Vertrag über die Auftragsverarbeitung nach Art. 28 DSGVO

zwischen

dem Tierheim bzw. Verein, das oder der EhrenPfoten nutzt – Verantwortlicher, im Folgenden „Auftraggeber” –

und

Jungherz GmbH, Duvenkamp 21, 46282 Dorsten, vertreten durch den Geschäftsführer Marcel Karas (Amtsgericht Gelsenkirchen, HRB 13149) – Auftragsverarbeiter, im Folgenden „Auftragnehmer” –

Der Vertrag kommt zustande, wenn der Auftraggeber ihm bei der Anmeldung auf ehrenpfoten.app, bei der Buchung eines Tarifs oder in der Anwendung zustimmt. Er ist im Preis enthalten.

§ 1 Gegenstand und Dauer

(1) Der Auftragnehmer stellt dem Auftraggeber die Anwendung EhrenPfoten bereit (Software als Dienst) und betreibt sie: Hosting, Wartung, Sicherung, Weiterentwicklung und Unterstützung bei der Nutzung. Dabei verarbeitet er personenbezogene Daten im Auftrag des Auftraggebers. Gegenstand, Art und Zweck der Verarbeitung, Art der Daten und Kategorien betroffener Personen beschreibt Anlage 1.

(2) Der Vertrag gilt für die Dauer der Nutzung von EhrenPfoten durch den Auftraggeber nach den Allgemeinen Geschäftsbedingungen für EhrenPfoten und endet mit ihr, ohne dass es einer gesonderten Kündigung bedarf. § 8 gilt über das Vertragsende hinaus.

§ 2 Weisungen

(1) Der Auftragnehmer verarbeitet die Daten nur auf dokumentierte Weisung des Auftraggebers, es sei denn, er ist durch das Recht der Union oder eines Mitgliedstaats dazu verpflichtet; in diesem Fall teilt er dem Auftraggeber die rechtlichen Anforderungen vor der Verarbeitung mit, sofern das Recht dies nicht verbietet.

(2) Die Weisungen ergeben sich aus diesem Vertrag und aus den Einstellungen, die der Auftraggeber in der Anwendung vornimmt (zum Beispiel Aufbewahrungsfrist des Protokolls, Pflichtfelder der Bewerbung, Module, Freigabe von KI-Assistenten). Weitere Weisungen erteilt der Auftraggeber in Textform; berechtigt sind die Personen mit der Rolle „Leitung” in der Anwendung und Personen, die die Leitung in Textform benennt.

(3) Hält der Auftragnehmer eine Weisung für rechtswidrig, weist er den Auftraggeber unverzüglich darauf hin und darf ihre Ausführung bis zur Bestätigung oder Änderung aussetzen.

§ 3 Pflichten des Auftragnehmers

(1) Der Auftragnehmer verpflichtet alle Personen, die Zugang zu den Daten haben, zur Vertraulichkeit, soweit sie nicht einer gesetzlichen Verschwiegenheitspflicht unterliegen.

(2) Er trifft die technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO, die Anlage 2 beschreibt. Er darf sie weiterentwickeln, solange das Schutzniveau nicht sinkt; wesentliche Änderungen teilt er dem Auftraggeber mit.

(3) Er unterstützt den Auftraggeber mit geeigneten Maßnahmen bei der Erfüllung der Rechte betroffener Personen (Art. 12 bis 23 DSGVO). Wendet sich eine betroffene Person unmittelbar an den Auftragnehmer, leitet er die Anfrage unverzüglich an den Auftraggeber weiter.

(4) Er unterstützt den Auftraggeber bei den Pflichten nach Art. 32 bis 36 DSGVO, insbesondere bei der Meldung von Verletzungen des Schutzes personenbezogener Daten. Eine solche Verletzung meldet er dem Auftraggeber unverzüglich, möglichst innerhalb von 24 Stunden nach Bekanntwerden, mit den Angaben nach Art. 33 Abs. 3 DSGVO, soweit sie vorliegen.

(5) Für Fragen zum Datenschutz ist der Auftragnehmer unter kontakt@ehrenpfoten.app erreichbar.

(6) Er verarbeitet die Daten nicht für eigene Zwecke. Ausgenommen sind Rückmeldungen, die Nutzerinnen und Nutzer über „Rückmeldung geben” ausdrücklich an den Auftragnehmer richten, soweit sie der Verbesserung der Anwendung dienen.

§ 4 Pflichten des Auftraggebers

(1) Der Auftraggeber ist für die Rechtmäßigkeit der Verarbeitung verantwortlich, insbesondere für die Information der betroffenen Personen (Art. 13, 14 DSGVO) und die Wahl der Aufbewahrungsfristen.

(2) Er informiert den Auftragnehmer unverzüglich, wenn er Fehler oder Unregelmäßigkeiten bei der Verarbeitung feststellt.

§ 5 Unterauftragsverarbeiter

(1) Der Auftraggeber stimmt den in Anlage 3 genannten Unterauftragsverarbeitern zu.

(2) Weitere oder andere Unterauftragsverarbeiter kündigt der Auftragnehmer mindestens vier Wochen vorher in Textform an. Der Auftraggeber kann aus wichtigem datenschutzrechtlichem Grund innerhalb dieser Frist widersprechen; können sich die Parteien nicht einigen, darf der Auftraggeber den Vertrag zum Wirksamwerden der Änderung beenden.

(3) Der Auftragnehmer legt jedem Unterauftragsverarbeiter vertraglich dieselben Datenschutzpflichten auf, die dieser Vertrag ihm auferlegt.

§ 6 Ort der Verarbeitung

Die Verarbeitung findet in Deutschland statt. Eine Übermittlung in ein Land außerhalb der Europäischen Union oder des Europäischen Wirtschaftsraums geschieht nur, wenn die Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind, und ist in Anlage 3 ausgewiesen.

§ 7 Nachweise und Kontrollen

(1) Der Auftragnehmer weist die Einhaltung seiner Pflichten auf Anfrage nach, insbesondere durch Auskünfte und die Beschreibung der Maßnahmen in Anlage 2.

(2) Der Auftraggeber kann Kontrollen nach angemessener Vorankündigung zu den üblichen Geschäftszeiten selbst oder durch einen zur Verschwiegenheit verpflichteten Prüfer vornehmen, ohne den Betrieb unverhältnismäßig zu stören.

§ 8 Löschung und Rückgabe

(1) Nach Ende der Nutzung kann der Auftraggeber seine Daten innerhalb von 30 Tagen exportieren; der Nachweis der Gassigänge und das Protokoll stehen als CSV bereit, weitere Daten stellt der Auftragnehmer auf Anfrage zusammen.

(2) Danach löscht der Auftragnehmer alle Daten des Auftraggebers, spätestens 30 Tage nach Vertragsende, und bestätigt die Löschung in Textform. Daten in Sicherungen werden mit dem Ablauf der jeweiligen Sicherung gelöscht und bis dahin nicht verwendet.

(3) Gesetzliche Aufbewahrungspflichten des Auftraggebers, etwa gegenüber dem Veterinäramt, erfüllt der Auftraggeber mit dem Export nach Absatz 1.

§ 9 Haftung und Schlussbestimmungen

(1) Für die Haftung gilt Art. 82 DSGVO; im Übrigen gelten die Haftungsregeln des Hauptvertrags.

(2) Änderungen und Ergänzungen bedürfen der Textform. Bei Widersprüchen geht dieser Vertrag den übrigen Vereinbarungen vor, soweit es um den Datenschutz geht.

(3) Sollte eine Bestimmung unwirksam sein, bleibt der Vertrag im Übrigen wirksam.

Fassung und Nachweis: Bei der Zustimmung speichert der Auftragnehmer Zeitpunkt und Fassung dieses Vertrags beim Tierheim, damit nachvollziehbar bleibt, welchem Text zugestimmt wurde.

---

Anlage 1: Gegenstand der Verarbeitung im Einzelnen

Zweck: Organisation der ehrenamtlichen Arbeit im Tierheim: Bewerbung und Freischaltung von Ehrenamtlichen, Freigabe für einzelne Hunde, Buchung von Gassigängen in festen Zeitfenstern, Absagen und Vertretungen, Benachrichtigungen per Push und Mail, Ankündigungen, Protokoll und Nachweis der Gassigänge für das Veterinäramt, Auswertung für die Leitung.

Art der Verarbeitung: Erheben, Speichern, Ordnen, Anzeigen, Übermitteln (Push, Mail), Auswerten, Exportieren (CSV), Löschen.

Kategorien betroffener Personen: Ehrenamtliche und Bewerberinnen und Bewerber des Tierheims; Mitarbeitende und Vorstand des Tierheims mit Zugang zur Verwaltung (Team, Leitung); Personen, die sich für ein Tier interessieren, soweit das Team sie in einer Notiz zu einer Buchung nennt.

Arten personenbezogener Daten:

• Stammdaten: Name, E-Mail-Adresse, Telefonnummer, freiwillig ein Profilfoto.
• Bewerbung und Mitgliedschaft: Bewerbungstext, Interessen, Status (beworben, aktiv, pausiert, ruhend, gesperrt) mit Grund, bestätigte Regeln und Nutzungsbedingungen mit Version und Zeitpunkt, Rollen, Dienst-Kennzeichen des Teams.
• Qualifikation: Datum der Einführung vor Ort, anerkannte Sachkunde nach Landesrecht (Art, Datum, eintragende Person), Freigabe für die zweite Runde; keine Bescheinigungen selbst.
• Tätigkeit: Freigaben je Hund, Buchungen (Tag, Zeitfenster, Hund, Stand), Absagen und Stornierungen mit Grund, Zähler für Nichterscheinen, Vertretungsanfragen, Aufrufe.
• Interne Notizen des Teams zu einer Person und zu einer Buchung.
• Kommunikation: Push-Abonnements (Endpunkt, Schlüssel, Gerätebezeichnung, User-Agent), Inhalte der Benachrichtigungen und Systemmails, Rückmeldungen an den Auftragnehmer (Text, Seite, Gerät, App-Version).
• Technische Daten: Sitzungen (Token als Hash, IP-Adresse, User-Agent, letzte Aktivität), Anmeldelinks und Codes als Hash, Protokolleinträge, Fehlermeldungen aus dem Browser ohne Personenbezug.

Besondere Kategorien nach Art. 9 DSGVO verarbeitet die Anwendung nicht; Freitextfelder (Bewerbungstext, interne Notiz, Notiz zu einer Buchung, Rückmeldung) sind nicht dafür vorgesehen.

Anlage 2: Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

Vertraulichkeit

• Server in einem Rechenzentrum der netcup GmbH in Nürnberg; Zutritt und physische Sicherheit regelt der Hoster.
• Verwaltung des Servers nur über SSH mit Schlüssel und über die passwortgeschützte Oberfläche von EasyPanel; Zugang haben nur benannte Personen des Auftragnehmers.
• Anmeldung in der App ohne Passwort über einen Link oder sechsstelligen Code per Mail; beide gelten 15 Minuten und nur einmal und sind nur als Hash gespeichert; Fehlversuche und Anfragen werden gedrosselt.
• Sitzungen als Hash in der Datenbank, Cookie HttpOnly, Secure und SameSite=Lax, Laufzeit 30 Tage, Abmelden beendet sie sofort.
• Rollen mit Rechten je Modul (Leitung, Team, Ehrenamtliche); Ehrenamtliche sehen nur eigene Buchungen und freigegebene Hunde; interne Notizen nur für das Team.
• Mandantentrennung: Jede Datenbankabfrage trägt das Tierheim aus der Sitzung, nie aus der Anfrage; eine Abfrage ohne diese Angabe bricht ab; fremde Kennungen liefern „nicht gefunden”.
• Geheimnisse (Sitzungsschlüssel, Mail-Zugang, Push-Schlüssel, Schlüssel des Zahlungsdienstleisters) nur in der Umgebung des Servers, nicht im Quelltext.
• Zahlungsdaten (Karte, IBAN) gibt die Leitung nur auf der Bezahlseite und im Kundenportal von Stripe ein; die Anwendung bekommt und speichert sie nicht.
• Betreiberverwaltung nur für benannte Personen des Auftragnehmers, mit eigener Anmeldung und 12 Stunden gültiger Sitzung; sie zeigt je Tierheim nur Zählungen und den Kontakt der Leitung. Einblick in die Daten des Auftraggebers nur über einen Support-Zugang, den dessen Leitung zeitlich begrenzt freigibt (Vorgabe ein Tag, nur lesen); jede Freigabe und jeder Zugriff wird im Protokoll des Auftraggebers festgehalten.

Integrität

• Transportverschlüsselung mit TLS für alle Verbindungen zur App; HSTS, Content-Security-Policy, X-Frame-Options: DENY und weitere Sicherheits-Header.
• Push-Nachrichten Ende-zu-Ende verschlüsselt (RFC 8291) und signiert (VAPID).
• Protokoll aller fachlichen Änderungen mit Person und Zeitpunkt, nur anhängend.
• Eingaben werden auf dem Server geprüft; Größen- und Längengrenzen für Uploads und Texte.

Verfügbarkeit und Belastbarkeit

• Regelmäßige Sicherung des Datenvolumes über EasyPanel auf einen weiteren Server der netcup GmbH im selben Rechenzentrum; vor maßgeblichen Änderungen zusätzlich eine Sicherung der Datenbank auf dem Server.
• Wiederherstellung dokumentiert und geprobt (05.10.2026: Rückspielung mit identischen Zählungen).
• Gesundheitsprüfung der Anwendung unter /api/health.

Datenminimierung und Löschung

• Keine Analyse- oder Werbedienste, keine fremden Ressourcen im Browser, keine Weitergabe an Dritte außer den Unterauftragsverarbeitern und, nur nach Freigabe durch den Auftraggeber, an KI-Assistenten, die eine Person selbst verbindet (Anlage 3).
• Automatische Löschung von Protokoll, Buchungen, Vertretungen, Aufrufen und Rückmeldungen nach der vom Auftraggeber eingestellten Frist (Vorgabe 24 Monate, mindestens 6); Namen an Gassigängen gelöschter Konten nach sechs Monaten; Notizen zu Buchungen nach 30 Tagen.
• Kontolöschung durch die Person selbst in der App.
• Logs ohne Inhalte; E-Mail-Adressen maskiert; Fehlermeldungen aus dem Browser ohne IP-Adresse und Namen.

Verfahren zur Überprüfung

• Automatische Tests für Mandantentrennung, Rechte und Löschfristen laufen vor jeder Auslieferung.
• Änderungen gehen über ein Versionsverwaltungssystem mit nachvollziehbarer Historie; Entscheidungen sind dokumentiert.

Anlage 3: Unterauftragsverarbeiter

Unterauftragsverarbeiter	Leistung	Ort der Verarbeitung	Garantien
netcup GmbH, Emmy-Noether-Straße 10, 76131 Karlsruhe	Server (Hosting der Anwendung und der Datenbank)	Deutschland, Rechenzentrum Nürnberg	Vertrag zur Auftragsverarbeitung mit netcup
netcup GmbH (wie oben)	Speicherung der Sicherungen auf einem weiteren Server	Deutschland, im selben Rechenzentrum	Vertrag zur Auftragsverarbeitung mit netcup

Die Systemmails versendet der Auftragnehmer über seine eigene Mailplattform Mailverse auf einem Server der netcup GmbH in Deutschland; ein weiterer Unterauftragsverarbeiter entsteht dadurch nicht.

Kein Unterauftragsverarbeiter: Stripe Payments Europe, Ltd., 1 Grand Canal Street Lower, Grand Canal Dock, Dublin, D02 H210, Irland. Stripe wickelt die Bezahlung des Tarifs ab und verarbeitet dabei nur Daten des Auftraggebers als Kunde des Auftragnehmers: Name und Rechnungsadresse des Tierheims, gegebenenfalls die Umsatzsteuer-Identifikationsnummer, die E-Mail-Adresse der Leitung, die gebuchten Tarife und Rechnungen sowie die Zahlungsdaten, die die Leitung bei Stripe eingibt. Daten der Ehrenamtlichen und alle übrigen Daten aus Anlage 1 erreichen Stripe nicht. Für diese Abrechnung ist der Auftragnehmer selbst verantwortlich; Einzelheiten, auch zur Übermittlung an Stripe, Inc. in den USA, nennt seine Datenschutzerklärung auf ehrenpfoten.app. Bezahlt das Tierheim per PayPal, gilt dasselbe für PayPal (Europe) S.à r.l. et Cie, S.C.A., Luxemburg.

Nicht Unterauftragsverarbeiter, aber zu nennen: die Push-Dienste der Browser-Hersteller (Apple, Google, Mozilla, Microsoft). Sie stellen eine Ende-zu-Ende verschlüsselte Nachricht zu, sobald eine Person Push in ihrem Browser einschaltet, und sehen deren Inhalt nicht.

Ebenfalls keine Unterauftragsverarbeiter: die Anbieter von KI-Assistenten (etwa Anthropic oder OpenAI). Gibt der Auftraggeber KI-Assistenten in der Anwendung frei (Einstellungen → KI, Vorgabe aus), kann eine berechtigte Person einen Assistenten ihrer Wahl verbinden. Der Auftragnehmer übermittelt dann auf deren Anfrage die Daten, die sie in der Anwendung sehen darf, an diesen Assistenten; das geschieht auf Weisung des Auftraggebers (Freigabe) und nach Zustimmung der Person, der Anbieter handelt nicht im Auftrag des Auftragnehmers. Der Auftraggeber sieht und trennt alle Verbindungen in der Anwendung; jede Änderung über einen Assistenten steht im Protokoll.