Vertrag zur Auftragsverarbeitung (Muster)

§ 1 Gegenstand und Dauer

(1) Der Auftragsverarbeiter stellt dem Verantwortlichen Situ8 bereit (Planer, Einbettung, Studio) und verarbeitet dabei personenbezogene Daten in dessen Auftrag.

(2) Die Dauer entspricht der Laufzeit des Hauptvertrags.

§ 2 Art und Zweck der Verarbeitung, Daten, Betroffene

(1) Zweck: Betrieb des eingebetteten Planers für die Endkunden des Verantwortlichen, Pflege des Katalogs im Studio, Abrechnung der Nutzung.

• Betroffene: Endkunden und Interessenten des Verantwortlichen, die den Planer benutzen; Beschäftigte des Verantwortlichen, die das Studio benutzen.
• Technische Daten beim Abruf: IP-Adresse, Zeitpunkt, abgerufene Adresse, Browser-Kennung (Server-Protokolle des Hosters).
• Eingaben an KI-Funktionen: Text der Eingabe und die dafür nötigen Plandaten. Sie werden an den KI-Dienst weitergegeben und beim Auftragsverarbeiter nicht gespeichert, außer der Verantwortliche schaltet die Speicherung der Unterhaltungen ein.
• Nutzungszähler: Art des Aufrufs, Tag, Umfang, Kosten, Modell, dazu ein gesalzener Hashwert der Sitzungskennung. Keine Namen, keine E-Mail-Adressen, keine IP-Adressen.
• Statistik des Planers (nur wenn der Verantwortliche die Sammlung eingeschaltet lässt): Summen je Tag und Ereignis (Planer geöffnet, Raum angelegt, Produkt gestellt mit Artikelnummer und Stückzahl, Liste geöffnet, Übergabe mit Zahl der Zeilen und angezeigter Summe). Für höchstens 24 Stunden ein gesalzener Hashwert einer Zufallskennung des geöffneten Tabs. Keine Cookies, keine IP-Adressen, kein Planinhalt, keine Kontaktangaben.
• Zugänge zum Studio: Kennung der Einladung, Zeitpunkt der Einlösung.
• Nicht verarbeitet werden: Pläne der Endkunden (sie liegen im Browser) und die Bestellung selbst (sie geht an den Shop oder das E-Mail-Programm des Endkunden).

§ 3 Weisungen

(1) Der Auftragsverarbeiter verarbeitet die Daten nur auf dokumentierte Weisung des Verantwortlichen; der Hauptvertrag und die Einstellungen im Studio sind Weisungen.

(2) Hält der Auftragsverarbeiter eine Weisung für rechtswidrig, weist er den Verantwortlichen darauf hin und darf die Ausführung aussetzen, bis sie bestätigt oder geändert ist.

§ 4 Pflichten des Auftragsverarbeiters

• Er verpflichtet die mit der Verarbeitung befassten Personen auf Vertraulichkeit.
• Er trifft die technischen und organisatorischen Maßnahmen der Anlage 1 und passt sie dem Stand der Technik an, ohne das Schutzniveau zu senken.
• Er unterstützt den Verantwortlichen bei Anfragen Betroffener, bei Datenschutz-Folgenabschätzungen und bei Meldungen an die Aufsichtsbehörde.
• Er meldet dem Verantwortlichen Verletzungen des Schutzes personenbezogener Daten unverzüglich, spätestens binnen 48 Stunden nach Kenntnis, mit den Angaben nach Art. 33 Abs. 3 DSGVO, soweit bekannt.
• Er führt ein Verzeichnis der Verarbeitungstätigkeiten nach Art. 30 Abs. 2 DSGVO.

§ 5 Unterauftragsverarbeiter

(1) Der Verantwortliche stimmt dem Einsatz der auf der Seite „Unterauftragsverarbeiter“ genannten Dienstleister zu.

(2) Der Auftragsverarbeiter teilt eine geplante Änderung mindestens vier Wochen vorher in Textform mit. Der Verantwortliche kann aus wichtigem Grund widersprechen; einigen sich die Parteien nicht, kann jede Seite den betroffenen Teil der Leistung kündigen.

(3) Der Auftragsverarbeiter verpflichtet Unterauftragsverarbeiter auf ein gleichwertiges Schutzniveau. Bei Dienstleistern außerhalb der EU stellt er die Voraussetzungen der Art. 44 ff. DSGVO sicher.

§ 6 Kontrollrechte

(1) Der Auftragsverarbeiter weist die Einhaltung dieses Vertrags auf Anfrage nach, in der Regel durch Auskünfte und vorhandene Nachweise seiner Dienstleister.

(2) Der Verantwortliche darf nach Ankündigung mit angemessener Frist Prüfungen durchführen oder durchführen lassen, höchstens einmal je Kalenderjahr, sofern kein besonderer Anlass besteht.

§ 7 Löschung und Rückgabe

Nach Ende des Hauptvertrags gibt der Auftragsverarbeiter die Daten nach Wahl des Verantwortlichen heraus oder löscht sie, spätestens nach 60 Tagen, soweit keine gesetzliche Pflicht zur Aufbewahrung besteht.

§ 8 Haftung, Schluss

(1) Für die Haftung gelten Art. 82 DSGVO und die Regeln des Hauptvertrags.

(2) Bei Widersprüchen geht dieser Vertrag dem Hauptvertrag vor, soweit der Schutz personenbezogener Daten betroffen ist. Änderungen bedürfen der Textform.

Anlage 1: Technische und organisatorische Maßnahmen

Die Liste nennt, was heute umgesetzt ist. Was fehlt, steht am Ende.

Standort

Server und Datenbank laufen bei Google Cloud in Frankfurt (Region europe-west3). Die Server-Funktion der Website läuft bei Vercel in Frankfurt; statische Dateien liefert das Netz des Hosters vom nächstgelegenen Standort.

Verschlüsselung bei der Übertragung

Alle Verbindungen laufen über TLS; die Website erzwingt HTTPS (HSTS). Die Datenbank ist nur über eine interne Verbindung des Rechenzentrums erreichbar, nicht aus dem Internet.

Verschlüsselung im Ruhezustand

Datenbank und Speicher werden vom Rechenzentrum nach dessen Standard verschlüsselt (Angabe des Anbieters).

Zugang

Demo und Studio nur über persönliche, signierte Einladungen mit Ablaufdatum oder über eine Anmeldung. Das Sitzungszeichen liegt in einem Cookie, das Skripte nicht lesen können (HttpOnly, SameSite=Strict, Secure), und läuft nach höchstens acht Stunden ab. Einladungen lassen sich einzeln sperren.

Rollen und Trennung der Mandanten

Jedes Sitzungszeichen nennt genau einen Mandanten; der Server liefert nur dessen Daten. Gäste einer Einladung erreichen den Planer und die Terminanfrage, das Studio nur mit ausdrücklichem Recht.

Protokollierung

Protokolliert werden das Einlösen einer Einladung (Kennung, ohne Name und IP-Adresse) und der Eingang einer Terminanfrage (ohne Kontaktangaben). Anwendungsprotokolle enthalten keine Kontaktangaben.

Datensparsamkeit

Der Nutzungszähler kennt keine Namen, E-Mail- oder IP-Adressen; Planende erscheinen als gesalzener Hashwert. Unterhaltungen mit dem Assistenten werden im Standard nicht gespeichert. Pläne bleiben im Browser.

Statistik des Planers

Je Unternehmen im Studio abschaltbar. Gespeichert werden nur Tagessummen je Ereignis. Die Meldung des Planers geht ohne Cookie; eine Zufallskennung lebt nur im geöffneten Tab, der Server hält davon höchstens 24 Stunden einen gesalzenen Hashwert mit Tagesbezug. IP-Adresse, einbettende Seite und Planinhalt werden nicht gespeichert. Der Server nimmt Meldungen nur von der eigenen Adresse des Planers und nur für freigegebene einbettende Seiten an, mit Grenzen je Absender, Sitzung und Tag.

Keine Anfragen an Dritte im Planer

Schriften, Skripte, Decoder und 3D-Modelle kommen vom eigenen Server. Eine Content Security Policy erlaubt nur eigene Quellen; es gibt keine Analyse- oder Werbewerkzeuge Dritter. Die Statistik des Planers geht nur an den eigenen Server.

Einbettung

Der Planer lässt sich nur in Websites einbetten, deren Adressen für den Mandanten freigegeben sind (Content Security Policy, frame-ancestors). Nachrichten zwischen Planer und Website werden auf ihre Herkunft geprüft.

Eingaben

Der Server prüft jede Eingabe gegen ein festes Schema mit Längen- und Größengrenzen. Öffentliche Formulare haben Grenzen je Absender und je Tag.

Geheimnisse

Schlüssel und Passwörter liegen in der Geheimnisverwaltung des Rechenzentrums bzw. als verschlüsselte Variablen des Hosters, nicht im Quelltext.

Noch nicht umgesetzt

Ein Konzept für Datensicherung und Wiederherstellung, eine automatische Löschung des Nutzungszählers, eine Zwei-Faktor-Anmeldung für das Studio und eine Prüfung durch Dritte (Penetrationstest, Zertifizierung).