Auftragsverarbeitung
1. Gegenstand und Dauer
Der Auftragsverarbeiter stellt dem Verantwortlichen die Web-Anwendung „Voltalog" zur Erstellung, Verwaltung und Versendung von Protokollen bereit. Im Rahmen dieser Leistung verarbeitet er personenbezogene Daten im Auftrag des Verantwortlichen.
Verantwortlicher ist die Person oder das Unternehmen, das die Anwendung geschäftlich nutzt. Auftragsverarbeiter ist der im Impressum genannte Betreiber.
Die Laufzeit entspricht der des zugrunde liegenden Nutzungsvertrags. Der Vertrag endet mit dessen Beendigung; Ziffer 9 bleibt davon unberührt.
2. Art und Zweck der Verarbeitung
Die Verarbeitung dient ausschließlich der Erbringung der vereinbarten Leistung. Sie umfasst:
- Speichern und Bereitstellen der vom Verantwortlichen eingegebenen Inhalte,
- Erzeugen von PDF-Dokumenten aus diesen Inhalten,
- Versenden dieser Dokumente per E-Mail an vom Verantwortlichen bestimmte Empfänger,
- Auswerten von Spracheingaben und hochgeladenen Protokolldateien mittels KI-Diensten, soweit der Verantwortliche diese Funktionen nutzt (siehe Ziffer 6),
- Löschen der Daten nach Maßgabe dieses Vertrags.
Eine Verarbeitung der Inhaltsdaten zu eigenen Zwecken des Auftragsverarbeiters findet nicht statt; sie werden nicht zu Werbe-, Analyse- oder Trainingszwecken ausgewertet.
Davon zu unterscheiden ist die Verarbeitung der Bestands- und Nutzungsdaten des Verantwortlichen selbst (Zugangsdaten, Abrechnungsdaten, statistische Nutzungsereignisse zur Verbesserung des Dienstes). Insoweit ist der Auftragsverarbeiter eigenständig Verantwortlicher; die Einzelheiten regelt die Datenschutzerklärung. Diese Verarbeitung ist nicht Gegenstand dieses Vertrags.
3. Art der Daten und Kreis der Betroffenen
Verarbeitet werden folgende Datenarten:
- Stammdaten der Kunden des Verantwortlichen (Name, Anschrift, Kontaktdaten),
- Objekt- und Anlagendaten (Standort, geprüfte Geräte und Anlagen),
- Inhalte der Protokolle einschließlich Freitexten und Messwerten,
- Unterschriften in Bilddarstellung,
- E-Mail-Adressen der Empfänger versendeter Protokolle,
- Nutzungsdaten des Verantwortlichen und seiner Beschäftigten (Zugangsdaten, Zeitstempel, IP-Adressen),
- erfasste Arbeitszeiten (Datum, Beginn, Ende, Pausendauer), soweit der Verantwortliche die Arbeitszeiterfassung nutzt,
- Terminangaben (Datum, Uhrzeit, Name des Kunden, Notiz), soweit der Verantwortliche den Terminkalender nutzt.
Betroffene Personen sind:
- Kunden des Verantwortlichen und deren Ansprechpartner,
- Beschäftigte des Verantwortlichen, die die Anwendung nutzen,
- Empfänger versendeter Protokolle.
Besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO sind nicht Gegenstand dieses Vertrags. Der Verantwortliche wird solche Daten nicht in die Anwendung eingeben.
4. Weisungsbindung
Der Auftragsverarbeiter verarbeitet die Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen. Die Nutzung der Anwendung durch den Verantwortlichen gilt als Weisung; darüber hinausgehende Weisungen sind in Textform zu erteilen.
Hält der Auftragsverarbeiter eine Weisung für rechtswidrig, teilt er dies unverzüglich mit und darf ihre Ausführung aussetzen.
5. Vertraulichkeit
Der Auftragsverarbeiter setzt zur Verarbeitung nur Personen ein, die zur Vertraulichkeit verpflichtet oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen.
6. Unterauftragsverarbeiter
Der Verantwortliche stimmt dem Einsatz der in der Datenschutzerklärung namentlich benannten Unterauftragsverarbeiter zu: Vercel (Hosting und Reichweitenmessung), Supabase (Datenbank und Anmeldung), Anthropic und OpenAI (Sprach- und Bildfunktionen), Resend (E-Mail-Versand), Upstash (Schutz vor Überlastung) und Sentry (Fehler-Monitoring).
Der Auftragsverarbeiter informiert über beabsichtigte Änderungen mindestens [vier] Wochen im Voraus in Textform. Der Verantwortliche kann innerhalb von [zwei] Wochen aus wichtigem Grund widersprechen; kommt keine Einigung zustande, steht ihm ein Sonderkündigungsrecht zu.
Der Auftragsverarbeiter verpflichtet Unterauftragsverarbeiter auf Datenschutzpflichten, die denen dieses Vertrags entsprechen.
Verarbeitung außerhalb der EU und des EWR: Vertragspartner für die Datenbank ist eine Gesellschaft mit Sitz in Singapur; bei Nutzung der Sprach- und Importfunktionen werden Inhalte an Anbieter in den USA übermittelt. Für beide Länder besteht kein Angemessenheitsbeschluss der Europäischen Kommission; die Übermittlungen sind über Standardvertragsklauseln abgesichert.
Die Sprach- und Importfunktionen laufen ausschließlich auf aktive Auslösung durch den Verantwortlichen. Nutzt er sie nicht, werden über sie keine Inhalte in ein Drittland übermittelt. Eine gesonderte Abschaltmöglichkeit besteht nicht.
7. Technische und organisatorische Maßnahmen
Der Auftragsverarbeiter trifft die in Anlage 1 beschriebenen Maßnahmen nach Art. 32 DSGVO und hält sie während der Vertragslaufzeit aufrecht. Maßnahmen dürfen angepasst werden, solange das Schutzniveau nicht unterschritten wird.
8. Unterstützungspflichten
Der Auftragsverarbeiter unterstützt den Verantwortlichen im erforderlichen Umfang bei:
- der Beantwortung von Anfragen betroffener Personen (Art. 12–23 DSGVO),
- der Sicherheit der Verarbeitung (Art. 32 DSGVO),
- der Meldung von Verletzungen des Schutzes personenbezogener Daten (Art. 33, 34 DSGVO),
- Datenschutz-Folgenabschätzungen und vorheriger Konsultation (Art. 35, 36 DSGVO).
Verletzungen des Schutzes personenbezogener Daten meldet der Auftragsverarbeiter unverzüglich nach Kenntniserlangung an die vom Verantwortlichen benannte Kontaktadresse. Die Meldung an die Aufsichtsbehörde obliegt dem Verantwortlichen.
9. Löschung und Rückgabe
Nach Beendigung des Vertrags löscht der Auftragsverarbeiter die Daten oder gibt sie zurück – nach Wahl des Verantwortlichen. Trifft der Verantwortliche keine Wahl, werden die Daten gelöscht.
Vor der Löschung bleiben sie für einen Übergangszeitraum von bis zu zwölf Monaten abrufbar, damit der Verantwortliche sie sichern kann; auf die bevorstehende Löschung wird per E-Mail hingewiesen.
Verlangt der Verantwortliche die sofortige Löschung, erfolgt sie unverzüglich. Gesetzliche Aufbewahrungspflichten bleiben unberührt.
Der Verantwortliche kann seine Daten jederzeit selbst exportieren; bei Abschluss eines Protokolls wird zusätzlich eine PDF-Kopie auf seinem Gerät abgelegt.
10. Nachweise und Überprüfung
Der Auftragsverarbeiter stellt die zum Nachweis erforderlichen Informationen zur Verfügung und ermöglicht Überprüfungen. Diese sind rechtzeitig anzukündigen, auf das Erforderliche zu beschränken und dürfen den Betrieb nicht unangemessen beeinträchtigen.
11. Weisungsberechtigte und Ansprechpartner
Weisungsberechtigt auf Seiten des Verantwortlichen sind die von ihm bei Vertragsschluss benannten Personen. Ansprechpartner beim Auftragsverarbeiter ist die im Impressum genannte Kontaktadresse.
Änderungen sind der jeweils anderen Partei in Textform mitzuteilen.
12. Haftung
Für die Haftung gilt Art. 82 DSGVO. Im Übrigen gelten die Haftungsregelungen des zugrunde liegenden Nutzungsvertrags.
13. Schlussbestimmungen
Änderungen bedürfen der Textform. Bei Widersprüchen geht dieser Vertrag dem Nutzungsvertrag vor, soweit es den Datenschutz betrifft. Die Unwirksamkeit einzelner Bestimmungen lässt den übrigen Vertrag unberührt.
Anlage 1 – Technische und organisatorische Maßnahmen
Der Auftragsverarbeiter setzt insbesondere folgende Maßnahmen ein:
- zeilenbasierte Zugriffskontrolle in der Datenbank, sodass jeder Zugang nur die eigenen Daten erreicht,
- verschlüsselte Übertragung (TLS), erzwungen über HTTP Strict Transport Security,
- Sicherheits-Header einschließlich Content-Security-Policy,
- Begrenzung der Anfragen je Zugang und Zeitraum sowie Sperre eines Kontos nach wiederholten Fehlversuchen,
- Speicherobergrenzen je Nutzer, in der Datenbank durchgesetzt,
- Passwörter ausschließlich als Hashwert gespeichert,
- nächtliche verschlüsselte Sicherung der Datenbank,
- Überwachung auf Fehler und sicherheitsrelevante Ereignisse,
- automatische Aktualisierung der eingesetzten Programmbibliotheken.
Anlage 2 – Unterauftragsverarbeiter
Die vollständige Liste mit Firmierung, Sitz und Verarbeitungszweck ist in der Datenschutzerklärung unter den jeweiligen Abschnitten benannt und wird dort aktuell gehalten.