ENTWURF – nicht rechtlich geprüft. Vor der Veröffentlichung von einer Anwältin oder einem Anwalt (IT-/Datenschutzrecht) prüfen lassen. Stellen in [eckigen Klammern] sind offen.

Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO

zwischen dem Kunden (Verantwortlicher, „Auftraggeber“) und Hausmeisterservice Kindler, Inhaber Roland Kindler, Dislichstr. 28, 47137 Duisburg („Auftragnehmer“).

1. Gegenstand und Dauer

Der Auftragnehmer stellt dem Auftraggeber die HSM-App zur Verfügung und verarbeitet dabei personenbezogene Daten in dessen Auftrag. Der Vertrag gilt für die Dauer des Nutzungsvertrags.

2. Art, Zweck und Umfang

Zweck	Planung und Dokumentation von Hausmeister- und Objektdienstleistungen, Versand von Protokollen, je nach Bausteinen Zeiterfassung, Fuhrpark, GPS, Warenwirtschaft
Datenarten	Kontaktdaten (Name, Telefon, E-Mail), Objektadressen, Auftrags- und Leistungsdaten, Fotos und Dokumente, Benutzerkonten; je nach Baustein Arbeitszeiten und Abwesenheiten, Fahrzeug- und Standortdaten, Rechnungsdaten
Betroffene	Mitarbeiter des Auftraggebers, Mieter und Personen vor Ort, Ansprechpartner von Hausverwaltungen und Eigentümern, Lieferanten

Besondere Kategorien nach Art. 9 DSGVO sind nicht vorgesehen. [Hinweis: Krankmeldungen im Baustein Zeiterfassung können Gesundheitsdaten berühren – prüfen.]

3. Weisungen

Der Auftragnehmer verarbeitet die Daten nur auf dokumentierte Weisung des Auftraggebers, auch in Bezug auf Übermittlungen in Drittländer, es sei denn, er ist gesetzlich dazu verpflichtet. Er informiert den Auftraggeber, wenn er eine Weisung für rechtswidrig hält.

4. Vertraulichkeit

Personen, die Zugang zu den Daten haben, sind zur Vertraulichkeit verpflichtet.

5. Sicherheit der Verarbeitung

Der Auftragnehmer trifft die technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO aus Anlage 1 und passt sie dem Stand der Technik an, ohne das Schutzniveau zu senken.

6. Unterauftragsverarbeiter

Der Auftraggeber stimmt den Unterauftragsverarbeitern in Anlage 2 zu. Über neue oder geänderte Unterauftragsverarbeiter informiert der Auftragnehmer vorher in Textform; der Auftraggeber kann aus wichtigem datenschutzrechtlichem Grund innerhalb von [14] Tagen widersprechen. Der Auftragnehmer legt ihnen gleichwertige Pflichten auf.

7. Unterstützung

Der Auftragnehmer unterstützt den Auftraggeber bei Anfragen Betroffener, bei der Meldung von Datenschutzverletzungen, bei Datenschutz-Folgenabschätzungen und bei Konsultationen der Aufsichtsbehörde. Verletzungen des Schutzes personenbezogener Daten meldet er unverzüglich, möglichst innerhalb von [24] Stunden nach Kenntnis.

8. Löschung und Rückgabe

Nach Vertragsende stellt der Auftragnehmer die Daten auf Wunsch innerhalb von [30] Tagen in einem gängigen Format bereit und löscht sie danach einschließlich Kopien. Sicherungen werden mit dem Ablauf ihrer Aufbewahrung (derzeit 14 Tage) gelöscht.

9. Nachweise und Kontrollen

Der Auftragnehmer stellt die zum Nachweis nötigen Informationen bereit und ermöglicht Überprüfungen nach angemessener Vorankündigung.

Anlage 1: Technische und organisatorische Maßnahmen

Trennung	Je Kunde eigene Datenbank mit eigenem Datenbank-Benutzer, eigener Dateibereich und eigene Sitzungen; die Software ist technisch auf den Bereich des jeweiligen Kunden beschränkt. Automatische Tests prüfen die Trennung vor jeder Änderung.
Zugang	Server-Anmeldung nur mit Schlüssel, Firewall, Sperre nach wiederholten Fehlversuchen, automatische Sicherheitsupdates
Zugriff	Rollen (Inhaber, Mitarbeiter, Kunden-Zugang), Passwörter nur als Hash gespeichert, Zugang zur Verwaltung mit Begrenzung von Anmeldeversuchen und Protokoll
Übertragung	Verschlüsselung über HTTPS (TLS), HSTS
Verfügbarkeit	Tägliche Sicherung mit Prüfsummen und Vollständigkeitsprüfung, 14 Tage Aufbewahrung, regelmäßige Probe-Wiederherstellung. [Offen: Kopie an einem zweiten Standort.]
Protokoll	Änderungen in der Verwaltung werden mit Zeit und Person protokolliert

Anlage 2: Unterauftragsverarbeiter

Unternehmen	Leistung	Ort
IONOS SE, Montabaur	Server und Rechenzentrum	Deutschland [Standort bestätigen]
[Nur bei Baustein „KI-Mails“] Anthropic	Auswertung eingehender E-Mails durch KI	USA – [Rechtsgrundlage der Übermittlung klären]
[Nur bei Routenplanung] Betreiber des Routen- bzw. Adressdienstes	Berechnung von Fahrstrecken aus Objektadressen	[klären]

Lexware Office und GPS-Anbieter: Der Kunde nutzt hier eigene Verträge mit diesen Anbietern; die App übermittelt nur in seinem Auftrag. [Einordnung prüfen lassen.]

Zur Startseite · Impressum · Datenschutz · AGB · Auftragsverarbeitung