Auftragsverarbeitungsvertrag

Präambel

Dieser Auftragsverarbeitungsvertrag (AVV) wird geschlossen zwischen dem Kunden (Verantwortlicher im Sinne der DSGVO) und FacilityStack – Rene Staude (Einzelunternehmen), (Auftragsverarbeiter im Sinne der DSGVO). Er ergänzt die Nutzungsvereinbarung und regelt die datenschutzrechtlichen Pflichten bei der Verarbeitung personenbezogener Daten.

§ 1 Gegenstand und Dauer der Verarbeitung

Gegenstand: FacilityStack stellt eine cloudbasierte Facility-Management-Software zur Verfügung. Im Rahmen der Nutzung verarbeitet FacilityStack personenbezogene Daten im Auftrag des Kunden.

Dauer: Die Verarbeitung erfolgt für die Dauer des Vertragsverhältnisses. Nach Vertragsende werden alle Daten gemäß § 9 gelöscht.

Art der Daten: Bestandsdaten, Kontaktdaten, Nutzungsdaten, Vertragsdaten und Inhaltsdaten (alle vom Kunden eingegebenen Daten). Nutzt der Kunde das Modul Unfallbuch, zusätzlich Gesundheitsdaten im Sinne von Art. 9 Abs. 1 DSGVO (Angaben zu Unfällen, Verletzungen, Erster Hilfe und Arbeitsunfähigkeit).

Kategorien betroffener Personen: Nutzer und Ansprechpartner des Kunden; Beschäftigte des Kunden und weitere vom Kunden erfasste Personen (z. B. Mitarbeiter von Dienstleistern, Prüfer). Im Modul Unfallbuch zusätzlich verletzte oder erkrankte Beschäftigte, Leiharbeitnehmer, Beschäftigte von Fremdfirmen, Gäste und sonstige Personen sowie Ersthelfer und Zeugen.

Besondere Kategorien: Für Gesundheitsdaten trifft FacilityStack die zusätzlichen Maßnahmen nach § 6 dieses Vertrags (Zugriffsbeschränkung auf berechtigte Rollen der Liegenschaft, Zugriffsprotokoll, kein Zugriff durch Support, automatische Löschung nach Ablauf der Fristen). Der Kunde stellt sicher, dass eine Rechtsgrundlage für die Verarbeitung besteht und die Betroffenen informiert sind.

§ 2 Pflichten des Auftragsverarbeiters

FacilityStack verpflichtet sich:

• Verarbeitung ausschließlich gemäß den Weisungen des Kunden
• Vertraulichkeit: Alle Mitarbeiter sind zur Vertraulichkeit verpflichtet (§ 5)
• Umsetzung geeigneter technischer und organisatorischer Maßnahmen (§ 6)
• Unterstützung bei der Erfüllung der Betroffenenrechte (§ 7)
• Benachrichtigung bei Datenschutzverletzungen (§ 8)
• Löschung oder Rückgabe aller Daten nach Vertragsende (§ 9)
• Information über eingesetzte Unterauftragsverarbeiter (§ 10)

§ 3 Rechte und Pflichten des Verantwortlichen

Der Kunde ist für die rechtmäßige Erhebung und Übermittlung der Daten verantwortlich. Er hat FacilityStack unverzüglich zu informieren, wenn er Fehler oder rechtswidrige Verarbeitung feststellt. Der Kunde trägt die Verantwortung für die Datenschutz-Folgenabschätzung, sofern erforderlich.

§ 4 Weisungen

FacilityStack verarbeitet personenbezogene Daten nur nach dokumentierten Weisungen des Kunden, einschließlich der in diesem AVV erteilten Generalweisungen. Davon abweichende Weisungen müssen schriftlich oder per E-Mail erteilt werden. FacilityStack informiert den Kunden unverzüglich, wenn eine Weisung gegen Datenschutzvorschriften verstößt.

§ 5 Vertraulichkeit

Alle Personen, die unter der Autorität von FacilityStack tätig werden und Zugang zu personenbezogenen Daten haben, werden auf die Vertraulichkeit entsprechender Daten gemäß Art. 28 Abs. 3 lit. b DSGVO verpflichtet. Die Verpflichtung zur Vertraulichkeit besteht auch nach Beendigung der Tätigkeit fort.

§ 6 Technische und organisatorische Maßnahmen (TOMs)

FacilityStack implementiert folgende Maßnahmen gemäß Art. 32 DSGVO:

• Pseudonymisierung: Möglich durch mandantenspezifische Tenant-IDs
• Verschlüsselung: TLS 1.3 für Datenübertragung, bcrypt für Passwörter
• Vertraulichkeit: Row Level Security (RLS) für mandantenspezifische Isolation
• Integrität: Regelmäßige Backups, Datenbank-Constraints
• Verfügbarkeit: Redundante Server, 99,5% Uptime-Ziel
• Zugriffskontrolle: Authentifizierung via Supabase Auth, rollenbasierte Berechtigungen
• Übertragungskontrolle: HTTPS für alle Datenübertragungen
• Eingabekontrolle: Audit-Logs für kritische Operationen
• Besondere Kategorien (Unfallbuch): Zugriffsbeschränkung auf berechtigte Rollen der Liegenschaft, Zugriffsprotokoll, kein Zugriff durch Support, automatische Löschung nach Ablauf der Fristen

§ 7 Unterstützung bei Betroffenenrechten

FacilityStack unterstützt den Kunden bei der Erfüllung von Betroffenenrechten (Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit). Die Unterstützung erfolgt innerhalb von 5 Werktagen nach schriftlicher Anfrage. Technische Möglichkeiten: Mandanten-Export als ZIP-Archiv (alle Datentabellen als JSON oder CSV, Auskunft und Datenübertragbarkeit gemäß Art. 15 und 20 DSGVO) sowie Löschung über die Anwendung mit anschließender endgültiger Bereinigung nach Ablauf der 30-Tage-Frist (§ 9).

§ 8 Datenschutzverletzungen

FacilityStack benachrichtigt den Kunden unverzüglich nach Bekanntwerden einer Datenschutzverletzung (Art. 33, 34 DSGVO). Die Benachrichtigung erfolgt per E-Mail an die hinterlegte Kontaktadresse. FacilityStack unterstützt den Kunden bei der Dokumentation und Meldung an die Aufsichtsbehörde.

§ 9 Löschung oder Rückgabe nach Vertragsende (Art. 28 Abs. 3 lit. g DSGVO)

Nach Wahl des Verantwortlichen löscht FacilityStack nach Abschluss der Verarbeitungsleistung alle personenbezogenen Daten oder gibt sie dem Kunden zurück. Die Rückgabe erfolgt über eine jederzeit selbst auslösbare Export-Funktion, die dem Eigentümer-Konto des Kunden zur Verfügung steht. Der Export ist ein ZIP-Archiv mit allen Datentabellen als JSON oder CSV (nach Wahl des Kunden), einer Dateiliste aller im Speicher des Mandanten abgelegten Dateien und den Dateien selbst bis 50 MB je Datei; größere Dateien stehen mit Verweis in der Dateiliste.

Lösch-Lebenszyklus: Bei Kündigung bzw. bei einer vom Kunden ausgelösten Konto- oder Liegenschaftslöschung werden die betroffenen Daten zunächst zur Löschung vorgemerkt und in diesem Zeitraum nicht weiterverarbeitet (Stilllegung). FacilityStack benachrichtigt den Kunden vorab per E-Mail und weist auf die bestehende Export-Möglichkeit hin. Innerhalb einer Frist von 30 Tagen kann der Kunde die Löschung widerrufen. Nach Ablauf der Frist werden sämtliche Mandanten-Daten einschließlich der im Speicher des Mandanten abgelegten Dateien unwiderruflich gelöscht (Datenbank-Löschung inkl. abhängiger Datensätze sowie vollständige Bereinigung des Datei-Speichers).

Gesetzliche Aufbewahrungspflichten: Die Einhaltung gesetzlicher Aufbewahrungspflichten (insbesondere § 257 HGB, § 147 AO) obliegt dem Kunden als Verantwortlichem. FacilityStack archiviert die Mandanten-Daten nicht über das Vertragsende hinaus dauerhaft. Der Kunde ist verpflichtet, aufbewahrungspflichtige Daten vor Ablauf der 30-Tage-Frist über die Export-Funktion selbst zu exportieren und extern zu sichern. Von der Löschung der Mandanten-Daten unberührt bleiben ausschließlich eigene Rechnungen von FacilityStack und die FacilityStack selbst betreffenden Pflichtunterlagen (insbesondere die an den Kunden gestellten Abonnement-Rechnungen), die FacilityStack als eigenständig Verantwortlicher zur Erfüllung eigener handels- und steuerrechtlicher Aufbewahrungspflichten getrennt vom Mandanten-Inhalt vorhält.

§ 10 Unterauftragsverarbeiter

FacilityStack setzt folgende Unterauftragsverarbeiter ein:

Mit allen Unterauftragsverarbeitern bestehen AVVs gemäß Art. 28 Abs. 2 DSGVO.

Änderungen bei Unterauftragsverarbeitern: Beabsichtigte Änderungen (Hinzufügung oder Ersetzung von Unterauftragsverarbeitern) werden dem Kunden mindestens 30 Tage vor Inkrafttreten per E-Mail an die hinterlegte Kontaktadresse mitgeteilt. Der Kunde kann binnen 14 Tagen nach Zugang der Mitteilung schriftlich oder per E-Mail Einspruch gegen die geplante Änderung erheben. Der Einspruch muss sachlich begründet sein (insbesondere datenschutzrechtliche Bedenken). Bei begründetem Einspruch steht dem Kunden ein außerordentliches Kündigungsrecht zum Zeitpunkt des geplanten Inkrafttretens der Änderung zu, ohne dass hierfür Vertragsstrafen oder Gebühren anfallen.

§ 11 Audit-Recht und Kontrollen

Der Kunde hat das Recht, die Einhaltung der in diesem AVV festgelegten Pflichten durch FacilityStack zu überprüfen. FacilityStack unterstützt den Kunden bei dieser Überprüfung. Die Überprüfung erfolgt zu den üblichen Geschäftszeiten nach vorheriger Anmeldung und unter Berücksichtigung der Vertraulichkeit anderer Kunden.

§ 12 Haftungsbegrenzung

Die Haftung von FacilityStack richtet sich nach den Allgemeinen Geschäftsbedingungen (AGB). Für datenschutzrechtliche Verstöße, die auf Anweisungen des Kunden oder auf vom Kunden bereitgestellten Daten beruhen, haftet der Kunde.

§ 13 Salvatorische Klausel

Sollten einzelne Bestimmungen dieses AVV unwirksam sein oder werden, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt. Die unwirksame Bestimmung wird durch eine wirksame ersetzt, die dem wirtschaftlichen Zweck möglichst nahekommt.

§ 14 Änderungen

Änderungen dieses AVV bedürfen der Schriftform oder E-Mail. Sie werden dem Kunden 30 Tage vor Inkrafttreten mitgeteilt. Stillschweigende Zustimmung gilt als erteilt, wenn der Kunde nicht innerhalb dieser Frist widerspricht.