Auftragsverarbeitungsvertrag (AVV)

The People Readiness Company (TPRC) ist eine Marke der The People Readiness Company GmbH.

Dieser Auftragsverarbeitungsvertrag („AVV“) ist Bestandteil der Vereinbarung zwischen der The People Readiness Company GmbH („TPRC“, „Auftragsverarbeiter“, „wir“, „uns“ oder „unser“) und dem Kunden, der im jeweiligen Bestellformular, Angebot, Rahmenvertrag (Master Services Agreement) oder in den Abonnementbedingungen bezeichnet ist („Kunde“, „Verantwortlicher“ oder „Sie“) (die „Vereinbarung“), auf deren Grundlage wir unsere Software und die damit verbundenen Dienstleistungen (die „Dienste“) bereitstellen. Er stellt einen Vertrag über die Verarbeitung personenbezogener Daten im Auftrag im Sinne von Art. 28 der Datenschutz-Grundverordnung (DSGVO) dar.

Dieser AVV gilt, soweit und solange wir im Rahmen der Erbringung der Dienste personenbezogene Daten im Auftrag des Kunden verarbeiten. Er dokumentiert die Vereinbarung der Parteien über die Verarbeitung solcher personenbezogenen Daten gemäß den anwendbaren Datenschutzgesetzen. Hat der Kunde den Vertrag mit einem mit der The People Readiness Company GmbH verbundenen Unternehmen geschlossen, ist dieses Unternehmen Auftragsverarbeiter im Sinne dieses AVV, und die The People Readiness Company GmbH ist dessen Unterauftragsverarbeiter. Wenn Sie eine unterzeichnete Ausfertigung benötigen, kontaktieren Sie uns bitte über die unten angegebenen Kontaktdaten.

Zuletzt aktualisiert: 03.11.2026

Definitionen

„Datenschutzgesetze“ bezeichnet alle Gesetze und Vorschriften, die auf die Verarbeitung personenbezogener Daten im Rahmen der Vereinbarung anwendbar sind, einschließlich der Datenschutz-Grundverordnung (EU) 2016/679 („DSGVO“), des Bundesdatenschutzgesetzes („BDSG“), der UK GDPR und des Data Protection Act 2018 („UK GDPR“), des California Consumer Privacy Act in seiner jeweils geltenden Fassung („CCPA“) sowie weiterer Datenschutzgesetze einzelner US-Bundesstaaten.

„Personenbezogene Daten“, „Verarbeitung“, „Verantwortlicher“, „Auftragsverarbeiter“, „betroffene Person“ und „Verletzung des Schutzes personenbezogener Daten“ haben die Bedeutung, die ihnen in den jeweils anwendbaren Datenschutzgesetzen zugewiesen wird. Soweit Datenschutzgesetze einzelner US-Bundesstaaten Anwendung finden, haben „Business“, „Service Provider“, „Consumer“ sowie „Sell“ beziehungsweise „Share“ die dort festgelegte Bedeutung. Verweise auf Verantwortliche und Auftragsverarbeiter umfassen entsprechend Business und Service Provider.

„Personenbezogene Kundendaten“ bezeichnet personenbezogene Daten, die wir im Auftrag des Kunden gemäß der Vereinbarung verarbeiten, wie in Anhang I beschrieben.

„Unterauftragsverarbeiter“ bezeichnet jeden Dritten, den wir mit der Verarbeitung personenbezogener Kundendaten beauftragen.

„Standardvertragsklauseln“ oder „SCCs“ bezeichnet die von der Europäischen Kommission genehmigten Standardvertragsklauseln (Durchführungsbeschluss (EU) 2021/914) sowie für Übermittlungen aus dem Vereinigten Königreich das UK International Data Transfer Addendum.

Rollen der Parteien

Die Parteien erkennen an, dass der Kunde in Bezug auf personenbezogene Kundendaten der Verantwortliche (oder Business) und die The People Readiness Company GmbH der Auftragsverarbeiter (oder Service Provider) ist. Soweit der Kunde selbst als Auftragsverarbeiter im Auftrag eines Dritten handelt, sichert der Kunde zu, über die erforderlichen Befugnisse und Weisungen zu verfügen, um uns im Rahmen dieses AVV zu beauftragen.

Umfang und Einzelheiten der Verarbeitung

Wir verarbeiten personenbezogene Kundendaten ausschließlich in dem Umfang, der zur Erbringung der Dienste erforderlich ist, sowie entsprechend den Bestimmungen dieses AVV. Gegenstand, Dauer, Art und Zweck der Verarbeitung, die Arten personenbezogener Daten sowie die Kategorien betroffener Personen sind in Anhang I beschrieben.

Pflichten des Auftragsverarbeiters

Wir werden:

• Nur auf dokumentierte Weisung handeln. Personenbezogene Kundendaten ausschließlich auf dokumentierte Weisung des Kunden verarbeiten, einschließlich der Vereinbarung, dieses AVV und der Nutzung der Dienste durch den Kunden, es sei denn, wir sind nach dem Recht der Union oder eines Mitgliedstaats zu einer anderen Verarbeitung verpflichtet. In diesem Fall informieren wir den Kunden, soweit dies gesetzlich zulässig ist.
• Auf rechtswidrige Weisungen hinweisen. Den Kunden unverzüglich informieren, wenn wir der Auffassung sind, dass eine Weisung gegen geltende Datenschutzgesetze verstößt.
• Vertraulichkeit sicherstellen. Sicherstellen, dass alle zur Verarbeitung personenbezogener Kundendaten befugten Personen angemessenen Vertraulichkeitsverpflichtungen unterliegen.
• Sicherheitsmaßnahmen umsetzen. Die in Anhang II beschriebenen technischen und organisatorischen Maßnahmen gemäß Art. 32 DSGVO umsetzen und aufrechterhalten.
• Den Kunden unterstützen. Unter Berücksichtigung der Art der Verarbeitung angemessene Unterstützung bei der Erfüllung der Pflichten des Kunden nach Art. 32 bis 36 DSGVO leisten, insbesondere hinsichtlich Sicherheit, Betroffenenrechten, Meldung von Datenschutzverletzungen, Datenschutz-Folgenabschätzungen sowie vorherigen Konsultationen.

Pflichten des Kunden

Der Kunde ist für die Richtigkeit, Qualität und Rechtmäßigkeit der personenbezogenen Kundendaten sowie für die Art und Weise ihrer Erhebung verantwortlich. Der Kunde gewährleistet, dass er über eine rechtmäßige Grundlage verfügt, um uns personenbezogene Kundendaten bereitzustellen und die in diesem AVV beschriebene Verarbeitung zu autorisieren, und dass seine Weisungen den Datenschutzgesetzen entsprechen. Dies umfasst auch die Verantwortung für eine geeignete Rechtsgrundlage für besondere Kategorien personenbezogener Daten, die Nutzende gegebenenfalls freiwillig in Freitextfeldern eingeben.

Unterauftragsverarbeiter

Der Kunde erteilt uns eine allgemeine Genehmigung zur Beauftragung von Unterauftragsverarbeitern. Unsere aktuellen Unterauftragsverarbeiter sind in Anhang III aufgeführt. Wir werden:

• jeden Unterauftragsverarbeiter durch schriftliche Vereinbarung zu Datenschutzpflichten verpflichten, die mindestens dem Schutzniveau dieses AVV entsprechen;
• für die Erfüllung der Pflichten jedes Unterauftragsverarbeiters verantwortlich bleiben; und
• den Kunden mindestens 30 Tage vor der Hinzufügung oder dem Austausch eines Unterauftragsverarbeiters informieren, entweder per E-Mail oder durch Aktualisierung einer abonnierbaren Online-Liste. Der Kunde erhält dadurch die Möglichkeit, aus berechtigten datenschutzrechtlichen Gründen Einspruch zu erheben. Kann einem berechtigten Einspruch nicht entsprochen werden, kann der Kunde die betroffenen Dienste als einziges Rechtsmittel kündigen.

Internationale Datenübermittlungen

Wir hosten personenbezogene Kundendaten auf Microsoft Azure in der in Anhang III angegebenen Region. Soweit ein Unterauftragsverarbeiter personenbezogene Kundendaten in einem Land außerhalb des Europäischen Wirtschaftsraums ohne angemessenes Datenschutzniveau verarbeitet oder von dort darauf zugreifen kann, stellen wir sicher, dass die Übermittlung durch geeignete Garantien nach Kapitel V DSGVO abgesichert ist, insbesondere durch die Zertifizierung des Unterauftragsverarbeiters nach dem EU-U.S. Data Privacy Framework (gegebenenfalls einschließlich UK Extension und Swiss-U.S. Data Privacy Framework) oder durch zwischen uns und dem Unterauftragsverarbeiter geschlossene Standardvertragsklauseln (Modul 3, Auftragsverarbeiter zu Auftragsverarbeiter).

Hat der Kunde seinen Sitz außerhalb des Europäischen Wirtschaftsraums und werden personenbezogene Kundendaten aus dem Vereinigten Königreich oder der Schweiz an uns übermittelt, werden die Standardvertragsklauseln und gegebenenfalls das UK Addendum durch Verweis Bestandteil dieses AVV und durch die Angaben in den Anhängen ergänzt. Im Falle eines Widerspruchs haben die Standardvertragsklauseln hinsichtlich der von ihnen geregelten Übermittlungen Vorrang.

Anfragen betroffener Personen

Unter Berücksichtigung der Art der Verarbeitung leisten wir dem Kunden angemessene Unterstützung, einschließlich geeigneter technischer und organisatorischer Maßnahmen, damit dieser Anfragen betroffener Personen zur Ausübung ihrer Rechte nach den Datenschutzgesetzen bearbeiten kann.

Erhalten wir eine solche Anfrage direkt, informieren wir den Kunden unverzüglich, soweit dies gesetzlich zulässig ist, und verweisen die betroffene Person an den Kunden. Eine direkte Beantwortung erfolgt nur auf Weisung des Kunden oder wenn wir gesetzlich dazu verpflichtet sind.

Verletzung des Schutzes personenbezogener Daten

Wir informieren den Kunden unverzüglich, spätestens jedoch innerhalb von 72 Stunden nach Kenntniserlangung, über jede Verletzung des Schutzes personenbezogener Daten, die personenbezogene Kundendaten betrifft. Dabei stellen wir alle uns angemessen verfügbaren Informationen zur Verfügung, die der Kunde zur Erfüllung seiner gesetzlichen Meldepflichten benötigt.

Wir ergreifen angemessene Maßnahmen, um die Auswirkungen der Datenschutzverletzung einzudämmen und, soweit möglich, Abhilfe zu schaffen. Eine Benachrichtigung stellt kein Schuldeingeständnis und keine Haftungsanerkennung dar.

Anfragen von Behörden und Strafverfolgungsbehörden

Erhalten wir eine rechtsverbindliche Anfrage einer Behörde hinsichtlich personenbezogener Kundendaten, geben wir nur diejenigen Daten heraus, deren Offenlegung gesetzlich vorgeschrieben ist. Soweit rechtlich zulässig, informieren wir den Kunden vor einer solchen Offenlegung.

Audits

Wir stellen dem Kunden alle Informationen zur Verfügung, die angemessenerweise erforderlich sind, um die Einhaltung dieses AVV nachzuweisen. Zudem ermöglichen und unterstützen wir Überprüfungen einschließlich Inspektionen durch den Kunden oder einen von ihm beauftragten Prüfer.

Um Betriebsunterbrechungen zu minimieren, erfolgen Audits mit angemessener Vorankündigung, grundsätzlich höchstens einmal pro Jahr, während der üblichen Geschäftszeiten und unter Wahrung angemessener Vertraulichkeitspflichten. Davon ausgenommen sind Audits aufgrund behördlicher Anordnungen oder nach einer Datenschutzverletzung.

Soweit verfügbar, können wir Audit-Anfragen durch aktuelle Prüfberichte oder Zertifizierungen Dritter (zum Beispiel SOC 2 oder ISO 27001), einschließlich solcher unseres Hosting-Anbieters, erfüllen.

Rückgabe und Löschung von Daten

Nach Beendigung oder Ablauf der Vereinbarung löschen wir nach Wahl des Kunden die personenbezogenen Kundendaten oder geben sie zurück und löschen vorhandene Kopien, sofern nicht nach dem Recht der Union oder eines Mitgliedstaats eine Verpflichtung zur Speicherung besteht. Die Löschung oder Rückgabe erfolgt innerhalb von 30 Tagen nach Vertragsende, vorbehaltlich unserer üblichen Datensicherungszyklen. Bis zur endgültigen Löschung bleiben die Daten durch diesen AVV geschützt.

Bestimmungen nach US-Datenschutzrecht (Service Provider)

Für personenbezogene Daten, die dem CCPA oder anderen Datenschutzgesetzen einzelner US-Bundesstaaten unterliegen, handeln wir als Service Provider (bzw. Auftragsverarbeiter). Wir werden personenbezogene Kundendaten (a) nicht verkaufen oder teilen; (b) nicht für andere Zwecke als die Erbringung der Dienste speichern, nutzen oder offenlegen, soweit nicht gesetzlich zulässig; (c) nicht außerhalb der direkten Geschäftsbeziehung mit dem Kunden speichern, nutzen oder offenlegen; und (d) nicht mit personenbezogenen Daten aus anderen Quellen zusammenführen, soweit nicht gesetzlich zulässig. Wir bestätigen, dass wir diese Beschränkungen verstehen und einhalten.

Aggregierte und anonymisierte Daten

Wir dürfen aus personenbezogenen Kundendaten aggregierte, anonymisierte oder de-identifizierte Daten erstellen und diese zum Betrieb, zur Entwicklung, zur Absicherung und zur Verbesserung der Dienste nutzen, etwa für Benchmarks, Analysen und Prognosen auf Organisationsebene, sofern diese Daten weder den Kunden noch eine betroffene Person oder sonstige Einzelpersonen identifizieren und vernünftigerweise nicht zu deren Identifizierung genutzt werden können. Solche Daten sind keine personenbezogenen Kundendaten. Wir werden nicht versuchen, sie zu re-identifizieren.

Haftung

Die Haftung jeder Partei aus oder im Zusammenhang mit diesem AVV richtet sich nach den Haftungsbeschränkungen und -ausschlüssen der Vereinbarung. Die Haftung gegenüber betroffenen Personen und Aufsichtsbehörden nach Art. 82 und 83 DSGVO bleibt hiervon unberührt.

Laufzeit, Vorrang und Schlussbestimmungen

Dieser AVV gilt, solange wir personenbezogene Kundendaten im Rahmen der Vereinbarung verarbeiten. Bei Widersprüchen zwischen diesem AVV und der Vereinbarung hinsichtlich der Verarbeitung personenbezogener Daten hat dieser AVV Vorrang. Bei Widersprüchen zwischen diesem AVV und den Standardvertragsklauseln haben die Standardvertragsklauseln hinsichtlich der von ihnen geregelten Übermittlungen Vorrang. Dieser AVV unterliegt dem Recht, das für die Vereinbarung gilt; enthält die Vereinbarung keine Rechtswahl, gilt deutsches Recht. Alle übrigen Bestimmungen der Vereinbarung bleiben unberührt.

Anhang I – Einzelheiten der Verarbeitung

Parteien. Verantwortlicher: der in der Vereinbarung bezeichnete Kunde. Auftragsverarbeiter: The People Readiness Company GmbH, Lachener Str. 62, 86911 Dießen am Ammersee, Deutschland (Amtsgericht Augsburg, HRB 43042; Geschäftsführer: Julius Geis).

Gegenstand und Dauer. Verarbeitung personenbezogener Kundendaten zur Erbringung der Dienste für die Laufzeit der Vereinbarung zuzüglich einer etwaigen Abwicklungsphase und gesetzlicher Aufbewahrungsfristen.

Art und Zweck der Verarbeitung. Hosting, Speicherung und Verarbeitung personenbezogener Kundendaten, soweit zur Erbringung der Dienste erforderlich, einschließlich People-Readiness-Befragungen, Journaling, Kalenderintegration, Konto- und Nutzerverwaltung, aggregierter Trendanalysen und Prognosen, Support und damit verbundener Funktionen. Analysen und Prognosen erfolgen mit klassischen Verfahren des maschinellen Lernens und werden ausschließlich in aggregierter Form auf Organisationsebene berichtet (siehe „Automatisierte Verarbeitung“ in Anhang II).

Kategorien betroffener Personen. Mitarbeitende, Personal, Bewerbende, freie Mitarbeitende und autorisierte Nutzende der Dienste auf Seiten des Kunden.

Kategorien personenbezogener Daten. Identifikations- und Kontaktdaten (Name, geschäftliche E-Mail-Adresse, Telefonnummer); Funktion, Abteilung und Organisationsdaten; Zugangsdaten und Authentifizierungstoken, einschließlich OAuth2-Token für autorisierte Kalenderintegrationen mit Microsoft und Google; Nutzungs- und Diagnosedaten; mit Zustimmung der Nutzenden abgerufene Kalenderdaten, beschränkt auf Titel und Uhrzeit (Beginn und Ende) von Terminen; sowie über die Dienste übermittelte Inhalte, einschließlich Befragungs-, Umfrage- und Readiness-Daten sowie Journal- oder Reflexionseinträge der Nutzenden.

Besondere Kategorien personenbezogener Daten. Die Dienste sind ein Reflexions- und Readiness-Werkzeug, keine Gesundheitsanwendung, und enthalten keine Funktionen, die besondere Kategorien personenbezogener Daten abfragen oder erfordern. Nutzende können in Freitext-Journaleinträgen aus eigener Entscheidung persönliche Reflexionen festhalten, die etwa Informationen zu Stress, Wohlbefinden oder Gesundheit enthalten können. Solche Inhalte werden in derselben Datenbank gespeichert und durch dieselben technischen und organisatorischen Maßnahmen geschützt wie alle anderen personenbezogenen Kundendaten; eine spezifische Verarbeitung besonderer Kategorien findet nicht statt. Der Kunde ist als Verantwortlicher für eine geeignete Rechtsgrundlage für besondere Kategorien personenbezogener Daten verantwortlich, die seine Nutzenden übermitteln.

Häufigkeit der Verarbeitung. Fortlaufend für die Laufzeit der Vereinbarung.

Unterauftragsverarbeiter. Siehe Anhang III.

Anhang II – Technische und organisatorische Maßnahmen

Die Dienste sind eine auf Microsoft Azure basierende Anwendung. Wir treffen dem Risiko angemessene technische und organisatorische Maßnahmen, darunter:

• Hosting und Infrastruktur – Betrieb auf Microsoft Azure mit Azure App Services (Anwendungshosting), Azure SQL Database (Datenspeicherung mit Hochverfügbarkeit und automatisierten Sicherungen), Azure Front Door (globale Lastverteilung, Verkehrssteuerung und Zustandsüberwachung) und Application Insights (Echtzeitüberwachung und Diagnose). Für die physische und infrastrukturelle Sicherheit der Rechenzentren stützen wir uns auf die zertifizierten Maßnahmen von Microsoft Azure.
• Datenresidenz – Datenbank, Anwendungs-Backends, Webhosting, Anwendungsüberwachung und Protokolle sowie sämtliche Datensicherungen befinden sich in der Azure-Region Germany West Central (Frankfurt). Personenbezogene Kundendaten, die in der Plattform gespeichert werden, verbleiben damit in Deutschland. Azure Front Door leitet und schützt den Datenverkehr über das globale Netzwerk von Microsoft.
• Verschlüsselung – Verschlüsselung bei der Übertragung (HTTPS/TLS) und bei der Speicherung, einschließlich verschlüsselter Verarbeitung von Zugangsdaten.
• Authentifizierung und Zugriffskontrolle – Anmeldung per E-Mail und Passwort; rollenbasierte Zugriffsrechte nach dem Prinzip der minimalen Berechtigung; OAuth2-Token für autorisierte Kalenderintegrationen (Microsoft und Google), die nur lesend und in eine Richtung arbeiten; Multi-Faktor-Authentifizierung für administrative Zugriffe.
• Netzwerk- und Anwendungssicherheit – sichere Übertragung, Trennung von Umgebungen und sichere Entwicklungspraktiken einschließlich Schwachstellenmanagement und Patching.
• Protokollierung und Überwachung – Anwendungs- und Leistungsüberwachung, Anomalieerkennung und Diagnose über Application Insights.
• Belastbarkeit und Datensicherung – Hochverfügbarkeit und automatisierte Sicherungen der Azure SQL Database sowie Zustandsüberwachung und Failover über Azure Front Door, um Verfügbarkeit und Zugang zu personenbezogenen Daten nach einem Vorfall rasch wiederherzustellen.
• Vertraulichkeit – Vertraulichkeitsverpflichtungen der Mitarbeitenden und Sensibilisierung für Informationssicherheit.
• Dienstleistermanagement – Sorgfältige Auswahl und vertragliche Absicherung von Unterauftragsverarbeitern.
• Vorfallmanagement – dokumentierter Prozess zur Erkennung und Behandlung von sowie Benachrichtigung über Datenschutzverletzungen.

Automatisierte Verarbeitung. Wir verwenden keine KI, um von Nutzenden erstellte Inhalte (etwa Journal- oder Reflexionseinträge) zu lesen, zusammenzufassen, zu interpretieren oder zu erzeugen, und nutzen diese Inhalte nicht zum Training von KI-Modellen. Klassische Verfahren des maschinellen Lernens setzen wir ausschließlich für aggregierte Trendanalysen und Prognosen auf Organisationsebene ein. Entscheidungen mit rechtlicher oder ähnlich erheblicher Wirkung für Einzelpersonen treffen wir nicht ohne menschliche Beteiligung. Allgemeine KI-Assistenten, die unsere Mitarbeitenden für interne Produktivität nutzen, werden nicht zur Verarbeitung personenbezogener Kundendaten eingesetzt.

Anhang III – Liste der Unterauftragsverarbeiter

Diese Liste umfasst die Dritten, die in der Plattform gespeicherte personenbezogene Kundendaten verarbeiten. Marketing- und Analysewerkzeuge auf unserer eigenen Website setzen wir als Verantwortlicher ein; sie sind in unserer Datenschutzerklärung und Cookie-Richtlinie beschrieben, nicht in diesem AVV.

Verbinden Nutzende einen Google- oder Microsoft-Kalender, ruft die App mit deren Zustimmung Titel und Uhrzeit von Terminen beim jeweiligen Anbieter ab. Google und Microsoft handeln dabei als Kalenderanbieter der Nutzenden und sind keine Unterauftragsverarbeiter von TPRC.

Allgemeine KI-Assistenten, die unsere Mitarbeitenden für interne Produktivität nutzen (etwa Claude und Microsoft Copilot), werden nicht zur Verarbeitung personenbezogener Kundendaten eingesetzt und sind daher nicht als Unterauftragsverarbeiter aufgeführt.

Kontakt

Bei Fragen zu diesem AVV oder wenn Sie eine unterzeichnete Ausfertigung benötigen, kontaktieren Sie uns unter:

The People Readiness Company GmbH
Lachener Str. 62
86911 Dießen am Ammersee
Deutschland
E-Mail: privacy@thepeoplereadiness.com