Vertrag zur Auftragsverarbeitung
Nach Art. 28 DSGVO · Fassung 2026-08-09
§ 1 Gegenstand und Dauer
Gegenstand ist die Verarbeitung personenbezogener Daten, die im Betrieb des internen Meldesystems nach dem HinSchG anfallen. Die Verarbeitung dauert so lange, wie der Nutzungsvertrag besteht, zuzüglich der gesetzlichen Aufbewahrungsfristen für eingegangene Meldungen.
§ 2 Art und Zweck der Verarbeitung
Entgegennahme, Speicherung, Anzeige und fristgerechte Bearbeitung von Meldungen; Führung eines manipulationsgeschützten Vorgangsprotokolls; Kommunikation zwischen meldender Person und Meldestelle über einen anonymitätswahrenden Rückkanal; Erinnerung an gesetzliche Fristen; Löschung nach Ablauf der Aufbewahrungsfrist.
§ 3 Art der Daten und Kategorien betroffener Personen
- Arten von Daten
- Inhalte von Meldungen und Rückfragen; freiwillige Angaben zur Person der meldenden Person; Namen und geschäftliche Kontaktdaten bearbeitender Personen; Zeitstempel und Vorgangsprotokolle; hochgeladene Anhänge. Meldeinhalte können besondere Kategorien personenbezogener Daten im Sinne des Art. 9 DSGVO enthalten — der Kunde hat auf ihre Verarbeitung keinen Einfluss, da die meldende Person den Inhalt bestimmt.
- Kategorien betroffener Personen
- Meldende Personen; von einer Meldung betroffene Personen; bearbeitende Personen und Vertragsverwaltung des Kunden.
§ 4 Weisungsrecht
Der Auftragsverarbeiter verarbeitet die Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen. Als Weisung gilt auch die Nutzung der im System vorgesehenen Einstellungen. Weisungen sind in Textform zu erteilen.
Der Auftragsverarbeiter informiert den Verantwortlichen unverzüglich, wenn er der Auffassung ist, dass eine Weisung gegen datenschutzrechtliche Vorschriften verstößt. Er ist berechtigt, die Ausführung einer solchen Weisung auszusetzen.
§ 5 Vertraulichkeit
Der Auftragsverarbeiter setzt zur Verarbeitung nur Personen ein, die zur Vertraulichkeit verpflichtet sind. Der Zugriff des Auftragsverarbeiters auf Meldeinhalte ist technisch beschränkt: Konten des Anbieters können keine Falleinsicht erhalten; Meldeinhalte sind zusätzlich feldverschlüsselt.
§ 6 Technische und organisatorische Maßnahmen
Der Auftragsverarbeiter unterhält insbesondere die folgenden Maßnahmen nach Art. 32 DSGVO:
- Ausschließlich verschlüsselte Übertragung (TLS), HSTS.
- Feldverschlüsselung der Meldeinhalte; Verschlüsselung auf Tabellenebene.
- Pflicht zum zweiten Faktor für jedes Konto mit Falleinsicht.
- Mandantentrennung auf Datenbankebene, technisch erzwungen und automatisiert geprüft.
- Manipulationsgeschütztes Vorgangsprotokoll: Hash-Kette, Datenbank-Trigger gegen Änderung und Löschung, entzogene Schreibrechte des Anwendungsnutzers.
- Keine Protokollierung von IP-Adressen auf der Meldestrecke; keine Einbindung fremder Dienste oder Schriften.
- Verschlüsselte, tägliche Sicherung mit nächtlicher Wiederherstellungsprobe und 30 Tagen Vorhaltung.
- Automatische Löschung nach Ablauf der Aufbewahrungsfrist, mit Löschprotokoll ohne Meldeinhalte.
Der Auftragsverarbeiter darf die Maßnahmen weiterentwickeln, solange das Schutzniveau nicht unterschritten wird.
§ 7 Unterauftragnehmer
Der Verantwortliche stimmt dem Einsatz der folgenden Unterauftragnehmer zu:
- Hetzner Online GmbH, Gunzenhausen (Deutschland)
- Betrieb der Server und Speicherung der verschlüsselten Sicherungen. Verarbeitung ausschließlich innerhalb der Europäischen Union.
- Microsoft Ireland Operations Ltd. (Irland)
- Versand von System-E-Mails (Fristerinnerungen, Einladungen, Registrierungsbestätigungen) über einen Mailrelay. Diese Mails enthalten keine Meldeinhalte.
Einen Wechsel oder die Aufnahme weiterer Unterauftragnehmer teilt der Auftragsverarbeiter mindestens vier Wochen vorher in Textform mit. Der Verantwortliche kann innerhalb dieser Frist widersprechen; im Fall des Widerspruchs kann er den Vertrag außerordentlich kündigen.
§ 8 Unterstützung des Verantwortlichen
Der Auftragsverarbeiter unterstützt den Verantwortlichen bei der Beantwortung von Anträgen betroffener Personen, bei Datenschutz-Folgenabschätzungen und bei der Meldung von Verletzungen des Schutzes personenbezogener Daten. Er meldet ihm eine solche Verletzung unverzüglich, spätestens innerhalb von 24 Stunden nach Kenntnis.
Der Auftragsverarbeiter beantwortet Anträge betroffener Personen nicht selbst, sondern leitet sie an den Verantwortlichen weiter — es sei denn, er ist dazu gesetzlich verpflichtet.
§ 9 Löschung und Rückgabe
Nach Ende des Nutzungsvertrages löscht der Auftragsverarbeiter die Daten nach Ablauf der gesetzlichen Aufbewahrungsfristen. Auf Wunsch stellt er dem Verantwortlichen vorher einen Export bereit. Sicherungen laufen nach spätestens 30 Tagen aus und werden nicht gesondert bereinigt; bis dahin bleiben sie verschlüsselt.
§ 10 Nachweise und Kontrollen
Der Auftragsverarbeiter weist die Einhaltung der Pflichten aus diesem Vertrag auf Anfrage in Textform nach. Der Verantwortliche kann Kontrollen nach vorheriger Ankündigung mit angemessener Frist während der üblichen Geschäftszeiten durchführen oder durch einen zur Verschwiegenheit verpflichteten Prüfer durchführen lassen. Kontrollen dürfen den Betrieb nicht unangemessen beeinträchtigen und keine Meldeinhalte offenlegen.
§ 11 Schlussbestimmungen
Im Fall von Widersprüchen zwischen diesem Vertrag und den Allgemeinen Geschäftsbedingungen gehen die Regelungen dieses Vertrages vor. Es gilt das Recht der Bundesrepublik Deutschland.