Vertrag zur Auftragsverarbeitung

nach Art. 28 Datenschutz-Grundverordnung (DSGVO) Drucken / Als PDF speichern

§ 1 Gegenstand und Dauer

Der Auftragnehmer stellt dem Auftraggeber die Web-Anwendung Lubill bereit und verarbeitet dabei personenbezogene Daten im Auftrag des Auftraggebers. Der Vertrag gilt, solange der Auftraggeber ein Konto bei Lubill hat.

§ 2 Art und Zweck der Verarbeitung

Speichern, Anzeigen, Berechnen und Ausgeben (PDF) von Kunden-, Termin- und Rechnungsdaten, Versand von E-Mails über das E-Mail-Konto des Auftraggebers, Abgleich von Zahlungseingängen, Mahnwesen, Kalender-Export, Datensicherung. Zweck ist die Unterstützung des Auftraggebers bei Stundenplanung und Abrechnung seiner Trainertätigkeit.

§ 3 Arten von Daten und betroffene Personen

Datenarten: Name, Anschrift, E-Mail-Adresse, Telefonnummer, Kundennummer, Gruppenzugehörigkeit, Notizen, Teilnehmer- und Anwesenheitsangaben, Termindaten, Rechnungs- und Zahlungsdaten (Beträge, Rechnungsnummern, Zahlungseingänge, ggf. Name und IBAN des Zahlenden), Mahnungen, Versandprotokolle sowie die Zugangsdaten zum E-Mail-Konto des Auftraggebers (verschlüsselt gespeichert).

Betroffene: Kunden des Auftraggebers (Rechnungsempfänger, ggf. Eltern oder Erziehungsberechtigte), Teilnehmer an Trainerstunden (auch Minderjährige), Zahlende sowie der Auftraggeber und seine Mitarbeiter.

Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO, z. B. Gesundheitsdaten) sind nicht vorgesehen. Der Auftraggeber trägt solche Daten nicht ein, auch nicht in Freitextfelder.

§ 4 Weisungen

Der Auftragnehmer verarbeitet die Daten nur auf dokumentierte Weisung des Auftraggebers. Weisungen sind dieser Vertrag und die Nutzung der Funktionen der Anwendung. Weitere Weisungen erteilt der Auftraggeber in Textform (E-Mail). Hält der Auftragnehmer eine Weisung für rechtswidrig, weist er unverzüglich darauf hin und darf sie bis zur Klärung aussetzen.

§ 5 Pflichten des Auftragnehmers

1. Er verarbeitet die Daten ausschließlich für den Zweck dieses Vertrags und nicht für eigene Zwecke.
2. Er stellt sicher, dass alle Personen, die Zugriff haben, zur Vertraulichkeit verpflichtet sind.
3. Er trifft die in Anlage 1 beschriebenen technischen und organisatorischen Maßnahmen (Art. 32 DSGVO) und entwickelt sie weiter.
4. Er unterstützt den Auftraggeber bei Anfragen betroffener Personen. Die Funktionen „Daten exportieren“ und „Konto komplett löschen“ stehen dem Auftraggeber dazu selbst zur Verfügung. Anfragen Betroffener, die den Auftragnehmer direkt erreichen, leitet er ohne eigene Beantwortung an den Auftraggeber weiter.
5. Er unterstützt den Auftraggeber bei der Einhaltung der Pflichten aus Art. 32 bis 36 DSGVO (Sicherheit, Meldung von Verletzungen, Datenschutz-Folgenabschätzung).
6. Er meldet eine Verletzung des Schutzes personenbezogener Daten unverzüglich, in der Regel innerhalb von 48 Stunden nach Bekanntwerden, mit den ihm bekannten Angaben zu Art, Umfang und Folgen.
7. Er führt ein Verzeichnis der Verarbeitungstätigkeiten nach Art. 30 Abs. 2 DSGVO.
8. Er verarbeitet die Daten ausschließlich in Deutschland. Eine Übermittlung in Drittländer findet nicht statt.

§ 6 Pflichten des Auftraggebers

1. Er ist für die Rechtmäßigkeit der Datenverarbeitung verantwortlich, insbesondere dafür, die Daten seiner Kunden und Teilnehmer in Lubill speichern zu dürfen, und für die Erfüllung seiner Informationspflichten (Art. 13 und 14 DSGVO).
2. Er prüft die erstellten Rechnungen und erfüllt gesetzliche Aufbewahrungspflichten (in der Regel 8 Jahre, § 147 AO) selbst, auch außerhalb von Lubill.
3. Er hält seine Zugangsdaten geheim und meldet Auffälligkeiten unverzüglich.

§ 7 Unterauftragsverarbeiter

Der Auftraggeber genehmigt den Einsatz der in Anlage 2 genannten Unterauftragsverarbeiter. Beabsichtigt der Auftragnehmer eine Änderung, informiert er den Auftraggeber mindestens 30 Tage vorher in Textform. Der Auftraggeber kann aus wichtigem Datenschutzgrund widersprechen; dann kann jede Seite den Vertrag beenden. Der Auftragnehmer verpflichtet jeden Unterauftragsverarbeiter vertraglich auf dieselben Datenschutzpflichten (Art. 28 Abs. 4 DSGVO).

Der vom Auftraggeber gewählte E-Mail-Anbieter (z. B. Gmail, Outlook) ist kein Unterauftragsverarbeiter, sondern Dienstleister des Auftraggebers.

§ 8 Kontrollrechte

Der Auftraggeber kann sich in angemessenem Umfang von der Einhaltung dieses Vertrags überzeugen. Der Auftragnehmer erteilt auf Anfrage in Textform die dafür nötigen Auskünfte und Nachweise (z. B. Beschreibung der Maßnahmen). Kontrollen vor Ort sind nur in Absprache mit mindestens 14 Tagen Vorlauf und nur im erforderlichen Umfang möglich.

§ 9 Löschung und Rückgabe

Der Auftraggeber kann seine Daten jederzeit über die Exportfunktion erhalten und mit „Konto komplett löschen“ sofort aus dem laufenden System löschen. Endet der Vertrag auf anderem Wege, löscht der Auftragnehmer die Daten spätestens 30 Tage nach Vertragsende, nachdem der Auftraggeber Gelegenheit zum Export hatte. Sicherungskopien werden rollierend innerhalb von 14 Tagen überschrieben. Gesetzliche Aufbewahrungspflichten des Auftraggebers bleiben seine Aufgabe; der Auftragnehmer weist in der Löschfunktion darauf hin.

§ 10 Haftung

Für die Haftung gilt Art. 82 DSGVO. Im Verhältnis der Parteien untereinander gelten ergänzend die Haftungsregeln der Nutzungsbedingungen.

§ 11 Schlussbestimmungen

Bei Widersprüchen zu den Nutzungsbedingungen gehen in Fragen des Datenschutzes die Regelungen dieses Vertrags vor. Änderungen bedürfen der Textform; für eine neue Fassung ist eine erneute Zustimmung in der App nötig. Es gilt deutsches Recht. Sollte eine Regelung unwirksam sein, bleibt der Rest wirksam.

Anlage 1: Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

Vertraulichkeit

• Zutritt: Die Server stehen im Rechenzentrum der netcup GmbH, die den physischen Zutritt regelt. Weder Auftraggeber noch Auftragnehmer haben Zutritt.
• Systemzugang: Administratorzugang nur per SSH-Schlüssel (keine Passwort-Anmeldung, kein Root-Login), Firewall mit nur drei offenen Ports (SSH, HTTP, HTTPS), Schutz vor wiederholten Anmeldeversuchen (fail2ban), automatische Sicherheitsupdates. Die Konten beim Hoster und beim Domain-Anbieter sind durch Zwei-Faktor-Anmeldung geschützt.
• Zugriff in der Anwendung: Anmeldung mit E-Mail-Adresse und Passwort (mindestens 10 Zeichen); Passwörter nur als gesalzener scrypt-Hash; Begrenzung von Anmelde- und Registrierungsversuchen; Sitzungen über zufällige Token (Cookie mit HttpOnly, SameSite=Strict und Secure, Ablauf nach 14 Tagen); Schutz gegen Cross-Site-Anfragen und eine strenge Content-Security-Policy.
• Mandantentrennung: Alle Daten sind je Konto getrennt; jede Abfrage ist an das angemeldete Konto gebunden. Automatisierte Tests prüfen, dass Konten nicht auf fremde Daten zugreifen können.
• Verschlüsselung: Übertragung nur über HTTPS (TLS, HSTS). Die Zugangsdaten zum E-Mail-Konto des Auftraggebers liegen mit AES-256-GCM verschlüsselt in der Datenbank, der Schlüssel liegt getrennt von der Datenbank.
• Zugriff durch den Auftragnehmer: Auf Inhalte einzelner Konten greift der Auftragnehmer nur zu, wenn es zur Fehlerbehebung oder Unterstützung erforderlich und vom Auftraggeber veranlasst ist.

Integrität

• Weitergabe: Rechnungs-E-Mails gehen über den SMTP-Server des Auftraggebers und sind auf dem Transportweg verschlüsselt (SSL/STARTTLS).
• Eingabe und Änderung: Bestätigte Rechnungen und versendete Mahnungen sind durch Datenbanksperren unveränderlich; Korrekturen erfolgen über Stornorechnungen. Beträge berechnet der Server selbst. Eine Versionsprüfung verhindert, dass parallele Änderungen sich überschreiben. Der E-Mail-Versand wird protokolliert.

Verfügbarkeit und Belastbarkeit

• Tägliche Sicherung der Datenbank (14 Stände rollierend), nur für den Dienstbenutzer und den Administrator lesbar; zusätzlich werden regelmäßig Kopien der Sicherungen außerhalb des Servers abgelegt.
• Die Anwendung läuft als Dienst ohne Administratorrechte in einer abgeschotteten Umgebung (nur der eigene Datenordner ist beschreibbar) und startet nach einem Absturz automatisch neu.

Datenschutz-Verfahren

• Löschkonzept: Funktion „Konto komplett löschen“ mit Passwortbestätigung und Hinweis auf Aufbewahrungspflichten; Funktion „Daten exportieren“. Server-Protokolle mit gekürzter IP-Adresse werden nach 7 Tagen gelöscht.
• Zustimmungsnachweis: Version und Zeitpunkt der Zustimmung werden je Konto gespeichert.
• Qualitätssicherung: Automatisierte Tests vor jeder Veröffentlichung; regelmäßige Updates der Systemsoftware.
• Auftragskontrolle: Weisungen in Textform; Unterauftragsverarbeiter nur mit Vertrag nach Art. 28 DSGVO.
• Datenpannen: Eine Verletzung wird dokumentiert und dem Auftraggeber unverzüglich gemeldet.

Anlage 2: Unterauftragsverarbeiter