Auftragsverarbeitungsvertrag (AVV) — AmmoSuite Register

Letzte Aktualisierung: 30. Oktober 2026

Dieser Auftragsverarbeitungsvertrag („AVV“) beschreibt, wie AmmoSuite Register personenbezogene Daten im Auftrag des Kunden im Rahmen der Erbringung des Dienstes AmmoSuite Register (der „Dienst“) verarbeitet. Dieser AVV ist Anlage 1 (Auftragsverarbeitungsvertrag) zu den Allgemeinen Geschäftsbedingungen. Siehe auch die Datenschutzerklärung.

1. Parteien und Rollen

Kunde: die Organisation, die den Dienst nutzt und bestimmt, welche personenbezogenen Daten verarbeitet werden (Verantwortlicher).
AmmoSuite, Handelsname von Davy Bammens (Einzelunternehmen), Zonhovenstraat 39, 3500 Hasselt, Unternehmensnummer 0699.928.640: erbringt den Dienst AmmoSuite Register (nachfolgend in diesem AVV auch „AmmoSuite Register“) und verarbeitet personenbezogene Daten ausschließlich im Auftrag des Kunden (Auftragsverarbeiter).

2. Gegenstand, Art und Zweck der Verarbeitung

AmmoSuite Register verarbeitet personenbezogene Daten, um den Dienst erbringen, warten und absichern zu können, darunter: Kontoverwaltung, Authentifizierung, Protokollierung/Audit, Sicherungen, Wiederherstellung bei Vorfällen und Support. AmmoSuite Register verarbeitet Daten nicht für eigene, unabhängige Zwecke (z. B. Werbeprofilbildung).

3. Kategorien personenbezogener Daten

Je nach Nutzung können (u. a.) folgende Daten verarbeitet werden:

Nutzerdaten: Name, E-Mail, Rolle/Berechtigungen, (optional) Telefon.
Technische und Sicherheitsdaten: IP-Adresse, Sitzungskennungen, Protokolldaten, Geräte-/Browserinformationen.
Kundeninhalte: Daten, die vom Kunden und von Nutzern in das Register eingegeben werden (Inhalte und Metadaten).

4. Kategorien betroffener Personen

Nutzer des Dienstes (Mitarbeiter, Administratoren, Auditoren mit Lesezugriff).
Personen, deren Daten vom Kunden in den Dienst eingegeben werden („Kundeninhalte“).

5. Dauer der Verarbeitung

Die Verarbeitung erfolgt während der Laufzeit des Abonnements und/oder solange die Testumgebung aktiv ist. Nach Vertragsende kann der Kunde seine Daten noch 30 Tage lang exportieren. Danach löscht AmmoSuite die Daten; aus den Sicherungen verschwinden sie innerhalb von 30 Tagen, sofern keine gesetzliche Aufbewahrungspflicht besteht. Auf Anfrage bestätigt AmmoSuite die Löschung schriftlich. Ein Kunde, der seine Register gesetzlich länger aufbewahren muss, ist selbst für die Aufbewahrung dieses Exports verantwortlich.

6. Weisungen und Vertraulichkeit

AmmoSuite verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Kunden. Dieser Vertrag und die Einstellungen, die der Kunde im Dienst wählt, gelten als solche Weisungen. Hält AmmoSuite eine Weisung für rechtswidrig, teilt AmmoSuite dies dem Kunden mit. AmmoSuite verarbeitet die Daten nicht für eigene Zwecke, mit Ausnahme anonymisierter, aggregierter Nutzungsstatistiken, in denen kein Kunde und keine Person erkennbar ist.

Alle Personen, die für AmmoSuite tätig sind und Zugang zu den personenbezogenen Daten haben, sind zur Vertraulichkeit verpflichtet. Dieser Zugang wird nur genutzt, wenn dies für Support, Wartung oder Sicherheit erforderlich ist.

7. Sicherheitsmaßnahmen

AmmoSuite Register trifft geeignete technische und organisatorische Maßnahmen (TOM) zum Schutz personenbezogener Daten, darunter:

Verschlüsselte Verbindungen (TLS) zwischen Nutzern und der Plattform.
Passwörter werden gehasht gespeichert; nach wiederholten fehlgeschlagenen Anmeldeversuchen wird ein Konto vorübergehend gesperrt.
Optionale Zwei-Faktor-Authentifizierung über eine Authenticator-App, mit Wiederherstellungscodes; empfohlen für Administratoren.
Eine separate Datenbank pro Kunde.
Rollenbasierte Zugriffsrechte, verwaltet durch den Kunden.
Ein Aktivitätsprotokoll.
Private Dokumente können nur nach Anmeldung heruntergeladen werden.
Tägliche Sicherungen, die 30 Tage aufbewahrt werden.
Hosting in einem gesicherten Rechenzentrum in der EU, mit Verschlüsselung der Datenbank und physischer Zugangskontrolle beim Hosting-Partner.
Die Datenbank ist nicht öffentlich erreichbar: Die Anwendung verbindet sich über ein abgeschirmtes privates Netzwerk mit ihr. Die Serververwaltung erfolgt ausschließlich über SSH mit Schlüsseln.

AmmoSuite darf diese Maßnahmen anpassen, sofern das Schutzniveau nicht sinkt.

8. Unterauftragsverarbeiter

Der Kunde erteilt AmmoSuite die allgemeine Genehmigung, folgende Unterauftragsverarbeiter einzusetzen:

DigitalOcean, LLC (Vereinigte Staaten): Hosting von Servern, Datenbanken, Dateien und Sicherungen. Die Daten befinden sich im Rechenzentrum in Amsterdam (Niederlande). Grundlage für die Übermittlung: das EU-US Data Privacy Framework, mit Standardvertragsklauseln als Rückfalloption (DPA von DigitalOcean).
SMTP2GO (Sand Dune Mail Ltd, Neuseeland): Versand von E-Mails aus dem Dienst, gehostet in der EU. Für einen etwaigen Zugriff aus Neuseeland gilt der Angemessenheitsbeschluss der Europäischen Kommission.

Unterauftragsverarbeiter erhalten nur Zugang zu personenbezogenen Daten, soweit dies erforderlich ist, und unter angemessenen vertraglichen Garantien. Einen neuen oder ersetzenden Unterauftragsverarbeiter teilen wir mindestens 30 Tage im Voraus mit; der Kunde kann innerhalb dieser Frist begründeten Einspruch erheben.

9. Unterstützung bei den Rechten betroffener Personen

Der Dienst enthält integrierte Funktionen, mit denen der Kunde Daten einsehen, berichtigen, exportieren und löschen kann. Erhält AmmoSuite selbst einen Antrag einer betroffenen Person, leitet AmmoSuite diesen innerhalb von 5 Werktagen an den Kunden weiter und beantwortet ihn nicht selbst. AmmoSuite leistet angemessene Unterstützung bei einer Datenschutz-Folgenabschätzung (DSFA/DPIA) oder bei einer Anfrage der Datenschutzbehörde. Unterstützung, die über die Standardplattform hinausgeht, kann zum üblichen Stundensatz berechnet werden.

10. Datenpanne / Sicherheitsvorfall

Bei einer Verletzung des Schutzes personenbezogener Daten („Datenpanne“) informiert AmmoSuite den Kunden unverzüglich und spätestens 48 Stunden, nachdem AmmoSuite die Datenpanne entdeckt hat. AmmoSuite gibt dabei, soweit bekannt, an:

was geschehen ist;
welche Daten und wie viele betroffene Personen betroffen sind;
die wahrscheinlichen Folgen;
die ergriffenen oder vorgeschlagenen Maßnahmen.

Fehlende Informationen werden so schnell wie möglich nachgereicht. Der Kunde entscheidet, ob die Datenpanne der Datenschutzbehörde und den betroffenen Personen gemeldet wird; AmmoSuite tut dies nicht im Namen des Kunden.

11. Audit und Informationen

Auf Anfrage und höchstens einmal pro Jahr stellt AmmoSuite dem Kunden die Informationen zur Verfügung, die zum Nachweis der Einhaltung dieses AVV erforderlich sind, darunter verfügbare Auditberichte des Hosting-Partners, soweit dieser Partner dies zulässt. Reichen diese Informationen nicht aus, kann der Kunde ein Audit durch einen unabhängigen, zur Vertraulichkeit verpflichteten Sachverständigen durchführen lassen, nach einer Ankündigung von mindestens 30 Tagen und auf Kosten des Kunden.

12. Haftung

Für die Haftung nach diesem AVV gilt Artikel 13 der Allgemeinen Geschäftsbedingungen, unbeschadet des Artikels 82 DSGVO.

13. Kontakt

Fragen zu diesem AVV? Kontaktieren Sie contact@ammosuite.com.
Unternehmensnummer: 0699.928.640.

Diese deutsche Übersetzung dient nur zur Information. Bei Abweichungen ist die niederländische Fassung maßgeblich.