Vertrag zur Auftragsverarbeitung

Dieser Vertrag zur Auftragsverarbeitung (nachfolgend Vertrag) regelt die Verarbeitung personenbezogener Daten, die die ZITA GmbH im Auftrag ihrer Kunden im Rahmen der Bereitstellung der Software-as-a-Service-Anwendung ZITA durchführt.

Parteien

Verantwortlicher (nachfolgend Auftraggeber) ist der Kunde, der ZITA nutzt, mit den bei der Registrierung angegebenen Firmendaten.

Auftragsverarbeiter (nachfolgend Auftragnehmer) ist:

ZITA GmbH
Blankenfohrweg 11
32139 Spenge
Deutschland
Amtsgericht Bad Oeynhausen, HRB 20732
Vertreten durch: Benjamin Volk

§ 1 Zustandekommen und Rangfolge

(1) Dieser Vertrag ist Bestandteil der Allgemeinen Geschäftsbedingungen des Auftragnehmers und kommt mit dem Abschluss des Hauptvertrags über die Nutzung von ZITA zustande. Eines gesonderten Abschlusses bedarf es nicht. Der Auftraggeber kann den Vertrag jederzeit unter dieser Adresse abrufen, speichern und ausdrucken.

(2) Wünscht der Auftraggeber den Abschluss in unterzeichneter Form oder auf Grundlage eines eigenen Musters, genügt eine Mitteilung in Textform an [email protected].

(3) Bei Widersprüchen gehen die Regelungen dieses Vertrags den Regelungen der Allgemeinen Geschäftsbedingungen vor, soweit die Verarbeitung personenbezogener Daten im Auftrag betroffen ist.

§ 2 Gegenstand, Art und Zweck, Datenarten, betroffene Personen

(1) Gegenstand und Dauer. Gegenstand des Auftrags ist die Verarbeitung personenbezogener Daten durch den Auftragnehmer zum Zweck der Erbringung der im Hauptvertrag beschriebenen Leistungen. Die Dauer entspricht der Laufzeit des Hauptvertrags.

(2) Art und Zweck. Der Auftragnehmer stellt eine Anwendung zur Kalkulation, Planung, Angebots- und Auftragsabwicklung sowie zur Verwaltung von Kunden-, Objekt- und Projektdaten im Bereich der Gebäudereinigung bereit. Die Verarbeitung umfasst insbesondere das Erheben, Speichern, Ordnen, Auslesen, Verändern, Übermitteln, Sichern und Löschen der vom Auftraggeber eingegebenen oder importierten Daten sowie die Erzeugung von Dokumenten und den Versand von Nachrichten auf Veranlassung des Auftraggebers.

(3) Art der Daten. Verarbeitet werden insbesondere:

• Stammdaten von Kunden und Ansprechpartnern des Auftraggebers (Name, Anrede, Funktion, Anschrift, Telefonnummer, E-Mail-Adresse)
• Objekt- und Standortdaten einschließlich Anschriften, Geokoordinaten sowie hochgeladener Fotos und Dokumente
• Anfragen, Vorgänge, Wiedervorlagen, Kommentare und Notizen
• Kalkulations-, Angebots-, Auftrags- und Vertragsdaten einschließlich der darin enthaltenen Personenangaben
• Zuordnungsdaten zu Beschäftigten des Auftraggebers, soweit der Auftraggeber sie in der Revierplanung oder als Sachbearbeiter hinterlegt
• Nutzungsdaten der Anwender des Auftraggebers (Name, E-Mail-Adresse, Rolle, Anmelde- und Aktivitätszeitpunkte)
• Empfänger- und Zugriffsdaten von versendeten Angeboten (E-Mail-Adresse, Zeitpunkt von Aufruf, Zu- oder Absage)

(4) Betroffene Personen. Kunden und Interessenten des Auftraggebers, deren Ansprechpartner und Mieter- oder Nutzervertreter, Beschäftigte des Auftraggebers sowie Empfänger versendeter Angebote.

(5) Besondere Kategorien. Die Anwendung ist nicht für die Verarbeitung besonderer Kategorien personenbezogener Daten nach Art. 9 DSGVO bestimmt. Gibt der Auftraggeber solche Daten dennoch ein, geschieht dies auf seine Verantwortung.

§ 3 Weisungsrecht

(1) Der Auftragnehmer verarbeitet personenbezogene Daten ausschließlich im Rahmen dieses Vertrags und nach dokumentierten Weisungen des Auftraggebers, es sei denn, er ist nach dem Recht der Union oder der Mitgliedstaaten zur Verarbeitung verpflichtet. In einem solchen Fall teilt der Auftragnehmer dem Auftraggeber die rechtlichen Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht dies nicht wegen eines wichtigen öffentlichen Interesses verbietet.

(2) Die Nutzung der Anwendung durch den Auftraggeber und seine Anwender gilt als Weisung. Darüber hinausgehende Einzelweisungen erfolgen in Textform an die in § 1 Abs. 2 genannte Adresse.

(3) Ist der Auftragnehmer der Auffassung, dass eine Weisung gegen datenschutzrechtliche Vorschriften verstößt, informiert er den Auftraggeber unverzüglich. Er ist berechtigt, die Ausführung der betreffenden Weisung bis zu deren Bestätigung oder Änderung auszusetzen.

(4) Der Auftraggeber ist für die Rechtmäßigkeit der Verarbeitung sowie für die Wahrung der Rechte betroffener Personen verantwortlich. Er stellt insbesondere sicher, dass er zur Eingabe der Daten in die Anwendung berechtigt ist.

§ 4 Vertraulichkeit

(1) Der Auftragnehmer setzt zur Verarbeitung nur Personen ein, die zur Vertraulichkeit verpflichtet und mit den einschlägigen datenschutzrechtlichen Bestimmungen vertraut gemacht worden sind. Die Verpflichtung besteht auch nach Beendigung der jeweiligen Tätigkeit fort.

(2) Der Zugriff auf Produktivdaten ist auf die Personen beschränkt, die ihn zur Erbringung der Leistung, zur Fehlerbehebung oder zur Erfüllung einer Supportanfrage benötigen, und erfolgt nach dem Grundsatz der geringstmöglichen Berechtigung.

§ 5 Technische und organisatorische Maßnahmen

(1) Der Auftragnehmer trifft die nach Art. 32 DSGVO erforderlichen technischen und organisatorischen Maßnahmen. Der bei Vertragsschluss bestehende Stand ist in Anlage 1 beschrieben.

(2) Die Maßnahmen unterliegen dem technischen Fortschritt. Der Auftragnehmer darf sie anpassen, solange das vereinbarte Schutzniveau nicht unterschritten wird. Wesentliche Änderungen werden dokumentiert und in Anlage 1 nachgeführt.

§ 6 Unterauftragsverhältnisse

(1) Der Auftraggeber erteilt dem Auftragnehmer die allgemeine Genehmigung, weitere Auftragsverarbeiter hinzuzuziehen. Die bei Vertragsschluss eingesetzten Unterauftragnehmer sind in Anlage 2 aufgeführt und genehmigt.

(2) Der Auftragnehmer wählt Unterauftragnehmer sorgfältig aus, verpflichtet sie vertraglich auf Datenschutzpflichten, die diesem Vertrag im Wesentlichen entsprechen, und bleibt dem Auftraggeber gegenüber für deren Verhalten verantwortlich.

(3) Beabsichtigt der Auftragnehmer, einen weiteren Unterauftragnehmer hinzuzuziehen oder einen bestehenden auszutauschen, informiert er den Auftraggeber mindestens vier Wochen vorher in Textform. Der Auftraggeber kann der Änderung innerhalb von zwei Wochen ab Zugang der Information aus einem wichtigen datenschutzrechtlichen Grund in Textform widersprechen. Widerspricht er, und lässt sich die Leistung ohne den betreffenden Unterauftragnehmer nicht mit zumutbarem Aufwand erbringen, ist jede Partei berechtigt, den Hauptvertrag zum Zeitpunkt der geplanten Umstellung zu kündigen.

(4) Nicht als Unterauftragsverhältnis im Sinne dieses Paragraphen gelten Nebenleistungen, die der Auftragnehmer bei Dritten in Anspruch nimmt, ohne dass diese Zugriff auf die Daten des Auftraggebers erhalten, etwa Telekommunikationsleistungen oder Wartung.

§ 7 Verarbeitung außerhalb der EU

Die Speicherung und Verarbeitung der Daten des Auftraggebers erfolgt in Rechenzentren innerhalb der Europäischen Union. Soweit einzelne der in Anlage 2 genannten Unterauftragnehmer ihren Sitz in einem Drittland haben oder von dort auf Daten zugreifen können, ist ein angemessenes Schutzniveau durch Standardvertragsklauseln der EU-Kommission nach Art. 46 Abs. 2 lit. c DSGVO sichergestellt, ergänzt um den Angemessenheitsbeschluss zum EU-US Data Privacy Framework nach Art. 45 DSGVO, soweit der Anbieter zertifiziert ist.

§ 8 Unterstützungspflichten

(1) Der Auftragnehmer unterstützt den Auftraggeber mit geeigneten technischen und organisatorischen Maßnahmen dabei, Anträge betroffener Personen auf Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit und Widerspruch zu beantworten. Wendet sich eine betroffene Person unmittelbar an den Auftragnehmer, leitet er die Anfrage unverzüglich an den Auftraggeber weiter.

(2) Der Auftragnehmer unterstützt den Auftraggeber bei der Einhaltung der Pflichten aus den Art. 32 bis 36 DSGVO, insbesondere bei der Sicherheit der Verarbeitung, bei Meldepflichten, bei der Benachrichtigung betroffener Personen sowie bei einer Datenschutz-Folgenabschätzung.

(3) Der Auftragnehmer erbringt die Unterstützung nach Absatz 1 und 2 im Rahmen der Funktionen der Anwendung unentgeltlich. Übersteigt der Aufwand im Einzelfall das übliche Maß deutlich und beruht er nicht auf einem Umstand, den der Auftragnehmer zu vertreten hat, kann er eine angemessene Vergütung verlangen; er weist darauf vorher hin.

§ 9 Meldung von Verletzungen des Schutzes

(1) Der Auftragnehmer meldet dem Auftraggeber jede Verletzung des Schutzes personenbezogener Daten unverzüglich nach Bekanntwerden, spätestens innerhalb von 24 Stunden. Die Meldung erfolgt in Textform an die vom Auftraggeber hinterlegte Kontaktadresse.

(2) Die Meldung enthält, soweit verfügbar, eine Beschreibung der Art der Verletzung, die Kategorien und die ungefähre Zahl der betroffenen Personen und Datensätze, die wahrscheinlichen Folgen sowie die ergriffenen oder vorgeschlagenen Maßnahmen. Sind nicht alle Angaben sofort verfügbar, werden sie unverzüglich nachgereicht.

(3) Die Meldung an die Aufsichtsbehörde und die Benachrichtigung betroffener Personen obliegen dem Auftraggeber.

§ 10 Nachweise und Kontrollrechte

(1) Der Auftragnehmer weist die Einhaltung der Pflichten aus diesem Vertrag auf Anfrage nach, insbesondere durch die Vorlage der Beschreibung nach Anlage 1, durch die Verträge mit Unterauftragnehmern in geschwärzter Form sowie durch vorliegende Zertifikate, Testate oder Prüfberichte der eingesetzten Unterauftragnehmer.

(2) Reichen diese Nachweise im Einzelfall nicht aus, kann der Auftraggeber nach vorheriger Ankündigung mit angemessener Frist, höchstens einmal je Kalenderjahr und während der üblichen Geschäftszeiten, eine Überprüfung durchführen oder durch einen zur Verschwiegenheit verpflichteten Prüfer durchführen lassen, der kein Wettbewerber des Auftragnehmers ist. Der Betrieb darf dadurch nicht unverhältnismäßig gestört werden. Bei Anlass, insbesondere nach einer Verletzung des Schutzes personenbezogener Daten, entfällt die Beschränkung auf eine Prüfung je Kalenderjahr.

§ 11 Löschung und Rückgabe

(1) Der Auftraggeber kann die von ihm eingegebenen Daten während der Vertragslaufzeit jederzeit über die Funktionen der Anwendung einsehen, exportieren und löschen.

(2) Nach Beendigung des Hauptvertrags löscht der Auftragnehmer die Daten des Auftraggebers auf dessen Anforderung. Die Anforderung ist in Textform an die in § 1 Abs. 2 genannte Adresse zu richten. Der Auftragnehmer führt die Löschung unverzüglich, spätestens innerhalb von 30 Tagen nach Zugang der Anforderung durch und bestätigt sie in Textform. Vor der Löschung stellt der Auftragnehmer dem Auftraggeber auf Wunsch die Möglichkeit zum Export zur Verfügung.

(3) Der Auftragnehmer hält rollierende Sicherungskopien mit einer Vorhaltezeit von 30 Tagen vor. Gelöschte Daten sind aus diesen Sicherungen spätestens nach Ablauf dieses Zeitraums entfernt. Ein gezielter Eingriff in eine bestehende Sicherung erfolgt nicht, weil er die Integrität der Sicherung als Ganzes gefährden würde; die Sicherungen sind verschlüsselt und werden ausschließlich zur Wiederherstellung im Störungsfall verwendet.

(4) Eine Aufbewahrung über Absatz 2 hinaus erfolgt nur, soweit eine gesetzliche Aufbewahrungspflicht besteht. In diesem Fall wird die Verarbeitung auf die Erfüllung dieser Pflicht beschränkt.

§ 12 Haftung und Schlussbestimmungen

(1) Für die Haftung gelten die Regelungen des Hauptvertrags, soweit Art. 82 DSGVO nichts Abweichendes bestimmt.

(2) Änderungen und Ergänzungen dieses Vertrags bedürfen der Textform. Der Auftragnehmer darf diesen Vertrag anpassen, soweit dies aufgrund geänderter Rechtslage, behördlicher Vorgaben oder einer Änderung des Leistungsangebots erforderlich ist und der Auftraggeber dadurch nicht unangemessen benachteiligt wird; über die Änderung wird der Auftraggeber rechtzeitig in Textform informiert.

(3) Sollten einzelne Bestimmungen dieses Vertrags unwirksam sein oder werden, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt.

(4) Es gilt das Recht der Bundesrepublik Deutschland.

Anlage 1: Technische und organisatorische Maßnahmen

Die nachfolgende Darstellung beschreibt den Stand der Maßnahmen nach Art. 32 DSGVO im August 2026.

Vertraulichkeit

• Zutrittskontrolle. Der Auftragnehmer betreibt keine eigenen Server. Anwendung, Datenbank und Dateispeicher laufen in Rechenzentren der in Anlage 2 genannten Anbieter, die nach anerkannten Standards zertifiziert sind (insbesondere ISO 27001 und SOC 2). Der physische Zutritt wird durch diese Anbieter kontrolliert.
• Zugangskontrolle. Der Zugang zur Anwendung erfolgt ausschließlich über einen personenbezogenen Zugang mit E-Mail-Adresse und Passwort über einen spezialisierten Authentifizierungsdienst. Passwörter werden beim Auftragnehmer nicht gespeichert. Sitzungen laufen über signierte, verschlüsselte Cookies und verfallen automatisch. Der administrative Zugang zu Betriebs- und Datenbankkonten ist auf einen engen Personenkreis begrenzt und durch Zwei-Faktor-Authentifizierung geschützt.
• Zugriffskontrolle. Innerhalb der Anwendung gilt ein rollen- und berechtigungsbasiertes Konzept: Jeder Anwender erhält Rollen, aus denen sich einzelne Berechtigungen ableiten; jeder Zugriff wird serverseitig gegen diese Berechtigungen geprüft. Eine Prüfung allein im Browser findet nicht statt.
• Trennungskontrolle. Die Daten verschiedener Auftraggeber werden logisch getrennt: Jeder Datensatz trägt eine Organisationskennung, und jeder lesende wie schreibende Zugriff wird serverseitig auf die Organisation des angemeldeten Anwenders eingegrenzt. Entwicklungs-, Test- und Produktivumgebung sind getrennt.
• Pseudonymisierung. In der Fehlerüberwachung werden Inhalte aus Formular- und Anfragedaten vor der Übermittlung bereinigt und IP-Adressen gekürzt.

Integrität

• Weitergabekontrolle. Die Übertragung erfolgt ausschließlich verschlüsselt über TLS, sowohl zwischen Browser und Anwendung als auch zwischen Anwendung und Unterauftragnehmern. Daten im Ruhezustand sind auf Ebene des Speichers verschlüsselt. Dateien im Dokumentenspeicher sind nicht öffentlich abrufbar, sondern nur über kurzlebige, signierte Adressen. Ausgehende Netzwerkaufrufe der Anwendung laufen über eine zentrale Prüfung, die Aufrufe an interne oder unzulässige Adressen unterbindet.
• Eingabekontrolle. Änderungen an Vorgängen, Projekten und Status werden mit Zeitpunkt und auslösendem Anwender in einem Ereignisstrom protokolliert. Zugriffe über die Programmierschnittstelle werden protokolliert. Alle Eingaben werden serverseitig gegen ein festes Schema geprüft.

Verfügbarkeit und Belastbarkeit

• Sicherung. Von der Datenbank werden automatisierte, verschlüsselte Sicherungen erstellt und 30 Tage vorgehalten. Eine Wiederherstellung auf einen Zeitpunkt innerhalb dieses Zeitraums ist möglich.
• Betrieb. Anwendung und Datenbank laufen auf redundanter, verwalteter Infrastruktur mit automatischer Skalierung. Störungen und Fehler werden über eine Fehlerüberwachung erfasst und ausgewertet.
• Schutz vor Überlastung. Die Zahl der Zugriffe je Anwender und Absender ist begrenzt; für öffentlich erreichbare Formulare gelten zusätzliche Grenzen und Maßnahmen gegen automatisierte Zusendungen.

Verfahren zur Überprüfung und Bewertung

• Änderungen an der Anwendung durchlaufen eine automatisierte Prüfkette aus Typprüfung, statischer Analyse sowie Modul- und Ende-zu-Ende-Tests, bevor sie in die Produktivumgebung gelangen.
• Sicherheitsrelevante Abhängigkeiten werden laufend automatisiert auf bekannte Schwachstellen geprüft und aktualisiert.
• Die Maßnahmen dieser Anlage werden bei wesentlichen Änderungen der Anwendung überprüft und fortgeschrieben.

Anlage 2: Unterauftragnehmer

Die folgenden Unterauftragnehmer sind bei Vertragsschluss eingesetzt und vom Auftraggeber genehmigt.

Nicht in dieser Liste geführt sind Dienste, die der Auftragnehmer für eigene Zwecke als Verantwortlicher einsetzt und die keinen Zugriff auf Inhalte des Auftraggebers haben, insbesondere die Zahlungsabwicklung für das eigene Abonnement des Auftraggebers. Einzelheiten hierzu enthält die Datenschutzerklärung.

Zur Ermittlung von Geokoordinaten und zur Darstellung von Karten ruft die Anwendung öffentliche Dienste des OpenStreetMap-Ökosystems auf. Dabei werden Anschriften übermittelt, jedoch keine Namen oder sonstigen Angaben zu Ansprechpartnern. Diese Dienste werden nicht weisungsgebunden für den Auftragnehmer tätig; die Übermittlung ist in der Datenschutzerklärung gesondert beschrieben und kann durch Verzicht auf die Kartenfunktionen vermieden werden.