einen Vertrag, der diesem im Wesentlichen dieselben Datenschutzpflichten auferlegt wie dieser Vertrag, und haftet gegenüber dem Auftraggeber für deren Einhaltung.

7. Übermittlungen in Drittländer

(1) Eine Verarbeitung außerhalb der Europäischen Union bzw. des Europäischen Wirtschaftsraums erfolgt nur, wenn die besonderen Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind — insbesondere auf Grundlage eines Angemessenheitsbeschlusses der EU-Kommission oder geeigneter Garantien (Art. 46 DSGVO), etwa der EU-Standardvertragsklauseln.

(2) Die in Anlage 3 genannten Drittlandbezüge und die jeweils verwendeten Garantien gelten als vom Auftraggeber genehmigt.

8. Unterstützung bei Betroffenenrechten

(1) Der Auftragnehmer unterstützt den Auftraggeber mit geeigneten technischen und organisatorischen Maßnahmen dabei, Anträge betroffener Personen (Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit, Widerspruch) zu beantworten. Der Auftraggeber kann die in Pulse gespeicherten Daten selbst einsehen, berichtigen, löschen und exportieren.

(2) Wendet sich eine betroffene Person direkt an den Auftragnehmer, leitet dieser die Anfrage unverzüglich an den Auftraggeber weiter und beantwortet sie nicht selbst, sofern er nicht gesetzlich dazu verpflichtet ist.

9. Weitere Unterstützungspflichten

Der Auftragnehmer unterstützt den Auftraggeber unter Berücksichtigung der Art der Verarbeitung und der ihm zur Verfügung stehenden Informationen bei der Einhaltung der Pflichten aus Art. 32 bis 36 DSGVO (Sicherheit, Meldung von Verletzungen des Schutzes personenbezogener Daten, Datenschutz-Folgenabschätzung, vorherige Konsultation der Aufsichtsbehörde).

10. Meldung von Datenschutzverletzungen

(1) Wird dem Auftragnehmer eine Verletzung des Schutzes personenbezogener Daten im Zusammenhang mit der Verarbeitung für den Auftraggeber bekannt, meldet er sie dem Auftraggeber unverzüglich, spätestens innerhalb von 48 Stunden nach Kenntniserlangung, an die im Konto hinterlegte E-Mail-Adresse.

(2) Die Meldung enthält, soweit bekannt, die Art der Verletzung, die betroffenen Datenkategorien und ungefähre Zahl der Betroffenen, die wahrscheinlichen Folgen sowie die ergriffenen und vorgeschlagenen Maßnahmen. Fehlende Angaben liefert der Auftragnehmer unverzüglich nach.

11. Kontrollrechte und Nachweise

(1) Der Auftragnehmer stellt dem Auftraggeber die erforderlichen Informationen zum Nachweis der Einhaltung der Pflichten aus diesem Vertrag zur Verfügung. Dazu dienen insbesondere dieser Vertrag mit seinen Anlagen und die Dokumentation der Sicherungs- und Wiederherstellungstests, die der Auftragnehmer auf Anfrage bereitstellt.

(2) Der Auftraggeber kann die Einhaltung dieses Vertrags durch Überprüfungen — einschließlich Inspektionen — prüfen oder durch einen zur Verschwiegenheit verpflichteten Prüfer prüfen lassen. Sie sind mit angemessener Frist (in der Regel 14 Tage) anzukündigen, finden während der üblichen Geschäftszeiten statt, stören den Betrieb nicht unverhältnismäßig und sind grundsätzlich auf einmal jährlich beschränkt, außer bei konkretem Anlass (z. B. einer Datenschutzverletzung).

(3) Prüfungen bei Unterauftragsverarbeitern erfolgen anhand von deren Zertifizierungen, Prüfberichten und vertraglichen Zusagen; ein Zugang zu den Rechenzentren der Unterauftragsverarbeiter besteht nicht.

12. Löschung und Rückgabe nach Vertragsende

(1) Nach Beendigung des Nutzungsverhältnisses löscht der Auftragnehmer die für den Auftraggeber verarbeiteten personenbezogenen Daten, sofern keine gesetzliche Pflicht zur Speicherung besteht. Vor Vertragsende kann der Auftraggeber seine Daten in Pulse exportieren (Rückgabe).

(2) Löscht der Auftraggeber sein Konto in Pulse, werden die Geschäftsdaten und die von Pulse angelegten Sicherungskopien unmittelbar mitgelöscht. Sicherungen der Unterauftragsverarbeiter laufen nach deren Aufbewahrungsfrist automatisch aus; bis dahin werden sie nicht für andere Zwecke verwendet.

(3) Gesetzliche Aufbewahrungspflichten des Auftraggebers (z. B. für Rechnungen) bleiben unberührt; deren Erfüllung — etwa durch einen Export vor der Löschung — obliegt dem Auftraggeber.

13. Haftung

Für die Haftung gelten Art. 82 DSGVO und die Haftungsregelungen der Allgemeinen Geschäftsbedingungen des Auftragnehmers.

14. Schlussbestimmungen, Annahme und Änderungen

(1) Dieser Vertrag kommt zustande, indem ein Inhaber oder Administrator des Auftraggebers ihn in Pulse unter „Einstellungen → Auftragsverarbeitung (AVV)“ annimmt. Die elektronische Annahme genügt der Textform. Als Nachweis speichert der Auftragnehmer Zeitpunkt, Konto bzw. Organisation, Name der annehmenden Person, Firma und Anschrift des Auftraggebers, Sprache, Version und Prüfsumme des angenommenen Vertragstextes.

(2) Der Auftragnehmer kann diesen Vertrag anpassen, wenn dies wegen geänderter Rechtslage, geänderter Unterauftragsverarbeiter (Ziffer 6) oder geänderter technischer und organisatorischer Maßnahmen erforderlich ist und den Auftraggeber nicht unangemessen benachteiligt. Er informiert den Auftraggeber mit angemessener Frist; bei wesentlichen Änderungen bittet er in Pulse um eine erneute Annahme.

(3) Es gilt das Recht der Bundesrepublik Deutschland. Sollten einzelne Bestimmungen unwirksam sein, bleibt die Wirksamkeit der übrigen unberührt.

Anlage 1 — Gegenstand der Verarbeitung

Art und Zweck der Verarbeitung

Bereitstellung, Betrieb und Absicherung der Anwendung Pulse für den Auftraggeber: Speicherung und Abruf der eingegebenen Daten, Berechnung und Darstellung (z. B. Rechnungen, Angebote, Finanzübersichten), Erstellung von Sicherungskopien und deren Wiederherstellung, Authentifizierung und Rechteverwaltung der Nutzer sowie Versand von Konto-E-Mails (Bestätigung, Passwort-Zurücksetzen, Einladungen).

Auf Weisung des Auftraggebers (KI-Modus, Ziffer 2 Abs. 2): KI-gestützte Verarbeitung der für die jeweilige Funktion nötigen Daten durch den in Anlage 3 genannten KI-Anbieter.

Auf Weisung des Auftraggebers (Opportunity-Radar): Auswertung und Zwischenspeicherung der vom Auftraggeber eingefügten oder an seine persönliche Weiterleitungsadresse gesendeten Anfragen, Ausschreibungen und Stellenanzeigen (Text, ohne Anhänge; unbearbeitete Nachrichten höchstens 30 Tage) sowie – soweit der Auftraggeber dies auslöst – deren KI-gestützte Bewertung und Antwortvorbereitung durch den in Anlage 3 genannten KI-Anbieter.

Kategorien betroffener Personen

• Kunden, Interessenten und Geschäftspartner des Auftraggebers sowie deren Ansprechpartner
• Personen, die in Projekten, Rechnungen, Angeboten, Verträgen, Terminen, Dokumenten oder Notizen des Auftraggebers genannt werden
• Mitarbeitende, Teammitglieder und beauftragte Personen des Auftraggebers (Nutzerkonten)
• Personen, die in vom Auftraggeber eingefügten oder weitergeleiteten Anfragen, Ausschreibungen und Stellenanzeigen genannt werden (z. B. Ansprechpartner potenzieller Auftraggeber)

Arten personenbezogener Daten

• Stammdaten: Name, Firma, Anschrift, E-Mail-Adresse, Telefonnummer, Steuer- bzw. USt-Identifikationsnummer
• Vertrags-, Rechnungs- und Zahlungsdaten: Inhalte von Angeboten, Rechnungen, Verträgen und Mahnungen, Beträge, Zahlungsstatus sowie Bankverbindung des Auftraggebers auf Rechnungen
• Projekt-, Zeit- und Terminangaben, Notizen, Dokumente und Projektdateien samt deren Inhalt, soweit vom Auftraggeber eingegeben
• Nutzerkonten: Name, E-Mail-Adresse, Rolle, Anmelde- und technische Nutzungsdaten (z. B. IP-Adresse in Server-Protokollen), Einträge im Audit-Log
• Opportunity-Radar: Suchprofil des Auftraggebers (Skills, Mindestsatz, Regionen, Sprachen, Verfügbarkeit), gemerkte Chancen mit Notizen und Entwürfen sowie – eingefügt oder an die Weiterleitungsadresse gesendet – Absender, Betreff und Text von Anfragen und E-Mails (keine Anhänge)

Besondere Kategorien

Nicht vorgesehen (siehe Ziffer 3 Abs. 2).

Dauer

Siehe Ziffer 1 Abs. 2 und Ziffer 12.

Anlage 2 — Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

1. Vertraulichkeit

• Zutrittskontrolle: Der Auftragnehmer betreibt keine eigenen Rechenzentren. Die Anwendung läuft bei den in Anlage 3 genannten Unterauftragsverarbeitern; die physische Zutrittskontrolle liegt dort.
• Zugangskontrolle: Anmeldung über E-Mail und Passwort oder über Google, Apple bzw. Microsoft (Supabase Auth); Sitzungen mit signierten Token; Zugriff des Auftragnehmers auf die Produktivsysteme ausschließlich über die Verwaltungskonsolen der Anbieter und nur durch den Auftragnehmer selbst.
• Zugriffskontrolle: Zugriff auf die Daten einer Organisation haben nur deren Mitglieder — durch Datenbank-Regeln (Row-Level-Security) erzwungen, nicht nur in der Oberfläche. Innerhalb der Organisation gelten rollenbasierte Rechte (Inhaber, Administrator, Buchhaltung, Mitarbeiter, Betrachter; Rechtematrix einstellbar). Team-Verwaltung, Datensicherungen und AVV-Annahme sind serverseitig auf Inhaber bzw. Administratoren beschränkt; Tarif- und Abrechnungsfelder sind durch einen Datenbank-Trigger vor Manipulation geschützt.
• Trennungskontrolle: Die Daten verschiedener Auftraggeber werden logisch getrennt in derselben Datenbank gehalten (Mandantentrennung je Organisation).
• Verschlüsselung: Übertragung nur verschlüsselt (TLS, HSTS, strenge Sicherheits-Header); nach Angaben von Supabase sind alle Kundendaten im Ruhezustand mit AES-256 verschlüsselt. Geheime Schlüssel (z. B. der KI-Zugang und der Service-Schlüssel der Datenbank) liegen ausschließlich serverseitig und nie im Browser.

2. Integrität

• Weitergabekontrolle: Datenübertragung ausschließlich über TLS; KI-Anfragen laufen über einen serverseitigen Proxy, der nur Anfragen angemeldeter Nutzer annimmt; der KI-Modus „Aus“ wird serverseitig durchgesetzt.
• Eingabekontrolle: Audit-Log in der Anwendung (wer hat wann welche Aktion ausgeführt, z. B. Anlegen und Löschen von Datensätzen, Rechteänderungen, Änderung des KI-Modus, Wiederherstellung einer Sicherung).

3. Verfügbarkeit und Belastbarkeit

• Sicherungskonzept: Pulse legt je Organisation automatisch Sicherungskopien an — einmal pro Tag mit Änderungen sowie vor größeren Löschungen — und bewahrt sie bis zu 30 Tage auf. Jede Sicherung trägt eine Prüfsumme (SHA-256).
• Wiederherstellbarkeit: Inhaber und Administratoren können eine Sicherung in den Einstellungen selbst wiederherstellen und die Sicherungen prüfen; vor jeder Wiederherstellung wird der aktuelle Stand gesichert. Das Vorgehen ist in einem Betriebshandbuch dokumentiert; die Sicherungs- und Wiederherstellungsfunktion wird durch automatisierte Tests geprüft.
• Weitere Maßnahmen der Unterauftragsverarbeiter (Infrastruktur, Datenbank-Sicherungen nach deren jeweiligem Leistungsumfang) kommen hinzu.
• Die Anwendung ist offlinefähig: Änderungen werden lokal zwischengespeichert und nach einem Verbindungsabbruch synchronisiert.
• Missbrauchs- und Überlastschutz: serverseitiges Tageslimit je Nutzer für KI-Anfragen.

4. Überprüfung, Bewertung und Datenschutz durch Technikgestaltung

• Datenschutz durch Voreinstellung: Die KI sendet Daten standardmäßig nur auf Knopfdruck; der Auftraggeber kann sie ausschalten. Reichweitenmessung ohne Cookies und anonym; Fehler- und Nutzungsstatistiken enthalten keine personenbezogenen Daten oder Geschäftsdaten.
• Änderungen an Datenbank, Rechten und Sicherungen werden mit automatisierten Tests (einschließlich Tests gegen eine echte PostgreSQL-Datenbank) geprüft.
• Auftragskontrolle: Unterauftragsverarbeiter sind vertraglich gebunden (Auftragsverarbeitungsverträge, EU-Standardvertragsklauseln); Weisungen werden in Textform dokumentiert.
• Meldeprozess für Datenschutzverletzungen gemäß Ziffer 10.

Anlage 3 — Unterauftragsverarbeiter

Folgende Unterauftragsverarbeiter werden zum Zeitpunkt dieser Fassung eingesetzt:

Keine Unterauftragsverarbeiter im Sinne dieses Vertrags

• Paddle (Merchant of Record) wickelt Zahlungen als eigenständiger Verantwortlicher ab; es werden keine Kunden- oder Projektdaten des Auftraggebers (Anlage 1) an Paddle übermittelt.
• GitHub (optionale Projektdatei-Synchronisierung): Die Übertragung erfolgt auf Veranlassung des Auftraggebers direkt zwischen dessen Browser und GitHub; der Zugriffstoken verbleibt ausschließlich im Browser. Pulse-Server erhalten weder Token noch diese Dateiinhalte.
• Google, Apple, Microsoft (optionale Anmeldung): eigenständige Verantwortliche für die Anmeldung; übermittelt werden nur Basis-Profildaten (Name, E-Mail).
• Öffentliche Quellen des Opportunity-Radars (TED, We Work Remotely, Remotive sowie Karriereseiten bei Greenhouse und Lever): Pulse ruft diese öffentlichen Angebote serverseitig ab; übermittelt werden nur Suchbegriffe und Ländercodes, keine personenbezogenen Daten des Auftraggebers oder seiner Kunden. freelance.de wird nicht automatisch abgerufen.

Annahme

Mit der Annahme in Pulse (Einstellungen → Auftragsverarbeitung (AVV)) wird dieser Vertrag zwischen dem Auftraggeber und dem Auftragnehmer wirksam. Annahmezeitpunkt, Konto, annehmende Person und Prüfsumme dieses Textes werden als Nachweis gespeichert.