Vertrag über die Auftragsverarbeitung

1. Gegenstand und Dauer

Der Auftraggeber ([Name des Betriebs]) beauftragt den Auftragnehmer (Kristian Hoffmann, Karl-Kraut-Straße 15, 30177 Hannover, Deutschland) mit der Verarbeitung personenbezogener Daten nach Artikel 28 DSGVO.

Gegenstand ist der Betrieb von Servicewecker: die Speicherung der Kunden- und Anlagendaten des Auftraggebers und der Versand von Wartungserinnerungen in dessen Namen.

Der Vertrag läuft, solange der Auftraggeber die Anwendung nutzt, und endet mit der Löschung seines Betriebskontos.

2. Art der Daten und Kreis der Betroffenen

Verarbeitet werden Stammdaten der Kunden des Auftraggebers und Daten ihrer technischen Anlagen.

• Name, Firma, Anschrift, E-Mail-Adresse, Telefonnummer
• Anlagendaten: Art, Hersteller, Modell, Seriennummer, Baujahr, Standort, Ansprechpartner vor Ort
• Wartungstermine, Vertragsstatus und Verlauf der versendeten Erinnerungen
• Angaben aus Wartungsanfragen: Wunschzeit und freiwillige Nachricht
• Betroffen sind die Bestandskunden des Auftraggebers sowie die Beschäftigten des Auftraggebers, die die Anwendung nutzen.

3. Weisungsbindung

Der Auftragnehmer verarbeitet die Daten ausschließlich im Rahmen dieses Vertrags und auf dokumentierte Weisung des Auftraggebers. Die Nutzung der Anwendung durch den Auftraggeber gilt als Weisung.

Hält der Auftragnehmer eine Weisung für rechtswidrig, teilt er dies unverzüglich mit und darf die Ausführung aussetzen.

4. Technische und organisatorische Maßnahmen

Der Auftragnehmer trifft die in der Anlage beschriebenen Maßnahmen nach Artikel 32 DSGVO. Sie beschreiben den tatsächlichen Betrieb und werden bei wesentlichen Änderungen fortgeschrieben.

5. Unterauftragsverarbeiter

Der Auftraggeber stimmt dem Einsatz des folgenden Unterauftragsverarbeiters zu:

• Brevo (Sendinblue SAS, 106 boulevard Haussmann, 75008 Paris, Frankreich) — Versand der E-Mails. Verarbeitet Empfängeradresse, Inhalt der Nachricht und Zustellereignisse.
• Weitere Unterauftragsverarbeiter werden mit einer Frist von 30 Tagen angekündigt; der Auftraggeber kann widersprechen und den Vertrag in diesem Fall fristlos kündigen.

6. Rechte der betroffenen Personen

Der Auftragnehmer unterstützt den Auftraggeber bei Auskunfts-, Berichtigungs-, Lösch- und Widerspruchsersuchen. Die Anwendung enthält dafür einen vollständigen Datenexport, eine Löschfunktion je Kunde und einen Abmeldelink in jeder versendeten E-Mail.

Wendet sich eine betroffene Person direkt an den Auftragnehmer, leitet er das Anliegen unverzüglich an den Auftraggeber weiter.

7. Meldepflichten

Der Auftragnehmer meldet dem Auftraggeber jede Verletzung des Schutzes personenbezogener Daten unverzüglich, spätestens innerhalb von 24 Stunden nach Kenntnis, mit allen Angaben, die der Auftraggeber für seine Meldung nach Artikel 33 DSGVO benötigt.

8. Kontrollrechte

Der Auftraggeber kann sich von der Einhaltung dieses Vertrags überzeugen. Der Auftragnehmer erteilt dazu Auskunft und stellt die Beschreibung der technischen und organisatorischen Maßnahmen zur Verfügung. Vor-Ort-Prüfungen sind nach Ankündigung mit angemessener Frist möglich.

9. Löschung und Rückgabe

Nach Beendigung des Vertrags löscht der Auftragnehmer die Daten des Auftraggebers innerhalb von 30 Tagen endgültig, sofern keine gesetzliche Aufbewahrungspflicht entgegensteht. Der Auftraggeber kann seine Daten bis dahin jederzeit vollständig exportieren.

Hinweis: Widersprüche gegen Werbung werden ausschließlich als nicht rückrechenbarer Hashwert der E-Mail-Adresse aufbewahrt, damit sie nicht durch einen erneuten Datenimport aufgehoben werden.

10. Verantwortlichkeit für den Versand

Verantwortlicher im Sinne der DSGVO und Absender der Erinnerungen ist der Auftraggeber. Er sichert zu, dass die verarbeiteten Kundendaten aus bestehenden Geschäftsbeziehungen stammen und der Versand von Wartungserinnerungen an diese Bestandskunden zulässig ist (§ 7 Absatz 3 UWG).

Der Auftragnehmer stellt sicher, dass jede Nachricht einen deutlichen Abmeldehinweis enthält und ein Widerspruch dauerhaft beachtet wird.

Zutrittskontrolle (physisch)

• Die Datenbank und die Anwendung laufen auf einem dedizierten Server in einem Rechenzentrum in Germany (Frankfurt).
• Physischer Zugang ausschließlich durch das Rechenzentrum; der Auftragsverarbeiter betritt die Anlage nicht.
• Keine Speicherung personenbezogener Daten außerhalb der Europäischen Union.

Zugangskontrolle (System)

• Serverzugang ausschließlich über SSH mit Public-Key-Verfahren; Passwortanmeldung ist deaktiviert.
• Genau eine Person hat administrativen Zugang zum Server.
• Die Anwendungscontainer laufen ohne Root-Rechte und lauschen nur auf 127.0.0.1; einziger öffentlicher Zugang ist ein Reverse-Proxy mit TLS.
• Die Datenbank ist von außen nicht erreichbar; ihre Schnittstelle liegt hinter demselben Proxy und verlangt einen Schlüssel.

Zugriffskontrolle (Daten)

• Mandantentrennung auf Datenbankebene über Row Level Security: jede Tabelle prüft die Zugehörigkeit zum Betrieb, unabhängig vom Anwendungscode.
• Anmeldung ausschließlich über Einmal-Links per E-Mail; es gibt keine Passwörter, die verloren gehen könnten.
• Der Schlüssel mit erweiterten Rechten liegt ausschließlich serverseitig und wird nie an den Browser ausgeliefert.
• Öffentliche Flächen (Anfrageseite, Abmeldung) arbeiten mit Einmal-Tokens, von denen nur der Hashwert gespeichert wird.

Weitergabekontrolle

• Sämtliche Verbindungen laufen über TLS; unverschlüsselter Zugriff wird abgewiesen.
• Als Unterauftragsverarbeiter wird ausschließlich Brevo (Sendinblue SAS, Frankreich) für den E-Mail-Versand eingesetzt.
• Keine Weitergabe an Werbenetzwerke, keine Analysedienste in der Anwendungsfläche.

Eingabekontrolle

• Rechtlich erhebliche Vorgänge (Bestätigung der Bestandskundenbeziehung, Zustimmung zu diesem Vertrag, Löschanträge) werden mit Zeitstempel und handelnder Person protokolliert.
• Jede versendete Erinnerung ist mit Zustellstatus und Zeitpunkt nachvollziehbar.
• Widersprüche werden über den Hashwert der E-Mail-Adresse geführt und überstehen jeden erneuten Datenimport.

Verfügbarkeitskontrolle

• Nächtliche verschlüsselte Sicherung der Datenbank, Aufbewahrung 14 tägliche und 8 wöchentliche Stände.
• Zusätzliche Kopie außerhalb des Servers an einem Speicherort in der Europäischen Union.
• Dokumentierter Rücksicherungstest bei der Inbetriebnahme und danach monatlich.
• Automatische Zustandsprüfung der Anwendung; ein ausbleibender Versandprozess wird im Dashboard des Betriebs angezeigt und löst eine Meldung an den Betreiber aus.

Trennungskontrolle

• Jeder Betrieb ist ein eigener Mandant; alle Datensätze tragen die Kennung des Betriebs, und die Datenbank setzt sie durch.
• Dieses Produkt hat eine eigene Datenbankinstanz, getrennt von anderen Anwendungen desselben Betreibers.

Löschung und Rückgabe

• Vollständiger Export aller Betriebsdaten als CSV jederzeit über die Anwendung.
• Auf Antrag wird der Betrieb gesperrt und nach 30 Tagen endgültig gelöscht, einschließlich der Sicherungen im normalen Rotationszyklus.
• Einzelne Kunden können jederzeit gelöscht werden; der Widerspruch gegen Werbung bleibt als Hashwert erhalten, damit er nicht durch einen erneuten Import aufgehoben wird.