Vertrag zur Auftragsverarbeitung

Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO

zwischen dem Kunden als Verantwortlichem (im Folgenden „Kunde“)
und [Name des Anbieters, Anschrift] als Auftragsverarbeiter (im Folgenden „Anbieter“).

Der Vertrag wird elektronisch geschlossen, indem der Kunde ihn bei der Aktivierung seines Zugangs akzeptiert (Art. 28 Abs. 9 DSGVO). Die akzeptierende Person bestätigt, dass sie berechtigt ist, für den Kunden zu handeln.

§ 1 Gegenstand und Dauer

Der Anbieter stellt dem Kunden das Schaumbeton Engineering System bereit (Hauptvertrag: Allgemeine Geschäftsbedingungen). Dabei verarbeitet er personenbezogene Daten, die der Kunde in die Anwendung eingibt, im Auftrag des Kunden. Dieser Vertrag gilt für die Dauer des Hauptvertrags und darüber hinaus, solange der Anbieter Daten des Kunden verarbeitet.

§ 2 Art, Zweck und Umfang der Verarbeitung

Zweck: Speichern und Berechnen von Bauprojekten des Kunden sowie Erstellen von Berichten.

Art der Daten:

• Kontaktdaten von Auftraggebern, Auftragnehmern und Projektbeteiligten (Namen, Firmen, Anschriften, Telefonnummern, E-Mail-Adressen, Aufgabenbereiche),
• Projektangaben (Bezeichnung, Aktenzeichen, Ort, Bemerkungen),
• Firmendaten des Kunden für Berichte (Firmenname, Anschrift, Logo).

Kategorien betroffener Personen: Ansprechpartner und Beschäftigte von Auftraggebern, Auftragnehmern und Projektbeteiligten des Kunden sowie Beschäftigte des Kunden.

Daten, die der Anbieter für die eigene Vertragsabwicklung verarbeitet (Zugangsdaten, Abrechnung, Nutzungsprotokolle), verarbeitet er als eigener Verantwortlicher; dafür gilt die Datenschutzerklärung.

§ 3 Pflichten des Anbieters

• Der Anbieter verarbeitet die Daten nur auf dokumentierte Weisung des Kunden. Die Weisungen sind abschließend in diesem Vertrag und durch die Nutzung der Anwendung festgelegt. Hält der Anbieter eine Weisung für rechtswidrig, informiert er den Kunden unverzüglich.
• Personen, die Zugang zu den Daten haben, sind zur Vertraulichkeit verpflichtet.
• Der Anbieter trifft die technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO gemäß Anlage 1. Er darf sie weiterentwickeln, sofern das Schutzniveau nicht unterschritten wird.
• Der Anbieter unterstützt den Kunden bei der Beantwortung von Anfragen betroffener Personen (Art. 15 bis 22 DSGVO) und bei den Pflichten nach Art. 32 bis 36 DSGVO.
• Verletzungen des Schutzes personenbezogener Daten meldet der Anbieter dem Kunden unverzüglich, spätestens innerhalb von [Frist, z. B. 24 Stunden] nach Kenntnis.
• Nach Ende des Hauptvertrags löscht der Anbieter alle Daten des Kunden, sofern keine gesetzliche Pflicht zur Aufbewahrung besteht. Auf Wunsch kann der Kunde vorher seine Berichte abrufen. Kopien in der Datensicherung werden nach spätestens [Aufbewahrungsfrist der Sicherung] überschrieben.
• Der Anbieter stellt dem Kunden die Informationen zum Nachweis der Einhaltung dieses Vertrags zur Verfügung und ermöglicht Überprüfungen nach vorheriger Anmeldung mit angemessener Frist. [Ggf. Kostenregelung für Vor-Ort-Prüfungen.]

§ 4 Unterauftragsverarbeiter

Der Kunde stimmt dem Einsatz der in Anlage 2 genannten Unterauftragsverarbeiter zu. Über beabsichtigte Änderungen informiert der Anbieter den Kunden mindestens [Frist, z. B. 4 Wochen] vorher; der Kunde kann aus wichtigem datenschutzrechtlichem Grund widersprechen. Der Anbieter verpflichtet Unterauftragsverarbeiter vertraglich auf ein gleichwertiges Schutzniveau.

§ 5 Pflichten des Kunden

Der Kunde ist für die Rechtmäßigkeit der Verarbeitung verantwortlich, insbesondere dafür, dass er die eingegebenen Daten verarbeiten darf. Er gibt nur Daten ein, die für seine Projekte erforderlich sind, und informiert den Anbieter unverzüglich, wenn er Fehler oder Unregelmäßigkeiten feststellt.

§ 6 Haftung

Für die Haftung gilt Art. 82 DSGVO. Im Übrigen gelten die Haftungsregelungen des Hauptvertrags.

§ 7 Schlussbestimmungen

Bei Widersprüchen geht dieser Vertrag dem Hauptvertrag vor, soweit es um den Schutz personenbezogener Daten geht. Es gilt das Recht der Bundesrepublik Deutschland. Sollte eine Bestimmung unwirksam sein, bleibt die Wirksamkeit der übrigen unberührt.

Anlage 1: Technische und organisatorische Maßnahmen

Zutrittskontrolle (Rechenzentrum):

• [Maßnahmen des Hosting-Anbieters, z. B. zertifiziertes Rechenzentrum nach ISO 27001]

Zugangskontrolle (Anwendung):

• Persönliche Zugänge, die nur der Anbieter einrichtet; Aktivierung über einmalige, befristete Einladungslinks (7 Tage).
• Passwörter mit mindestens 10 Zeichen, gespeichert ausschließlich als Argon2id-Hash.
• Sperre der Anmeldung für 15 Minuten nach 5 Fehlversuchen je Zugang.
• Sitzungen über ein HttpOnly-Cookie mit höchstens 14 Tagen Gültigkeit; Ende beim Abmelden, bei Passwortänderung und bei Sperrung des Zugangs.
• Links zum Zurücksetzen des Passworts sind einmalig und 2 Stunden gültig; gespeichert wird nur ein Hash.

Zugriffskontrolle und Trennung:

• Jeder Datenzugriff ist an das angemeldete Konto gebunden; Kunden sehen ausschließlich eigene Projekte und Firmendaten.
• Der Verwaltungsbereich ist nur Administratoren des Anbieters zugänglich.

Weitergabekontrolle:

• Übertragung ausschließlich verschlüsselt über HTTPS [Bereitstellung des TLS-Zertifikats durch …]; Browser werden per HSTS auf HTTPS festgelegt.
• Schutz vor Cross-Site-Request-Forgery (Prüfung der Herkunft, SameSite-Cookies) und eine restriktive Content-Security-Policy.
• Datensicherung zu [Speicheranbieter, Standort; Verschlüsselung der gespeicherten Daten: …].

Eingabekontrolle:

• Jede Berechnung wird mit Zeitpunkt und Eingaben protokolliert.
• Änderungen der Stammdaten werden versioniert und mit Autor gespeichert.

Verfügbarkeitskontrolle:

• Kontinuierliche Sicherung der Datenbank (Änderungen werden innerhalb von etwa einer Sekunde übertragen); automatische Wiederherstellung beim Start, wenn die Datenbank fehlt; die Wiederherstellung wurde getestet.
• [Redundanz und Notfallmaßnahmen des Hosting-Anbieters]

Löschung:

• Gelöschte Zugänge werden mit allen zugehörigen Daten in einem Schritt entfernt; gelöschte Inhalte werden in der Datenbankdatei überschrieben.

Organisation:

• [Verpflichtung der Beschäftigten auf Vertraulichkeit, Datenschutzbeauftragter falls vorhanden, regelmäßige Überprüfung der Maßnahmen]

Anlage 2: Unterauftragsverarbeiter

• Hosting: [Name, Sitz, Ort der Verarbeitung]
• Datensicherung: [Name, Sitz, Ort der Verarbeitung]
• E-Mail-Versand: [Name, Sitz, Ort der Verarbeitung]

Stand

[Datum]