Vereinbarung zur Auftragsverarbeitung (AVV) für „Brandschirm"

gemäß Art. 28 der Verordnung (EU) 2016/679 (DSGVO)

Stand: [DATUM EINSETZEN]

zwischen der den Dienst „Brandschirm" nutzenden Organisation — vertreten durch ihren Inhaber („Owner") — als Verantwortlicher (nachfolgend „Kunde")

und

Simon Burghart Stadtplatz 12 94481 Grafenau E-Mail: support@brandschirm.de

als Auftragsverarbeiter (nachfolgend „Anbieter").

1. Gegenstand, Geltung und Dauer

1.1 Der Anbieter stellt dem Kunden die App „Brandschirm" samt Server-Diensten bereit (der „Dienst", Hauptvertrag gemäß den AGB). Dabei verarbeitet der Anbieter personenbezogene Daten, für die der Kunde Verantwortlicher im Sinne des Art. 4 Nr. 7 DSGVO ist (insbesondere Daten der Mitglieder und eingeladenen Personen seiner Organisation). Diese Vereinbarung konkretisiert die datenschutzrechtlichen Pflichten der Parteien für diese Verarbeitung.

1.2 Diese Vereinbarung wird mit Abschluss des Hauptvertrags Vertragsbestandteil (Ziffer 15.2 der AGB) und gilt für dessen gesamte Dauer. Sie endet mit der vollständigen Löschung der Kundendaten nach Vertragsende (Ziffer 8 dieser Vereinbarung).

1.3 Gegenstand, Art und Zweck der Verarbeitung, die Kategorien betroffener Personen und die Datenkategorien ergeben sich aus Anlage 1.

1.4 Die Verarbeitung findet ausschließlich in Mitgliedstaaten der Europäischen Union oder des Europäischen Wirtschaftsraums statt. Ausnahmen regelt Ziffer 6.4 (Drittlandtransfer durch Subunternehmer).

2. Weisungsrecht des Kunden

2.1 Der Anbieter verarbeitet die Daten ausschließlich auf dokumentierte Weisung des Kunden, sofern er nicht durch Unionsrecht oder das Recht eines Mitgliedstaats zur Verarbeitung verpflichtet ist; in einem solchen Fall teilt der Anbieter dem Kunden diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht eine solche Mitteilung nicht wegen eines wichtigen öffentlichen Interesses verbietet.

2.2 Der Hauptvertrag und die Nutzung der im Dienst vorgesehenen Funktionen durch den Kunden und seine Mitglieder gelten als generelle Weisung. Ergänzende Einzelweisungen bedürfen der Textform (E-Mail an support@brandschirm.de genügt).

2.3 Hält der Anbieter eine Weisung für datenschutzrechtlich unzulässig, informiert er den Kunden unverzüglich; er ist berechtigt, die Ausführung bis zur Bestätigung oder Änderung der Weisung auszusetzen.

3. Pflichten des Anbieters

3.1 Vertraulichkeit: Der Anbieter gewährleistet, dass sich die zur Verarbeitung befugten Personen zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen und mit den einschlägigen Datenschutzbestimmungen vertraut sind.

3.2 Sicherheit der Verarbeitung: Der Anbieter trifft alle nach Art. 32 DSGVO erforderlichen technischen und organisatorischen Maßnahmen („TOM", Anlage 2). Die TOM dürfen an die technische Weiterentwicklung angepasst werden, soweit das vereinbarte Schutzniveau nicht unterschritten wird.

3.3 Unterstützung bei Betroffenenrechten: Der Anbieter unterstützt den Kunden mit geeigneten technischen und organisatorischen Maßnahmen dabei, Anträge betroffener Personen nach Kapitel III DSGVO (insbesondere Auskunft, Berichtigung, Löschung, Datenübertragbarkeit) zu beantworten. Wendet sich eine betroffene Person unmittelbar an den Anbieter, leitet er das Ersuchen unverzüglich an den Kunden weiter.

3.4 Unterstützung nach Art. 32–36 DSGVO: Der Anbieter unterstützt den Kunden unter Berücksichtigung der Art der Verarbeitung und der ihm zur Verfügung stehenden Informationen bei der Einhaltung der Pflichten aus Art. 32 bis 36 DSGVO (Sicherheit, Meldung von Verletzungen, Datenschutz-Folgenabschätzung, Konsultation).

3.5 Meldung von Datenschutzverletzungen: Der Anbieter meldet dem Kunden jede Verletzung des Schutzes der von dieser Vereinbarung erfassten personenbezogenen Daten unverzüglich, nachdem er von ihr Kenntnis erlangt hat, an die hinterlegte E-Mail-Adresse des Owners. Die Meldung enthält, soweit verfügbar, die Angaben nach Art. 33 Abs. 3 DSGVO.

3.6 Ansprechpartner für den Datenschutz beim Anbieter ist Simon Burghart, erreichbar über support@brandschirm.de.

3.7 Verzeichnis der Verarbeitungstätigkeiten: Der Anbieter führt ein Verzeichnis nach Art. 30 Abs. 2 DSGVO.

4. Nachweise und Kontrollen

4.1 Der Anbieter stellt dem Kunden alle erforderlichen Informationen zum Nachweis der Einhaltung der Pflichten aus Art. 28 DSGVO zur Verfügung. Hierzu genügt in der Regel die Vorlage geeigneter Nachweise (z. B. aktuelle TOM-Beschreibung, Zertifizierungen der Rechenzentrums-Betreiber, Auditberichte von Subunternehmern).

4.2 Der Kunde ist berechtigt, Überprüfungen — auch durch beauftragte Prüfer — durchzuführen, soweit die Nachweise nach Ziffer 4.1 im Einzelfall nicht ausreichen. Prüfungen vor Ort erfolgen nach angemessener Vorankündigung, zu üblichen Geschäftszeiten, ohne Störung des Betriebs und höchstens einmal jährlich, sofern kein konkreter Anlass (z. B. eine Datenschutzverletzung) eine weitere Prüfung erfordert. Der Anbieter kann für Prüfungen ohne konkreten Anlass eine angemessene Aufwandsvergütung verlangen.

5. Unterstützungsleistungen, Vergütung

Unterstützungsleistungen nach den Ziffern 3.3 und 3.4, die auf einer Pflicht des Kunden beruhen und über die im Dienst bereitgestellten Funktionen hinausgehen, kann der Anbieter nach Aufwand zu üblichen Sätzen in Rechnung stellen, soweit die Inanspruchnahme nicht auf einem Verstoß des Anbieters beruht.

6. Subunternehmer (weitere Auftragsverarbeiter)

6.1 Der Kunde erteilt die allgemeine Genehmigung zur Einschaltung der in Anlage 3 aufgeführten Subunternehmer.

6.2 Der Anbieter informiert den Kunden über beabsichtigte Änderungen (Hinzuziehung oder Ersetzung von Subunternehmern) mindestens [vier Wochen] im Voraus in Textform (E-Mail an den Owner genügt). Der Kunde kann der Änderung aus wichtigem datenschutzrechtlichem Grund widersprechen; ist eine einvernehmliche Lösung nicht möglich, steht beiden Parteien ein Sonderkündigungsrecht für den Hauptvertrag zum Zeitpunkt des Wirksamwerdens der Änderung zu; bereits gezahltes Entgelt für danach liegende Zeiträume wird anteilig erstattet.

6.3 Der Anbieter verpflichtet jeden Subunternehmer durch Vertrag auf im Wesentlichen dieselben Datenschutzpflichten, wie sie in dieser Vereinbarung festgelegt sind (Art. 28 Abs. 4 DSGVO), und wählt Subunternehmer sorgfältig nach ihrer Eignung aus. Kommt der Subunternehmer seinen Pflichten nicht nach, haftet der Anbieter gegenüber dem Kunden für die Einhaltung der Pflichten des Subunternehmers.

6.4 Drittlandtransfer: Erfolgt eine Verarbeitung durch Subunternehmer außerhalb der EU/des EWR (derzeit: Push-Versand über Expo, USA — s. Anlage 3), stellt der Anbieter sicher, dass geeignete Garantien nach Kapitel V DSGVO bestehen (EU-Standardvertragsklauseln und/oder eine Zertifizierung nach dem EU-U.S. Data Privacy Framework).

6.5 Keine Subunternehmer im Sinne dieser Vereinbarung sind Dienstleister, die der Anbieter als eigenständige Verantwortliche in Anspruch nimmt (insbesondere der Zahlungsdienstleister Stripe für die Zahlungsabwicklung sowie die App-Stores).

7. Pflichten des Kunden

7.1 Der Kunde ist als Verantwortlicher für die Rechtmäßigkeit der Verarbeitung und die Wahrung der Betroffenenrechte verantwortlich; er stellt insbesondere sicher, dass er die Daten der von ihm erfassten oder eingeladenen Personen rechtmäßig in den Dienst einbringen darf (vgl. Ziffer 11.2 der AGB).

7.2 Der Kunde informiert den Anbieter unverzüglich, wenn er Fehler oder Unregelmäßigkeiten bei der Verarbeitung feststellt.

7.3 Weisungsberechtigt ist der Owner der Organisation; er kann weitere weisungsberechtigte Personen in Textform benennen.

8. Löschung und Rückgabe

8.1 Nach Ende des Hauptvertrags — bei Rückstufung auf den kostenlosen Tarif: nach Löschung des Kontos bzw. der Organisation — löscht der Anbieter sämtliche im Auftrag verarbeiteten personenbezogenen Daten entsprechend Ziffer 8 der AGB (endgültige Löschung nach Ablauf von [30 Tagen]), sofern nicht gesetzliche Aufbewahrungspflichten entgegenstehen. In diesem Fall werden die Daten gesperrt und nach Ablauf der Aufbewahrungsfrist gelöscht.

8.2 Der Kunde kann seine Daten vor der Löschung über die im Dienst vorgesehenen Exportfunktionen sichern (Ziffer 8.2 der AGB). Ein gesonderter Rückgabeanspruch in anderen Formaten besteht nicht.

8.3 Dokumentationen, die dem Nachweis der ordnungsgemäßen Verarbeitung dienen (z. B. Protokolle erteilter Einwilligungen), darf der Anbieter über das Vertragsende hinaus entsprechend den gesetzlichen Fristen aufbewahren.

9. Haftung, Schlussbestimmungen

9.1 Für die Haftung der Parteien gelten Art. 82 DSGVO sowie ergänzend die Haftungsregelungen des Hauptvertrags (Ziffer 13 der AGB).

9.2 Bei Widersprüchen zwischen dieser Vereinbarung und dem Hauptvertrag geht diese Vereinbarung in Fragen der Verarbeitung personenbezogener Daten im Auftrag vor.

9.3 Änderungen dieser Vereinbarung richten sich nach Ziffer 16 der AGB. Es gilt deutsches Recht; Gerichtsstand ist der des Hauptvertrags.

9.4 Sollten einzelne Bestimmungen unwirksam sein, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt.

---

Anlage 1 — Gegenstand der Verarbeitung

Gegenstand und Zweck: Bereitstellung und Betrieb der App „Brandschirm" zur Verwaltung von Brandschutz- und Sicherheitsausstattung der Organisation des Kunden; Hosting, Speicherung, Anzeige und Sicherung der Organisationsdaten; Versand von Erinnerungen und vertragsbezogenen Benachrichtigungen per Push-Nachricht und E-Mail; Mitglieder- und Rechteverwaltung einschließlich Einladungen.

Art der Verarbeitung: Erhebung, Speicherung, Anzeige, Übermittlung (Push/E-Mail), Sicherung (Backups), Löschung.

Kategorien betroffener Personen:

• Mitglieder der Organisation (z. B. Mitarbeiter, Beauftragte),
• zur Mitgliedschaft eingeladene Personen,
• sonstige Personen, deren Daten Mitglieder in Inhaltsfeldern erfassen (z. B. Ansprechpartner an Standorten).

Kategorien personenbezogener Daten:

• Stammdaten der Mitglieder (Name, E-Mail-Adresse),
• Authentifizierungsdaten (Passwort-Hash bzw. Google-Konto-Kennung),
• Rollen und Berechtigungen innerhalb der Organisation,
• Einladungsdaten (E-Mail-Adresse, Status),
• Aktivitäts- und Protokolldaten (welches Mitglied hat wann welche Änderung vorgenommen),
• personenbezogene Angaben in Inhaltsdaten (z. B. Namen in Standort- oder Gerätebezeichnungen, Notizen, Ereignissen),
• technische Daten (Push-Token der Endgeräte, IP-Adressen in Server-Protokollen).

Besondere Kategorien (Art. 9 DSGVO): Die Verarbeitung besonderer Datenkategorien ist nicht vorgesehen; der Kunde stellt sicher, dass solche Daten nicht in den Dienst eingebracht werden.

Anlage 2 — Technische und organisatorische Maßnahmen (TOM)

Zutritts- und Zugangskontrolle (Infrastruktur): Betrieb in Rechenzentren der Hetzner Online GmbH in Deutschland; physische Sicherheit und Zutrittskontrolle durch den zertifizierten Rechenzentrumsbetreiber. Serverzugriff ausschließlich für den Anbieter über SSH mit Schlüssel-Authentifizierung.

Zugangs- und Zugriffskontrolle (Anwendung): Nutzerkonten mit individueller Authentifizierung (Passwort-Hashing nach Stand der Technik bzw. Google-Anmeldung); rollenbasiertes Berechtigungskonzept je Organisation; Mandantentrennung der Organisationsdaten auf Anwendungs- und Datenbankebene.

Übertragungskontrolle: Transportverschlüsselung (TLS) für sämtliche Verbindungen zwischen App, Website und Server-Diensten sowie zu Subunternehmern.

Eingabekontrolle: Protokollierung wesentlicher Änderungen im Aktivitätsprotokoll der Organisation; Server-Logs mit begrenzter Aufbewahrungsdauer.

Verfügbarkeitskontrolle: Regelmäßige Datensicherungen auf getrennter Infrastruktur; Monitoring; Wiederanlaufverfahren.

Trennungsgebot: Getrennte Umgebungen für Entwicklung/Test und Produktion; Verarbeitung der Auftragsdaten nur in der Produktivumgebung.

Verfahren zur regelmäßigen Überprüfung: Regelmäßige Prüfung und Aktualisierung der Maßnahmen, Einspielen von Sicherheitsupdates, Überprüfung der Subunternehmer-Garantien.

Anlage 3 — Genehmigte Subunternehmer

Subunternehmer	Anschrift	Leistung	Ort der Verarbeitung	Garantie bei Drittlandtransfer
Hetzner Online GmbH	Industriestr. 25, 91710 Gunzenhausen, Deutschland	Hosting / Server-Infrastruktur	Deutschland	—
Mailjet [Firmierung/Anschrift einsetzen]	[Anschrift]	Versand transaktionaler E-Mails	EU	[ggf. SCC]
Expo [Firmierung/Anschrift einsetzen]	[Anschrift, USA]	Zustellung von Push-Nachrichten	USA	SCC / DPF

Nicht als Subunternehmer geführt (eigenständige Verantwortliche): Stripe (Zahlungsabwicklung), Apple/Google (App-Store-Abwicklung, Push-Zustellung auf Betriebssystem-Ebene).