Vereinbarung zur Auftragsverarbeitung

gemäß Art. 28 DSGVO

Vertragsparteien

1. Gegenstand und Dauer

Gegenstand ist die Bereitstellung, Einrichtung, Wartung, Sicherung und Unterstützung der Produktionsplanungssoftware Plantrieb einschließlich vereinbarter Import-, Speicher-, Planungs- und Exportfunktionen. Die Dauer entspricht der Laufzeit des Hauptvertrags.

2. Art und Zweck der Verarbeitung

• Importieren, Erfassen, Ordnen und Speichern von Daten,
• Abgleichen von Artikel-, Maschinen-, Auftrags- und Produktionsinformationen,
• Erzeugen und Darstellen von Produktionsplanungsvorschlägen,
• Benutzer-, Rollen- und Berechtigungsverwaltung,
• Datensicherung, Wartung, Fehleranalyse und Support,
• Export, Rückgabe und Löschung nach Weisung.

3. Kategorien betroffener Personen

• Beschäftigte und Benutzer des Auftraggebers,
• Ansprechpartner bei Kunden, Lieferanten und Dienstleistern,
• weitere Personen, die in Auftrags- oder Referenzdaten genannt werden.

4. Kategorien personenbezogener Daten

• Stammdaten und geschäftliche Kontaktdaten,
• Benutzerkennungen, Rollen und Berechtigungen,
• Login-, Sicherheits-, Fehler- und Supportdaten,
• Kunden-, Lieferanten-, Auftrags- und Referenzdaten,
• Produktions-, Maschinen-, Kapazitäts-, Termin- und Planungsdaten mit Personenbezug.

Besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO sind nicht Gegenstand der regulären Verarbeitung.

5. Weisungen

Der Auftragnehmer verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Auftraggebers, sofern er nicht durch das Recht der Europäischen Union oder der Mitgliedstaaten zu einer Verarbeitung verpflichtet ist. In einem solchen Fall teilt der Auftragnehmer dem Auftraggeber diese rechtliche Verpflichtung vor der Verarbeitung mit, soweit das betreffende Recht eine solche Mitteilung nicht aus wichtigen Gründen des öffentlichen Interesses verbietet.

Weisungen können über die Funktionen der Anwendung oder in Textform, insbesondere per E-Mail, erteilt werden. Mündliche Weisungen sind vom Auftraggeber unverzüglich in Textform zu bestätigen.

Der Auftraggeber trägt die Verantwortung für die Rechtmäßigkeit der Weisungen und der Verarbeitung der personenbezogenen Daten.

Ist der Auftragnehmer der Auffassung, dass eine Weisung gegen die Datenschutz-Grundverordnung oder andere Datenschutzbestimmungen der Europäischen Union oder der Mitgliedstaaten verstößt, informiert er den Auftraggeber unverzüglich. Der Auftragnehmer ist berechtigt, die Durchführung der betreffenden Weisung auszusetzen, bis sie vom Auftraggeber bestätigt, geändert oder zurückgenommen wurde.

6. Vertraulichkeit

Der Auftragnehmer setzt nur Personen ein, die auf Vertraulichkeit verpflichtet sind. Zugriffe werden nach dem Erforderlichkeitsprinzip vergeben.

7. Technische und organisatorische Maßnahmen

Die wesentlichen Maßnahmen ergeben sich aus Anlage 1. Sie dürfen an den technischen Fortschritt angepasst werden, sofern das Schutzniveau nicht abgesenkt wird.

8. Unterauftragsverarbeiter

Der Auftraggeber erteilt dem Auftragnehmer eine allgemeine Genehmigung zur Beauftragung der in Anlage 2 aufgeführten Unterauftragsverarbeiter.

Der Auftragnehmer informiert den Auftraggeber mindestens 14 Tage vor der beabsichtigten Beauftragung eines neuen Unterauftragsverarbeiters oder vor der Ersetzung eines bestehenden Unterauftragsverarbeiters in Textform. Der Auftraggeber kann der Änderung innerhalb dieser Frist aus wichtigem datenschutzrechtlichem Grund widersprechen.

Im Fall eines begründeten Widerspruchs werden die Parteien gemeinsam nach einer angemessenen Lösung suchen. Ist eine zumutbare Lösung nicht möglich, kann der Auftragnehmer auf die Beauftragung des betreffenden Unterauftragsverarbeiters verzichten oder die von dessen Einsatz betroffene Leistung unter Einhaltung der vertraglichen Kündigungsfristen beenden.

Der Auftragnehmer verpflichtet jeden Unterauftragsverarbeiter vertraglich mindestens zu denselben Datenschutzpflichten, die zwischen dem Auftraggeber und dem Auftragnehmer vereinbart wurden. Dies gilt insbesondere für Vertraulichkeit, Weisungsbindung, technische und organisatorische Maßnahmen, Unterstützungspflichten, Kontrollrechte und die Löschung oder Rückgabe personenbezogener Daten.

Der Auftragnehmer bleibt gegenüber dem Auftraggeber für die Erfüllung der datenschutzrechtlichen Pflichten des Unterauftragsverarbeiters verantwortlich.

Eine Verarbeitung personenbezogener Daten außerhalb der Europäischen Union oder des Europäischen Wirtschaftsraums erfolgt nur, wenn die Voraussetzungen der Art. 44 bis 49 DSGVO erfüllt sind und der Auftraggeber vorab über die Grundlage der Übermittlung informiert wurde.

9. Unterstützungspflichten

Der Auftragnehmer unterstützt den Auftraggeber unter Berücksichtigung der Art der Verarbeitung und der ihm zur Verfügung stehenden Informationen im angemessenen Umfang bei der Erfüllung der datenschutzrechtlichen Pflichten des Auftraggebers.

Die Unterstützung umfasst insbesondere:

a) die Bearbeitung von Anträgen betroffener Personen auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Datenübertragbarkeit oder Widerspruch,

b) die Sicherstellung der Sicherheit der Verarbeitung gemäß Art. 32 DSGVO,

c) die Meldung und Dokumentation von Verletzungen des Schutzes personenbezogener Daten gemäß Art. 33 und 34 DSGVO,

d) die Durchführung von Datenschutz-Folgenabschätzungen gemäß Art. 35 DSGVO,

e) vorherige Konsultationen mit einer Aufsichtsbehörde gemäß Art. 36 DSGVO sowie

f) die Bereitstellung von Informationen, die für den Nachweis der Einhaltung der datenschutzrechtlichen Pflichten erforderlich sind.

Gehen Anfragen betroffener Personen unmittelbar beim Auftragnehmer ein, leitet er diese unverzüglich an den Auftraggeber weiter. Der Auftragnehmer beantwortet solche Anfragen nicht selbst, sofern er hierzu nicht ausdrücklich vom Auftraggeber angewiesen oder gesetzlich verpflichtet wurde.

Unterstützungsleistungen, die über eine kurzfristige und im Rahmen des Standardsupports zumutbare Mitwirkung hinausgehen, insbesondere umfangreiche Auswertungen, gesonderte Berichte, Datenzusammenstellungen oder wiederholte Unterstützung bei Datenschutz-Folgenabschätzungen, können nach vorheriger Ankündigung entsprechend den im Hauptvertrag vereinbarten Sätzen berechnet werden.

Dies gilt nicht, soweit die Unterstützungsleistung aufgrund eines vom Auftragnehmer zu vertretenden Verstoßes gegen diese Vereinbarung oder gegen datenschutzrechtliche Vorschriften erforderlich geworden ist.

10. Datenschutzverletzungen

Der Auftragnehmer informiert den Auftraggeber unverzüglich, nachdem ihm eine Verletzung des Schutzes personenbezogener Daten im Zusammenhang mit der Auftragsverarbeitung bekannt geworden ist. Eine erste Information erfolgt nach Möglichkeit innerhalb von 24 Stunden nach Bekanntwerden.

Die erste Information enthält, soweit zu diesem Zeitpunkt bekannt:

a) eine Beschreibung der Art der Verletzung des Schutzes personenbezogener Daten,

b) die betroffenen Kategorien und die ungefähre Anzahl betroffener Personen,

c) die betroffenen Kategorien und die ungefähre Anzahl betroffener personenbezogener Datensätze,

d) die wahrscheinlichen Folgen der Verletzung,

e) die bereits ergriffenen oder geplanten Maßnahmen zur Behebung der Verletzung und zur Begrenzung möglicher nachteiliger Auswirkungen sowie

f) eine Kontaktstelle für Rückfragen.

Können die Informationen nicht gleichzeitig bereitgestellt werden, übermittelt der Auftragnehmer die verfügbaren Informationen schrittweise und ohne unangemessene weitere Verzögerung.

Der Auftragnehmer ergreift unverzüglich angemessene Maßnahmen zur Sicherung der Daten, zur Begrenzung möglicher Schäden, zur Aufklärung des Vorfalls und zur Verhinderung vergleichbarer Vorfälle.

Der Auftragnehmer dokumentiert Verletzungen des Schutzes personenbezogener Daten einschließlich der damit zusammenhängenden Tatsachen, Auswirkungen und ergriffenen Abhilfemaßnahmen.

Meldungen an Aufsichtsbehörden oder Benachrichtigungen betroffener Personen erfolgen grundsätzlich durch den Auftraggeber. Der Auftragnehmer nimmt solche Meldungen nur auf dokumentierte Weisung des Auftraggebers oder aufgrund einer eigenen gesetzlichen Verpflichtung vor.

11. Nachweis und Kontrollen

Der Auftragnehmer stellt dem Auftraggeber alle Informationen zur Verfügung, die erforderlich sind, um die Einhaltung der Pflichten aus Art. 28 DSGVO und dieser Vereinbarung nachzuweisen.

Der Auftraggeber ist berechtigt, die Einhaltung dieser Vereinbarung selbst oder durch einen von ihm beauftragten und zur Vertraulichkeit verpflichteten Prüfer zu kontrollieren. Der Auftragnehmer ermöglicht und unterstützt erforderliche Überprüfungen einschließlich Inspektionen.

Kontrollen sind grundsätzlich mit einer angemessenen Frist, regelmäßig mindestens zehn Werktage vorher, in Textform anzukündigen. Sie finden während der üblichen Geschäftszeiten statt und sind so durchzuführen, dass der Geschäftsbetrieb des Auftragnehmers und die Rechte anderer Kunden nicht unverhältnismäßig beeinträchtigt werden.

Vorrangig stellt der Auftragnehmer geeignete Dokumentationen, Nachweise, Auskünfte und vorhandene Prüfberichte zur Verfügung. Vor-Ort-Prüfungen erfolgen nur, soweit die Prüfung durch Dokumente und Auskünfte nicht ausreichend möglich ist.

Kontrollen erfolgen grundsätzlich höchstens einmal pro Kalenderjahr. Dies gilt nicht, wenn konkrete Anhaltspunkte für einen Datenschutzverstoß bestehen, eine Verletzung des Schutzes personenbezogener Daten eingetreten ist oder eine zuständige Aufsichtsbehörde eine Kontrolle verlangt.

Der Auftraggeber trägt die angemessenen Kosten einer von ihm veranlassten Kontrolle. Dies gilt nicht, wenn die Kontrolle einen erheblichen, vom Auftragnehmer zu vertretenden Verstoß gegen diese Vereinbarung oder gegen datenschutzrechtliche Vorschriften ergibt.

Der Auftragnehmer informiert den Auftraggeber unverzüglich über Kontrollen und Maßnahmen einer Aufsichtsbehörde, soweit diese die Verarbeitung personenbezogener Daten des Auftraggebers betreffen und eine Mitteilung gesetzlich zulässig ist.

12. Rückgabe und Löschung

Nach Beendigung der Auftragsverarbeitung werden sämtliche im Auftrag verarbeiteten personenbezogenen Daten nach Wahl und dokumentierter Weisung des Auftraggebers entweder an den Auftraggeber zurückgegeben oder gelöscht, sofern keine gesetzliche Verpflichtung zur weiteren Speicherung besteht.

Der Auftraggeber kann innerhalb von 30 Tagen nach Vertragsende einen Standardexport der in Plantrieb gespeicherten und über die Anwendung exportierbaren Daten in einem üblichen maschinenlesbaren Format verlangen.

Erteilt der Auftraggeber innerhalb dieser Frist keine abweichende Weisung, werden die Produktivdaten grundsätzlich spätestens 30 Tage nach Vertragsende gelöscht.

Besondere Datenaufbereitungen, individuelle Datenformate oder zusätzliche Migrationsleistungen sind nicht Bestandteil des Standardexports und können nach vorheriger Vereinbarung gesondert berechnet werden.

Daten in regulären Sicherungskopien werden nicht erneut produktiv verwendet und mit dem vorgesehenen Überschreibungszyklus, spätestens jedoch innerhalb von 30 Tagen nach Löschung der Produktivdaten, entfernt. Eine vorzeitige gezielte Löschung einzelner Daten aus technisch unveränderbaren Sicherungskopien ist nicht geschuldet, sofern der Zugriff auf diese Sicherungen beschränkt bleibt und die Daten nach Ablauf des Sicherungszyklus automatisch überschrieben werden.

Gesetzliche Aufbewahrungspflichten bleiben unberührt. Daten, die aufgrund einer gesetzlichen Verpflichtung weiter gespeichert werden müssen, werden gesperrt und ausschließlich für den gesetzlich vorgeschriebenen Zweck verarbeitet.

Der Auftragnehmer bestätigt dem Auftraggeber die erfolgte Löschung auf Wunsch in Textform.

13. Schlussbestimmungen

Bei Widersprüchen gehen die datenschutzrechtlichen Regelungen dieser Vereinbarung vor. Änderungen bedürfen mindestens der Textform.

Anlage 1 – Technische und organisatorische Maßnahmen

Zutritts- und Zugangskontrolle

• Hosting in professionell gesicherten STRATO-Rechenzentren in Deutschland,
• individuelle administrative Zugänge,
• Passwörter werden gehasht und nicht im Klartext gespeichert,
• Zwei-Faktor-Authentifizierung ist derzeit nicht Bestandteil der Standardversion.

Zugriffskontrolle und Mandantentrennung

• eigene Serverinstanz und eigene Datenbank je Kunde,
• Rollen Admin, Planung und Produktion,
• administrativer Kundendatenzugriff nur bei Supportbedarf,
• kein routinemäßiger Zugriff auf Kundendaten.

Übertragung und Speicherung

• verschlüsselte Übertragung über HTTPS/TLS,
• keine Klartextspeicherung von Passwörtern,
• keine zusätzliche vollständige Anwendungsverschlüsselung der SQLite-Datenbank,
• Serverzugänge auf notwendige Personen beschränkt.

Protokollierung

• Login- und Sicherheitsprotokolle: 30 Tage,
• Fehlerprotokolle: 14 Tage,
• ein eigenständiges Anwendungsprotokoll aller Supportzugriffe ist derzeit nicht vorhanden.

Verfügbarkeit und Wiederherstellung

• tägliche Backups innerhalb der STRATO-Infrastruktur,
• reguläre Backup-Aufbewahrung: fünf Tage,
• monatlicher Wiederherstellungstest,
• regelmäßige Sicherheits- und Systemupdates.

Löschung und Trennung

• logische und technische Trennung der Kundeninstanzen,
• Löschung der Produktivdaten innerhalb von 30 Tagen nach Vertragsende,
• Überschreiben verbliebener Sicherungskopien spätestens innerhalb von 30 Tagen.

Anlage 2 – Unterauftragsverarbeiter

Unterschriften

Stand: 22. Juni 2026