Vereinbarung zur Auftragsverarbeitung

nach Art. 28 Datenschutz-Grundverordnung (DSGVO) zwischen dem Kunden von Spritztagebuch.de (Verantwortlicher, nachfolgend „Kunde“) und der Rank-O-Mat GmbH, Paesmühlenweg 8, 47638 Straelen (Auftragsverarbeiter, nachfolgend „Anbieter“).

Diese Vereinbarung wird mit Abschluss des Nutzungsvertrags über die Software Spritztagebuch.de (nachfolgend „Hauptvertrag“) Vertragsbestandteil. Auf Wunsch stellt der Anbieter sie auch als unterschriebenes Dokument zur Verfügung.

1. Gegenstand, Dauer, Art und Zweck

1. Gegenstand ist die Verarbeitung personenbezogener Daten durch den Anbieter im Auftrag des Kunden bei der Bereitstellung der Software zur Dokumentation von Pflanzenschutzmaßnahmen (Hosting, Speicherung, Datensicherung, Support, Datei-Import).
2. Die Dauer entspricht der Laufzeit des Hauptvertrags zuzüglich des Zeitraums bis zur Löschung nach Nr. 10.
3. Art der Verarbeitung: Erheben, Speichern, Ordnen, Auslesen, Abfragen, Übermitteln an den Kunden (Export), Sichern, Wiederherstellen, Löschen.

2. Art der Daten und Kategorien betroffener Personen

Betroffene Personen	Daten
Beschäftigte und Beauftragte des Kunden (Anwender, Betriebsleitung)	Namen, Zuordnung zu Pflanzenschutzmaßnahmen (Datum, Uhrzeit, Fläche, Mittel), ggf. E-Mail-Adresse für Meldungen
Ansprechpartner des Kunden	Name, E-Mail-Adresse, Telefonnummer, Betriebsanschrift, Standortdaten des Betriebs
Lieferanten des Kunden	Name des Lieferanten, Lieferscheinangaben, soweit vom Kunden erfasst
alle Nutzer	technische Daten (IP-Adresse, Zeitpunkte von Anmeldung und Zugriffen, Gerätemerkmale in Protokollen)
beliebige Personen, soweit in Dateien enthalten	Inhalte der vom Kunden beim Datei-Import hochgeladenen Dateien

Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO) werden nicht verarbeitet; der Kunde erfasst solche Daten nicht.

3. Weisungen

1. Der Anbieter verarbeitet die Daten nur auf dokumentierte Weisung des Kunden, es sei denn, er ist gesetzlich zu einer Verarbeitung verpflichtet; in diesem Fall teilt er dies dem Kunden vorher mit, sofern das Gesetz dies nicht verbietet.
2. Die Weisungen ergeben sich aus dem Hauptvertrag, dieser Vereinbarung und der Nutzung der Software durch den Kunden. Einzelweisungen erfolgen in Textform.
3. Hält der Anbieter eine Weisung für rechtswidrig, weist er den Kunden unverzüglich darauf hin und darf die Ausführung bis zur Bestätigung aussetzen.

4. Keine Einsichtnahme, Vertraulichkeit

1. Der Anbieter nimmt in die Inhalte der Daten des Kunden keine Einsicht. Ein Zugriff erfolgt nur, soweit er für einen vom Kunden gewünschten Supportfall, zur Behebung technischer Störungen, zur Wiederherstellung von Daten oder aufgrund gesetzlicher Pflicht zwingend erforderlich ist, und nur im dafür notwendigen Umfang.
2. Der Anbieter verpflichtet alle Personen, die Zugang zu den Daten haben können, zur Vertraulichkeit, sofern sie nicht einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen.
3. Der Anbieter verwendet die Daten nicht für eigene Zwecke und nicht zum Training von KI-Modellen.

5. Technische und organisatorische Maßnahmen

Der Anbieter trifft die in Anlage 1 beschriebenen Maßnahmen nach Art. 32 DSGVO. Er darf sie weiterentwickeln, solange das Schutzniveau nicht unterschritten wird. Eine ausführliche Beschreibung stellt der Anbieter dem Kunden auf Anfrage zur Verfügung.

6. Unterauftragsverarbeiter

1. Der Kunde stimmt dem Einsatz der in Anlage 2 genannten Unterauftragsverarbeiter zu.
2. Der Anbieter informiert den Kunden mindestens vier Wochen vorher in Textform über die beabsichtigte Hinzuziehung oder Ersetzung eines Unterauftragsverarbeiters. Der Kunde kann aus wichtigem datenschutzrechtlichem Grund innerhalb dieser Frist widersprechen. Kommt keine Einigung zustande, können beide Parteien den Hauptvertrag zum Zeitpunkt des Wechsels kündigen.
3. Der Anbieter verpflichtet Unterauftragsverarbeiter vertraglich auf ein gleichwertiges Datenschutzniveau.
4. Eine Übermittlung in Drittländer erfolgt nur unter den Voraussetzungen der Art. 44 ff. DSGVO.

7. Unterstützung des Kunden

1. Der Anbieter unterstützt den Kunden mit geeigneten Maßnahmen bei der Beantwortung von Anträgen betroffener Personen (Art. 12–23 DSGVO). Die Software ermöglicht dem Kunden selbst, Daten einzusehen, zu berichtigen, zu exportieren und zu löschen. Wendet sich eine betroffene Person direkt an den Anbieter, leitet er die Anfrage an den Kunden weiter.
2. Der Anbieter unterstützt den Kunden bei den Pflichten nach Art. 32–36 DSGVO unter Berücksichtigung der ihm vorliegenden Informationen.
3. Unterstützungsleistungen, die über die Bereitstellung der Funktionen der Software hinausgehen, kann der Anbieter nach § 5 Abs. 2 der AGB abrechnen, es sei denn, sie beruhen auf einem Verstoß des Anbieters.

8. Meldung von Datenschutzverletzungen

Der Anbieter meldet dem Kunden Verletzungen des Schutzes personenbezogener Daten unverzüglich, möglichst innerhalb von 48 Stunden nach Kenntnis, mit den ihm vorliegenden Informationen nach Art. 33 Abs. 3 DSGVO.

9. Kontrollrechte

1. Der Anbieter stellt dem Kunden alle erforderlichen Informationen zum Nachweis der Einhaltung dieser Vereinbarung zur Verfügung.
2. Der Kunde kann Überprüfungen, auch vor Ort, nach rechtzeitiger Anmeldung (mindestens 14 Tage), während der Geschäftszeiten und ohne Störung des Betriebsablaufs durchführen oder durch einen zur Verschwiegenheit verpflichteten Prüfer durchführen lassen. Kontrollen erfolgen in der Regel höchstens einmal jährlich, außer bei konkretem Anlass. Der Aufwand des Anbieters für Kontrollen vor Ort kann nach § 5 Abs. 2 der AGB abgerechnet werden.

10. Löschung und Rückgabe

Nach Ende des Hauptvertrags kann der Kunde seine Daten 30 Tage lang exportieren. Danach löscht der Anbieter die Daten, sofern keine gesetzliche Pflicht zur Speicherung besteht. Kopien in Datensicherungen werden im Rahmen der regulären Rotation, spätestens nach 13 Monaten, gelöscht und bis dahin nicht mehr verwendet.

11. Haftung und Schlussbestimmungen

1. Für die Haftung gilt Art. 82 DSGVO. Im Übrigen gelten die Haftungsregelungen des Hauptvertrags, soweit Art. 82 DSGVO nicht entgegensteht.
2. Bei Widersprüchen zwischen dieser Vereinbarung und dem Hauptvertrag hat diese Vereinbarung Vorrang, soweit es um den Schutz personenbezogener Daten geht.
3. Es gilt deutsches Recht. Gerichtsstand ist der Sitz des Anbieters.

---

Anlage 1 – Technische und organisatorische Maßnahmen (Übersicht)

Vertraulichkeit

• Betrieb in Rechenzentren in Deutschland mit Zutrittskontrolle, Videoüberwachung und Alarmanlagen (Hosting-Dienstleister)
• Zugang zur Software nur über persönliche Anmeldung; Passwörter werden ausschließlich als sicherer Hash gespeichert; Begrenzung fehlgeschlagener Anmeldeversuche; automatische Abmeldung nach Inaktivität
• Strikte logische Trennung der Daten verschiedener Kunden (Mandantentrennung), regelmäßig automatisiert getestet
• Administrativer Zugang nur für den Geschäftsführer, gesondert geschützt und protokolliert
• Geheimnisse und Zugangsschlüssel verschlüsselt gespeichert

Integrität

• Übertragung ausschließlich verschlüsselt (TLS/HTTPS, HSTS)
• Sicherheitsheader (u. a. Content-Security-Policy), Schutz vor Cross-Site-Request-Forgery
• Protokollierung sicherheitsrelevanter Ereignisse

Verfügbarkeit und Belastbarkeit

• Tägliche automatische Datensicherung, Ende-zu-Ende-verschlüsselt mit einem Schlüssel, der nicht auf dem Server liegt
• Aufbewahrung der Sicherungen in mehreren Stufen (täglich, wöchentlich, monatlich) an einem vom Server getrennten Ort
• Überwachung der Sicherungen, regelmäßige Prüfung der Wiederherstellbarkeit, dokumentiertes Notfallverfahren

Verfahren zur regelmäßigen Überprüfung

• Automatisierte Tests vor jeder Aktualisierung, Sicherheitskonzept mit regelmäßiger Überprüfung
• Datenschutzfreundliche Voreinstellungen: keine Tracking- oder Werbedienste in der Software

Anlage 2 – Unterauftragsverarbeiter

Unternehmen	Leistung	Ort der Verarbeitung
ALL-INKL.COM – Neue Medien Münnich, Hauptstraße 68, 02742 Friedersdorf	Hosting der Software, Datenbank, E-Mail-Versand	Deutschland
Microsoft Ireland Operations Ltd., One Microsoft Place, South County Business Park, Leopardstown, Dublin 18, Irland	Speicherung der verschlüsselten Datensicherungen (OneDrive); Microsoft hat keinen Zugriff auf den Schlüssel	EU (EU Data Boundary); Übermittlungen in die USA auf Grundlage des EU-US Data Privacy Framework
Anthropic, PBC, 548 Market St, PMB 90375, San Francisco, CA 94104, USA – nur bei Nutzung des optionalen Datei-Imports	Automatisierte Auswertung der vom Kunden hochgeladenen Datei (z. B. altes Spritztagebuch)	USA; Übermittlung auf Grundlage der EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO). Keine Nutzung der Daten zum Training von KI-Modellen

Keine Unterauftragsverarbeitung im Sinne dieser Vereinbarung ist der Abruf öffentlicher Daten aus dem Pflanzenschutzmittel-Verzeichnis des BVL; dabei werden keine Daten des Kunden übermittelt.