Zum Inhalt springen
Teichwart

Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO

zwischen dem Betrieb, der sich bei Teichwart registriert (Verantwortlicher), und SnippetLab, Inhaber Alexander Hinze, Ludwigshöheweg 34, 12559 Berlin (Auftragsverarbeiter). Der Vertrag wird bei der Registrierung in elektronischer Form abgeschlossen (Art. 28 Abs. 9 DSGVO); der Zeitpunkt wird gespeichert.

1. Gegenstand und Dauer

1.1 Der Auftragsverarbeiter stellt dem Verantwortlichen die Software Teichwart bereit und verarbeitet dabei personenbezogene Daten, die der Verantwortliche oder seine Nutzer eingeben oder hochladen.

1.2 Der Vertrag gilt, solange der Verantwortliche ein Konto bei Teichwart hat, und endet mit der Löschung der Daten nach Ziffer 10.

2. Art und Zweck der Verarbeitung

Speichern, Anzeigen, Auswerten, Exportieren und Löschen der Daten, um die Aufzeichnungen des Betriebs zu führen (insbesondere nach Art. 186 VO (EU) 2016/429 und Art. 108 VO (EU) 2019/6), Lieferscheine und Berichte zu erstellen und an Fristen zu erinnern.

3. Art der Daten und betroffene Personen

  • Betroffene: Inhaber und Mitarbeiter des Betriebs, Nutzer des Kontos, Ansprechpartner bei Geschäftspartnern (Lieferbetriebe, Abnehmer), Tierärzte, Besucher des Betriebs.
  • Daten: Name, E-Mail-Adresse und Rolle der Nutzer; Name, Anschrift, Registriernummer und Kontakt der Geschäftspartner; Name und Kontakt des Hoftierarztes; Namen in Behandlungs-, Besuchs- und Durchführungsprotokollen und im Besucherbuch; hochgeladene Dokumente wie Bescheinigungen, Befunde und Erwerbsnachweise, soweit sie personenbezogene Daten enthalten; Protokoll, welcher Nutzer wann welche Änderung vorgenommen hat.
  • Besondere Kategorien nach Art. 9 DSGVO sind nicht Gegenstand der Verarbeitung. Der Verantwortliche lädt keine Dokumente mit solchen Daten hoch.

4. Weisungen (Art. 28 Abs. 3 lit. a DSGVO)

4.1 Der Auftragsverarbeiter verarbeitet die Daten nur auf dokumentierte Weisung des Verantwortlichen, auch in Bezug auf die Übermittlung in ein Drittland, es sei denn, er ist durch das Recht der Union oder Deutschlands dazu verpflichtet; in diesem Fall teilt er dem Verantwortlichen diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das Recht dies nicht verbietet.

4.2 Die Weisungen ergeben sich aus diesem Vertrag und aus der Nutzung der Funktionen der Software. Weitere Weisungen erteilt der Verantwortliche per E-Mail an info@snippetlab.site.

4.3 Ist der Auftragsverarbeiter der Ansicht, dass eine Weisung gegen Datenschutzvorschriften verstößt, informiert er den Verantwortlichen unverzüglich.

5. Vertraulichkeit (Art. 28 Abs. 3 lit. b DSGVO)

Der Auftragsverarbeiter setzt nur Personen ein, die zur Vertraulichkeit verpflichtet sind oder einer gesetzlichen Verschwiegenheitspflicht unterliegen. Zugriff auf die Daten eines Betriebs erhält der Auftragsverarbeiter nur, soweit es für Support auf Anfrage des Verantwortlichen oder zur Behebung einer Störung erforderlich ist. Jeder solche Zugriff wird protokolliert und dem Nutzer in der Anwendung angezeigt.

6. Technische und organisatorische Maßnahmen (Art. 28 Abs. 3 lit. c, Art. 32 DSGVO)

  • Vertraulichkeit: Übertragung nur verschlüsselt (TLS); Passwörter nur als scrypt-Hash; Sitzungen über zufällige, serverseitig gespeicherte Kennungen mit Ablauf; Schutz gegen untergeschobene Anfragen (CSRF); Begrenzung von Anmeldeversuchen; strikte Trennung der Betriebe in jeder Datenbankabfrage; Zugriff nach Rollen (Inhaber, Mitarbeiter).
  • Integrität: Protokoll wesentlicher Änderungen mit Nutzer und Zeitpunkt; Protokoll der Support-Zugriffe; Dateien nur über angemeldete Anwendungsrouten, keine öffentlichen Links.
  • Verfügbarkeit und Belastbarkeit: Betrieb auf der verteilten Infrastruktur des Unterauftragsverarbeiters Cloudflare; laufende Sicherung der Datenbank mit Wiederherstellung auf frühere Zeitpunkte.
  • Überprüfung: automatische Tests bei jeder Änderung der Software, darunter Tests der Trennung der Betriebe; Überprüfung der Maßnahmen bei wesentlichen Änderungen, mindestens einmal jährlich.

Der Auftragsverarbeiter darf die Maßnahmen an den Stand der Technik anpassen, wenn das Schutzniveau nicht sinkt.

7. Unterauftragsverarbeiter (Art. 28 Abs. 2, 3 lit. d und Abs. 4 DSGVO)

7.1 Der Verantwortliche genehmigt folgende Unterauftragsverarbeiter:

Unterauftragsverarbeiter Leistung Ort der Verarbeitung, Grundlage für Drittlandübermittlungen
Cloudflare, Inc., 101 Townsend St., San Francisco, CA 94107, USA Hosting, Datenbank, Dateispeicher, Abwehr von Angriffen weltweit verteilte Rechenzentren, auch USA; EU-US Data Privacy Framework (Art. 45 DSGVO) und Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO)
Resend, Inc., USA Versand von E-Mails (Einladungen, Erinnerungen) USA; EU-US Data Privacy Framework und Standardvertragsklauseln

7.2 Der Auftragsverarbeiter verpflichtet jeden Unterauftragsverarbeiter vertraglich auf ein Schutzniveau, das diesem Vertrag entspricht.

7.3 Über neue oder wechselnde Unterauftragsverarbeiter informiert der Auftragsverarbeiter mindestens vier Wochen vorher per E-Mail. Der Verantwortliche kann innerhalb dieser Frist aus wichtigem datenschutzrechtlichem Grund widersprechen. Können sich die Parteien nicht einigen, kann der Verantwortliche den Vertrag über Teichwart zum Zeitpunkt des Wechsels kündigen.

8. Unterstützung bei Betroffenenrechten (Art. 28 Abs. 3 lit. e DSGVO)

Der Verantwortliche kann die meisten Anfragen Betroffener mit den Funktionen der Software selbst erfüllen (Anzeigen, Ändern, Exportieren, Löschen). Darüber hinaus unterstützt der Auftragsverarbeiter ihn auf Anfrage unverzüglich. Wendet sich eine betroffene Person direkt an den Auftragsverarbeiter, leitet er die Anfrage an den Verantwortlichen weiter.

9. Unterstützung bei Sicherheit, Meldungen und Folgenabschätzung (Art. 28 Abs. 3 lit. f DSGVO)

9.1 Der Auftragsverarbeiter meldet dem Verantwortlichen eine Verletzung des Schutzes personenbezogener Daten unverzüglich, möglichst innerhalb von 24 Stunden nach Kenntnis, mit den Angaben nach Art. 33 Abs. 3 DSGVO, soweit sie ihm vorliegen.

9.2 Er unterstützt den Verantwortlichen bei der Benachrichtigung Betroffener (Art. 34 DSGVO), bei einer Datenschutz-Folgenabschätzung (Art. 35 DSGVO) und bei einer vorherigen Konsultation der Aufsichtsbehörde (Art. 36 DSGVO) mit den Informationen, die ihm zur Verfügung stehen.

10. Löschung und Rückgabe (Art. 28 Abs. 3 lit. g DSGVO)

10.1 Nach Ende des Vertrags über Teichwart kann der Verantwortliche seine Daten 12 Monate lang selbst exportieren (PDF, CSV, ZIP mit allen Dokumenten). Das ist die Rückgabe der Daten.

10.2 Danach löscht der Auftragsverarbeiter die Daten, auf Verlangen des Verantwortlichen auch früher, innerhalb von 30 Tagen nach dem Verlangen. Daten in Sicherungen werden mit deren Ablauf gelöscht. Die Löschung gilt nicht, soweit eine gesetzliche Pflicht zur Speicherung besteht.

11. Nachweise und Kontrollen (Art. 28 Abs. 3 lit. h DSGVO)

11.1 Der Auftragsverarbeiter stellt dem Verantwortlichen auf Anfrage alle Informationen zur Verfügung, die zum Nachweis der Einhaltung dieses Vertrags erforderlich sind, und beantwortet Fragen dazu schriftlich.

11.2 Der Verantwortliche oder ein von ihm beauftragter, zur Verschwiegenheit verpflichteter Prüfer kann die Einhaltung nach rechtzeitiger Ankündigung, in der Regel mindestens vier Wochen vorher, während der üblichen Geschäftszeiten überprüfen, auch durch Inspektionen. Für die Rechenzentren der Unterauftragsverarbeiter genügen deren aktuelle Prüfberichte und Zertifikate.

12. Schlussbestimmungen

Bei Widersprüchen geht dieser Vertrag den AGB vor, soweit es um den Schutz personenbezogener Daten geht. Es gilt deutsches Recht.