Vertrag über die Auftragsverarbeitung (Art. 28 DSGVO)

Vertragsparteien und Abschluss

Zwischen dem Kunden von Fristara (Verantwortlicher, „Kunde“) und Alexander Meier – Fristara, Wilhelmstr. 31, 42553 Velbert (Auftragsverarbeiter, „Anbieter“).

Dieser Vertrag wird in elektronischem Format geschlossen (Art. 28 Abs. 9 DSGVO), indem der Kunde ihm bei der Einrichtung seines Betriebs im Dienst ausdrücklich zustimmt. Der Anbieter speichert Zeitpunkt und Fassung der Zustimmung. Der Kunde kann diesen Vertrag jederzeit unter www.fristara.de/avv abrufen und speichern. Ansprechpartner des Anbieters für Datenschutzfragen ist Alexander Meier, info@fristara.de.

1. Gegenstand und Dauer

1.1 Der Anbieter verarbeitet personenbezogene Daten im Auftrag des Kunden, um den Dienst Fristara nach den AGB zu erbringen.

1.2 Der Vertrag gilt, solange der Kunde ein Konto bei Fristara hat, und darüber hinaus, bis alle Daten des Kunden nach Ziffer 9 gelöscht sind.

2. Art, Zweck und Umfang

Art der Verarbeitung: Speichern, Anzeigen, Ordnen und Durchsuchen, Berechnen von Fristen, Versand von Erinnerungen, Export, Sichern und Löschen.

Zweck: Verwaltung von Prüf- und Wartungsfristen des Kunden und Ablage von Nachweisen.

Betroffene Personen:

• Mitarbeitende und Beauftragte des Kunden mit Zugang zum Dienst
• Personen, die in Objektdaten, Notizen oder hochgeladenen Nachweisen genannt sind, etwa Prüfer, Ansprechpartner von Dienstleistern, Mieter oder Eigentümer

Datenarten:

• Namen, E-Mail-Adressen, Zugangs- und Sitzungsdaten
• Anschriften von Objekten, Angaben zu Anlagen und Prüfungen
• Inhalte von Notizen und Dokumenten, Fotos sowie in Dokumenten enthaltene Namen, Kontaktdaten und Unterschriften Dritter

Der Kunde verpflichtet sich, keine besonderen Kategorien personenbezogener Daten nach Art. 9 DSGVO in den Dienst einzustellen.

3. Weisungen

3.1 Der Anbieter verarbeitet die Daten nur auf dokumentierte Weisung des Kunden, auch hinsichtlich der Übermittlung in ein Drittland. Weisungen sind dieser Vertrag, die AGB und die Bedienung des Dienstes durch den Kunden. Weitere Weisungen erteilt der Kunde in Textform an info@fristara.de.

3.2 Hält der Anbieter eine Weisung für rechtswidrig, weist er den Kunden unverzüglich darauf hin und darf die Ausführung aussetzen, bis der Kunde sie bestätigt oder ändert.

3.3 Ist der Anbieter gesetzlich zu einer Verarbeitung verpflichtet, teilt er dem Kunden das vorher mit, sofern das Gesetz es nicht verbietet.

4. Vertraulichkeit

Der Anbieter setzt nur Personen ein, die zur Vertraulichkeit verpflichtet sind. Derzeit verarbeitet ausschließlich der Inhaber Alexander Meier Daten. Auf Inhalte des Kunden greift er nur zur Fehlerbehebung, auf Anfrage des Kunden oder aus gesetzlicher Pflicht zu.

5. Sicherheit

Der Anbieter trifft die technischen und organisatorischen Maßnahmen nach Anlage 1 und passt sie dem Stand der Technik an. Das Schutzniveau darf dabei nicht sinken.

6. Unterauftragsverarbeiter

6.1 Der Kunde genehmigt die Unterauftragsverarbeiter nach Anlage 2.

6.2 Neue oder geänderte Unterauftragsverarbeiter kündigt der Anbieter mindestens vier Wochen vorher per E-Mail an die Kontoadresse an. Der Kunde kann aus wichtigem datenschutzrechtlichem Grund widersprechen. Einigen sich die Parteien nicht, kann der Kunde zum Wirksamwerden der Änderung kündigen; im Voraus gezahlte Entgelte für die Zeit danach erstattet der Anbieter anteilig.

6.3 Der Anbieter verpflichtet Unterauftragsverarbeiter vertraglich auf die Pflichten dieses Vertrags. Kommt ein Unterauftragsverarbeiter seinen Datenschutzpflichten nicht nach, haftet der Anbieter gegenüber dem Kunden für dessen Pflichterfüllung. Die Daten des Dienstes (Datenbank, Dokumente, Sicherungen) werden ausschließlich in Deutschland verarbeitet. Eine Verarbeitung in einem Drittland erfolgt nur, soweit in Anlage 2 angegeben, und nur unter den Voraussetzungen der Art. 44 ff. DSGVO.

7. Unterstützung des Kunden

7.1 Der Anbieter unterstützt den Kunden bei Anfragen betroffener Personen. Viele Rechte kann der Kunde selbst im Dienst erfüllen: Daten ansehen, ändern, löschen und exportieren. Kann der Kunde Daten nicht selbst löschen oder berichtigen, tut der Anbieter dies auf Weisung des Kunden. Erreicht eine Anfrage den Anbieter, leitet er sie unverzüglich an den Kunden weiter.

7.2 Der Anbieter unterstützt den Kunden bei den Pflichten nach Art. 32 bis 36 DSGVO, soweit er dazu Informationen hat.

7.3 Der Anbieter informiert den Kunden unverzüglich über Kontrollen oder Maßnahmen einer Aufsichtsbehörde, soweit sie diesen Auftrag betreffen.

7.4 Der Kunde sendet personenbezogene Daten Dritter im Support nur, soweit dies zur Bearbeitung nötig ist. Support-E-Mails werden nach Abschluss der Anfrage gelöscht, soweit keine Aufbewahrungspflicht besteht.

8. Meldung von Verletzungen

Der Anbieter meldet dem Kunden eine Verletzung des Schutzes personenbezogener Daten unverzüglich, spätestens innerhalb von 48 Stunden nach Kenntnis, per E-Mail an die Kontoadresse. Die Meldung enthält, soweit bekannt, Art der Verletzung, betroffene Daten und Personen, wahrscheinliche Folgen und ergriffene Maßnahmen. Angaben, die noch nicht vorliegen, reicht der Anbieter unverzüglich nach.

9. Rückgabe und Löschung

9.1 Der Kunde kann seine Daten jederzeit im Dienst exportieren: Objekte, Anlagen, Intervalle und Prüfungen als Excel-Tabelle, Nachweise als Dateien, zusammen in einer ZIP-Datei.

9.2 Löscht der Kunde sein Konto oder einzelne Daten, entfernt der Anbieter sie sofort aus dem laufenden Betrieb. Aus den Sicherungen verschwinden sie spätestens nach 14 Tagen, wenn die Sicherungen turnusgemäß gelöscht werden. Bis dahin werden die Sicherungen für keine anderen Zwecke genutzt.

9.3 Endet ein kostenpflichtiger Tarif, besteht das Konto im kostenlosen Tarif fort und der Kunde kann seine Daten weiterhin exportieren. Endet der Vertrag insgesamt, ohne dass der Kunde sein Konto gelöscht hat, kann er seine Daten noch 30 Tage exportieren. Danach löscht der Anbieter sie nach Ziffer 9.2 und bestätigt die Löschung auf Anfrage in Textform. Eine Speicherpflicht nach Unionsrecht oder dem Recht eines Mitgliedstaats bleibt unberührt.

10. Nachweise und Kontrollen

Der Anbieter weist die Einhaltung dieses Vertrags auf Anfrage durch geeignete Unterlagen nach, insbesondere durch die Beschreibung der Maßnahmen und die Nachweise seiner Unterauftragsverarbeiter. Kontrollen kann der Kunde selbst oder durch einen von ihm beauftragten, zur Verschwiegenheit verpflichteten Prüfer durchführen, der kein Wettbewerber des Anbieters ist. Vor-Ort-Kontrollen meldet der Kunde mindestens 14 Tage vorher an; sie finden höchstens einmal im Kalenderjahr statt, außer nach einer Verletzung nach Ziffer 8 oder auf Anordnung einer Aufsichtsbehörde. Für das Rechenzentrum genügen die Zertifikate und Prüfberichte von Hetzner. Den Aufwand trägt der Kunde, soweit die Kontrolle keinen Verstoß ergibt.

11. Haftung und Rangfolge

Im Außenverhältnis gilt Art. 82 DSGVO. Im Innenverhältnis gelten die Haftungsregeln der AGB mit der Maßgabe, dass Ziffer 9.3 der AGB (kostenloser Tarif) für Verstöße gegen diesen Vertrag nicht gilt. Art. 82 Abs. 4 und 5 DSGVO bleiben unberührt. Bei Widersprüchen geht dieser Vertrag in Fragen des Datenschutzes den AGB vor.

Anlage 1: Technische und organisatorische Maßnahmen

Vertraulichkeit

• Rechenzentrum: Hetzner Online GmbH, Deutschland, zertifiziert nach ISO/IEC 27001. Zutritt und Gebäudeschutz organisiert das Rechenzentrum.
• Server nur über SSH-Schlüssel erreichbar, Anmeldung als root und mit Passwort abgeschaltet, Firewall lässt nur die Ports 22, 80 und 443 durch, automatische Sperre nach wiederholten Fehlversuchen.
• Datenbank und Anwendung nicht direkt aus dem Internet erreichbar, nur über einen vorgeschalteten Webserver mit HTTPS.
• Persönliche Zugänge mit bestätigter E-Mail-Adresse, Passwörter mit mindestens 10 Zeichen nur als Hash gespeichert, Sitzungscookies HttpOnly und Secure, ein Passwort-Reset beendet alle Sitzungen. Rollen Inhaber und Mitarbeiter; Tarif, Konto, Mitarbeiter und endgültiges Löschen nur durch den Inhaber.
• Mandantentrennung: Jeder Datensatz trägt die Kennung seines Betriebs, die Datenbank erzwingt, dass Verknüpfungen nur innerhalb desselben Betriebs möglich sind. Automatische Tests prüfen das vor jeder Auslieferung.
• Dokumente unter zufälligen Namen außerhalb des öffentlichen Webbereichs, Abruf nur nach Anmeldung und Prüfung der Zugehörigkeit, Dateityp wird anhand des Inhalts geprüft.
• Zugriff des Anbieters auf Kundeninhalte nur zur Fehlerbehebung, auf Anfrage des Kunden oder aus gesetzlicher Pflicht. Der Serverzugang ist auf einen Schlüssel auf dem Arbeitsrechner des Anbieters beschränkt.

Integrität

• Übertragung ausschließlich verschlüsselt (TLS, HSTS), Mailversand mit TLS-Transportverschlüsselung.
• Sicherheitsrichtlinien im Browser (Content-Security-Policy, Schutz vor Einbettung, Herkunftsprüfung bei Uploads), Prüfung aller Eingaben auf dem Server.

Verfügbarkeit und Belastbarkeit

• Tägliche Sicherung von Datenbank und Dokumenten, 14 Tage aufbewahrt, zusätzlich verschlüsselt in Kopie auf einem getrennten System bei Hetzner in Deutschland.
• Die Wiederherstellung aus der Sicherung wird mindestens vierteljährlich getestet.
• Automatische Sicherheitsupdates, Grenzen für Upload-Größen und Importe, automatischer Neustart nach Störungen.

Verfahren zur Überprüfung

• Automatische Tests vor jeder Auslieferung.
• Sicherheitsprüfung der Anwendung (interner Penetrationstest), zuletzt am 25.10.2026; Aktualisierung abhängiger Software bei bekannten Lücken.
• Firewall protokolliert abgewiesene Verbindungen, Löschung nach etwa vier Wochen.
• Dokumentierter Ablauf für Sicherheitsvorfälle mit Meldung nach Ziffer 8.

Anlage 2: Unterauftragsverarbeiter