Vertrag zur Auftragsverarbeitung

Dieser Vertrag gilt zwischen dem Betrieb, der Toolspur nutzt („Verantwortlicher“), und René Mangold, Mangold IT-Consulting, Plochinger Str. 34/2, 73257 Köngen („Auftragsverarbeiter“). Er ist Teil der Allgemeinen Geschäftsbedingungen und kommt mit ihnen zustande, wenn ein Admin des Verantwortlichen in der App zustimmt.

Gegenstand ist der Betrieb von Toolspur für den Verantwortlichen: Speichern und Bereitstellen der Benutzer, Orte, Werkzeuge und Umbuchungen, der Versand von Einladungs- und Passwort-Mails sowie Sicherung, Wartung und Unterstützung. Der Vertrag läuft so lange wie der Hauptvertrag und endet mit der Löschung der Daten (Ziffer 9).

• Betroffene: Beschäftigte und sonstige Personen, die der Verantwortliche zu Toolspur einlädt, sowie Personen, die er selbst als Ort anlegt (z. B. „Mitarbeiter Max“).
• Daten: Name, E-Mail-Adresse, Passwort-Hash, Rolle und Status im Betrieb; Bezeichnungen von Orten und Werkzeugen, Adressen von Orten (z. B. Baustellen); wo sich ein Werkzeug befindet; der Umbuchungsverlauf (wer ein Werkzeug wann von wo nach wo gebucht hat); Anmelde- und technische Protokolldaten.
• Besondere Kategorien von Daten (Art. 9 DSGVO) sind nicht vorgesehen und sollen nicht eingetragen werden.

Der Auftragsverarbeiter verarbeitet die Daten nur auf dokumentierte Weisung des Verantwortlichen. Die Weisung besteht aus diesem Vertrag und der Nutzung der Funktionen der App durch den Verantwortlichen; weitere Weisungen erteilt er in Textform. Hält der Auftragsverarbeiter eine Weisung für rechtswidrig, weist er unverzüglich darauf hin. Eine Verarbeitung für eigene Zwecke findet nicht statt – ausgenommen der sichere Betrieb des Dienstes.

Der Auftragsverarbeiter setzt nur Personen ein, die zur Vertraulichkeit verpflichtet sind oder einer gesetzlichen Verschwiegenheitspflicht unterliegen. Derzeit hat nur der Inhaber selbst Zugriff auf die Systeme.

• Standort: gemieteter Server in einem Rechenzentrum der STRATO GmbH in Deutschland; physischer Zutrittsschutz durch den Rechenzentrumsbetreiber.
• Verschlüsselung der Übertragung: ausschließlich über TLS (https).
• Zugang zur App: persönliche Konten, Passwörter mit mindestens 10 Zeichen, gespeichert nur als gesalzener Hash; Sperre nach wiederholten Fehlversuchen; Begrenzung der Anmeldeversuche je Adresse; Abmeldung entfernt die Sitzung; ein deaktivierter Zugang verliert ihn innerhalb weniger Minuten.
• Berechtigungen: Rollen Admin und Mitarbeiter; nur Admins verwalten Orte, Benutzer und Etiketten.
• Trennung der Kunden: jede Abfrage ist auf den Betrieb des angemeldeten Benutzers beschränkt; die Datenbank verhindert zusätzlich Verknüpfungen über Betriebsgrenzen hinweg; IDs sind nicht fortlaufend und nicht erratbar.
• Systemzugang: die Datenbank ist von außen nicht erreichbar; Verwaltung nur durch den Auftragsverarbeiter; Software wird aktuell gehalten.
• Keine Inhalte Dritter: die App lädt nichts von fremden Servern; Sicherheitsrichtlinien des Browsers (Content Security Policy) verhindern das auch technisch.
• Verfügbarkeit und Wiederherstellung: Sicherung der Datenbank alle zwei Stunden, jede Sicherung wird auf Vollständigkeit geprüft, Aufbewahrung 30 Tage; die Wiederherstellung ist dokumentiert und erprobt; Überwachung der Erreichbarkeit.
• Datensparsamkeit: der Umbuchungsverlauf wird nach 12 Monaten automatisch gelöscht, nur der letzte Eintrag je Werkzeug bleibt; der Name eines gelöschten Orts wird aus dem Verlauf entfernt.
• Protokollierung: technische Protokolle zur Fehlersuche und Angriffserkennung, Aufbewahrung höchstens 30 Tage; Aktionen der Betreiber (z. B. Anlegen von Betrieben) werden protokolliert.

Der Auftragsverarbeiter darf die Maßnahmen weiterentwickeln, solange das Schutzniveau nicht sinkt.

Der Verantwortliche genehmigt folgenden Unterauftragsverarbeiter:

Neue oder geänderte Unterauftragsverarbeiter teilt der Auftragsverarbeiter mindestens vier Wochen vorher in Textform mit. Der Verantwortliche kann aus wichtigem datenschutzrechtlichem Grund widersprechen; kommt keine Einigung zustande, kann er den Vertrag zum Zeitpunkt des Wechsels kündigen. Unterauftragsverarbeitern werden dieselben Pflichten auferlegt wie in diesem Vertrag. Eine Verarbeitung außerhalb der EU/des EWR findet nicht statt.

Der Auftragsverarbeiter unterstützt den Verantwortlichen bei Anfragen betroffener Personen (Art. 12–23 DSGVO), bei Datenschutz-Folgenabschätzungen und bei der Erfüllung seiner Pflichten nach Art. 32–36 DSGVO. Anfragen, die ihn direkt erreichen, leitet er an den Verantwortlichen weiter. Viele Rechte kann der Verantwortliche selbst in der App erfüllen (Namen korrigieren, Benutzer deaktivieren oder entfernen, Inhalte ändern und löschen, Inventar und Verlauf exportieren); jeder Benutzer kann seine eigenen Daten selbst herunterladen, Name und E-Mail-Adresse ändern und sein Konto löschen.

Der Auftragsverarbeiter meldet dem Verantwortlichen eine Verletzung des Schutzes personenbezogener Daten unverzüglich, möglichst innerhalb von 24 Stunden nach Kenntnis, mit den Angaben nach Art. 33 Abs. 3 DSGVO, soweit sie vorliegen, und unterstützt ihn bei Meldung und Benachrichtigung.

Nach Ende des Hauptvertrags kann der Verantwortliche seine Daten noch 30 Tage ansehen und selbst exportieren (CSV). Danach löscht der Auftragsverarbeiter alle Daten des Verantwortlichen; aus den Sicherungen verschwinden sie spätestens 30 Tage später. Auf Wunsch bestätigt er die Löschung in Textform.

Unabhängig davon löscht der Auftragsverarbeiter automatisch: Einladungen, die nach 30 Tagen nicht angenommen sind, und Konten, die zu keinem Betrieb mehr aktiv gehören, 6 Monate nach ihrer letzten Anmeldung. Wird eine Person aus einem Betrieb entfernt oder löscht sie ihr Konto, wird ihr Name im Umbuchungsverlauf durch „ehemaliger Benutzer“ ersetzt.

Der Auftragsverarbeiter stellt dem Verantwortlichen die Informationen zur Verfügung, die zum Nachweis der Pflichten aus Art. 28 DSGVO nötig sind, und ermöglicht Überprüfungen – nach rechtzeitiger Anmeldung, zu üblichen Geschäftszeiten und ohne Störung des Betriebs, bei Kontrollen vor Ort höchstens einmal im Jahr, sofern kein Anlass besteht. Eigener Aufwand dafür kann angemessen berechnet werden.

Für die Haftung gilt Art. 82 DSGVO; im Übrigen gelten die Regelungen der AGB. Bei Widersprüchen geht dieser Vertrag den AGB in Fragen des Datenschutzes vor.