Vertrag zur Auftragsverarbeitung (Art. 28 DSGVO)
Zwischen dem Kunden („Verantwortlicher“) und Lucas Ayere, Schützenstraße 6, 97318 Kitzingen („Auftragsverarbeiter“). Er ergänzt den Nutzungsvertrag nach den AGB und gilt, solange dieser besteht.
1. Gegenstand, Art und Zweck
Der Auftragsverarbeiter betreibt für den Verantwortlichen den Dienst Passanker zur Erstellung und Veröffentlichung digitaler Batteriepässe. Dazu speichert er hochgeladene Unterlagen, liest Angaben automatisch aus, speichert Batteriedaten und Seriennummern und stellt veröffentlichte Pässe öffentlich bereit.
| Kategorie | Inhalt |
|---|---|
| Betroffene Personen | Mitarbeiter des Verantwortlichen mit Zugang zum Portal; Ansprechpartner des Verantwortlichen, seiner Lieferanten und Geschäftspartner, soweit sie in Unterlagen oder Passangaben genannt sind |
| Datenarten | Name, geschäftliche E-Mail-Adresse, Telefonnummer und Anschrift; Anmeldedaten; Protokoll, wer wann welche Angabe geändert hat; Inhalte hochgeladener Unterlagen |
| Besondere Kategorien (Art. 9 DSGVO) | keine vorgesehen; der Verantwortliche lädt solche Daten nicht hoch |
2. Weisungen
Der Auftragsverarbeiter verarbeitet die Daten nur auf dokumentierte Weisung des Verantwortlichen. Die Nutzung des Dienstes durch den Verantwortlichen gilt als Weisung. Hält der Auftragsverarbeiter eine Weisung für rechtswidrig, teilt er dies unverzüglich mit.
3. Pflichten des Auftragsverarbeiters
- Personen mit Zugriff auf die Daten sind zur Vertraulichkeit verpflichtet.
- Er trifft die technischen und organisatorischen Maßnahmen nach Anlage 1.
- Er unterstützt den Verantwortlichen bei Anfragen betroffener Personen, bei Meldungen von Datenschutzverletzungen und bei Datenschutz-Folgenabschätzungen.
- Er meldet Verletzungen des Schutzes personenbezogener Daten unverzüglich, möglichst innerhalb von 24 Stunden nach Kenntnis.
- Er greift auf Daten des Verantwortlichen nur zu, soweit es für Einrichtung, Support oder Fehlerbehebung nötig ist oder der Verantwortliche es wünscht. Änderungen werden dabei im Änderungsprotokoll erfasst.
- Er ermöglicht dem Verantwortlichen den Nachweis der Einhaltung dieser Pflichten, etwa durch Auskünfte und nach Absprache durch Überprüfungen.
4. Unterauftragsverarbeiter
Der Verantwortliche stimmt den Unterauftragsverarbeitern in Anlage 2 zu. Über neue oder geänderte Unterauftragsverarbeiter informiert der Auftragsverarbeiter mindestens 30 Tage vorher in Textform; der Verantwortliche kann aus wichtigem datenschutzrechtlichem Grund widersprechen.
5. Löschung und Rückgabe
Nach Vertragsende gibt der Auftragsverarbeiter die Daten auf Wunsch heraus und löscht sie danach innerhalb von 30 Tagen, soweit keine gesetzliche Pflicht zur Aufbewahrung besteht. Für veröffentlichte Batteriepässe gilt § 6 der AGB.
Anlage 1: Technische und organisatorische Maßnahmen (Art. 32 DSGVO)
| Bereich | Maßnahme |
|---|---|
| Ort | Datenbank, Dateien und Server-Funktionen im Rechenzentrum Frankfurt am Main |
| Trennung der Kunden | Jeder Datensatz ist einem Unternehmen zugeordnet. Die Datenbank lässt Zugriffe nur auf die Daten des eigenen Unternehmens zu (Row Level Security); das wird automatisch getestet. |
| Zugang | Anmeldung mit persönlichem Konto; Passwörter mit mindestens 10 Zeichen, nur verschlüsselt (gehasht) gespeichert; Abmelden beendet die Sitzung auf allen Geräten. |
| Übertragung | ausschließlich verschlüsselt (HTTPS) |
| Speicherung | Verschlüsselung der Datenträger durch den Hosting-Anbieter |
| Nachvollziehbarkeit | Änderungen an Angaben werden in einem Protokoll gespeichert, das nicht geändert oder gelöscht werden kann; veröffentlichte Pässe sind unveränderliche Versionen. |
| Schutz der Anwendung | Sicherheitsrichtlinien gegen das Einschleusen von Code (Content Security Policy); Prüfung aller Eingaben; geheime Schlüssel nur auf dem Server |
| Organisation | Zugriff auf Kundendaten nur durch Lucas Ayere; jährliche Überprüfung der Maßnahmen |
Anlage 2: Unterauftragsverarbeiter
| Unternehmen | Leistung | Ort der Verarbeitung |
|---|---|---|
| Supabase Inc. | Datenbank, Anmeldung, Dateispeicher | Frankfurt am Main |
| Vercel Inc. | Hosting der Web-App | Frankfurt am Main; weltweites Auslieferungsnetz |
| Anthropic PBC | automatische Erkennung von Angaben in Unterlagen | USA |
| Resend Inc. | Versand der System-E-Mails | Irland (EU) |
Übermittlungen in die USA erfolgen auf Grundlage des EU-US Data Privacy Framework, soweit der Anbieter zertifiziert ist, und im Übrigen auf Grundlage der EU-Standardvertragsklauseln.
Stand: 2. November 2026