Auftragsverarbeitungsvertrag.

1. Parteien und Geltung

Dieser Auftragsverarbeitungsvertrag (AVV) wird zwischen dem im Registrierungs- oder Bestellnachweis bezeichneten Kunden als Verantwortlichem und DS81 – Manufaktur für digitale Systeme, Inhaber: Daniel Schuboth, Frankenhainer Weg 25, 34613 Schwalmstadt, Deutschland, als Auftragsverarbeiter geschlossen. Datenschutzkontakt des Kunden ist die bei der Registrierung oder später in den Inhabereinstellungen angegebene E-Mail-Adresse; ohne diese Angabe die E-Mail-Adresse des Inhabers. Mitteilungen zu Datenschutzverletzungen und neuen Unterauftragsverarbeitern richten wir an diesen Kontakt. Datenschutzkontakt des Auftragsverarbeiters: kontakt@sanmat.app.

Der AVV ist Bestandteil des SanMAT-Nutzungsvertrags und gilt ab Beginn der Verarbeitung personenbezogener Daten im Kundenbereich. Er gilt für Demo, Kostenlos und kostenpflichtige Tarife gleichermaßen. Bei Widersprüchen zu anderen Vertragsbedingungen gehen seine Datenschutzpflichten vor. Zwingende gesetzliche Pflichten bleiben unberührt.

2. Gegenstand, Dauer, Art und Zweck

DS81 stellt SanMAT zur gemeinsamen Verwaltung von Materialbeständen bereit. Im Auftrag verarbeitet werden personenbezogene Inhalte und Zuordnungen, die der Kunde und seine berechtigten Nutzer dafür eingeben: Erfassen, Ordnen, Speichern, Ändern, Bereitstellen, Exportieren, Übermitteln im vorgesehenen Funktionsumfang und Löschen. Dazu gehören notwendige Administration, Fehlerbehebung und die vereinbarte Sicherung der Daten. Die Verarbeitung dient ausschließlich der Bereitstellung des Kundenbereichs nach dokumentierten Weisungen.

Der Auftrag besteht während des Nutzungsvertrags einschließlich einer vereinbarten Lese- und Exportphase und endet erst, wenn die im Auftrag gehaltenen Daten zurückgegeben oder gelöscht und verbleibende Kopien nach Anlage 3 abgewickelt sind. Eine kostenlose Nutzung ändert weder den Schutzumfang noch die Vertraulichkeit.

3. Datenarten und betroffene Personen

Betroffen sind insbesondere Mitarbeiter, Mitglieder und sonstige vom Kunden berechtigte Nutzer sowie Ansprechpartner, deren Daten der Kunde rechtmäßig im Materialbereich verwendet. Datenarten sind Namen, dienstliche Kontaktangaben, Nutzerkennungen und Berechtigungen, personenbezogene Zuordnungen in Material-, Lagerort-, Entnahme- und Prüfverläufen sowie entsprechende Freitexte und Bilder. Rein sachbezogene Material-, Chargen- und Mengenangaben sind nur dann personenbezogen, wenn sie einer Person zugeordnet werden können.

SanMAT ist keine Patienten- oder Gesundheitsdokumentation. Patientendaten, Gesundheitsdaten und andere besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO sowie Daten nach Art. 10 DSGVO sind nicht Gegenstand dieses Auftrags und dürfen nicht eingegeben werden. Der Kunde begrenzt seine Inhalte auf den vereinbarten Zweck und stellt Rechtsgrundlage, Information und erforderliche Berechtigungen sicher.

4. Eigenständige Verantwortlichkeit

Der AVV erfasst nicht die Verarbeitung, für die DS81 selbst Zwecke und wesentliche Mittel bestimmt: eigene Vertragsverwaltung, Rechnungsstellung und Zahlung, notwendige Sicherheits- und Missbrauchsnachweise für den Plattformbetrieb sowie die rein lesende Auswertung vorhandener Konto- und Vertragsdaten zur Betriebsübersicht. Diese Zwecke und die Rechte betroffener Personen beschreibt die Datenschutzerklärung.

Um einen Widerspruch gegen die Betriebsstatistik zu bearbeiten, sucht DS81 einmalig nach der von der betroffenen Person angegebenen E-Mail-Adresse in den Kontodaten der Organisationen. Diese Bearbeitung erfolgt in eigener Verantwortlichkeit von DS81 auf Grundlage von Art. 6 Abs. 1 Buchst. c in Verbindung mit Art. 12 und 21 DSGVO. Die Suche dient ausschließlich der Zuordnung und Bearbeitung dieses Widerspruchs.

Es findet keine zusätzliche Erfassung von Seitenaufrufen, aktiven Nutzern, Sitzungen, Scans oder sonstigen Nutzungsschritten für eine Produktstatistik statt. Vorhandene Geschäftsdaten werden nicht für Nachfasskontakte vor einem Demoende oder ähnliche Ansprache ausgewertet. Fachliche Änderungsverläufe innerhalb des Kundenbereichs bleiben Teil dieses Auftrags. Ein Datensatz darf nicht allein durch seine Bezeichnung als Sicherheitsnachweis aus dem Auftragsumfang herausgenommen werden.

5. Weisungen und Vertraulichkeit

DS81 verarbeitet Auftragsdaten ausschließlich auf dokumentierte Weisung des Kunden. Die vereinbarten Funktionen und vom Kunden veranlasste Bedienhandlungen bilden die anfänglichen Weisungen. Ergänzende Weisungen erfolgen in nachweisbarer Form über einen berechtigten Inhaberzugang oder den vereinbarten Kontaktkanal. DS81 prüft die Berechtigung; verbindliche neue Zwecke bedürfen einer Vereinbarung.

Hält DS81 eine Weisung für datenschutzwidrig, informiert DS81 den Kunden unverzüglich und setzt die betroffene Handlung bis zur Klärung aus. Erzwingt Unionsrecht oder das Recht eines Mitgliedstaats eine abweichende Verarbeitung, informiert DS81 den Kunden zuvor, soweit das Recht dies nicht verbietet. Daten dürfen nicht für eigene, mit dem Auftrag unvereinbare Zwecke verwendet werden.

Nur erforderliche, berechtigte Personen erhalten Zugang. DS81 verpflichtet sie zur Vertraulichkeit oder stellt eine entsprechende gesetzliche Pflicht sicher und unterweist sie angemessen. Die Verpflichtung gilt über das Ende ihrer Tätigkeit hinaus.

6. Sicherheit und technische Maßnahmen

DS81 trifft dem Risiko angemessene technische und organisatorische Maßnahmen nach Art. 32 DSGVO. Anlage 1 beschreibt den vereinbarten Schutz und die zu belegenden Verfahren. Der Kunde prüft, ob diese Maßnahmen zu seinen Daten und seiner Nutzung passen. Der vereinbarte Schutz darf durch technische Weiterentwicklung nicht unterschritten werden; wesentliche Änderungen werden dokumentiert und zugänglich gemacht.

DS81 berücksichtigt insbesondere Vertraulichkeit, Integrität, Verfügbarkeit und Wiederherstellbarkeit, begrenzte Berechtigungen sowie regelmäßige Wirksamkeitskontrollen. Der Kunde bleibt für seine Endgeräte, Zugangsdaten, Nutzerfreigaben und die rechtmäßige Auswahl hochgeladener Inhalte verantwortlich.

7. Unterauftragsverarbeiter und Verarbeitungsorte

Der Kunde genehmigt allgemein den Einsatz der in Anlage 2 abschließend bezeichneten Unterauftragsverarbeiter für die dort beschriebenen Aufgaben. DS81 vereinbart mit ihnen Datenschutzpflichten, die den Pflichten dieses AVV entsprechen, prüft ausreichende Garantien und bleibt gegenüber dem Kunden für deren Erfüllung verantwortlich.

Vor einer Ergänzung oder Ersetzung informiert DS81 den Kunden in Textform über Anbieter, Aufgabe, Verarbeitungsort und relevante Schutzmaßnahmen. Die Information erfolgt so rechtzeitig, dass der Kunde vor dem Einsatz aus nachvollziehbaren Datenschutzgründen widersprechen und eine Lösung abstimmen kann. Solange ein begründeter Einwand nicht ausgeräumt ist, wird der betroffene neue Anbieter nicht für die Auftragsdaten dieses Kunden eingesetzt. Kann keine geeignete Lösung vereinbart werden, stimmen die Parteien die rechtlich zulässige Beendigung des betroffenen Leistungsteils und die Rückgabe der Daten ab.

Eine Verarbeitung oder ein Zugriff außerhalb des Europäischen Wirtschaftsraums erfordert eine dokumentierte Weisung und eine zulässige Grundlage nach Kapitel V DSGVO. Ein europäischer Serverstandort allein belegt nicht, dass sämtliche Drittlandzugriffe ausgeschlossen sind. Die jeweilige Absicherung ist in Anlage 2 beschrieben.

8. Unterstützung und Datenschutzverletzungen

DS81 unterstützt den Kunden unter Berücksichtigung der Verarbeitung und der verfügbaren Informationen bei Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit und sonstigen Betroffenenrechten. Direkt eingehende Anfragen zu Auftragsdaten werden unverzüglich an den Kunden weitergegeben; DS81 entscheidet nicht eigenständig über ihre Berechtigung, soweit keine gesetzliche Pflicht besteht.

DS81 unterstützt bei den Pflichten aus Art. 32 bis 36 DSGVO, insbesondere bei Sicherheitsbewertungen, Datenschutz-Folgenabschätzungen und notwendigen Konsultationen. DS81 meldet dem Kunden eine bekannt gewordene Verletzung des Schutzes seiner Auftragsdaten unverzüglich, in der Regel innerhalb von 24 Stunden nach Bekanntwerden, und stellt verfügbare Angaben zu Art, Umfang, betroffenen Personen und Daten, möglichen Folgen, Kontaktstelle und Gegenmaßnahmen bereit. Fehlende Informationen werden ohne unnötige Verzögerung nachgereicht. Diese Meldung hängt nicht vom Abschluss der Untersuchung ab.

DS81 begrenzt Folgen, sichert erforderliche Nachweise und stimmt weitere Maßnahmen mit dem Kunden ab. Die Entscheidung über Meldungen an Aufsichtsbehörden und Betroffene liegt beim Kunden, soweit DS81 nicht selbst gesetzlich verpflichtet ist.

9. Nachweise und Kontrollen

DS81 stellt dem Kunden die zum Nachweis der Vertragserfüllung erforderlichen Informationen bereit und ermöglicht Überprüfungen einschließlich Inspektionen durch den Kunden oder einen von ihm beauftragten unabhängigen Prüfer. Vorhandene geeignete Nachweise können die Prüfung vereinfachen, ersetzen ein erforderliches Kontrollrecht aber nicht.

Die Parteien stimmen Umfang und Ablauf ab, berücksichtigen die Sicherheit und Vertraulichkeit anderer Kunden und vermeiden unnötige Betriebsstörungen. Bei begründetem Verdacht, einem Vorfall oder einer behördlichen Anforderung muss eine angemessen kurzfristige Prüfung möglich bleiben. DS81 informiert den Kunden unverzüglich, wenn eine Prüfungsweisung nach seiner Auffassung gegen Datenschutzrecht verstößt.

10. Rückgabe, Löschung und Nachweise

Nach Abschluss der Verarbeitungsleistung wählt der Kunde zwischen Rückgabe und Löschung der Auftragsdaten. Ein Export während der vereinbarten 30-tägigen Lese- und Exportphase ermöglicht die Rückgabe im angebotenen strukturierten Format. Eine dokumentierte abweichende Weisung wird unter Wahrung gesetzlicher Pflichten und bestehender Vertragstermine bearbeitet. Für Demos gilt die im Annahmenachweis festgelegte Demo- und anschließende Exportfrist.

Nach Rückgabe beziehungsweise Ablauf der vereinbarten Exportphase löscht DS81 die operativen Auftragsdaten und vorhandene Kopien nach Anlage 3, soweit keine gesetzliche Pflicht zur weiteren Speicherung besteht. Bei einer solchen Pflicht werden Daten auf den vorgeschriebenen Zweck beschränkt; der Kunde wird über Grundlage und Umfang informiert. Vertrags- und Rechnungsunterlagen in eigener Verantwortlichkeit sind getrennt zu behandeln. Ein offener Klärfall darf nicht als unbefristete allgemeine Aufbewahrungserlaubnis verwendet werden.

Abgeschottete Sicherungskopien werden nur bis zum verbindlich vereinbarten Ablauf vorgehalten, nicht für andere Zwecke verwendet und nach einem Wiederherstellungsfall erneut den bereits wirksamen Löschungen unterworfen. DS81 bestätigt die Durchführung auf Anfrage. Die Backup-Höchstfristen und das Verfahren für verbleibende Kopien stehen in Anlage 3.

Anlage 1. Technische und organisatorische Maßnahmen

Die folgenden Maßnahmen sichern die Verarbeitung im vereinbarten Umfang. Die Maßnahmen und ihre Wirksamkeit werden dokumentiert und regelmäßig überprüft.

Rechenzentrum und physische Sicherheit

Die selbst administrierten Server S00 und S03 stehen in Hetzner-Rechenzentren in Falkenstein, Deutschland. Hetzners Informationssicherheitsmanagementsystem für Hosting-Dienstleistungen und Rechenzentren ist nach ISO/IEC 27001:2022 zertifiziert; das geprüfte Zertifikat ist vom 27. September 2025 bis 26. September 2028 gültig. Physische Zutrittskontrolle und Rechenzentrumsbetrieb liegen bei Hetzner. Die Zertifizierung bezieht sich auf den Infrastrukturbetreiber.

Administration und Protokollierung

Serverzugriff erhalten die berechtigten Systemadministratoren. Die Anmeldung zum Hosting-Verwaltungskonto ist durch eine Zwei-Faktor-Anmeldung geschützt. S00 und S03 erlauben SSH-Anmeldungen ausschließlich mit Schlüsseln; auch ein Root-Zugang setzt einen Schlüssel voraus. Serveranmeldungen werden über die geschützten Authentifizierungsprotokolle dokumentiert und nach den für Systemprotokolle geltenden Fristen bereinigt.

Netz und Wartung

Auf beiden Servern sind Host-Firewalls aktiv. Die SanMAT-Datenbank und der interne Dienst für laufende Bestandsaktualisierungen auf S00 sind nur lokal erreichbar. Öffentliche HTTPS-Zugänge sowie die auf den jeweiligen Servern eingerichteten Mail-, DNS- und Administrationsdienste werden getrennt betrieben. Sicherheitsupdates auf S00 und S03 werden regelmäßig manuell durch Daniel Schuboth eingespielt, bei kritischen Sicherheitslücken zeitnah. Anwendungsänderungen werden vor einem Release geprüft.

Übertragung, Speicherung und Geheimnisse

Webzugriffe auf SanMAT erfolgen über HTTPS mit TLS 1.2 oder TLS 1.3. Passwörter werden als geschützte Prüfsummen gespeichert. Betriebsschlüssel und private Konfigurationen sind durch Dateirechte auf die jeweils berechtigten Dienste und Administratoren begrenzt. Die Sicherungsarchive werden vor der Übertragung mit AES-256 verschlüsselt. Betriebsdaten liegen auf zugriffsgeschützten Serverdateisystemen; eine vollständige Verschlüsselung der laufenden Serverdatenträger ist nicht Bestandteil dieser Maßnahmen. Geheimnisse werden nicht in Vertragsdokumente übernommen.

Mandantentrennung und Anwendungsberechtigungen

Organisationen verwenden getrennte Datenbanken mit getrennten Datenbankzugängen. Persönliche Konten und Rollen bestimmen die erlaubten Funktionen. Der Server prüft Berechtigungen, Eingaben, Zielorganisation und Schreibzugriffe; Uploads werden geprüft und sicher verarbeitet. Änderungen am Materialbestand sind innerhalb des jeweiligen Kundenbereichs nachvollziehbar. Für Nutzer stehen E-Mail-Zweitfaktor und Authenticator-Verfahren zur Verfügung.

Sicherung und Wiederherstellung

Verschlüsselte Sicherungen werden täglich erstellt. Lokale Kopien auf S00 werden höchstens 14 Tage, externe Kopien auf S03 höchstens 35 Tage aufbewahrt. Beide Server stehen in Falkenstein. Die Bereinigung läuft unabhängig vom Erfolg neuer Sicherungen. Wiederherstellungstests einschließlich Wiederanlauf der Anwendung werden regelmäßig, mindestens halbjährlich und zusätzlich nach wesentlichen Änderungen am Sicherungs- oder Wiederherstellungsverfahren, durchgeführt und dokumentiert. Einzelheiten stehen in Anlage 3.

Entwicklung und Prüfungen

Entwicklungs- und Prüfumgebungen verwenden eigenständige Datenbanken und Konfigurationen. Für die reguläre Entwicklung werden Testkonten und eigene Angaben des Betreibers verwendet. Automatisierte Fachprüfungen verwenden synthetische Daten in abgegrenzten Testdatenbanken. Wiederherstellungstests laufen in isolierten Kopien mit gesonderten Datenbankzugängen; eine laufende Kundeninstallation wird dabei nicht überschrieben. Der Mailversand wird für diese Tests unterbunden und die Testkopien werden nach Abschluss entfernt.

Organisation, Vorfälle und Wirksamkeitskontrolle

Vertraulichkeit, Vergabe und Entziehung von Berechtigungen sowie Prüfung von Unteraufträgen werden im Betrieb berücksichtigt. Bei Datenschutzvorfällen werden betroffene Verarbeitung und Umfang geprüft, Folgen begrenzt, erforderliche Nachweise gesichert und Kunden unverzüglich, in der Regel innerhalb von 24 Stunden nach Bekanntwerden, informiert. Verfügbare Angaben und weitere Erkenntnisse werden ohne unnötige Verzögerung ergänzt. Maßnahmen, Prüfergebnisse und notwendige Korrekturen werden dokumentiert und regelmäßig überprüft.

Anlage 2. Unterauftragsverarbeiter

Bestätigte technische Zuordnung: Anwendung auf S00 im Hetzner-Rechenzentrum Falkenstein; Funktionsmailversand über Amazon SES in Frankfurt (eu-central-1).

• Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen: Hosting von Anwendung, Kundendatenbanken und Dateien sowie Mail-Empfang und externe Sicherungskopien in Falkenstein. Der Hosting-AVV wurde am 28. September 2026 abgeschlossen.
• Amazon Web Services EMEA SARL, 38 Avenue John F. Kennedy, L-1855 Luxemburg: Versand erforderlicher Funktionsmails über Amazon SES mit Empfängeradresse, Absender, Betreff und Nachrichtentext in Frankfurt. Das AWS Data Processing Addendum ist über die AWS Service Terms einbezogen und enthält EU-Standardvertragsklauseln nach Beschluss (EU) 2021/914. Zugriffe aus Drittländern können trotz europäischer Versandregion nicht allein durch den Standort ausgeschlossen werden. Die aktive DPF-Zertifizierung von Amazon.com, Inc. umfasst Amazon Web Services, Inc.; für darunter fallende Übermittlungen kommt der Angemessenheitsbeschluss (EU) 2023/1795 zur Anwendung. Die Parteien beachten den jeweiligen Anwendungsbereich und erforderliche ergänzende Garantien. Die Vertragsgrundlagen sind unter AWS-DPA und auf Anfrage an DS81 zugänglich.
• Externes Backup-Ziel: Verschlüsselte Kopien werden an S03 übertragen und dort höchstens 35 Tage aufbewahrt. S03 wird ebenfalls bei Hetzner in Falkenstein betrieben. Der Sicherungsschlüssel auf S00 ist ausschließlich für die berechtigte Systemadministration lesbar; der Wiederherstellungsschlüssel auf S03 wird ebenfalls in einem nur für die Systemadministration zugänglichen Bereich aufbewahrt. S03 ist kein Hostingstandort der SanMAT-Anwendung.

Anlage 3. Sicherungen und Auslaufen von Kopien

Der geprüfte Sicherungsbetrieb auf S00 erstellt täglich verschlüsselte Backups. Lokale Kopien werden höchstens 14 Tage, verschlüsselte externe Kopien auf S03 höchstens 35 Tage aufbewahrt. Wiederherstellungstests einschließlich Wiederanlauf der Anwendung, Anmeldung und Stichproben der wiederhergestellten Daten werden regelmäßig, mindestens halbjährlich und zusätzlich nach wesentlichen Änderungen am Sicherungs- oder Wiederherstellungsverfahren, durchgeführt und dokumentiert. Integrität, Ergebnis, Dauer und die Entfernung der isolierten Testkopien werden festgehalten. Die vereinbarten Höchstfristen gelten unabhängig davon, ob neue Sicherungen erfolgreich erstellt werden.

Wiederherstellungen erfolgen kontrolliert durch die berechtigte Systemadministration. Vor einer erneuten Bereitstellung werden Integrität und Vollständigkeit geprüft; bereits wirksam gewordene Löschungen und Zugriffsbeschränkungen werden erneut angewendet. Prüfnachweise und notwendige Korrekturen werden dokumentiert.

Die 30-tägige Lese- und Exportphase beginnt nach dem maßgeblichen Nutzungsende. Die operative Löschung erfolgt anschließend nach den Vertragsregeln. Kopien einer vor der operativen Löschung erstellten Sicherung laufen spätestens nach 14 Tagen lokal beziehungsweise 35 Tagen am externen Ziel aus; sie stehen in dieser Zeit nicht mehr als regulärer Kundenbereich zur Verfügung.