Zum Inhalt springen
Pflanzpass

Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO

zwischen dem Betrieb, der sich bei Pflanzpass registriert (Verantwortlicher), und SnippetLab, Inhaber Alexander Hinze, Ludwigshöheweg 34, 12559 Berlin (Auftragsverarbeiter). Der Vertrag wird bei der Registrierung in elektronischer Form abgeschlossen (Art. 28 Abs. 9 DSGVO); der Zeitpunkt wird gespeichert.

1. Gegenstand und Dauer

1.1 Der Auftragsverarbeiter stellt dem Verantwortlichen die Software Pflanzpass bereit und verarbeitet dabei personenbezogene Daten, die der Verantwortliche oder seine Nutzer eingeben oder hochladen.

1.2 Der Vertrag gilt, solange der Verantwortliche ein Konto bei Pflanzpass hat, und endet mit der Löschung der Daten nach Ziffer 10.

2. Art und Zweck der Verarbeitung

Speichern, Anzeigen, Auswerten, Exportieren und Löschen der Daten, um die Rückverfolgbarkeit nach Art. 69 und 70 VO (EU) 2016/2031 zu dokumentieren, Pflanzenpässe, Etiketten und Lieferscheine zu erstellen, Eigenkontrollen zu erfassen, Berichte für den Pflanzenschutzdienst vorzubereiten und an Fristen zu erinnern.

3. Art der Daten und betroffene Personen

  • Betroffene: Inhaber und Mitarbeitende des Betriebs (Nutzer des Kontos), Kunden des Betriebs (gewerbliche Abnehmer und Privatkunden), Ansprechpartner bei Lieferanten, Ansprechpartner beim zuständigen Pflanzenschutzdienst.
  • Daten: Name, E-Mail-Adresse und Rolle der Nutzer; welcher Nutzer welche Kontrolle erfasst und welchen Pass ausgestellt hat; Name, Anschrift, Registriernummer, Lieferadressen und Lieferungen der Kunden; Name, Registriernummer, Land und Kontakt der Lieferanten; Name und E-Mail-Adresse des Pflanzenschutzdienstes; hochgeladene Dokumente wie Lieferscheine, Etikett- und Kontrollfotos und Bescheide, soweit sie personenbezogene Daten enthalten; Protokoll, welcher Nutzer wann welche wesentliche Änderung vorgenommen hat.
  • Besondere Kategorien nach Art. 9 DSGVO sind nicht Gegenstand der Verarbeitung. Der Verantwortliche lädt keine Dokumente mit solchen Daten hoch.

4. Weisungen (Art. 28 Abs. 3 lit. a DSGVO)

4.1 Der Auftragsverarbeiter verarbeitet die Daten nur auf dokumentierte Weisung des Verantwortlichen, auch in Bezug auf die Übermittlung in ein Drittland, es sei denn, er ist durch das Recht der Union oder Deutschlands dazu verpflichtet; in diesem Fall teilt er dem Verantwortlichen diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das Recht dies nicht verbietet.

4.2 Die Weisungen ergeben sich aus diesem Vertrag und aus der Nutzung der Funktionen der Software. Weitere Weisungen erteilt der Verantwortliche per E-Mail an info@snippetlab.site.

4.3 Ist der Auftragsverarbeiter der Ansicht, dass eine Weisung gegen Datenschutzvorschriften verstößt, informiert er den Verantwortlichen unverzüglich.

5. Vertraulichkeit (Art. 28 Abs. 3 lit. b DSGVO)

Der Auftragsverarbeiter setzt nur Personen ein, die zur Vertraulichkeit verpflichtet sind oder einer gesetzlichen Verschwiegenheitspflicht unterliegen. Zugriff auf die Daten eines Betriebs erhält der Auftragsverarbeiter nur, soweit es für Support auf Anfrage des Verantwortlichen oder zur Behebung einer Störung erforderlich ist. Jeder solche Zugriff wird protokolliert; auf Anfrage teilt der Auftragsverarbeiter dem Verantwortlichen mit, wann und wozu er zugegriffen hat.

6. Technische und organisatorische Maßnahmen (Art. 28 Abs. 3 lit. c, Art. 32 DSGVO)

  • Vertraulichkeit: Übertragung nur verschlüsselt (TLS); Passwörter nur als scrypt-Hash; Sitzungen über zufällige, serverseitig gespeicherte Kennungen mit Ablauf; Schutz gegen untergeschobene Anfragen (CSRF); Begrenzung von Anmeldeversuchen und Sicherheitsprüfung gegen automatisierte Angriffe; strikte Trennung der Betriebe in jeder Datenbankabfrage; Zugriff nach Rollen (Inhaber, Mitarbeitende).
  • Integrität: Pässe und Lieferungen sind nach der Ausstellung unveränderlich, Korrekturen nur als Storno; Protokoll wesentlicher Änderungen mit Nutzer und Zeitpunkt; Protokoll der Support-Zugriffe; Dateien nur über angemeldete Anwendungsrouten, keine öffentlichen Links.
  • Verfügbarkeit und Belastbarkeit: Betrieb auf der verteilten Infrastruktur des Unterauftragsverarbeiters Cloudflare; laufende Sicherung der Datenbank mit Wiederherstellung auf frühere Zeitpunkte der letzten 30 Tage.
  • Überprüfung: automatische Tests bei jeder Änderung der Software, darunter Tests der Trennung der Betriebe; Überprüfung der Maßnahmen bei wesentlichen Änderungen, mindestens einmal jährlich.

Der Auftragsverarbeiter darf die Maßnahmen an den Stand der Technik anpassen, wenn das Schutzniveau nicht sinkt.

7. Unterauftragsverarbeiter (Art. 28 Abs. 2, 3 lit. d und Abs. 4 DSGVO)

7.1 Der Verantwortliche genehmigt folgende Unterauftragsverarbeiter:

Unterauftragsverarbeiter Leistung Ort der Verarbeitung, Grundlage für Drittlandübermittlungen
Cloudflare, Inc., 101 Townsend St., San Francisco, CA 94107, USA Hosting, Datenbank, Dateispeicher, Abwehr von Angriffen weltweit verteilte Rechenzentren, auch USA; EU-US Data Privacy Framework (Art. 45 DSGVO) und Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO)
Resend, Inc., USA Versand von E-Mails (Einladungen, Erinnerungen) USA; EU-US Data Privacy Framework und Standardvertragsklauseln

7.2 Der Auftragsverarbeiter verpflichtet jeden Unterauftragsverarbeiter vertraglich auf ein Schutzniveau, das diesem Vertrag entspricht.

7.3 Über neue oder wechselnde Unterauftragsverarbeiter informiert der Auftragsverarbeiter mindestens vier Wochen vorher per E-Mail. Der Verantwortliche kann innerhalb dieser Frist aus wichtigem datenschutzrechtlichem Grund widersprechen. Können sich die Parteien nicht einigen, kann der Verantwortliche den Vertrag über Pflanzpass zum Zeitpunkt des Wechsels kündigen.

8. Unterstützung bei Betroffenenrechten (Art. 28 Abs. 3 lit. e DSGVO)

Der Verantwortliche kann die meisten Anfragen Betroffener mit den Funktionen der Software selbst erfüllen (Anzeigen, Ändern, Exportieren). Darüber hinaus unterstützt der Auftragsverarbeiter ihn auf Anfrage unverzüglich. Wendet sich eine betroffene Person direkt an den Auftragsverarbeiter, leitet er die Anfrage an den Verantwortlichen weiter.

9. Unterstützung bei Sicherheit, Meldungen und Folgenabschätzung (Art. 28 Abs. 3 lit. f DSGVO)

9.1 Der Auftragsverarbeiter meldet dem Verantwortlichen eine Verletzung des Schutzes personenbezogener Daten unverzüglich, möglichst innerhalb von 24 Stunden nach Kenntnis, mit den Angaben nach Art. 33 Abs. 3 DSGVO, soweit sie ihm vorliegen.

9.2 Er unterstützt den Verantwortlichen bei der Benachrichtigung Betroffener (Art. 34 DSGVO), bei einer Datenschutz-Folgenabschätzung (Art. 35 DSGVO) und bei einer vorherigen Konsultation der Aufsichtsbehörde (Art. 36 DSGVO) mit den Informationen, die ihm zur Verfügung stehen.

10. Löschung und Rückgabe (Art. 28 Abs. 3 lit. g DSGVO)

10.1 Nach Ende des Vertrags über Pflanzpass kann der Verantwortliche seine Daten 12 Monate lang selbst ansehen und exportieren. Das ist die Rückgabe der Daten. Die Pflicht, Aufzeichnungen nach Art. 69 VO (EU) 2016/2031 mindestens 3 Jahre aufzubewahren, erfüllt der Verantwortliche mit diesem Export.

10.2 Danach löscht der Auftragsverarbeiter die Daten, auf Verlangen des Verantwortlichen auch früher, innerhalb von 30 Tagen nach dem Verlangen. Vor einer Löschung auf Verlangen lässt sich der Auftragsverarbeiter bestätigen, dass der Verantwortliche die Daten exportiert hat oder nicht mehr benötigt. Daten in Sicherungen werden mit deren Ablauf gelöscht, spätestens nach 30 Tagen. Die Löschung gilt nicht, soweit für den Auftragsverarbeiter eine gesetzliche Pflicht zur Speicherung besteht.

11. Nachweise und Kontrollen (Art. 28 Abs. 3 lit. h DSGVO)

11.1 Der Auftragsverarbeiter stellt dem Verantwortlichen auf Anfrage alle Informationen zur Verfügung, die zum Nachweis der Einhaltung dieses Vertrags erforderlich sind, und beantwortet Fragen dazu schriftlich.

11.2 Der Verantwortliche oder ein von ihm beauftragter, zur Verschwiegenheit verpflichteter Prüfer kann die Einhaltung nach rechtzeitiger Ankündigung, in der Regel mindestens vier Wochen vorher, während der üblichen Geschäftszeiten überprüfen, auch durch Inspektionen. Für die Rechenzentren der Unterauftragsverarbeiter genügen deren aktuelle Prüfberichte und Zertifikate.

12. Schlussbestimmungen

Bei Widersprüchen geht dieser Vertrag den AGB vor, soweit es um den Schutz personenbezogener Daten geht. Es gilt deutsches Recht.