Vertrag über die Auftragsverarbeitung (Art. 28 DSGVO)

1. Parteien und Gegenstand

1.1 Verantwortlicher ist der Anwender (nachfolgend „Auftraggeber“), Auftragsverarbeiter ist die iBeekeeper UG (haftungsbeschränkt), Lessingstraße 4, 15345 Altlandsberg, Deutschland (nachfolgend „iBeekeeper“).

1.2 iBeekeeper verarbeitet personenbezogene Daten im Auftrag des Auftraggebers, soweit dieser sie im Rahmen des Nutzungsvertrages (AGB) im Dienst speichert. Dauer: Laufzeit des Nutzungsvertrages zuzüglich der Fristen nach Ziffer 9.

2. Art, Zweck und Umfang

3. Weisungen

iBeekeeper verarbeitet die Daten nur auf dokumentierte Weisung des Auftraggebers. Die Weisungen sind abschließend im Nutzungsvertrag und in den Einstellungen und Funktionen des Dienstes festgelegt, die der Auftraggeber nutzt. Weitere Weisungen erteilt er in Textform an service@ibeekeeper.de. Hält iBeekeeper eine Weisung für rechtswidrig, weist iBeekeeper den Auftraggeber unverzüglich darauf hin (Art. 28 Abs. 3 Satz 3 DSGVO).

4. Vertraulichkeit

iBeekeeper setzt nur Personen ein, die zur Vertraulichkeit verpflichtet sind oder einer gesetzlichen Verschwiegenheitspflicht unterliegen.

5. Technische und organisatorische Maßnahmen

iBeekeeper trifft die Maßnahmen nach Art. 32 DSGVO, die in Anlage 1 beschrieben sind, und passt sie dem Stand der Technik an, ohne das Schutzniveau zu senken.

6. Unterauftragsverarbeiter

6.1 Der Auftraggeber genehmigt die in Anlage 2 genannten Unterauftragsverarbeiter.

6.2 iBeekeeper informiert den Auftraggeber mindestens 30 Tage vorher in Textform über jede beabsichtigte Hinzuziehung oder Ersetzung. Der Auftraggeber kann innerhalb dieser Frist aus wichtigem datenschutzrechtlichen Grund widersprechen. Können sich die Parteien nicht einigen, kann der Auftraggeber den Nutzungsvertrag zum Zeitpunkt der Änderung kündigen.

6.3 iBeekeeper erlegt jedem Unterauftragsverarbeiter vertraglich dieselben Datenschutzpflichten auf.

7. Unterstützung des Auftraggebers

iBeekeeper unterstützt den Auftraggeber mit geeigneten Maßnahmen bei der Beantwortung von Anträgen Betroffener (Art. 12 bis 22 DSGVO), insbesondere durch die Export-, Änderungs- und Löschfunktionen des Dienstes, sowie bei den Pflichten nach Art. 32 bis 36 DSGVO. Wendet sich ein Betroffener unmittelbar an iBeekeeper, leitet iBeekeeper die Anfrage an den Auftraggeber weiter.

8. Verletzungen des Schutzes personenbezogener Daten

iBeekeeper meldet dem Auftraggeber eine Verletzung des Schutzes der Auftragsdaten unverzüglich, möglichst innerhalb von 48 Stunden nach Kenntnis, mit den Angaben nach Art. 33 Abs. 3 DSGVO, soweit bekannt.

9. Löschung und Rückgabe

Der Auftraggeber kann die Daten jederzeit selbst exportieren und löschen. Nach Ende des Nutzungsvertrages bzw. nach Löschung des Kontos löscht iBeekeeper die Auftragsdaten nach den Fristen der AGB (Ziffer 9.7), soweit keine gesetzliche Pflicht zur Speicherung besteht. Tägliche Sicherungen werden nach 30 Tagen gelöscht, je Kalendermonat ein Stand nach 12 Monaten. Sicherungen sind verschlüsselt und werden nur zur Wiederherstellung verwendet; nach einer Wiederherstellung werden zwischenzeitlich gelöschte Daten erneut gelöscht.

10. Nachweise und Kontrollen

iBeekeeper stellt dem Auftraggeber auf Anfrage die Informationen zur Verfügung, die zum Nachweis der Einhaltung dieser Pflichten nötig sind, und ermöglicht Überprüfungen durch den Auftraggeber oder einen von ihm beauftragten, zur Verschwiegenheit verpflichteten Prüfer nach Anmeldung mit angemessener Frist während der Geschäftszeiten. Vorrangig erfolgt der Nachweis durch Unterlagen und Auskünfte.

11. Haftung und Schlussbestimmungen

Für die Haftung gilt Art. 82 DSGVO; im Übrigen gelten die AGB. Bei Widersprüchen geht dieser Vertrag den AGB vor, soweit es um den Schutz personenbezogener Daten geht.

Anlage 1: Technische und organisatorische Maßnahmen

• Zutritt und physische Sicherheit: Server ausschließlich in Rechenzentren von OVHcloud, Vertragspartner OVH GmbH, Köln; Zutrittskontrolle durch OVHcloud nach deren Auftragsverarbeitungsvertrag (Version vom 17.10.2025).
• Zugang: Anmeldung mit Passwort, Passwörter nur als Hash gespeichert; Administratorzugang zu den Servern nur per SSH-Schlüssel.
• Zugriff: Rechte im Dienst je Konto, Freigaben nur durch den Anwender; Verwaltungszugriffe werden protokolliert (Admin-App, Protokoll der Kundenaktionen).
• Weitergabe: Transportverschlüsselung TLS für alle Verbindungen; Fotos ohne Metadaten.
• Eingabekontrolle: Änderungsjournal für Kassenbuch und Ausgangsrechnungen, unveränderbare Ablage mit Prüfsumme.
• Verfügbarkeit: tägliche Sicherung der Datenbank und Medien auf getrennten Speicher (Objektspeicher von OVHcloud in Deutschland); tägliche Sicherungen werden nach 30 Tagen gelöscht, je Kalendermonat ein Stand nach 12 Monaten; die Sicherungen sind verschlüsselt und werden nur zur Wiederherstellung verwendet; die Wiederherstellung wird mindestens einmal im Jahr geprobt und das Ergebnis dokumentiert.
• Trennung: mandantenfähige Datenhaltung, Abfragen je Konto.
• Überprüfung: Sicherheitsaktualisierungen der Server und Abhängigkeiten, Prüfung der Maßnahmen jährlich.

Anlage 2: Unterauftragsverarbeiter

Die OVH GmbH setzt ihrerseits Gesellschaften der OVHcloud-Gruppe ein, für Betreuung und Wartung auch die OVH Hébergement Inc. (Kanada) und die OVH Limited (Vereinigtes Königreich); die aktuelle Liste steht unter https://contract.eu.ovhapis.com/1.0/pdf/OVH_Sub_processors-de.pdf.

Nicht Unterauftragsverarbeiter: Mollie, Apple und Google (Zahlung bzw. Zustellung im eigenen Verhältnis zum Anwender, keine Auftragsdaten).