Auftragsverarbeitungsvertrag
Vertrag über die Verarbeitung personenbezogener Daten im Auftrag nach Art. 28 DSGVO zwischen dem Kunden der Software „Kalibrat“ (nachfolgend „Verantwortlicher“) und Jasmann Werk 52, Inhaber Muhammad Saeed, Elberfelder Straße 72, 42553 Velbert (nachfolgend „Auftragsverarbeiter“).
1. Gegenstand und Dauer
Gegenstand dieses Vertrags ist die Verarbeitung personenbezogener Daten, die der Auftragsverarbeiter im Rahmen der Überlassung der Anwendung Kalibrat zur Nutzung über das Internet für den Verantwortlichen vornimmt, einschließlich Speicherung, Datensicherung, Versand von Meldungen und – soweit gebucht – der Funktionen des Moduls KI-Assistent.
Die Dauer entspricht der Laufzeit des Nutzungsvertrags nach den Nutzungsbedingungen. Sie umfasst die Testphase und den kostenfreien Zustand Basis ebenso wie gebuchte Grundausstattung und Module.
2. Art und Zweck der Verarbeitung
Die Verarbeitung dient der Verwaltung von Prüfmitteln und prüfpflichtigen Arbeitsmitteln des Verantwortlichen: Führen des Verzeichnisses, Überwachen der Prüffristen, Dokumentation von Prüfungen und Kalibrierungen, Erstellen von Nachweisen und Berichten, Erinnern an Fälligkeiten, Ausgabe und Rückgabe von Geräten sowie die Verwaltung der Nutzerzugänge. Die Verarbeitung erfolgt durch Speichern, Anzeigen, Auswerten, Übermitteln an vom Verantwortlichen eingerichtete Dienste, Sichern und Löschen.
3. Art der Daten
- Gerätedaten – Inventarnummer, Bezeichnung, Hersteller, Modell, Seriennummer, Standort, Abteilung, verantwortliche Person, Ausgabe an Personen.
- Prüfdaten – Prüfungen und Kalibrierungen mit Datum, Ergebnis, Messwerten, Bemerkungen, Kalibrierscheinen und Namen der Prüfer.
- Nutzerdaten – Name, E-Mail-Adresse, Rolle und Anmeldezeitpunkte der Nutzer; Zugangsdaten als kryptografischer Prüfwert.
- Namen von Prüfern und weiteren Personen, die in Nachweisen, auf Kalibrierscheinen oder in Reparatur- und Kalibrieraufträgen genannt sind.
- Vertrags- und Abrechnungsdaten des Verantwortlichen, soweit sie Personen zugeordnet sind (Name der anmeldenden Person, Rechnungsanschrift, Lieferanschrift für Zubehör).
4. Kategorien betroffener Personen
- Beschäftigte des Verantwortlichen, insbesondere Prüfer, befähigte Personen, Verantwortliche für Geräte und Entleiher;
- Nutzer der Anwendung, einschließlich Gastzugängen für Auditoren;
- Ansprechpartner bei Kalibrierlaboren, Prüfstellen, Fremdfirmen und Lieferanten, soweit sie vom Verantwortlichen erfasst werden.
5. Weisungen
Der Auftragsverarbeiter verarbeitet die Daten ausschließlich im Auftrag und nach dokumentierten Weisungen des Verantwortlichen. Die Weisungen sind zunächst durch diesen Vertrag und die Nutzungsbedingungen festgelegt; der Verantwortliche erteilt weitere Weisungen durch die Einstellungen in der Anwendung (etwa Versand, Anmeldung mit dem Firmenkonto, Ablage, Sofortmeldungen, KI-Assistent) und im Übrigen in Textform an info@kalibrat.de.
Hält der Auftragsverarbeiter eine Weisung für rechtswidrig, teilt er dies dem Verantwortlichen unverzüglich mit und darf die Ausführung bis zur Bestätigung aussetzen. Eine Verarbeitung zu eigenen Zwecken findet nicht statt; der Auftragsverarbeiter nutzt die Daten nicht zur Auswertung über den Verantwortlichen hinaus und gibt sie nicht an Dritte weiter, soweit dies nicht in Abschnitt 8 vorgesehen oder gesetzlich vorgeschrieben ist. Besteht eine gesetzliche Pflicht zur Herausgabe, informiert er den Verantwortlichen vorab, soweit rechtlich zulässig.
6. Pflichten des Auftragsverarbeiters
Der Auftragsverarbeiter
- stellt sicher, dass die mit der Verarbeitung befassten Personen zur Vertraulichkeit verpflichtet sind;
- trifft die technischen und organisatorischen Maßnahmen nach Abschnitt 7 und Art. 32 DSGVO und hält sie auf dem Stand der Technik;
- unterstützt den Verantwortlichen mit geeigneten Mitteln bei der Beantwortung von Anfragen betroffener Personen (Art. 12 bis 22 DSGVO); die Anwendung stellt dafür Auskunft, Berichtigung, Ausleitung und Löschung der Datensätze bereit;
- unterstützt den Verantwortlichen bei der Einhaltung der Pflichten aus Art. 32 bis 36 DSGVO, insbesondere bei Datenschutz-Folgenabschätzungen und bei der Abstimmung mit der Aufsichtsbehörde, soweit die Verarbeitung betroffen ist;
- führt ein Verzeichnis der Verarbeitungstätigkeiten nach Art. 30 Abs. 2 DSGVO;
- stellt dem Verantwortlichen alle Informationen zur Verfügung, die zum Nachweis der Einhaltung dieses Vertrags erforderlich sind.
7. Technische und organisatorische Maßnahmen
Der Auftragsverarbeiter betreibt die Anwendung auf Servern der Hetzner Online GmbH in Rechenzentren in Deutschland (Falkenstein bzw. Nürnberg). Die wesentlichen Maßnahmen:
- Übertragung ausschließlich verschlüsselt (TLS, HSTS).
- Trennung: die Daten jedes Verantwortlichen liegen in einer eigenen Datenbank; ein Zugriff über die Grenzen eines Kunden hinweg ist in der Anwendung nicht vorgesehen.
- Zugangskontrolle: Zugangsdaten werden nur als scrypt-Prüfwert gespeichert; Sperre nach wiederholt fehlgeschlagener Anmeldung; Sitzungscookie auf die eigene Adresse beschränkt, nur über verschlüsselte Verbindungen und mit Verfall nach zwölf Stunden; Rollen und Rechte je Nutzer, auf Wunsch nach Abteilung; wahlweise Anmeldung mit dem Firmenkonto des Verantwortlichen.
- Serverzugang nur mit kryptografischen Schlüsseln, Passwortanmeldung abgeschaltet; der Dienst läuft ohne Systemrechte in einer eingeschränkten Umgebung.
- Datensicherung: nächtliche, verschlüsselte Sicherungen aller Datenbanken; Sicherungen werden nach 30 Tagen gelöscht; der Verantwortliche kann seinen Datenbestand jederzeit selbst ausleiten.
- Nachvollziehbarkeit: alle Änderungen an Datensätzen werden protokolliert.
- Pseudonymisierung gegenüber dem KI-Dienst: Namen von Personen werden vor einer Übermittlung an das Modul KI-Assistent durch Kürzel ersetzt; die Zuordnung verlässt den Server nicht.
Die Maßnahmen sind in der Datenschutzerklärung (Abschnitte 5, 5a und 8) und in der technischen Beschreibung zur Normkonformität der Anwendung näher beschrieben. Der Auftragsverarbeiter darf die Maßnahmen weiterentwickeln, sofern das Schutzniveau nicht unterschritten wird.
8. Unterauftragsverarbeiter
Der Verantwortliche stimmt der Einschaltung der folgenden Unterauftragsverarbeiter zu. Mit jedem besteht ein Vertrag nach Art. 28 Abs. 4 DSGVO, der ihm dieselben Pflichten auferlegt.
| Unterauftragsverarbeiter | Ort | Leistung | Wann |
|---|---|---|---|
| Hetzner Online GmbH | Deutschland | Hosting, Betrieb der Server | immer |
| Brevo (Sendinblue SAS) | Frankreich | E-Mail-Versand der Fälligkeits- und Systemmeldungen | bei eingerichtetem Versand |
| Stripe Payments Europe, Ltd. | Irland | Zahlungsabwicklung | nur bisherige Tarife und KI-Pakete bei Zahlung per Karte |
| Alibaba Cloud Singapore Pte. Ltd. | Singapur – Drittland | KI-Dienst für Bilderkennung und Fragen an den Bestand | nur Modul KI-Assistent |
| Anthropic PBC | USA – Drittland | KI-Dienst für Bilderkennung und Fragen an den Bestand, wahlweise | nur Modul KI-Assistent |
Dienste, die der Verantwortliche selbst mit seinem eigenen Konto einrichtet (Microsoft Entra ID, SharePoint, Teams, Slack, Mattermost), sind keine Unterauftragsverarbeiter des Auftragsverarbeiters; verantwortlich für sie ist der Verantwortliche.
Beabsichtigt der Auftragsverarbeiter, einen Unterauftragsverarbeiter hinzuzufügen oder zu ersetzen, teilt er dies dem Verantwortlichen mindestens vier Wochen vorher in Textform mit. Der Verantwortliche kann aus wichtigem Grund innerhalb von zwei Wochen nach Zugang widersprechen; einigen sich die Parteien nicht, kann jede Partei den Nutzungsvertrag zum Wirksamwerden der Änderung kündigen.
9. Übermittlung in Drittländer
Eine Verarbeitung außerhalb der EU und des EWR findet nur im Modul KI-Assistent statt, und nur mit den in Abschnitt 8 genannten Empfängern in Singapur und den USA. Grundlage sind die Standardvertragsklauseln der Europäischen Kommission nach Art. 46 Abs. 2 lit. c DSGVO. Übermittelt werden bei der Bilderkennung das eingelesene Bild bzw. die PDF-Seite, bei Fragen an den Bestand die Frage, Kennzahlen und eine Gerätetabelle mit pseudonymisierten Personennamen; Einzelheiten in Abschnitt 5a der Datenschutzerklärung. Der Verantwortliche entscheidet durch Buchung oder Test des Moduls, ob diese Übermittlung stattfindet.
10. Rechte des Verantwortlichen
Der Verantwortliche kann sich vor Beginn und während der Verarbeitung von der Einhaltung dieses Vertrags überzeugen. Der Auftragsverarbeiter erteilt dazu Auskünfte, legt die Beschreibung der technischen und organisatorischen Maßnahmen vor und ermöglicht nach vorheriger Abstimmung, mit angemessener Frist und zu den üblichen Geschäftszeiten Überprüfungen durch den Verantwortlichen oder einen von ihm beauftragten, zur Verschwiegenheit verpflichteten Prüfer. Überprüfungen vor Ort sind auf das Notwendige zu beschränken; die Vertraulichkeit der Daten anderer Kunden ist zu wahren.
11. Meldung von Verletzungen des Schutzes personenbezogener Daten
Der Auftragsverarbeiter meldet dem Verantwortlichen jede Verletzung des Schutzes personenbezogener Daten, die dessen Daten betrifft, unverzüglich nach Bekanntwerden – so rechtzeitig, dass der Verantwortliche seine Meldepflicht gegenüber der Aufsichtsbehörde binnen 72 Stunden (Art. 33 DSGVO) erfüllen kann. Die Meldung enthält, soweit bekannt, Art und Umfang der Verletzung, die betroffenen Datenkategorien und Personen, die voraussichtlichen Folgen und die ergriffenen oder vorgeschlagenen Maßnahmen. Der Auftragsverarbeiter unterstützt den Verantwortlichen bei der Aufklärung und Eindämmung.
12. Löschung und Rückgabe
Der Verantwortliche kann seinen gesamten Datenbestand während der Laufzeit jederzeit selbst aus der Anwendung ausleiten. Nach Beendigung des Nutzungsvertrags gibt der Auftragsverarbeiter die Daten auf Verlangen in maschinenlesbarer Form heraus und löscht anschließend sämtliche Daten des Verantwortlichen einschließlich der Datensicherungen, sofern nicht eine gesetzliche Pflicht zur Aufbewahrung besteht. Sicherungen werden spätestens 30 Tage nach der Löschung der Datenbank überschrieben. Auf Verlangen bestätigt der Auftragsverarbeiter die Löschung in Textform.
13. Haftung
Die Haftung der Parteien untereinander richtet sich nach Art. 82 DSGVO und den Nutzungsbedingungen. Gegenüber betroffenen Personen bleibt die Haftung nach Art. 82 DSGVO unberührt.
14. Abschluss und Schlussbestimmungen
Dieser Vertrag wird durch die Registrierung geschlossen; auf Wunsch stellen wir eine unterzeichnete Fassung bereit (info@kalibrat.de). Er gilt für alle Kunden, auch für vor dem 12. September 2026 geschlossene Verträge, soweit nicht ein gesondert unterzeichneter Auftragsverarbeitungsvertrag besteht.
Änderungen dieses Vertrags bedürfen der Textform; Abschnitt 10 der Nutzungsbedingungen gilt entsprechend. Bei Widersprüchen zwischen diesem Vertrag und den Nutzungsbedingungen geht dieser Vertrag in Fragen des Datenschutzes vor. Es gilt das Recht der Bundesrepublik Deutschland.
15. Stand
Dieser Vertrag gilt ab dem 12. September 2026.