Vertrag zur Auftragsverarbeitung

nach Art. 28 Abs. 3 DSGVO · Stand: 18.10.2026

zwischen der Feuerwehr bzw. ihrem Träger, für die der Zugang zu „Track deinen Einsatz“ eingerichtet ist (Verantwortlicher, nachfolgend „Auftraggeber“), und Yannik Blees, Friedel-Heintz-Str. 2a, 66386 St. Ingbert (Auftragsverarbeiter, nachfolgend „Auftragnehmer“).

Der Vertrag wird elektronisch geschlossen (Art. 28 Abs. 9 DSGVO), indem eine vertretungsberechtigte Person des Auftraggebers ihm in der Anwendung zustimmt. Er gilt für jede Nutzung der Anwendung, auch während einer kostenlosen Nutzung oder Testphase.

1. Gegenstand und Dauer

Der Auftragnehmer betreibt für den Auftraggeber die Webanwendung „Track deinen Einsatz“ (Hosting, Speicherung, Verarbeitung, Datensicherung, Wartung und Support). Der Vertrag läuft, solange der Auftraggeber die Anwendung nutzt, und endet mit dem Hauptvertrag (AGB).

2. Art und Zweck der Verarbeitung, Daten und Betroffene

Zweck: Dokumentation der Einsatz- und Dienstbeteiligung, des Atemschutznachweises nach FwDV 7, von Qualifikationen, Veranstaltungen und Aufwandsentschädigungen sowie die Verwaltung von Mitgliedern, Rechten und Benachrichtigungen.

Kategorien betroffener Personen: Mitglieder des Auftraggebers (Einsatzkräfte, Führungskräfte, Verwaltung) sowie eingeladene Personen.

Arten von Daten:

3. Weisungen

  1. Der Auftragnehmer verarbeitet die Daten nur auf dokumentierte Weisung des Auftraggebers, es sei denn, er ist gesetzlich zu einer Verarbeitung verpflichtet. In diesem Fall teilt er dem Auftraggeber dies vorher mit, soweit das Gesetz es nicht verbietet.
  2. Weisungen ergeben sich aus diesem Vertrag, den AGB und den Einstellungen und Eingaben des Auftraggebers in der Anwendung. Weitere Weisungen erteilt der Auftraggeber in Textform.
  3. Hält der Auftragnehmer eine Weisung für rechtswidrig, weist er den Auftraggeber unverzüglich darauf hin. Er darf die Ausführung aussetzen, bis der Auftraggeber sie bestätigt oder ändert.

4. Pflichten des Auftragnehmers

  1. Personen, die Zugang zu den Daten haben, sind zur Vertraulichkeit verpflichtet und verarbeiten die Daten nur nach Weisung.
  2. Der Auftragnehmer trifft die technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO (Anlage). Er darf sie weiterentwickeln, solange das Schutzniveau nicht sinkt.
  3. Der Auftragnehmer unterstützt den Auftraggeber bei Anfragen betroffener Personen (Art. 12 bis 23 DSGVO) sowie bei den Pflichten aus Art. 32 bis 36 DSGVO. Anfragen, die beim Auftragnehmer eingehen, leitet er unverzüglich an den Auftraggeber weiter.
  4. Verletzungen des Schutzes personenbezogener Daten meldet der Auftragnehmer dem Auftraggeber unverzüglich, spätestens innerhalb von 48 Stunden nach Kenntnis, mit den Angaben nach Art. 33 Abs. 3 DSGVO, soweit sie ihm vorliegen.
  5. Die Verarbeitung findet in der Europäischen Union bzw. im Europäischen Wirtschaftsraum statt. Ausnahmen regelt Ziffer 5.

5. Unterauftragsverarbeiter

Der Auftraggeber erteilt die allgemeine Genehmigung, Unterauftragsverarbeiter einzusetzen. Derzeit sind das:

Über beabsichtigte Änderungen informiert der Auftragnehmer den Auftraggeber mindestens vier Wochen vorher in Textform. Der Auftraggeber kann aus wichtigem datenschutzrechtlichen Grund widersprechen. Kommt keine Einigung zustande, kann er den Vertrag zum Zeitpunkt der Änderung kündigen. Der Auftragnehmer verpflichtet Unterauftragsverarbeiter vertraglich auf dieselben Datenschutzpflichten.

Die Zahlungsabwicklung über Mollie B.V. betrifft nur die Abrechnungsdaten des Auftraggebers selbst, nicht die Daten seiner Mitglieder. Sie ist daher keine Auftragsverarbeitung im Sinne dieses Vertrags.

6. Rechte und Pflichten des Auftraggebers

  1. Der Auftraggeber ist für die Rechtmäßigkeit der Verarbeitung verantwortlich, insbesondere für die Rechtsgrundlage zur Verarbeitung der Gesundheitsdaten seiner Mitglieder und für deren Information nach Art. 13 und 14 DSGVO.
  2. Der Auftraggeber kann sich von der Einhaltung dieses Vertrags überzeugen. Dazu stellt der Auftragnehmer auf Anfrage die erforderlichen Informationen bereit. Kontrollen vor Ort sind nach rechtzeitiger Ankündigung zu den üblichen Geschäftszeiten möglich, ohne den Betrieb unverhältnismäßig zu stören.

7. Löschung und Rückgabe nach Vertragsende

Nach Vertragsende löscht der Auftragnehmer alle Daten des Auftraggebers innerhalb von 30 Tagen, sofern der Auftraggeber nicht vorher die Rückgabe verlangt und keine gesetzliche Pflicht zur Speicherung besteht. Bis dahin kann der Auftraggeber seine Daten exportieren. In verschlüsselten Datensicherungen enthaltene Daten werden mit deren Ablauf gelöscht, spätestens nach weiteren 14 Tagen. Die Löschung bestätigt der Auftragnehmer auf Anfrage in Textform.

8. Haftung und Schlussbestimmungen

Für die Haftung gilt Art. 82 DSGVO. Im Übrigen gelten die Haftungsregeln der AGB. Bei Widersprüchen hat dieser Vertrag in Fragen des Datenschutzes Vorrang vor den AGB. Änderungen bedürfen der Textform.

Anlage: Technische und organisatorische Maßnahmen (Art. 32 DSGVO)