Vertrag zur Auftragsverarbeitung

1. Gegenstand und Dauer

1.1 Gegenstand ist die Verarbeitung personenbezogener Daten durch die Auftragsverarbeiterin im Rahmen der Bereitstellung und des Betriebs von bigmanni.

1.2 Die Verarbeitung dient ausschließlich der Erfüllung der Nutzungsvereinbarung, also der Verwaltung von Betriebsmitteln, der Dokumentation von Entnahme, Rückgabe, Übergabe und Defekten sowie der Erfassung von Arbeitszeiten. Eine Verarbeitung zu eigenen Zwecken der Auftragsverarbeiterin findet nicht statt.

1.3 Die Dauer entspricht der Laufzeit der Nutzungsvereinbarung.

2. Art der Verarbeitung und Kategorien betroffener Personen

2.1 Verarbeitungsvorgänge sind Erheben, Erfassen, Organisieren, Speichern, Auslesen, Verwenden, Übermitteln innerhalb des Betriebs, Einschränken, Löschen und Vernichten.

2.2 Betroffene Personen sind die Beschäftigten des Verantwortlichen, die von diesem als Nutzer angelegt werden, sowie Ansprechpartner von Kunden und Verleihern, soweit der Verantwortliche solche Angaben erfasst.

2.3 Besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO werden nicht verarbeitet. Die Anwendung sieht dafür keine Felder vor.

3. Kategorien personenbezogener Daten

• Stammdaten der Beschäftigten: Name, E-Mail-Adresse, Telefonnummer, Initialen, Rolle
• Zugehörigkeit zu Niederlassungen
• Anmeldedaten und Sitzungsinformationen
• Gerätebezogene Kennung für Mitteilungen (Push-Kennung)
• Vorgangsdaten: Entnahme, Rückgabe, Übergabe an einen Kollegen, Defektmeldung, jeweils mit Zeitpunkt, Ablageort und auslösender Person
• Arbeitszeiten: Beginn, Ende, Niederlassung, sowie Zeitpunkt und Person einer Korrektur durch die Verwaltung
• Zustands- und Defektfotos, soweit auf ihnen Personen erkennbar sind
• Mitteilungen an Beschäftigte
• Änderungshistorie zu den vorgenannten Daten

Nicht verarbeitet werden Standortdaten, Kontakte, Kalender, Nachrichteninhalte, Gesundheits- und Finanzdaten. Die Anwendung fordert an keiner Stelle eine Standortberechtigung an; die Zeiterfassung erfasst ausschließlich Zeit, keinen Ort.

4. Weisungsrecht

4.1 Die Auftragsverarbeiterin verarbeitet die Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen. Die Nutzungsvereinbarung und dieser Vertrag sind die erstmalige und umfassende Weisung. Weitere Weisungen erteilt der Verantwortliche in Textform.

4.2 Eine Übermittlung in ein Drittland erfolgt nur, soweit sie in Abschnitt 6 beschrieben ist oder der Verantwortliche sie anweist, oder wenn die Auftragsverarbeiterin nach dem Recht der Union oder der Mitgliedstaaten hierzu verpflichtet ist. In diesem Fall teilt sie dem Verantwortlichen die rechtliche Anforderung vor der Verarbeitung mit, sofern das Recht dies nicht verbietet.

4.3 Hält die Auftragsverarbeiterin eine Weisung für rechtswidrig, teilt sie dies unverzüglich mit und darf die Ausführung bis zur Bestätigung aussetzen.

5. Vertraulichkeit

Die Auftragsverarbeiterin stellt sicher, dass die zur Verarbeitung befugten Personen zur Vertraulichkeit verpflichtet sind oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen. Die Verpflichtung besteht auch nach Beendigung der Tätigkeit fort. Zugriff erhalten nur Personen, die ihn zur Erfüllung ihrer Aufgaben benötigen.

6. Unterauftragsverarbeiter

6.1 Der Verantwortliche stimmt dem Einsatz der nachfolgenden Unterauftragsverarbeiter zu:

• Hetzner Online GmbH, Gunzenhausen, Deutschland: Rechenzentrum und Serverbetrieb. Verarbeitung ausschließlich in Deutschland.
• 650 Industries, Inc. (Expo), Vereinigte Staaten: technische Weiterleitung von Mitteilungen. Übermittelt werden die Push-Kennung sowie Titel und Text der Mitteilung. Grundlage sind die EU-Standardvertragsklauseln.
• Google Ireland Limited beziehungsweise Google LLC (Firebase Cloud Messaging), Vereinigte Staaten: Zustellung von Mitteilungen an Android-Geräte. Grundlage sind die EU-Standardvertragsklauseln.
• Apple Distribution International Ltd., Irland: Zustellung von Mitteilungen an Apple-Geräte.

6.2 Die Übermittlung an die unter 6.1 genannten Anbieter außerhalb der Europäischen Union beschränkt sich auf die Zustellung von Mitteilungen. Wählt der Verantwortliche oder die betroffene Person die Mitteilungen ab, entfällt diese Übermittlung vollständig.

6.3 Die Auftragsverarbeiterin teilt beabsichtigte Änderungen mindestens vier Wochen vorher in Textform mit. Der Verantwortliche kann aus einem wichtigen datenschutzrechtlichen Grund innerhalb von vier Wochen widersprechen. Widerspricht er, kann die Auftragsverarbeiterin die Nutzungsvereinbarung zum Zeitpunkt der beabsichtigten Änderung kündigen.

6.4 Die Auftragsverarbeiterin verpflichtet ihre Unterauftragsverarbeiter auf ein Schutzniveau, das dem dieses Vertrags entspricht.

7. Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

Die Auftragsverarbeiterin trifft insbesondere folgende Maßnahmen:

• Verschlüsselung bei der Übertragung. Sämtliche Verbindungen zwischen Anwendung und Servern laufen über TLS.
• Mandantentrennung auf Datenbankebene. Der Zugriff ist über Sicherheitsregeln der Datenbank so beschränkt, dass ein Betrieb ausschließlich seine eigenen Daten sieht. Die Trennung wird nicht erst in der Anwendung hergestellt, sondern in der Datenbank selbst.
• Rollentrennung. Beschäftigte sehen ihre eigenen Vorgänge und Arbeitszeiten; die Verwaltung des Betriebs sieht den Bestand und die Vorgänge des Betriebs. Arbeitszeiten anderer Beschäftigter sind für Beschäftigte nicht einsehbar.
• Serverstandort Deutschland. Die Datenbank und der Dateispeicher liegen in einem Rechenzentrum in Deutschland.
• Zugangs- und Zugriffskontrolle. Der administrative Zugang zu den Servern erfolgt ausschließlich über Schlüsselverfahren; Passwortanmeldung ist abgeschaltet. Zugriff haben nur die gesetzlichen Vertreter der Auftragsverarbeiterin.
• Verschlüsselte Sicherungen. Sicherungen werden verschlüsselt erstellt und getrennt vom Produktivsystem aufbewahrt. Die Aufbewahrungsdauer der Sicherungen ist begrenzt, damit gelöschte Daten nicht unbegrenzt fortbestehen.
• Protokollierung. Änderungen an den Stammdaten werden in einer Änderungshistorie festgehalten, damit nachvollziehbar bleibt, wer wann was geändert hat.
• Trennung von Test und Betrieb. Entwicklung und Erprobung finden nicht auf dem Produktivbestand statt.
• Löschung und Anonymisierung. Die Anwendung stellt ein Verfahren bereit, mit dem ein Konto samt Personenbezug unwiderruflich anonymisiert wird. Vorgangsdaten bleiben dabei als Betriebsdokumentation ohne Namensbezug bestehen.

Die Maßnahmen unterliegen der technischen Entwicklung. Die Auftragsverarbeiterin darf sie anpassen, solange das vereinbarte Schutzniveau nicht unterschritten wird.

8. Unterstützung des Verantwortlichen

8.1 Die Auftragsverarbeiterin unterstützt den Verantwortlichen mit angemessenen Maßnahmen bei der Erfüllung von Anträgen betroffener Personen nach Kapitel III DSGVO, insbesondere auf Auskunft, Berichtigung, Löschung und Einschränkung.

8.2 Wendet sich eine betroffene Person unmittelbar an die Auftragsverarbeiterin, leitet diese den Antrag unverzüglich an den Verantwortlichen weiter und beantwortet ihn nicht selbst.

8.3 Die Auftragsverarbeiterin unterstützt bei der Einhaltung der Pflichten aus Art. 32 bis 36 DSGVO, soweit dies unter Berücksichtigung der Art der Verarbeitung und der ihr zur Verfügung stehenden Informationen möglich ist.

9. Meldung von Verletzungen

Die Auftragsverarbeiterin meldet dem Verantwortlichen jede Verletzung des Schutzes personenbezogener Daten unverzüglich nach Kenntnisnahme, spätestens innerhalb von 48 Stunden. Die Meldung enthält, soweit bekannt, eine Beschreibung der Art der Verletzung, die betroffenen Kategorien und die ungefähre Zahl der betroffenen Personen und Datensätze, die wahrscheinlichen Folgen sowie die ergriffenen oder vorgeschlagenen Maßnahmen. Die Meldung an die Aufsichtsbehörde nach Art. 33 DSGVO obliegt dem Verantwortlichen.

10. Nachweise und Kontrollrechte

10.1 Die Auftragsverarbeiterin stellt dem Verantwortlichen auf Anfrage alle Informationen zur Verfügung, die zum Nachweis der Einhaltung dieses Vertrags erforderlich sind.

10.2 Der Verantwortliche kann sich von der Einhaltung überzeugen. Kontrollen werden mit angemessener Vorlaufzeit von mindestens vier Wochen, während der üblichen Geschäftszeiten und ohne Störung des Betriebsablaufs durchgeführt, in der Regel höchstens einmal je Kalenderjahr. Anlassbezogene Kontrollen bleiben davon unberührt. Der Nachweis kann auch durch aussagekräftige Dokumentation oder Zertifikate erbracht werden.

10.3 Für einen über den gesetzlichen Rahmen hinausgehenden Aufwand kann die Auftragsverarbeiterin eine angemessene Vergütung verlangen.

11. Löschung nach Vertragsende

11.1 Nach Beendigung der Nutzungsvereinbarung löscht die Auftragsverarbeiterin die im Auftrag verarbeiteten Daten oder gibt sie nach Wahl des Verantwortlichen zurück, sofern keine gesetzliche Aufbewahrungspflicht entgegensteht. Der Verantwortliche teilt seine Wahl innerhalb von 30 Tagen nach Vertragsende mit; danach löscht die Auftragsverarbeiterin.

11.2 Sicherungen werden nicht gesondert gelöscht, sondern laufen nach ihrer regulären Aufbewahrungsfrist aus. Bis dahin bleiben sie gegen unbefugten Zugriff geschützt und werden nicht mehr verwendet.

12. Haftung und Schlussbestimmungen

12.1 Für die Haftung gilt Ziffer 9 der Nutzungsvereinbarung. Art. 82 DSGVO bleibt unberührt.

12.2 Bei Widersprüchen zwischen diesem Vertrag und der Nutzungsvereinbarung geht dieser Vertrag vor, soweit es um die Verarbeitung personenbezogener Daten geht.

12.3 Es gilt deutsches Recht. Sollte eine Bestimmung unwirksam sein, bleibt die Wirksamkeit der übrigen unberührt.

13. Auftragsverarbeiterin

Huber & Zipse GmbH
Bahnhofstraße 33
75305 Neuenbürg
Deutschland

E-Mail für Datenschutzanfragen: dev@huber-zipse.de
Ein Datenschutzbeauftragter ist nicht bestellt; die Voraussetzungen des § 38 BDSG liegen nicht vor.