Vertrag zur Auftragsverarbeitung

Verantwortlicher ist der Kunde (nachfolgend „Auftraggeber").
Auftragsverarbeiter ist TürPilot – Inhaber David Jan Bauer, Münchinger Weg 20/2, 71701 Schwieberdingen (nachfolgend „Auftragnehmer").

§ 1 Gegenstand und Dauer

(1) Gegenstand ist die Verarbeitung personenbezogener Daten durch den Auftragnehmer im Rahmen der Bereitstellung der Software TürPilot.

(2) Die Dauer entspricht der Laufzeit des Nutzungsvertrages einschliesslich einer sich anschliessenden Archivphase nach § 8 Abs. 3 der Allgemeinen Geschäftsbedingungen. Diese Vereinbarung gilt für die Dauer der Archivphase fort; ohne sie fände die Aufbewahrung ohne vertragliche Grundlage statt.

§ 2 Art und Zweck der Verarbeitung

Erfassung, Speicherung, Strukturierung, Auslesen und Übermittlung personenbezogener Daten zum Zweck der Dokumentation von Einsätzen des Auftraggebers und der Übergabe von Abrechnungsdaten an ein vom Auftraggeber benanntes Buchhaltungssystem.

Schaltet der Auftraggeber die Übernahme von Umsatz und Ausgaben ein (Cockpit › Schnittstellen, derzeit nur sevDesk), liest der Auftragnehmer mit dessen Zugangsdaten zusätzlich Rechnungen, Belege und Gutschriften der letzten zwölf Monate aus dem Buchhaltungssystem aus und zeigt daraus Monatssummen im Cockpit. Gespeichert werden ausschliesslich diese Summen je Monat; die einzelnen Vorgänge werden nur für die Berechnung verarbeitet und nicht abgelegt. Die Übernahme lässt sich jederzeit wieder ausschalten.

Beauftragt der Auftraggeber die Überwachung eines von ihm benannten E-Mail-Postfachs (Cockpit › Schnittstellen), sieht der Auftragnehmer dieses Postfach darauf an, ob dort Aufträge eingegangen sind, die dem Auftraggeber von Drittanbietern – etwa Versicherungen, Schutzbriefanbietern oder Vermittlern – als Dokument zugeschickt werden. Aus einem gefundenen Dokument liest er die Angaben zum Auftrag aus und legt daraus einen Entwurf im Cockpit an. Dabei gilt:

• Gelesen wird nur. Nichts wird als gelesen markiert, verschoben oder gelöscht; der Auftraggeber findet sein Postfach vor, wie er es kennt.
• Gesucht wird auf dem Server nach einem benannten Absender, in Nachrichten der letzten 90 Tage, höchstens 25 je Durchgang. Von jedem Treffer werden Betreff, Absender, Empfänger, Zeitpunkt und Grösse gelesen, um den Auftrag als solchen zu erkennen; der Inhalt anderer Nachrichten wird nicht heruntergeladen.
• Das Dokument wird nicht gespeichert. Es wird ausgelesen und verworfen; aufbewahrungspflichtig ist es beim Drittanbieter. Gespeichert werden nur die in § 3 genannten Angaben. Dasselbe gilt für ein Dokument, das der Auftraggeber statt der Postfachüberwachung selbst hochlädt.
• Gelesen wird erst, wenn der Auftragnehmer den Betrieb freigeschaltet und der Auftraggeber die Beauftragung bestätigt hat. Die Überwachung lässt sich jederzeit abschalten; mit dem Entfernen der Schnittstelle werden die Zugangsdaten des Postfachs gelöscht.

Denselben Entwurf kann der Auftraggeber auch ohne Postfachüberwachung anlegen: indem er den Auftrag oder den Tätigkeitsbericht des Drittanbieters selbst hochlädt – die Datei wird ausgelesen und verworfen, nicht gespeichert – oder indem er die Angaben von Hand einträgt. Verarbeitet werden dabei dieselben Datenarten wie beim Weg über das Postfach (§ 3); verzeichnet wird zusätzlich, auf welchem dieser Wege der Vorgang erfasst wurde. Auch diese beiden Wege setzen die Freischaltung durch den Auftragnehmer und die bestätigte Beauftragung voraus.

§ 3 Art der Daten und Kategorien betroffener Personen

An das Buchhaltungssystem des Auftraggebers (§ 2) gehen je Rechnung Name und Anschrift des Rechnungsempfängers – und, sofern erfasst und der Rechnungsempfänger der Kunde selbst ist, dessen E-Mail-Adresse, Telefonnummer und USt-IdNr. –, die Positionen mit Steuersätzen sowie im Fusstext der Rechnung die Zuordnung zum Nachweis: Nummer des Einsatzprotokolls, Zeitpunkt der Abnahme, Einsatzort, Öffnungsart, ob eine Legitimation geprüft wurde, und die Belegnummer der Zahlung. Nicht übermittelt werden Aufnahmen, Unterschriften, interne Notizen sowie Art und Nummer eines vorgelegten Ausweises.

Besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO werden nicht verarbeitet. Der Auftragnehmer stellt insbesondere sicher, dass von Unterschriften ausschliesslich das Bild und keine Dynamikdaten erfasst werden, und dass keine Ausweiskopien gespeichert werden können.

§ 4 Weisungsrecht

(1) Der Auftragnehmer verarbeitet die Daten ausschliesslich auf dokumentierte Weisung des Auftraggebers, es sei denn, er ist nach dem Recht der Union oder der Mitgliedstaaten zur Verarbeitung verpflichtet. In einem solchen Fall teilt er dem Auftraggeber diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht eine solche Mitteilung nicht wegen eines wichtigen öffentlichen Interesses verbietet (Art. 28 Abs. 3 lit. a DSGVO).

(2) Weisungen erfolgen in Textform. Die Nutzung der Software durch den Auftraggeber gilt als Weisung im Rahmen des vereinbarten Funktionsumfangs.

(3) Hält der Auftragnehmer eine Weisung für rechtswidrig, teilt er dies dem Auftraggeber unverzüglich mit und darf die Ausführung aussetzen.

(4) Bleibt eine erforderliche Weisung aus, verarbeitet der Auftragnehmer die Daten nicht weiter als für den Betrieb der Software und die Erfüllung gesetzlicher Pflichten nötig. Er fordert die Weisung in Textform an und weist auf die Folgen des Ausbleibens hin.

§ 5 Technische und organisatorische Massnahmen (Art. 32 DSGVO)

Die vollständige Beschreibung enthält die Anlage über die technischen und organisatorischen Massnahmen. Sie ist Bestandteil dieser Vereinbarung und wird fortgeschrieben; eine Verschlechterung des Schutzniveaus wird mindestens vier Wochen vorher in Textform mitgeteilt. Im Überblick:

• Vertraulichkeit: rollenbasierte Zugriffsrechte (Inhaber, Büro, Monteur), mandantengetrennte Datenhaltung, Transportverschlüsselung nach dem Stand der Technik, verschlüsselte Ablage von Zugangsschlüsseln für Drittsysteme (AES-256-GCM), Passwörter ausschliesslich als Hash mit Salt. Das Passwort eines überwachten Postfachs liegt ebenso verschlüsselt; der Zugriff darauf ist ausschliesslich lesend und auf den benannten Absender und das Betreffmuster beschränkt.
• Integrität: Protokolle sind nach der Freigabe inhaltlich unveränderbar; Änderungen werden versioniert und mit Begründung festgehalten. Ausgenommen ist allein die Anonymisierung auf ein Löschverlangen, soweit die archivierte Fassung den Beleg bewahrt (siehe unten zur Löschung). Bei Belegen aus Aufträgen von Drittanbietern (§ 2) wird auch ohne archivierte Fassung anonymisiert: Sie werden nach dieser Vorschrift nie abgelegt, und der aufbewahrungspflichtige Beleg ist dort das Dokument des Drittanbieters, das dieser selbst aufbewahrt. Ein freigegebenes Protokoll wird nicht entfernt, sondern mit Begründung storniert. Vorgänge, die nie freigegeben wurden – etwa nicht ausgeführte oder vor der Freigabe stornierte –, unterliegen keiner Aufbewahrungspflicht; ihre personenbezogenen Angaben kann der Auftraggeber entfernen. Die Belegnummer bleibt, damit die Nummernfolge lückenlos nachvollziehbar ist.
• Verfügbarkeit: regelmässige Sicherungen, Wiederherstellungsverfahren, Überwachung des Betriebs.
• Nachvollziehbarkeit: Protokollierung sicherheits- und nachweisrelevanter Vorgänge (Anmeldung, Freigabe, Storno, Übertragung, Änderung von Zugangsschlüsseln, Export). In den Protokollen werden keine Geheimnisse gespeichert.
• Datenminimierung: keine Ausweiskopien, keine biometrischen Unterschriftsdaten, keine Kartendaten; Aufnahmen und interne Notizen werden nicht an Drittsysteme übermittelt. Aufnahmen des Einsatzortes werden nach drei Jahren automatisch gelöscht, gerechnet ab dem Ende des Jahres der Leistung.
• Revisionssichere Aufbewahrung: Der Beleg ohne Aufnahmen wird bei der Freigabe verschlüsselt in einem Objektspeicher mit Unveränderbarkeitssperre abgelegt. Bis zum Ablauf der Aufbewahrungsfrist kann er weder verändert noch gelöscht werden – auch nicht durch den Auftragnehmer. Während einer kostenfreien Testphase (§ 3 Abs. 3 der Allgemeinen Geschäftsbedingungen) erfolgt keine Ablage; die in dieser Zeit freigegebenen Belege werden mit Beginn der Vergütungspflicht in ihrer jeweils letzten Fassung nachträglich abgelegt. Endet der Vertrag mit der Testphase oder vorher, unterbleibt die Ablage; die Belege liegen dann ausschliesslich in der Datenbank der Software, und die dem Auftraggeber übermittelten Protokolle bewahrt er selbst auf. Nicht abgelegt werden Belege aus Aufträgen von Drittanbietern (§ 2) – unabhängig davon, auf welchem der dort genannten Wege sie erfasst wurden: Der Beleg des Vorgangs ist das Dokument des Drittanbieters, und dieser bewahrt es nach seinen Bedingungen auf.
• Erfüllbarkeit des Löschanspruchs: Jeder archivierte Beleg ist mit einem eigenen Schlüssel verschlüsselt. Wird dieser Schlüssel vernichtet, ist der Beleg dauerhaft unlesbar, ohne dass die Unveränderbarkeitssperre gebrochen werden müsste.
• Zugangssicherung: Auf Wunsch des Auftraggebers eine zweite Stufe beim Anmelden über einen zeitlich befristeten Code per E-Mail.

§ 6 Unterauftragsverarbeiter

(1) Der Auftraggeber stimmt dem Einsatz der nachfolgenden Unterauftragsverarbeiter zu:

(2) Der Auftragnehmer informiert den Auftraggeber mindestens vier Wochen vor einem Wechsel oder der Hinzunahme eines weiteren Unterauftragsverarbeiters in Textform. Der Auftraggeber kann innerhalb von zwei Wochen aus wichtigem Grund widersprechen; in diesem Fall steht ihm ein Sonderkündigungsrecht zu.

(3) Der Auftragnehmer verpflichtet Unterauftragsverarbeiter durch Vertrag auf dieselben Datenschutzpflichten, die ihn selbst treffen. Kommt ein Unterauftragsverarbeiter seinen Datenschutzpflichten nicht nach, haftet der Auftragnehmer gegenüber dem Auftraggeber für dessen Einhaltung (Art. 28 Abs. 4 Satz 2 DSGVO).

(4) Kein Unterauftragsverhältnis ist die Übermittlung an Systeme, die der Auftraggeber selbst benennt und mit eigenen Zugangsdaten anbindet – etwa sein Buchhaltungssystem oder sein Kartenzahlungsanbieter. Der Auftragnehmer handelt dabei auf Weisung des Auftraggebers; das Verhältnis zwischen Auftraggeber und Drittanbieter richtet sich allein nach deren Vereinbarung, und der Auftraggeber schliesst dort gegebenenfalls einen eigenen Vertrag zur Auftragsverarbeitung.

(5) Mit jedem der in Absatz 1 genannten Unternehmen besteht ein Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO. Eine Verarbeitung ausserhalb der Europäischen Union findet nicht statt.

§ 7 Unterstützungspflichten

Der Auftragnehmer unterstützt den Auftraggeber im Rahmen des Zumutbaren bei der Erfüllung der Betroffenenrechte nach Art. 15 bis 22 DSGVO sowie bei den Pflichten aus Art. 32 bis 36 DSGVO. Wendet sich eine betroffene Person direkt an den Auftragnehmer, leitet er die Anfrage unverzüglich weiter.

§ 8 Meldung von Verletzungen

Der Auftragnehmer meldet dem Auftraggeber jede Verletzung des Schutzes personenbezogener Daten unverzüglich, in der Regel innerhalb von 48 Stunden nach Kenntniserlangung, und stellt die zur Meldung nach Art. 33 DSGVO erforderlichen Informationen bereit.

§ 9 Kontrollrechte

(1) Der Auftraggeber kann sich von der Einhaltung dieser Vereinbarung überzeugen. Der Auftragnehmer stellt hierzu auf Anfrage die Dokumentation der technischen und organisatorischen Massnahmen bereit.

(2) Der Nachweis erfolgt vorrangig durch die Anlage über die technischen und organisatorischen Massnahmen sowie durch die Zertifikate der eingesetzten Unterauftragsverarbeiter – für das Rechenzentrum insbesondere ISO/IEC 27001. Das ist keine Ausweichbewegung, sondern die Realität: Der Auftragnehmer betreibt kein eigenes Rechenzentrum und kann dort niemandem Zutritt verschaffen.

(3) Reichen diese Nachweise im Einzelfall nicht aus, sind Kontrollen beim Auftragnehmer nach angemessener Vorankündigung während der üblichen Geschäftszeiten und ohne Störung des Betriebsablaufs zulässig. Der Auftraggeber trägt die Kosten einer solchen Kontrolle, es sei denn, sie deckt einen Verstoss auf.

§ 10 Löschung und Rückgabe

(1) Nach Beendigung des Vertrages bleibt der Zugang des Auftraggebers lesend bestehen; Exporte in einem gängigen, maschinell auswertbaren Format stehen weiterhin zur Verfügung. Für das Vorhalten der Daten berechnet der Auftragnehmer die Grundgebühr weiter. Endet der Vertrag mit einer kostenfreien Testphase oder vorher, entsteht nach § 5 kein Archiv; dann wird dafür auch keine Grundgebühr berechnet (§ 8 Abs. 4 der Allgemeinen Geschäftsbedingungen). Der Auftraggeber ist für die Erfüllung seiner eigenen Aufbewahrungspflichten selbst verantwortlich.

(2) Gelöscht wird ausschliesslich auf ausdrückliches Verlangen des Auftraggebers. Das Verlangen wird im System dokumentiert und ist bis zur Ausführung widerruflich. Der Auftragnehmer löscht nicht von sich aus – es sind die Geschäftsunterlagen des Auftraggebers, und dessen Aufbewahrungspflichten laufen unabhängig von diesem Vertrag weiter.

(3) Belege im revisionssicheren Archiv sind bis zum Ablauf ihrer Aufbewahrungsfrist unveränderbar. Auf Verlangen des Auftraggebers – nach Fristablauf oder mit der Bestätigung, seine Aufbewahrungspflicht anderweitig zu erfüllen – vernichtet der Auftragnehmer die zugehörigen Schlüssel; die Belege sind danach für niemanden mehr lesbar. In den verschlüsselten Datensicherungen des Auftragnehmers wirkt das mit deren Ablauf, spätestens nach zwölf Monaten.

(4) Anfragen betroffener Personen nach Art. 17 DSGVO führen nicht zur Vernichtung archivierter Belege. Solange die Aufbewahrungspflicht läuft, ist der Löschanspruch nach Art. 17 Abs. 3 lit. b DSGVO ausgeschlossen. Im laufenden Bestand werden die personenbezogenen Angaben entfernt; die archivierte Fassung bleibt unverändert. Liegt ein freigegebener Beleg noch nicht im Archiv, bleibt er zunächst unverändert; die Software holt die Anonymisierung selbsttätig nach, sobald er dort abgelegt ist. Wird er nicht abgelegt, weil der Vertrag mit der Testphase endet, bleibt er bis zum Ablauf der Aufbewahrungsfrist unverändert. Bei einem freigegebenen Beleg aus einem Auftrag eines Drittanbieters (§ 2) gilt das nicht: Er wird nach § 5 nie abgelegt – der aufbewahrungspflichtige Beleg ist dort das Dokument des Drittanbieters, das dieser nach seinen Bedingungen aufbewahrt. Sofort entfernt werden dort der Einsatzort, der Name der hilfesuchenden Person, die Mitglieds- und die Schadennummer, die Freitexte, die Unterschriften und der Vermerk über eine Legitimationsprüfung. Die Auftragsnummer bleibt stehen: Über sie ordnet der Drittanbieter seine Zahlung dem Einsatz zu, und sie benennt einen Vorgang, keine Person. Es bleiben ferner Abrechnungsweg, Tarif, Zeitpunkt der Beauftragung und zugesagter Betrag sowie Name und Anschrift des Drittanbieters – er ist der Rechnungsempfänger, und ohne ihn ist die Rechnung nach § 14 Abs. 4 Nr. 1 UStG unbrauchbar. Ebenso bleibt ein freigegebener Beleg unverändert, dessen archivierte Fassung der Auftraggeber auf eigenen Antrag hat unlesbar machen lassen – das Archiv bewahrt ihn dann nicht mehr (§ 5). Der Auftragnehmer teilt dem Auftraggeber in allen diesen Fällen mit, was gilt, damit dieser die betroffene Person nach Art. 12 Abs. 4 DSGVO unterrichten kann. Bei Vorgängen, die nie freigegeben wurden, werden die personenbezogenen Angaben sofort entfernt. Aufnahmen des Türzustands löscht die Software regulär drei Jahre nach Ende des Jahres der Leistung. Geht vorher ein Löschverlangen ein, verkürzt sich die Frist auf zwei Jahre ab dem Einsatztag, sie entfällt aber nicht: Bis zum Ablauf der Verjährung von Mängelansprüchen (§ 634a Abs. 1 Nr. 1 BGB) sind die Aufnahmen der einzige Nachweis über den Zustand vor der Öffnung, und Art. 17 Abs. 3 lit. e DSGVO lässt die Aufbewahrung dafür zu. Bei Aufträgen von Drittanbietern (§ 2) gilt diese Frist nicht: Dort entstehen keine Aufnahmen über die Software, und vorhandene werden auf ein Löschverlangen sofort gelöscht – der Nachweis über den Zustand der Tür liegt beim Drittanbieter.

§ 11 Vertraulichkeit

Der Auftragnehmer verpflichtet alle mit der Verarbeitung befassten Personen auf Vertraulichkeit und stellt sicher, dass sie mit den einschlägigen Vorschriften vertraut sind.

§ 12 Schlussbestimmungen

(1) Bei Widersprüchen zwischen dieser Vereinbarung und dem Nutzungsvertrag gehen die Regelungen dieser Vereinbarung vor. Es gilt deutsches Recht.

(2) Zustandekommen. Diese Vereinbarung wird mit dem Nutzungsvertrag geschlossen; der Kunde bestätigt sie bei der Registrierung ausdrücklich. Sie trägt eine Fassungsnummer und ein Datum. Der Auftragnehmer hält jede Fassung dauerhaft abrufbar und teilt dem Auftraggeber eine neue Fassung mindestens vier Wochen vor ihrem Inkrafttreten in Textform mit. Widerspricht der Auftraggeber innerhalb von zwei Wochen, gilt die bisherige Fassung bis zum Ende des laufenden Vertragsverhältnisses fort; ein Sonderkündigungsrecht bleibt unberührt.

(3) Fortgeltung. Die Pflichten zur Vertraulichkeit (§ 11), zur Löschung (§ 10) und zur Unterstützung bei Betroffenenanfragen (§ 7) bestehen über das Ende dieser Vereinbarung hinaus fort, solange Daten des Auftraggebers noch beim Auftragnehmer vorhanden sind.