Vertrag zur Auftragsverarbeitung
Stand: Oktober 2026. Dieser Vertrag nach Art. 28 DSGVO ergänzt den Nutzungsvertrag über Vormerk und wird mit diesem geschlossen. Er gilt zwischen dem Kunden („Verantwortlicher“) und der FutSoft UG (haftungsbeschränkt), Weinberg 8, 96479 Weitramsdorf („Auftragsverarbeiter“). Wer eine unterschriebene Fassung braucht, erhält sie über das Kontaktformular.
1. Gegenstand und Dauer
Der Auftragsverarbeiter verarbeitet personenbezogene Daten im Auftrag des Verantwortlichen, soweit das für den Betrieb von Vormerk nötig ist. Der Vertrag gilt, solange der Nutzungsvertrag läuft, und endet mit ihm.
2. Art, Zweck und Betroffene
| Zweck | Bereitstellung der Anwendung: Objekt- und Wartungsverwaltung, Störungsmeldungen, Benachrichtigungen, Nachweise, Auswertungen. |
|---|---|
| Art der Verarbeitung | Speichern, Abrufen, Anzeigen, Übermitteln (E-Mail, SMS), Sichern, Löschen. |
| Datenarten | Name, E-Mail-Adresse, Telefon-/Mobilnummer, Rolle und Gruppen, Wartungs- und Prüfnachweise mit Signatur, Störungsmeldungen mit Text und Fotos, Nutzungs- und Sicherheitsprotokolle. |
| Betroffene | Beschäftigte und Beauftragte des Verantwortlichen, Meldende von Störungen (zum Beispiel Bürger), Ansprechpartner. |
Besondere Kategorien personenbezogener Daten sind nicht vorgesehen. Der Verantwortliche stellt sicher, dass keine solchen Daten eingegeben werden, etwa in Freitextfeldern oder auf Fotos.
3. Weisungen
- Der Auftragsverarbeiter verarbeitet Daten nur auf dokumentierte Weisung des Verantwortlichen. Der Nutzungsvertrag und die Einstellungen in der Anwendung gelten als Weisung; weitere Weisungen erfolgen in Textform.
- Hält der Auftragsverarbeiter eine Weisung für rechtswidrig, weist er unverzüglich darauf hin und darf sie bis zur Klärung aussetzen.
4. Pflichten des Auftragsverarbeiters
- Alle Personen, die Zugriff auf die Daten haben, sind zur Vertraulichkeit verpflichtet.
- Er trifft die technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO gemäß Anlage 1 und entwickelt sie fort.
- Er unterstützt den Verantwortlichen mit geeigneten Mitteln bei Anträgen betroffener Personen (Art. 12–22 DSGVO) und bei seinen Pflichten aus Art. 32–36 DSGVO. Anfragen betroffener Personen leitet er unverzüglich weiter.
- Er meldet Verletzungen des Schutzes personenbezogener Daten unverzüglich, in der Regel binnen 48 Stunden nach Kenntnis, mit den Angaben, die der Verantwortliche für seine Meldung braucht.
- Er führt ein Verzeichnis der Verarbeitungstätigkeiten nach Art. 30 Abs. 2 DSGVO.
- Er verarbeitet Daten ausschließlich in der Europäischen Union bzw. im Europäischen Wirtschaftsraum.
- Der Zugriff des Supports auf ein Konto erfolgt nur mit Begründung und wird für den Verantwortlichen nachvollziehbar protokolliert.
5. Unterauftragnehmer
Der Verantwortliche stimmt dem Einsatz der folgenden Unterauftragnehmer zu. Mit ihnen bestehen Verträge nach Art. 28 DSGVO.
| Unternehmen | Leistung | Daten |
|---|---|---|
| Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen | Hosting auf dedizierten Servern, Datenspeicherung und Datensicherung | alle Daten der Anwendung |
| seven communications GmbH (seven.io), Willestraße 4–6, 24103 Kiel | SMS-Versand (nur, wenn SMS-Benachrichtigung genutzt wird) | Mobilnummer, Nachrichtentext |
Die Mollie B.V., Amsterdam, wickelt Zahlungen des Verantwortlichen an den Auftragsverarbeiter ab. Sie verarbeitet dabei keine Daten im Auftrag des Verantwortlichen, sondern ist für die Zahlungsabwicklung selbst verantwortlich.
Über beabsichtigte Änderungen (neue oder ersetzte Unterauftragnehmer) informiert der Auftragsverarbeiter mindestens 30 Tage vorher in Textform. Der Verantwortliche kann aus wichtigem Datenschutzgrund innerhalb dieser Frist widersprechen. Bleibt der Widerspruch ungelöst, kann jede Seite den Nutzungsvertrag außerordentlich kündigen. Dem Unterauftragnehmer werden dieselben Datenschutzpflichten auferlegt wie in diesem Vertrag.
6. Rechte und Kontrolle
- Der Auftragsverarbeiter stellt dem Verantwortlichen die Informationen zur Verfügung, die zum Nachweis der Pflichten aus Art. 28 DSGVO nötig sind.
- Der Verantwortliche darf Überprüfungen vornehmen, auch vor Ort, nach rechtzeitiger Anmeldung (in der Regel 14 Tage), zu üblichen Geschäftszeiten und ohne Störung des Betriebs. Der Auftragsverarbeiter darf sie durch aktuelle Zertifikate und Prüfberichte seines Rechenzentrumsbetreibers sowie eigene Dokumentation ersetzen, wenn sie ausreichen. Unverhältnismäßigen Aufwand darf er angemessen vergüten lassen.
7. Rückgabe und Löschung
Nach Vertragsende gibt der Auftragsverarbeiter die Daten heraus (Export durch den Verantwortlichen innerhalb von 30 Tagen) und löscht sie danach einschließlich der Sicherungskopien, die innerhalb von weiteren 30 Tagen vollständig überschrieben werden. Gesetzliche Aufbewahrungspflichten bleiben unberührt. Das Löschkonzept der Anwendung (Fristen etwa für Kontaktdaten von Meldenden: standardmäßig 90 Tage nach Abschluss, Fotos öffentlicher Meldungen: standardmäßig ein Jahr nach Abschluss, Sicherheitsprotokolle, SMS-Nachweise) gilt als Weisung des Verantwortlichen, soweit er uns nicht in Textform eine andere Frist vorgibt. Die Fristen legt der Verantwortliche fest: Die Frist für Fotos öffentlicher Meldungen kann er in den Einstellungen verlängern oder die automatische Löschung abschalten, einzelne Fotos nimmt er an der Störung von der Löschung aus. Andere Weisungen setzen wir im Rahmen des technisch Möglichen um.
8. Haftung und Schlussbestimmungen
Für die Haftung gilt Art. 82 DSGVO; im Innenverhältnis gelten die Haftungsregeln des Nutzungsvertrags. Bei Widersprüchen geht dieser Vertrag in Fragen des Datenschutzes vor. Es gilt deutsches Recht.
Anlage 1: Technische und organisatorische Maßnahmen
- Zutritt: Betrieb in Rechenzentren von Hetzner mit Zutrittskontrolle, Videoüberwachung und Protokollierung; kein Zutritt Dritter zu den Servern des Auftragsverarbeiters.
- Zugang: Anmeldung mit Einmalcode per E-Mail; Sitzungen verfallen; Begrenzung wiederholter Anfragen; Server nur per Schlüssel erreichbar.
- Zugriff: Rollen und Gruppen je Organisation; Daten verschiedener Organisationen sind strikt getrennt (Mandantentrennung). Support-Zugriffe nur mit Begründung und Protokollierung.
- Weitergabe: Verschlüsselte Übertragung (TLS) mit HSTS; Dateizugriffe nur nach Berechtigung.
- Eingabe: Änderungen an Rechten und Abrechnungsdaten sowie Wartungsnachweise werden mit Zeitpunkt und Person protokolliert; Protokolle sind manipulationsgeschützt verkettet.
- Verfügbarkeit: Regelmäßige Datensicherung, Überwachung des Betriebs, zeitnahes Einspielen von Sicherheitsupdates.
- Trennung: Entwicklungs- und Produktivumgebung sind getrennt; Echtdaten werden nicht für Tests verwendet.
- Datenschutz durch Technik: Speicherfristen und Anonymisierung nach dokumentiertem Löschkonzept; öffentliche Seiten laden keine Inhalte von Drittanbietern.
- Organisation: Verpflichtung der Beschäftigten auf Vertraulichkeit, Meldeweg für Datenschutzvorfälle, regelmäßige Überprüfung dieser Maßnahmen.