Vertrag zur Auftragsverarbeitung

nach Art. 28 Datenschutz-Grundverordnung (DSGVO) Drucken / Als PDF speichern

§ 1 Gegenstand und Dauer

Der Auftragnehmer stellt dem Auftraggeber die Web-Anwendung Lubill Planer bereit und verarbeitet dabei personenbezogene Daten im Auftrag des Auftraggebers. Der Vertrag gilt, solange der Auftraggeber ein Konto beim Lubill Planer hat.

§ 2 Art und Zweck der Verarbeitung

Entgegennahme von Anmeldungen über Anmeldeformulare, Speichern, Anzeigen, Zuordnen und Ausgeben (Excel, PDF, CSV) von Schüler-, Trainer- und Plandaten, Bereitstellen von Entwürfen für E-Mails und technische Übergabe der vom Auftraggeber ausgelösten Nachrichten an dessen E-Mail-Konto, Datensicherung. Zweck ist die Unterstützung des Auftraggebers bei der Planung seines Trainingsbetriebs.

§ 3 Arten von Daten und betroffene Personen

Datenarten: Vor- und Nachname, Kind/Erwachsene/r, Geburtsjahr, Name der erziehungsberechtigten Person, E-Mail-Adresse, Telefonnummer, Trainingswünsche (Form, Rhythmus, Wunschtrainer, nicht mögliche Zeiten), Hinweise (Freitext), Zeitpunkt der Zustimmung zu AGB und Speicherung, Zuordnung zu Stunden, Namen von Trainern des Auftraggebers.

Betroffene: Schüler des Auftraggebers (auch Minderjährige), deren Eltern oder Erziehungsberechtigte, Trainer des Auftraggebers.

Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO, z. B. Gesundheitsdaten) sind nicht vorgesehen. Der Auftraggeber trägt solche Daten nicht ein, auch nicht in Freitextfelder.

§ 4 Weisungen

Der Auftragnehmer verarbeitet die Daten nur auf dokumentierte Weisung des Auftraggebers. Weisungen sind dieser Vertrag und die Nutzung der Funktionen der Anwendung. Weitere Weisungen erteilt der Auftraggeber in Textform (E-Mail). Hält der Auftragnehmer eine Weisung für rechtswidrig, weist er unverzüglich darauf hin und darf sie bis zur Klärung aussetzen.

§ 5 Pflichten des Auftragnehmers

1. Er verarbeitet die Daten ausschließlich für den Zweck dieses Vertrags und nicht für eigene Zwecke.
2. Er stellt sicher, dass alle Personen, die Zugriff haben, zur Vertraulichkeit verpflichtet sind.
3. Er trifft die in Anlage 1 beschriebenen technischen und organisatorischen Maßnahmen (Art. 32 DSGVO) und entwickelt sie weiter.
4. Er unterstützt den Auftraggeber bei Anfragen betroffener Personen. Löschen und Exportieren von Anmeldungen und Schulen kann der Auftraggeber in der Anwendung selbst; darüber hinaus erledigt der Auftragnehmer Auskunfts- und Löschwünsche auf Anfrage in Textform in der Regel innerhalb von 14 Tagen. Anfragen Betroffener, die den Auftragnehmer direkt erreichen, leitet er ohne eigene Beantwortung an den Auftraggeber weiter.
5. Er unterstützt den Auftraggeber bei der Einhaltung der Pflichten aus Art. 32 bis 36 DSGVO (Sicherheit, Meldung von Verletzungen, Datenschutz-Folgenabschätzung).
6. Er meldet eine Verletzung des Schutzes personenbezogener Daten unverzüglich, in der Regel innerhalb von 48 Stunden nach Bekanntwerden, mit den ihm bekannten Angaben zu Art, Umfang und Folgen.
7. Er führt ein Verzeichnis der Verarbeitungstätigkeiten nach Art. 30 Abs. 2 DSGVO.
8. Er verarbeitet die Daten ausschließlich in Deutschland. Eine Übermittlung in Drittländer findet nicht statt.

§ 6 Pflichten des Auftraggebers

1. Er ist für die Rechtmäßigkeit der Datenverarbeitung verantwortlich, insbesondere dafür, die Daten seiner Schüler und Eltern im Planer speichern zu dürfen, und für die Erfüllung seiner Informationspflichten (Art. 13 und 14 DSGVO) gegenüber den Personen, die sich anmelden.
2. Er gibt Anmeldelinks nur an die vorgesehenen Personen weiter und löscht Daten, die er nicht mehr braucht.
3. Er hält seine Zugangsdaten geheim und meldet Auffälligkeiten unverzüglich.

§ 7 Unterauftragsverarbeiter

Der Auftraggeber genehmigt den Einsatz der in Anlage 2 genannten Unterauftragsverarbeiter. Beabsichtigt der Auftragnehmer eine Änderung, informiert er den Auftraggeber mindestens 30 Tage vorher in Textform. Der Auftraggeber kann aus wichtigem Datenschutzgrund widersprechen; dann kann jede Seite den Vertrag beenden. Der Auftragnehmer verpflichtet jeden Unterauftragsverarbeiter vertraglich auf dieselben Datenschutzpflichten (Art. 28 Abs. 4 DSGVO). Das E-Mail-Programm und der E-Mail-Anbieter des Auftraggebers sind keine Unterauftragsverarbeiter, sondern Dienstleister des Auftraggebers.

§ 8 Kontrollrechte

Der Auftraggeber kann sich in angemessenem Umfang von der Einhaltung dieses Vertrags überzeugen. Der Auftragnehmer erteilt auf Anfrage in Textform die dafür nötigen Auskünfte und Nachweise (z. B. Beschreibung der Maßnahmen). Kontrollen vor Ort sind nur in Absprache mit mindestens 14 Tagen Vorlauf und nur im erforderlichen Umfang möglich.

§ 9 Löschung und Rückgabe

Der Auftraggeber kann Anmeldungen jederzeit als Excel-Datei exportieren und Schulen mit allen Daten sofort aus dem laufenden System löschen. Endet der Vertrag, löscht der Auftragnehmer die Daten spätestens 30 Tage nach Vertragsende, nachdem der Auftraggeber Gelegenheit zum Export hatte. Sicherungskopien werden rollierend innerhalb von 14 Tagen überschrieben.

§ 10 Haftung

Für die Haftung gilt Art. 82 DSGVO. Im Verhältnis der Parteien untereinander gelten ergänzend die Haftungsregeln der Nutzungsbedingungen.

§ 11 Schlussbestimmungen

Bei Widersprüchen zu den Nutzungsbedingungen gehen in Fragen des Datenschutzes die Regelungen dieses Vertrags vor. Änderungen bedürfen der Textform. Es gilt deutsches Recht. Sollte eine Regelung unwirksam sein, bleibt der Rest wirksam.

Anlage 1: Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

Vertraulichkeit

• Zutritt: Die Server stehen im Rechenzentrum der netcup GmbH, die den physischen Zutritt regelt. Weder Auftraggeber noch Auftragnehmer haben Zutritt.
• Systemzugang: Administratorzugang nur per SSH-Schlüssel (keine Passwort-Anmeldung, kein Root-Login), Firewall mit nur drei offenen Ports (SSH, HTTP, HTTPS), Schutz vor wiederholten Anmeldeversuchen (fail2ban), automatische Sicherheitsupdates. Die Konten beim Hoster und beim Domain-Anbieter sind durch Zwei-Faktor-Anmeldung geschützt.
• Zugriff in der Anwendung: Anmeldung mit E-Mail-Adresse und Passwort (mindestens 10 Zeichen); Passwörter nur als gesalzener scrypt-Hash; Begrenzung von Anmelde- und Formularversuchen; Sitzungen über zufällige Token (Cookie mit HttpOnly, SameSite=Strict und Secure, Ablauf nach 14 Tagen); Prüfung der Herkunft von Schreibzugriffen und eine strenge Content-Security-Policy.
• Mandantentrennung: Alle Daten sind je Konto getrennt; jeder Zugriff ist an das angemeldete Konto gebunden. Automatisierte Tests prüfen, dass Konten nicht auf fremde Daten zugreifen können.
• Anmeldeformulare: Der Zugang erfolgt über einen nicht erratbaren, geheimen Link je Saison. Eingaben werden vom Server geprüft und bereinigt; die Zahl der Anmeldungen je Adresse und Zeitraum ist begrenzt. Über das Formular sind weder Lesezugriffe auf vorhandene Anmeldungen noch Änderungen an Plandaten möglich.
• Verschlüsselung: Übertragung nur über HTTPS (TLS, HSTS).
• Zugriff durch den Auftragnehmer: Auf Inhalte einzelner Konten greift der Auftragnehmer nur zu, wenn es zur Fehlerbehebung oder Unterstützung erforderlich und vom Auftraggeber veranlasst ist.

Integrität

• Weitergabe: Der Auftragnehmer versendet keine eigenen E-Mails mit Inhaltsdaten. Vom Auftraggeber ausgelöste Mails gehen nur über dessen eigenes E-Mail-Konto, dessen Passwort verschlüsselt gespeichert ist. Dateien (z. B. AGB) werden mit eingeschränkten Rechten ausgeliefert.
• Eingabe: Eingaben in Formularen werden vom Server auf Länge und Format geprüft; Dateiuploads sind auf PDF- und Textdateien begrenzt.

Verfügbarkeit und Belastbarkeit

• Tägliche Sicherung der Datenbank und der hochgeladenen Dateien (14 Stände rollierend), nur für den Dienstbenutzer und den Administrator lesbar; zusätzlich werden regelmäßig Kopien der Sicherungen außerhalb des Servers abgelegt.
• Die Anwendung läuft als Dienst ohne Administratorrechte in einer abgeschotteten Umgebung (nur der eigene Datenordner ist beschreibbar) mit begrenztem Speicher und startet nach einem Absturz automatisch neu.

Datenschutz-Verfahren

• Löschkonzept: Schulen können vom Auftraggeber samt Anmeldungen, Plänen und Dateien gelöscht werden; Konten werden auf Anfrage vollständig gelöscht. Server-Protokolle mit gekürzter IP-Adresse werden nach 7 Tagen gelöscht.
• Zustimmungsnachweis: Version und Zeitpunkt der Zustimmung werden je Konto gespeichert.
• Qualitätssicherung: Automatisierte Tests vor jeder Veröffentlichung; regelmäßige Updates der Systemsoftware.
• Auftragskontrolle: Weisungen in Textform; Unterauftragsverarbeiter nur mit Vertrag nach Art. 28 DSGVO.
• Datenpannen: Eine Verletzung wird dokumentiert und dem Auftraggeber unverzüglich gemeldet.

Anlage 2: Unterauftragsverarbeiter