Auftragsverarbeitungsvertrag

nach Artikel 28 Absatz 3 der Verordnung (EU) 2016/679 (DSGVO) Produkt: Instandio (Instandhaltungs- und Prüffristenmanagement)

Dokumentfassung: AVV-Version 1.2 · Stand 30.08.2026 Anlagen: Anlage 1 (Verarbeitungsübersicht), Anlage 2 (Technische und organisatorische Maßnahmen), Anlage 3 (Unterauftragsverarbeiter)

---

Empfehlung vorweg: die EU-Standardvertragsklauseln statt dieses Vertrags

Ein eigener Vertragstext ist nicht erforderlich. Art. 28 Abs. 6 und 7 DSGVO lassen zu, dass ein Auftragsverarbeitungsvertrag ganz oder teilweise auf von der Kommission erlassenen Standardvertragsklauseln beruht. Diese Klauseln liegen vor:

Durchführungsbeschluss (EU) 2021/915 der Kommission vom 04.06.2021 über Standardvertragsklauseln zwischen Verantwortlichen und Auftragsverarbeitern gemäß Artikel 28 Absatz 7 der Verordnung (EU) 2016/679, Amtsblatt L 199 vom 07.06.2021, Seiten 18 bis 30.

Was das bringt: Der Text steht fest und darf inhaltlich nicht verändert werden. Damit entfällt jede Diskussion über die Wirksamkeit einzelner Klauseln, insbesondere über die Beschränkung des Prüfungsrechts (§ 9) und über die Änderungsklausel (§ 2). Eine prüfende Rechtsabteilung erkennt das Dokument wieder und muss es nicht zeilenweise lesen. Kosten: 0,00 €.

Die Anhänge lassen sich unmittelbar aus diesem Satz übernehmen:

Anhang der Standardvertragsklauseln	Inhalt	Quelle bei uns
Anhang I	Parteien, Beschreibung der Verarbeitung, Kategorien betroffener Personen und Datenarten, Zwecke, Dauer	11_Anlage-1-Verarbeitungsuebersicht.md, direkt einsetzbar
Anhang II	Technische und organisatorische Maßnahmen	12_Anlage-2-TOM.md: nur die Maßnahmen mit dem Stand ✔ umgesetzt. Die Standardvertragsklauseln kennen keine Freizeichnung wie § 6 Absatz 2 dieses Vertrags
Anhang III	Liste der Unterauftragsverarbeiter	13_Anlage-3-Unterauftragsverarbeiter.md, führt seit dem 15.08.2026 die Supabase Pte. Ltd.

Was die Standardvertragsklauseln nicht lösen: Sie beseitigen das Risiko der Vertragsform, nicht das Risiko der Substanz. Ein Anhang II mit fast ausschließlich geplanten Maßnahmen bleibt ein Anhang II mit fast ausschließlich geplanten Maßnahmen, ohne die Möglichkeit, das im Text zu kennzeichnen. Deshalb gilt auch bei ihrer Verwendung § 6 Absatz 5 dieses Vertrags: kein Produktivbetrieb, solange eine als kritisch gekennzeichnete Maßnahme nicht den Stand ✔ trägt.

Was aus diesem Vertrag erhaltenswert bleibt und als ergänzende Vereinbarung neben die Standardvertragsklauseln gehört, weil diese es nicht regeln: die Versionierung des Vertrags (§ 2), die Karenzzeit mit Exportfenster und Löschprotokoll (§ 11 Absatz 2), der Verzicht auf ein Zurückbehaltungsrecht (§ 11 Absatz 7) und die Abgrenzung der aggregierten Produktkennzahlen (§ 4 Absatz 7). Ergänzende Regelungen sind zulässig, solange sie den Klauseln nicht widersprechen.

---

Vertragsparteien

Auftragsverarbeiter (nachfolgend „vdw“ oder „Auftragsverarbeiter“)

vdw GmbH Fichtenstr. 49 57368 Lennestadt Telefon: 02723/719334 E-Mail: info@v-d-w.de Geschäftsführer: Olaf von Deines, Dorian Wolf Handelsregister: HRB Siegen 13974 USt-ID: DE369550121

Verantwortlicher (nachfolgend „Kunde“ oder „Verantwortlicher“)

Vom Kunden auszufüllen:

Firma: ______________________________________________ Anschrift: ___________________________________________ Vertreten durch: _____________________________________ Handelsregister: _____________________________________ Ansprechpartner Datenschutz (Name, E-Mail, Telefon): ______________________________________________

---

§ 1 Gegenstand, Rangfolge und Dauer

(1) Gegenstand. Der Kunde nutzt die Software Instandio als von vdw betriebene Anwendung (Software as a Service) zur Verwaltung von Prüf- und Wartungspflichten an technischen Arbeitsmitteln und Anlagen. vdw verarbeitet dabei personenbezogene Daten ausschließlich im Auftrag und nach Weisung des Kunden. Der Kunde bleibt Verantwortlicher im Sinne des Art. 4 Nr. 7 DSGVO; vdw ist Auftragsverarbeiter im Sinne des Art. 4 Nr. 8 DSGVO.

(2) Verhältnis zum Hauptvertrag. Dieser Vertrag konkretisiert die datenschutzrechtlichen Pflichten aus dem zwischen den Parteien geschlossenen Nutzungsvertrag über Instandio (nachfolgend „Hauptvertrag“) einschließlich der zugehörigen Leistungsbeschreibung und der Allgemeinen Geschäftsbedingungen.

(3) Rangfolge. Bei Widersprüchen gilt: dieser Vertrag mit seinen Anlagen vor dem Hauptvertrag vor den Allgemeinen Geschäftsbedingungen. Innerhalb dieses Vertrags gehen die Anlagen dem Vertragstext vor, soweit sie ihn konkretisieren, nicht jedoch, soweit sie ihm widersprechen.

(4) Dauer. Dieser Vertrag beginnt mit seiner Annahme durch den Kunden und läuft für die Dauer des Hauptvertrags. Er endet mit dessen Beendigung; die Pflichten aus § 11 (Löschung und Rückgabe), § 5 (Vertraulichkeit) und § 13 (Haftung) bestehen darüber hinaus fort.

(5) Kündigung. Eine gesonderte Kündigung dieses Vertrags ohne gleichzeitige Beendigung des Hauptvertrags ist ausgeschlossen, weil die Nutzung von Instandio ohne Auftragsverarbeitung nicht möglich ist. Unberührt bleibt das außerordentliche Kündigungsrecht des Kunden nach § 8 Absatz 5 (Widerspruch gegen einen Unterauftragsverarbeiter) und bei schwerwiegenden, nicht abgestellten Verstößen von vdw gegen diesen Vertrag.

---

§ 2 Annahme, Versionierung und Änderung dieses Vertrags

(1) Technisch erzwungene Annahme. Der Produktivbetrieb von Instandio setzt die Annahme dieses Vertrags voraus. Die Anwendung speichert dazu je Mandant

Ohne gesetzte Werte in diesen Feldern schaltet die Anwendung den Mandanten nicht produktiv. Der Kunde kann die angenommene Fassung, das Annahmedatum und alle früheren Fassungen jederzeit in der Anwendung einsehen und als PDF abrufen.

○ geplant, Stand 07.08.2026: die Felder sind im Datenmodell vorgesehen, die Anwendung besitzt weder Mandantenverwaltung noch Zustimmungsdialog.

(2) Versionsnummern. Fassungen dieses Vertrags werden nach dem Muster Hauptversion.Nebenversion gezählt.

(3) Ankündigung. vdw kündigt jede neue Fassung mindestens 30 Tage vor ihrem Wirksamwerden in Textform an den beim Kunden hinterlegten Datenschutz-Ansprechpartner sowie in der Anwendung an. Die Ankündigung nennt die Versionsnummer, das Wirksamkeitsdatum und eine Gegenüberstellung der Änderungen.

(4) Nachweis. Die Versionierung nach diesem Paragraphen dient zugleich dem Nachweis nach Art. 5 Abs. 2 DSGVO. vdw bewahrt jede Fassung dieses Vertrags mit dem Zeitpunkt ihrer Gültigkeit und den Annahmen der Kunden für die Dauer des Vertragsverhältnisses und zehn Jahre darüber hinaus auf.

---

§ 3 Art, Umfang und Zweck der Verarbeitung; Datenarten; betroffene Personen

(1) Art, Umfang, Zweck der Verarbeitung, die Arten der verarbeiteten personenbezogenen Daten und die Kategorien betroffener Personen ergeben sich abschließend aus Anlage 1 (Verarbeitungsübersicht).

(2) Zusammenfassung. Die Verarbeitung umfasst das Erheben, Erfassen, Organisieren, Speichern, Anpassen, Auslesen, Abfragen, Verwenden, Übermitteln innerhalb des Systems, Einschränken, Löschen und Vernichten personenbezogener Daten zum Zweck des Betriebs von Instandio für den Kunden.

(3) Keine Verarbeitung besonderer Kategorien. Die Parteien sind sich einig, dass Instandio nicht für die Verarbeitung besonderer Kategorien personenbezogener Daten nach Art. 9 DSGVO bestimmt ist. Zu arbeitsmedizinischen Vorsorgen sollen weder Untersuchungsergebnisse noch Befunde erfasst werden, sondern ausschließlich das Faktum „Eignungsnachweis liegt vor, gültig bis TT.MM.JJJJ“ ohne Dokument.

Keine Zusicherung einer technischen Sperre. ○ geplant, Stand 07.08.2026: die technische Sperre des Dokumentuploads für Qualifikationen der Kategorie „Eignung“ (Anlage 2 Nr. 1.5.6) ist in ARCHITEKTUR.md §2.5 vorgesehen, in der Anwendung 1.1 jedoch nicht gebaut. Der Datentyp Zertifikat erlaubt derzeit den Upload beliebiger Nachweisdateien ohne Kategorieprüfung. vdw sichert eine solche Sperre für den Stand dieses Vertrags nicht zu. Die Einhaltung des Absatzes 4 obliegt bis zu ihrer Umsetzung allein dem Kunden; vdw weist ihn hierauf vor der Aufnahme der Nutzung gesondert und in Textform hin und lässt den Hinweis gegenzeichnen.

(4) Pflicht des Kunden. Der Kunde verpflichtet sich, in Instandio keine Daten nach Art. 9 DSGVO und keine Daten über strafrechtliche Verurteilungen und Straftaten (Art. 10 DSGVO) einzugeben oder hochzuladen. Erlangt vdw Kenntnis von einem Verstoß, teilt vdw dies dem Kunden unverzüglich mit; die Entfernung obliegt dem Kunden.

(5) Ort der Verarbeitung. Die Verarbeitung findet ausschließlich in Mitgliedstaaten der Europäischen Union oder in Vertragsstaaten des Abkommens über den Europäischen Wirtschaftsraum statt. Der konkrete Verarbeitungsort ergibt sich aus Anlage 1 und Anlage 3. Jede Verlagerung in ein Drittland bedarf der vorherigen Zustimmung des Kunden und setzt das Vorliegen der Voraussetzungen der Art. 44 bis 49 DSGVO voraus.

---

§ 4 Weisungsrecht und Weisungsbindung

(1) Verarbeitung nur auf Weisung. vdw verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Kunden, einschließlich in Bezug auf die Übermittlung in Drittländer, es sei denn, vdw ist hierzu nach dem Recht der Union oder eines Mitgliedstaats verpflichtet, dem vdw unterliegt. In einem solchen Fall teilt vdw dem Kunden diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht eine solche Mitteilung nicht wegen eines wichtigen öffentlichen Interesses verbietet (Art. 28 Abs. 3 lit. a DSGVO).

(2) Weisungen im Regelbetrieb. Als Weisung gelten:

a) dieser Vertrag einschließlich seiner Anlagen sowie der Hauptvertrag mit Leistungsbeschreibung: sie bilden die Grunddauerweisung, b) die vom Kunden in der Anwendung vorgenommenen Einstellungen, insbesondere Aufbewahrungsfristen, Sichtbarkeitsstufe des QR-Portals, Benachrichtigungsregeln, Rollen- und Rechtevergabe, Freischaltung personenbezogener Auswertungen, c) Einzelweisungen in Textform nach Absatz 3.

(3) Einzelweisungen. Einzelweisungen erteilt der Kunde in Textform an datenschutz@v-d-w.de, solange dieses Postfach nicht eingerichtet ist an info@v-d-w.de. Mündliche Weisungen bestätigt der Kunde unverzüglich in Textform. vdw dokumentiert jede Einzelweisung mit Eingang, Inhalt, ausführender Person und Ausführungszeitpunkt und bewahrt diese Dokumentation für die Vertragsdauer und drei Jahre darüber hinaus auf.

(4) Weisungsberechtigte. Weisungsberechtigt sind auf Seiten des Kunden die in Anlage 1 Abschnitt 8 benannten Personen. Der Kunde hält diese Liste aktuell. vdw benennt als weisungsempfangende Stelle Olaf von Deines, Geschäftsführer, in Vertretung Dorian Wolf, Geschäftsführer.

(5) Hinweispflicht bei rechtswidriger Weisung. Ist vdw der Auffassung, dass eine Weisung gegen die DSGVO oder gegen andere Datenschutzbestimmungen der Union oder der Mitgliedstaaten verstößt, informiert vdw den Kunden unverzüglich (Art. 28 Abs. 3 Satz 3 DSGVO). vdw ist berechtigt, die Ausführung der betreffenden Weisung bis zu deren Bestätigung oder Änderung durch den Kunden auszusetzen. Bestätigt der Kunde die Weisung schriftlich, führt vdw sie aus; die Verantwortung trägt insoweit der Kunde.

(6) Mehraufwand. Weisungen, die über den vertraglich vereinbarten Leistungsumfang hinausgehen und bei vdw einen Aufwand von mehr als zwei Stunden verursachen, vergütet der Kunde nach dem im Hauptvertrag vereinbarten Stundensatz. vdw weist auf die Vergütungspflicht vor der Ausführung hin. Unentgeltlich bleiben stets Weisungen, die auf die Herstellung eines datenschutzkonformen Zustands gerichtet sind, den vdw zu vertreten hat.

(7) Kein eigener Zweck. vdw verwendet die im Auftrag verarbeiteten Daten nicht für eigene Zwecke. Zulässig bleibt die Erhebung aggregierter, nicht personenbezogener Produkt- und Nutzungskennzahlen (Anzahl der Objekte, gebuchte Module, Zahl der Anmeldungen je Mandant) zur Abrechnung, zur Kapazitätsplanung und zur Produktverbesserung. Eine Auswertung von Inhalten findet nicht statt.

---

§ 5 Vertraulichkeit

(1) Verpflichtung der Beschäftigten. vdw verpflichtet alle zur Verarbeitung der personenbezogenen Daten befugten Personen zur Vertraulichkeit, soweit sie nicht bereits einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen (Art. 28 Abs. 3 lit. b DSGVO). Die Verpflichtung erfolgt in Textform vor der ersten Tätigkeitsaufnahme, spätestens jedoch vor der Aufnahme des Produktivbetriebs für den Kunden, wirkt über das Ende des Beschäftigungsverhältnisses hinaus und wird dokumentiert. vdw legt dem Kunden die Verpflichtungserklärungen auf Verlangen als Nachweis nach § 9 vor.

(2) Datengeheimnis. Die Verpflichtung umfasst das Verbot, personenbezogene Daten unbefugt zu verarbeiten, sowie die Belehrung über § 42 BDSG und Art. 83 DSGVO.

(3) Schulung. vdw schult die mit der Verarbeitung befassten Personen bei Aufnahme der Tätigkeit und danach mindestens jährlich zu Datenschutz und Datensicherheit. Die Teilnahme wird dokumentiert.

○ Stand 07.08.2026: Vertraulichkeitsverpflichtungen und Schulungsnachweise für die vdw-Beschäftigten liegen noch nicht in dokumentierter Form vor (Anlage 2 Nr. 4.1.4 und 4.1.5). Die Absätze 1 und 3 beschreiben insoweit eine zu erfüllende Pflicht, nicht einen bestehenden Zustand. Sie ist vor der Aufnahme des Produktivbetriebs für den ersten Kunden herzustellen; § 6 Absatz 5 gilt entsprechend.

(4) Kreis der Zugriffsberechtigten. Zugriff auf Kundendaten erhalten ausschließlich Personen, die ihn zur Erfüllung der vertraglichen Leistung benötigen. vdw führt eine dokumentierte Liste dieser Personen und aktualisiert sie bei jeder Änderung.

(5) Kein anlassloser Zugriff. vdw greift nicht ohne Anlass auf Inhalte des Kunden zu. Ein Support-Zugriff erfolgt ausschließlich nach vorheriger Freischaltung durch den Kunden, ist auf den Anlass und die Dauer der Unterstützung beschränkt und wird von vdw dokumentiert. Diese Beschränkung gilt ab Vertragsschluss als vertragliche und organisatorische Pflicht von vdw.

(6) Technische Umsetzung des Absatzes 5. Die technische Absicherung dieser Pflicht (gesonderte Rolle vdw_support, Freischaltung durch den Kunden in der Anwendung, automatische zeitliche Befristung, vollständige Protokollierung und Anzeige jeder Support-Aktion im Mandanten) ist in Anlage 2 Nr. 1.3.6 als kritisch gekennzeichnet und trägt den Stand ○ geplant, Stand 07.08.2026. Sie ist bis zur Aufnahme des Produktivbetriebs herzustellen (§ 6 Absatz 5) und ist bis dahin nicht Gegenstand einer Zusicherung. Die Pflicht aus Absatz 5 bleibt davon unberührt.

---

§ 6 Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

(1) vdw trifft die zur Sicherheit der Verarbeitung erforderlichen technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO. Diese sind in Anlage 2 beschrieben.

(2) Kennzeichnung des Umsetzungsstands. Anlage 2 kennzeichnet jede Maßnahme mit ihrem tatsächlichen Umsetzungsstand (✔ umgesetzt, ◑ teilweise umgesetzt, ○ geplant). Maßnahmen mit dem Stand ○ geplant sind nicht Gegenstand einer Zusicherung und begründen keinen Anspruch des Kunden, solange sie diesen Stand tragen. Der Kunde erkennt an, dass er den Umsetzungsstand vor Vertragsschluss zur Kenntnis genommen hat.

(3) Fortschreibung. vdw darf die Maßnahmen fortentwickeln, solange das vereinbarte Schutzniveau nicht unterschritten wird. Wesentliche Änderungen dokumentiert vdw und teilt sie dem Kunden nach § 2 Absatz 3 mit. Eine Absenkung des Schutzniveaus ist eine Änderung der Hauptversion nach § 2 Absatz 2 und bedarf der erneuten Annahme.

(4) Angemessenheit. Die Parteien sind sich einig, dass die Maßnahmen dem Stand der Technik, den Implementierungskosten und der Art, dem Umfang, den Umständen und den Zwecken der Verarbeitung sowie der unterschiedlichen Eintrittswahrscheinlichkeit und Schwere des Risikos für die Rechte und Freiheiten natürlicher Personen zu entsprechen haben. vdw überprüft die Angemessenheit mindestens jährlich sowie anlassbezogen bei wesentlichen Änderungen der Verarbeitung.

(5) Umsetzungsstand als Vertragsvoraussetzung. vdw sichert zu, den Produktivbetrieb für einen Kunden erst aufzunehmen, wenn die in Anlage 2 als kritisch gekennzeichneten Maßnahmen den Stand ✔ umgesetzt tragen. Dies betrifft insbesondere Mandantentrennung, Verschlüsselung im Transport und im Ruhezustand, Rollen- und Rechtekonzept, Ereignisprotokoll und Datensicherung mit erprobter Wiederherstellung.

(6) Freigabe des Produktivbetriebs. Die Annahme dieses Vertrags nach § 2 Absatz 1 allein schaltet einen Mandanten nicht produktiv. Zusätzlich zu den dort genannten Feldern setzt die Freischaltung eine dokumentierte, von beiden Geschäftsführern der vdw GmbH gegengezeichnete Bestätigung voraus, dass die Voraussetzung des Absatzes 5 im Zeitpunkt der Freischaltung vorliegt. Die Bestätigung wird mit dem Prüfdatum und dem zugrunde liegenden Stand der Anlage 2 aufbewahrt und dem Kunden auf Verlangen vorgelegt.

---

§ 7 Unterstützung des Verantwortlichen

7.1 Betroffenenrechte (Art. 28 Abs. 3 lit. e DSGVO)

(1) vdw unterstützt den Kunden mit geeigneten technischen und organisatorischen Maßnahmen dabei, seiner Pflicht zur Beantwortung von Anträgen auf Wahrnehmung der Rechte der betroffenen Person nach Kapitel III der DSGVO nachzukommen, insbesondere Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch (Art. 21).

(2) Selbstbedienung: Zielzustand, derzeit keine Zusicherung. Die Unterstützung soll vorrangig über Funktionen der Anwendung erfolgen, die der Mandantenadministrator des Kunden selbst bedient:

○ Stand 07.08.2026: Export-, Auskunfts- und Pseudonymisierungsfunktionen sind in ARCHITEKTUR.md §12.4 vorgesehen und noch nicht gebaut. Sie sind bis zu ihrer Fertigstellung nicht Gegenstand einer Zusicherung; § 6 Absatz 2 gilt entsprechend.

(2a) Unterstützung bis zur Fertigstellung dieser Funktionen. Solange die Funktionen nach Absatz 2 nicht zur Verfügung stehen, unterstützt vdw den Kunden bei Anträgen betroffener Personen manuell: durch Zusammenstellung der zu einer Person gespeicherten Daten, durch Berichtigung, Einschränkung oder Löschung auf Weisung des Kunden und durch Erstellung der erforderlichen Auszüge. Die Unterstützung erfolgt so rechtzeitig, dass der Kunde die Frist des Art. 12 Abs. 3 DSGVO einhalten kann, und ist insoweit unentgeltlich (§ 4 Absatz 6 letzter Satz).

(3) Anträge, die bei vdw eingehen. Wendet sich eine betroffene Person unmittelbar an vdw, leitet vdw den Antrag unverzüglich, spätestens innerhalb von drei Werktagen, an den Kunden weiter und beantwortet ihn nicht selbst. vdw teilt der betroffenen Person lediglich mit, dass die Weiterleitung erfolgt ist und wer Verantwortlicher ist.

(4) Aufwand. Unterstützungsleistungen, die über die Bereitstellung der Selbstbedienungsfunktionen hinausgehen, vergütet der Kunde nach § 4 Absatz 6, es sei denn, der Aufwand beruht auf einem Umstand, den vdw zu vertreten hat.

7.2 Unterstützung bei den Pflichten aus Art. 32 bis 36 DSGVO

vdw unterstützt den Kunden unter Berücksichtigung der Art der Verarbeitung und der vdw zur Verfügung stehenden Informationen bei der Einhaltung der Pflichten aus

7.3 Mitbestimmung

vdw weist darauf hin, dass die Erfassung personenbezogener Zeitbuchungen und deren Auswertung nach § 87 Abs. 1 Nr. 6 BetrVG der Mitbestimmung des Betriebsrats unterliegen kann.

Kein technischer Schalter im Auslieferungszustand. ○ Stand 07.08.2026: ein Merkmalsschalter, der personenbezogene Auswertungen im Auslieferungszustand abschaltet und dessen Freischaltung protokolliert, ist in ARCHITEKTUR.md R-12 und in Anlage 2 Nr. 1.5.5 vorgesehen und noch nicht gebaut. vdw sichert einen solchen Auslieferungszustand daher nicht zu. vdw teilt dem Kunden auf Anfrage mit, welche personenbezogenen Auswertungen der jeweils eingesetzte Programmstand tatsächlich zulässt; diese Auskunft ist Grundlage der Beteiligung des Betriebsrats.

Der Kunde entscheidet als Verantwortlicher, wer personenbezogene Auswertungen vornehmen darf, und regelt dies erforderlichenfalls mit dem Betriebsrat. Sobald der Schalter zur Verfügung steht, gilt: Auswertungen erfolgen standardmäßig aggregiert, die Freischaltung ist eine Entscheidung des Kunden und wird protokolliert.

---

§ 8 Unterauftragsverarbeiter (Art. 28 Abs. 2 und 4 DSGVO)

(1) Allgemeine Genehmigung. Der Kunde erteilt vdw die allgemeine schriftliche Genehmigung, weitere Auftragsverarbeiter hinzuzuziehen (Art. 28 Abs. 2 Satz 2 DSGVO). Die zum Zeitpunkt des Vertragsschlusses eingesetzten Unterauftragsverarbeiter sind in Anlage 3 abschließend aufgeführt und mit der Annahme dieses Vertrags genehmigt.

(2) Keine Unterauftragsverarbeitung sind Nebenleistungen, die vdw bei Dritten als reine Nebenleistung in Anspruch nimmt und die nicht auf die Verarbeitung von Kundendaten gerichtet sind, insbesondere Telekommunikationsleistungen, Postdienste, Transport, Wartung von Hardware ohne Datenzugriff und Reinigung. vdw stellt auch für diese Leistungen den Schutz der Daten durch angemessene Maßnahmen sicher.

(3) Anforderungen an Unterauftragsverarbeiter. vdw schließt mit jedem Unterauftragsverarbeiter einen Vertrag, der ihm dieselben Datenschutzpflichten auferlegt, die vdw nach diesem Vertrag treffen, insbesondere hinreichende Garantien für geeignete technische und organisatorische Maßnahmen (Art. 28 Abs. 4 DSGVO). vdw prüft die Eignung vor der Beauftragung und danach mindestens jährlich und dokumentiert die Prüfung.

(4) Ankündigung von Änderungen. vdw teilt dem Kunden jede beabsichtigte Änderung in Bezug auf die Hinzuziehung oder die Ersetzung eines Unterauftragsverarbeiters mindestens 30 Tage vor deren Wirksamwerden in Textform mit. Die Mitteilung nennt Name, Anschrift, Leistung, Ort der Verarbeitung und (bei einem Drittlandbezug) die Rechtsgrundlage der Übermittlung. Die jeweils gültige Liste ist zusätzlich in der Anwendung einsehbar.

(5) Widerspruchsrecht. Der Kunde kann einer Änderung innerhalb von 30 Tagen ab Zugang der Mitteilung aus einem sachlichen, datenschutzbezogenen Grund in Textform widersprechen. Der Widerspruch ist zu begründen. Die Parteien suchen zunächst eine einvernehmliche Lösung. Kommt binnen weiterer 30 Tage keine Einigung zustande, kann der Kunde den Hauptvertrag mit einer Frist von einem Monat zum Monatsende außerordentlich kündigen; bereits gezahlte Entgelte werden zeitanteilig erstattet. Ein Widerspruch ohne sachlichen Grund oder ein nicht begründeter Widerspruch gilt als nicht erfolgt.

(6) Dringende Ersetzung. Muss ein Unterauftragsverarbeiter aus zwingendem Grund kurzfristig ersetzt werden (Ausfall, Insolvenz, Sicherheitsvorfall, Kündigung durch den Unterauftragsverarbeiter), darf vdw die Ersetzung ohne Einhaltung der Frist aus Absatz 4 vornehmen. vdw unterrichtet den Kunden unverzüglich; das Widerspruchsrecht nach Absatz 5 besteht dann nachträglich.

(7) Haftung. Kommt ein Unterauftragsverarbeiter seinen Datenschutzpflichten nicht nach, haftet vdw gegenüber dem Kunden für die Einhaltung der Pflichten dieses Unterauftragsverarbeiters (Art. 28 Abs. 4 Satz 2 DSGVO).

(8) Ort der Verarbeitung und Drittlandbezug. Beides ist auseinanderzuhalten. Der Ort der Verarbeitung liegt bei allen in Anlage 3 aufgeführten Unterauftragsverarbeitern innerhalb der EU beziehungsweise des EWR; eine Verarbeitung außerhalb der EU beziehungsweise des EWR ist derzeit nicht vorgesehen. Ein Drittlandbezug kann gleichwohl bestehen, wenn ein Unterauftragsverarbeiter seinen Sitz in einem Drittland hat, dem Recht dieses Drittlands unterliegt oder von dort auf die Daten zugreifen kann. Anlage 3 weist einen solchen Drittlandbezug für jeden Unterauftragsverarbeiter gesondert aus und benennt die Rechtsgrundlage der Übermittlung. Sowohl eine Verlagerung des Verarbeitungsorts in ein Drittland als auch die Hinzuziehung eines Unterauftragsverarbeiters mit Drittlandbezug setzen einen Angemessenheitsbeschluss nach Art. 45 DSGVO oder geeignete Garantien nach Art. 46 DSGVO (insbesondere Standardvertragsklauseln nebst Übermittlungs-Folgenabschätzung) sowie die vorherige Mitteilung nach Absatz 4 voraus.

---

§ 9 Nachweis- und Kontrollrechte, Audits (Art. 28 Abs. 3 lit. h DSGVO)

(1) Nachweispflicht. vdw stellt dem Kunden alle Informationen zur Verfügung, die zum Nachweis der Einhaltung der in Art. 28 DSGVO niedergelegten Pflichten erforderlich sind.

(2) Nachweisstufen. Der Nachweis erfolgt vorrangig durch:

a) die jeweils aktuelle Fassung von Anlage 2 mit gekennzeichnetem Umsetzungsstand, b) Selbstauskunft von vdw auf einen schriftlichen Fragenkatalog des Kunden, zu beantworten binnen vier Wochen, c) Berichte anerkannter Dritter (Prüfberichte, Zertifikate, Berichte über Penetrationstests), soweit vorhanden, d) Nachweise über Zertifizierungen der Unterauftragsverarbeiter (insbesondere ISO/IEC 27001, C5-Testat des Hostinganbieters).

○ geplant, Stand 07.08.2026: vdw selbst verfügt über keine Zertifizierung nach ISO/IEC 27001 oder vergleichbaren Normen und plant derzeit keine. Ein Penetrationstest mit Schwerpunkt Mandantenisolation und QR-Portal ist vor dem zweiten Produktivmandanten vorgesehen und noch nicht durchgeführt.

(3) Vor-Ort-Prüfung. Reichen die Nachweise nach Absatz 2 nicht aus, ist der Kunde berechtigt, Überprüfungen (einschließlich Inspektionen) selbst oder durch einen von ihm beauftragten Prüfer durchzuführen. Es gilt:

(4) Kosten. Jede Partei trägt die ihr entstehenden Kosten selbst. Für Vor-Ort-Prüfungen ab der zweiten Prüfung innerhalb eines Kalenderjahres kann vdw den eigenen Aufwand mit 150,00 € netto je angefangener Stunde in Rechnung stellen; das gilt nicht, wenn die Prüfung durch einen von vdw zu vertretenden Umstand veranlasst ist oder wenn sie einen Mangel feststellt. Auskünfte, die Bereitstellung von Nachweisen und die erste Vor-Ort-Prüfung im Kalenderjahr sind stets unentgeltlich.

(5) Aufsichtsbehörden. vdw duldet Kontrollen der zuständigen Aufsichtsbehörden und wirkt daran mit. vdw unterrichtet den Kunden unverzüglich über aufsichtsbehördliche Maßnahmen, die die Verarbeitung im Auftrag des Kunden betreffen.

(6) Eigene Überprüfung. vdw überprüft die Wirksamkeit der technischen und organisatorischen Maßnahmen regelmäßig nach Anlage 2 Abschnitt 4 und dokumentiert das Ergebnis.

---

§ 10 Meldung von Verletzungen des Schutzes personenbezogener Daten

(1) Meldung an den Kunden. vdw meldet dem Kunden jede Verletzung des Schutzes personenbezogener Daten (Art. 4 Nr. 12 DSGVO), die im Verantwortungsbereich von vdw oder eines Unterauftragsverarbeiters eintritt, unverzüglich nach Bekanntwerden, in der Regel binnen 24 Stunden, an Wochenenden und gesetzlichen Feiertagen am Sitz von vdw binnen 48 Stunden (Art. 33 Abs. 2 DSGVO).

Warum diese Fassung. Art. 33 Abs. 2 DSGVO verlangt die Meldung „unverzüglich“ und nennt keine Frist. Die vdw GmbH unterhält keine Rufbereitschaft; eine starre Zusage von 24 Stunden wäre an einem Wochenende nicht sicher zu halten. Eine zugesagte und nicht gehaltene Frist ist schlechter als eine ehrlich längere. Die Regelfrist von 24 Stunden bleibt der Maßstab, an dem sich vdw messen lässt, und sichert dem Kunden den überwiegenden Teil seiner eigenen 72-Stunden-Frist. Richtet vdw eine Rufbereitschaft ein, wird die Wochenendregelung durch Änderung der Nebenversion nach § 2 Absatz 2 gestrichen.

(2) Inhalt der Meldung. Die Meldung erfolgt an den in Anlage 1 Abschnitt 8 benannten Ansprechpartner des Kunden per E-Mail und zusätzlich telefonisch und enthält, soweit bekannt:

a) eine Beschreibung der Art der Verletzung, soweit möglich mit Angabe der Kategorien und der ungefähren Zahl der betroffenen Personen und der betroffenen Datensätze, b) Zeitpunkt des Eintritts und der Entdeckung, c) Namen und Kontaktdaten der Auskunftsstelle bei vdw, d) eine Beschreibung der wahrscheinlichen Folgen, e) eine Beschreibung der ergriffenen und vorgeschlagenen Maßnahmen zur Behebung und zur Abmilderung möglicher nachteiliger Auswirkungen.

Sind nicht alle Angaben verfügbar, meldet vdw zunächst den bekannten Sachverhalt und ergänzt schrittweise, ohne dass sich die Erstmeldung verzögert.

(3) Keine eigene Meldung an die Aufsichtsbehörde. Die Meldung an die Aufsichtsbehörde nach Art. 33 Abs. 1 DSGVO und die Benachrichtigung der betroffenen Personen nach Art. 34 DSGVO obliegen ausschließlich dem Kunden als Verantwortlichem. vdw nimmt eine solche Meldung nicht vor und gibt keine Einschätzung darüber ab, ob eine Meldepflicht des Kunden besteht. Unberührt bleiben Meldepflichten von vdw für Verarbeitungen in eigener Verantwortlichkeit.

(4) Unterstützung. vdw unterstützt den Kunden bei Aufklärung, Bewertung, Eindämmung und Dokumentation. vdw ergreift unverzüglich die erforderlichen Sicherungsmaßnahmen.

(5) Dokumentation. vdw dokumentiert alle Verletzungen einschließlich der damit verbundenen Fakten, ihrer Auswirkungen und der ergriffenen Abhilfemaßnahmen. Der Ablauf ist im Dokument 16_Meldeprozess-Datenschutzvorfall.md geregelt.

(6) Verdachtsfälle. vdw meldet auch begründete Verdachtsfälle, wenn eine Verletzung nicht ausgeschlossen werden kann. Ein Bruch der Mandantentrennung gilt stets als meldepflichtiger Vorfall.

---

§ 11 Löschung und Rückgabe nach Beendigung (Art. 28 Abs. 3 lit. g DSGVO)

(1) Wahlrecht des Kunden. Nach Abschluss der Erbringung der Verarbeitungsleistungen löscht vdw nach Wahl des Kunden alle personenbezogenen Daten oder gibt sie zurück und löscht vorhandene Kopien, sofern nicht nach dem Recht der Union oder der Mitgliedstaaten eine Verpflichtung zur Speicherung besteht.

(2) Karenzzeit und Export. Nach Beendigung des Hauptvertrags gilt:

(3) Verlängerung. Auf schriftlichen Wunsch des Kunden verlängert vdw die Karenzzeit einmalig um bis zu 30 Tage. Für den Zeitraum der Verlängerung fällt das vertraglich vereinbarte Entgelt anteilig an.

(4) Sicherungen. Daten in Datensicherungen werden nicht gesondert gelöscht, sondern laufen mit dem Sicherungsstand aus. Der letzte Sicherungsstand, der Daten des Kunden enthält, verfällt spätestens 35 Tage nach der Löschung nach Absatz 2. Bis dahin bleiben die Daten in den Sicherungen gesperrt und werden ausschließlich zur Wiederherstellung im Notfall verwendet.

(5) Rückgabeformat. Die Rückgabe erfolgt als strukturierter Export (JSON und CSV) zuzüglich der hinterlegten Dokumente im Originalformat sowie der Prüfprotokolle als PDF. Ein Export in ein bestimmtes Fremdsystem schuldet vdw nicht.

(6) Gesetzliche Aufbewahrungspflichten von vdw. Soweit vdw selbst gesetzlichen Aufbewahrungspflichten unterliegt (insbesondere für Rechnungen und Buchungsbelege nach § 147 AO und § 257 HGB), bleiben die betreffenden Daten von der Löschung ausgenommen. Sie werden in der Verarbeitung eingeschränkt und ausschließlich zu Nachweiszwecken vorgehalten. Diese Daten verarbeitet vdw als eigener Verantwortlicher, nicht im Auftrag.

(7) Kein Zurückbehaltungsrecht. vdw übt an den Daten des Kunden kein Zurückbehaltungsrecht aus, auch nicht wegen offener Forderungen.

---

§ 12 Datenschutzbeauftragter und Ansprechpartner

(1) vdw. vdw hat keinen Datenschutzbeauftragten bestellt. Die vdw GmbH beschäftigt rund fünf Personen; eine Bestellpflicht nach § 38 Abs. 1 Satz 1 BDSG (in der Regel mindestens 20 mit der automatisierten Verarbeitung ständig beschäftigte Personen) besteht damit nicht. Eine freiwillige Bestellung ist zur Aufnahme des Serverbetriebs vorgesehen; sie wird dem Kunden nach § 2 Absatz 3 mitgeteilt.

(2) Kontakt für Datenschutzfragen bei vdw: Olaf von Deines, Geschäftsführer vdw GmbH, Fichtenstr. 49, 57368 Lennestadt Telefon 02723/719334 · datenschutz@v-d-w.de (einzurichten vor dem ersten Vertragsschluss; bis dahin info@v-d-w.de)

(3) Kunde. Der Kunde benennt in Anlage 1 Abschnitt 8 seinen Ansprechpartner und, sofern vorhanden, seinen Datenschutzbeauftragten. Änderungen teilt er vdw unverzüglich mit.

---

§ 13 Haftung

(1) Gesetzliche Haftung. Für die Haftung gegenüber betroffenen Personen gilt Art. 82 DSGVO. Die Parteien haften danach gesamtschuldnerisch, soweit sie für denselben Schaden verantwortlich sind. Im Innenverhältnis trägt jede Partei den Anteil, der ihrem Verantwortungsbeitrag entspricht (Art. 82 Abs. 5 DSGVO).

(2) Verantwortungsbereiche. Der Kunde ist verantwortlich für die Rechtmäßigkeit der Verarbeitung, insbesondere für die Rechtsgrundlage, die Erforderlichkeit der eingegebenen Daten, die Information der betroffenen Personen, die Beteiligung des Betriebsrats und die Vergabe der Rollen und Rechte in der Anwendung. vdw ist verantwortlich für die Einhaltung dieses Vertrags, insbesondere für die Weisungsbindung, die Maßnahmen nach Anlage 2 und die Auswahl und Überwachung der Unterauftragsverarbeiter.

(3) Freistellung. Wird eine Partei von einer betroffenen Person oder einer Aufsichtsbehörde für einen Umstand in Anspruch genommen, den die andere Partei zu vertreten hat, stellt diese sie im Innenverhältnis frei. Die in Anspruch genommene Partei unterrichtet die andere unverzüglich und gibt ihr Gelegenheit zur Stellungnahme, bevor sie einen Anspruch anerkennt oder befriedigt.

(4) Haftungsbegrenzung. Im Übrigen gelten die Haftungsregelungen des Hauptvertrags.

---

§ 14 Schlussbestimmungen

(1) Schriftform. Änderungen und Ergänzungen dieses Vertrags bedürfen der Textform. Das gilt auch für die Aufhebung dieser Klausel. Unberührt bleibt das Verfahren nach § 2.

(2) Salvatorische Klausel. Sollte eine Bestimmung dieses Vertrags unwirksam sein oder werden, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt. Die Parteien ersetzen die unwirksame Bestimmung durch eine wirksame, die dem wirtschaftlichen und datenschutzrechtlichen Zweck am nächsten kommt.

(3) Anwendbares Recht. Es gilt das Recht der Bundesrepublik Deutschland unter Ausschluss des UN-Kaufrechts.

(4) Gerichtsstand. Ausschließlicher Gerichtsstand ist Siegen, soweit der Kunde Kaufmann, juristische Person des öffentlichen Rechts oder öffentlich-rechtliches Sondervermögen ist.

(5) Anlagen. Bestandteil dieses Vertrags sind:

---

Unterschriften

Dieser Vertrag wird entweder elektronisch in der Anwendung angenommen (§ 2 Absatz 1) oder von beiden Parteien unterzeichnet. Bei elektronischer Annahme ersetzt der Nachweis aus mandant.avv_version, avv_akzeptiert_am und avv_akzeptiert_von die Unterschrift des Kunden.

Für den Verantwortlichen (Kunde)

---

Ort, Datum

---

Unterschrift

Name: ____________________________ Funktion: ____________________________

Für den Auftragsverarbeiter (vdw GmbH)

---

Lennestadt, Datum

---

Unterschrift

Name: Olaf von Deines Funktion: Geschäftsführer

---

Änderungsverzeichnis

---

Änderungsprotokoll

08.08.2026: Besetzung der offenen Entscheidungen

---

Anlage 1: Verarbeitungsübersicht

Gegenstand, Art und Zweck der Verarbeitung · Datenarten · Kategorien betroffener Personen · Ort der Verarbeitung · Löschfristen Produkt: Instandio · Auftragsverarbeiter: vdw GmbH

Fassung: 1.2 · Stand 30.08.2026 · Anlage zum Auftragsverarbeitungsvertrag

---

1. Gegenstand und Art der Verarbeitung

Gegenstand. Betrieb der Software Instandio als von der vdw GmbH bereitgestellte Anwendung (Software as a Service) für den Kunden. Instandio unterstützt den Kunden bei der Erfüllung seiner Betreiberpflichten für technische Arbeitsmittel und Anlagen: Prüffristenüberwachung, Dokumentation von Prüfungen, Mängeln und Maßnahmen, Wartungs- und Instandhaltungsaufträge, Schadensmeldungen aus dem Betrieb, Nachweis der Befähigung prüfender Personen und Nachweisführung gegenüber Berufsgenossenschaft und Behörden.

Verantwortung für die Prüffristen bleibt beim Kunden. Welche Prüfungen an welchen Arbeitsmitteln in welchem Abstand erforderlich sind, bestimmt der Kunde als Betreiber auf Grundlage seiner Gefährdungsbeurteilung und der für ihn geltenden Vorschriften. Die von Instandio angezeigten Fristen sind Vorschläge ohne Rechtsverbindlichkeit; sie ersetzen weder die eigene Festlegung noch die eigene Prüfung des Kunden und begründen keine Rechtssicherheit. vdw schuldet insoweit den Betrieb der Anwendung, nicht die Richtigkeit einer Fristenaussage im Einzelfall. Zweck der Verarbeitung ist entsprechend die Unterstützung der Betreiberpflichten des Kunden, nicht deren Übernahme.

Art der Verarbeitung. Erheben, Erfassen, Organisieren, Ordnen, Speichern, Anpassen, Verändern, Auslesen, Abfragen, Verwenden, Offenlegen durch Übermittlung innerhalb des Systems, Abgleichen, Verknüpfen, Einschränken, Löschen und Vernichten, jeweils automatisiert im Rahmen des Anwendungsbetriebs.

Verarbeitungsvorgänge im Einzelnen:

---

2. Zweck der Verarbeitung

Nicht Zweck der Verarbeitung sind: Leistungs- oder Verhaltenskontrolle von Beschäftigten, Profilbildung, Werbung, Weitergabe an Dritte zu deren Zwecken, Training von Modellen künstlicher Intelligenz mit Kundendaten.

---

3. Kategorien betroffener Personen

---

4. Arten der verarbeiteten personenbezogenen Daten

4.1 Stammdaten

Rechtsgrundlage im Beschäftigungsverhältnis. Diese Anlage nennt § 26 Abs. 1 BDSG nicht als Rechtsgrundlage. Der Europäische Gerichtshof hat mit Urteil vom 30.03.2023 (C-34/21) eine wortgleiche Landesnorm als nicht von der Öffnungsklausel des Art. 88 DSGVO gedeckt angesehen; die Bewertung wird auf § 26 Abs. 1 Satz 1 BDSG übertragen. Die Verarbeitungen werden von Art. 6 Abs. 1 lit. b und lit. c DSGVO ohnehin getragen. Besteht beim Kunden eine Betriebsvereinbarung, ist Art. 88 DSGVO die stärkere Grundlage. Die endgültige Zuordnung der Rechtsgrundlagen trifft der Kunde als Verantwortlicher.

Datensparsamkeit als Architekturentscheidung. Instandio erhebt kein Geburtsdatum, keine Privatanschrift, keine Bankverbindung, keine Personalakte und keine Lichtbilder von Beschäftigten. Was für Prüfnachweis, Zuweisung oder Kostenrechnung nicht gebraucht wird, wird nicht erhoben.

4.2 Qualifikations- und Befähigungsdaten

4.3 Vorgangs- und Tätigkeitsdaten

Zeitbuchungen sind mitbestimmungsrelevant. Personenbezogene Zeitbuchungen und deren Auswertung können nach § 87 Abs. 1 Nr. 6 BetrVG der Mitbestimmung unterliegen. Vorgesehen ist ein Merkmalsschalter, der die personenbezogene Auswertung im Auslieferungszustand abschaltet. ○ Stand 07.08.2026: nicht gebaut; ein solcher Auslieferungszustand wird daher nicht zugesichert (siehe § 7.3 des Vertrags). Welche personenbezogenen Auswertungen der eingesetzte Programmstand tatsächlich zulässt, teilt vdw dem Kunden auf Anfrage mit.

4.4 Meldedaten aus dem QR-Portal

Anonymität ist die Voreinstellung. Das Portal verlangt keine Anmeldung und keine Namensangabe. Seit dem 30.08.2026 ist die Anwendung nur nach Anmeldung nutzbar; das Objektportal ist damit der einzige vorgesehene Zugang zu Instandio, der kein Konto voraussetzt. Der Personenbezug entsteht nur, wenn der Melder ihn selbst herstellt. Der ip_hash dient ausschließlich der Missbrauchsabwehr, soll gesalzen gebildet und nach sieben Tagen gelöscht werden. ○ Stand 07.08.2026: Anlage 2 Nr. 1.5.3 geplant; ein Portaldienst existiert nicht.

Was das Portal auf der Voreinstellungsstufe nicht zeigt: keine Personennamen (weder Prüfer noch Verantwortlicher), keine Mängeldetails, keine Historie, keine Kosten, keine Dokumente. Auf keiner Sichtbarkeitsstufe sollen Mitarbeiterstamm, Qualifikationen, Zeitbuchungen, Stundensätze und Kostendaten erreichbar sein. Die technische Absicherung dieser Trennung durch einen eigenen Portaldienst mit eingeschränkter Leseberechtigung ist in Anlage 2 Nr. 1.3.8 als kritisch gekennzeichnet und trägt den Stand ○ geplant; sie ist bis dahin keine Zusicherung (§ 6 Absatz 2 des Vertrags).

4.5 Dokumente und Bilddaten

EXIF-Entfernung. Vorgesehen ist, die Metadaten von Bildern beim Hochladen serverseitig zu entfernen. GPS-Koordinaten in Werksfotos sind zugleich ein Datenschutz- und ein Betriebsgeheimnisproblem. ○ geplant, Stand 07.08.2026: in der Anwendung 1.1 werden Bilder über die Canvas-Schnittstelle des Browsers verkleinert; dabei gehen Metadaten technisch bedingt verloren. Eine gezielte, geprüfte EXIF-Entfernung als Sicherheitsmaßnahme existiert nicht.

4.6 Protokoll- und Systemdaten

Fehlerprotokolle enthalten keine Fachdaten, sondern ausschließlich Kennungen. Ein Stapelverfolgungsprotokoll mit Klartextinhalten aus einem Prüfprotokoll wäre bereits eine Verarbeitung außerhalb des Zwecks.

4.7 Vertrags- und Abrechnungsdaten: keine Auftragsverarbeitung

Daten zur Vertragsabwicklung zwischen vdw und dem Kunden (Firmierung, Anschrift, USt-ID, Ansprechpartner, Rechnungs- und Zahlungsdaten, SEPA-Mandat) verarbeitet vdw als eigener Verantwortlicher nach Art. 6 Abs. 1 lit. b und lit. c DSGVO. Sie sind nicht Gegenstand dieses Auftragsverarbeitungsvertrags, sondern des Verzeichnisses nach Art. 30 Abs. 1 DSGVO (Dokument 14). Die Trennung ist bewusst und wichtig: der Zahlungsdienstleister Mollie ist damit kein Unterauftragsverarbeiter dieses Vertrags.

---

5. Ort der Verarbeitung

5.1 Zielzustand nach Fertigstellung des Serverbetriebs

Für Datenbank, Anmeldung und Schnittstelle ist die Entscheidung getroffen und der Vertrag geschlossen; die übrigen Zeilen beschreiben den Zielzustand und werden erst mit dem Abschluss der jeweiligen Verträge verbindlich. Bis dahin ist keine der dort genannten Angaben eine Zusicherung. Maßgeblich ist Anlage 3, in der derzeit ein Unterauftragsverarbeiter geführt wird: die Supabase Pte. Ltd., Verarbeitungsort Frankfurt am Main, beauftragt am 15.08.2026.

Vorgabe für jede dieser Entscheidungen: keine Verarbeitung außerhalb der EU beziehungsweise des EWR. Eine Drittlandübermittlung ist nicht vorgesehen; siehe § 3 Absatz 5 und § 8 Absatz 8 des Vertrags. Vor Vertragsschluss mit einem Kunden sind die Zeilen dieser Tabelle mit dem tatsächlich beauftragten Anbieter, dessen vollständiger Firmierung und dem vertraglich zugesicherten Verarbeitungsort zu füllen; ohne diese Angaben ist die Anforderung des Art. 28 Abs. 3 lit. a DSGVO an die Bestimmung des Verarbeitungsorts nicht erfüllt.

5.2 Tatsächlicher Stand am 30.08.2026: ehrliche Angabe

Die Angaben zu den Verarbeitungsorten beruhen auf der Erhebung vom 23.08.2026. Am 30.08.2026 ist allein die Angabe zur Nutzung ohne Konto fortgeschrieben worden; die übrigen Angaben sind seither nicht erneut erhoben worden.

---

6. Löschfristen je Datenart

Die Fristen sind je Mandant konfigurierbar; die Tabelle nennt die fachlich begründete Voreinstellung. Der Kunde entscheidet als Verantwortlicher über die für ihn geltenden Fristen. Einzelheiten zu Auslöser, Zuständigkeit und technischer Umsetzung stehen im Löschkonzept (Dokument 15).

---

7. Empfänger und Offenlegung

Keine Übermittlung an Dritte zu deren eigenen Zwecken, keine Veräußerung, keine Werbenutzung, keine Nutzung zum Training von Modellen künstlicher Intelligenz.

---

8. Ansprechpartner und Weisungsberechtigte

8.1 Beim Kunden (Verantwortlicher)

Vom Kunden auszufüllen. Die Angaben sind Voraussetzung für die Meldung nach § 10 des Vertrags und für die Entgegennahme von Weisungen; ohne sie kann der Vertrag nicht durchgeführt werden. Der Kunde hält die Angaben aktuell und teilt Änderungen unverzüglich mit.

8.2 Bei der vdw GmbH (Auftragsverarbeiter)

Aufgabe vor dem ersten Vertragsschluss: Das Postfach datenschutz@v-d-w.de ist einzurichten und einer der beiden Geschäftsführer als Empfänger zu hinterlegen. Bis dahin gilt info@v-d-w.de. Eine im Vertrag genannte, aber nicht erreichbare Adresse ist ein Mangel der Weisungskette.

---

Änderungsverzeichnis

---

Änderungsprotokoll

---

Anlage 2: Technische und organisatorische Maßnahmen

nach Artikel 32 DSGVO · Produkt: Instandio · Auftragsverarbeiter: vdw GmbH

Fassung: 1.2 · Stand 30.08.2026 · Anlage zum Auftragsverarbeitungsvertrag

---

0. Wie diese Anlage zu lesen ist: der wichtigste Abschnitt

Diese Anlage beschreibt zwei Dinge gleichzeitig: die geplanten Maßnahmen und ihren tatsächlichen Umsetzungsstand. Beides wird bewusst nicht vermischt, weil ein Auftragsverarbeitungsvertrag, der nicht vorhandene Maßnahmen zusichert, eine falsche Zusicherung gegenüber dem Kunden ist.

0.1 Ausgangslage am 23.08.2026, fortgeschrieben am 30.08.2026

Instandio ist in der Fassung 1.1 als installierbare Webanwendung gebaut (React, TypeScript, 1247 Tests in 22 Dateien, am 23.08.2026 vollständig durchgelaufen). Seit dem 15.08.2026 kommt ein Serverbetrieb hinzu. Der Stand am 23.08.2026:

• Ein Serverbetrieb besteht. Datenbank, Anmeldung und Schnittstelle laufen bei der Supabase Pte. Ltd. (Postgres 17.6.1, Region eu-central-1, Frankfurt am Main). Sie ist seit dem 15.08.2026 als Unterauftragsverarbeiterin beauftragt, siehe Anlage 3 Abschnitt 1. Damit ist die vdw GmbH Auftragsverarbeiterin nach Art. 28 DSGVO.
• Eine Mandantentrennung besteht. Jede Zeile mit Mandantenbezug trägt ihren Betrieb, und auf allen 13 Tabellen der laufenden Instanz ist die zeilenbasierte Zugriffskontrolle (Row Level Security) eingeschaltet. Sie ist noch nicht zusätzlich erzwungen (FORCE); siehe Nr. 1.4.2.
• Eine Anmeldung besteht: E-Mail und Kennwort über den Anmeldedienst des Unterauftragsverarbeiters, mit vorausgesetzter Bestätigung der E-Mail-Adresse. Sie ist nicht die in Nr. 1.2.1 beschriebene Anmeldung über das Identitätsverzeichnis des Kunden. Die Personenauswahl in der Kopfleiste besteht daneben fort; sie steuert weiterhin nur, was die Oberfläche anbietet, und schützt nichts.
• Vier Rollen je Betrieb (inhaber, verwalter, mitarbeiter, leser) werden in der Datenbank geprüft, nicht nur in der Oberfläche.
• Verschlüsselung im Transport ist geprüft (TLS 1.3, ältere Fassungen abgewiesen). Nicht vorhanden sind weiterhin: eine geprüfte Verschlüsselung im Ruhezustand, eine Datensicherung durch vdw mit erprobter Wiederherstellung, ein anfügendes Ereignisprotokoll auf dem Server, ein Objektspeicher für Dokumente, das QR-Portal und eine Betriebsüberwachung.
• Seit dem 30.08.2026 ist die Anwendung nur nach Anmeldung nutzbar. Ein Betrieb der Anwendung allein im lokalen Speicher (localStorage) des Endgeräts findet damit nicht mehr statt; die frühere Angabe, bei einer Nutzung ohne Konto verlasse kein Datum das Gerät und vdw verarbeite keine Daten, trifft für die Anwendung nicht mehr zu. Ohne Konto vorgesehen bleibt allein das Objektportal hinter dem QR-Code am Objektetikett: Anzeige des Objekts und Abgabe einer Meldung. Ein Portaldienst besteht auf der laufenden Instanz nicht; die dafür vorgesehenen Maßnahmen tragen den Stand ○ geplant (Nr. 1.3.8, 1.5.3, 2.1.6).

Daraus folgt: Ein Teil der Maßnahmen dieser Anlage trägt jetzt den Stand ✔ umgesetzt oder ◑ teilweise; die Mehrheit trägt weiterhin ○ geplant. Die Zählung steht in Ziffer 0.3. Das ist keine Nachlässigkeit der Dokumentation, sondern der ehrliche Befund. Die übrigen Maßnahmen entstehen mit dem weiteren Ausbau des Serverbetriebs (Fundament F1 der Roadmap).

0.2 Kennzeichnung

Alle Angaben beziehen sich auf den Stand 23.08.2026; allein die Angabe zur Anmeldepflicht in Ziffer 0.1 ist am 30.08.2026 fortgeschrieben worden. Vor jeder Übergabe an einen Kunden ist der Stand neu zu erheben und das Datum in der Kopfzeile fortzuschreiben.

0.2.1 Diese Anlage ist der Prüfmaßstab für alle übrigen Dokumente

Keine Aussage in einem anderen Dokument darf eine technische Maßnahme im Präsens behaupten, die hier nicht den Stand ✔ umgesetzt trägt. Das gilt für den Vertragstext selbst, für Anlage 1, für die Datenschutzhinweise zur Anwendung (Dokument 22), für die Leistungsbeschreibung, für Angebote und für die Webseite. Betroffen sind insbesondere die Dokumente, die der Kunde in eigenem Namen weitergibt. Er haftet dann für eine Aussage, deren Quelle wir sind.

Die Prüfung ist mechanisch: Aussage suchen, zugehörige Nummer in dieser Anlage nachschlagen, Stand vergleichen. Sie ist vor jeder Übergabe an einen Kunden zu wiederholen. Umgekehrt gilt: Sobald eine Maßnahme hier auf ✔ wechselt, sind die abhängigen Textstellen auf die technische Formulierung zurückzustellen. Sonst verschenkt man eine erarbeitete Zusage.

Die Freizeichnung in § 6 Absatz 2 des Vertrags wirkt nur für die Maßnahmen dieser Anlage und nur im Verhältnis zum Kunden. Sie erfasst weder Zusagen im Vertragstext außerhalb dieser Anlage noch Angaben in Dokument 22 gegenüber Beschäftigten des Kunden, und sie entlastet gegenüber der Aufsichtsbehörde nicht, weil Art. 32 DSGVO die vdw GmbH unmittelbar kraft Gesetzes trifft.

0.3 Zusammenfassung des Stands

Ausgezählt am 23.08.2026 über alle nummerierten Maßnahmen der Abschnitte 1 bis 4. Die Zählung der Fassung vom 07.08.2026 war unvollständig; sie erfasste nicht jede Zeile.

Nur die 11 Maßnahmen mit dem Stand ✔ sind Gegenstand einer Zusicherung. Als kritisch gekennzeichnet sind 35 Maßnahmen. Davon tragen 3 den Stand ✔ (Nr. 1.4.3, 1.4.6, 3.6), 8 den Stand ◑ (Nr. 1.3.2, 1.4.1, 1.4.2, 1.4.4, 1.4.11, 2.1.1, 2.2.7, 4.2.1) und 24 den Stand ○. Die Voraussetzung des § 6 Absatz 5 des Vertrags ist damit nicht erfüllt: Ein Produktivbetrieb für einen Kunden darf nach dieser Vorschrift nicht aufgenommen werden.

---

1. Vertraulichkeit (Art. 32 Abs. 1 lit. b DSGVO)

1.1 Zutrittskontrolle: kein unbefugter Zutritt zu Datenverarbeitungsanlagen

1.2 Zugangskontrolle: kein unbefugter Zugang zu Systemen

1.3 Zugriffskontrolle: Berechtigte greifen nur auf das zu, wofür sie berechtigt sind

1.4 Trennungskontrolle: getrennte Verarbeitung von Daten unterschiedlicher Zwecke und Mandanten

Dies ist die zentrale Schutzmaßnahme des Produkts. Ein Bruch der Mandantentrennung ist zugleich der schwerste denkbare Vorfall (Risiko R-2 der Architektur).

Warum diese Zeilen so ausführlich sind: Jede einzelne dieser Regeln adressiert einen Fehler, der in Produktion erst unter Last auftritt und dann ein meldepflichtiger Datenschutzvorfall ist. Wird eine davon weggelassen, ist die Mandantentrennung nicht schwächer. Sie ist wirkungslos.

1.5 Pseudonymisierung und Datenminimierung (Art. 32 Abs. 1 lit. a DSGVO)

Abhängige Textstellen, am 07.08.2026 berichtigt. Dokument 22 (Datenschutzhinweise zur Anwendung) hatte in Ziffer 5.1 behauptet, der Upload sei für die Kategorie „Eignung“ technisch unterbunden. Diese Aussage ist gestrichen und durch eine ausdrückliche organisatorische Anweisung ersetzt; § 3 Absatz 3 des Vertrags stellt zusätzlich klar, dass eine technische Sperre nicht zugesichert wird. Sobald 1.5.6 den Stand ✔ trägt, sind Dokument 22 Ziffern 5.1 und 10.3 sowie § 3 Absatz 3 des Vertrags zurückzustellen. Bis dahin ist jeder Kunde vor Aufnahme der Nutzung schriftlich und gegengezeichnet zu belehren.

---

2. Integrität (Art. 32 Abs. 1 lit. b DSGVO)

2.1 Weitergabekontrolle: Schutz bei Übertragung und Transport

2.2 Eingabekontrolle: Nachvollziehbarkeit von Eingabe, Änderung und Entfernung

Grenze des Ereignisprotokolls: ausdrücklich benannt

Das in der Anwendung 1.1 gebaute Ereignisprotokoll verkettet die Einträge über eine Prüfsumme nach dem Verfahren FNV-1a mit 32 Bit. Dieses Verfahren ist kein kryptographisches Hashverfahren. Es ist bewusst so gewählt, weil die kryptographische Schnittstelle des Browsers ausschließlich asynchron arbeitet.

Daraus folgen zwei Aussagen, die im Vertrag nicht überschritten werden dürfen:

1. Das Protokoll ist nicht fälschungssicher. Wer Zugriff auf den lokalen Speicher des Geräts hat, kann die gesamte Kette neu berechnen. Zusätzlich erlaubt ein 32-Bit-Prüfwert das gezielte Erzeugen von Kollisionen mit geringem Aufwand.
2. Was es leistet: versehentliche und beiläufige Änderungen sichtbar machen, der praktisch häufigste Fall.

Der Begriff „revisionssicher“ darf gegenüber Kunden für diesen Stand nicht verwendet werden. Revisionssicherheit im Sinne einer Beweiskraft gegenüber Berufsgenossenschaft oder Gericht setzt den Serverbetrieb mit getrenntem Schreibrecht, ein anfügendes Datenbankprotokoll und ein kryptographisches Verfahren voraus.

2.3 Dateiverarbeitung

---

3. Verfügbarkeit und Belastbarkeit (Art. 32 Abs. 1 lit. b und c DSGVO)

Der wichtigste Satz dieses Abschnitts: Bei einem Nachweissystem ist ein verlorenes Prüfprotokoll ein rechtlich verlorener Nachweis, und der Kunde hat keine zweite Quelle, weil er die Ordner gerade abgeschafft hat. Die Verfügbarkeitsmaßnahmen sind hier keine Nebensache.

---

4. Verfahren zur regelmäßigen Überprüfung, Bewertung und Evaluierung (Art. 32 Abs. 1 lit. d DSGVO)

4.1 Datenschutzmanagement

4.2 Auftragskontrolle: Steuerung der Unterauftragsverarbeiter

4.3 Sichere Entwicklung und Prüfstrecke

4.4 Vorfallbehandlung

---

5. Was diese Anlage bewusst nicht zusichert

Damit kein Missverständnis entsteht, hier ausdrücklich benannt:

---

Änderungsverzeichnis

---

Änderungsprotokoll

---

Anlage 3: Unterauftragsverarbeiter

nach Artikel 28 Absatz 2 und 4 DSGVO · Produkt: Instandio · Auftragsverarbeiter: vdw GmbH

Fassung: 1.2 · Stand 30.08.2026 · Anlage zum Auftragsverarbeitungsvertrag

---

0. Der Stand in einem Satz

Seit dem 15.08.2026 betreibt vdw einen Server, und die Supabase Pte. Ltd. ist als Unterauftragsverarbeiter beauftragt. Seit dem 30.08.2026 ist die Anwendung nur nach Anmeldung nutzbar; eine Nutzung der Anwendung ohne Konto, die davon nicht berührt wäre, gibt es nicht mehr. Ohne Konto vorgesehen bleibt allein das Objektportal hinter dem QR-Code am Objektetikett: Anzeige des Objekts und Abgabe einer Meldung; ein Portaldienst besteht bisher nicht. Sobald ein Kunde ein Konto anlegt, werden seine Daten auf einem Server in Frankfurt am Main verarbeitet, den die Supabase Pte. Ltd. betreibt.

Zu klären, bevor der erste Kunde ein Konto anlegt:

Diese Anlage ist als Vertragsbestandteil vollständig und darf einem Kunden vorgelegt werden. Die Punkte 0.2 bis 0.4 betreffen nicht die Vollständigkeit der Liste in Abschnitt 1, sondern die Bewertung des Drittlandbezugs; sie sind fachkundig zu klären, bevor mit dem Verarbeiten von Echtdaten begonnen wird.

Aufbau dieser Anlage. Abschnitt 1 ist der Vertragsbestandteil: die Liste der beauftragten Unterauftragsverarbeiter. Sie führt seit dem 15.08.2026 die Supabase Pte. Ltd. und ist in diesem Zustand vollständig und richtig. Ein Kunde kann sie so erhalten. Abschnitt 1a hält den internen Auswahlstand fest; er ist ausdrücklich kein Vertragsbestandteil und begründet keine Genehmigung. Diese Trennung ist notwendig, weil eine Liste mit Anbieternamen sonst den Eindruck erweckt, es bestünden bereits Beauftragungen.

Alle Anschriften und Registerangaben in den Abschnitten 1a, 2, 3 und 4 sind Arbeitsstand und nicht verifiziert. Vor der Aufnahme eines Anbieters in Abschnitt 1 sind Firmierung, Anschrift und Registerangaben anhand des Impressums und des Auftragsverarbeitungsvertrags des Anbieters zu prüfen.

---

1. Beauftragte Unterauftragsverarbeiter: dies ist der Vertragsbestandteil

Diese Liste ist die abschließende Aufstellung nach § 8 Absatz 1 des Vertrags.

Herkunft der Angaben. Firmierung und Anschrift stammen aus dem Auftragsverarbeitungsverzeichnis des Anbieters, abgerufen am 15.08.2026 unter https://supabase.com/legal/dpa. Der Verarbeitungsort eu-central-1 (Frankfurt am Main) ist am 15.08.2026 im Anbieterkonto bestätigt worden.

Zum Datum des Vertragsschlusses. Das Auftragsverarbeitungsverzeichnis des Anbieters wird nicht gesondert unterzeichnet, sondern gilt mit der Annahme der Nutzungsbedingungen („This DPA is effective as of the Effective Date of the Agreement“; „acceptance of the Agreement shall have the same effect as signing the SCCs“). Maßgeblich ist deshalb der Tag, an dem das für Instandio genutzte Projekt angelegt wurde: der 15.08.2026.

Was das bedeutet: vdw zieht für den Betrieb der Kundenkonten einen weiteren Auftragsverarbeiter heran. Seit dem 30.08.2026 ist die Anwendung nur nach Anmeldung nutzbar; die frühere Ausnahme für Kunden, die Instandio ohne Konto nutzen, besteht nicht mehr. Ohne Konto vorgesehen bleibt allein das Objektportal hinter dem QR-Code am Objektetikett; wird dort eine Meldung abgegeben, gelangt sie in den Bestand des Kunden auf demselben Server (Anlage 1, Vorgang V8, und dortiger offener Punkt O1). Eine Hinzuziehung ist erst nach dem Verfahren des § 8 Absätze 3 bis 5 des Vertrags zulässig: Abschluss eines Vertrags nach Art. 28 Abs. 4 DSGVO, dokumentierte Eignungsprüfung, Ankündigung an den Kunden 30 Tage vor Wirksamwerden, Widerspruchsrecht des Kunden. Jede Aufnahme in diese Tabelle ist in Abschnitt 6 zu protokollieren.

Diese Anlage ist als Vertragsbestandteil vollständig und darf einem Kunden vorgelegt werden. Die Prüfpunkte 0.2 bis 0.4 betreffen nicht die Vollständigkeit dieser Liste, sondern die Bewertung des Drittlandbezugs; sie sind fachkundig zu klären, bevor mit dem Verarbeiten von Echtdaten begonnen wird.

---

1a. Auswahlstand: kein Vertragsbestandteil, keine Beauftragung

Die folgende Aufstellung dokumentiert den internen Arbeitsstand der Anbieterauswahl. Keiner dieser Anbieter ist beauftragt; mit keinem besteht ein Auftragsverarbeitungsvertrag. Die Aufstellung begründet keine Genehmigung nach § 8 Absatz 1 des Vertrags und ist einem Kunden nicht als Liste der Unterauftragsverarbeiter vorzulegen.

---

2. Der Bestandsserver: offener Prüfpunkt

2.1 Warum dieser Server für Kundendaten nicht in Frage kommt

2.2 Regelung

vdw verarbeitet auf diesem Server keine personenbezogenen Kundendaten. Wird die Abnahmeumgebung mit einem Auszug aus Produktivdaten befüllt, ist dieser Server entweder durch einen ausschließlich für Instandio betriebenen Server zu ersetzen oder als Unterauftragsverarbeiter in Abschnitt 1 aufzunehmen, einschließlich Auftragsverarbeitungsvertrag, verifiziertem Standort und Ankündigung an die Kunden.

---

3. Alternative Hostinganbieter: geprüft, nicht beauftragt

Die folgenden Anbieter wurden in GO-LIVE-UND-BETRIEB.md §2.1 und §2.1.1 geprüft. Sie sind keine Unterauftragsverarbeiter, solange sie nicht beauftragt sind. Die Aufstellung dient der Nachvollziehbarkeit der Hostingentscheidung.

---

4. Dienste, die keine Unterauftragsverarbeiter dieses Vertrags sind

Diese Abgrenzung ist wichtig, weil sie erklärt, warum bekannte Namen in Abschnitt 1 fehlen.

---

5. Aufgaben vor dem ersten Produktivkunden

---

6. Änderungshistorie der Unterauftragsverarbeiter

Diese Tabelle wird bei jeder Änderung fortgeschrieben. Sie ist zugleich der Nachweis der Ankündigung nach § 8 Absatz 4 des Vertrags.

---

Änderungsverzeichnis

---

Änderungsprotokoll