Vertrag über die Verarbeitung personenbezogener Daten im Auftrag

Auftragsverarbeitungsvertrag gemäß Art. 28 DSGVO · Stand: 01.09.2026 · Version 1.0

AGB · Datenschutzerklärung · Impressum

Vertragsparteien

§ 1 Gegenstand, Dauer und Rangfolge

(1) Der Auftragnehmer stellt dem Auftraggeber auf Grundlage eines Hauptvertrages (Nutzung der Software „Messquito“ als Software as a Service, nachfolgend „Hauptvertrag“) Leistungen bereit, bei denen personenbezogene Daten im Auftrag des Auftraggebers verarbeitet werden. Dieser Vertrag konkretisiert die datenschutzrechtlichen Rechte und Pflichten der Parteien gemäß Art. 28 DSGVO.

(2) Der Auftraggeber ist für die Verarbeitung der Daten Verantwortlicher im Sinne des Art. 4 Nr. 7 DSGVO und allein für die Beurteilung der Zulässigkeit der Verarbeitung sowie für die Wahrung der Rechte der betroffenen Personen verantwortlich.

(3) Gegenstand, Art, Zweck und Umfang der Verarbeitung, die Arten personenbezogener Daten sowie die Kategorien betroffener Personen ergeben sich aus Anlage 1.

(4) Die Laufzeit dieses Vertrages entspricht der Laufzeit des Hauptvertrages. Eine Kündigung dieses Vertrages ohne gleichzeitige Kündigung des Hauptvertrages ist nicht möglich; unbeschadet dessen kann der Auftraggeber diesen Vertrag aus wichtigem Grund kündigen, insbesondere bei schwerwiegenden Verstößen des Auftragnehmers gegen datenschutzrechtliche Vorschriften oder gegen seine Pflichten aus diesem Vertrag.

(5) Bei Widersprüchen zwischen diesem Vertrag und dem Hauptvertrag oder den Allgemeinen Geschäftsbedingungen gehen in datenschutzrechtlichen Fragen die Regelungen dieses Vertrages vor.

§ 2 Weisungsrecht des Auftraggebers

(1) Der Auftragnehmer verarbeitet personenbezogene Daten ausschließlich im Rahmen der getroffenen Vereinbarungen und nach dokumentierten Weisungen des Auftraggebers. Eine Verarbeitung für eigene Zwecke oder eine Nutzung der Daten außerhalb des Auftrags ist ausgeschlossen. Ausgenommen sind Verarbeitungen, zu denen der Auftragnehmer nach Unionsrecht oder dem Recht eines Mitgliedstaats verpflichtet ist; in diesem Fall teilt er dem Auftraggeber die rechtlichen Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht eine solche Mitteilung nicht wegen eines wichtigen öffentlichen Interesses verbietet.

(2) Weisungen werden in der Regel in Textform erteilt. Mündlich erteilte Weisungen sind unverzüglich in Textform zu bestätigen. Der Auftragnehmer dokumentiert erteilte Weisungen.

(3) Weisungsberechtigt auf Seiten des Auftraggebers sind: [PLATZHALTER: Namen/Funktionen]. Weisungsempfänger auf Seiten des Auftragnehmers ist: Andreas Weber.

(4) Ist der Auftragnehmer der Ansicht, dass eine Weisung des Auftraggebers gegen datenschutzrechtliche Vorschriften verstößt, hat er den Auftraggeber unverzüglich darauf hinzuweisen. Er ist berechtigt, die Durchführung der betreffenden Weisung bis zu deren Bestätigung oder Änderung durch den Auftraggeber auszusetzen.

(5) Die Konfiguration der Software durch den Auftraggeber, insbesondere die Anlage von Benutzerkonten, die Vergabe von Rollen und Berechtigungen, die Eingabe von Daten sowie die Nutzung von Export-, Versand- und Freigabefunktionen, gilt als Weisung im Sinne dieses Vertrages.

§ 3 Pflichten des Auftragnehmers

(1) Der Auftragnehmer verarbeitet die Daten ausschließlich innerhalb der Europäischen Union oder des Europäischen Wirtschaftsraums. Eine Verlagerung in ein Drittland erfolgt nur unter den Voraussetzungen des § 8.

(2) Der Auftragnehmer verpflichtet die bei der Verarbeitung eingesetzten Personen schriftlich zur Vertraulichkeit (Art. 28 Abs. 3 lit. b, Art. 29, Art. 32 Abs. 4 DSGVO) und unterrichtet sie über die einschlägigen datenschutzrechtlichen Vorgaben. Die Vertraulichkeitsverpflichtung besteht auch nach Beendigung der Tätigkeit fort.

(3) Der Auftragnehmer trifft die in Anlage 2 beschriebenen technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO und hält sie während der Vertragslaufzeit ein. Er ist berechtigt, die Maßnahmen weiterzuentwickeln, solange das vereinbarte Schutzniveau nicht unterschritten wird. Wesentliche Änderungen dokumentiert er und teilt sie dem Auftraggeber auf Anfrage mit.

(4) Der Auftragnehmer unterstützt den Auftraggeber bei der Einhaltung der in Art. 32 bis 36 DSGVO genannten Pflichten, soweit dies unter Berücksichtigung der Art der Verarbeitung und der ihm zur Verfügung stehenden Informationen erforderlich und ihm zumutbar ist. Dies umfasst insbesondere die Unterstützung bei Datenschutz-Folgenabschätzungen und bei vorherigen Konsultationen mit der Aufsichtsbehörde.

(5) Der Auftragnehmer führt ein Verzeichnis aller Kategorien von Verarbeitungstätigkeiten, die er im Auftrag des Auftraggebers durchführt (Art. 30 Abs. 2 DSGVO).

(6) Der Auftragnehmer hat [PLATZHALTER: Auswahl treffen] keinen Datenschutzbeauftragten bestellt, da die Voraussetzungen des Art. 37 DSGVO und des § 38 BDSG nicht vorliegen / folgenden Datenschutzbeauftragten bestellt: Name, Anschrift, Kontakt. Er informiert den Auftraggeber unverzüglich über eine Änderung dieses Umstands.

(7) Der Auftragnehmer berichtigt, löscht oder sperrt die im Auftrag verarbeiteten Daten nur nach Weisung des Auftraggebers oder aufgrund der von diesem in der Software vorgenommenen Handlungen.

§ 4 Pflichten des Auftraggebers

(1) Der Auftraggeber ist für die Rechtmäßigkeit der Datenverarbeitung, insbesondere für das Vorliegen einer Rechtsgrundlage, sowie für die Wahrung der Rechte betroffener Personen verantwortlich.

(2) Der Auftraggeber erteilt alle Aufträge, Teilaufträge und Weisungen grundsätzlich in Textform.

(3) Der Auftraggeber informiert den Auftragnehmer unverzüglich, wenn er Fehler oder Unregelmäßigkeiten bei der Prüfung der Auftragsergebnisse feststellt.

(4) Der Auftraggeber ist verpflichtet, die ihm im Rahmen des Vertragsverhältnisses vom Auftragnehmer zur Verfügung gestellten Informationen zu technischen und organisatorischen Maßnahmen vertraulich zu behandeln.

(5) Der Auftraggeber stellt sicher, dass er nur solche Daten in die Software einstellt, die für den vereinbarten Zweck erforderlich sind. Die Eingabe besonderer Kategorien personenbezogener Daten im Sinne des Art. 9 DSGVO (z. B. Gesundheitsdaten) in Freitextfelder ist nicht vorgesehen und zu unterlassen.

(6) Der Auftraggeber ist für die Verwaltung seiner Benutzerkonten und Berechtigungen verantwortlich, insbesondere für die unverzügliche Deaktivierung von Konten ausgeschiedener Mitarbeiter.

§ 5 Unterstützung bei Anfragen betroffener Personen

(1) Wendet sich eine betroffene Person mit einem Anliegen zur Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Datenübertragbarkeit oder mit einem Widerspruch direkt an den Auftragnehmer, leitet dieser das Anliegen unverzüglich an den Auftraggeber weiter und beantwortet es nicht selbst.

(2) Der Auftragnehmer unterstützt den Auftraggeber bei der Erfüllung der Ansprüche betroffener Personen im Rahmen des technisch Möglichen und Zumutbaren, insbesondere durch die in der Software vorhandenen Such-, Export-, Berichtigungs- und Löschfunktionen.

(3) Erfordert die Unterstützung einen über die Bereitstellung der Softwarefunktionen hinausgehenden Aufwand, kann der Auftragnehmer diesen nach vorheriger Ankündigung nach Aufwand abrechnen [PLATZHALTER: Stundensatz].

§ 6 Meldung von Verletzungen des Schutzes personenbezogener Daten

(1) Der Auftragnehmer informiert den Auftraggeber unverzüglich, spätestens jedoch innerhalb von 24 Stunden nach Kenntniserlangung, über Verletzungen des Schutzes personenbezogener Daten, die die im Auftrag verarbeiteten Daten betreffen.

(2) Die Meldung enthält, soweit verfügbar, eine Beschreibung der Art der Verletzung, die betroffenen Kategorien und die ungefähre Zahl der betroffenen Personen und Datensätze, die wahrscheinlichen Folgen sowie die ergriffenen oder vorgeschlagenen Maßnahmen zur Behebung und Abmilderung.

(3) Der Auftragnehmer trifft unverzüglich die erforderlichen Maßnahmen zur Sicherung der Daten und zur Minderung möglicher nachteiliger Folgen und unterstützt den Auftraggeber bei dessen Melde- und Benachrichtigungspflichten nach Art. 33 und 34 DSGVO.

(4) Meldungen an die Aufsichtsbehörde oder an betroffene Personen nimmt ausschließlich der Auftraggeber vor, sofern nicht im Einzelfall etwas anderes vereinbart wird.

§ 7 Unterauftragsverarbeiter

(1) Der Auftraggeber stimmt der Einbindung der in Anlage 3 genannten Unterauftragsverarbeiter zu.

(2) Der Auftragnehmer ist berechtigt, weitere Unterauftragsverarbeiter hinzuzuziehen oder bestehende zu ersetzen. Er informiert den Auftraggeber hierüber mindestens [PLATZHALTER: z. B. vier Wochen] vor Beginn der Verarbeitung in Textform oder per E-Mail an die vom Auftraggeber hinterlegte Adresse. Der Auftraggeber kann der Änderung innerhalb von [PLATZHALTER: z. B. zwei Wochen] nach Zugang der Information aus wichtigem, nachvollziehbar darzulegendem datenschutzrechtlichen Grund widersprechen. Im Fall eines berechtigten Widerspruchs ist jede Partei berechtigt, den Hauptvertrag zum geplanten Zeitpunkt der Änderung zu kündigen, sofern keine einvernehmliche Lösung gefunden wird.

(3) Der Auftragnehmer wählt Unterauftragsverarbeiter sorgfältig unter besonderer Berücksichtigung der Eignung der von ihnen getroffenen technischen und organisatorischen Maßnahmen aus und schließt mit ihnen Verträge, die den Anforderungen des Art. 28 Abs. 4 DSGVO entsprechen und dem vorliegenden Vertrag im Schutzniveau gleichwertig sind.

(4) Nicht als Unterauftragsverarbeitung im Sinne dieses Paragraphen gelten Nebenleistungen, die der Auftragnehmer bei Dritten in Anspruch nimmt und die nicht auf die Verarbeitung der im Auftrag verarbeiteten Daten gerichtet sind, insbesondere Telekommunikationsleistungen, Postdienste, Reinigung und die Entsorgung von Datenträgern. Der Auftragnehmer ist verpflichtet, auch hier ein angemessenes Schutzniveau sicherzustellen.

§ 8 Datenverarbeitung in Drittländern

(1) Die Verarbeitung der Daten erfolgt in der Bundesrepublik Deutschland.

(2) Eine Verarbeitung in einem Drittland außerhalb der EU/des EWR findet nur statt, wenn die besonderen Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind, insbesondere auf Grundlage eines Angemessenheitsbeschlusses der Europäischen Kommission oder auf Grundlage von Standarddatenschutzklauseln nebst erforderlicher zusätzlicher Schutzmaßnahmen. Der Auftragnehmer informiert den Auftraggeber vorab über eine solche Verarbeitung.

§ 9 Nachweise und Kontrollrechte

(1) Der Auftragnehmer weist dem Auftraggeber die Einhaltung der in diesem Vertrag festgelegten Pflichten auf Anfrage nach, insbesondere durch Vorlage der Dokumentation seiner technischen und organisatorischen Maßnahmen, durch geeignete Zertifikate oder Prüfberichte oder durch Selbstauskunft.

(2) Der Auftraggeber ist berechtigt, sich von der Einhaltung dieses Vertrages im erforderlichen Umfang zu überzeugen, auch durch Kontrollen vor Ort. Kontrollen vor Ort sind mit angemessener Vorankündigung von mindestens [PLATZHALTER: z. B. zwei Wochen], zu den üblichen Geschäftszeiten und ohne Störung des Betriebsablaufs durchzuführen. Der Auftragnehmer kann verlangen, dass Kontrollpersonen eine Vertraulichkeitsverpflichtung unterzeichnen und dass keine Wettbewerber eingesetzt werden.

(3) Für Kontrollen, die über eine Kontrolle pro Kalenderjahr hinausgehen und die nicht durch einen konkreten Anlass begründet sind, kann der Auftragnehmer eine angemessene Aufwandsvergütung verlangen [PLATZHALTER: Stundensatz].

(4) Kontrollen bei Unterauftragsverarbeitern erfolgen grundsätzlich über die dem Auftragnehmer zustehenden Prüf- und Nachweisrechte. Der Auftragnehmer stellt dem Auftraggeber die von Unterauftragsverarbeitern erhaltenen Nachweise auf Anfrage zur Verfügung.

§ 10 Löschung und Rückgabe nach Beendigung

(1) Nach Beendigung des Hauptvertrages hat der Auftragnehmer die im Auftrag verarbeiteten Daten nach Weisung des Auftraggebers zu löschen oder zurückzugeben.

(2) Erteilt der Auftraggeber keine abweichende Weisung, stellt der Auftragnehmer die Daten gemäß den Regelungen des Hauptvertrages noch für [PLATZHALTER: z. B. 30 Tage] zum Export bereit und löscht sie anschließend datenschutzgerecht.

(3) Sicherungskopien (Backups) werden im Rahmen der regulären Aufbewahrungs- und Rotationszyklen gelöscht, spätestens nach [PLATZHALTER: z. B. 30 Tagen] nach der Löschung des Produktivdatenbestands.

(4) Dokumentationen, die dem Nachweis der auftrags- und ordnungsgemäßen Datenverarbeitung dienen, sowie Daten, für die gesetzliche Aufbewahrungspflichten bestehen (insbesondere Rechnungsdaten nach § 147 AO und § 257 HGB), darf der Auftragnehmer über die Vertragslaufzeit hinaus aufbewahren. Diese Daten werden für keine anderen Zwecke verarbeitet.

(5) Der Auftragnehmer bestätigt die Löschung auf Anfrage in Textform.

§ 11 Haftung

(1) Für die Haftung der Parteien gilt Art. 82 DSGVO.

(2) Im Übrigen gelten die Haftungsregelungen des Hauptvertrages, soweit sie nicht zwingenden datenschutzrechtlichen Vorschriften widersprechen.

§ 12 Schlussbestimmungen

(1) Änderungen und Ergänzungen dieses Vertrages bedürfen der Textform.

(2) Sollten einzelne Bestimmungen dieses Vertrages unwirksam sein oder werden, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt. Die Parteien verpflichten sich, eine unwirksame Bestimmung durch eine wirksame Regelung zu ersetzen, die dem verfolgten Zweck am nächsten kommt.

(3) Es gilt das Recht der Bundesrepublik Deutschland.

(4) Bestandteil dieses Vertrages sind die Anlagen 1 bis 3.

Anlage 1 – Gegenstand, Art, Zweck und Umfang der Verarbeitung

1. Gegenstand und Zweck

Bereitstellung und Betrieb der Software „Messquito“ als Software as a Service zur digitalen Erfassung von Aufmaßen für Insektenschutzprodukte, zur Ermittlung von Bestellmaßen, zur Kalkulation, zur Erstellung und Versendung von Angeboten und Auftragsbestätigungen sowie zur Übermittlung von Bestellungen und Anfragen an Hersteller und Lieferanten. Hinzu kommen Support-, Wartungs-, Fehleranalyse- und Backup-Leistungen.

2. Art der Verarbeitung

Erheben, Erfassen, Organisieren, Ordnen, Speichern, Anpassen, Verändern, Auslesen, Abfragen, Verwenden, Offenlegen durch Übermittlung, Verbreiten, Bereitstellen, Abgleichen, Verknüpfen, Einschränken, Löschen und Vernichten personenbezogener Daten mittels automatisierter Verfahren.

3. Kategorien betroffener Personen

• Mitarbeiter und Benutzer des Auftraggebers (Innen- und Außendienst, Monteure)
• Endkunden und Auftraggeber des Auftraggebers (Privat- und Geschäftskunden)
• Ansprechpartner bei Objekten, Verwaltungen, Architekten und Bauherren
• Ansprechpartner bei Lieferanten und Herstellern, soweit vom Auftraggeber erfasst

4. Arten personenbezogener Daten

Besondere Kategorien personenbezogener Daten im Sinne des Art. 9 DSGVO sind nicht Gegenstand der Verarbeitung. Der Auftraggeber stellt dies durch entsprechende Nutzung sicher (§ 4 Abs. 5).

5. Ort der Verarbeitung

Rechenzentrum in der Bundesrepublik Deutschland (siehe Anlage 3). Administrative Zugriffe erfolgen aus der Bundesrepublik Deutschland.

6. Dauer der Verarbeitung

Für die Laufzeit des Hauptvertrages sowie für die in § 10 geregelten Nachlauffristen.

Anlage 2 – Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

1. Vertraulichkeit

Zutrittskontrolle: Die Verarbeitung erfolgt in einem Rechenzentrum des Hosting-Dienstleisters in Deutschland mit Zutrittssicherung, Videoüberwachung, Vereinzelungsanlagen und dokumentierter Besucherverwaltung [PLATZHALTER: durch Bestätigung des Hosting-Dienstleisters belegen]. Arbeitsplätze des Auftragnehmers befinden sich in verschlossenen Räumen.

Zugangskontrolle: Zugang zur Software ausschließlich über persönliche Benutzerkonten mit Benutzername und Passwort. Passwörter werden nicht im Klartext gespeichert, sondern als Hash mit dem Verfahren bcrypt (PHP password_hash, Standardalgorithmus). Ältere Hash-Formate werden bei der nächsten Anmeldung automatisch auf das aktuelle Verfahren umgestellt. Administrative Zugänge zu Server und Datenbank sind auf den Auftragnehmer beschränkt und durch individuelle Zugangsdaten geschützt. Passwort-Zurücksetzungen erfolgen über zeitlich befristete, einmalig verwendbare Token, die nur als Hash gespeichert werden. Sitzungen werden nach Inaktivität beendet.

Zugriffskontrolle: Rollen- und Berechtigungskonzept innerhalb der Software (u. a. Manager, Standardbenutzer, Benutzer ohne Preisanzeige). Preis- und Exportfunktionen sind rollenabhängig eingeschränkt. Zugriffe auf Daten sind auf das für die jeweilige Rolle erforderliche Maß begrenzt.

Trennungskontrolle: Mandantenfähige Architektur; alle Datenzugriffe sind an eine Mandantenkennung gebunden, sodass Daten verschiedener Auftraggeber logisch getrennt verarbeitet werden. Test- und Produktivumgebungen sind getrennt.

Pseudonymisierung und Verschlüsselung: Übertragung ausschließlich über TLS-verschlüsselte Verbindungen (HTTPS) mit HSTS. Sicherheitsrelevante Parameter werden in Protokollen maskiert. [PLATZHALTER: Angaben zur Verschlüsselung im Ruhezustand (Festplattenverschlüsselung, Backup-Verschlüsselung) beim Hosting-Dienstleister ergänzen.]

2. Integrität

Eingabekontrolle: Änderungen an Aufträgen und Messungen werden mit Zeitstempel und Benutzerkennung protokolliert. Server- und Fehlerprotokolle werden geführt und ausgewertet.

Weitergabekontrolle: Datenübermittlung ausschließlich verschlüsselt. Schnittstellenzugriffe (API) erfordern eine Authentisierung; Zugriffe werden protokolliert. E-Mail-Versand erfolgt über authentifizierte SMTP-Verbindungen mit Transportverschlüsselung.

Schutz vor Manipulation: Verwendung parametrisierter Datenbankabfragen, Schutzmaßnahmen gegen Cross-Site-Request-Forgery bei zustandsändernden Formularen, serverseitige Validierung von Eingaben, Sicherheits-HTTP-Header, Einschränkung der Skriptausführung in Upload-Verzeichnissen, Ratenbegrenzung bei sicherheitsrelevanten Vorgängen (z. B. Anmeldung, Passwortanforderung).

3. Verfügbarkeit und Belastbarkeit

Betrieb in einem professionellen Rechenzentrum mit redundanter Strom- und Netzanbindung, Klimatisierung und Brandfrüherkennung [PLATZHALTER: durch Hosting-Dienstleister bestätigen]. Regelmäßige Datensicherung [PLATZHALTER: Frequenz und Aufbewahrungsdauer, z. B. täglich, Vorhaltung 14 Tage]. Einsatz aktueller Softwareversionen und zeitnahe Einspielung von Sicherheitsaktualisierungen. Zusätzlich stehen dem Auftraggeber Export- und Druckfunktionen zur eigenen Datensicherung zur Verfügung.

4. Verfahren zur regelmäßigen Überprüfung, Bewertung und Evaluierung

Datenschutzmanagement durch den Auftragnehmer als verantwortliche Person; Führung eines Verzeichnisses der Verarbeitungstätigkeiten nach Art. 30 Abs. 2 DSGVO; Prozess zur Behandlung von Datenschutzvorfällen mit Meldung nach § 6; Abschluss von Auftragsverarbeitungsverträgen mit allen Unterauftragsverarbeitern; Prüfung der technischen und organisatorischen Maßnahmen bei wesentlichen Änderungen, mindestens jedoch [PLATZHALTER: z. B. jährlich]; Umsetzung der Grundsätze des Datenschutzes durch Technikgestaltung und datenschutzfreundliche Voreinstellungen (Art. 25 DSGVO).

Anlage 3 – Genehmigte Unterauftragsverarbeiter

Nicht als Unterauftragsverarbeitung gelten Übermittlungen an Hersteller und Lieferanten (z. B. Alumar), die auf Veranlassung des Auftraggebers im Rahmen einer Bestellung oder Anfrage erfolgen. Diese Empfänger handeln als eigene Verantwortliche; die Rechtsgrundlage für die Übermittlung hat der Auftraggeber sicherzustellen.