Auftragsverarbeitungsvertrag

Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO · Version 1.0 (Oktober 2026)

zwischen der Organisation, die ein Abonnement des Feuerwehr Presseportals abschließt (Auftraggeber, im Folgenden „Kunde“), und Benedikt Schlett, Eifelstr. 10, 63814 Mainaschaff (Auftragnehmer, im Folgenden „Anbieter“).

Der Vertrag kommt zustande, wenn der Kunde ihm bei der Abo-Anfrage zustimmt und der Anbieter die Anfrage freigibt. Zeitpunkt und Version der Zustimmung werden gespeichert. Er gilt als Anlage zu den Allgemeinen Geschäftsbedingungen.

1. Gegenstand und Dauer

Der Anbieter stellt dem Kunden das Feuerwehr Presseportal zur Erstellung, Bearbeitung und Archivierung von Presseberichten bereit. Dabei verarbeitet er personenbezogene Daten im Auftrag des Kunden. Der Vertrag gilt für die Dauer des Nutzungsvertrags und endet mit dessen Beendigung, die Pflichten zur Rückgabe und Löschung (Ziffer 9) wirken darüber hinaus fort.

2. Art, Zweck, Daten und Betroffene

Art und Zweck der Verarbeitung: Speichern, Bereitstellen und Auswerten der vom Kunden eingegebenen Einsatz- und Übungsdaten, Erzeugen von Textentwürfen mit Hilfe künstlicher Intelligenz, Archivierung, Export (PDF, Ordner), Verwaltung der Benutzerzugänge.
Arten personenbezogener Daten: Name, E-Mail-Adresse und Rolle der Benutzer; Anmelde- und Protokolldaten; Inhalte der Berichte (Texte, Einsatz- und Übungsdaten); hochgeladene Fotos.
Kreis der Betroffenen: Benutzer des Kunden (Administratoren und Pressesprecher); Personen, die in Texten erwähnt oder auf Fotos abgebildet sind (z. B. Einsatzbeteiligte).

Der Kunde verantwortet, dass er die Daten rechtmäßig verarbeiten darf, insbesondere dass für Fotos und Angaben zu Personen eine Rechtsgrundlage besteht. Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO, z. B. Gesundheitsdaten) sollen nicht erfasst werden. Das Portal weist vor der Übermittlung an die KI auf mögliche personenbezogene Angaben hin.

3. Weisungen

Der Anbieter verarbeitet die Daten ausschließlich auf dokumentierte Weisung des Kunden, es sei denn, er ist durch Unionsrecht oder das Recht eines Mitgliedstaats zur Verarbeitung verpflichtet. Die Weisungen ergeben sich aus diesem Vertrag und der Nutzung des Portals durch den Kunden. Weitere Weisungen erteilt der Kunde in Textform (E-Mail an kontakt@feuerwehr-presseportal.com). Hält der Anbieter eine Weisung für rechtswidrig, informiert er den Kunden unverzüglich und darf sie aussetzen, bis sie bestätigt oder geändert wird.

4. Pflichten des Anbieters

Der Anbieter verpflichtet alle Personen, die Zugang zu den Daten haben, zur Vertraulichkeit.
Er trifft die in Anlage 2 beschriebenen technischen und organisatorischen Maßnahmen (Art. 32 DSGVO) und entwickelt sie weiter.
Er unterstützt den Kunden bei Anfragen betroffener Personen (Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit, Widerspruch), soweit dies im Portal nicht selbst möglich ist.
Er meldet dem Kunden eine Verletzung des Schutzes personenbezogener Daten unverzüglich, spätestens innerhalb von 48 Stunden nach Kenntnis, mit den ihm bekannten Angaben nach Art. 33 Abs. 3 DSGVO, und unterstützt bei der Meldung an die Aufsichtsbehörde und der Benachrichtigung Betroffener.
Er unterstützt den Kunden bei Datenschutz-Folgenabschätzungen und Konsultationen der Aufsichtsbehörde, soweit sie die Verarbeitung im Rahmen dieses Vertrags betreffen.
Er führt ein Verzeichnis der Verarbeitungstätigkeiten für die Verarbeitung im Auftrag (Art. 30 Abs. 2 DSGVO). Datenschutzbeauftragter ist nicht benannt; Ansprechpartner ist der Anbieter unter kontakt@feuerwehr-presseportal.com.

5. Pflichten des Kunden

Der Kunde ist Verantwortlicher im Sinne der DSGVO. Er ist für die Rechtmäßigkeit der Verarbeitung und die Wahrung der Rechte betroffener Personen verantwortlich, prüft KI-generierte Texte vor der Veröffentlichung und verantwortet die Veröffentlichung seiner Berichte. Er informiert den Anbieter unverzüglich, wenn er Fehler oder Unregelmäßigkeiten bei der Verarbeitung feststellt.

6. Unterauftragsverarbeiter

Der Kunde erteilt dem Anbieter die allgemeine Genehmigung, die in Anlage 3 genannten Unterauftragsverarbeiter einzusetzen. Der Anbieter schließt mit ihnen Verträge, die dem Datenschutzniveau dieses Vertrags entsprechen. Beabsichtigt der Anbieter, einen Unterauftragsverarbeiter hinzuzuziehen oder zu ersetzen, informiert er den Kunden in Textform mindestens 30 Tage vorher. Der Kunde kann aus wichtigem datenschutzrechtlichem Grund innerhalb dieser Frist widersprechen. Kommt keine Einigung zustande, kann jede Partei den Nutzungsvertrag zum Zeitpunkt des Wechsels außerordentlich kündigen.

7. Übermittlung in Drittländer

Die Verarbeitung findet innerhalb der Europäischen Union statt (Rechenzentren in Deutschland und Finnland, KI-Verarbeitung in Frankreich). Der Datenbankanbieter Supabase Inc. hat seinen Sitz in den USA. Die Daten liegen in Frankfurt am Main; für einen möglichen Zugriff der Muttergesellschaft gelten die EU-Standardvertragsklauseln, die Teil des Auftragsverarbeitungsvertrags des Anbieters mit Supabase sind. Weitere Übermittlungen in Drittländer finden nicht statt.

8. Kontrollrechte

Der Anbieter stellt dem Kunden auf Anfrage die erforderlichen Informationen zum Nachweis der Einhaltung dieses Vertrags zur Verfügung und ermöglicht Überprüfungen, auch durch vom Kunden beauftragte Prüfer. Überprüfungen sind rechtzeitig (in der Regel 14 Tage) vorher anzukündigen, finden zu üblichen Geschäftszeiten statt und dürfen den Betrieb nicht unverhältnismäßig stören. Der Nachweis kann auch durch aktuelle Zertifikate oder Prüfberichte der Unterauftragsverarbeiter und Auskünfte zu den Maßnahmen nach Anlage 2 erfolgen.

9. Rückgabe und Löschung

Während der Vertragslaufzeit kann der Kunde seine Berichte jederzeit selbst als ZIP-Datei herunterladen (Berichte als PDF, Bilder einzeln, dazu eine Übersicht), im Portal unter „Abo & Rechnungen → Berichte exportieren“; das gilt auch nach Vertragsende bis zur Löschung. Nach Vertragsende werden die Inhalte der Organisation (Berichte, Einsätze, Bilder und Benutzerzugänge) 90 Tage aufbewahrt und danach unwiderruflich gelöscht; der Anbieter weist den Kunden vorher per E-Mail darauf hin. Daten in Sicherungskopien werden im regulären Zyklus der Sicherungen überschrieben. Rechnungs- und Zahlungsdaten verarbeitet der Anbieter als eigener Verantwortlicher entsprechend den gesetzlichen Aufbewahrungsfristen. Eine frühere Löschung kann der Kunde in Textform verlangen.

10. Haftung

Für die Haftung gilt Art. 82 DSGVO. Im Übrigen richtet sich die Haftung nach den Allgemeinen Geschäftsbedingungen.

11. Schlussbestimmungen

Änderungen und Ergänzungen bedürfen der Textform. Bei Widersprüchen zwischen diesem Vertrag und den Allgemeinen Geschäftsbedingungen geht dieser Vertrag vor, soweit es um den Schutz personenbezogener Daten geht. Es gilt das Recht der Bundesrepublik Deutschland. Sollte eine Bestimmung unwirksam sein, bleibt der Vertrag im Übrigen wirksam.

Anlage 1 – Gegenstand der Verarbeitung

Siehe Ziffer 2.

Anlage 2 – Technische und organisatorische Maßnahmen

Zutritt: Die Server stehen in Rechenzentren der Unterauftragsverarbeiter mit eigenen Zutrittskontrollen. Eigene Räume mit Daten des Kunden betreibt der Anbieter nicht.
Zugang: Jeder Benutzer hat ein eigenes Konto mit Passwort. Passwörter werden nicht im Klartext gespeichert. Zugänge, die mit einem Einmalpasswort angelegt werden, müssen es bei der ersten Anmeldung ändern. Der Zugang des Anbieters zum Betreiberbereich ist auf freigegebene E-Mail-Adressen beschränkt, der Serverzugang erfolgt nur mit Schlüssel (kein Passwort-Login).
Zugriff: Rollenmodell mit Administratoren und Pressesprechern. Zugriffe auf Daten werden auf Datenbankebene je Organisation begrenzt (Row-Level-Security); Uploads, Löschungen und Kontingente werden serverseitig geprüft.
Trennung: Die Daten jeder Organisation sind strikt von denen anderer Organisationen getrennt (Mandantentrennung in Datenbank und Dateispeicher).
Weitergabe: Die Übertragung zwischen Browser und Portal erfolgt verschlüsselt (HTTPS/TLS). Daten werden an die KI erst nach ausdrücklicher Bestätigung des Benutzers übermittelt; das Portal prüft die Angaben vorher auf mögliche personenbezogene Daten und weist darauf hin.
Eingabe und Protokollierung: Berichte sind ihrem Verfasser zugeordnet; die KI-Nutzung und Verwaltungsaktionen des Anbieters werden protokolliert.
Datenminimierung: Aus hochgeladenen Bildern werden Metadaten (z. B. Standortangaben) entfernt. Die Daten werden nach Vertragsende nach 90 Tagen gelöscht (Ziffer 9).
Verfügbarkeit und Wiederherstellbarkeit: Der Anwendungsserver wird regelmäßig gesichert und startet nach Störungen automatisch neu. Sicherheitsupdates werden automatisch eingespielt, der Server ist durch eine Firewall geschützt.
Auftragskontrolle: Mit allen Unterauftragsverarbeitern bestehen Verträge zur Auftragsverarbeitung nach Art. 28 DSGVO.
Überprüfung: Der Anbieter überprüft die Maßnahmen regelmäßig und passt sie dem Stand der Technik an.

Anlage 3 – Unterauftragsverarbeiter

Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen (Deutschland): Hosting der Anwendung (Server in Helsinki, Finnland) und E-Mail-Versand (Webhosting in Deutschland).
Supabase Inc. (USA), Datenbank, Authentifizierung und Dateispeicher in Frankfurt am Main (Deutschland): Speicherung der Daten des Kunden; EU-Standardvertragsklauseln.
Mistral AI, Frankreich: Erzeugen von Textentwürfen aus den eingegebenen Einsatzdaten; kostenpflichtiger Zugang, keine Verwendung der Daten zum Training, Anfragen können zur Missbrauchserkennung bis zu 30 Tage gespeichert werden.