Vertrag zur Auftragsverarbeitung (Art. 28 DSGVO)

§ 1 Gegenstand, Dauer und Verhältnis der Parteien

Verantwortlicher im Sinne von Art. 4 Nr. 7 DSGVO ist die Feuerwehr bzw. die sie tragende Organisation, die das interne Wehr-Modul von Übungsretter nutzt. Auftragsverarbeiter im Sinne von Art. 4 Nr. 8 DSGVO ist Lukas Unsin (Übungsretter), Anschrift und Kontakt siehe Impressum.

Gegenstand ist die Verarbeitung personenbezogener Daten, die der Verantwortliche im internen Wehr-Modul (Mannschaft, Dienstpläne, Dokumentation von Übungsdiensten, Auswertungen, Druck- und Exportdokumente) einstellt oder erzeugt.

Die Vereinbarung beginnt mit der Annahme durch die Wehrführung und gilt für die Dauer der Nutzung des Wehr-Moduls. Sie endet mit der Beendigung der Nutzung; die Pflichten zur Löschung bzw. Rückgabe nach § 9 bleiben bestehen.

Für die öffentliche Übungsplattform, das Nutzerkonto, den Newsletter, die Zahlungsabwicklung sowie die Aktion „Übung des Monats“ ist Lukas Unsin selbst Verantwortlicher. Diese Verarbeitungen sind nicht Gegenstand dieser Vereinbarung.

§ 2 Art und Zweck der Verarbeitung

Zweck ist die Bereitstellung der internen Organisationsfunktionen: Verwaltung der Wehr-Stammdaten und Mannschaft, Rollen- und Rechtevergabe, Planung von Dienstplänen und Jahresplänen, Dokumentation durchgeführter Übungsdienste einschliesslich Teilnahme, Auswertung der Ausbildungslage sowie Erstellung von Druck-, Berichts- und Exportdokumenten.

Die Verarbeitung umfasst Erheben, Speichern, Ordnen, Verändern, Auslesen, Übermitteln an die berechtigten Mitglieder der Organisation, Einschränken und Löschen. Eine Verarbeitung zu eigenen Zwecken des Auftragsverarbeiters findet nicht statt; insbesondere werden diese Daten nicht für Werbung, Profilbildung oder Weitergabe an Dritte genutzt.

§ 3 Datenarten und Kategorien betroffener Personen

Verarbeitet werden insbesondere:

• Stammdaten der Organisation: Name, Ort, Anschriftsangaben, Logo, organisatorische Einstellungen.
• Mitglieds- und Mannschaftsdaten: Anzeigename bzw. Name, Zugehörigkeit zur Wehr, Funktion/Rolle, Berechtigungen je Planbereich, Kontoverknüpfung eingeladener Mitglieder.
• Dienstplandaten: Termine, Themen, Ausbildungsbereiche, Verantwortliche und Ausbilder, Orte, Zeiten, Notizen zur Planung.
• Dokumentationsdaten: Durchführungsvermerke, Teilnahme- bzw. Anwesenheitsangaben, Ausbildungsnachweise, Auswertungen zur Ausbildungslage.
• Kategorien betroffener Personen: aktive Angehörige der Einsatzabteilung, Angehörige von Jugend- und Kinderfeuerwehr, Ausbilderinnen und Ausbilder, Funktionsträger sowie eingeladene Personen.

§ 4 Keine besonderen Datenkategorien

Das Wehr-Modul ist nicht dafür bestimmt, besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO – insbesondere Gesundheits-, Sozial- oder Einsatzdaten betroffener Bürgerinnen und Bürger – zu verarbeiten. Der Verantwortliche stellt sicher, dass solche Daten nicht in Freitextfeldern eingetragen werden.

Bei Angehörigen von Jugend- und Kinderfeuerwehr handelt es sich regelmäßig um Daten Minderjähriger. Der Verantwortliche trägt dafür Sorge, dass die dafür erforderlichen Rechtsgrundlagen und Informationspflichten erfüllt sind.

§ 5 Weisungsbindung

Der Auftragsverarbeiter verarbeitet die Daten ausschliesslich auf dokumentierte Weisung des Verantwortlichen. Als Weisung gelten diese Vereinbarung, die Nutzung der bereitgestellten Funktionen sowie Weisungen in Textform an die im Impressum genannte Kontaktadresse.

Hält der Auftragsverarbeiter eine Weisung für rechtswidrig, teilt er dies unverzüglich mit und darf die Ausführung bis zur Klärung aussetzen.

Eine Verarbeitung aufgrund einer Rechtspflicht nach Unionsrecht oder dem Recht eines Mitgliedstaats bleibt zulässig; der Verantwortliche wird vorab informiert, sofern die Rechtsvorschrift dies nicht verbietet.

§ 6 Vertraulichkeit

Der Auftragsverarbeiter setzt zur Verarbeitung nur Personen ein, die zur Vertraulichkeit verpflichtet sind. Der Betrieb erfolgt derzeit ohne weitere Beschäftigte durch den Auftragsverarbeiter selbst; werden Personen hinzugezogen, werden sie vor Aufnahme der Tätigkeit auf die Vertraulichkeit verpflichtet und in die einschlägigen Pflichten eingewiesen.

Ein Zugriff auf Wehr-Daten durch die Betreiberseite erfolgt nur, soweit dies für Betrieb, Fehlersuche, Sicherheit oder auf Weisung des Verantwortlichen erforderlich ist.

§ 7 Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

Der Auftragsverarbeiter trifft die in der Anlage 1 beschriebenen Maßnahmen und hält sie während der Vertragslaufzeit auf einem dem Risiko angemessenen Stand. Maßnahmen dürfen weiterentwickelt werden, solange das Schutzniveau nicht unterschritten wird.

§ 8 Unterstützung des Verantwortlichen

Der Auftragsverarbeiter unterstützt den Verantwortlichen im Rahmen des technisch Möglichen bei der Erfüllung von Betroffenenrechten (Art. 12 bis 23 DSGVO), insbesondere durch Auskunfts-, Korrektur-, Export- und Löschfunktionen im Wehr-Modul und ergänzend auf Anfrage.

Wendet sich eine betroffene Person unmittelbar an den Auftragsverarbeiter, leitet dieser die Anfrage unverzüglich an den Verantwortlichen weiter und beantwortet sie nicht selbst.

Der Auftragsverarbeiter unterstützt den Verantwortlichen ferner bei den Pflichten nach Art. 32 bis 36 DSGVO, insbesondere bei der Sicherheit der Verarbeitung, bei Meldungen von Verletzungen und bei einer etwaigen Datenschutz-Folgenabschätzung, soweit die dafür erforderlichen Informationen beim Auftragsverarbeiter vorliegen.

§ 9 Verletzungen des Schutzes personenbezogener Daten

Der Auftragsverarbeiter meldet dem Verantwortlichen jede ihm bekannt gewordene Verletzung des Schutzes personenbezogener Daten unverzüglich nach Bekanntwerden in Textform an die hinterlegte Kontaktadresse der Organisation. Die Meldung enthält, soweit verfügbar, Art der Verletzung, betroffene Datenarten und Personenkreise, wahrscheinliche Folgen sowie ergriffene und vorgeschlagene Maßnahmen.

Meldungen an die Aufsichtsbehörde und Benachrichtigungen betroffener Personen obliegen dem Verantwortlichen.

§ 10 Löschung und Rückgabe nach Beendigung

Der Verantwortliche kann die im Wehr-Modul gespeicherten Daten jederzeit über die bereitgestellten Druck- und Exportfunktionen sichern.

Nach Beendigung der Nutzung werden die Wehr-Daten auf Weisung des Verantwortlichen gelöscht oder zurückgegeben. Ohne abweichende Weisung erfolgt die Löschung innerhalb von 90 Tagen nach Beendigung.

Gesetzliche Aufbewahrungspflichten – insbesondere handels- und steuerrechtliche Pflichten zu Rechnungs- und Vertragsunterlagen sowie die Aufbewahrung von Zustimmungs- und Vertragsnachweisen – bleiben unberührt. Diese Unterlagen sind keine Auftragsdaten im Sinne dieser Vereinbarung.

§ 11 Nachweise und Überprüfungen

Der Auftragsverarbeiter stellt dem Verantwortlichen auf Anfrage die zum Nachweis der Einhaltung dieser Vereinbarung erforderlichen Informationen zur Verfügung, insbesondere zu den Maßnahmen der Anlage 1 und zu den eingesetzten Unterauftragsverarbeitern.

Überprüfungen erfolgen vorrangig durch Auskünfte und Dokumentation. Vor-Ort-Prüfungen sind nach angemessener Vorankündigung, während üblicher Geschäftszeiten, ohne Störung des Betriebs und unter Wahrung der Rechte Dritter möglich.

§ 12 Unterauftragsverarbeiter

Der Verantwortliche erteilt die allgemeine Genehmigung zum Einsatz von Unterauftragsverarbeitern. Für das Wehr-Modul setzt der Auftragsverarbeiter derzeit einen Unterauftragsverarbeiter ein: Lovable. Über Lovable werden Hosting und Anwendungsinfrastruktur, die verwaltete Cloud-Infrastruktur (Datenbank, Authentifizierung, Dateispeicher) sowie der technische Versand der System-E-Mails bereitgestellt.

Die verwaltete Cloud-Infrastruktur beruht auf Supabase. Diese Leistung wird von Lovable verwaltet und bereitgestellt; eine unmittelbare Vertragsbeziehung zwischen dem Auftragsverarbeiter und Supabase besteht insoweit nicht. Supabase und die darunterliegende Infrastruktur sind damit Teil der von Lovable eingesetzten Unterauftragnehmerkette. Datenbank und Dateispeicher dieses Projekts werden nach der belegbaren Projektkonfiguration in der EU-Region Irland (AWS eu-west-1) betrieben.

Lovable kann für die Erbringung dieser Leistungen – insbesondere für Auslieferung, Betrieb und E-Mail-Versand – weitere eigene Unterauftragnehmer einsetzen. Maßgeblich sind insoweit die jeweils aktuellen Angaben von Lovable zu seinen Unterauftragnehmern.

• Lovable – Hosting, Anwendungsinfrastruktur, verwaltete Cloud-Infrastruktur für Datenbank, Authentifizierung und Dateispeicher sowie technischer Versand der System-E-Mails.
• Innerhalb der Lovable-Kette: Supabase als verwalteter Datenbank-, Auth- und Speicherdienst sowie die von diesen Diensten genutzte Rechenzentrumsinfrastruktur.

§ 13 Wechsel von Unterauftragsverarbeitern

Der Auftragsverarbeiter informiert über die beabsichtigte Hinzuziehung oder Ersetzung eines Unterauftragsverarbeiters mit angemessener Vorlaufzeit, in der Regel 30 Tage, in Textform an die hinterlegte Kontaktadresse der Organisation und durch Aktualisierung dieser Seite.

Der Verantwortliche kann innerhalb von 30 Tagen ab Information aus wichtigem, datenschutzrechtlichem Grund widersprechen. Kann die Änderung dann nicht mit vertretbarem Aufwand vermieden werden, ist der Verantwortliche berechtigt, die Nutzung des Wehr-Moduls mit Wirkung zum Änderungszeitpunkt zu beenden.

Der Auftragsverarbeiter verpflichtet Unterauftragsverarbeiter auf ein Schutzniveau, das dieser Vereinbarung entspricht.

Der transaktionale Versand von System-E-Mails – etwa Einladungen in das Wehr-Modul und sonstige wehrbezogene Benachrichtigungen – erfolgt über die Mail-Infrastruktur von Lovable und ist Bestandteil dieser Unterauftragskette. Dabei können die Empfänger-E-Mail-Adresse, der Bezug zur Wehr bzw. Organisation und der Inhalt der jeweiligen Nachricht verarbeitet werden.

Der Newsletterversand, der Zahlungsdienstleister und der KI-Assistent werden für die Verarbeitung der eigentlichen Wehr-Moduldaten nicht eingesetzt und sind insoweit keine Unterauftragsverarbeiter dieser Vereinbarung.

§ 14 Verarbeitung in Drittländern

Datenbank und Dateispeicher dieses Projekts werden nach der belegbaren Projektkonfiguration in der EU-Region Irland (AWS eu-west-1) betrieben.

Für die übrigen Leistungen – insbesondere Hosting und Auslieferung der Anwendung, Support- und Infrastrukturvorgänge sowie den technischen Versand der System-E-Mails – wird eine Verarbeitung oder ein Zugriff ausserhalb des EWR nicht pauschal ausgeschlossen.

Soweit dabei eine Verarbeitung ausserhalb des EWR stattfindet, erfolgt sie nur unter den Voraussetzungen der Art. 44 ff. DSGVO, insbesondere auf Grundlage eines Angemessenheitsbeschlusses oder der Standardvertragsklauseln nebst erforderlicher ergänzender Maßnahmen. Weitergehende Garantien werden nicht zugesagt.

§ 15 Pflichten des Verantwortlichen

Der Verantwortliche ist für die Rechtmäßigkeit der Verarbeitung und für die Rechtsgrundlage der von ihm eingestellten Daten verantwortlich, ebenso für Information und Transparenz gegenüber den betroffenen Personen.

Der Verantwortliche verwaltet die Rollen und Berechtigungen in seiner Wehr eigenverantwortlich, entfernt ausgeschiedene Personen zeitnah und beschränkt Einträge auf das für den Zweck Erforderliche.

Der Verantwortliche benennt eine erreichbare Kontaktadresse für Mitteilungen nach dieser Vereinbarung.

§ 16 Schlussbestimmungen

Änderungen dieser Vereinbarung erfolgen durch eine neue Fassung; die Wehrführung wird zur Annahme aufgefordert. Bereits erteilte Annahmen bleiben mit ihrer Fassung als Nachweis erhalten.

Sollte eine Bestimmung unwirksam sein, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt.

Bei Widersprüchen zwischen dieser Vereinbarung und sonstigen Bedingungen geht diese Vereinbarung für die Verarbeitung der Wehr-Daten vor.

Anlage 1 – Technische und organisatorische Maßnahmen

Weitere Informationen

Angaben zum Auftragsverarbeiter stehen im Impressum. Wie personenbezogene Daten außerhalb des Wehr-Moduls verarbeitet werden, steht in der Datenschutzerklärung. Die Leistungen von Übungsretter Pro beschreiben die Vertragsbedingungen.