Vertrag zur Auftragsverarbeitung

zwischen dem Kunden der AgriPlaner-Software (nachfolgend „Verantwortlicher“)

und der

Küpper IT-Solutions UG (haftungsbeschränkt), Sittarder Straße 40, 52511 Geilenkirchen, vertreten durch die Geschäftsführerin Janine Hannemann, eingetragen beim Amtsgericht Aachen unter HRB 30253 (nachfolgend „Auftragsverarbeiter“)

§ 1 Gegenstand und Dauer

1. Der Auftragsverarbeiter stellt dem Verantwortlichen die webbasierte Software „AgriPlaner“ (Betriebsmanagement mit App und Webinterface) und gegebenenfalls „AgriPlaner GPS“ als Software-as-a-Service bereit (nachfolgend „Hauptvertrag“). Dabei verarbeitet er personenbezogene Daten, für die der Verantwortliche im Sinne von Art. 4 Nr. 7 DSGVO verantwortlich ist.
2. Dieser Vertrag konkretisiert die datenschutzrechtlichen Pflichten der Parteien. Er gilt für alle Tätigkeiten, bei denen der Auftragsverarbeiter, seine Beschäftigten oder von ihm beauftragte Unterauftragsverarbeiter personenbezogene Daten des Verantwortlichen verarbeiten.
3. Die Laufzeit dieses Vertrages richtet sich nach der Laufzeit des Hauptvertrages. Die Pflichten aus diesem Vertrag gelten darüber hinaus fort, solange der Auftragsverarbeiter personenbezogene Daten des Verantwortlichen verarbeitet, insbesondere bis zur vollständigen Rückgabe oder Löschung nach § 10.
4. Bei Widersprüchen zwischen diesem Vertrag und dem Hauptvertrag gehen in Fragen des Datenschutzes die Regelungen dieses Vertrages vor.

§ 2 Art, Zweck und Umfang der Verarbeitung

1. Art und Zweck der Verarbeitung, die Art der personenbezogenen Daten und die Kategorien betroffener Personen ergeben sich aus Anlage 1.
2. Die Verarbeitung findet grundsätzlich in Rechenzentren in der Bundesrepublik Deutschland statt. Eine Verarbeitung in einem Drittland (außerhalb der EU/des EWR) erfolgt nur unter den Voraussetzungen des § 8 und ausschließlich durch die in Anlage 3 genannten Unterauftragsverarbeiter.
3. Der Auftragsverarbeiter verarbeitet die Daten ausschließlich zur Erbringung der vereinbarten Leistungen. Eine Nutzung für eigene Zwecke, insbesondere zu Werbezwecken, zur Profilbildung oder zum Training von KI-Modellen, findet nicht statt. Die Erstellung anonymisierter, nicht auf einzelne Kunden oder Personen rückführbarer Nutzungsstatistiken zur Sicherstellung des Betriebs und zur Verbesserung der Software bleibt zulässig.

§ 3 Weisungsbefugnis des Verantwortlichen

1. Der Auftragsverarbeiter verarbeitet personenbezogene Daten nur auf dokumentierte Weisung des Verantwortlichen, es sei denn, er ist nach dem Recht der Union oder eines Mitgliedstaats zur Verarbeitung verpflichtet (Art. 28 Abs. 3 lit. a DSGVO). In diesem Fall teilt er dem Verantwortlichen diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das Recht dies nicht wegen eines wichtigen öffentlichen Interesses verbietet.
2. Die Weisungen werden durch den Hauptvertrag, diesen Vertrag und die Nutzung der Funktionen der Software durch den Verantwortlichen und seine Nutzer festgelegt. Einzelweisungen erteilt der Verantwortliche in Textform (z. B. per E-Mail an info@agriplaner.de oder über das Support-Ticket-System).
3. Der Auftragsverarbeiter informiert den Verantwortlichen unverzüglich, wenn er der Auffassung ist, dass eine Weisung gegen datenschutzrechtliche Vorschriften verstößt. Er ist berechtigt, die Durchführung der Weisung auszusetzen, bis sie vom Verantwortlichen bestätigt oder geändert wird.

§ 4 Pflichten des Verantwortlichen

1. Der Verantwortliche ist für die Rechtmäßigkeit der Verarbeitung, insbesondere für das Vorliegen einer Rechtsgrundlage, sowie für die Wahrung der Rechte der betroffenen Personen verantwortlich.
2. Dies gilt insbesondere für die Ortung von Fahrzeugen und die Standortbestimmung von Mitarbeitergeräten (GPS-Tracker, Livemap, standortbasierte Arbeitszeiterfassung), für die Arbeitszeiterfassung und für die Kommunikation über AgriTalk. Der Verantwortliche informiert seine Beschäftigten nach Art. 13 DSGVO und stellt sicher, dass die arbeits- und mitbestimmungsrechtlichen Voraussetzungen (z. B. Betriebsvereinbarung, soweit ein Betriebsrat besteht) erfüllt sind.
3. Der Verantwortliche informiert den Auftragsverarbeiter unverzüglich, wenn er Fehler oder Unregelmäßigkeiten bei der Verarbeitung feststellt.

§ 5 Vertraulichkeit

1. Der Auftragsverarbeiter gewährleistet, dass sich die zur Verarbeitung befugten Personen zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen (Art. 28 Abs. 3 lit. b DSGVO). Die Verpflichtung besteht auch nach Beendigung der Tätigkeit fort.
2. Zugriff auf Daten des Verantwortlichen erhalten nur Personen, die ihn für Betrieb, Wartung, Fehlerbehebung oder Support benötigen, und nur in dem dafür erforderlichen Umfang.

§ 6 Technische und organisatorische Maßnahmen

1. Der Auftragsverarbeiter trifft alle nach Art. 32 DSGVO erforderlichen Maßnahmen, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten. Die zum Zeitpunkt des Vertragsschlusses getroffenen Maßnahmen sind in Anlage 2 beschrieben.
2. Die Maßnahmen unterliegen dem technischen Fortschritt. Der Auftragsverarbeiter darf sie durch gleichwertige oder bessere Maßnahmen ersetzen, sofern das Schutzniveau nicht unterschritten wird. Wesentliche Änderungen werden dokumentiert.

§ 7 Unterauftragsverarbeiter

1. Der Verantwortliche erteilt dem Auftragsverarbeiter die allgemeine Genehmigung, weitere Auftragsverarbeiter (Unterauftragsverarbeiter) einzusetzen (Art. 28 Abs. 2 DSGVO). Die bei Vertragsschluss eingesetzten Unterauftragsverarbeiter sind in Anlage 3 aufgeführt und gelten als genehmigt.
2. Der Auftragsverarbeiter informiert den Verantwortlichen mindestens 4 Wochen vor der Hinzuziehung oder dem Austausch eines Unterauftragsverarbeiters in Textform. Der Verantwortliche kann der Änderung innerhalb dieser Frist aus wichtigem datenschutzrechtlichem Grund in Textform widersprechen. Können sich die Parteien nicht einigen, ist der Verantwortliche berechtigt, den Hauptvertrag zum Zeitpunkt des Wirksamwerdens der Änderung zu kündigen.
3. Der Auftragsverarbeiter erlegt jedem Unterauftragsverarbeiter vertraglich im Wesentlichen dieselben Datenschutzpflichten auf, die in diesem Vertrag festgelegt sind (Art. 28 Abs. 4 DSGVO). Er haftet gegenüber dem Verantwortlichen dafür, dass der Unterauftragsverarbeiter seinen Pflichten nachkommt.
4. Nicht als Unterauftragsverhältnis gelten Leistungen, die der Auftragsverarbeiter als reine Nebenleistung in Anspruch nimmt und bei denen kein Zugriff auf personenbezogene Daten des Verantwortlichen vorgesehen ist, etwa Telekommunikationsleistungen ohne Inhaltszugriff (insbesondere die Mobilfunk-Konnektivität der GPS-Tracker über die 1NCE GmbH, Sternengasse 14–16, 50676 Köln), der Bezug öffentlich verfügbarer Geodaten der Landesvermessungsämter (Feldblöcke), Abfragen öffentlicher Verzeichnisse durch den Server des Auftragsverarbeiters ohne Übermittlung von Nutzerkennungen (Postleitzahl- und Straßensuche über die OpenPLZ-API, Umwandlung von Koordinaten in Adressen über den Dienst Nominatim der OpenStreetMap Foundation) oder die Übermittlung von Tracking-Links an Versanddienstleister.
5. Die Kartendarstellung und Adresssuche mit Google Maps im Webinterface erbringt die Google Ireland Limited in eigener datenschutzrechtlicher Verantwortung. Dabei werden die IP-Adresse des Nutzers, Kartenausschnitte und Suchanfragen an Google übermittelt. Google Maps ist deshalb nicht in Anlage 3 aufgeführt; der Auftragsverarbeiter weist in seiner Datenschutzerklärung darauf hin.

§ 8 Übermittlung in Drittländer

1. Eine Verarbeitung außerhalb der EU/des EWR erfolgt nur, wenn die Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind, insbesondere auf Grundlage eines Angemessenheitsbeschlusses (Art. 45 DSGVO, z. B. EU-US Data Privacy Framework für zertifizierte Unternehmen) oder geeigneter Garantien wie den Standardvertragsklauseln der EU-Kommission (Art. 46 Abs. 2 lit. c DSGVO).
2. Die betroffenen Funktionen und die jeweilige Grundlage sind in Anlage 3 angegeben. Die KI-gestützte Belegerkennung wird nur tätig, wenn ein Nutzer einen Beleg aktiv zur automatischen Erfassung hochlädt. Setzt der Auftragsverarbeiter den KI-Assistenten Claude Code für Wartung, Fehleranalyse oder Weiterentwicklung ein, werden Daten des Verantwortlichen nur übermittelt, soweit dies für die jeweilige Aufgabe erforderlich ist.

§ 9 Unterstützung des Verantwortlichen

1. Der Auftragsverarbeiter unterstützt den Verantwortlichen mit geeigneten technischen und organisatorischen Maßnahmen bei der Beantwortung von Anträgen betroffener Personen (Art. 12 bis 22 DSGVO). Die Software stellt hierzu Funktionen bereit, insbesondere Export-, Bearbeitungs- und Anonymisierungsfunktionen für Kundendaten. Wendet sich eine betroffene Person unmittelbar an den Auftragsverarbeiter, leitet er das Ersuchen unverzüglich an den Verantwortlichen weiter.
2. Der Auftragsverarbeiter unterstützt den Verantwortlichen unter Berücksichtigung der ihm zur Verfügung stehenden Informationen bei der Einhaltung der Pflichten aus Art. 32 bis 36 DSGVO (Sicherheit, Meldung von Verletzungen, Datenschutz-Folgenabschätzung, vorherige Konsultation).
3. Verletzungen des Schutzes personenbezogener Daten meldet der Auftragsverarbeiter dem Verantwortlichen unverzüglich, möglichst innerhalb von 24 Stunden nach Bekanntwerden, per E-Mail an die im Kundenkonto hinterlegte Adresse. Die Meldung enthält, soweit bekannt, die Angaben nach Art. 33 Abs. 3 DSGVO. Informationen, die noch nicht vorliegen, werden unverzüglich nachgereicht. Der Auftragsverarbeiter ergreift unverzüglich die erforderlichen Maßnahmen zur Eindämmung und dokumentiert den Vorfall.
4. Für Unterstützungsleistungen, die über die in der Software bereitgestellten Funktionen hinausgehen und nicht durch ein Fehlverhalten des Auftragsverarbeiters veranlasst sind, kann der Auftragsverarbeiter eine angemessene Vergütung nach Aufwand verlangen.

§ 10 Löschung und Rückgabe nach Vertragsende

1. Nach Beendigung des Hauptvertrages stellt der Auftragsverarbeiter dem Verantwortlichen auf dessen Anforderung, die innerhalb von 30 Tagen nach Vertragsende erfolgen muss, die gespeicherten Daten in einem gängigen, maschinenlesbaren Format (z. B. CSV, PDF) zum Export bereit.
2. Nach Ablauf dieser Frist löscht der Auftragsverarbeiter alle personenbezogenen Daten des Verantwortlichen, sofern nicht nach dem Unionsrecht oder dem Recht der Mitgliedstaaten eine Verpflichtung zur Speicherung besteht (Art. 28 Abs. 3 lit. g DSGVO). Datensicherungen (Backups) werden nicht gezielt bearbeitet, sondern im Rahmen der regulären Rotation überschrieben; bis dahin bleiben sie durch die Maßnahmen nach Anlage 2 geschützt und werden nicht produktiv genutzt.
3. Die Löschung wird auf Anforderung in Textform bestätigt.

§ 11 Nachweise und Kontrollen

1. Der Auftragsverarbeiter stellt dem Verantwortlichen alle erforderlichen Informationen zum Nachweis der Einhaltung der Pflichten aus Art. 28 DSGVO zur Verfügung (Art. 28 Abs. 3 lit. h DSGVO). Der Nachweis kann insbesondere durch aktuelle Dokumentationen der technischen und organisatorischen Maßnahmen, Selbstauskünfte oder Zertifikate der Unterauftragsverarbeiter (z. B. ISO 27001 des Rechenzentrumsbetreibers) erbracht werden.
2. Der Verantwortliche ist berechtigt, sich nach vorheriger Anmeldung mit einer Frist von mindestens 14 Tagen während der üblichen Geschäftszeiten von der Einhaltung dieses Vertrages zu überzeugen, in der Regel nicht öfter als einmal im Kalenderjahr, sofern kein konkreter Anlass besteht. Kontrollen dürfen den Betriebsablauf nicht unverhältnismäßig stören und die Vertraulichkeit der Daten anderer Kunden nicht gefährden. Mit der Kontrolle beauftragte Dritte müssen zur Verschwiegenheit verpflichtet sein und dürfen nicht in einem Wettbewerbsverhältnis zum Auftragsverarbeiter stehen.
3. Der Auftragsverarbeiter kann für Vor-Ort-Kontrollen einen angemessenen Kostenersatz verlangen, es sei denn, die Kontrolle ergibt einen erheblichen Verstoß gegen diesen Vertrag.

§ 12 Haftung

1. Für die Haftung gegenüber betroffenen Personen gilt Art. 82 DSGVO.
2. Im Innenverhältnis gelten die Haftungsregelungen des Hauptvertrages, soweit Art. 82 DSGVO nicht zwingend etwas anderes bestimmt.

§ 13 Schlussbestimmungen

1. Dieser Vertrag wird in elektronischem Format geschlossen (Art. 28 Abs. 9 DSGVO). Er wird wirksam mit dem Abschluss des Hauptvertrages, insbesondere durch Bestellung im Online-Shop oder durch Freischaltung des Zugangs, und steht dem Verantwortlichen jederzeit zum Abruf und Download zur Verfügung.
2. Änderungen und Ergänzungen bedürfen der Textform. Für Änderungen durch den Auftragsverarbeiter gilt § 17 der AGB entsprechend; § 7 Abs. 2 dieses Vertrages bleibt unberührt.
3. Sollten einzelne Bestimmungen unwirksam sein, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt. Es gilt das Recht der Bundesrepublik Deutschland. Gerichtsstand ist der Sitz des Auftragsverarbeiters, soweit gesetzlich zulässig.

Anlage 1: Gegenstand der Verarbeitung

Art und Zweck der Verarbeitung

Bereitstellung, Betrieb, Wartung und Support der Software AgriPlaner als Software-as-a-Service, insbesondere:

• Speicherung und Verarbeitung der vom Verantwortlichen und seinen Nutzern eingegebenen Daten (Hosting)
• Auftragserfassung und Disposition (Aufträge, Beladungen, Flächen, Fotos, Formulare, Unterschriften)
• Arbeitszeiterfassung einschließlich optionaler standortbasierter Prüfung beim Starten und Beenden (Geofencing; die Prüfung erfolgt auf dem Gerät, der Standort wird nicht übertragen)
• Finanzsystem: Rechnungen, E-Rechnungen, Lieferscheine, Angebote, Ausgaben, Export für den Steuerberater
• KI-gestützte Digitalisierung hochgeladener Tankbelege und Eingangsrechnungen
• Darstellung von Fahrzeugpositionen, Feldern und Routen (Livemap, Navigation), Ortung mit AgriPlaner GPS
• Winterdienst: Touren, Objekte, Protokolle und Fotos sowie Aufzeichnung des Fahrtverlaufs während einer gestarteten Tour als Leistungsnachweis
• Betriebsfunk AgriTalk (Live-Sprachübertragung ohne Aufzeichnung) und Push-Benachrichtigungen
• E-Mail-Funktionen (Versand von Dokumenten, integriertes Postfach, sofern genutzt)
• Datensicherung, Wartung, Fehleranalyse und Support, auch mit Unterstützung durch den KI-Assistenten Claude Code (Anlage 3)

Kategorien betroffener Personen

• Beschäftigte, Auszubildende und Aushilfen des Verantwortlichen (Fahrer, Disponenten, Büro, Werkstatt)
• Subunternehmer des Verantwortlichen und deren Mitarbeiter
• Kunden und Auftraggeber des Verantwortlichen sowie deren Ansprechpartner
• Lieferanten und Geschäftspartner des Verantwortlichen (z. B. aus Eingangsrechnungen)
• Sonstige Personen, deren Daten der Verantwortliche eingibt oder hochlädt (z. B. auf Fotos oder Belegen)

Arten personenbezogener Daten

• Stammdaten von Beschäftigten: Name, Kontaktdaten, Zugangs-PIN (gehasht), Qualifikationen, Stundensätze, Geburtstage (sofern im Kalender gepflegt), Pausen- und Arbeitszeitmodelle
• Arbeitszeit- und Leistungsdaten: Beginn, Ende, Pausen, Stundenkonto, zugeordnete Aufträge, Tätigkeiten
• Standortdaten: GPS-Positionen von Fahrzeugen und Maschinen (Echtzeit und Verlauf), Fahrtverlauf des Mitarbeitergeräts während gestarteter Winterdienst-Touren, Navigationsziele
• Kunden- und Auftragsdaten: Name, Firma, Anschrift, Kontaktdaten, Kundennummer, Aufträge, Mengen, Flächen und Feldgrenzen, Notizen, Termine
• Finanzdaten: Rechnungen, Zahlungsstatus, Bankverbindung (verschlüsselt gespeichert), Steuer-/USt-Identifikationsnummern, Belege und Eingangsrechnungen
• Inhalts- und Mediendaten: Fotos, Dokumente, Fahrzeugdokumente (z. B. Zulassungsbescheinigungen), Unterschriften, E-Mails im integrierten Postfach
• Technische Daten: Benutzerkennungen, Geräte-IDs, Push-Tokens, IP-Adressen, Anmelde- und Nutzungsprotokolle

Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO) sind nicht Gegenstand der Verarbeitung. Der Verantwortliche stellt sicher, dass solche Daten nicht in die Software eingegeben werden.

Anlage 2: Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

Stand: 28. September 2026

1. Vertraulichkeit

Zutrittskontrolle. Der Betrieb erfolgt ausschließlich in Rechenzentren der Hetzner Online GmbH in Deutschland, zertifiziert nach ISO/IEC 27001. Zutritt nur für berechtigtes Personal des Rechenzentrumsbetreibers, elektronische Zutrittskontrolle, Videoüberwachung, Sicherheitspersonal. Beim Auftragsverarbeiter werden keine Kundendaten auf lokalen Servern gespeichert.

Zugangskontrolle. Administrativer Serverzugang ausschließlich per SSH mit Schlüsselauthentifizierung, Passwort-Anmeldung deaktiviert. Automatische Sperrung von IP-Adressen nach wiederholten Fehlversuchen (fail2ban). Passwörter werden ausschließlich als Hash (bcrypt bzw. Argon2id) gespeichert. Zwei-Faktor-Authentifizierung für den internen Verwaltungszugang verpflichtend, für Kundenzugänge verfügbar. Sitzungen laufen nach Inaktivität ab. Zugang der Fahrer-App per persönlicher PIN.

Zugriffskontrolle. Mandantentrennung: Jeder Kunde sieht ausschließlich seine eigenen Daten; alle Datenbankzugriffe sind an die Mandantenkennung gebunden. Rollenkonzept (Administrator, Mitarbeiter, Subunternehmer). Datenbankzugangsdaten sind nur für die Anwendung lesbar. Getrennte Systembenutzer und PHP-Prozesse für einzelne Anwendungen (z. B. Online-Shop). Zugriffe von Mitarbeitern des Auftragsverarbeiters auf Kundendaten nur zu Betrieb, Wartung und Support. KI-Assistenten für die Wartung werden nur in Sitzungen eingesetzt, die ein Administrator startet und beaufsichtigt.

Trennungskontrolle. Logische Trennung der Mandanten. Die Entwicklung erfolgt auf einem getrennten System ausschließlich mit synthetischen Testdaten, nicht mit Kundendaten. Funktionstests im Produktivsystem erfolgen mit eigenen Demo-Betrieben, die nur fiktive Daten enthalten.

Verschlüsselung und Pseudonymisierung. Sämtliche Übertragungen über HTTPS/TLS (HSTS). Bankverbindungen und Steuernummern werden zusätzlich feldweise mit AES-256-GCM verschlüsselt gespeichert. E-Mail-Versand über TLS mit DKIM-Signatur. Tokens für Passwort-Reset und Bestätigungen werden nur als Hash gespeichert.

2. Integrität

Weitergabekontrolle. Übermittlungen an Unterauftragsverarbeiter nur verschlüsselt (TLS) und nur im für die jeweilige Funktion erforderlichen Umfang (Anlage 3). Zugangslinks für AgriTalk sind personalisiert und durch Zugriffstoken geschützt.

Eingabekontrolle. Protokollierung von Änderungen an Kundenstammdaten (Anlegen, Ändern, Deaktivieren, Anonymisieren, Exporte) in einem Audit-Log. Protokollierung der Anmeldungen am Verwaltungszugang. Server-, E-Mail- und Sicherheitsprotokolle werden nach 14 Tagen gelöscht, Fehlerprotokolle nach höchstens 30 Tagen.

3. Verfügbarkeit und Belastbarkeit

• Tägliche vollständige Sicherung der Server durch den Rechenzentrumsbetreiber
• Redundante Strom- und Netzanbindung, Klimatisierung und Brandschutz im Rechenzentrum
• Schutz vor Überlastung und Missbrauch durch Anfragebegrenzung (Rate-Limiting) und Firewall-Regeln
• Wiederherstellung aus Sicherungen im Störungsfall; die App speichert erfasste Daten bei fehlender Verbindung lokal zwischen und überträgt sie nachträglich

4. Verfahren zur regelmäßigen Überprüfung

• Regelmäßige Sicherheits- und Datenschutzprüfungen der Anwendung (zuletzt umfassender DSGVO- und SQL-Injection-Audit im September 2026)
• Dokumentierter Prozess zur Behandlung von Sicherheitsvorfällen einschließlich Meldung an Verantwortliche
• Einspielen von Sicherheitsupdates für Betriebssystem und Software nach Bekanntwerden
• Datenschutzfreundliche Voreinstellungen: automatische Löschung von GPS-Positionsdaten nach 6 Monaten, Anonymisierungsfunktion für Kundendaten, Löschung abgelaufener Tokens und Sicherheitsprotokolle

5. Auftragskontrolle

• Einsatz von Unterauftragsverarbeitern nur mit Vertrag nach Art. 28 DSGVO bzw. Standardvertragsklauseln
• Verpflichtung aller mit der Verarbeitung befassten Personen auf Vertraulichkeit
• Weisungen des Verantwortlichen werden dokumentiert

Anlage 3: Unterauftragsverarbeiter

Selbst betrieben und nicht an Dritte ausgelagert sind: die Datenbanken der Software, der GPS-Server, der E-Mail-Server und der Sprachserver für AgriTalk (jeweils bei Hetzner in Deutschland).

Keine Unterauftragsverarbeiter im Sinne dieses Vertrages sind die in § 7 Abs. 4 und 5 genannten Dienste (1NCE als Telekommunikationsanbieter, OpenPLZ-API und Nominatim ohne Übermittlung von Nutzerkennungen, Google Maps in eigener Verantwortung von Google).