Auftragsverarbeitungsvertrag
Fassung 1.0, Stand: 3. September 2026
Dieser Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO gilt zwischen dem Kunden (nachfolgend „Verantwortlicher") und der Bonus Service BS GmbH, Dorotheenstr. 5, 45130 Essen (nachfolgend „Auftragsverarbeiter").
Er gilt automatisch mit dem Nutzungsvertrag und muss nicht gesondert angefordert werden. Die elektronische Form ist nach Art. 28 Abs. 9 DSGVO zulässig. Er ist Bestandteil der Allgemeinen Geschäftsbedingungen (§ 7).
§ 1 Gegenstand und Dauer
(1) Gegenstand ist die Verarbeitung personenbezogener Daten durch den Auftragsverarbeiter im Rahmen des Dienstes D2D-Gebietsplaner.
(2) Die Dauer entspricht der Laufzeit des Nutzungsvertrags.
§ 2 Art, Zweck und Umfang der Verarbeitung
(1) Der Umfang ist bewusst eng. Der Dienst verarbeitet ganz überwiegend Straßen- und Hausnummerndaten aus OpenStreetMap. Diese sind öffentlich zugänglich und weisen keinen Bezug zu Personen des Verantwortlichen auf; sie sind nicht Gegenstand dieses Vertrags.
(2) Personenbezogene Daten im Auftrag verarbeitet der Auftragsverarbeiter nur, soweit der Verantwortliche sie eingibt. Das betrifft:
| Datenart | Herkunft | Zweck | |---|---|---| | Name der oder des zugewiesenen Mitarbeitenden | Eingabe des Verantwortlichen | Zuordnung eines Gebiets zu einer Person | | Zeitraum der Zuweisung (Von- und Bis-Datum) | Eingabe des Verantwortlichen | Nachvollziehbarkeit, wer wann zuständig war | | Freitext-Notiz zur Zuweisung | Eingabe des Verantwortlichen | Vom Verantwortlichen bestimmt |
(3) Zum Freitextfeld: Der Auftragsverarbeiter macht keine inhaltlichen Vorgaben und wertet das Feld nicht aus. Der Verantwortliche stellt sicher, dass dort keine besonderen Kategorien personenbezogener Daten nach Art. 9 DSGVO eingetragen werden. Für solche Daten ist der Dienst nicht ausgelegt.
(4) Kategorien betroffener Personen: Beschäftigte des Verantwortlichen, in der Regel im Außendienst.
(5) Nicht Gegenstand dieses Vertrags sind die Stammdaten der Benutzerkonten des Verantwortlichen (Name, E-Mail-Adresse) sowie Server-Protokolldaten. Diese verarbeitet der Auftragsverarbeiter als eigener Verantwortlicher; siehe Datenschutzerklärung.
§ 3 Weisungen
(1) Der Auftragsverarbeiter verarbeitet die Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen. Die Nutzung des Dienstes gemäß seiner Funktionen gilt als Weisung.
(2) Hält der Auftragsverarbeiter eine Weisung für rechtswidrig, teilt er dies mit und darf ihre Ausführung aussetzen.
(3) Vom Verantwortlichen erteilte Dauerweisung: Der Verantwortliche weist den Auftragsverarbeiter an, die Daten nach den im Produkt festgelegten Abläufen zu verarbeiten und zu löschen — insbesondere die Löschung aller zugehörigen Zuweisungen bei Löschung eines Gebiets sowie die Löschung aller Daten bei Löschung des Kontos. Diese Abläufe sind im Produkt fest hinterlegt und für den Verantwortlichen nicht einzeln konfigurierbar.
§ 4 Vertraulichkeit
Der Auftragsverarbeiter setzt zur Verarbeitung nur Personen ein, die zur Vertraulichkeit verpflichtet oder einer gesetzlichen Verschwiegenheitspflicht unterworfen sind. Die Verpflichtung gilt über das Ende der Tätigkeit hinaus.
§ 5 Technische und organisatorische Maßnahmen (Art. 32 DSGVO)
(1) Der Auftragsverarbeiter unterhält folgende Maßnahmen:
- Übertragungsverschlüsselung: ausschließlich TLS; die Anwendung ist nur über HTTPS erreichbar.
- Zugangskontrolle: persönliche Benutzerkonten, Anmeldung über Passwort, Magic Link oder Passkey; optional Zwei-Faktor-Authentisierung.
- Zugriffskontrolle und Mandantentrennung: Jeder Datenzugriff ist an die Organisation des Kunden gebunden und wird serverseitig bei jedem Aufruf geprüft. Ein Zugriff auf Daten anderer Kunden ist dadurch ausgeschlossen.
- Serverstandort: Deutschland (Hetzner Online GmbH, Nürnberg); die Datenbank ist ausschließlich über ein internes Netz erreichbar und nicht öffentlich zugänglich.
- Absicherung der Anwendung: Content-Security-Policy, Begrenzung der Anfragen je Nutzer, strikte Prüfung gespeicherter Inhalte.
- Trennung der Umgebungen: getrennte Datenbanken für Betrieb und Entwicklung.
(2) Offengelegte Grenzen — der Auftragsverarbeiter sichert Folgendes ausdrücklich nicht zu:
- Die Daten werden in der Datenbank nicht zusätzlich inhaltsverschlüsselt abgelegt; der Schutz beruht auf Zugangs- und Zugriffskontrolle sowie auf der Absicherung des Servers.
- Es werden keine regelmäßigen Penetrationstests durch Dritte durchgeführt.
- Ein Rollenmodell innerhalb der Organisation des Kunden besteht derzeit nicht: Jedes Mitglied einer Organisation kann deren Gebiete und Zuweisungen einsehen, ändern und löschen. Der Verantwortliche berücksichtigt dies bei der Auswahl der Personen, denen er Zugang gewährt.
(3) Der Auftragsverarbeiter darf die Maßnahmen fortentwickeln, solange das Schutzniveau nicht unterschritten wird.
§ 6 Unterauftragsverarbeiter
(1) Der Verantwortliche genehmigt den Einsatz folgender Unterauftragsverarbeiter:
| Unternehmen | Anschrift | Leistung | Ort der Verarbeitung | |---|---|---|---| | Hetzner Online GmbH | Industriestr. 25, 91710 Gunzenhausen | Server, Datenbank, Objektspeicher | Deutschland | | Neue Medien Münnich (ALL-INKL.com) | Hauptstraße 68, 02742 Friedersdorf | Versand transaktionaler E-Mails | Deutschland |
(2) Mit allen genannten Unterauftragsverarbeitern bestehen Verträge nach Art. 28 DSGVO. Alle verarbeiten ausschließlich innerhalb der Europäischen Union.
(3) Ein Wechsel oder die Aufnahme weiterer Unterauftragsverarbeiter wird dem Verantwortlichen mindestens 30 Tage vorher in Textform mitgeteilt. Er kann innerhalb dieser Frist aus wichtigem datenschutzrechtlichen Grund widersprechen; in diesem Fall kann jede Partei den Nutzungsvertrag außerordentlich kündigen.
(4) Nicht Unterauftragsverarbeiter ist die OpenStreetMap Foundation. An sie werden bei Abfragen ausschließlich Postleitzahlen übermittelt, keine personenbezogenen Daten des Verantwortlichen.
§ 7 Unterstützung bei Betroffenenrechten
(1) Wendet sich eine betroffene Person unmittelbar an den Auftragsverarbeiter, leitet dieser das Anliegen unverzüglich an den Verantwortlichen weiter und beantwortet es nicht selbst.
(2) Der Auftragsverarbeiter unterstützt den Verantwortlichen mit geeigneten Maßnahmen bei der Erfüllung von Auskunfts-, Berichtigungs-, Löschungs- und Einschränkungsverlangen. Die Daten sind über die Oberfläche des Dienstes für den Verantwortlichen einsehbar, änderbar und löschbar.
§ 8 Unterstützung nach Art. 32 bis 36 DSGVO, Meldung von Verletzungen
(1) Der Auftragsverarbeiter unterrichtet den Verantwortlichen unverzüglich, spätestens innerhalb von 24 Stunden nach Kenntnis über eine Verletzung des Schutzes personenbezogener Daten. Die Frist ist so bemessen, dass der Verantwortliche seine eigene Frist von 72 Stunden nach Art. 33 Abs. 1 DSGVO wahren kann.
(2) Die Meldung enthält, soweit bekannt: Art der Verletzung, betroffene Datenarten und -kategorien, ungefähre Zahl der Betroffenen, wahrscheinliche Folgen sowie ergriffene Maßnahmen.
(3) Der Auftragsverarbeiter unterstützt den Verantwortlichen bei einer Datenschutz-Folgenabschätzung nach Art. 35 DSGVO und einer Konsultation nach Art. 36 DSGVO.
§ 9 Löschung und Rückgabe
(1) Der Verantwortliche kann seine Daten während der Vertragslaufzeit jederzeit selbst als CSV-Datei exportieren.
(2) Nach Beendigung des Nutzungsvertrags löscht der Auftragsverarbeiter die im Auftrag verarbeiteten Daten. Der Verantwortliche wählt die Rückgabe durch Export vor Vertragsende.
(3) Gesetzliche Aufbewahrungspflichten bleiben unberührt; für die im Auftrag verarbeiteten Zuweisungsdaten bestehen solche nach Kenntnis des Auftragsverarbeiters nicht.
§ 10 Nachweise und Kontrollen
(1) Der Auftragsverarbeiter stellt dem Verantwortlichen auf Anfrage die zum Nachweis der Einhaltung erforderlichen Informationen zur Verfügung.
(2) Der Verantwortliche kann Kontrollen durchführen oder durch einen zur Verschwiegenheit verpflichteten Prüfer durchführen lassen. Kontrollen erfolgen nach Ankündigung mit angemessener Frist, während der üblichen Geschäftszeiten und ohne vermeidbare Betriebsstörung.
§ 11 Haftung
Für die Haftung gelten Art. 82 DSGVO sowie ergänzend die Regelungen des Nutzungsvertrags.
§ 12 Schlussbestimmungen
(1) Änderungen bedürfen der Textform.
(2) Bei Widersprüchen zwischen diesem Vertrag und den AGB geht dieser Vertrag hinsichtlich der Auftragsverarbeitung vor.
(3) Ist eine Bestimmung unwirksam, bleibt die Wirksamkeit der übrigen unberührt.