Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO

zwischen dem Betreiber, der sich bei Brunnwart registriert (Verantwortlicher), und Alexander Hinze, Ludwigshöheweg 34, 12559 Berlin (Auftragsverarbeiter). Der Vertrag wird bei der Registrierung durch Bestätigung abgeschlossen und ist Teil des Nutzungsvertrags nach den AGB.

Hinweis für private Eigenversorger: Nutzt du Brunnwart ausschließlich für deinen eigenen Haushalt und erfasst keine Daten anderer Personen, gilt die DSGVO für dich nicht (Art. 2 Abs. 2 lit. c DSGVO); dieser Vertrag hat dann keinen Anwendungsbereich. Sobald du Daten von Mietern, Gästen oder anderen Personen erfasst, die Wasser aus deiner Anlage beziehen, gilt er. Die Vermietung von Wohnraum oder Ferienunterkünften ist keine ausschließlich persönliche oder familiäre Tätigkeit.

1. Gegenstand und Dauer

Der Auftragsverarbeiter betreibt Brunnwart für den Verantwortlichen. Der Vertrag gilt, solange der Verantwortliche ein Konto hat, und endet mit der Löschung der Daten nach Abschnitt 10.

2. Art der Daten und betroffene Personen

• Betroffene: Mieter, Gäste und andere Verbraucher, die Wasser aus der Anlage beziehen; Nutzer des Kontos (zum Beispiel Hausverwaltung, Partner, Mitarbeiter); Ansprechpartner bei Gesundheitsamt und Untersuchungsstelle.
• Daten: Name, E-Mail-Adresse, Wohneinheit, Einzugs- und Auszugsdatum, Zeitpunkt und Weg der Information nach § 45 TrinkwV; Kontaktdaten der Nutzer; Kontaktdaten von Behörden und Laboren.
• Keine besonderen Kategorien nach Art. 9 DSGVO.

3. Art und Zweck der Verarbeitung

Speichern, Anzeigen, Exportieren und Löschen der Daten sowie Versand von E-Mails, zur Dokumentation der Pflichten nach der Trinkwasserverordnung, insbesondere der Information der Verbraucher nach § 45 TrinkwV, Erinnerungen an Fristen und Aufbewahrung von Nachweisen.

4. Weisungen

Der Auftragsverarbeiter verarbeitet die Daten nur auf dokumentierte Weisung des Verantwortlichen, auch bei Übermittlungen in ein Drittland, es sei denn, er ist nach Unionsrecht oder deutschem Recht dazu verpflichtet; dann teilt er dem Verantwortlichen diese Pflicht vorher mit, soweit das Recht das nicht verbietet. Die Weisungen ergeben sich aus diesem Vertrag und der Bedienung der Software. Weitere Weisungen erteilt der Verantwortliche per E-Mail an info@brunnwart.app. Hält der Auftragsverarbeiter eine Weisung für rechtswidrig, informiert er den Verantwortlichen unverzüglich.

E-Mails an Mieter und Gäste werden nur verschickt, wenn der Verantwortliche das in der Software auslöst, und im Namen des Verantwortlichen.

5. Vertraulichkeit

Personen, die Zugang zu den Daten haben, sind zur Vertraulichkeit verpflichtet oder unterliegen einer gesetzlichen Verschwiegenheitspflicht. Zugriff auf Konten von Kunden nimmt der Auftragsverarbeiter nur zur Unterstützung auf Anfrage oder zur Störungsbeseitigung vor; jeder solche Zugriff wird protokolliert.

6. Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

• Übertragung nur verschlüsselt (TLS), Passwörter nur als scrypt-Hash.
• Strikte Trennung der Konten in der Datenbank, Zugriff nach Rollen (Inhaber, Mitglieder).
• Dateien nur über angemeldete App-Routen, keine öffentlichen Links.
• Schutz der Formulare gegen gefälschte Anfragen (CSRF) und Begrenzung der Anfragen pro Anschluss.
• Protokollierung von Admin-Zugriffen und Änderungen.
• Wiederherstellbarkeit der Datenbank über die Zeitpunkt-Wiederherstellung des Hosters (Cloudflare D1 Time Travel).

Der Auftragsverarbeiter darf die Maßnahmen weiterentwickeln, solange das Schutzniveau nicht sinkt.

7. Unterauftragsverarbeiter

Der Verantwortliche stimmt folgenden Unterauftragsverarbeitern zu:

• Cloudflare, Inc., USA (Hosting, Datenbank, Dateispeicher). Drittlandsübermittlung auf Grundlage des EU-US Data Privacy Framework und ergänzend von Standardvertragsklauseln.
• Resend, Inc., USA (Versand von E-Mails). Drittlandsübermittlung auf Grundlage des EU-US Data Privacy Framework und ergänzend von Standardvertragsklauseln.

Der Auftragsverarbeiter verpflichtet Unterauftragsverarbeiter vertraglich auf dieselben Datenschutzpflichten. Über neue oder ersetzte Unterauftragsverarbeiter informiert er mindestens 30 Tage vorher per E-Mail; der Verantwortliche kann in dieser Zeit widersprechen und den Vertrag kündigen, wenn keine Einigung möglich ist.

8. Unterstützung

Der Auftragsverarbeiter unterstützt den Verantwortlichen mit geeigneten Maßnahmen bei Anfragen Betroffener (Art. 12 bis 22 DSGVO), bei der Sicherheit der Verarbeitung, bei Meldungen von Datenschutzverletzungen, bei Datenschutz-Folgenabschätzungen und bei der Konsultation der Aufsichtsbehörde (Art. 32 bis 36 DSGVO). Anfragen Betroffener, die direkt beim Auftragsverarbeiter eingehen, leitet er unverzüglich an den Verantwortlichen weiter. Die Software bietet dafür Export, Berichtigung und Löschung der Daten.

9. Datenschutzverletzungen

Der Auftragsverarbeiter meldet dem Verantwortlichen Verletzungen des Schutzes personenbezogener Daten unverzüglich, möglichst innerhalb von 24 Stunden nach Kenntnis, per E-Mail an die Adresse des Inhabers, mit den Angaben nach Art. 33 Abs. 3 DSGVO, soweit bekannt.

10. Löschung und Rückgabe

Der Verantwortliche kann seine Daten jederzeit selbst exportieren (Gesamtexport). Nach Vertragsende löscht der Auftragsverarbeiter alle Daten: 12 Monate nach dem Ende von Testphase oder Abo, auf Antrag des Verantwortlichen 30 Tage nach dem Antrag. Vorher erinnert er per E-Mail. Die Aufbewahrung von Befunden nach § 44 Abs. 3 TrinkwV (10 Jahre) obliegt dem Verantwortlichen; er sichert sie vor der Löschung über den Export. Gesetzliche Aufbewahrungspflichten des Auftragsverarbeiters bleiben unberührt.

11. Nachweise und Kontrollen

Der Auftragsverarbeiter stellt dem Verantwortlichen alle Informationen zum Nachweis der Pflichten nach Art. 28 DSGVO zur Verfügung und ermöglicht Überprüfungen einschließlich Inspektionen durch den Verantwortlichen oder einen von ihm beauftragten, zur Verschwiegenheit verpflichteten Prüfer, nach Anmeldung mit angemessener Frist, zu üblichen Geschäftszeiten und ohne Störung des Betriebs. Vorrangig erfolgt der Nachweis durch schriftliche Auskunft und Zertifikate der Unterauftragsverarbeiter.

12. Haftung und Vorrang

Für die Haftung gilt Art. 82 DSGVO. Bei Widersprüchen zu den AGB geht dieser Vertrag in Fragen des Datenschutzes vor.