Zum Hauptinhalt springen

Vertrag zur Auftragsverarbeitung

nach Art. 28 DSGVO für die Nutzung von arboraudit. Stand: 21. Oktober 2026

Dieser Vertrag gilt zwischen dem Kunden als Verantwortlichem (Kunde) und der …, E-Mail info@arboraudit.de (Anbieter), als Auftragsverarbeiter. Er ist Bestandteil des Vertrags über die Nutzung von arboraudit nach den Allgemeinen Geschäftsbedingungen (Hauptvertrag) und wird mit der Registrierung vereinbart. Begriffe haben die Bedeutung nach Art. 4 DSGVO.

§ 1 Gegenstand und Dauer

(1) Der Anbieter verarbeitet personenbezogene Daten im Auftrag des Kunden, soweit dies zur Bereitstellung der Dienste nach dem Hauptvertrag erforderlich ist: Speicherung, Sicherung, Abgleich mit den Endgeräten des Kunden, Darstellung und Erzeugung von Dokumenten sowie Support.

(2) Der Vertrag gilt für die Dauer des Hauptvertrags einschließlich der Testphase und darüber hinaus, bis der Anbieter die Daten nach § 9 gelöscht hat.

§ 2 Art der Daten und betroffene Personen

(1) Arten der Daten, soweit der Kunde sie in arboraudit erfasst:

  • Namen, Anschriften und Kontaktdaten, etwa Telefonnummern und E-Mail-Adressen;
  • Auftrags- und Objektdaten, etwa Grundstücke, Standorte und Koordinaten von Bäumen;
  • Fotos, Pläne, Messdaten und Dokumente;
  • Inhalte von E-Mails, wenn der Kunde ein E-Mail-Konto verbindet;
  • Benutzer- und Nutzungsdaten der Nutzer im Arbeitsbereich des Kunden.

(2) Betroffene Personen:

  • Auftraggeber des Kunden und deren Ansprechpartner;
  • Eigentümer, Anwohner und sonstige Beteiligte eines Auftrags;
  • Personen, die auf Fotos oder in Dokumenten erkennbar sind;
  • Mitarbeiter und sonstige Nutzer des Kunden.

(3) Der Kunde verarbeitet in arboraudit keine besonderen Kategorien personenbezogener Daten nach Art. 9 DSGVO, soweit dies nicht für seinen Auftrag zwingend erforderlich ist.

§ 3 Weisungen

(1) Der Anbieter verarbeitet die Daten nur auf dokumentierte Weisung des Kunden, auch in Bezug auf Übermittlungen in Drittländer, es sei denn, er ist nach dem Recht der Union oder eines Mitgliedstaats zur Verarbeitung verpflichtet. In diesem Fall teilt er dem Kunden die rechtlichen Anforderungen vor der Verarbeitung mit, sofern das Recht dies nicht verbietet.

(2) Die Weisungen des Kunden ergeben sich aus dem Hauptvertrag, aus diesem Vertrag und aus der Nutzung der Funktionen von arboraudit durch den Kunden. Weitere Weisungen erteilt der Kunde in Textform.

(3) Der Kunde weist den Anbieter an, die Daten nach dem Ende der Testphase oder des Hauptvertrags bis zu zwölf Monate aufzubewahren, damit der Kunde seinen Arbeitsbereich wieder aufnehmen kann (§ 9).

(4) Ist der Anbieter der Ansicht, dass eine Weisung gegen Datenschutzvorschriften verstößt, informiert er den Kunden unverzüglich. Er kann die Ausführung der Weisung aussetzen, bis der Kunde sie bestätigt oder ändert.

(5) Der Anbieter verarbeitet die Daten nicht für eigene Zwecke.

§ 4 Vertraulichkeit und Zugriff durch den Anbieter

(1) Der Anbieter setzt nur Personen ein, die zur Vertraulichkeit verpflichtet sind oder einer gesetzlichen Verschwiegenheitspflicht unterliegen.

(2) Der Anbieter greift auf Inhalte des Kunden nur zu, soweit dies für den Betrieb, die Fehlerbehebung oder einen Support-Fall erforderlich ist. Eine Anmeldung im Arbeitsbereich des Kunden zu Support-Zwecken erfolgt nur auf Anfrage oder mit Zustimmung des Kunden.

§ 5 Sicherheit der Verarbeitung

Der Anbieter trifft die technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO, die in Anlage 1 beschrieben sind. Er darf sie an den Stand der Technik anpassen, wenn das Schutzniveau nicht unterschritten wird.

§ 6 Unterauftragsverarbeiter

(1) Der Kunde erteilt dem Anbieter die allgemeine Genehmigung, Unterauftragsverarbeiter einzusetzen. Die bei Vertragsschluss eingesetzten Unterauftragsverarbeiter sind in Anlage 2 aufgeführt und gelten als genehmigt.

(2) Der Anbieter informiert den Kunden mindestens vier Wochen vorher in Textform über jede beabsichtigte Hinzuziehung oder Ersetzung eines Unterauftragsverarbeiters. Der Kunde kann innerhalb dieser Frist aus wichtigem datenschutzrechtlichem Grund widersprechen. Können sich die Parteien nicht einigen, kann der Kunde den Hauptvertrag zum Zeitpunkt der Änderung kündigen.

(3) Der Anbieter erlegt jedem Unterauftragsverarbeiter vertraglich dieselben Datenschutzpflichten auf, die in diesem Vertrag festgelegt sind (Art. 28 Abs. 4 DSGVO).

(4) Eine Übermittlung in ein Drittland erfolgt nur, wenn die Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind.

(5) Integrationen, die der Kunde selbst verbindet, etwa sein E-Mail-Konto bei Google oder Microsoft, sind keine Unterauftragsverarbeiter des Anbieters. Der Kunde entscheidet über ihren Einsatz in eigener Verantwortung.

§ 7 Unterstützung des Kunden

(1) Der Anbieter unterstützt den Kunden mit geeigneten technischen und organisatorischen Maßnahmen dabei, Anträge betroffener Personen nach Art. 12 bis 23 DSGVO zu beantworten. Wendet sich eine betroffene Person direkt an den Anbieter, leitet er die Anfrage unverzüglich an den Kunden weiter.

(2) Der Anbieter unterstützt den Kunden unter Berücksichtigung der Art der Verarbeitung und der ihm verfügbaren Informationen bei der Einhaltung der Pflichten nach Art. 32 bis 36 DSGVO.

(3) Der Anbieter meldet dem Kunden eine Verletzung des Schutzes personenbezogener Daten unverzüglich, nachdem sie ihm bekannt geworden ist, und so rechtzeitig, dass der Kunde seine Pflichten nach Art. 33 und 34 DSGVO erfüllen kann. Die Meldung enthält die Angaben nach Art. 33 Abs. 3 DSGVO, soweit sie dem Anbieter vorliegen.

§ 8 Pflichten des Kunden

Der Kunde ist für die Rechtmäßigkeit der Verarbeitung und für die Wahrung der Rechte der betroffenen Personen verantwortlich. Er informiert den Anbieter unverzüglich, wenn er Fehler oder Unregelmäßigkeiten bei der Verarbeitung feststellt.

§ 9 Löschung und Rückgabe

(1) Der Kunde kann seine Dokumente während der Laufzeit jederzeit herunterladen und Daten in der Anwendung löschen.

(2) Nach dem Ende der Testphase oder des Hauptvertrags bewahrt der Anbieter die Daten bis zu zwölf Monate auf und löscht sie danach, einschließlich vorhandener Kopien. Verlangt der Kunde in Textform eine frühere Löschung, löscht der Anbieter die Daten unverzüglich. Daten in Datensicherungen werden im Rahmen der regulären Rotation der Sicherungen gelöscht.

(3) Daten, die der Anbieter nach dem Recht der Union oder eines Mitgliedstaats aufbewahren muss, löscht er nach Ablauf der Aufbewahrungsfrist.

§ 10 Nachweise und Kontrollen

(1) Der Anbieter stellt dem Kunden auf Anfrage alle Informationen zur Verfügung, die zum Nachweis der Einhaltung der Pflichten nach Art. 28 DSGVO erforderlich sind. Dazu kann er auch Zertifikate seiner Unterauftragsverarbeiter vorlegen.

(2) Der Anbieter ermöglicht Überprüfungen einschließlich Inspektionen durch den Kunden oder einen von ihm beauftragten, zur Verschwiegenheit verpflichteten Prüfer, der kein Wettbewerber des Anbieters ist. Inspektionen sind mit einer Frist von mindestens vier Wochen anzumelden, finden während der üblichen Geschäftszeiten statt und dürfen den Betrieb nicht unverhältnismäßig stören. Jede Partei trägt ihre eigenen Kosten.

§ 11 Schlussbestimmungen

(1) Die Haftung der Parteien gegenüber betroffenen Personen richtet sich nach Art. 82 DSGVO. Im Verhältnis der Parteien zueinander gelten die Haftungsregeln des Hauptvertrags, soweit Art. 82 DSGVO nicht entgegensteht.

(2) Bei Widersprüchen zwischen diesem Vertrag und dem Hauptvertrag geht dieser Vertrag in Fragen des Datenschutzes vor.

(3) Änderungen dieses Vertrags richten sich nach § 14 der Allgemeinen Geschäftsbedingungen.

Anlage 1: Technische und organisatorische Maßnahmen

Vertraulichkeit

  • Zutrittskontrolle: Die Server werden in Rechenzentren von Amazon Web Services in Frankfurt am Main betrieben, die nach ISO 27001 zertifiziert sind. Der physische Zutritt wird von Amazon Web Services kontrolliert. Der Anbieter betreibt keine eigenen Serverräume.
  • Zugangskontrolle: Anmeldung an arboraudit nur mit persönlichem Konto und Passwort. Passwörter werden ausschließlich als Hash gespeichert. Zugang zur Server-Infrastruktur haben nur berechtigte Personen des Anbieters über personengebundene Zugänge.
  • Zugriffskontrolle: Daten sind nach Arbeitsbereichen getrennt. Jeder Zugriff wird auf dem Server gegen die Berechtigungen des angemeldeten Nutzers geprüft. Der interne Verwaltungsbereich des Anbieters ist zusätzlich durch eine vorgeschaltete Anmeldung und eine serverseitige Berechtigungsprüfung geschützt.
  • Trennungskontrolle: Getrennte Systeme für Entwicklung und Betrieb. Echtdaten werden nicht für Tests verwendet.

Integrität

  • Weitergabekontrolle: Alle Verbindungen zwischen Endgeräten und Servern sind mit TLS verschlüsselt. Dateien werden verschlüsselt gespeichert. Private Dateien sind nur über zeitlich befristete, signierte Adressen abrufbar. Vorschaubilder sind über nicht erratbare Adressen abrufbar.
  • Eingabekontrolle: Änderungen an Daten werden als Transaktionen mit Nutzer und Zeitpunkt protokolliert.

Verfügbarkeit und Belastbarkeit

  • Die Datenbank wird automatisch und regelmäßig gesichert.
  • Überwachung der Systeme und Benachrichtigung bei Ausfällen.
  • Offline-Fähigkeit der Apps: Erfasste Daten bleiben bei Verbindungsausfall auf dem Endgerät erhalten.

Verfahren zur regelmäßigen Überprüfung

  • Sicherheitsupdates von Betriebssystemen und Abhängigkeiten werden regelmäßig eingespielt. Die Maßnahmen werden bei wesentlichen Änderungen der Systeme überprüft.

Anlage 2: Unterauftragsverarbeiter

  • Amazon Web Services EMEA SARL, 38 Avenue John F. Kennedy, L-1855 Luxemburg. Leistung: Hosting von Servern, Datenbank, Dateispeicher und Hintergrundverarbeitung, Suche und Geokodierung von Adressen sowie Versand der E-Mails, die der Kunde über die bereitgestellte Adresse verschickt. Ort der Verarbeitung: Frankfurt am Main, Deutschland (Region eu-central-1). Ein Zugriff aus den USA ist nicht vorgesehen, kann aber nicht vollständig ausgeschlossen werden. Er ist durch die Zertifizierung von Amazon nach dem EU-US Data Privacy Framework und durch Standardvertragsklauseln abgesichert.
  • Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland. Leistung: Versand von System-E-Mails, etwa zur Bestätigung der Registrierung und zum Zurücksetzen des Passworts. Die Verarbeitung kann in der EU und in den USA erfolgen. Sie ist durch die Zertifizierung von Google nach dem EU-US Data Privacy Framework und durch Standardvertragsklauseln abgesichert.

Für Wetterdaten zu einem Ort übermittelt der Anbieter nur Breitengrad, Längengrad und Datum, keine Namen. Empfänger sind Bright Sky (Jakob de Maeyer, brightsky.dev) und, falls dieser Dienst nicht antwortet, die OpenMeteo GmbH, Hintere Schilligmatte 6, 6463 Bürglen, Schweiz. Die OpenMeteo GmbH verarbeitet diese Anfragen nach ihren Bedingungen als eigene Verantwortliche. Ein Vertrag zur Auftragsverarbeitung mit diesen Diensten besteht nicht.

Kontakt

Fragen zur Auftragsverarbeitung: info@arboraudit.de