OpenGewerk

Vertrag zur Auftragsverarbeitung

Eine Vorlage für den Vertrag zwischen einem Betreiber und dem Dienstleister, der seine Instanz von OpenGewerk Haustechnik betreibt, nach Art. 28 Abs. 3 DSGVO. Die technischen und organisatorischen Maßnahmen, die die Anwendung mitbringt, stehen als eigene Anlage dabei.

Nicht rechtlich geprüft.

Diese Vorlage ist im Projekt entstanden, und noch hat sie kein Fachanwalt gesehen. Sie ersetzt keine Rechtsberatung. Wer sie verwendet, lässt sie vor der Unterschrift prüfen. Sobald die Prüfung stattgefunden hat, steht das hier.

Wann es diesen Vertrag braucht

Verantwortlich für die Daten in einer Instanz ist der Betreiber, der mit ihr arbeitet. Betreibt ein Dienstleister die Instanz für ihn, richtet sie also ein, spielt Updates ein, sichert sie oder hat Zugang zu ihrem Server, ist er Auftragsverarbeiter, und beide schließen diesen Vertrag. Arbeiten mehrere Betreiber auf einer Instanz desselben Dienstleisters, schließt jeder seinen eigenen.

Betreibt der Betreiber die Instanz selbst, im eigenen Haus, braucht es für die Anwendung keinen solchen Vertrag; wer dort Zugang zum Server hat, regelt er intern. Mietet er nur den Server und betreibt die Instanz selbst, schließt er den Vertrag mit dem Anbieter des Servers, auf dessen Vorlage.

Das Projekt OpenGewerk ist in keinem Fall beteiligt. Die Anwendung meldet nichts an das Projekt, fragt keinen Lizenzserver und kennt keine Registrierung.

So wird die Vorlage benutzt

  • Die Linien füllen beide Seiten aus, von den Kästchen kreuzen sie an, was zutrifft.
  • Teil B der Anlage 1 und die Anlage 2 füllt der Dienstleister für seinen Betrieb aus. Teil A beschreibt die Anwendung und gilt für jede Instanz.
  • Gedruckt aus dem Browser kommt nur der Vertrag mit seinen Anlagen aufs Papier, ohne diese Erklärung.
  • Welche Daten über Beschäftigte wo stehen und wer sie sieht, sagt im Einzelnen die Verfahrensbeschreibung. Der Vertrag verweist auf sie, statt sie zu wiederholen.

Vertrag zur Auftragsverarbeitung nach Art. 28 Abs. 3 DSGVO

Vorlage von opengewerk.de für OpenGewerk Haustechnik, Stand 14.10.2026. Nicht rechtlich geprüft.

zwischen

Name oder Firma
Anschrift
vertreten durch

als Betreiber, der die Anwendung einsetzt, im Folgenden Verantwortlicher,

und

Name oder Firma
Anschrift
vertreten durch

als Dienstleister, der die Instanz betreibt, im Folgenden Auftragsverarbeiter.

§ 1 Gegenstand und Dauer

(1) Der Auftragsverarbeiter betreibt für den Verantwortlichen eine Instanz der Software OpenGewerk Haustechnik (im Folgenden: die Anwendung). Grundlage ist der Vertrag über vom (im Folgenden: der Hauptvertrag). Dieser Vertrag regelt, wie der Auftragsverarbeiter dabei mit personenbezogenen Daten umgeht.

(2) Zum Betrieb gehören die angekreuzten Leistungen:

  • der Server, auf dem die Instanz läuft
  • Einrichtung der Anwendung und das Einspielen neuer Fassungen
  • Sicherung und Rückspielen
  • Überwachung des Betriebs und Behebung von Störungen
  • die Verwaltung der Instanz: den Betreiber anlegen, den Mailserver der Instanz eintragen, Konten über die Kommandozeile zurückholen
  • Hilfe für die Nutzer bei Fragen zur Anwendung
  • Übernahme von Daten aus einer Vorgängeranwendung
  • weitere:

(3) Die Geräte, auf denen die Nutzer arbeiten, stellt der Verantwortliche. Für sie gilt dieser Vertrag nur, soweit Absatz 2 es nennt.

(4) Der Vertrag beginnt mit seiner Unterzeichnung und läuft so lange wie der Hauptvertrag. Er endet mit dem Hauptvertrag, ohne dass es einer Kündigung bedarf. § 11 gilt darüber hinaus, bis alle Daten zurückgegeben und gelöscht sind.

§ 2 Art und Zweck der Verarbeitung, Art der Daten, betroffene Personen

(1) Der Verantwortliche führt mit der Anwendung seine Pflichten als Betreiber von Gebäuden und Anlagen: Liegenschaften, Anlagen, Pflichten und Fristen, Prüfungen, Rundgänge, Mängel, Aufträge, Zähler, Aufgaben, Dokumente und die Nachweise darüber. Der Auftragsverarbeiter verarbeitet die Daten nur, soweit es der Betrieb der Instanz verlangt: er speichert, überträgt, sichert, stellt wieder her und löscht sie. Vom Inhalt nimmt er nur Kenntnis, soweit eine Leistung nach § 1 Abs. 2 es im Einzelfall verlangt, etwa um eine Störung zu beheben.

(2) Verarbeitet werden, je nachdem, was der Verantwortliche nutzt:

  • Konten: Name, E-Mail-Adresse, Anmeldedaten (das Passwort als Hash, der zweite Faktor und seine Wiederherstellungscodes verschlüsselt, Passkeys), Sitzungen und Geräte, An- und Abmeldungen, und die Netzadresse einer Anmeldung, soweit der vorgeschaltete Webserver sie durchreicht;
  • Zugehörigkeit zum Verantwortlichen: Rollen, Bereiche, Vertretungen, Einladungen und Sperren;
  • Angaben aus der Arbeit: wer eine Pflicht verantwortet, einen Vorgang ausführt oder eine Aufgabe hat, Unterschriften mit Zeitpunkt und einer Angabe zum Gerät, Zählerstände mit der ablesenden Person, Notizen, die Angabe der letzten Änderung an jedem Datensatz und das Änderungsprotokoll;
  • Benachrichtigungen: E-Mails im Postausgang, Push-Nachrichten und die Adresse, die ein Browser für Push ausgibt;
  • Angaben über Dritte: Ansprechpartner einer Liegenschaft mit Name, Funktion, E-Mail-Adresse und Telefonnummer, Name und Organisation eines Prüfers;
  • Dokumente, Fotos und freie Texte, die Nutzer ablegen oder schreiben und die Personen nennen oder zeigen können.

Im Einzelnen sagt das die Verfahrensbeschreibung, die zur eingesetzten Fassung der Anwendung gehört. Besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO sieht die Anwendung nicht vor.

  • Der Verantwortliche legt dennoch solche Daten ab, und zwar:

(3) Betroffen sind die Beschäftigten des Verantwortlichen und andere Personen mit einem Konto, etwa Beschäftigte eines Dienstleisters; die Ansprechpartner an den Liegenschaften; Prüfer und Beschäftigte von Fremdfirmen, die in Nachweisen und Berichten genannt sind; Personen, die auf Fotos oder in Dokumenten vorkommen.

  • Weitere:

§ 3 Weisungen

(1) Der Auftragsverarbeiter verarbeitet die Daten nur auf dokumentierte Weisung des Verantwortlichen, auch bei einer Übermittlung in ein Drittland oder an eine internationale Organisation. Das gilt nicht, wenn ihn das Recht der Union oder eines Mitgliedstaats, dem er unterliegt, zu einer Verarbeitung verpflichtet. Dann teilt er dem Verantwortlichen diese Pflicht vor der Verarbeitung mit, es sei denn, das betreffende Recht verbietet eine solche Mitteilung wegen eines wichtigen öffentlichen Interesses.

(2) Weisungen sind dieser Vertrag, der Hauptvertrag und was der Verantwortliche in der Anwendung selbst einstellt, etwa Rollen, Bereiche und Zugänge. Weitere Weisungen erteilt er in Textform an die Ansprechpartner nach § 10. Eine mündliche Weisung bestätigt er unverzüglich in Textform.

(3) Ist der Auftragsverarbeiter der Auffassung, dass eine Weisung gegen die DSGVO oder andere Vorschriften über den Datenschutz verstößt, informiert er den Verantwortlichen unverzüglich. Er darf die Weisung aussetzen, bis der Verantwortliche sie bestätigt oder ändert.

(4) Kopien der Daten fertigt der Auftragsverarbeiter nur an, soweit der Betrieb sie verlangt, wie die Sicherungen, oder eine gesetzliche Pflicht.

§ 4 Vertraulichkeit

(1) Der Auftragsverarbeiter setzt nur Personen ein, die zur Vertraulichkeit verpflichtet sind oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen, und macht sie mit den Vorschriften über den Datenschutz vertraut. Die Verpflichtung gilt über das Ende ihrer Tätigkeit hinaus.

(2) Zugang zum Server, zur Datenbank und zu den Sicherungen haben nur die Personen, die der Auftragsverarbeiter dafür braucht. Wer diesen Zugang hat, kann alles lesen, was in der Instanz steht; das ist der Grund für diesen Absatz.

§ 5 Sicherheit der Verarbeitung

(1) Der Auftragsverarbeiter ergreift die Maßnahmen nach Art. 32 DSGVO. Welche das sind, steht in Anlage 1: Teil A beschreibt, was die Anwendung mitbringt, Teil B, was der Auftragsverarbeiter beim Betrieb sicherstellt.

(2) Die Maßnahmen dürfen dem technischen Fortschritt folgen, solange das Schutzniveau nicht sinkt. Eine wesentliche Änderung dokumentiert der Auftragsverarbeiter und teilt sie dem Verantwortlichen in Textform mit.

(3) Neue Fassungen der Anwendung spielt der Auftragsverarbeiter innerhalb von Tagen nach ihrem Erscheinen ein, eine Fassung mit einer Sicherheitskorrektur innerhalb von Tagen. Das Projekt liefert eine Sicherheitskorrektur nur für die jeweils neueste Fassung aus.

§ 6 Ort der Verarbeitung

(1) Die Daten werden in der Europäischen Union oder im Europäischen Wirtschaftsraum verarbeitet. Eine Übermittlung in ein Drittland erfolgt nur auf vorherige dokumentierte Weisung des Verantwortlichen und nur, wenn die Voraussetzungen der Art. 44 bis 49 DSGVO erfüllt sind.

(2) Push-Nachrichten gehen über den Push-Dienst, den der Browser des empfangenden Geräts vorgibt, also über einen Dienst des Herstellers des Browsers, der seinen Sitz auch außerhalb der Union haben kann. Der Auftragsverarbeiter wählt diesen Dienst nicht aus. Der Inhalt einer Push-Nachricht ist auf diesem Weg verschlüsselt, und er nennt keinen Namen, keinen Ort und keinen eingetippten Text. Push kommt nur auf ein Gerät, auf dem die Person es selbst eingeschaltet hat.

  • Der Verantwortliche bittet seine Beschäftigten, Push nicht einzuschalten.

§ 7 Unterauftragsverarbeiter

(1) Der Verantwortliche genehmigt die in Anlage 2 genannten Unterauftragsverarbeiter.

(2) Für weitere Unterauftragsverarbeiter gilt, was angekreuzt ist:

  • Allgemeine Genehmigung: Der Auftragsverarbeiter teilt die beabsichtigte Hinzuziehung oder Ersetzung mindestens Wochen vorher in Textform mit. Der Verantwortliche kann innerhalb dieser Frist aus einem wichtigen Grund des Datenschutzes widersprechen. Dann unterbleibt die Änderung, oder, wo das dem Auftragsverarbeiter nicht zumutbar ist, kann jede Seite den Hauptvertrag und diesen Vertrag zum Zeitpunkt der Änderung kündigen.
  • Gesonderte Genehmigung: Ein weiterer Unterauftragsverarbeiter braucht die vorherige Genehmigung des Verantwortlichen in Textform.

(3) Der Auftragsverarbeiter erlegt jedem Unterauftragsverarbeiter vertraglich dieselben Pflichten zum Datenschutz auf wie dieser Vertrag ihm, insbesondere hinreichende Garantien für geeignete technische und organisatorische Maßnahmen. Kommt ein Unterauftragsverarbeiter seinen Pflichten nicht nach, haftet der Auftragsverarbeiter dem Verantwortlichen dafür wie für eigene.

(4) Keine Unterauftragsverarbeitung sind Leistungen, die der Auftragsverarbeiter als Nebenleistung in Anspruch nimmt, ohne dass ein Dritter dabei auf die Daten zugreifen kann, etwa Telekommunikation. Auch das Projekt OpenGewerk ist kein Unterauftragsverarbeiter: es erhält aus der Instanz keine Daten.

§ 8 Unterstützung des Verantwortlichen

(1) Der Auftragsverarbeiter unterstützt den Verantwortlichen mit geeigneten technischen und organisatorischen Maßnahmen dabei, Anträge betroffener Personen nach Kapitel III der DSGVO zu beantworten. Einen Antrag, der bei ihm eingeht, leitet er unverzüglich an den Verantwortlichen weiter und beantwortet ihn nicht selbst. Wo die Anwendung eine Maßnahme nicht selbst anbietet (Anlage 1, A.9), stimmen beide ab, wie sie umgesetzt wird, und der Auftragsverarbeiter wirkt mit.

(2) Er unterstützt den Verantwortlichen bei dessen Pflichten nach Art. 32 bis 36 DSGVO, also bei der Sicherheit, bei der Meldung einer Verletzung des Schutzes personenbezogener Daten, bei einer Datenschutz-Folgenabschätzung und einer vorherigen Konsultation der Aufsichtsbehörde, mit den Informationen, die ihm zur Verfügung stehen.

(3) Bemerkt der Auftragsverarbeiter eine Verletzung des Schutzes personenbezogener Daten, meldet er sie dem Verantwortlichen unverzüglich, spätestens innerhalb von Stunden. Die Meldung enthält, soweit bekannt, die Angaben nach Art. 33 Abs. 3 DSGVO; was noch fehlt, reicht er nach, sobald er es weiß. Er ergreift sofort, was die Daten sichert und die Folgen mindert. Die Meldung an die Aufsichtsbehörde und an betroffene Personen ist Sache des Verantwortlichen.

(4) Ob und wie die Unterstützung vergütet wird, regelt der Hauptvertrag.

§ 9 Nachweise und Kontrollen

(1) Der Auftragsverarbeiter stellt dem Verantwortlichen alle Informationen zur Verfügung, die er braucht, um die Einhaltung der Pflichten aus Art. 28 DSGVO nachzuweisen. Er führt ein Verzeichnis nach Art. 30 Abs. 2 DSGVO.

(2) Er ermöglicht Überprüfungen einschließlich Inspektionen durch den Verantwortlichen oder einen von ihm beauftragten Prüfer, der zur Verschwiegenheit verpflichtet ist, und trägt dazu bei. Eine Inspektion wird in der Regel Tage vorher angekündigt und findet zu den üblichen Geschäftszeiten statt, ohne den Betrieb mehr als nötig zu stören. Als Nachweis dienen kann auch eine Zertifizierung oder die Einhaltung genehmigter Verhaltensregeln nach Art. 40 und 42 DSGVO.

(3) Ein Datenschutzbeauftragter ist beim Auftragsverarbeiter

  • bestellt:
  • nicht bestellt, weil keine Pflicht dazu besteht.

§ 10 Ansprechpartner

Für Weisungen beim Verantwortlichen
Für Weisungen und Meldungen beim Auftragsverarbeiter
Für Meldungen nach § 8 Abs. 3 beim Verantwortlichen

Ändert sich ein Ansprechpartner, teilt die Seite das der anderen in Textform mit.

§ 11 Rückgabe und Löschung

(1) Endet die Leistung, entscheidet der Verantwortliche, ob die Daten zurückgegeben und dann gelöscht oder nur gelöscht werden. Zurückgegeben werden sie als Archiv der Sicherung, das Datenbank und Dateispeicher zusammen enthält und sich in eine andere Instanz zurückspielen lässt.

  • Das Archiv wird an einen Schlüssel verschlüsselt, den der Verantwortliche nennt.

(2) Danach löscht der Auftragsverarbeiter alle Daten des Verantwortlichen einschließlich der Kopien innerhalb von Tagen. Sicherungen löscht er spätestens, wenn ihre Aufbewahrung nach Anlage 1, B.5 abläuft. Das gilt nicht, soweit das Recht der Union oder eines Mitgliedstaats eine Speicherung verlangt. Die Löschung bestätigt er in Textform.

§ 12 Haftung

Für die Haftung gegenüber betroffenen Personen gilt Art. 82 DSGVO. Im Verhältnis der Parteien zueinander gilt die Regelung des Hauptvertrags, soweit Art. 82 DSGVO nichts anderes bestimmt.

§ 13 Schlussbestimmungen

(1) Dieser Vertrag und seine Änderungen werden schriftlich abgefasst, was auch in einem elektronischen Format geschehen kann (Art. 28 Abs. 9 DSGVO).

(2) Widerspricht der Hauptvertrag diesem Vertrag in einer Frage des Datenschutzes, geht dieser Vertrag vor.

(3) Ist eine Bestimmung unwirksam, bleiben die übrigen wirksam. An die Stelle der unwirksamen tritt eine, die ihrem Zweck am nächsten kommt.

(4) Es gilt das Recht der Bundesrepublik Deutschland.

Für den Verantwortlichen

Ort, Datum
Name
Unterschrift

Für den Auftragsverarbeiter

Ort, Datum
Name
Unterschrift

Anlage 1: Technische und organisatorische Maßnahmen

Nach Art. 32 DSGVO. Teil A beschreibt, was die Anwendung mitbringt, auf jeder Instanz gleich, für den Stand (Fassung oder Datum). Er ist derselbe Text, aus dem eine Instanz die Maßnahmen eines Betreibers erzeugt, und jede Aussage darin nennt dort ihren Beleg aus der Verfahrensbeschreibung, den ein Test gegen den Quelltext hält. Teil B füllt der Auftragsverarbeiter für seinen Betrieb aus; in einer Instanz trägt er ihn im Bereich der Instanz unter „Maßnahmen“ ein.

Teil A: Was die Anwendung mitbringt

A.1 Anmeldung

  • Ein Konto entsteht nur bei der Ersteinrichtung, über eine Einladung oder über die Kommandozeile des Servers; eine offene Registrierung gibt es nicht. Der Link einer Einladung gilt sieben Tage.
  • Angemeldet wird mit Passwort oder Passkey. Das Passwort steht nur als Hash in der Datenbank (Argon2id).
  • Der zweite Faktor, ein Code aus einer App, ist Pflicht für die Rolle Leitung und für die Verwaltung der Instanz und für alle anderen empfohlen. Er und seine Wiederherstellungscodes stehen verschlüsselt in der Datenbank (AES-256-GCM).
  • Versuche der Anmeldung werden je Netzadresse und Weg für kurze Zeit gezählt und begrenzt.
  • Eine Sitzung endet nach zwölf Stunden, ein Gerät für die Arbeit ohne Netz bleibt dreißig Tage angemeldet. Jede Person sieht und beendet ihre Sitzungen, die Leitung meldet Geräte ihrer Beschäftigten ab. Wird eine Zugehörigkeit gesperrt oder ist ihr letzter Tag vorbei, endet, was die Person dort offen hat.
  • Das Cookie der Sitzung geht nur über eine verschlüsselte Verbindung, und Anfragen, die von einer fremden Seite kommen, nimmt der Server nicht an.

A.2 Rechte und Trennung

  • Jede Rolle hat feste Rechte, die mitgelieferten wie die eigenen eines Betreibers, und eine eigene Rolle bekommt kein Recht, das der Leitung vorbehalten ist. Der Server prüft das Recht an jeder Adresse, die er beantwortet.
  • Die Datenbank trennt die Betreiber einer Instanz Zeile für Zeile, auch gegenüber dem Eigentümer der Tabellen. Zwei Betreiber auf derselben Instanz sehen nichts voneinander.
  • Zuständigkeitsbereiche setzt ebenfalls die Datenbank durch: eine Person sieht nur die Liegenschaften ihrer Bereiche, und ihr Gerät hält nur diese.
  • Ein Prüfer von außen liest nur Pflichten und Nachweise der Liegenschaften und Anlagenarten seines Zugangs und ändert nichts; nach dem letzten Tag seines Zugangs sieht er nichts mehr, und jeder seiner Zugriffe wird aufgeschrieben.
  • Wer die Instanz verwaltet, sieht je Betreiber den Namen, wer ihn leitet, und wie viele dort arbeiten, und nichts von dem, was in ihm steht.
  • Das Änderungsprotokoll und die Zugänge sieht nur die Leitung.
  • Eine Tabelle zum Herunterladen bekommt nur, wer die Liste sehen darf, und eine Person nennt sie nur der Leitung.

A.3 Übertragung

  • Die Anwendung verlangt eine verschlüsselte Verbindung: das Cookie der Sitzung ist darauf beschränkt, und der Server setzt Strict-Transport-Security. Die Verschlüsselung selbst stellt der vorgeschaltete Webserver her (B.4).
  • Eine Content-Security-Policy erlaubt dem Browser nur Verbindungen zur eigenen Instanz. Inhalte von fremden Servern, Telemetrie und einen Lizenzserver gibt es nicht.
  • E-Mails an ein Konto gehen über den Mailserver der Instanz, E-Mails eines Betreibers über dessen eigenen. Das Passwort eines Mailservers steht versiegelt in der Datenbank (AES-256-GCM) und wird nie wieder angezeigt.
  • Eine Benachrichtigung nennt, was ansteht, und den Tag, aber keinen Namen, keinen Ort und keinen eingetippten Text. Eine Push-Nachricht ist auf dem Weg über den Push-Dienst verschlüsselt.
  • Die Geräte gleichen über dieselbe verschlüsselte Verbindung ab. Wer einen Datensatz zuletzt geändert hat, wann und von welchem Gerät, bekommt kein Gerät.

A.4 Integrität und Eingabekontrolle

  • Jede Änderung an einem Datensatz steht im Änderungsprotokoll, Feld für Feld mit dem Wert davor und danach, mit Person, Zeitpunkt, Gerät und Weg.
  • Das Protokoll wird nur ergänzt. Keinen Eintrag ändert oder löscht jemand, auch nicht der Eigentümer der Tabellen; jeder Eintrag verweist über einen Fingerabdruck auf seinen Vorgänger, und eine Prüfung der Kette findet einen Eintrag, der an der Anwendung vorbei verändert wurde. Einen Wert schwärzt nur die Leitung, mit Grund, und die Kette bleibt dabei ganz.
  • Ein Nachweis wird beim Festschreiben eingefroren, mit einer Prüfsumme (SHA-256) über seinen Stand, die der Server berechnet. Berichtigt wird er durch einen neuen Nachweis, der den alten nennt.
  • Unterschrieben wird im Namen des angemeldeten Kontos. Die Person setzt der Server ein, nicht das Gerät.
  • Was jemand entfernt, wird als entfernt markiert und nicht gelöscht; die Anwendung hat in der Datenbank kein Recht, eine solche Zeile zu löschen. Gelöscht oder geleert wird nur, was das Löschkonzept nennt.
  • Abgelegte Dateien liegen unter der Prüfsumme ihres Inhalts, und das Rückspielen einer Sicherung prüft jede Datei dagegen.

A.5 Verfügbarkeit und Wiederherstellung

  • Jede Nacht sichert die Instanz Datenbank und Dateispeicher zusammen in ein Archiv und holt eine verpasste Sicherung nach. Nach der Vorgabe bleiben vierzehn Generationen.
  • Ein Archiv lässt sich an einen öffentlichen Schlüssel verschlüsseln (age), dessen privater Teil an einem anderen Ort liegt. Ohne Schlüssel entsteht es unverschlüsselt.
  • Zum Rückspielen und zum Prüfen eines Archivs gibt es je einen Befehl. Wann zuletzt gesichert wurde, zeigen die Einstellungen; ist die letzte Sicherung älter als zwei Tage, steht im Büro eine rote Leiste.
  • Ein Update spielt zuerst die Migrationen ein und tauscht erst danach die laufenden Container. Scheitert eine Migration, arbeitet die Instanz auf dem Stand davor weiter.
  • Ohne Netz arbeiten die Geräte vor Ort weiter und gleichen ab, sobald es wieder Netz gibt.

A.6 Geräte der Nutzer

  • Ein Gerät hält nur, was seine Person nach ihren Bereichen sieht, und das eines Prüfers nur, was sein Zugang erlaubt.
  • Beim Abmelden löscht die Anwendung die lokale Ablage des Geräts, für jeden Betreiber, bei dem die Person angemeldet war.

A.7 Datenschutz durch Technikgestaltung

  • Keine Statistik, keine Rangliste und keine Zahl je Person: Auswertungen nennen niemanden und gruppieren nach keiner Person.
  • Push schaltet jede Person für sich selbst ein und wählt die Anlässe; der Betreiber hat dafür keinen Schalter.
  • Was die Anwendung über eine Person hält, gibt sie als Auskunft vollständig heraus, und die Angaben eines beendeten Zugangs entfernt sie nach der Frist, die der Betreiber einstellt.

A.8 Regelmäßige Überprüfung

  • Jede Zusage der Verfahrensbeschreibung hat einen Test, der bei jeder Änderung am Quelltext läuft, und ein Test hält die Verfahrensbeschreibung und diese Maßnahmen selbst gegen den Quelltext.
  • Jede Änderung durchläuft vor der Übernahme eine Prüfung auf Sicherheit und eine statische Analyse des Quelltexts.
  • Eine Sicherheitslücke wird über ein privates Formular gemeldet, behoben und als Advisory veröffentlicht. Die Korrektur bekommt die neueste Fassung.

A.9 Was die Anwendung noch nicht selbst kann

  • Was an keinem Nachweis hängt, löscht sie nicht nach einer Frist: Mängel, Aufgaben, Zählerstände, Buchungen im Lager und das Protokoll der Zugriffe eines Prüfers bleiben, solange die Instanz besteht. Das Löschkonzept nennt sie.
  • Ein Konto löscht sie nicht ganz: nach dem Ende eines Zugangs gehen Adresse, Passkeys und Geräte, der Name bleibt bei dem, was die Person unterschrieben hat.
  • Die Dateien eines Dokuments, das jemand aus der Ablage nimmt, bleiben im Dateispeicher. Die Dokumente eines geleerten Vorgangs gehen mit ihren Fassungen endgültig, und die Bytes einer Datei, die danach kein Betreiber mehr hält, nimmt die Anwendung nach einem Tag aus dem Dateispeicher.
  • Die lokale Ablage eines Geräts verschlüsselt sie nicht eigens. Sie ist so geschützt wie das Gerät und sein Browser; Sperre und Verschlüsselung des Geräts sind Sache dessen, der es stellt.

Teil B: Was der Auftragsverarbeiter beim Betrieb sicherstellt

B.1 Server und Standort

Land und Ort des Servers
Rechenzentrum oder Raum

B.2 Zutritt zum Server

  • Rechenzentrum mit Zutrittskontrolle des Anbieters (Anlage 2)
  • eigener Raum, verschlossen, Schlüssel bei:

B.3 Zugang zum Server und zur Datenbank

  • Anmeldung am Server nur mit Schlüssel, nicht mit Passwort
  • eine Firewall lässt nur die nötigen Ports durch
  • Anwendung und Datenbank sind nur über den vorgeschalteten Webserver erreichbar
Personen mit Zugang zum Server
Wo die Schlüssel der Instanz liegen (die Datei .env)

B.4 Verschlüsselung

  • der vorgeschaltete Webserver liefert die Instanz nur über https mit einem gültigen Zertifikat aus
  • die Datenträger des Servers sind verschlüsselt
  • die Sicherungen sind verschlüsselt (A.5), der private Schlüssel liegt bei:

B.5 Sicherung

Ziel der Sicherungen
Aufbewahrte Generationen
Rückspielen zur Probe, alle
Monate
  • die Sicherungen liegen nicht auf demselben Datenträger wie die Instanz

B.6 Aktualisierung

  • Sicherheitsupdates des Betriebssystems laufen automatisch
  • neue Fassungen der Anwendung nach § 5 Abs. 3
  • vor jedem Update eine Sicherung von Hand

B.7 Protokolle des Servers

Was der Webserver protokolliert, und wie lange
  • der Webserver reicht die Netzadresse der Anfrage an die Anwendung durch (A.1, § 2 Abs. 2)

B.8 Personal

  • alle Personen mit Zugang sind auf Vertraulichkeit verpflichtet (§ 4)
  • sie sind im Datenschutz unterwiesen, zuletzt am:

B.9 Weitere Maßnahmen

Anlage 2: Unterauftragsverarbeiter

Typisch sind der Anbieter des Servers oder des Rechenzentrums, der Ort der Sicherungen und der Anbieter des Mailservers der Instanz. Den Mailserver eines Betreibers trägt der Verantwortliche selbst ein; er gehört nicht in diese Liste.

Name und AnschriftLeistungOrt der Verarbeitung
   
   
   
   

Stand der Vorlage: 19.10.2026. Nicht rechtlich geprüft.