Auftragsverarbeitung

Für alle personenbezogenen Daten, die ein Kunde und die von ihm eingeladenen Personen in Feldkontor verarbeiten, ist der Kunde Verantwortlicher. Die ALR Consulting UG (haftungsbeschränkt) ist Auftragsverarbeiterin. Grundlage ist der folgende Vertrag, der mit dem Nutzungsvertrag geschlossen wird. Die auszufüllenden Angaben zum Verantwortlichen werden bei Vertragsschluss ergänzt.

§ 1 Gegenstand und Dauer

Die Auftragnehmerin betreibt für den Verantwortlichen die Webanwendung „Feldkontor“ auf Grundlage des Nutzungsvertrags. Dieser Vertrag gilt für die Dauer des Nutzungsvertrags und darüber hinaus, solange die Auftragnehmerin Daten des Verantwortlichen verarbeitet.

§ 2 Art, Zweck, Daten und betroffene Personen

§ 3 Weisungen

Die Auftragnehmerin verarbeitet die Daten nur auf dokumentierte Weisung des Verantwortlichen, es sei denn, sie ist nach Unionsrecht oder dem Recht eines Mitgliedstaats zur Verarbeitung verpflichtet; in diesem Fall teilt sie die rechtliche Anforderung vor der Verarbeitung mit, soweit das Recht dies nicht verbietet.

Weisungen ergehen in Textform. Mündliche Weisungen bestätigt der Verantwortliche unverzüglich in Textform. Hält die Auftragnehmerin eine Weisung für rechtswidrig, teilt sie dies unverzüglich mit und darf ihre Ausführung bis zur Klärung aussetzen.

§ 4 Pflichten der Auftragnehmerin

Sie verpflichtet alle Personen, die Zugang zu den Daten haben, zur Vertraulichkeit.

Sie trifft die technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO gemäß Anlage 1 und passt sie dem Stand der Technik an, ohne das Schutzniveau zu senken.

Sie unterstützt den Verantwortlichen mit angemessenen Maßnahmen bei der Erfüllung der Rechte betroffener Personen nach Art. 12 bis 23 DSGVO. Wendet sich eine betroffene Person unmittelbar an die Auftragnehmerin, leitet sie das Anliegen unverzüglich an den Verantwortlichen weiter und beantwortet es nicht selbst.

Sie unterstützt den Verantwortlichen bei den Pflichten nach Art. 32 bis 36 DSGVO, soweit ihm die erforderlichen Informationen nicht anderweitig zugänglich sind.

Sie meldet Verletzungen des Schutzes personenbezogener Daten unverzüglich, in der Regel innerhalb von 48 Stunden nach Kenntnis, mit den Angaben nach Art. 33 Abs. 3 DSGVO, soweit bekannt.

Sie führt ein Verzeichnis der Verarbeitungstätigkeiten nach Art. 30 Abs. 2 DSGVO.

Unterstützungsleistungen, die über den gesetzlichen Umfang hinausgehen oder durch Umstände im Verantwortungsbereich des Verantwortlichen veranlasst sind, vergütet dieser nach Aufwand zum vereinbarten Stundensatz ⟨Stundensatz⟩; die Auftragnehmerin kündigt dies vorher an.

§ 5 Unterauftragsverarbeiter

Der Verantwortliche erteilt eine allgemeine Genehmigung zur Hinzuziehung von Unterauftragsverarbeitern und genehmigt die folgenden:

Über beabsichtigte Änderungen informiert die Auftragnehmerin den Verantwortlichen mindestens vier Wochen vorher in Textform. Der Verantwortliche kann aus wichtigem datenschutzrechtlichem Grund widersprechen. Widerspricht er, kann die Auftragnehmerin den Vertrag hinsichtlich der betroffenen Leistung mit einer Frist von einem Monat kündigen.

Die Auftragnehmerin verpflichtet Unterauftragsverarbeiter vertraglich auf dieselben Datenschutzpflichten und haftet dem Verantwortlichen für deren Einhaltung.

Nicht als Unterauftragsverarbeitung gelten Telekommunikations-, Post-, Transport- und Reinigungsleistungen sowie sonstige Nebenleistungen ohne Bezug zur Verarbeitung der Daten.

Wetteranzeige. Der Server ruft die Wetterangaben des Tagesberichts bei Open-Meteo ab und übermittelt dabei ausschließlich die Koordinaten der Baustelle, keine personenbezogenen Daten; das Ergebnis wird eine Stunde zwischengespeichert. Im Serverbetrieb ruft der Browser des Benutzers den Dienst nicht unmittelbar auf, der Dienst erhält daher keine IP-Adressen der Benutzer.

§ 6 Kontrollrechte

Der Verantwortliche kann sich von der Einhaltung dieses Vertrags überzeugen. Er kündigt Kontrollen mindestens zwei Wochen vorher an und führt sie während der üblichen Geschäftszeiten ohne Störung des Betriebsablaufs durch, in der Regel einmal je Kalenderjahr sowie bei konkretem Anlass.

Die Auftragnehmerin stellt die erforderlichen Informationen und Nachweise bereit, insbesondere zu den Maßnahmen nach Anlage 1 sowie Nachweise ihrer Unterauftragsverarbeiter, soweit ihr diese vorliegen.

Für den Aufwand einer Kontrolle, die über eine Auskunft in Textform hinausgeht, kann die Auftragnehmerin eine Vergütung nach Aufwand verlangen.

§ 7 Löschung und Rückgabe

Nach Ende der Leistungen gibt die Auftragnehmerin die Daten nach Wahl des Verantwortlichen als Datenexport heraus oder löscht sie, spätestens 30 Tage nach Vertragsende, soweit keine gesetzliche Aufbewahrungspflicht besteht.

Datensicherungen werden mit Ablauf ihrer Aufbewahrungsfrist von 120 Tagen gelöscht. Bis dahin sind sie gegen Wiederherstellung gesperrt und werden nur zur Erfüllung dieser Löschpflicht weiter gespeichert.

Gelöschte Einträge in der Anwendung bleiben bis zu 120 Tage im Archiv und werden danach endgültig gelöscht.

§ 8 Haftung und Schlussbestimmungen

Für die Haftung gilt Art. 82 DSGVO. Im Innenverhältnis haftet jede Partei für den Teil des Schadens, den sie verursacht hat; Art. 82 Abs. 5 DSGVO bleibt unberührt.

Im Übrigen gelten die Regelungen des Nutzungsvertrags, insbesondere dessen Haftungsbestimmungen. Bei Widersprüchen geht dieser Vertrag den Datenschutzregelungen des Nutzungsvertrags vor.

Änderungen bedürfen der Textform. Es gilt deutsches Recht. Sollte eine Bestimmung unwirksam sein, bleibt die Wirksamkeit der übrigen unberührt.

Anlage 1: Technische und organisatorische Maßnahmen nach Art. 32 DSGVO

Die Maßnahmen beschreiben den Stand der Version 1.6.3 der Anwendung vom 21.10.2026. Die ausführliche Version dieser Anlage liegt als eigenes Dokument vor; bei Abweichungen gilt das ausführliche Dokument.

Den Vertrag zur Unterzeichnung stellen wir auf Anfrage als Dokument zur Verfügung: kontakt@feldkontor.com