Losblick · Rechtliches

Auftragsverarbeitung

Prüffassung 2026-10-23-avv-draft-v1. Dieser Entwurf dokumentiert noch keinen abgeschlossenen Vertrag.

Losblick verarbeitet Kontodaten zur eigenen Vertragsabwicklung. Für personenbezogene Daten, die du in privaten Notizen für deinen Betrieb hinterlegst, kann eine Vereinbarung zur Auftragsverarbeitung erforderlich sein. Dafür ist die folgende Vereinbarung vorbereitet. Auftragnehmer ist Assad Dar, Am Brückensteg 33, 41065 Mönchengladbach, Deutschland; Kontakt: hello@assad-dar.de. Auftraggeber ist der Betrieb, der die Vereinbarung vor einer entsprechenden Nutzung mit dem Betreiber abschließt.

Bis zur abgestimmten Einbeziehung dieser Vereinbarung sollen keine realen Kunden- oder Beschäftigtendaten in Notizen hinterlegt werden. Gesundheitsdaten, andere besondere Kategorien personenbezogener Daten und umfangreiche Personallisten sind für diesen Pilot nicht vorgesehen.

1. Gegenstand, Dauer und Daten

Gegenstand ist die weisungsgebundene Speicherung, Anzeige, Bearbeitung, Ausgabe, Sicherung und Löschung personenbezogener Daten in privaten Mappennotizen und sonstigen durch den Auftraggeber eingegebenen Arbeitsinhalten. Die Verarbeitung dauert bis zum Ende der Nutzung und der vereinbarten Rückgabe oder Löschung. Betroffen sein können geschäftliche Ansprechpartner des Auftraggebers, seiner Kunden, Auftraggeber oder Beschäftigten. Verarbeitet werden nur die vom Auftraggeber eingegebenen Namen, geschäftlichen Kontaktdaten und auftragsbezogenen Angaben. Eigenständige Kontoverwaltung, Sicherheit und Vertragsabwicklung des Betreibers sind davon getrennt.

2. Weisungen und Vertraulichkeit

Der Auftraggeber bleibt für Zwecke, Rechtsgrundlagen und die Zulässigkeit seiner Inhalte verantwortlich. Der Auftragnehmer verarbeitet diese Inhalte nur auf dokumentierte Weisung im Rahmen des Dienstes, außer eine gesetzliche Pflicht verlangt etwas anderes. Er informiert über eine solche Pflicht, soweit zulässig, und weist auf aus seiner Sicht rechtswidrige Weisungen hin. Zur Verarbeitung berechtigte Personen sind zur Vertraulichkeit zu verpflichten. Fernzugriff, Wartung oder Unterstützung dürfen nicht zu einer eigenen Verwendung von Kundeninhalten führen.

3. Technische und organisatorische Maßnahmen

Vorgesehen sind HTTPS beim öffentlichen Zugriff, gesalzene Passwort-Hashes, zufällige Sitzungs- und Bestätigungscodes mit serverseitiger Hashspeicherung, Berechtigungsprüfung pro Konto, Eingabeprüfung und Begrenzung von Anmeldeversuchen. Datenbank und Konfiguration sind über Betriebssystemrechte geschützt; der Anwendungscontainer läuft ohne Rootrechte und ohne zusätzliche Linux-Capabilities. Sicherungen werden getrennt von der laufenden Datenbank erstellt und auf Lesbarkeit geprüft. Eine Verschlüsselung sämtlicher Daten auf dem Server oder ein eingerichtetes externes Backup wird damit nicht zugesagt. Der endgültige Maßnahmenstand ist vor Vertragsabschluss mit der tatsächlich freigegebenen Installation abzugleichen.

4. Unterauftragnehmer und Übermittlungen

Für die Speicherung der Arbeitsinhalte ist Hetzner Online GmbH, Industriestraße 25, 91710 Gunzenhausen, Deutschland, vorgesehen. Private Notizen werden nicht an Resend gesendet. Sollte ein weiterer Unterauftragnehmer Zugang zu diesen Auftragsdaten erhalten, informiert der Auftragnehmer vor dessen Einsatz über Identität, Aufgabe und Verarbeitungsort. Der Auftraggeber erhält Gelegenheit zu einem begründeten datenschutzrechtlichen Einwand; ungelöste Einwände sind vor Einsatz zu klären. Es sind entsprechende Pflichten nach Art. 28 Abs. 4 DSGVO weiterzugeben. Übermittlungen in Drittländer erfordern zusätzlich die jeweils geltenden Voraussetzungen aus Kapitel V DSGVO.

5. Unterstützung und Vorfälle

Der Auftragnehmer unterstützt im angemessenen Umfang bei Betroffenenanfragen, Sicherheitsmaßnahmen, Datenschutz-Folgenabschätzungen und Anfragen der Aufsichtsbehörden. Er leitet Anfragen zu Auftragsdaten an den Auftraggeber weiter. Bei einer festgestellten Verletzung des Schutzes personenbezogener Auftragsdaten informiert er den Auftraggeber unverzüglich und liefert verfügbare Angaben zu Art, Umfang, möglichen Folgen und Gegenmaßnahmen; fehlende Informationen werden nachgereicht.

6. Nachweise, Kontrolle und Löschung

Der Auftragnehmer stellt notwendige Informationen zur Einhaltung dieser Vereinbarung bereit und ermöglicht angemessene Kontrollen im Rahmen von Art. 28 Abs. 3 lit. h DSGVO. Schutz anderer Kunden und die Sicherheit des Systems bleiben zu berücksichtigen. Zum Ende der Verarbeitung werden die Auftragsdaten nach Wahl des Auftraggebers in der verfügbaren Exportform zurückgegeben oder gelöscht, soweit keine gesetzliche Aufbewahrungspflicht entgegensteht. Operative Kontodaten werden bei Kontolöschung entfernt; Sicherungskopien sind spätestens nach dem vorgesehenen vierzehntägigen Sicherungszyklus zu bereinigen. Für den Fall einer Wiederherstellung sind frühere Löschungen erneut zu berücksichtigen.

7. Abschluss und Änderungen

Vor Nutzung mit personenbezogenen Daten werden die genaue Vertragsfassung, die einbezogenen Maßnahmen und Unterauftragnehmer sowie die Vertragsparteien in Textform festgehalten. Der öffentliche Entwurf allein ersetzt diesen Abschluss nicht. Änderungen sind zu dokumentieren. Die gesetzlichen Anforderungen aus Art. 28 DSGVO bleiben maßgeblich.

Kontakt: hello@assad-dar.de