Vertrag zur Auftragsverarbeitung

Verantwortlicher im Sinne des Art. 4 Nr. 7 DSGVO ist der Betrieb, der Keyverio nutzt – vertreten durch die Person, die diesen Vertrag in der Anwendung schließt.

Auftragsverarbeiter im Sinne des Art. 4 Nr. 8 DSGVO ist:

Anfragen zum Datenschutz: post@keyverio.de

Der Auftragsverarbeiter stellt dem Verantwortlichen die Anwendung Keyverio zur Verwaltung physischer Schlüssel bereit und verarbeitet dabei personenbezogene Daten in dessen Auftrag. Einzelheiten zu Gegenstand, Art, Zweck, Datenarten und betroffenen Personen regelt Anlage 1.

Dieser Vertrag konkretisiert die datenschutzrechtlichen Pflichten aus dem zugrunde liegenden Nutzungsvertrag (AGB). Er beginnt mit seiner Bestätigung in der Anwendung und endet mit dem Nutzungsvertrag, unabhängig davon, wodurch dieser endet.

Nicht Gegenstand dieses Vertrags sind Verarbeitungen, für die der Auftragsverarbeiter selbst verantwortlich ist – insbesondere die Konten der angemeldeten Personen, die Abrechnung und der Betrieb seiner eigenen Systeme. Die Abgrenzung beschreiben die Datenschutzhinweise.

Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen. Als solche Weisung gilt die Nutzung der Anwendung im vertraglich vorgesehenen Umfang; darüber hinausgehende Weisungen sind in Textform an die oben genannte Anschrift zu richten.

Eine Verarbeitung zu eigenen Zwecken findet nicht statt. Die Daten werden insbesondere nicht ausgewertet, nicht zu Werbezwecken genutzt, nicht an Dritte verkauft und nicht zum Trainieren von Modellen verwendet.

Hält der Auftragsverarbeiter eine Weisung für rechtswidrig, teilt er dies unverzüglich mit und darf ihre Ausführung bis zur Bestätigung durch den Verantwortlichen aussetzen.

Ist der Auftragsverarbeiter nach dem Recht der Union oder eines Mitgliedstaats zur Verarbeitung verpflichtet, unterrichtet er den Verantwortlichen vorab, sofern das Recht dies nicht wegen eines wichtigen öffentlichen Interesses verbietet.

• Er verpflichtet alle Personen, die Zugang zu den Daten haben, auf Vertraulichkeit, soweit sie nicht bereits einer gesetzlichen Verschwiegenheitspflicht unterliegen.
• Er trifft die technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO, die in Anlage 2 beschrieben sind, und hält sie während der Vertragslaufzeit aufrecht.
• Er unterstützt den Verantwortlichen bei der Erfüllung von Anträgen betroffener Personen (§ 5) und bei seinen Pflichten aus Art. 32 bis 36 DSGVO.
• Er meldet Verletzungen des Schutzes personenbezogener Daten nach § 6.
• Er verarbeitet die Daten nur innerhalb der Europäischen Union oder des Europäischen Wirtschaftsraums, soweit Anlage 3 nichts anderes ausweist.
• Er stellt dem Verantwortlichen die Informationen zur Verfügung, die für den Nachweis der Einhaltung dieses Vertrags erforderlich sind (§ 7).

Der Verantwortliche erteilt die allgemeine Genehmigung im Sinne des Art. 28 Abs. 2 Satz 2 DSGVO für die in Anlage 3 genannten Unterauftragsverarbeiter.

Beabsichtigt der Auftragsverarbeiter, einen weiteren Unterauftragsverarbeiter hinzuzuziehen oder einen bestehenden zu ersetzen, teilt er dies mindestens vier Wochen vorher in Textform mit. Der Verantwortliche kann innerhalb von zwei Wochen nach Zugang der Mitteilung aus einem wichtigen datenschutzrechtlichen Grund widersprechen. Widerspricht er, kann jede Partei den Nutzungsvertrag zum vorgesehenen Wechselzeitpunkt kündigen.

Der Auftragsverarbeiter erlegt jedem Unterauftragsverarbeiter dieselben Datenschutzpflichten auf, die ihn selbst aus diesem Vertrag treffen, und bleibt dem Verantwortlichen gegenüber für deren Einhaltung verantwortlich.

Keine Unterauftragsverarbeitung sind Nebenleistungen ohne Bezug zu den Daten des Verantwortlichen, etwa Telekommunikationsleistungen oder Reinigungsdienste.

Betroffene Personen wenden sich mit Auskunfts-, Berichtigungs-, Löschungs- und Widerspruchsbegehren an den Verantwortlichen. Wendet sich eine betroffene Person an den Auftragsverarbeiter, leitet dieser das Anliegen unverzüglich weiter und wird nicht selbst tätig.

Der Auftragsverarbeiter unterstützt den Verantwortlichen bei der Beantwortung solcher Anträge, soweit dies mit angemessenem Aufwand möglich ist. Für die Auskunft und die Datenübertragbarkeit steht der Gesamtexport zur Verfügung: Die Inhaberin oder der Inhaber lädt den vollständigen Datenbestand des Betriebs jederzeit selbst als maschinenlesbare JSON-Datei herunter, einschließlich der archivierten Datensätze und des Ereignisprotokolls.

Wird dem Auftragsverarbeiter eine Verletzung des Schutzes personenbezogener Daten des Verantwortlichen bekannt, meldet er sie diesem unverzüglich, in der Regel innerhalb von 24 Stunden nach Kenntnis, in Textform an die im Betrieb hinterlegte Adresse der Inhaberin oder des Inhabers.

Die Meldung beschreibt, soweit bekannt, die Art der Verletzung, die betroffenen Kategorien und die ungefähre Zahl der betroffenen Personen und Datensätze, die wahrscheinlichen Folgen sowie die ergriffenen oder vorgeschlagenen Maßnahmen. Fehlende Angaben werden unverzüglich nachgereicht.

Die Meldung an die Aufsichtsbehörde nach Art. 33 DSGVO und die Benachrichtigung betroffener Personen nach Art. 34 DSGVO obliegen dem Verantwortlichen.

Der Auftragsverarbeiter weist die Einhaltung der Maßnahmen aus Anlage 2 auf Anfrage in Textform nach. Der Verantwortliche kann sich – auch durch beauftragte Prüfer – von der Einhaltung überzeugen; Prüfungen sind mit angemessener Vorlaufzeit, während der üblichen Geschäftszeiten und ohne Störung des Betriebsablaufs durchzuführen.

Prüfungen vor Ort beschränken sich auf die Räume und Systeme des Auftragsverarbeiters. Räume und Systeme der Unterauftragsverarbeiter sind nicht Gegenstand; insoweit legt der Auftragsverarbeiter deren Nachweise vor, soweit sie ihm vorliegen.

Nach Beendigung des Nutzungsvertrags gibt der Auftragsverarbeiter die Daten zurück oder löscht sie – nach Wahl des Verantwortlichen. Die Rückgabe erfolgt über den Gesamtexport, den der Verantwortliche jederzeit selbst auslösen kann.

Der Verantwortliche wird gebeten, den Export vor der Löschung anzufordern. Nach der Löschung ist eine Wiederherstellung nicht mehr möglich; über den Zeitpunkt der Löschung wird der Verantwortliche vorab informiert.

Unberührt bleiben gesetzliche Aufbewahrungspflichten, insbesondere handels- und steuerrechtliche Pflichten hinsichtlich der Rechnungen. Solche Daten werden für die Dauer der Aufbewahrungsfrist gesperrt und nicht weiter verarbeitet.

Für die Haftung gilt Art. 82 DSGVO; im Verhältnis der Parteien zueinander gelten ergänzend die Regelungen des Nutzungsvertrags.

Der Abschluss dieses Vertrags in der Anwendung erfüllt das Formerfordernis des Art. 28 Abs. 9 DSGVO in elektronischer Form. Änderungen und Ergänzungen bedürfen der Textform.

Bei Widersprüchen zwischen diesem Vertrag und dem Nutzungsvertrag geht dieser Vertrag in datenschutzrechtlichen Fragen vor. Sollte eine Bestimmung unwirksam sein, bleibt der übrige Vertrag wirksam.

Es gilt das Recht der Bundesrepublik Deutschland.

Zweck: Verwaltung und Nachweis der Ausgabe und Rücknahme physischer Schlüssel für Objekte, die der Verantwortliche betreut.

Art der Verarbeitung: Erheben, Speichern, Ordnen, Auslesen, Verwenden, Berichtigen, Exportieren, Archivieren und Löschen im Rahmen der Funktionen der Anwendung.

Kategorien betroffener Personen:

• Beschäftigte des Verantwortlichen, die als Benutzer der Anwendung angelegt sind
• Empfänger von Schlüsseln, etwa Mieter, Handwerker, Reinigungskräfte oder Hausmeister
• Ansprechpartner bei den Kunden des Verantwortlichen

Kategorien personenbezogener Daten:

• Stammdaten: Name und – soweit eingetragen – Firma, Kontaktperson, E-Mail-Adresse und Telefonnummer von Kunden und Empfängern
• Objektdaten: Bezeichnung und Anschrift der betreuten Objekte
• Schlüsseldaten: Inventarnummer, Bezeichnung, Art und interne Notiz
• Vorgangsdaten: Ausgaben und Rücknahmen mit Zeitpunkt, Rückgabefrist, beteiligtem Empfänger und handelnder Person
• Protokolldaten: Ereignisprotokoll darüber, wer wann welchen Datensatz angelegt, geändert oder archiviert hat – ohne den Inhalt der Änderung
• Zugangsdaten der Benutzer: Name, E-Mail-Adresse, Passwort-Hash und Sitzungen

Besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO sind nicht vorgesehen. Die Anwendung sieht für sie kein Feld vor; der Verantwortliche trägt dafür Sorge, dass solche Daten nicht in Freitextfelder eingegeben werden.

Dauer: für die Laufzeit des Nutzungsvertrags, danach nach § 8.

Die folgenden Maßnahmen sind in der Anwendung umgesetzt und am Quelltext nachvollziehbar.

Vertraulichkeit

• Zugangskontrolle: Anmeldung mit E-Mail-Adresse und Passwort, Mindestlänge zwölf Zeichen. Passwörter werden ausschließlich als Hash gespeichert, niemals im Klartext.
• Sitzungen laufen nach spätestens 30 Tagen ab; das Sitzungs-Cookie ist HttpOnly, SameSite=Lax und über HTTPS auf „secure“ gesetzt.
• Missbrauchsschutz: Anmeldung, Registrierung und Passwortzurücksetzung sind mengenmäßig begrenzt (Rate-Limiting).
• Zugriffskontrolle: drei Rollen (Inhaber, Verwaltung, Mitarbeit) mit serverseitig geprüften Rechten. Jede Prüfung findet auf dem Server statt; ein ausgeblendetes Bedienelement gilt nicht als Schutz.
• Mandantentrennung: Jede Abfrage ist an den Betrieb aus der geprüften Sitzung gebunden. Eine Betriebskennung aus Adresse, Formular oder Browser wird nicht übernommen.
• Die Codes auf Etiketten und NFC-Tags sind zufällig, austauschbar und in keinem Export enthalten; ein verlorenes Etikett wird durch Rotation unbrauchbar.

Integrität

• Weitergabekontrolle: Übertragung ausschließlich über HTTPS mit erzwungener Transportverschlüsselung (HSTS); die Verbindung zur Datenbank ist verschlüsselt.
• Die Anwendung lädt keine Inhalte von fremden Servern; die Content-Security-Policy erlaubt ausschließlich den eigenen Ursprung, Einbetten in fremde Seiten ist untersagt.
• Eingabekontrolle: Anlegen, Ändern und Archivieren von Datensätzen sowie jede Ausgabe und Rücknahme werden mit Zeitpunkt und handelnder Person protokolliert. Ausgaben und Rücknahmen entstehen gemeinsam mit ihrem Protokolleintrag in einer Transaktion.
• Fachdaten werden archiviert statt gelöscht, damit die Nachweiskette einer Schlüsselübergabe erhalten bleibt.

Verfügbarkeit und Belastbarkeit

• Betrieb auf verwalteter Infrastruktur mit regelmäßigen Sicherungen der Datenbank; Umfang und Aufbewahrungsdauer nennt der Auftragsverarbeiter auf Anfrage.
• Ein Health-Endpunkt prüft die Erreichbarkeit der Datenbank.
• Es gibt keinen Zwischenspeicher für Fachdaten im Browser und keine Warteschlange für offline versuchte Buchungen: Eine Ausgabe entsteht entweder auf dem Server oder gar nicht.

Datenminimierung und Trennung

• Keine Analyse, kein Tracking, keine Werbe-Cookies; gesetzt wird ausschließlich das technisch notwendige Sitzungs-Cookie.
• Zu Sitzungen wird keine IP-Adresse gespeichert.
• Serverprotokolle enthalten keine Passwörter, keine Sitzungs- oder Zugangstoken und keine Etikettencodes; E-Mail-Adressen erscheinen nur als nicht zurückrechenbare Prüfsumme.
• Das Ereignisprotokoll hält fest, was geschehen ist – nicht den Inhalt der Änderung. Felder, die einem Geheimnis ähneln, werden vor dem Schreiben ausgesondert.
• Kamerabilder des Scanners werden im Browser ausgewertet und nicht übertragen.

Überprüfung und Bewertung

• Automatisierte Tests prüfen bei jeder Änderung die Rollen- und Rechteprüfungen, die Mandantentrennung und die Grenzen des Ereignisprotokolls.
• Änderungen am Datenbestand erfolgen über versionierte Migrationen.

Änderungen an dieser Anlage werden nach § 4 mitgeteilt. Maßgeblich ist die Fassung, die der Verantwortliche bestätigt hat.