Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO (Fassung 2026-10)

ITC Institut Time Consultants Graf GmbH

In den Tieräckern 13 - 15, 89520 Heidenheim

Telefon: 07321 - 27 83 0

E-Mail: info@itc-graf.de

Registergericht: Amtsgericht Ulm, HRB 661308

Umsatzsteuer-Identifikationsnummer: DE 183806077

Dieser Vertrag regelt, wie Preventra personenbezogene Daten im Auftrag des Betriebs verarbeitet.

Zwischen dem Betrieb, der diesem Vertrag in seinem Betriebsraum zustimmt (Verantwortlicher, im Folgenden „Betrieb“), und dem Betreiber der Anwendung Preventra, dessen Firmierung, Anschrift und Vertretung über diesem Vertrag genannt sind (Auftragsverarbeiter, im Folgenden „Preventra“).

§ 1 Gegenstand und Dauer

(1) Preventra stellt dem Betrieb einen eigenen Datenraum in der Anwendung Preventra bereit, in dem der Betrieb seine Unterlagen zum Arbeitsschutz führt und mit Diensten zusammenarbeitet, die ihn betreuen. Gegenstand dieses Vertrags ist die Verarbeitung personenbezogener Daten, die dabei im Datenraum des Betriebs anfallen.

(2) Art und Zweck der Verarbeitung, die Arten der Daten und die Kategorien betroffener Personen ergeben sich aus Anlage 1, für Gesundheitsdaten zusätzlich aus Anlage 4.

(3) Der Vertrag gilt, solange Preventra Daten aus dem Datenraum des Betriebs verarbeitet, einschließlich der Zeit bis zur Löschung oder Rückgabe nach § 10.

§ 2 Weisungen

(1) Preventra verarbeitet die Daten nur auf dokumentierte Weisung des Betriebs (Art. 28 Abs. 3 Satz 2 lit. a DSGVO), es sei denn, Preventra ist durch Recht der Union oder eines Mitgliedstaats dazu verpflichtet. In diesem Fall teilt Preventra dem Betrieb diese Pflicht vor der Verarbeitung mit, sofern das Recht eine solche Mitteilung nicht verbietet.

(2) Weisungen erteilt der Betrieb durch die Nutzung der Anwendung, ihrer Einstellungen und Funktionen. Dazu gehören insbesondere die Vergabe von Zugängen und Funktionen, die Freigabe von Daten an betreuende Dienste, die Wahl von Aufbewahrungsfristen und Sperren. Weitere Weisungen erteilt der Betrieb in Textform an die über diesem Vertrag genannte E-Mail-Adresse von Preventra.

(3) Hält Preventra eine Weisung für rechtswidrig, weist Preventra den Betrieb unverzüglich darauf hin (Art. 28 Abs. 3 Satz 3 DSGVO) und darf die Ausführung aussetzen, bis der Betrieb sie bestätigt oder ändert.

§ 3 Vertraulichkeit

Preventra verpflichtet alle Personen, die Zugang zu den Daten haben können, zur Vertraulichkeit, soweit sie nicht einer gesetzlichen Verschwiegenheitspflicht unterliegen (Art. 28 Abs. 3 Satz 2 lit. b DSGVO). Die Verpflichtung gilt über das Ende der Tätigkeit hinaus.

§ 4 Sicherheit der Verarbeitung

(1) Preventra trifft die technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO, die in Anlage 2 beschrieben sind (Art. 28 Abs. 3 Satz 2 lit. c DSGVO).

(2) Preventra darf die Maßnahmen dem Stand der Technik anpassen, solange das Schutzniveau nicht sinkt. Wesentliche Änderungen teilt Preventra dem Betrieb in Textform mit.

§ 5 Unterauftragsverarbeiter

(1) Der Betrieb genehmigt die in Anlage 3 genannten Unterauftragsverarbeiter (Art. 28 Abs. 2 und Abs. 4 DSGVO).

(2) Preventra informiert den Betrieb mindestens 30 Tage vorher in Textform über jede beabsichtigte Hinzuziehung oder Ersetzung eines Unterauftragsverarbeiters. Der Betrieb kann innerhalb dieser Frist aus wichtigem datenschutzrechtlichem Grund widersprechen. Hält Preventra an der Änderung fest, kann der Betrieb den Vertrag und die Nutzung des Datenraums zum Zeitpunkt ihres Wirksamwerdens ohne Einhaltung einer Frist kündigen.

(3) Preventra legt jedem Unterauftragsverarbeiter vertraglich dieselben Datenschutzpflichten auf, die dieser Vertrag Preventra auferlegt, und haftet dem Betrieb für dessen Einhaltung.

(4) Daten werden ausschließlich in der Europäischen Union verarbeitet, die Daten des Datenraums in Deutschland. Eine Übermittlung in ein Drittland findet nicht statt.

§ 6 Rechte der betroffenen Personen

(1) Preventra unterstützt den Betrieb mit geeigneten technischen und organisatorischen Maßnahmen dabei, Anträge betroffener Personen nach Kapitel III DSGVO zu beantworten (Art. 28 Abs. 3 Satz 2 lit. e DSGVO).

(2) Die Anwendung stellt dafür Funktionen bereit, mit denen der Betrieb selbst handelt, insbesondere die Auskunft über Einträge im Verbandbuch einschließlich der Angabe, wer sie eingesehen hat, die Berichtigung durch Nachtrag und die Einschränkung durch Sperre.

(3) Wendet sich eine betroffene Person unmittelbar an Preventra, leitet Preventra das Anliegen unverzüglich an den Betrieb weiter und antwortet nicht selbst in der Sache.

§ 7 Unterstützung bei den Pflichten nach Art. 32 bis 36 DSGVO

(1) Preventra unterstützt den Betrieb bei der Sicherheit der Verarbeitung, bei Meldungen und Benachrichtigungen nach Verletzungen des Schutzes personenbezogener Daten, bei der Datenschutz-Folgenabschätzung und bei einer vorherigen Konsultation (Art. 28 Abs. 3 Satz 2 lit. f DSGVO).

(2) Für das Verbandbuch stellt Preventra eine Vorlage der Datenschutz-Folgenabschätzung mit allen Angaben bereit, die nur der Hersteller kennt, einschließlich der Risiken, der Maßnahmen und ihrer Nachweise.

§ 8 Verletzungen des Schutzes personenbezogener Daten

(1) Preventra meldet dem Betrieb jede Verletzung des Schutzes personenbezogener Daten, die Daten aus seinem Datenraum betrifft, unverzüglich nach Kenntnis, spätestens innerhalb von 24 Stunden, in Textform an die E-Mail-Adressen der Leitung seines Betriebsraums.

(2) Die Meldung enthält, soweit bekannt, die Angaben nach Art. 33 Abs. 3 DSGVO. Was noch nicht bekannt ist, liefert Preventra unverzüglich nach.

(3) Preventra ergreift unverzüglich die Maßnahmen, die zur Eindämmung und zur Minderung möglicher nachteiliger Folgen nötig sind, und stimmt sie mit dem Betrieb ab.

§ 9 Nachweise und Überprüfungen

(1) Preventra stellt dem Betrieb alle Informationen zur Verfügung, die zum Nachweis der Einhaltung dieses Vertrags nötig sind, und ermöglicht Überprüfungen einschließlich Inspektionen durch den Betrieb oder einen von ihm beauftragten Prüfer (Art. 28 Abs. 3 Satz 2 lit. h DSGVO).

(2) Als Nachweis dienen insbesondere die Beschreibung der Maßnahmen in Anlage 2, die Architekturentscheidungen und Prüfberichte von Preventra sowie die Nachweise der Unterauftragsverarbeiter. Inspektionen vor Ort kündigt der Betrieb in der Regel mindestens 14 Tage vorher in Textform an; sie finden während der üblichen Geschäftszeiten statt und dürfen den Betrieb der Anwendung und die Daten anderer Kunden nicht beeinträchtigen. Bei Anlass, etwa nach einer Verletzung des Schutzes personenbezogener Daten, ist eine kürzere Frist zulässig.

(3) Jede Einsicht in Gesundheitsdaten des Verbandbuchs steht mit Person, Zeitpunkt und Zweck im Protokoll des Datenraums, das die Leitung des Betriebs einsehen kann.

§ 10 Löschung und Rückgabe nach Ende der Verarbeitung

(1) Nach Ende der Leistungen löscht Preventra nach Wahl des Betriebs alle Daten aus seinem Datenraum oder gibt sie ihm zurück, und löscht die vorhandenen Kopien, soweit nicht eine Pflicht zur Speicherung nach Unionsrecht oder dem Recht eines Mitgliedstaats besteht (Art. 28 Abs. 3 Satz 2 lit. g DSGVO).

(2) Während der Laufzeit löscht die Anwendung Daten nach den Fristen, die der Betrieb einstellt, und für das Verbandbuch nach den Fristen der Anlage 4. Datensicherungen bewahrt Preventra 30 Tage auf; gelöschte Daten sind danach auch dort entfernt.

(3) Endet ein gebuchtes Paket, bleiben die zugehörigen Daten bis zum Ablauf ihrer Fristen lesbar, damit der Betrieb seine Aufbewahrungs- und Auskunftspflichten erfüllen kann. Neue Daten entstehen dann nicht mehr.

§ 11 Betreuende Dienste

(1) Ein Dienst, der den Betrieb betreut (etwa für Arbeitssicherheit), ist nicht Partei dieses Vertrags. Er erhält Zugang zu Daten aus dem Datenraum nur, soweit der Betrieb ihn in der Anwendung bestätigt und Daten an ihn freigibt.

(2) Der Betrieb ist dafür verantwortlich, mit einem solchen Dienst die nötige Vereinbarung zu schließen. Preventra stellt sicher, dass ein Dienst technisch nur erreicht, was der Betrieb ihm freigegeben hat.

§ 12 Haftung, Laufzeit, Schlussbestimmungen

(1) Für die Haftung gegenüber betroffenen Personen gilt Art. 82 DSGVO. Im Verhältnis der Parteien zueinander gelten die gesetzlichen Vorschriften.

(2) Dieser Vertrag gilt für die Dauer der Nutzung des Datenraums und endet mit der Löschung oder Rückgabe nach § 10.

(3) Änderungen bedürfen der Textform. Eine neue Fassung legt Preventra dem Betrieb in der Anwendung zur Zustimmung vor; bis zu seiner Zustimmung gilt die bisherige Fassung.

(4) Bei Widersprüchen geht dieser Vertrag allen anderen Vereinbarungen zwischen den Parteien vor, soweit er den Schutz personenbezogener Daten betrifft. Es gilt deutsches Recht. Gerichtsstand ist, soweit gesetzlich zulässig, der Sitz von Preventra.

Anlage 1 — Gegenstand der Verarbeitung

Zweck: Bereitstellung eines Datenraums, in dem der Betrieb seine Unterlagen und Vorgänge des Arbeitsschutzes führt, mit betreuenden Diensten zusammenarbeitet und gesetzliche Nachweise erbringt.

Art der Verarbeitung: Speichern, Ordnen, Anzeigen, Übermitteln an vom Betrieb freigegebene Empfänger, Auswerten in zusammengefasster Form, Löschen.

Arten der Daten: – Stammdaten des Betriebs und seiner Standorte; – Namen und dienstliche Kontaktdaten von Ansprechpersonen; – Zugangsdaten der Nutzerinnen und Nutzer (Name, E-Mail-Adresse, Kennwort als Hash, zweiter Faktor) und ihre Rollen und Funktionen; – Unterlagen, Aufgaben, Termine und Nachrichten, die der Betrieb und seine Dienste anlegen, soweit sie Personen nennen; – Prüfungen und Betriebsmittel, soweit sie Personen nennen; – das Protokoll, wer wann was im Datenraum getan hat; – mit dem Paket Verbandbuch zusätzlich Gesundheitsdaten nach Anlage 4.

Kategorien betroffener Personen: Beschäftigte und Leitung des Betriebs; Nutzerinnen und Nutzer der Anwendung; Personen betreuender Dienste; im Verbandbuch zusätzlich die in Anlage 4 genannten Personen.

Anlage 2 — Technische und organisatorische Maßnahmen

Vertraulichkeit: – Jeder Betrieb hat einen eigenen Datenraum. Die Trennung der Datenräume ist dreifach umgesetzt: in der Anwendung, in den Rechten und durch Zeilenschutz in der Datenbank selbst (Row-Level-Security). Jede Regel ist durch automatisierte Tests mit Gegenprobe belegt. – Zugriff nur nach Anmeldung; ein zweiter Faktor ist Pflicht für alle Rollen mit erweitertem Zugriff und für jede Funktion, die Gesundheitsdaten mit Namen öffnen kann. – Rechte werden je Aufgabe vergeben, nicht pauschal; die Leitung des Betriebs liest Gesundheitsdaten nicht schon aufgrund ihrer Stellung. – Die Plattformverwaltung von Preventra liest keine Fachdaten der Datenräume.

Integrität: – Das Protokoll ist unveränderlich (nur anhängen). – Einträge im Verbandbuch sind unveränderlich; Berichtigungen entstehen als neue Fassung und sind über eine Prüfsummenkette verbunden. – Hochgeladene Dateien werden vor der Ablage auf Schadcode geprüft; eine nicht geprüfte Datei wird abgewiesen.

Verschlüsselung: – Übertragung ausschließlich verschlüsselt (TLS). – Gesundheitsdaten werden vor der Speicherung je Feld mit AES-256-GCM verschlüsselt; die Datenschlüssel sind mit einem Schlüssel im Schlüsseldienst (KMS) des Unterauftragsverarbeiters umhüllt, der diesen Dienst nie verlässt. Die Anwendung darf diesen Schlüssel nur zum Ver- und Entschlüsseln verwenden, nicht verwalten.

Verfügbarkeit und Belastbarkeit: – Betrieb in Rechenzentren in Deutschland; tägliche Sicherungen der Datenbank mit Wiederherstellung auf einen beliebigen Zeitpunkt, Aufbewahrung 30 Tage. – Überwachung der Erreichbarkeit; dokumentierte Verfahren für Störungen.

Löschung: – Fristen je Datenart; ein Löschlauf vollzieht sie. Sperren statt Löschen bei laufenden Verfahren, mit Grund und Wiedervorlage.

Überprüfung: – Jede Änderung durchläuft automatisierte Tests, Sicherheitsprüfungen und eine Prüfung auf bekannte Schwachstellen, bevor sie ausgeliefert wird. – Die Maßnahmen sind in den Architekturentscheidungen von Preventra dokumentiert und werden dem Betrieb auf Anforderung nachgewiesen (§ 9).

Anlage 3 — Unterauftragsverarbeiter

1. STACKIT GmbH & Co. KG, Stiftsbergstraße 1, 74172 Neckarsulm, Deutschland. Leistung: Rechenzentrumsbetrieb (Anwendungsplattform, Datenbank, Objektspeicher, Schlüsseldienst). Ort: Deutschland (Region EU01).

2. netcup GmbH, Daimlerstraße 25, 76185 Karlsruhe, Deutschland. Leistung: Versand von E-Mails der Anwendung (Einladungen, Kennwort, Benachrichtigungen). Verarbeitet werden E-Mail-Adressen und Inhalte dieser Mails; Gesundheitsdaten enthalten sie nicht. Ort: Deutschland.

Anlage 4 — Gesundheitsdaten (Paket Verbandbuch)

Diese Anlage gilt, wenn dem Betrieb das Paket Verbandbuch gebucht ist. Ohne Zustimmung des Betriebs zu einer Fassung mit dieser Anlage nimmt die Anwendung im Verbandbuch nichts an.

1. Zweck und Rechtsgrundlage. Dokumentation jeder Erste-Hilfe-Leistung (§ 24 Abs. 6 DGUV Vorschrift 1), Vorbereitung der Unfallanzeige (§ 193 SGB VII), Untersuchung schwerer Unfälle, Erfassung von Beinaheunfällen ohne Personenbezug, Aufbewahrung alter Papierbücher und eine zusammengefasste Auswertung. Der Betrieb verarbeitet diese Daten auf Grundlage von Art. 6 Abs. 1 lit. c und Art. 9 Abs. 2 lit. b DSGVO; Preventra verarbeitet sie ausschließlich in seinem Auftrag.

2. Daten. Abschließend die Angaben des DGUV-Dokumentationsbogens (Name der verletzten Person, Zeitpunkt, Ort, Hergang, Art und Umfang der Verletzung, Erste-Hilfe-Maßnahmen, Ersthelfende, Zeugen); bei Anzeigepflicht die Angaben der Unfallanzeige; bei einer Untersuchung Niederschrift und Belege (etwa Fotos); Scans alter Papierbücher; Beinaheunfälle ohne Angaben zu Personen.

3. Betroffene. Verletzte Beschäftigte, Leiharbeitnehmer, Beschäftigte von Fremdfirmen und Besucher; Ersthelfende; Zeugen; Personen, die eintragen.

4. Zugriff. Gesundheitsdaten mit Namen öffnet im Betrieb nur, wer die Funktion Verbandbuchführung hat; jedes Öffnen verlangt einen Zweck und steht im Protokoll. Ein betreuender Dienst sieht ohne Freigabe nur Zeitpunkt und Standort bestätigter Einträge; Inhalt und Namen erst, wenn der Betrieb den einzelnen Eintrag freigibt. Der Betriebsarzt sieht nur Einträge, die ihm freigegeben werden. Preventra öffnet keine Gesundheitsdaten; die Anwendung lässt es technisch nicht zu.

5. Besondere Maßnahmen. Zusätzlich zu Anlage 2: Verschlüsselung je Feld mit Schlüssel im KMS; zweiter Faktor für jede Funktion mit Zugriff auf Namen; Listen ohne Namen; Auswertungen weisen keine Zahl zwischen 1 und 4 aus; ein Ermittlungsexport an Unfallversicherung, Behörde oder Gericht nur durch die Verbandbuchführung, mit Anlass im Protokoll.

6. Fristen. Einträge, Unfallanzeigen, Untersuchungen und Belege fünf Jahre ab der Erste-Hilfe-Leistung; Beinaheunfälle fünf Jahre ab dem Ereignis; Papierbücher fünf Jahre ab der letzten Eintragung; zurückgewiesene Einträge 30 Tage. Danach Löschung, aus den Sicherungen spätestens 30 Tage später. Bei einem laufenden Verfahren sperrt der Betrieb statt zu löschen.

7. Datenschutz-Folgenabschätzung. Die Folgenabschätzung schuldet der Betrieb als Verantwortlicher. Preventra stellt die Vorlage nach § 7 Abs. 2 bereit und unterstützt bei Fragen.

8. Schlüssel. Der Schlüssel im KMS wird nicht gelöscht, solange Daten im Verbandbuch liegen. Preventra verwaltet ihn mit einem eigenen, von der Anwendung getrennten Zugang.