OrgaHelperZur Startseite

Auftragsverarbeitungsvertrag

# Auftragsverarbeitungsvertrag (AVV)

Auftragsverarbeitungsvertrag gemäß Art. 28 DSGVO

zwischen dem Kunden des Dienstes OrgaHelper (nachfolgend „Auftraggeber" — der Betrieb ist Verantwortlicher im Sinne der DSGVO) und

Bonus Service BS GmbH Dorotheenstr. 5, 45130 Essen E-Mail: info@orgahelper.de Telefon: 0201-89083160

(nachfolgend „Auftragnehmer")

§ 1 – Gegenstand und Dauer der Verarbeitung

(1) Der Auftragnehmer verarbeitet personenbezogene Daten im Auftrag des Auftraggebers im Rahmen der Bereitstellung der Webanwendung OrgaHelper (orgahelper.de) als Organisations- und Erinnerungshilfe für betriebliche Organisationspflichten. Der Auftragnehmer verarbeitet die vom Auftraggeber eingestellten Daten ausschließlich weisungsgebunden zum Betrieb dieser Anwendung.

(2) Keine Verarbeitung zu eigenen Zwecken, kein Training von KI-Modellen mit Kundendaten, keine Weitergabe an Dritte außer den in § 6 genannten Subprozessoren.

(3) Die Dauer der Verarbeitung entspricht der Laufzeit des Nutzungsvertrages. Mit Vertragsende endet die Verarbeitung; für die Löschung gilt § 11.

§ 2 – Art und Zweck der Verarbeitung

| Verarbeitungsschritt | Zweck | |---|---| | Konto- und Organisationsverwaltung | Zugang, Zuordnung der Daten zum Betrieb | | Betriebsaufnahme (37 Fragen) | Ermittlung in Frage kommender Pflichtbereiche | | Aufgaben- und Nachweisverwaltung | Wiedervorlage, Ablage von Nachweisen | | Prüfmappen-Export | Zusammenstellung als PDF/ZIP durch den Betrieb | | Protokollierung | Nachvollziehbarkeit sicherheitsrelevanter Änderungen |

§ 3 – Art der personenbezogenen Daten

| Kategorie | Konkrete Felder | Personenbezug | |---|---|---| | Nutzerkonto | Name, E-Mail, Passwort-Hash, Sitzungsdaten | ja, direkt | | Verantwortliche im Betrieb | Name, Rolle, E-Mail, Telefon | ja, direkt — Beschäftigtendaten | | Standorte und Objekte | Bezeichnung (z. B. „Werkstatt", Fahrzeugbezeichnung/Kennzeichen), Typ | mittelbar | | Betriebsaufnahme-Antworten | Rechtsform, Beschäftigtenzahl, Branche, Ausstattung | nein (Betriebsdaten) | | Aufgaben und Nachweisanforderungen | Titel, Status, Wiedervorlagedatum, Zuordnung zu Verantwortlichen | mittelbar bis direkt | | Hochgeladene Nachweisdateien | Inhalt bestimmt allein der Auftraggeber | abhängig vom Inhalt | | Freitext-Vermerke | vom Auftraggeber eingegeben | abhängig vom Inhalt | | Protokollereignisse | Zeitpunkt, handelnde Nutzerkennung, Ereignistyp, betroffene Datensatz-ID | mittelbar über die Nutzerkennung |

Der Nutzdaten-Teil der Protokolleinträge enthält keine Klartext-Personendaten, sondern technische Kennungen; ein mittelbarer Personenbezug besteht über die handelnde Nutzerkennung und ist beim Auftraggeber auflösbar.

§ 4 – Kategorien betroffener Personen

§ 5 – Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO) — technisch ausgeschlossen

(1) OrgaHelper bildet Pflichten ab, die Gesundheitsdaten berühren (z. B. arbeitsmedizinische Vorsorge, Verbandbuch, betriebliches Eingliederungsmanagement, Mutterschutz, Berufskrankheiten-Anzeige). Für diese Pflichten ist der Datei-Upload serverseitig gesperrt. Möglich ist nur ein inhaltsfreier Vermerk „Nachweis liegt vor"; das Dokument selbst verbleibt beim Auftraggeber.

(2) Die Sperre umfasst 60 Regeln (19 kuratierte Art.-9-Regeln sowie 41 Regeln mit personenbezogenem Nachweis, z. B. Arbeitszeugnisse, ärztliche Untersuchungen, Aufenthaltstitel, DEÜV-Meldungen) und greift auf zwei Ebenen: Die Upload-Adresse wird gar nicht erst erzeugt, und die Ablage eines Datei-Verweises wird zusätzlich abgewiesen.

(3) Restrisiko und Mitwirkungspflicht: In Freitextfelder können technisch Angaben beliebigen Inhalts eingetragen werden. Der Auftraggeber verpflichtet sich, keine besonderen Kategorien personenbezogener Daten (Art. 9 DSGVO) in Freitextfelder einzutragen.

§ 6 – Pflichten des Auftragnehmers

(1) Der Auftragnehmer verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Auftraggebers, es sei denn, er ist nach Unionsrecht oder dem Recht der Mitgliedstaaten zu einer Verarbeitung verpflichtet.

(2) Der Auftragnehmer gewährleistet, dass sich die zur Verarbeitung befugten Personen zur Vertraulichkeit verpflichtet haben.

(3) Der Auftragnehmer ergreift die gemäß Art. 32 DSGVO erforderlichen technischen und organisatorischen Maßnahmen, insbesondere:

Zugangs- und Zugriffskontrolle

Verschlüsselung

Zugriff auf Nachweisdateien

Verfügbarkeit und Wiederherstellbarkeit (Art. 32 Abs. 1 lit. c DSGVO)

Protokollierung

(4) Der Auftragnehmer unterstützt den Auftraggeber bei der Einhaltung der in Art. 32 bis 36 DSGVO genannten Pflichten.

(5) Der Auftragnehmer stellt dem Auftraggeber alle erforderlichen Informationen zum Nachweis der Einhaltung der in Art. 28 DSGVO niedergelegten Pflichten zur Verfügung.

§ 7 – Unterauftragsverarbeiter (Subprozessoren)

(1) Der Auftraggeber stimmt dem Einsatz der nachfolgend genannten Subprozessoren zu:

| Subprozessor | Leistung | Ort der Verarbeitung | |---|---|---| | Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen | Server der Anwendung, Datenbankserver | EU (Deutschland) | | Hetzner Online GmbH | Objektspeicher für Nachweisdateien | EU | | Hetzner Online GmbH | Verschlüsselte Sicherungskopien | EU | | ALL-INKL.COM – Neue Medien Münnich, Hauptstraße 68, 02742 Friedersdorf | Versand von System-E-Mails (Anmeldung, Einladung) | EU (Deutschland) |

Weitere Subprozessoren werden nicht eingesetzt. Mit den Subprozessoren bestehen Auftragsverarbeitungsverträge gemäß Art. 28 DSGVO. ⟨Vom Inhaber zu bestätigen: AVVs mit Hetzner und ALL-INKL liegen vor.⟩

(2) Der Auftragnehmer informiert den Auftraggeber über jede beabsichtigte Änderung in Bezug auf die Hinzuziehung oder Ersetzung von Subprozessoren vorab in Textform. Der Auftraggeber kann innerhalb von 14 Tagen aus wichtigem datenschutzrechtlichem Grund Einspruch erheben. Erfolgt kein fristgerechter Einspruch, gilt die Änderung als genehmigt. Bei begründetem Einspruch suchen die Parteien eine angemessene Lösung; bleibt eine solche aus, kann der Auftraggeber den Vertrag kündigen.

§ 8 – Übermittlung in Drittländer

(1) Eine Übermittlung personenbezogener Daten in Drittländer (außerhalb des EWR) findet nicht statt.

(2) Alle Subprozessoren sind Unternehmen mit Sitz in der EU ohne US-Konzernmutter. Es werden keine Standardvertragsklauseln, kein Transfer Impact Assessment und kein Data Privacy Framework benötigt. Es sind keine US-Cloud-Dienste, kein Analyse-Tracking und keine externen Schriftarten oder Skripte eingebunden.

§ 9 – Rechte der betroffenen Personen

(1) Der Auftragnehmer unterstützt den Auftraggeber bei der Erfüllung der Rechte betroffener Personen gemäß Art. 12–22 DSGVO, insbesondere bei Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung und Datenübertragbarkeit.

(2) Im derzeitigen Pilotbetrieb erfolgt diese Unterstützung manuell auf Anforderung (Datenbankexport sowie Prüfmappen-Export); ein automatisierter Selbstbedienungsweg für Betroffenenanfragen ist nicht vorgesehen. Der Auftraggeber kann seine erfassten Aufgaben und Nachweise jederzeit selbst über den Prüfmappen-Export sichern.

(3) Erhält der Auftragnehmer Anfragen betroffener Personen, die den Auftraggeber betreffen, leitet er diese unverzüglich an den Auftraggeber weiter.

§ 10 – Meldung von Verletzungen des Schutzes personenbezogener Daten

Der Auftragnehmer meldet dem Auftraggeber jede erkannte Verletzung des Schutzes personenbezogener Daten unverzüglich nach Bekanntwerden und stellt ihm die zur Meldung nach Art. 33 DSGVO erforderlichen Angaben zur Verfügung, soweit sie ihm vorliegen.

§ 11 – Löschung und Rückgabe

(1) Nach Abschluss der Verarbeitungsleistungen löscht der Auftragnehmer nach Wahl des Auftraggebers alle personenbezogenen Daten oder gibt sie zurück und löscht vorhandene Kopien, sofern nicht nach Unionsrecht oder dem Recht der Mitgliedstaaten eine Verpflichtung zur Speicherung besteht.

(2) Es gelten folgende Löschfristen: ⟨Sämtliche Fristen sind Vorschläge und vom Inhaber verbindlich festzulegen.⟩

| Datenart | Frist | |---|---| | Nutzerkonto und Betriebsdaten | ⟨Vorschlag: binnen 30 Tagen nach Vertragsende⟩ | | Nachweisdateien | ⟨Vorschlag: in Abstimmung mit dem Auftraggeber, spätestens 30 Tage nach Vertragsende⟩ | | Protokollereignisse | ⟨Vorschlag: 90 Tage⟩ | | Verschlüsselte Sicherungskopien | ⟨offen — Rotationsfrist vom Inhaber festzulegen; bis dahin: Löschung aus Sicherungen erfolgt mit deren turnusmäßiger Überschreibung⟩ |

(3) Die Löschung von Nachweisdateien umfasst auch sämtliche durch die Versionierung des Objektspeichers vorgehaltenen früheren Dateiversionen. Im Pilotbetrieb erfolgt die Löschung der Objektspeicher-Inhalte nach dokumentierter Routine.

§ 12 – Weisungen, Kontrolle, Vertraulichkeit

(1) Die Verarbeitung erfolgt ausschließlich auf dokumentierte Weisung des Auftraggebers. Weisungen sind in Textform zu erteilen. Hält der Auftragnehmer eine Weisung für datenschutzrechtlich unzulässig, informiert er den Auftraggeber unverzüglich.

(2) Der Auftraggeber hat das Recht, sich von der Einhaltung dieses Vertrages in angemessener Weise zu überzeugen. Der Auftragnehmer stellt auf Anfrage die erforderlichen Informationen zur Verfügung und ermöglicht Überprüfungen einschließlich Inspektionen in einem angemessenen, verhältnismäßigen Umfang. Kontrollen sind mit angemessener Frist anzukündigen und dürfen Sicherheit, Vertraulichkeit und den Betrieb des Dienstes nicht unverhältnismäßig beeinträchtigen.

(3) Das mit der Verarbeitung befasste Personal des Auftragnehmers ist zur Vertraulichkeit verpflichtet.

§ 13 – Laufzeit

Dieser Vertrag gilt für die Dauer der Nutzung des Dienstes OrgaHelper. Er tritt mit der Registrierung in Kraft und endet mit der Beendigung des Nutzungsvertrages; die Pflichten aus § 11 bestehen darüber hinaus fort, bis die Löschung bzw. Rückgabe abgeschlossen ist.

§ 14 – Schlussbestimmungen

(1) Sollten einzelne Bestimmungen dieses Vertrages unwirksam sein, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt.

(2) Es gilt das Recht der Bundesrepublik Deutschland.

(3) Gerichtsstand ist Essen.

Stand: ⟨Juli 2026 — Version 1.0, Pilotbetrieb⟩

Kontakt bei Fragen zum Datenschutz: info@orgahelper.de