Vertrag zur Auftragsverarbeitung
nach Art. 28 DSGVO · Stand: September 2026
Dieser Vertrag wird zwischen dem Kunden als Verantwortlichem und Jan Bentner – BENNET.,
Jörg-Syrlin-Straße 42, 89081 Ulm, als Auftragsverarbeiter geschlossen. Er wird auf Anfrage als unterschriebenes Dokument bereitgestellt.
Anfragen bitte an
janbentner@bennet-group.com.
1. Gegenstand und Dauer
Gegenstand ist die Verarbeitung personenbezogener Daten durch den Auftragsverarbeiter im Rahmen der Bereitstellung
der Software BENNET.PlanBoard. Die Dauer entspricht der Laufzeit des Hauptvertrags.
2. Art und Zweck der Verarbeitung
Speichern, Verändern, Auslesen und Löschen von Daten zum Zweck der Einsatzplanung, der Terminverwaltung, der
optionalen Kalender-Synchronisation sowie der optionalen Anbindung an ein ERP-System des Kunden.
3. Art der Daten und Kreis der Betroffenen
| Kategorie | Daten |
|---|
| Beschäftigte des Kunden | Name, E-Mail-Adresse, Rolle, Gruppenzugehörigkeit, Einsatzzeiten, Abwesenheiten, Qualifikationen |
| Kunden des Kunden | Firmenname, Anschrift, Telefonnummer, Auftragsbeschreibung, Koordinaten der Einsatzadresse |
| Subunternehmer des Kunden | Name, E-Mail-Adresse, zugewiesene Einsätze |
4. Pflichten des Auftragsverarbeiters
- Verarbeitung ausschließlich auf dokumentierte Weisung des Verantwortlichen
- Verpflichtung der mit der Verarbeitung befassten Personen auf Vertraulichkeit
- Umsetzung der technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO, siehe Abschnitt 6
- Unterstützung bei Betroffenenanfragen und bei Datenschutz-Folgenabschätzungen
- Meldung von Verletzungen des Schutzes personenbezogener Daten unverzüglich nach Bekanntwerden
- Löschung oder Rückgabe der Daten nach Ende des Vertrags nach Wahl des Verantwortlichen
5. Unterauftragsverarbeiter
Der Verantwortliche stimmt dem Einsatz folgender Unterauftragsverarbeiter zu:
| Unternehmen | Leistung | Ort der Verarbeitung |
|---|
| Google Ireland Limited | Hosting, Datenbank, Anmeldung, Serverfunktionen (Firebase) | Deutschland (Frankfurt), Support ggf. Drittland mit Standardvertragsklauseln |
| Stripe Payments Europe Ltd. | Zahlungsabwicklung | Irland |
| Microsoft Ireland Operations Ltd. | Kalender-Synchronisation mit Outlook, nur bei aktivierter Verbindung | EU |
| Google Ireland Limited (Google Calendar) | Kalender-Synchronisation mit Google, nur bei aktivierter Verbindung | EU |
| Project OSRM / OpenStreetMap | Karte und Fahrzeitberechnung; übermittelt werden Koordinaten der Einsatzorte, keine Namen | EU bzw. Vereinigtes Königreich |
Der Auftragsverarbeiter informiert den Verantwortlichen über beabsichtigte Änderungen mindestens vier Wochen im
Voraus. Der Verantwortliche kann widersprechen; in diesem Fall besteht ein Sonderkündigungsrecht.
6. Technische und organisatorische Maßnahmen
Vertraulichkeit
- Zugangskontrolle über persönliche Konten mit Passwort, Rechteverwaltung nach Rollen
- Mandantentrennung: Jeder Kunde arbeitet in einem abgeschotteten Datenbereich, durchgesetzt auf Serverebene
- Verschlüsselte Übertragung ausschließlich über TLS, Verschlüsselung der Daten im Ruhezustand
- Zugangsschlüssel zu Drittsystemen liegen in einem gesonderten, für Anwender nicht lesbaren Bereich
Integrität
- Protokollierung von Änderungen an Terminen und Stammdaten mit Benutzer und Zeitpunkt
- Papierkorb mit Wiederherstellungsmöglichkeit für gelöschte Einträge
Verfügbarkeit und Belastbarkeit
- Betrieb in einem Rechenzentrum mit Georedundanz innerhalb der EU
- Arbeitstägliche Sicherung der Daten, Wiederherstellung auf einen Zeitpunkt innerhalb der letzten sieben Tage
- Überwachung der Serverfunktionen mit Protokollierung von Fehlern
Verfahren zur Überprüfung
- Datenschutzfreundliche Voreinstellungen, etwa Übernahme privater Termine ohne Titel
- Exportfunktion für die Datenübertragbarkeit nach Art. 20 DSGVO
- Regelmäßige Überprüfung der Berechtigungen und Zugriffsregeln
7. Weisungen
Weisungen erfolgen in Textform an janbentner@bennet-group.com. Hält der
Auftragsverarbeiter eine Weisung für rechtswidrig, teilt er dies unverzüglich mit.
8. Kontrollrechte
Der Verantwortliche kann sich von der Einhaltung überzeugen, in der Regel durch Auskunft in Textform. Vor-Ort-Prüfungen
sind nach vorheriger Abstimmung mit angemessener Frist möglich und dürfen den Betrieb nicht unangemessen stören.
