Stand: 28. Juli 2026 · nach Art. 28 Abs. 3 DSGVO
zwischen
Firma, Anschrift, vertreten durch — nachfolgend „Verantwortlicher" (Kunde)
und
Daniel Gruber
Hiltensweiler 35, 88239 Wangen, Deutschland
USt-IdNr. DE284654585 · office@sdk-code-works.com · +49 155 62536813
nachfolgend „Auftragsverarbeiter"
Der Verantwortliche nutzt die vom Auftragsverarbeiter betriebene Anwendung „LüftungsProtokoll" auf Grundlage der Allgemeinen Geschäftsbedingungen und einer etwaigen Einzelvereinbarung (nachfolgend „Hauptvertrag"). Dabei verarbeitet der Auftragsverarbeiter personenbezogene Daten, für die der Verantwortliche verantwortlich ist. Zur Erfüllung der Anforderungen des Art. 28 DSGVO schließen die Parteien diesen Vertrag. Seine Erfüllung wird nicht gesondert vergütet.
(1) Gegenstand, Art, Umfang und Zweck der Verarbeitung, die Kategorien betroffener Personen und die Arten der verarbeiteten Daten ergeben sich aus Anlage 1.
(2) Die Laufzeit dieses Vertrags entspricht der Laufzeit des Hauptvertrags. Er bleibt darüber hinaus so lange in Kraft, wie der Auftragsverarbeiter über personenbezogene Daten verfügt, die er für den Verantwortlichen verarbeitet hat.
(3) Bei Widersprüchen gehen die Regelungen dieses Vertrags denen des Hauptvertrags vor.
(4) Die Beurteilung der Zulässigkeit der Verarbeitung nach Art. 6 DSGVO obliegt allein dem Verantwortlichen.
(1) Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen, es sei denn, er ist nach dem Recht der Union oder eines Mitgliedstaats zu einer anderen Verarbeitung verpflichtet. In diesem Fall teilt er dem Verantwortlichen die rechtlichen Anforderungen vor der Verarbeitung mit, sofern das Recht dies nicht verbietet.
(2) Die Weisungen werden anfänglich durch diesen Vertrag und den Hauptvertrag festgelegt. Der Verantwortliche kann sie jederzeit in Textform ändern, ergänzen oder ersetzen. Die weisungsberechtigten Personen und die Kommunikationswege ergeben sich aus Anlage 4.
(3) Beide Parteien dokumentieren erteilte Weisungen und bewahren sie für die Dauer ihrer Geltung sowie für drei weitere Kalenderjahre auf.
(4) Hält der Auftragsverarbeiter eine Weisung für datenschutzrechtlich unzulässig, weist er den Verantwortlichen unverzüglich darauf hin. Er darf die Ausführung aussetzen, bis die Weisung bestätigt oder geändert wird, und eine offensichtlich rechtswidrige Weisung ablehnen.
(5) Weisungen, die über die im Hauptvertrag vereinbarte Leistung hinausgehen, werden als Antrag auf Leistungsänderung behandelt. Ein hierdurch entstehender Mehraufwand kann gesondert vergütet werden.
(1) Die Verarbeitung der Inhaltsdaten findet in einem Mitgliedstaat der Europäischen Union oder in einem anderen Vertragsstaat des Abkommens über den Europäischen Wirtschaftsraum statt. Die eingesetzten Rechenzentrumsstandorte sind in Anlage 3 benannt. Soweit ein dort benannter Unterauftragsverarbeiter Daten in einem Drittland verarbeitet, ist dies in Anlage 3 ausgewiesen und durch Standardvertragsklauseln nach Art. 46 Abs. 2 lit. c DSGVO abgesichert.
(2) Eine Verlagerung in ein Drittland bedarf der vorherigen Zustimmung des Verantwortlichen in Textform und ist nur zulässig, wenn die Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind.
(1) Der Auftragsverarbeiter trifft die zur Sicherung der Verarbeitung erforderlichen technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO, mindestens jedoch die in Anlage 2 beschriebenen.
(2) Er darf die Maßnahmen weiterentwickeln, sofern das vereinbarte Schutzniveau dabei nicht unterschritten wird. Wesentliche Änderungen teilt er dem Verantwortlichen unverzüglich mit.
(3) Auf Anforderung legt der Auftragsverarbeiter die näheren Umstände der Festlegung und Umsetzung der Maßnahmen offen.
(1) Der Auftragsverarbeiter setzt zur Verarbeitung nur Personen ein, die zur Vertraulichkeit verpflichtet sind oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen (Art. 28 Abs. 3 lit. b DSGVO). Er belehrt sie über die sich aus diesem Vertrag ergebenden Pflichten sowie über die Weisungs- und Zweckbindung.
(2) Die Verpflichtung besteht auch nach dem Ende der Tätigkeit fort und wird dem Verantwortlichen auf Verlangen nachgewiesen.
(3) Der Auftragsverarbeiter erklärt, dass die Verarbeitung derzeit durch den Inhaber persönlich sowie durch die in Anlage 3 genannten Unterauftragsverarbeiter erfolgt. Setzt er künftig weitere Personen ein, gilt Absatz 1.
(1) Der Auftragsverarbeiter informiert den Verantwortlichen unverzüglich, spätestens innerhalb von 24 Stunden nach Kenntnis, über Verletzungen des Schutzes personenbezogener Daten, über den Verdacht solcher Verletzungen sowie über auftragsbezogene Prüfungen einer Aufsichtsbehörde.
(2) Die Meldung enthält, soweit möglich:
(3) Der Auftragsverarbeiter ergreift unverzüglich die erforderlichen Maßnahmen zur Sicherung der Daten und zur Minderung möglicher nachteiliger Folgen und ersucht den Verantwortlichen um weitere Weisungen.
(4) Meldungen an die Aufsichtsbehörde oder an betroffene Personen nach Art. 33, 34 DSGVO nimmt der Auftragsverarbeiter nur nach vorheriger Weisung des Verantwortlichen vor.
(5) Werden die Daten des Verantwortlichen durch Pfändung, Beschlagnahme, ein Insolvenzverfahren oder sonstige Maßnahmen Dritter gefährdet, informiert der Auftragsverarbeiter den Verantwortlichen unverzüglich, sofern ihm dies nicht behördlich oder gerichtlich untersagt ist, und weist die zuständigen Stellen darauf hin, dass die Entscheidungshoheit über die Daten allein beim Verantwortlichen liegt.
(1) Der Auftragsverarbeiter unterstützt den Verantwortlichen mit geeigneten technischen und organisatorischen Maßnahmen bei der Erfüllung von dessen Pflichten nach Art. 12 bis 22 sowie Art. 32 bis 36 DSGVO.
(2) Wendet sich eine betroffene Person unmittelbar an den Auftragsverarbeiter, wird dieser nicht selbst tätig, sondern verweist sie unverzüglich an den Verantwortlichen und informiert diesen.
(3) Die Anwendung stellt Funktionen bereit, mit denen der Verantwortliche Auskunfts-, Berichtigungs- und Löschverlangen selbst und ohne Mitwirkung des Auftragsverarbeiters erfüllen kann (Datenexport, Löschung einzelner Protokolle, Löschung des Kontos).
(4) Der Auftragsverarbeiter führt ein Verzeichnis aller Kategorien von im Auftrag durchgeführten Verarbeitungstätigkeiten nach Art. 30 Abs. 2 DSGVO und stellt es auf Anforderung zur Verfügung.
(1) Der Verantwortliche stimmt dem Einsatz der in Anlage 3 genannten Unterauftragsverarbeiter zu.
(2) Der Auftragsverarbeiter darf weitere Unterauftragsverarbeiter hinzuziehen oder bestehende ersetzen. Er teilt dies mindestens vier Wochen vorher in Textform mit. Der Verantwortliche kann innerhalb von zwei Wochen nach Zugang aus wichtigem datenschutzrechtlichem Grund widersprechen. Macht ein berechtigter Widerspruch die Leistungserbringung unmöglich, kann jede Partei den Hauptvertrag zum geplanten Änderungszeitpunkt kündigen.
(3) Der Auftragsverarbeiter wählt Unterauftragsverarbeiter sorgfältig nach Eignung und Zuverlässigkeit aus und verpflichtet sie vertraglich auf ein Schutzniveau, das dem dieses Vertrags entspricht. Den Abschluss weist er auf Verlangen nach.
(4) Kein zustimmungspflichtiges Unterauftragsverhältnis sind reine Nebenleistungen ohne Bezug zu den für den Verantwortlichen erbrachten Leistungen, etwa Post-, Transport-, Reinigungs- oder Bewachungsleistungen.
(1) Der Verantwortliche überzeugt sich vor Beginn der Verarbeitung und danach regelmäßig von der Einhaltung der getroffenen Maßnahmen. Er kann Auskünfte einholen, sich Nachweise vorlegen lassen oder die Maßnahmen nach rechtzeitiger Ankündigung zu üblichen Geschäftszeiten selbst oder durch einen sachkundigen Dritten prüfen, sofern dieser nicht in einem Wettbewerbsverhältnis zum Auftragsverarbeiter steht.
(2) Der Auftragsverarbeiter stellt innerhalb angemessener Frist alle hierfür erforderlichen Auskünfte und Nachweise bereit.
(3) Kontrollen erfolgen nur im erforderlichen Umfang und ohne unverhältnismäßige Störung der Betriebsabläufe. Der Verantwortliche dokumentiert das Ergebnis und teilt es dem Auftragsverarbeiter mit.
(1) Nach Beendigung des Hauptvertrags — oder jederzeit auf Anforderung des Verantwortlichen — gibt der Auftragsverarbeiter alle überlassenen Daten zurück oder löscht sie nach Wahl des Verantwortlichen, sofern keine Rechtsvorschrift der Union oder eines Mitgliedstaats zur Aufbewahrung verpflichtet.
(2) Für den Export gilt § 12 der AGB: Der Verantwortliche kann seine Daten jederzeit selbst exportieren; nach Vertragsende steht der Export weitere 30 Tage zur Verfügung.
(3) Nach Ablauf dieser Frist löscht der Auftragsverarbeiter die Daten im Produktivsystem. In Datensicherungen enthaltene Kopien laufen turnusmäßig aus und sind spätestens 35 Tage danach überschrieben. Die Löschung wird auf Verlangen dokumentiert nachgewiesen.
(4) Ein Zurückbehaltungsrecht (§ 273 BGB) an den zu verarbeitenden Daten ist ausgeschlossen.
(1) Für die Haftung gegenüber betroffenen Personen gilt Art. 82 DSGVO.
(2) Im Innenverhältnis stellen sich die Parteien wechselseitig frei, soweit die jeweils andere Partei den zum Schaden führenden Umstand zu verantworten hat. Im Übrigen gilt Art. 82 Abs. 5 DSGVO.
(3) Soweit vorstehend nichts anderes geregelt ist, richtet sich die Haftung nach dem Hauptvertrag.
Der Verantwortliche kann den Hauptvertrag ganz oder teilweise fristlos kündigen, wenn der Auftragsverarbeiter seinen Pflichten aus diesem Vertrag nicht nachkommt, Bestimmungen der DSGVO vorsätzlich oder grob fahrlässig verletzt, eine Weisung nicht ausführen kann oder will oder sich den Kontrollrechten vertragswidrig widersetzt.
(1) Änderungen und Ergänzungen dieses Vertrags bedürfen der Textform. Dies gilt auch für den Verzicht auf dieses Formerfordernis. Der Vorrang individueller Abreden bleibt unberührt.
(2) Ist eine Bestimmung unwirksam, bleibt die Wirksamkeit der übrigen unberührt.
(3) Es gilt deutsches Recht. Ausschließlicher Gerichtsstand ist der Sitz des Auftragsverarbeiters, soweit der Verantwortliche Kaufmann, juristische Person des öffentlichen Rechts oder öffentlich-rechtliches Sondervermögen ist.
Ort, Datum · Verantwortlicher (Name, Funktion)
Ort, Datum · Auftragsverarbeiter
Betrieb der webbasierten Anwendung „LüftungsProtokoll" zur Erstellung, Speicherung und Ausgabe von Aufnahme-, Reinigungs-, Hygiene- und Wartungsprotokollen für lufttechnische Anlagen im Auftrag des Verantwortlichen.
Erheben, Erfassen, Organisieren, Speichern, Anpassen, Auslesen, Verwenden, Zusammenführen zu einem PDF-Dokument, Einschränken und Löschen. Eine darüber hinausgehende Auswertung der Inhaltsdaten findet nicht statt; insbesondere werden sie nicht zu Werbe-, Analyse- oder Trainingszwecken genutzt.
| Kategorie | Einzeldaten |
|---|---|
| Benutzerkonten | Firmenname, Vor- und Nachname, E-Mail-Adresse, Telefonnummer, Passwort (ausschließlich als scrypt-Hash mit individuellem Salt), Rolle, Zeitpunkt der letzten Anmeldung |
| Objekt- und Auftragsdaten | Objektbezeichnung und -anschrift, Auftraggeber, Ansprechpartner mit Name, Funktion, Telefonnummer und E-Mail-Adresse, Termindaten |
| Protokollinhalte | Anlagendaten, Prüf- und Messwerte, festgestellte Mängel, Maßnahmen, Freitextangaben, Name des erfassenden Beschäftigten, Zeitstempel |
| Bilddaten | Fotos von Anlagen, Bauteilen und Räumen (vor und nach Reinigung, Hygiene, Wartung) sowie hochgeladene Dokumente |
| Nutzungs- und Sicherheitsdaten | IP-Adresse, Zeitstempel, Sitzungskennung, Server-Protokolle zur Abwehr missbräuchlicher Zugriffe |
Es werden keine Daten nach Art. 9 DSGVO verarbeitet.
Der Verantwortliche weist den Auftragsverarbeiter an, keine besonderen Kategorien personenbezogener Daten zu verarbeiten, und trägt dafür Sorge, dass solche Daten nicht in die Anwendung eingegeben werden — insbesondere nicht in Freitextfeldern und nicht in Form von Fotos, die Gesundheitsdaten erkennen lassen.
Für die Laufzeit des Hauptvertrags zuzüglich der Fristen nach § 10 dieses Vertrags. Innerhalb der Anwendung werden Protokolldaten nach spätestens drei Jahren ab der letzten Änderung automatisch gelöscht, sofern der Verantwortliche sie nicht zuvor löscht oder eine längere Aufbewahrung vereinbart wird.
Stand: 28. Juli 2026. Die Maßnahmen werden regelmäßig überprüft und dem Stand der Technik angepasst.
Zutrittskontrolle. Die Server stehen in einem Rechenzentrum des in Anlage 3 genannten Hosting-Dienstleisters. Zutritt haben ausschließlich dessen berechtigte Beschäftigte; Zutrittskontrolle, Videoüberwachung, Alarmierung und unterbrechungsfreie Stromversorgung werden von diesem gestellt. Der Auftragsverarbeiter selbst hat keinen physischen Zutritt.
Zugangskontrolle.
Zugriffskontrolle. Bei jedem Zugriff auf einen Datensatz wird geprüft, ob dieser dem Betrieb des anfragenden Benutzers zugeordnet ist. Fehlt die Zuordnung oder ist sie nicht eindeutig, wird der Zugriff abgewiesen (Fail-Closed-Prinzip). Innerhalb eines Betriebs bestehen Rollen mit unterschiedlichem Funktionsumfang.
Trennungskontrolle. Die Daten jedes Betriebs liegen in einem eigenen, durch die Betriebskennung getrennten Schlüsselraum; Fotos und Dokumente liegen je Betrieb in einem eigenen Verzeichnis. Eine betriebsübergreifende Abfrage ist in der Anwendung nicht vorgesehen.
Pseudonymisierung und Verschlüsselung. Übertragung ausschließlich TLS-verschlüsselt (TLS 1.2/1.3) mit erzwungener Weiterleitung und HSTS; Passwörter nur als nicht umkehrbarer Hash; Datensicherungen vollständig verschlüsselt (GPG).
Weitergabekontrolle. Es werden keine externen Skripte, Schriftarten, CDNs, Analyse- oder Werbedienste eingebunden — sämtliche Ressourcen werden vom eigenen Server ausgeliefert. Eine Weitergabe an Dritte findet außer an die in Anlage 3 genannten Unterauftragsverarbeiter nicht statt. Sicherheitsrelevante Antwort-Header (Content-Security-Policy, X-Frame-Options, Referrer-Policy) sind gesetzt.
Eingabekontrolle. Jedes Protokoll speichert Zeitpunkt und Benutzerkennung der letzten Änderung. Zugriffe auf die Schnittstellen werden serverseitig protokolliert; die Protokolle werden ausschließlich zur Störungsbeseitigung und Missbrauchsabwehr ausgewertet.
Verarbeitung ausschließlich nach diesem Vertrag und den Weisungen des Verantwortlichen; vertragliche Bindung aller Unterauftragsverarbeiter auf ein entsprechendes Schutzniveau; Verzeichnis der Verarbeitungstätigkeiten nach Art. 30 Abs. 2 DSGVO.
| Unternehmen | Leistung | Ort der Verarbeitung | Grundlage |
|---|---|---|---|
| netcup GmbH Daimlerstraße 25 76185 Karlsruhe Deutschland |
Bereitstellung und Betrieb des Servers einschließlich Rechenzentrumsleistungen (Hosting) | Wien, Österreich (EU) | Auftragsverarbeitungsvertrag nach Art. 28 DSGVO |
| Brevo (Sendinblue GmbH, Köpenicker Str. 126, 10179 Berlin, bzw. Brevo SAS, Frankreich) |
Versand von System-E-Mails (Registrierungsbestätigung, Passwort-Zurücksetzung, Sicherheitshinweise). Übermittelt werden ausschließlich Empfängeradresse, Name und Inhalt der jeweiligen Nachricht. Protokoll- und Bilddaten werden nicht übermittelt. | Server in Deutschland und Frankreich (EU). Kundenservice und technische Wartung erfolgen nach Angaben des Dienstleisters auch durch Schwesterunternehmen in Indien und den USA. | Auftragsverarbeitungsvertrag nach Art. 28 DSGVO; für die Drittlandübermittlung EU-Standardvertragsklauseln nach Art. 46 Abs. 2 lit. c DSGVO nebst ergänzenden Maßnahmen |
Weisungsberechtigt beim Verantwortlichen:
Name, Funktion · E-Mail, Telefon
Weisungsempfänger beim Auftragsverarbeiter:
Daniel Gruber · office@sdk-code-works.com · +49 155 62536813
Für Weisungen zu nutzender Weg: Textform per E-Mail an die vorstehende Adresse. Mündlich erteilte Weisungen sind unverzüglich in Textform zu bestätigen.
Datenschutz-Ansprechpartner beim Auftragsverarbeiter: Daniel Gruber. Ein Datenschutzbeauftragter ist nach Art. 37 Abs. 1 DSGVO nicht zu benennen.
Impressum · Datenschutz · AGB