Rechtliches

Vertrag zur Auftragsverarbeitung

nach Art. 28 Abs. 3 der Verordnung (EU) 2016/679 (Datenschutz-Grundverordnung, „DSGVO“)

zwischen dem Kunden im Sinne der AGB als Verantwortlichem (im Folgenden „Auftraggeber“)

und Frank Nägler (NeoBlack), Anne-Becker-Ring 23, 21031 Hamburg, als Auftragsverarbeiter (im Folgenden „Auftragnehmer“).

§ 1 Gegenstand, Dauer und Vertragsschluss

(1) Dieser Vertrag konkretisiert die datenschutzrechtlichen Pflichten der Vertragspartner, die sich aus der Bereitstellung des Lagetischs nach den AGB (im Folgenden „Hauptvertrag“) ergeben. Er gilt für alle Tätigkeiten, bei denen der Auftragnehmer oder von ihm beauftragte Personen personenbezogene Daten des Auftraggebers verarbeiten.

(2) Dieser Vertrag ist Bestandteil jeder Lizenz und kommt mit dem Hauptvertrag zustande, ohne dass es einer gesonderten Unterzeichnung bedarf; das elektronische Format genügt (Art. 28 Abs. 9 DSGVO). Auf Wunsch stellt der Auftragnehmer dem Auftraggeber eine unterzeichnete Fassung zur Verfügung.

(3) Die Laufzeit dieses Vertrags richtet sich nach der Laufzeit des Hauptvertrags. Er endet nicht vor der vollständigen Löschung der Daten nach § 10.

(4) Bei Widersprüchen gehen die Regelungen dieses Vertrags zum Datenschutz den AGB vor.

§ 2 Art, Zweck und Umfang der Verarbeitung

(1) Art und Zweck: Der Auftragnehmer betreibt den Lagetisch als Software im Browser für Führungsübungen. Er speichert die Daten des Auftraggebers, stellt sie dessen Benutzern und gekoppelten Geräten zur Verfügung, erstellt Auswertungen und Berichte, sichert die Daten, exportiert sie auf Anforderung und löscht sie nach den vereinbarten Fristen. Eine Verarbeitung zu anderen Zwecken, insbesondere zu eigenen Zwecken des Auftragnehmers, findet nicht statt.

(2) Arten personenbezogener Daten:

• Daten der Benutzer der Einzellizenz: E-Mail-Adresse, Rollen in der Organisation, Zeitpunkte von Einladung und Annahme, Urheberschaft angelegter Übungen;
• Übungsdaten: Ablauf, Zeiten, Bewertungen, Beobachtungen und Notizen der Übungsleitung, Namen von Teilnehmenden in der Besetzung, Nachbesprechung und Berichte;
• technische Daten gekoppelter Geräte: Zeitpunkt der letzten Erreichbarkeit;
• Protokolldaten zu Zugriffen des Auftragnehmers auf Übungsinhalte und zu Änderungen an Organisation, Mitgliedern und Lizenz.

Besondere Kategorien personenbezogener Daten im Sinne von Art. 9 DSGVO sind für die Nutzung nicht erforderlich. Der Auftraggeber stellt sicher, dass seine Benutzer solche Daten nicht in Freitextfelder eingeben.

(3) Kategorien betroffener Personen: Benutzer der Einzellizenz (insbesondere Übungsleitungen und Admins), Teilnehmende an Übungen, deren Namen oder Beobachtungen erfasst werden.

(4) Nicht Gegenstand dieses Vertrags sind Verarbeitungen, für die der Auftragnehmer selbst verantwortlich ist, insbesondere Anmeldedaten der Benutzerkonten, die mehreren Organisationen zugeordnet sein können (Passwort-Hashwert, zweiter Faktor, Anmeldeversuche), Server-Logdateien sowie Vertrags- und Abrechnungsdaten. Dafür gilt die Datenschutzerklärung.

(5) Die Verarbeitung findet ausschließlich in der Bundesrepublik Deutschland statt. Eine Verlagerung in ein anderes Land bedarf der vorherigen Zustimmung des Auftraggebers in Textform und ist nur unter den Voraussetzungen der Art. 44 ff. DSGVO zulässig.

§ 3 Weisungen

(1) Der Auftragnehmer verarbeitet die Daten nur auf dokumentierte Weisung des Auftraggebers, es sei denn, er ist durch das Recht der Union oder eines Mitgliedstaats hierzu verpflichtet; in diesem Fall teilt er dem Auftraggeber diese Anforderung vor der Verarbeitung mit, sofern das betreffende Recht dies nicht verbietet (Art. 28 Abs. 3 lit. a DSGVO).

(2) Die Weisungen sind durch den Hauptvertrag, diesen Vertrag und die Bedienung der Plattform durch den Auftraggeber und seine Benutzer erteilt, etwa durch Anlegen, Ändern, Exportieren oder Löschen von Daten. Weitere Weisungen erteilt der Auftraggeber in Textform an kontakt@lagetisch.de.

(3) Ist der Auftragnehmer der Ansicht, dass eine Weisung gegen datenschutzrechtliche Vorschriften verstößt, weist er den Auftraggeber unverzüglich darauf hin. Er darf die Ausführung der Weisung aussetzen, bis der Auftraggeber sie bestätigt oder ändert.

(4) Einsicht in Übungsinhalte nimmt der Auftragnehmer nur, soweit dies zur Unterstützung des Auftraggebers, zur Behebung von Störungen oder zur Erfüllung gesetzlicher Pflichten erforderlich ist. Jede Einsicht wird mit Person, Zeitpunkt und Grund protokolliert; der Auftraggeber kann das Protokoll anfordern.

§ 4 Vertraulichkeit

Der Auftragnehmer setzt bei der Verarbeitung nur Personen ein, die zur Vertraulichkeit verpflichtet sind oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen (Art. 28 Abs. 3 lit. b DSGVO). Die Verpflichtung besteht über das Ende der Tätigkeit hinaus fort.

§ 5 Technische und organisatorische Maßnahmen

(1) Der Auftragnehmer trifft die nach Art. 32 DSGVO erforderlichen technischen und organisatorischen Maßnahmen. Sie sind in Anlage 1 beschrieben.

(2) Die Maßnahmen unterliegen dem technischen Fortschritt. Der Auftragnehmer darf sie durch gleichwertige oder bessere Maßnahmen ersetzen; das Schutzniveau darf dabei nicht unterschritten werden. Wesentliche Änderungen dokumentiert er und teilt sie dem Auftraggeber auf Anfrage mit.

§ 6 Unterauftragsverarbeiter

(1) Der Auftraggeber erteilt dem Auftragnehmer die allgemeine Genehmigung, weitere Auftragsverarbeiter (Unterauftragsverarbeiter) einzusetzen. Die bei Vertragsschluss eingesetzten Unterauftragsverarbeiter sind in Anlage 2 genannt und gelten als genehmigt.

(2) Der Auftragnehmer informiert den Auftraggeber mindestens vier Wochen vor der Hinzuziehung oder Ersetzung eines Unterauftragsverarbeiters in Textform. Der Auftraggeber kann der Änderung innerhalb dieser Frist aus wichtigem datenschutzrechtlichem Grund in Textform widersprechen. Können sich die Vertragspartner nicht einigen, kann jeder Vertragspartner den Hauptvertrag mit Wirkung zum Zeitpunkt der Änderung kündigen.

(3) Der Auftragnehmer erlegt jedem Unterauftragsverarbeiter vertraglich dieselben Datenschutzpflichten auf, die in diesem Vertrag festgelegt sind, insbesondere hinreichende Garantien für geeignete technische und organisatorische Maßnahmen (Art. 28 Abs. 4 DSGVO). Er haftet gegenüber dem Auftraggeber für die Einhaltung der Pflichten des Unterauftragsverarbeiters.

(4) Nicht als Unterauftragsverhältnis gelten Leistungen, die der Auftragnehmer als Nebenleistung bei Dritten in Anspruch nimmt, etwa Telekommunikationsleistungen ohne Zugriff auf die Daten.

§ 7 Rechte der betroffenen Personen

(1) Der Auftragnehmer unterstützt den Auftraggeber mit geeigneten technischen und organisatorischen Maßnahmen bei der Erfüllung der Rechte der betroffenen Personen nach Kapitel III DSGVO (Art. 28 Abs. 3 lit. e DSGVO). Die Plattform ermöglicht dem Auftraggeber, Daten selbst einzusehen, zu berichtigen, zu exportieren und zu löschen.

(2) Wendet sich eine betroffene Person unmittelbar an den Auftragnehmer, leitet er das Ersuchen unverzüglich an den Auftraggeber weiter und beantwortet es nicht selbst, soweit er nicht dazu angewiesen ist.

§ 8 Weitere Unterstützungspflichten

(1) Der Auftragnehmer unterstützt den Auftraggeber unter Berücksichtigung der Art der Verarbeitung und der ihm zur Verfügung stehenden Informationen bei der Einhaltung der Pflichten aus Art. 32 bis 36 DSGVO (Sicherheit der Verarbeitung, Meldung und Benachrichtigung bei Verletzungen des Schutzes personenbezogener Daten, Datenschutz-Folgenabschätzung, vorherige Konsultation).

(2) Der Auftragnehmer meldet dem Auftraggeber eine ihm bekannt gewordene Verletzung des Schutzes personenbezogener Daten unverzüglich, möglichst innerhalb von 24 Stunden, in Textform an die bei ihm hinterlegte Adresse der Admins des Auftraggebers. Die Meldung enthält, soweit bekannt, die Angaben nach Art. 33 Abs. 3 DSGVO; fehlende Angaben reicht er nach, sobald sie vorliegen. Er ergreift unverzüglich die erforderlichen Maßnahmen zur Sicherung der Daten und zur Minderung möglicher nachteiliger Folgen.

(3) Für Unterstützungsleistungen, die über die Bereitstellung der Funktionen der Plattform und die Pflichten nach Absatz 2 hinausgehen und nicht auf einem Verstoß des Auftragnehmers beruhen, kann der Auftragnehmer eine angemessene Vergütung nach vorheriger Vereinbarung verlangen.

§ 9 Nachweise und Kontrollen

(1) Der Auftragnehmer stellt dem Auftraggeber alle erforderlichen Informationen zum Nachweis der Einhaltung der Pflichten nach Art. 28 DSGVO zur Verfügung (Art. 28 Abs. 3 lit. h DSGVO). Der Nachweis kann insbesondere durch die Beschreibung der Maßnahmen in Anlage 1, durch Auskünfte in Textform sowie durch Nachweise der Unterauftragsverarbeiter, etwa Zertifizierungen, erbracht werden.

(2) Der Auftraggeber oder ein von ihm beauftragter, zur Verschwiegenheit verpflichteter Prüfer, der nicht in einem Wettbewerbsverhältnis zum Auftragnehmer steht, kann Überprüfungen einschließlich Inspektionen durchführen, soweit die Nachweise nach Absatz 1 im Einzelfall nicht ausreichen. Überprüfungen sind mit angemessener Frist, in der Regel mindestens vier Wochen, anzukündigen, finden während der üblichen Geschäftszeiten statt und dürfen den Betrieb nicht unverhältnismäßig stören. Zugang zu Rechenzentren der Unterauftragsverarbeiter richtet sich nach deren Bedingungen.

§ 10 Löschung und Rückgabe nach Vertragsende

(1) Nach dem Ende des Hauptvertrags kann der Auftraggeber seine Daten noch einen Monat lang über die Funktion „Alle Daten exportieren“ in der Verwaltung herunterladen (Rückgabe, AGB § 12). Ein Export ist auch während der Laufzeit jederzeit möglich.

(2) Nach Ablauf dieses Monats löscht der Auftragnehmer alle Daten des Auftraggebers einschließlich Übungen, Mitgliedschaften und Freischaltungen. Aus den Datensicherungen werden die Daten spätestens nach weiteren zehn Tagen entfernt. Der Auftragnehmer bestätigt die Löschung auf Anforderung in Textform.

(3) Die Löschung unterbleibt, soweit nach dem Recht der Union oder eines Mitgliedstaats eine Pflicht zur Speicherung besteht (Art. 28 Abs. 3 lit. g DSGVO).

(4) Löscht der Auftraggeber während der Laufzeit Daten, insbesondere abgeschlossene Übungen oder bei einer Trägerlizenz eine ganze Einzellizenz, werden sie sofort aus dem Datenbestand und spätestens nach zehn Tagen aus den Datensicherungen entfernt.

§ 11 Trägerlizenz

Bei einer Trägerlizenz ist der Träger Auftraggeber dieses Vertrags für alle Einzellizenzen der Trägerlizenz. Verarbeitet der Träger die Daten seinerseits im Auftrag der Organisationen, denen er Einzellizenzen zur Verfügung stellt, ist der Auftragnehmer insoweit weiterer Auftragsverarbeiter; der Träger stellt sicher, dass diese Organisationen der Einschaltung des Auftragnehmers zugestimmt haben, und gibt Weisungen und Ersuchen dieser Organisationen an den Auftragnehmer weiter.

§ 12 Haftung und Schlussbestimmungen

(1) Für die Haftung im Außenverhältnis gegenüber betroffenen Personen gilt Art. 82 DSGVO. Im Innenverhältnis gelten die Haftungsregelungen der AGB, soweit Art. 82 DSGVO nicht zwingend etwas anderes vorsieht.

(2) Änderungen und Ergänzungen dieses Vertrags bedürfen der Textform. Für Änderungen durch den Auftragnehmer gilt § 16 der AGB entsprechend.

(3) Sollte eine Bestimmung dieses Vertrags unwirksam sein oder werden, bleibt der Vertrag im Übrigen wirksam. An die Stelle der unwirksamen Bestimmung tritt eine Regelung, die den Anforderungen des Art. 28 DSGVO entspricht.

(4) Es gilt das Recht der Bundesrepublik Deutschland. Gerichtsstand ist der Gerichtsstand des Hauptvertrags.

Anlage 1: Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

Vertraulichkeit

• Zutrittskontrolle: Betrieb ausschließlich in Rechenzentren der Hetzner Online GmbH in Deutschland mit deren Zutrittsschutz (Zutrittskontrollsysteme, Videoüberwachung, Sicherheitspersonal). Der Auftragnehmer selbst unterhält keine Serverräume.
• Zugangskontrolle: eigener Server nur für den Lagetisch; Verwaltungszugang nur per SSH mit Schlüssel, keine Anmeldung als Administrator mit Passwort; Passwörter der Benutzer ausschließlich als nicht umkehrbarer Hashwert; Begrenzung der Anmeldeversuche je Konto und IP-Adresse; zweiter Faktor (TOTP) für Betreiberkonten verpflichtend und für alle Benutzer verfügbar; Sitzungen nur über verschlüsselte Verbindungen.
• Zugriffskontrolle: Rollen je Einzellizenz (Übungsleitung, Admin); Trägeradmins ohne Zugriff auf Übungsinhalte, sofern sie nicht als Benutzer aufgenommen sind; Einsicht des Betreibers in Übungsinhalte nur mit angegebenem Grund und protokolliert; gekoppelte Geräte erhalten nur Zugriff auf die jeweilige Übung über einen Zugangsschlüssel, der mit dem Ende der Übung oder beim Trennen ungültig wird.
• Trennungskontrolle: logische Trennung der Daten jeder Einzellizenz in der Datenbank; jede Abfrage wird auf die Einzellizenz des angemeldeten Benutzers beschränkt; die Trennung ist durch automatisierte Tests abgesichert.
• Pseudonymisierung und Datenminimierung: Für die Nutzung sind nur E-Mail-Adressen erforderlich; Namen von Teilnehmenden sind freiwillig. Links zum Festlegen eines Passworts und Zugangsschlüssel werden in den Server-Logdateien unkenntlich gemacht.

Integrität

• Weitergabekontrolle: Übertragung ausschließlich verschlüsselt (TLS, HTTP Strict Transport Security); restriktive Content-Security-Policy; Kopplungscodes für Geräte einmalig und kurzlebig, nur als Hashwert gespeichert; Datensicherungen werden vor der Übertragung zum externen Speicher verschlüsselt, der Schlüssel zur Entschlüsselung liegt nicht auf dem Server.
• Eingabekontrolle: Jede Änderung einer Übung wird als Ereignis mit Zeitpunkt und Version gespeichert; Änderungen an Organisation, Mitgliedern, Lizenz und Freischaltungen sowie Einsichten des Betreibers werden im Audit-Protokoll mit handelnder Person, Zeitpunkt und Grund festgehalten.

Verfügbarkeit und Belastbarkeit

• tägliche Sicherung der Datenbank, Aufbewahrung zehn Tage, zusätzlich verschlüsselt auf einem getrennten Speicher (Hetzner Storage Box);
• regelmäßige Prüfung der Wiederherstellbarkeit der Sicherungen, mindestens vierteljährlich;
• automatische Installation von Sicherheitsaktualisierungen des Betriebssystems, regelmäßige Aktualisierung der eingesetzten Software und Prüfung der Abhängigkeiten auf bekannte Sicherheitslücken.

Verfahren zur regelmäßigen Überprüfung

• automatisierte Tests jeder Änderung vor der Inbetriebnahme, einschließlich Tests der Trennung zwischen Organisationen und der Zugriffsrechte;
• Löschfristen: Server-Logdateien 30 Tage, Datensicherungen zehn Tage, Daten nach Vertragsende gemäß § 10;
• Überprüfung dieser Maßnahmen mindestens einmal jährlich und bei wesentlichen Änderungen.

Anlage 2: Unterauftragsverarbeiter

Stand: 22. Oktober 2026