Vertrag zur Auftragsverarbeitung (AVV)

gemäß Art. 28 DSGVO · Stand: 13.10.2026 · Version 1

Dieser Vertrag wird von der Feuerwehr bzw. dem Verein in der App unter Verwaltung → Einstellungen → Auftragsverarbeitungsvertrag digital abgeschlossen. Gespeichert werden Version, Zeitpunkt und die bestätigende Person.

§ 1 Vertragsparteien

Verantwortlicher („Auftraggeber“): die Feuerwehr bzw. der Verein, der die Plattform als Mandant nutzt, vertreten durch die in der App bestätigende, vertretungsberechtigte Person.

Auftragsverarbeiter („Auftragnehmer“): Niklas Jokisch, Im Blumengarten 11, 63579 Freigericht, Deutschland, Betreiber der Plattform „Feuerwehr-Planer“.

§ 2 Gegenstand und Dauer

Der Auftragnehmer stellt dem Auftraggeber die Plattform Feuerwehr-Planer (Web-App und App) zur Organisation seiner Mitglieder und Abläufe bereit und verarbeitet dabei personenbezogene Daten im Auftrag. Der Vertrag gilt für die Dauer der Nutzung der Plattform und endet mit deren Beendigung; Pflichten zur Löschung und Rückgabe (§ 10) bleiben bestehen.

§ 3 Art, Zweck und Umfang der Verarbeitung

Art und Zweck	Speicherung, Anzeige, Auswertung, Übermittlung an Benutzer des Auftraggebers und Löschung von Daten zur Organisation der Feuerwehr bzw. des Vereins – je nach gebuchten Funktionen: Mitglieder- und Rollenverwaltung, Thekenabrechnung, Meldungen, Termine und Rückmeldungen, Anwesenheit, Dienstpläne, Formulare und Mängel, Fahrzeuge und Geräte, Verfügbarkeit/Status und Monitor, Mitgliedsbestätigungen, QR-Codes, Benachrichtigungen per App und E-Mail, Datensicherung.
Arten von Daten	Stammdaten (Name, Anzeigename, E-Mail, Mobilnummer, Profilbild, optional Geburts- und Eintrittsdatum, dienstliche Kontaktdaten), Zugehörigkeiten (Gruppen, Rollen, Qualifikationen), Konto- und Anmeldedaten (Geräte, Anmeldeprotokoll, IP-Adressen), Buchungs- und Saldodaten, Inhalte und Rückmeldungen, Einsatzstatus und Abwesenheiten, Formulareingaben und Anhänge, digitale Unterschriften (nur nach Freigabe), Protokolldaten.
Betroffene	Mitglieder, Gäste und sonstige Personen, die der Auftraggeber in der Plattform führt, sowie Benutzer seiner Konten.
Ort	Die Verarbeitung erfolgt ausschließlich in der Europäischen Union (Rechenzentrum in Deutschland). Eine Verlagerung in ein Drittland erfolgt nur nach vorheriger Zustimmung des Auftraggebers und bei Vorliegen der Voraussetzungen der Art. 44 ff. DSGVO.

§ 4 Weisungen des Auftraggebers

Der Auftragnehmer verarbeitet die Daten nur auf dokumentierte Weisung des Auftraggebers. Als Weisung gelten insbesondere die Einstellungen und Aktionen, die der Auftraggeber in der Plattform vornimmt (z. B. Löschfristen, Löschen, Anonymisieren, Rechtevergabe). Weitere Weisungen erteilt der Auftraggeber in Textform. Hält der Auftragnehmer eine Weisung für rechtswidrig, weist er den Auftraggeber unverzüglich darauf hin. Eine Verarbeitung zu eigenen Zwecken des Auftragnehmers findet nicht statt, ausgenommen gesetzliche Pflichten (Art. 28 Abs. 3 lit. a DSGVO).

§ 5 Vertraulichkeit

Der Auftragnehmer gewährleistet, dass alle Personen, die Zugang zu den Daten haben, zur Vertraulichkeit verpflichtet sind oder einer gesetzlichen Verschwiegenheitspflicht unterliegen.

§ 6 Technische und organisatorische Maßnahmen

Der Auftragnehmer trifft die in Anlage 1 beschriebenen Maßnahmen nach Art. 32 DSGVO und passt sie dem Stand der Technik an. Änderungen dürfen das Schutzniveau nicht unterschreiten.

§ 7 Unterauftragsverarbeiter

Der Auftraggeber genehmigt die in Anlage 2 genannten Unterauftragsverarbeiter. Über beabsichtigte Änderungen informiert der Auftragnehmer den Auftraggeber vorab, z. B. in der App oder per E-Mail; der Auftraggeber kann innerhalb von 14 Tagen aus wichtigem datenschutzrechtlichem Grund widersprechen. Der Auftragnehmer verpflichtet Unterauftragsverarbeiter vertraglich auf gleichwertige Datenschutzpflichten. Nutzt der Auftraggeber einen eigenen E-Mail-Anbieter („abweichender Provider“), ist dieser vom Auftraggeber selbst beauftragt.

§ 8 Unterstützung des Auftraggebers

Betroffenenrechte: Die Plattform stellt Funktionen für Auskunft (Datenauskunft), Berichtigung, Löschung, Anonymisierung und Export bereit. Darüber hinaus unterstützt der Auftragnehmer den Auftraggeber im zumutbaren Umfang. Anfragen Betroffener, die beim Auftragnehmer eingehen, leitet er an den Auftraggeber weiter.
Sicherheit, Meldepflichten, Folgenabschätzung: Der Auftragnehmer unterstützt den Auftraggeber bei den Pflichten nach Art. 32 bis 36 DSGVO.

§ 9 Meldung von Datenschutzverletzungen

Der Auftragnehmer meldet dem Auftraggeber eine Verletzung des Schutzes personenbezogener Daten unverzüglich, möglichst innerhalb von 24 Stunden nach Kenntnis, an die hinterlegte Kontaktperson des Mandanten und teilt die nach Art. 33 Abs. 3 DSGVO erforderlichen Informationen mit, soweit bekannt. Die Meldung an die Aufsichtsbehörde und die Benachrichtigung Betroffener obliegen dem Auftraggeber.

§ 10 Löschung und Rückgabe

Nach Ende der Nutzung stellt der Auftragnehmer dem Auftraggeber auf Wunsch einen Export der Daten zur Verfügung und löscht die Daten anschließend, spätestens 90 Tage nach Vertragsende, soweit keine gesetzliche Pflicht zur Aufbewahrung besteht. Daten in Datensicherungen werden mit deren Ablauf gelöscht. Während der Nutzung gelten die vom Auftraggeber festgelegten Löschfristen.

§ 11 Nachweise und Kontrollen

Der Auftragnehmer stellt dem Auftraggeber die zum Nachweis der Pflichten erforderlichen Informationen zur Verfügung (insbesondere diese Vereinbarung mit Anlagen und Auskünfte zu den Maßnahmen). Überprüfungen durch den Auftraggeber oder einen von ihm beauftragten Prüfer sind nach angemessener Vorankündigung möglich und erfolgen vorrangig durch schriftliche Auskunft.

§ 12 Haftung

Für die Haftung gilt Art. 82 DSGVO. Im Übrigen gelten die Haftungsregeln der Nutzungsbedingungen.

§ 13 Schlussbestimmungen

Es gilt deutsches Recht. Bei Widersprüchen zwischen diesem Vertrag und den Nutzungsbedingungen geht dieser Vertrag für den Datenschutz vor. Änderungen dieses Vertrags werden als neue Version veröffentlicht und sind vom Auftraggeber erneut zu bestätigen. Sollte eine Bestimmung unwirksam sein, bleibt die Wirksamkeit der übrigen unberührt.

Anlage 1 – Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

Bereich	Maßnahmen
Zutrittskontrolle	Betrieb auf einem Server im Rechenzentrum von IONOS in Deutschland (zertifiziertes Rechenzentrum mit Zutrittskontrolle durch den Anbieter); kein eigener physischer Zugang.
Zugangskontrolle	Server-Zugang nur per SSH-Schlüssel, kein Root- oder Passwort-Login; Firewall mit wenigen offenen Ports; automatische Sperre nach Fehlversuchen; automatische Sicherheitsupdates.
Zugriffskontrolle	Rollen- und Rechtekonzept je Mandant; strikte Trennung der Mandanten; Passwörter nur als Hash; Kontosperre nach Fehlversuchen; Sitzungen sicht- und beendbar; Verwaltungsoberflächen nur intern erreichbar.
Trennungskontrolle	Logische Trennung aller Daten nach Mandant auf Datenbankebene; automatische Tests zur Mandantentrennung.
Weitergabekontrolle	Übertragung ausschließlich verschlüsselt (HTTPS/TLS); Datenbank nicht aus dem Internet erreichbar; signierte, zeitlich begrenzte Download-Links.
Eingabekontrolle	Protokollierung sicherheits- und kassenrelevanter Aktionen (wer, wann, was) sowie von Anmeldungen.
Verfügbarkeit	Tägliche, verschlüsselte Datensicherung mit dokumentiertem Wiederherstellungsverfahren; automatischer Neustart der Dienste nach Störungen.
Verschlüsselung	TLS für alle Verbindungen; Verschlüsselung von Unterschriften, Mailserver-Zugangsdaten und Datensicherungen.
Datenschutz durch Voreinstellungen	Löschfristen je Datenart; keine Analyse- oder Werbedienste; Standortprüfung (Geofence) nur auf dem Gerät; Unterschriften nur nach Freigabe je Zweck.
Überprüfung	Regelmäßige Sicherheitsprüfungen bei neuen Funktionen; Aktualisierung von Abhängigkeiten.

Anlage 2 – Unterauftragsverarbeiter

Unternehmen	Leistung	Ort
IONOS SE, Elgendorfer Str. 57, 56410 Montabaur	Server-Hosting, Domain, E-Mail-Versand	Deutschland