Vertrag über die Auftragsverarbeitung

1. Gegenstand und Dauer

Der Auftraggeber ([Name des Betriebs]) beauftragt den Auftragnehmer (Kristian Hoffmann, Karl-Kraut-Straße 15, 30177 Hannover, Deutschland) mit der Verarbeitung personenbezogener Daten nach Artikel 28 DSGVO.

Gegenstand ist der Betrieb von ServiceWecker: die Speicherung der Kunden- und Anlagendaten des Auftraggebers und der Versand von Wartungserinnerungen in dessen Namen.

Der Vertrag läuft, solange der Auftraggeber die Anwendung nutzt, und endet mit der Löschung seines Betriebskontos.

2. Art der Daten und Kreis der Betroffenen

Verarbeitet werden Stammdaten der Kunden des Auftraggebers und Daten ihrer technischen Anlagen.

• Name, Firma, Anschrift, E-Mail-Adresse, Telefonnummer
• Anlagendaten: Art, Hersteller, Modell, Seriennummer, Baujahr, Standort, Ansprechpartner vor Ort
• Wartungstermine, Vertragsstatus und Verlauf der versendeten Erinnerungen
• Angaben aus Wartungsanfragen: Wunschzeit und freiwillige Nachricht
• Betroffen sind die Bestandskunden des Auftraggebers sowie die Beschäftigten des Auftraggebers, die die Anwendung nutzen.

3. Weisungsbindung und Vertraulichkeit

Der Auftragnehmer verarbeitet die Daten ausschließlich im Rahmen dieses Vertrags und auf dokumentierte Weisung des Auftraggebers (Artikel 28 Absatz 3 Buchstabe a DSGVO). Die Nutzung der Anwendung durch den Auftraggeber gilt als Weisung.

Eine Verarbeitung in einem Drittland oder eine Übermittlung dorthin findet nur auf dokumentierte Weisung des Auftraggebers statt oder wenn das Recht der Union oder eines Mitgliedstaats sie verlangt; in diesem Fall teilt der Auftragnehmer die rechtliche Anforderung vor der Verarbeitung mit, sofern das Recht dies nicht verbietet.

Der Auftragnehmer stellt sicher, dass alle zur Verarbeitung befugten Personen zur Vertraulichkeit verpflichtet sind oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen (Artikel 28 Absatz 3 Buchstabe b DSGVO).

Hält der Auftragnehmer eine Weisung für rechtswidrig, teilt er dies unverzüglich mit und darf die Ausführung aussetzen.

4. Technische und organisatorische Maßnahmen

Der Auftragnehmer trifft die in der Anlage beschriebenen Maßnahmen nach Artikel 32 DSGVO. Sie beschreiben den tatsächlichen Betrieb und werden bei wesentlichen Änderungen fortgeschrieben.

5. Unterauftragsverarbeiter

Der Auftraggeber stimmt dem Einsatz der folgenden Unterauftragsverarbeiter zu:

• Hostinger International Ltd. (61 Lordou Vironos Street, 6023 Larnaca, Zypern) — Bereitstellung des Servers (Rechenzentrum Germany (Frankfurt)); kein Zugriff auf Inhalte. Die Daten liegen verschlüsselt auf einem vom Auftragnehmer verwalteten Server; der Anbieter stellt Hardware, Netz und Strom.
• Brevo (Sendinblue SAS), 106 boulevard Haussmann, 75008 Paris, Frankreich — Versand der E-Mails. Verarbeitet Empfängeradresse, Inhalt der Nachricht und Zustellereignisse.
• Weitere Unterauftragsverarbeiter werden mit einer Frist von 30 Tagen angekündigt; der Auftraggeber kann widersprechen und den Vertrag in diesem Fall fristlos kündigen.

6. Rechte der betroffenen Personen und Unterstützungspflichten

Der Auftragnehmer unterstützt den Auftraggeber bei Auskunfts-, Berichtigungs-, Lösch- und Widerspruchsersuchen. Die Anwendung enthält dafür einen vollständigen Datenexport, eine Löschfunktion je Kunde und einen Abmeldelink in jeder versendeten E-Mail.

Wendet sich eine betroffene Person direkt an den Auftragnehmer, leitet er das Anliegen unverzüglich an den Auftraggeber weiter.

Der Auftragnehmer unterstützt den Auftraggeber außerdem bei der Einhaltung der Pflichten aus den Artikeln 32 bis 36 DSGVO, insbesondere bei einer Datenschutz-Folgenabschätzung und einer vorherigen Konsultation der Aufsichtsbehörde, soweit die dafür nötigen Informationen beim Auftragnehmer liegen.

7. Meldepflichten

Der Auftragnehmer meldet dem Auftraggeber jede Verletzung des Schutzes personenbezogener Daten unverzüglich, spätestens innerhalb von 24 Stunden nach Kenntnis, mit allen Angaben, die der Auftraggeber für seine Meldung nach Artikel 33 DSGVO benötigt.

8. Kontrollrechte

Der Auftraggeber kann sich von der Einhaltung dieses Vertrags überzeugen. Der Auftragnehmer erteilt dazu Auskunft und stellt die Beschreibung der technischen und organisatorischen Maßnahmen zur Verfügung. Vor-Ort-Prüfungen sind nach Ankündigung mit angemessener Frist möglich.

9. Löschung und Rückgabe

Nach Beendigung des Vertrags löscht der Auftragnehmer die Daten des Auftraggebers innerhalb von 30 Tagen endgültig, sofern keine gesetzliche Aufbewahrungspflicht entgegensteht. Der Auftraggeber kann seine Daten bis dahin jederzeit vollständig exportieren.

Hinweis: Widersprüche gegen Werbung werden ausschließlich als nicht rückrechenbarer Hashwert der E-Mail-Adresse aufbewahrt, damit sie nicht durch einen erneuten Datenimport aufgehoben werden.

10. Verantwortlichkeit für den Versand

Verantwortlicher im Sinne der DSGVO und Absender der Erinnerungen ist der Auftraggeber. Er sichert zu, dass die verarbeiteten Kundendaten aus bestehenden Geschäftsbeziehungen stammen und der Versand von Wartungserinnerungen an diese Bestandskunden zulässig ist (§ 7 Absatz 3 UWG).

Der Auftragnehmer stellt sicher, dass jede Nachricht einen deutlichen Abmeldehinweis und einen Link zum Datenschutzhinweis des Auftraggebers enthält und ein Widerspruch dauerhaft beachtet wird.

Zutrittskontrolle (physisch)

• Die Datenbank und die Anwendung laufen auf einem dedizierten Server in einem Rechenzentrum in Germany (Frankfurt), gemietet bei Hostinger International Ltd..
• Physischen Zugang haben nur die Beschäftigten des Rechenzentrumsbetreibers; der Auftragsverarbeiter betritt die Anlage nicht.
• Keine Speicherung personenbezogener Daten außerhalb der Europäischen Union.

Zugangskontrolle (System)

• Serverzugang über SSH mit Public-Key-Verfahren; Passwortanmeldung ist deaktiviert.
• Genau eine Person hat administrativen Zugang zum Server.
• Die Anwendungscontainer laufen ohne Root-Rechte und lauschen nur auf 127.0.0.1; einziger öffentlicher Zugang ist ein Reverse-Proxy mit TLS.
• Die Datenbank ist von außen nicht erreichbar; ihre Schnittstelle liegt hinter demselben Proxy und verlangt einen Schlüssel.

Zugriffskontrolle (Daten)

• Mandantentrennung auf Datenbankebene über Row Level Security: jede Tabelle prüft die Zugehörigkeit zum Betrieb, unabhängig vom Anwendungscode.
• Anmeldung über Einmal-Links per E-Mail oder über Google/Apple; es gibt keine Passwörter, die verloren gehen könnten.
• Der Schlüssel mit erweiterten Rechten liegt serverseitig und wird nie an den Browser ausgeliefert.
• Öffentliche Flächen (Anfrageseite, Abmeldung) arbeiten mit Einmal-Tokens, von denen nur der Hashwert gespeichert wird.

Weitergabekontrolle

• Sämtliche Verbindungen laufen über TLS; unverschlüsselter Zugriff wird abgewiesen.
• Unterauftragsverarbeiter sind Hostinger International Ltd. (Bereitstellung des Servers, kein Zugriff auf Inhalte) und Brevo (Sendinblue SAS) für den E-Mail-Versand.
• Keine Weitergabe an Werbenetzwerke. Reichweitenmessung nur auf der Marketing-Website und nur nach Einwilligung — nie in der Anwendung und nie auf den Seiten, die Kunden des Betriebs aufrufen.

Eingabekontrolle

• Rechtlich erhebliche Vorgänge (Bestätigung der Bestandskundenbeziehung, Zustimmung zu diesem Vertrag, Löschanträge) werden mit Zeitstempel und handelnder Person protokolliert.
• Jede versendete Erinnerung ist mit Zustellstatus und Zeitpunkt nachvollziehbar.
• Widersprüche werden über den Hashwert der E-Mail-Adresse geführt und überstehen jeden erneuten Datenimport.

Verfügbarkeitskontrolle

• Nächtliche verschlüsselte Sicherung der Datenbank, Aufbewahrung 14 tägliche und 8 wöchentliche Stände.
• Sicherung auf dem Server; eine Kopie außerhalb des Servers an einem Speicherort in der Europäischen Union wird eingerichtet.
• Dokumentierter Rücksicherungstest bei der Inbetriebnahme und danach monatlich.
• Automatische Zustandsprüfung der Anwendung; ein ausbleibender Versandprozess wird im Dashboard des Betriebs angezeigt und löst eine Meldung an den Betreiber aus.

Trennungskontrolle

• Jeder Betrieb ist ein eigener Mandant; alle Datensätze tragen die Kennung des Betriebs, und die Datenbank setzt sie durch.
• Dieses Produkt hat eine eigene Datenbankinstanz, getrennt von anderen Anwendungen desselben Betreibers.

Löschung und Rückgabe

• Vollständiger Export aller Betriebsdaten als CSV jederzeit über die Anwendung.
• Auf Antrag wird der Betrieb gesperrt und nach 30 Tagen automatisch endgültig gelöscht, einschließlich der Sicherungen im normalen Rotationszyklus.
• Einzelne Kunden können jederzeit gelöscht werden; der Widerspruch gegen Werbung bleibt als Hashwert erhalten, damit er nicht durch einen erneuten Import aufgehoben wird.