Vertrag zur Auftragsverarbeitung

§ 1 Gegenstand und Dauer

1. Gegenstand ist die Verarbeitung personenbezogener Daten durch den Auftragsverarbeiter bei der Bereitstellung von FlurfunkPro (nachfolgend „Dienst“) für den Workspace des Verantwortlichen nach den AGB (Hauptvertrag).
2. Dieser Vertrag gilt, solange der Auftragsverarbeiter personenbezogene Daten des Workspace verarbeitet, mindestens für die Dauer des Hauptvertrags, und endet mit der Löschung nach § 12.
3. Bei Widersprüchen geht dieser Vertrag den AGB in Fragen des Datenschutzes vor.

§ 2 Art, Zweck, Daten, Betroffene

Die Einzelheiten stehen in Anlage 1. Zweck ist die Bereitstellung eines Team-Chats mit Channels, Direktnachrichten, Dateien, Suche, Benachrichtigungen, Integrationen und – nur wenn der Verantwortliche sie einschaltet – KI-Funktionen, einschließlich Betrieb, Sicherung, Support und Fehlerbehebung. Die Verarbeitung umfasst Erheben, Speichern, Ordnen, Abfragen, Übermitteln an Mitglieder des Workspace, Sichern, Löschen und Anonymisieren. Sie findet ausschließlich in der Europäischen Union statt, außer den in Anlage 3 genannten Übermittlungen.

§ 3 Weisungen

1. Der Auftragsverarbeiter verarbeitet die Daten nur auf dokumentierte Weisung des Verantwortlichen, auch bei Übermittlungen in ein Drittland, es sei denn, er ist durch Unionsrecht oder das Recht eines Mitgliedstaats dazu verpflichtet; dann teilt er dem Verantwortlichen diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das Recht dies nicht verbietet.
2. Weisungen sind dieser Vertrag, der Hauptvertrag und die Einstellungen, die der Verantwortliche im Dienst vornimmt, etwa Aufbewahrungsfristen, Rollen, Integrationen, KI-Funktionen, Vorschau in Push-Benachrichtigungen, Exporte und Löschungen. Weitere Weisungen erteilen die Owner des Workspace in Textform an datenschutz@flurfunkpro.de.
3. Hält der Auftragsverarbeiter eine Weisung für rechtswidrig, weist er den Verantwortlichen unverzüglich darauf hin und darf die Ausführung aussetzen, bis sie bestätigt oder geändert ist.

§ 4 Vertraulichkeit

Der Auftragsverarbeiter setzt nur Personen ein, die zur Vertraulichkeit verpflichtet sind oder einer gesetzlichen Verschwiegenheitspflicht unterliegen und mit den Vorgaben des Datenschutzes vertraut gemacht wurden. Zugriff auf Systeme mit Daten des Verantwortlichen haben nur Personen, die ihn für Betrieb und Support benötigen.

§ 5 Technische und organisatorische Maßnahmen

1. Der Auftragsverarbeiter trifft die Maßnahmen nach Art. 32 DSGVO, die in Anlage 2 beschrieben sind.
2. Die Daten aller Kunden liegen in einer gemeinsamen Datenbank. Die Trennung der Workspaces erfolgt in der Anwendung und wird durch automatisierte Tests geprüft; eine Trennung auf Datenbankebene besteht nicht. Wer eine stärkere Trennung braucht, kann eine eigene Instanz gesondert vereinbaren.
3. Der Auftragsverarbeiter darf die Maßnahmen weiterentwickeln, solange das Schutzniveau nicht unterschritten wird. Wesentliche Änderungen dokumentiert er.

§ 6 Unterauftragsverarbeiter

1. Der Verantwortliche genehmigt die in Anlage 3 genannten Unterauftragsverarbeiter.
2. Er erteilt die allgemeine Genehmigung, weitere Unterauftragsverarbeiter einzusetzen oder bestehende zu ersetzen. Der Auftragsverarbeiter informiert darüber mindestens 4 Wochen vorher per E-Mail an die Owner und durch Aktualisierung der Liste der Unterauftragsverarbeiter. Der Verantwortliche kann innerhalb dieser Frist aus wichtigem datenschutzrechtlichem Grund widersprechen. Können sich die Parteien nicht einigen, kann der Verantwortliche den Hauptvertrag zum Wirksamwerden der Änderung kündigen.
3. Der Auftragsverarbeiter verpflichtet Unterauftragsverarbeiter vertraglich auf gleichwertige Datenschutzpflichten und bleibt dem Verantwortlichen für deren Einhaltung verantwortlich.
4. Übermittlungen in Drittländer erfolgen nur unter den Voraussetzungen der Art. 44 ff. DSGVO, wie in Anlage 3 angegeben.
5. Keine Unterauftragsverarbeitung sind Dienste, die der Verantwortliche selbst anbindet oder einrichtet, etwa sein Identitätsanbieter (z. B. Microsoft Entra ID), Webhooks, GitHub, Azure DevOps oder Kalender. Übermittlungen dorthin erfolgen auf seine Weisung und in seiner Verantwortung.

§ 7 Rechte der betroffenen Personen

1. Der Auftragsverarbeiter unterstützt den Verantwortlichen mit geeigneten technischen und organisatorischen Maßnahmen bei Anträgen nach Art. 15 bis 22 DSGVO. Dafür stellt der Dienst insbesondere bereit: Export des Workspace und persönliche Exporte, Bearbeiten und Löschen von Nachrichten, Deaktivieren und Anonymisieren von Mitgliedern, Aufbewahrungsfristen, Löschen von Konten und des Workspace.
2. Mitglieder, die aus dem Workspace ausscheiden, werden anonymisiert; ihre Nachrichten bleiben unter „Ehemaliger Nutzer“ erhalten. Ob sie weiter aufbewahrt werden dürfen, entscheidet der Verantwortliche; er kann Nachrichten löschen oder Aufbewahrungsfristen setzen.
3. Wendet sich eine betroffene Person direkt an den Auftragsverarbeiter, verweist er sie an den Verantwortlichen und informiert diesen unverzüglich.
4. Unterstützung, die über die Funktionen des Dienstes hinausgeht, leistet der Auftragsverarbeiter gegen Erstattung des nachgewiesenen Aufwands, soweit die Unterstützung nicht auf einem Verstoß des Auftragsverarbeiters beruht.

§ 8 Weitere Unterstützung

Der Auftragsverarbeiter unterstützt den Verantwortlichen bei der Einhaltung der Pflichten nach Art. 32 bis 36 DSGVO unter Berücksichtigung der Art der Verarbeitung und der ihm zur Verfügung stehenden Informationen, insbesondere durch Anlage 2 und Auskünfte zum Dienst.

§ 9 Verletzungen des Schutzes personenbezogener Daten

1. Der Auftragsverarbeiter meldet dem Verantwortlichen eine Verletzung des Schutzes personenbezogener Daten unverzüglich, spätestens 48 Stunden nachdem er davon Kenntnis erlangt hat.
2. Die Meldung geht an die E-Mail-Adressen der Owner des Workspace. Sie enthält, soweit bekannt, die Angaben nach Art. 33 Abs. 3 DSGVO; fehlende Angaben werden nachgereicht.
3. Der Auftragsverarbeiter ergreift unverzüglich Maßnahmen zur Eindämmung und unterstützt den Verantwortlichen bei dessen Meldung an die Aufsichtsbehörde und der Benachrichtigung Betroffener.

§ 10 Nachweise und Kontrollen

1. Der Auftragsverarbeiter stellt dem Verantwortlichen auf Anfrage die Informationen zur Verfügung, die zum Nachweis der Einhaltung dieses Vertrags nötig sind, vorrangig durch Anlage 2, Selbstauskünfte und, soweit vorhanden, Prüfberichte oder Zertifikate.
2. Darüber hinaus ermöglicht er Überprüfungen einschließlich Inspektionen durch den Verantwortlichen oder einen von ihm beauftragten, zur Verschwiegenheit verpflichteten Prüfer, der kein Wettbewerber ist, nach Anmeldung mit 4 Wochen Vorlauf, während der Geschäftszeiten, ohne Störung des Betriebs und in der Regel höchstens einmal im Kalenderjahr. Rechenzentren der Unterauftragsverarbeiter werden über deren Nachweise geprüft. Den Aufwand trägt der Verantwortliche, außer die Prüfung deckt einen Verstoß des Auftragsverarbeiters auf.

§ 11 Pflichten des Verantwortlichen

Der Verantwortliche ist für die Rechtmäßigkeit der Verarbeitung verantwortlich, insbesondere für die Rechtsgrundlage, die Information der Betroffenen, etwa seiner Beschäftigten, die Einstellungen im Dienst und die Entscheidung nach § 7 Abs. 2. Er informiert den Auftragsverarbeiter unverzüglich, wenn er Fehler oder Unregelmäßigkeiten feststellt.

§ 12 Löschung und Rückgabe nach Vertragsende

1. Der Verantwortliche kann seine Daten jederzeit und bis zum Vertragsende in einem maschinenlesbaren Format (JSON) exportieren. Der Export eines Workspace enthält Nachrichten und Dateien der öffentlichen Channels; aus privaten Channels und Direktnachrichten enthält er nur Metadaten (Mitglieder, Zeitpunkte), weil der Dienst Inhalte privater Unterhaltungen auch Ownern nicht zugänglich macht. Jedes Mitglied kann seine eigenen Nachrichten selbst exportieren. Im Tarif Free umfasst der Export die letzten 90 Tage; ältere Nachrichten sind nach einem Wechsel in einen bezahlten Tarif wieder enthalten.
2. Nach Ende der Verarbeitung – Löschung des Workspace durch den Verantwortlichen oder Ende des Hauptvertrags – löscht der Auftragsverarbeiter die Daten. Nach einer Löschung durch den Verantwortlichen bleiben sie 14 Tage, im Tarif Business 30 Tage wiederherstellbar und werden dann endgültig gelöscht, soweit keine gesetzliche Pflicht zur Aufbewahrung besteht.
3. In Datensicherungen bleiben gelöschte Daten verschlüsselt höchstens rund 90 Tage, bis diese planmäßig auslaufen. Ein gezieltes Entfernen einzelner Daten aus Datensicherungen findet nicht statt. Wird eine Datensicherung wiederhergestellt, führt der Auftragsverarbeiter alle Löschungen seit ihrer Erstellung erneut aus.
4. Auf Anfrage bestätigt der Auftragsverarbeiter die Löschung in Textform.

§ 13 Haftung, Schlussbestimmungen

1. Für die Haftung gilt Art. 82 DSGVO; im Übrigen gelten die Haftungsregeln des Hauptvertrags.
2. Änderungen dieses Vertrags teilt der Auftragsverarbeiter mindestens 6 Wochen vor Wirksamwerden in Textform mit; § 14 der AGB gilt entsprechend. Der Dienst fragt die Owner bei der nächsten Anmeldung nach ihrer Zustimmung.
3. Es gilt deutsches Recht; Gerichtsstand ist, soweit gesetzlich zulässig, Potsdam.
4. Sollte eine Bestimmung unwirksam sein, bleibt der Vertrag im Übrigen wirksam.

Anlage 1 – Gegenstand der Verarbeitung

Betroffene Personen

Beschäftigte, Gäste und sonstige Personen, die der Verantwortliche in den Workspace einlädt; Personen, über die in Nachrichten und Dateien geschrieben wird; Absender von Nachrichten aus angebundenen Diensten

Daten

Kontodaten (Name, Anzeigename, E-Mail-Adresse, Profilbild, Rolle, Status); Inhalte (Nachrichten, Reaktionen, Umfragen, Dateien und deren Text, Sprachnachrichten und ihre Abschriften); Metadaten (Zeitpunkte, Lesestatus, Mitgliedschaften, Präsenz); Nutzungstage für die Abrechnung; Audit-Protokoll (Aktion, Person, Zeitpunkt, IP-Adresse, nach 7 Tagen gekürzt); technische Daten (Geräte, Push-Token, Sitzungen)

Besondere Kategorien

nicht vorgesehen; sie können vorkommen, wenn Mitglieder sie in Nachrichten oder Dateien schreiben. Der Verantwortliche regelt das in seiner Organisation.

Ort

Rechenzentrum der Contabo in Lauterbourg (Frankreich, EU); Datensicherungen bei Hetzner in Deutschland

Anlage 2 – Technische und organisatorische Maßnahmen

Zutritt: Die Server stehen im Rechenzentrum der Contabo in Lauterbourg (EU), mit den Zutrittskontrollen des Rechenzentrumsbetreibers.

Zugang zu Systemen: Server nur per SSH-Schlüssel, Passwort-Anmeldung aus, Firewall mit nur den nötigen Ports, automatische Sicherheitsupdates. Zugangsdaten nicht im Quellcode, sondern getrennt und geschützt abgelegt; Zugriff auf Server und Zugangsdaten haben nur die beiden Geschäftsführer bzw. Gesellschafter. Im Dienst: Passwörter mit Mindestlänge und Prüfung gegen bekannte Datenlecks, Sperre nach wiederholten Fehlversuchen, Begrenzung von Anfragen, Passkeys, auf Wunsch Anmeldung über den Identitätsanbieter des Kunden und Passkey-Pflicht für Owner und Admins. Kurzlebige Zugriffstoken, Sitzungen werden bei Passwortwechsel, Deaktivierung oder Abmelden eines Geräts sofort ungültig.

Zugriff und Trennung: Jede Abfrage ist auf den Workspace begrenzt; ein automatisierter Test prüft das für den gesamten Code. Nachrichten sieht nur, wer Mitglied des Channels ist; private Channels und Direktnachrichten sind auch für Owner und Admins nicht lesbar. Rollen und Berechtigungen werden je Schnittstelle getestet. Dateien sind nie über erratbare öffentliche Adressen erreichbar. Die Testumgebung arbeitet nur mit anonymisierten Daten und ohne ausgehendes Netz.

Verschlüsselung: Übertragung ausschließlich per TLS (mindestens 1.2) mit HSTS; Mailversand mit erzwungenem TLS; Datensicherungen verschlüsselt, Schlüssel getrennt verwahrt; der Datenbestand auf dem Server liegt in einem verschlüsselten Container (LUKS2). Push-Benachrichtigungen an Apps enthalten keinen Nachrichtentext; Browser-Benachrichtigungen sind Ende-zu-Ende für den Browser verschlüsselt.

Integrität: Sicherheitsrelevante Aktionen werden im Audit-Protokoll festgehalten; IP-Adressen darin werden nach 7 Tagen gekürzt. Exporte nur für Berechtigte und protokolliert. Ausgehende Abrufe gegen Missbrauch abgesichert, Webhooks signiert, Inhalte werden ohne aktive Elemente dargestellt, Metadaten aus hochgeladenen Bildern entfernt. Änderungen am Dienst nur nach Prüfung und automatisierten Tests; Abhängigkeiten mit bekannten Schwachstellen werden nicht ausgeliefert.

Verfügbarkeit: Nächtliche Datensicherung bei einem anderen Anbieter als dem Rechenzentrum, höchstens rund 90 Tage aufbewahrt, regelmäßig auf Lesbarkeit geprüft; Wiederherstellungstest einmal im Quartal. Überwachung mit Alarmierung rund um die Uhr.

Löschung: Aufbewahrungsfristen je Workspace und Channel einstellbar; gelöschte Nachrichten werden nach 24 Stunden geleert; Fristen und Verfahren wie in § 12. Server-Protokolle 30 Tage, IP-Adressen darin schon beim Einsammeln gekürzt.

Überprüfung: Sicherheitsmeldungen an security@flurfunkpro.de, Bestätigung binnen 72 Stunden; jährliche Überprüfung der Maßnahmen; festgelegter Ablauf bei Datenschutzverletzungen.

Anlage 3 – Genehmigte Unterauftragsverarbeiter

Die aktuelle Liste mit Leistung, Ort und Grundlage für Drittlandübermittlungen steht unter Unterauftragsverarbeiter.