Auftragsverarbeitungsvertrag

Nach Art. 28 DSGVO · Fassung 1.0 (1. September 2026)

§ 1 Vertragspartner, Gegenstand und Dauer

Verantwortlicher im Sinne der DSGVO ist der Kunde. Auftragsverarbeiter ist Automatisierung mit System LLC — Limited Liability Company (Wyoming, USA), 30 N Gould St Ste R, Sheridan, WY 82801, Vereinigte Staaten von Amerika.

Der Auftragsverarbeiter stellt die Anwendung „Die HygieneApp“ zur Dokumentation von Hygienemaßnahmen bereit. Personenbezogene Daten werden ausschließlich zur Erbringung dieser Leistung verarbeitet. Die Laufzeit entspricht der des Hauptvertrags.

§ 2 Art und Zweck, Datenarten, betroffene Personen

Zweck: Betrieb einer Anwendung zur Erfassung und Dokumentation von Hygiene-, Reinigungs-, Desinfektions-, Sterilisations- und Unterweisungsvorgängen sowie zur Erzeugung prüffähiger Nachweise.

Betroffene Personen:

Beschäftigte des Verantwortlichen als Nutzerinnen und Nutzer
Leitungs- und verantwortliche Personen des Verantwortlichen
externe Prüferinnen und Prüfer mit befristetem Lesezugang

Datenarten:

Stammdaten: Name, dienstliche E-Mail-Adresse, Rolle, Standortzuordnung
Zugangsdaten: Kennwort ausschließlich als argon2id-Hash, Zeitpunkt der letzten Anmeldung
Tätigkeitsdaten: erledigte Aufgaben mit Zeitpunkt und ausführender Person
Nachweisdaten: Unterschriften und Nachweisfotos
Unterweisungsdaten: Teilnahme und Unterschrift
Protokolldaten: Zugriffs- und Änderungsprotokolle

Keine Gesundheitsdaten von Kundinnen und Kunden des Verantwortlichen. Die Anwendung ist dafür nicht bestimmt und sieht dafür keine Felder vor. Der Verantwortliche verpflichtet sich, solche Daten nicht einzustellen.

§ 3 Weisungsgebundenheit

Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen. Weisungen erfolgen in Textform. Hält der Auftragsverarbeiter eine Weisung für rechtswidrig, teilt er dies unverzüglich mit und darf ihre Ausführung aussetzen.

§ 4 Vertraulichkeit

Der Auftragsverarbeiter setzt nur Personen ein, die zur Vertraulichkeit verpflichtet wurden oder einer gesetzlichen Verschwiegenheitspflicht unterliegen. Die Verpflichtung wirkt über das Ende der Tätigkeit hinaus.

§ 5 Technische und organisatorische Maßnahmen

Es gelten die Maßnahmen nach Anlage 1 (Art. 32 DSGVO). Sie dürfen fortentwickelt werden, sofern das Schutzniveau nicht unterschritten wird.

§ 6 Unterauftragsverarbeiter

Der Verantwortliche genehmigt die in Anlage 2 genannten Unterauftragsverarbeiter. Über beabsichtigte Änderungen wird er mindestens vier Wochen vorab informiert und kann innerhalb von zwei Wochen widersprechen.

§ 7 Unterstützungspflichten

Der Auftragsverarbeiter unterstützt bei Betroffenenrechten nach Kapitel III DSGVO, bei der Sicherheit nach Art. 32, bei Meldungen nach Art. 33 und 34 sowie bei einer Folgenabschätzung nach Art. 35. Auskunft, Export und Löschung sind aus der Oberfläche heraus möglich, ohne Eingriff der Entwicklung.

§ 8 Meldung von Verletzungen

Der Auftragsverarbeiter meldet jede Verletzung des Schutzes personenbezogener Daten unverzüglich, spätestens innerhalb von 24 Stunden nach Bekanntwerden — damit der Verantwortliche seine Frist von 72 Stunden gegenüber der Aufsichtsbehörde einhalten kann.

§ 9 Löschung und Rückgabe

Nach Vertragsende löscht der Auftragsverarbeiter alle personenbezogenen Daten oder gibt sie zurück, nach Wahl des Verantwortlichen. Vor der Löschung steht ein vollständiger Export in einem gängigen, maschinenlesbaren Format bereit. Löschung spätestens 30 Tage nach Vertragsende, Sicherungskopien spätestens nach 90 Tagen.

Bitte beachten: Hygienenachweise unterliegen je nach Bundesland Aufbewahrungsfristen von bis zu 30 Jahren. Für die Aufbewahrung nach Vertragsende ist der Verantwortliche selbst zuständig — deshalb ist der Export vor Löschung zwingend vorgesehen.

§ 10 Nachweise und Kontrollen

Der Auftragsverarbeiter stellt alle erforderlichen Informationen zum Nachweis der Einhaltung bereit und ermöglicht Überprüfungen nach angemessener Vorankündigung während der üblichen Geschäftszeiten.

§ 11 Ort der Verarbeitung

Die Verarbeitung erfolgt ausschließlich innerhalb der Europäischen Union. Eine Übermittlung in Drittländer findet nicht statt.

§ 12 Schlussbestimmungen

Änderungen bedürfen der Textform. Bei Widersprüchen zum Hauptvertrag geht dieser Vertrag vor, soweit die Verarbeitung personenbezogener Daten betroffen ist. Ist eine Bestimmung unwirksam, bleibt der übrige Vertrag wirksam.

Anlage 1 — Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

Bereich	Maßnahme
Zutritt	Rechenzentrum der Hetzner Online GmbH in Deutschland mit Zutrittskontrolle, Videoüberwachung und Alarmierung.
Zugang	Anmeldung nur mit persönlichem Konto. Kennwörter ausschließlich als argon2id-Hash. Automatische Abmeldung nach Ablauf der Sitzung. Schutz gegen wiederholtes Ausprobieren.
Zugriff	Rollen mit abgestuften Rechten: Inhaber, Leitung, Mitarbeitende, Prüfer. Zugriff nur auf Daten des eigenen Betriebs.
Trennung	Mandantentrennung auf Datenbankebene (Row Level Security), nicht nur in der Anwendung. Ein Programmierfehler kann die Trennung nicht aushebeln.
Weitergabe	TLS für alle Verbindungen. Sicherungen getrennt vom Produktivsystem. Keine Weitergabe an Dritte außer den in Anlage 2 genannten.
Eingabe	Vollständiges Zugriffs- und Änderungsprotokoll. Nachweiseinträge sind unveränderbar und über eine Prüfsummenkette verknüpft; eine Berichtigung erfolgt nur als neuer, verweisender Eintrag.
Verfügbarkeit	Tägliche automatische Sicherung, getrennt abgelegt. Wiederherstellung wird mindestens halbjährlich getestet und dokumentiert.
Belastbarkeit	Überwachung der Erreichbarkeit mit automatischem Neustart. Regelmäßige Sicherheitsaktualisierungen.
Löschung	Löschkonzept mit Fristen je Datenart. Ausscheidende Beschäftigte können gelöscht werden, ohne die Nachweiskette zu brechen.
Betroffenenrechte	Auskunft, Export und Löschung aus der Oberfläche heraus.
Überprüfung	Jährliche Überprüfung dieser Maßnahmen mit schriftlichem Ergebnisvermerk.

Anlage 2 — Unterauftragsverarbeiter

Anbieter	Leistung	Ort
Hetzner Online GmbH	Server- und Rechenzentrumsbetrieb	Deutschland

Weitere Dienste — etwa für Mailversand oder Zahlungsabwicklung — werden erst nach Aufnahme in diese Anlage und nach vorheriger Mitteilung eingesetzt.