Da FiberWorker personenbezogene Daten deiner Mitarbeiter (Namen, Termine, Arbeitszeiten) in deinem Auftrag verarbeitet, ist nach Art. 28 DSGVO ein Auftragsverarbeitungsvertrag erforderlich. Du akzeptierst ihn bei der Bestellung per Checkbox — eine Unterschrift ist nicht nötig, die Textform nach § 126b BGB genügt. Unmittelbar nach der Bestellung erhältst du eine auf deine Firma ausgestellte Kopie per E-Mail für deine Unterlagen. Der vollständige Vertragstext steht hier bereits vor der Bestellung zur Einsicht.
Verantwortlicher: die bestellende Kundenfirma mit den bei der Bestellung
angegebenen Firmendaten.
Auftragsverarbeiter: FiberNext, Einzelunternehmen, Inhaber Tobias
Mittelsdorf, Schulstr. 15, 99947 Bad Langensalza (info@fibernext.de, 01732455368).
(1) Gegenstand ist die Verarbeitung personenbezogener Daten durch den Auftragsverarbeiter im Auftrag des Verantwortlichen im Zusammenhang mit der Bereitstellung und dem Betrieb der Software FiberWorker (Termin-, Personal- und Einsatzplanung für Glasfaser-Ausbaufirmen). Hauptvertrag ist die über fiberworker.com abgeschlossene Bestellung des jeweiligen Nutzungspakets nebst den zu diesem Zeitpunkt geltenden Allgemeinen Geschäftsbedingungen; maßgeblich ist das Datum des Vertragsschlusses (Bestellbestätigung).
(2) Die Dauer dieses Vertrags entspricht der Laufzeit des Hauptvertrags.
Art der Verarbeitung: Erheben, Speichern, Verändern, Übermitteln (innerhalb der Anwendung) und Löschen personenbezogener Daten im Rahmen des Betriebs der Software.
Zweck: Personal- und Einsatzplanung, Termindisposition, Dokumentation erbrachter Leistungen (Aufmaß), Benutzerverwaltung.
Art der personenbezogenen Daten:
Kategorien betroffener Personen: Mitarbeiter/Beschäftigte des Verantwortlichen sowie ggf. Ansprechpartner bei Einsatzorten/Endkunden des Verantwortlichen.
Der Auftragsverarbeiter setzt die technischen und organisatorischen Maßnahmen gemäß Art. 32 DSGVO um, die in Anlage 1 (TOM) zu diesem Vertrag im Einzelnen beschrieben sind. Der Auftragsverarbeiter ist berechtigt, die TOM anzupassen, solange das vereinbarte Schutzniveau nicht unterschritten wird; wesentliche Änderungen werden dem Verantwortlichen mitgeteilt.
(1) Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen, auch in Bezug auf die Übermittlung an ein Drittland, sofern er nicht durch das Recht der Union oder der Mitgliedstaaten hierzu verpflichtet ist.
(2) Weisungen werden im Regelfall durch die bestimmungsgemäße Nutzung der Software erteilt (z. B. Anlegen/Löschen von Mitarbeiterkonten durch berechtigte Nutzer des Verantwortlichen). Darüberhinausgehende Weisungen bedürfen der Textform.
Der Auftragsverarbeiter stellt sicher, dass die zur Verarbeitung befugten Personen sich zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen.
(1) Der Verantwortliche erteilt eine allgemeine Genehmigung zur Beauftragung folgender Unterauftragsverarbeiter:
| Unterauftragsverarbeiter | Zweck | Standort |
|---|---|---|
| Hetzner Online GmbH | Hosting/Infrastruktur (Server und Backup-Speicher) | Deutschland |
| Stripe Payments Europe Ltd. | Zahlungsabwicklung und Rechnungsstellung | Irland (EU) |
| Resend (Plusdot, Inc.) | Versand von System- und Zugangs-E-Mails | EU-Region |
| OpenStreetMap Foundation (Nominatim) | Adress-zu-Koordinaten-Umwandlung für die Kartenansicht | EU/Vereinigtes Königreich |
An den Geokodierungsdienst werden ausschließlich Adressangaben (Straße, Hausnummer, PLZ, Ort) übermittelt, keine Namen oder sonstigen personenbezogenen Merkmale.
(2) Der Auftragsverarbeiter informiert den Verantwortlichen über beabsichtigte Änderungen in Bezug auf die Hinzuziehung oder den Austausch weiterer Unterauftragsverarbeiter, sodass der Verantwortliche Gelegenheit hat, gegen diese Änderungen Einspruch zu erheben.
Der Auftragsverarbeiter unterstützt den Verantwortlichen im Rahmen des Zumutbaren bei der Erfüllung von Anfragen betroffener Personen (Art. 12–23 DSGVO) sowie bei der Einhaltung der in Art. 32 bis 36 DSGVO genannten Pflichten.
Der Auftragsverarbeiter meldet dem Verantwortlichen jede ihm bekannt gewordene Verletzung des Schutzes personenbezogener Daten unverzüglich, spätestens jedoch innerhalb von 48 Stunden nach Kenntniserlangung. Die Meldung erfolgt in Textform an die vom Verantwortlichen zuletzt benannte Kontaktadresse und enthält die nach Art. 33 Abs. 3 DSGVO erforderlichen Angaben, soweit sie dem Auftragsverarbeiter vorliegen.
Nach Beendigung des Hauptvertrags löscht der Auftragsverarbeiter sämtliche personenbezogenen Daten, die im Auftrag des Verantwortlichen verarbeitet wurden, innerhalb von 30 Tagen nach Vertragsende; vorhandene Sicherungskopien werden spätestens 44 Tage nach Vertragsende überschrieben. Dies gilt nicht, soweit eine gesetzliche Aufbewahrungspflicht entgegensteht. Auf Wunsch stellt der Auftragsverarbeiter vor der Löschung einen Datenexport zur Verfügung.
Der Auftragsverarbeiter stellt dem Verantwortlichen auf Anfrage die zum Nachweis der Einhaltung der Pflichten aus Art. 28 DSGVO erforderlichen Informationen zur Verfügung, insbesondere die Anlage 1 (TOM). Der Nachweis erfolgt vorrangig durch Selbstauskunft, Vorlage der Anlage 1 sowie durch die Zertifikate und Prüfberichte des eingesetzten Rechenzentrumsbetreibers. Eine Kontrolle vor Ort ist zulässig, wenn konkrete Anhaltspunkte für einen Verstoß bestehen oder eine Aufsichtsbehörde sie verlangt; sie ist mit einer Frist von 30 Tagen in Textform anzukündigen, auf die üblichen Geschäftszeiten sowie auf einen Termin pro Kalenderjahr beschränkt und darf den Betrieb nicht unangemessen beeinträchtigen. Die Kosten einer Vor-Ort-Kontrolle trägt der Verantwortliche, es sei denn, dabei wird ein vom Auftragsverarbeiter zu vertretender Verstoß festgestellt.
(1) Für die Haftung der Parteien untereinander gelten die Haftungsregelungen des Hauptvertrags (§ 8 der AGB) entsprechend, soweit nachfolgend nichts Abweichendes bestimmt ist.
(2) Unberührt bleibt Art. 82 DSGVO: Im Außenverhältnis gegenüber betroffenen Personen haften die Parteien nach den gesetzlichen Vorschriften. Eine Beschränkung dieser gesetzlichen Haftung gegenüber betroffenen Personen oder Aufsichtsbehörden ist mit diesem Vertrag nicht verbunden.
(3) Im Innenverhältnis stellt diejenige Partei die andere frei, die den zugrunde liegenden Verstoß zu vertreten hat.