Präambel

Diese Vereinbarung zur Auftragsverarbeitung gemäß Art. 28 DSGVO regelt die Verarbeitung personenbezogener Daten durch die P3N AG, Crimmitschauer Straße 32, 08412 Werdau („Auftragsverarbeiter“) im Auftrag des jeweiligen Kunden, der die Softwarelösung argos.SUITE nutzt bzw. Prüfdienstleistungen beauftragt hat („Verantwortlicher“). Die konkreten vertraglichen Beziehungen (z. B. Lizenzvertrag, Hardware-Nutzungsvertrag, Dienstleistungsvertrag) bestimmen Beginn und Umfang dieser Auftragsverarbeitung.

1. Gegenstand und Dauer des Auftrags

Der Gegenstand der Auftragsverarbeitung ergibt sich aus der Nutzung der Softwarelösung argos.SUITE sowie gegebenenfalls beauftragten Prüfdienstleistungen durch den Auftragsverarbeiter im Rahmen vertraglicher Vereinbarungen zwischen den Parteien (z. B. Lizenzverträge, Nutzungsüberlassungsverträge für Hardware, Einzelbeauftragungen). Der Auftragsverarbeiter unterstützt den Verantwortlichen durch:

• die Durchführung von Prüfdienstleistungen im Rahmen gesetzlicher und vertraglicher Verkehrssicherungspflichten (z. B. auf Spielplätzen, bei Bäumen, Straßen, Gehwegen) sowie
• die Bereitstellung einer webbasierten Softwarelösung und entsprechender mobiler Anwendungen (Apps), die zur Planung, Durchführung, Dokumentation und Bewertung solcher Prüfungen verwendet wird.

Die Auftragsverarbeitung umfasst sowohl Tätigkeiten durch Personal des Auftragsverarbeiters im Namen des Verantwortlichen als auch die Nutzung der Software durch Mitarbeitende des Verantwortlichen zur eigenverantwortlichen Durchführung von Prüfungen. Die jeweils geltende Fassung dieser Vereinbarung zur Auftragsverarbeitung (AVV) sowie der technischen und organisatorischen Maßnahmen (TOM) wird dem Verantwortlichen über die Website der jeweiligen argos.SUITE-Komponente zugänglich gemacht. Durch Abschluss eines entsprechenden Vertrags erkennt der Verantwortliche diese Regelung als verbindlich an. Die Dauer der Auftragsverarbeitung richtet sich nach der Laufzeit der zugrunde liegenden vertraglichen Vereinbarungen. Eine Beendigung der Auftragsverarbeitung erfolgt mit der Beendigung der Vertragsbeziehung oder nach Weisung des Verantwortlichen.

2. Art der Verarbeitung und Datenkategorien

3. Rechte und Pflichten des Verantwortlichen

Der Verantwortliche ist verantwortlich für die Rechtmäßigkeit der Datenverarbeitung und erteilt dem Auftragsverarbeiter die erforderlichen Weisungen. Der Verantwortliche hat das Recht, die Einhaltung der vertraglichen und gesetzlichen Datenschutzvorschriften zu überprüfen, einschließlich der technischen und organisatorischen Maßnahmen des Auftragsverarbeiters.

Zusätzlich gilt:

Der Verantwortliche trägt die Verantwortung für die datenschutzkonforme Nutzung der durch den Auftragsverarbeiter bereitgestellten Softwarelösungen, insbesondere hinsichtlich der Konfiguration optionaler Funktionen zur Verarbeitung personen-bezogener Metadaten (z. B. Zeitstempel, GPS-Positionen). Der Auftragsverarbeiter stellt dem Verantwortlichen geeignete Voreinstellungen zur Verfügung. In Modulen, in denen eine Konfiguration durch den Verantwortlichen möglich ist (z. B. argos.SPIELPLATZ), werden entsprechende Administrationsfunktionen bereitgestellt. Der Auftragsverarbeiter unterstützt den Verantwortlichen auf Anfrage bei der datenschutzkonformen Nutzung der Software.

4. Pflichten des Auftragsverarbeiters

5. Kontrolle und Nachweispflichten

Der Verantwortliche hat das Recht, die Einhaltung der vertraglich vereinbarten und gesetzlich vorgeschriebenen Datenschutzmaßnahmen durch den Auftragsverarbeiter regelmäßig zu kontrollieren. Der Auftragsverarbeiter stellt hierfür geeignete Nachweise bereit und ermöglicht dem Verantwortlichen auf Anfrage eine Überprüfung der getroffenen technischen und organisatorischen Maßnahmen. Die Kontrollen können durch Einsichtnahme in die aktuelle TOM-Dokumentation, durch geeignete Nachweise (z. B. Zertifizierungen, Prüfberichte) sowie durch Vor-Ort-Audits erfolgen. Der Auftragsverarbeiter wird Audits des Verantwortlichen mit angemessenem Vorlauf unterstützen und sich im zumutbaren Umfang an Audits beteiligen. Bei Nutzung von Unterauftragnehmern – insbesondere dem eingesetzten externen Rechenzentrum – stellt der Auftragsverarbeiter sicher, dass entsprechende Datenschutzkontrollen auch dort ermöglicht werden. Der Auftragsverarbeiter kann im Rahmen seiner Kontrollrechte beim Unterauftragnehmer relevante Nachweise einholen (z. B. ISO/IEC 27001-Zertifikate, SOC-Reports) und diese dem Verantwortlichen zur Verfügung stellen.

6. Kontakt Datenschutzbeauftragter

Der Auftragsverarbeiter hat einen externen Datenschutzbeauftragten gemäß Art. 37 DSGVO bestellt. Dieser steht dem Verantwortlichen und den betroffenen Personen als Ansprechpartner für datenschutzrechtliche Fragestellungen zur Verfügung. Kontakt:
ITM Management & Consulting GmbH
Bürgerstraße 81
01127 Dresden
Telefon: +49 351 30711870
E-Mail: datenschutz@itm-mc.de

7. Schlussbestimmungen

Anlage 1: Technische und organisatorische Maßnahmen (TOM)

(gemäß Art. 32 DSGVO – Stand: 06/2025)

Der Auftragsverarbeiter trifft gemäß Art. 32 DSGVO geeignete technische und organisatorische Maßnahmen, um ein dem Risiko angemessenes Schutzniveau für personenbezogene Daten sicherzustellen. Die Maßnahmen berücksichtigen insbesondere den Stand der Technik, die Implementierungskosten, die Art, den Umfang, die Umstände und Zwecke der Verarbeitung sowie die Eintrittswahrscheinlichkeit und Schwere möglicher Risiken für die Rechte und Freiheiten natürlicher Personen.

1. Vertraulichkeit (Art. 32 Abs. 1 lit. b DSGVO)

1.1 Zutrittskontrolle Rechenzentrum

• Zutritt zu Betriebsgebäuden nur für berechtigte Personen mit Zutrittsausweisen.
• Zutritt zu Serverräumen und sensiblen Bereichen ausschließlich für autorisiertes Personal mit Protokollierung.

1.2 Zugangskontrolle Rechenzentrum

• Zugang zur Softwareplattform nur über personalisierte Benutzerkonten mit komplexen Passwortrichtlinien (nach BSI- oder NIST-Standards).
• Zwei-Faktor-Authentifizierung (2FA) für alle Systemadministratoren und sensible Systembereiche.

1.3 Erweiterung: Mobile Endgeräte (Hardwarenutzung durch den Auftraggeber)

• Der Auftragsverarbeiter stellt dem Verantwortlichen auf Wunsch mobile Endgeräte (in der Regel iPad mini) im Rahmen eines separaten Nutzungsüberlassungsvertrags zur Verfügung.
• Die Geräte dienen ausschließlich der Durchführung von Prüfungen mittels der argos.SUITE.
• Die Endgeräte sind zentral über das Microsoft Intune Unternehmensportal administriert und verfügen über die seitens des Betriebssystems bereitgestellten Sicherheitsfunktionen, darunter Geräteverschlüsselung, Sperrcode, sowie die Möglichkeit zur Fernlöschung bei Verlust oder Diebstahl.
• Für die Verarbeitung personenbezogener Daten auf diesen Endgeräten gelten ebenfalls die Regelungen dieser Auftragsverarbeitungsvereinbarung einschließlich der vorliegenden technischen und organisatorischen Maßnahmen (TOM).

1.4 Zugriffskontrolle

• Berechtigungskonzepte mit rollenbasierten Zugriffen nach dem „Need-to-know“-Prinzip.
• Technische Absicherung durch Firewalls, rollenbasierte Access-Policies und Logging.

1.5 Trennungskontrolle

• Getrennte Verarbeitungsumgebungen für Test- und Produktivsysteme.
• Mandantentrennung innerhalb der Software durch Segmentierung.

1.6 Datentrennung und Pseudonymisierung

• In der Anwendung argos.SPIELPLATZ werden bei aktivierter Funktion personenbezogene Metadaten verarbeitet (z. B. Name des Prüfers, GPS-Koordinaten des Prüfortes, Zeitstempel). Eine Pseudonymisierung erfolgt in diesem Fall nicht, da die Daten zur Erstellung nachweisbarer Prüfberichte erforderlich sind. Bei deaktivierter Funktion erfolgt keine Verarbeitung personenbezogener GPS-Daten – eine Pseudonymisierung ist dann nicht erforderlich.
• In den Anwendungen argos.STRASSE und argos.BAUM werden ausschließlich objektbezogene Geodaten verarbeitet (z. B. Standort eines Baumes oder Mangels). Ein Personenbezug besteht nicht. Eine Pseudonymisierung ist daher nicht erforderlich.
• Eine Trennung personenbezogener und technischer Nutzungsdaten ist grundsätzlich nur insoweit möglich, wie sie dem Verarbeitungszweck und den Anforderungen an eine prüfbare Dokumentation nicht entgegensteht.

2. Integrität (Art. 32 Abs. 1 lit. b DSGVO)

2.1 Weitergabekontrolle

• Verschlüsselung von Daten bei Übertragung.
• Das Backup erfolgt innerhalb des Rechenzentrums. Die Backup-Medien beinhalten die Daten im Binärformat.
• Mechanische Zerstörung oder zertifizierte Löschung von Altgeräten und Datenträgern nach DIN 66399.

2.2 Eingabekontrolle

• Protokollierung aller Eingaben, Änderungen und Löschvorgänge in sensiblen Systemen.
• Zugriff auf Protokolle nur für autorisierte Personen mit Auswertungspflicht.

3. Verfügbarkeit und Belastbarkeit (Art. 32 Abs. 1 lit. b und c DSGVO)

3.1 Verfügbarkeitskontrolle

• Betrieb der Softwareplattform in einem Rechenzentrum innerhalb Deutschlands oder der Europäischen Union.
• Schutzmaßnahmen im Rechenzentrum: redundante Stromversorgung, Brandmeldeanlagen, Klimakontrolle.
• IT-seitiger Schutz durch Firewalls und Load Balancing.

3.2 Datensicherung

• Tägliche Backups mit mehrstufigem Backup-Konzept (lokal und extern).
• Speicherung an räumlich getrennten Standorten mit Zugriffsschutz.
• Regelmäßige Überprüfung der Wiederherstellbarkeit durch Restore-Tests.

4. Verfahren zur regelmäßigen Überprüfung, Bewertung und Evaluierung (Art. 32 Abs. 1 lit. d DSGVO)

4.1 Datenschutzmanagement

• Regelmäßige interne und externe Audits zur Überprüfung der Datenschutzorganisation.
• Bestellung eines Datenschutzbeauftragten gemäß Art. 37 DSGVO.
• Schulung aller Mitarbeitenden, die Zugriff auf personenbezogene Daten haben.

4.2 Erweiterung: Konfigurierbare Funktionen

• Die Prüfsoftware erlaubt die Konfiguration datenschutzrelevanter Funktionen (z. B. GPS-Tracking, Zeitstempel).
• Der Verantwortliche kann über eine Administrationsoberfläche die Erhebung dieser Daten aktivieren oder deaktivieren, sofern die Prüfungen nicht durch den Auftragsverarbeiter erfolgt.

4.3 Incident Response

• Etabliertes Vorfallmanagement mit Reaktionsprotokoll, inklusive 72h-Meldung gemäß Art. 33 DSGVO.
• Protokollierung und Auswertung aller Datenschutzvorfälle.
• Lessons-Learned-Prozess zur kontinuierlichen Verbesserung.

Anlage 2: Liste der Unterauftragnehmer

(Stand: 06/2025)

Im Rahmen der Auftragsverarbeitung gemäß Art. 28 DSGVO werden folgende Unterauftragnehmer durch den Auftragsverarbeiter zur Erbringung der Leistung eingesetzt:

1. Hosting-Dienstleister

• Name: digital works s.r.o. (mit Rechenzentrum der Hetzner Online GmbH als Subunternehmen)
• Sitz: Skuherského 45, 35001 České Budějovice, Tschechische Republik
• Leistungsgegenstand: Bereitstellung und Betrieb der technischen Infrastruktur (Server, Speicher, Netzwerk) für den Betrieb der webbasierten Softwarelösung und der mobilen Anwendungen
• Zertifizierungen Rechenzentrum: ISO/IEC 27001

2. Bedingungen für den Einsatz von Unterauftragnehmern:

• Informationspflicht: Der Verantwortliche wird mindestens 14 Tage vor der Einbindung weiterer Unterauftragnehmer schriftlich informiert.
• Widerspruchsrecht: Der Verantwortliche kann innerhalb von 14 Tagen ab Zugang der Mitteilung ohne Angabe von Gründen widersprechen.
• Vertragliche Verpflichtung: Alle Unterauftragnehmer werden vertraglich gemäß Art. 28 Abs. 4 DSGVO zur Einhaltung der Datenschutzanforderungen verpflichtet.
• Datenschutzkonformität: Der Auftragsverarbeiter stellt sicher, dass alle eingesetzten Unterauftragnehmer ein dem Risiko angemessenes Datenschutzniveau gewährleisten.
• Kontrollrechte: Der Verantwortliche kann auf Anforderung relevante Auszüge aus den Verträgen mit Unterauftragnehmern sowie Nachweise zu deren TOM einsehen.