Auftragsverarbeitungsvertrag

Stand: 02.10.2026

Auftragsverarbeitungsvertrag nach Art. 28 DSGVO. Anlage 1 zu den Allgemeinen Geschäftsbedingungen der Bollin Consulting GmbH (§ 12 Abs. 10 und 11).

§ 1 Vertragsparteien und Gegenstand

(1) Dieser Vertrag gilt zwischen der Organisation, die mit der Bollin Consulting GmbH einen Vertrag über die Nutzung eines Software- und Lizenzprodukts geschlossen hat (im Folgenden „Auftraggeber“), und der Bollin Consulting GmbH, Sebaldstraße 23, 73525 Schwäbisch Gmünd (im Folgenden „Auftragnehmer“). Der Auftraggeber ist Verantwortlicher im Sinne des Art. 4 Nr. 7 DSGVO, der Auftragnehmer ist Auftragsverarbeiter im Sinne des Art. 4 Nr. 8 DSGVO.

(2) Gegenstand dieses Vertrages ist die Verarbeitung personenbezogener Daten durch den Auftragnehmer im Auftrag des Auftraggebers bei der Bereitstellung und dem Betrieb der Software nach dem zugrunde liegenden Lizenzvertrag (im Folgenden „Hauptvertrag“). Art, Zweck und Umfang der Verarbeitung, die Art der Daten und die Kategorien betroffener Personen ergeben sich aus Anlage A.

(3) Der Vertrag wird mit dem Hauptvertrag geschlossen, im kostenlosen Tarif mit dem Anlegen der Organisation in der App oder mit der nachträglichen Zustimmung eines Administrators oder Kommandanten in der App. Er läuft, solange der Auftragnehmer personenbezogene Daten im Auftrag des Auftraggebers verarbeitet, also bis zum Ablauf der Löschfrist nach § 9.

(4) Der Vertrag wird in elektronischer Form geschlossen (Art. 28 Abs. 9 DSGVO). Auf Wunsch erhält der Auftraggeber zusätzlich eine unterzeichnete Fassung.

§ 2 Weisungen

(1) Der Auftragnehmer verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Auftraggebers, auch in Bezug auf die Übermittlung in ein Drittland, es sei denn, er ist durch das Recht der Union oder eines Mitgliedstaats hierzu verpflichtet. In einem solchen Fall teilt der Auftragnehmer dem Auftraggeber diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht eine solche Mitteilung nicht verbietet.

(2) Die Weisungen sind abschließend im Hauptvertrag, in diesem Vertrag und in der bestimmungsgemäßen Nutzung der Software durch den Auftraggeber festgelegt, insbesondere durch Eingaben und Einstellungen seiner Administratoren. Weitere Weisungen erteilt der Auftraggeber in Textform an info@bos-akademie.de.

(3) Weisungsberechtigt sind die im Bestellvorgang benannte administrative Ansprechperson sowie die Administratoren der Organisation in der Software. Der Auftraggeber teilt Änderungen der Ansprechperson unverzüglich mit.

(4) Ist der Auftragnehmer der Ansicht, dass eine Weisung gegen datenschutzrechtliche Vorschriften verstößt, weist er den Auftraggeber unverzüglich darauf hin. Er ist berechtigt, die Durchführung der Weisung so lange auszusetzen, bis der Auftraggeber sie bestätigt oder ändert.

§ 3 Vertraulichkeit

Der Auftragnehmer gewährleistet, dass sich alle Personen, die zur Verarbeitung der personenbezogenen Daten befugt sind, zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen. Zugriff auf die Daten erhalten nur Personen, die ihn für die Erbringung der Leistung benötigen.

§ 4 Technische und organisatorische Maßnahmen

(1) Der Auftragnehmer trifft die nach Art. 32 DSGVO erforderlichen technischen und organisatorischen Maßnahmen. Die zum Vertragsschluss geltenden Maßnahmen sind in Anlage B beschrieben.

(2) Die Maßnahmen unterliegen dem technischen Fortschritt. Der Auftragnehmer darf sie anpassen, sofern das Schutzniveau der in Anlage B beschriebenen Maßnahmen nicht unterschritten wird. Wesentliche Änderungen dokumentiert er.

§ 5 Unterauftragsverarbeiter

(1) Der Auftraggeber erteilt dem Auftragnehmer die allgemeine Genehmigung, weitere Auftragsverarbeiter (Unterauftragsverarbeiter) einzusetzen. Die bei Vertragsschluss eingesetzten Unterauftragsverarbeiter sind in Anlage C aufgeführt und gelten als genehmigt.

(2) Der Auftragnehmer informiert den Auftraggeber mindestens vier Wochen vor der Hinzuziehung oder dem Austausch eines Unterauftragsverarbeiters in Textform, in der Regel per E-Mail an die administrative Ansprechperson. Der Auftraggeber kann der Änderung innerhalb dieser Frist aus wichtigem datenschutzrechtlichem Grund in Textform widersprechen. Können sich die Parteien nicht einigen, kann der Auftraggeber den Hauptvertrag zum Zeitpunkt des Wirksamwerdens der Änderung kündigen.

(3) Der Auftragnehmer erlegt jedem Unterauftragsverarbeiter vertraglich im Wesentlichen dieselben Datenschutzpflichten auf, die in diesem Vertrag festgelegt sind. Kommt ein Unterauftragsverarbeiter seinen Pflichten nicht nach, haftet der Auftragnehmer gegenüber dem Auftraggeber nach Art. 28 Abs. 4 DSGVO.

(4) Nicht als Unterauftragsverarbeitung gelten Nebenleistungen, die der Auftragnehmer bei Dritten in Anspruch nimmt, etwa Telekommunikations- und Postdienste sowie die Zustellung von Push-Benachrichtigungen durch die Betreiber der Geräteplattformen.

§ 6 Übermittlung in Drittländer

Eine Verarbeitung außerhalb der Europäischen Union oder des Europäischen Wirtschaftsraums erfolgt nur, wenn die Voraussetzungen der Art. 44 bis 49 DSGVO erfüllt sind. Die zum Vertragsschluss bestehenden Übermittlungen und die jeweiligen Garantien sind in Anlage C angegeben.

§ 7 Unterstützung bei Betroffenenrechten

(1) Der Auftragnehmer unterstützt den Auftraggeber mit geeigneten technischen und organisatorischen Maßnahmen dabei, Anträge betroffener Personen nach Kapitel III DSGVO zu beantworten. Die Software ermöglicht den Administratoren des Auftraggebers, Daten von Mitgliedern einzusehen, zu berichtigen und zu löschen.

(2) Wendet sich eine betroffene Person unmittelbar an den Auftragnehmer, leitet er das Anliegen unverzüglich an den Auftraggeber weiter. Er beantwortet es nicht selbst, es sei denn, der Auftraggeber weist ihn dazu an.

§ 8 Weitere Unterstützungspflichten und Datenschutzverletzungen

(1) Der Auftragnehmer unterstützt den Auftraggeber unter Berücksichtigung der Art der Verarbeitung und der ihm zur Verfügung stehenden Informationen bei der Einhaltung der Pflichten aus Art. 32 bis 36 DSGVO, insbesondere bei einer Datenschutz-Folgenabschätzung und einer vorherigen Konsultation der Aufsichtsbehörde.

(2) Der Auftragnehmer meldet dem Auftraggeber eine Verletzung des Schutzes personenbezogener Daten unverzüglich, nach Möglichkeit innerhalb von 24 Stunden nachdem sie ihm bekannt geworden ist. Die Meldung enthält, soweit bekannt, die Angaben nach Art. 33 Abs. 3 DSGVO. Angaben, die noch nicht vorliegen, reicht er nach. Der Auftragnehmer ergreift unverzüglich die erforderlichen Maßnahmen, um die Verletzung zu beheben und mögliche nachteilige Folgen zu mindern.

(3) Ansprechstelle des Auftragnehmers für Datenschutzfragen und Meldungen ist info@bos-akademie.de, Telefon 07171 99 810 31.

§ 9 Löschung und Rückgabe nach Vertragsende

(1) Nach Ende des Hauptvertrages bewahrt der Auftragnehmer die Daten des Auftraggebers 90 Tage auf. Innerhalb dieser Frist kann der Auftraggeber die Herausgabe seiner Daten in einem gängigen Format verlangen. Nach Ablauf der Frist löscht der Auftragnehmer die Daten aus den aktiven Systemen, sofern nicht nach dem Recht der Union oder eines Mitgliedstaats eine Pflicht zur Speicherung besteht. Auf Weisung des Auftraggebers löscht er die Daten früher. Die Löschung der Organisation in der App durch einen Administrator oder Kommandanten gilt als solche Weisung. In diesem Fall wird die Organisation sofort gesperrt und nach 30 Tagen gelöscht, sofern die Löschung nicht vorher in der App zurückgenommen wird. Hat die Organisation nur ein Mitglied und läuft weder eine bezahlte Lizenz noch eine Testversion, erfolgt die Löschung sofort. Meldet sich im kostenlosen Tarif oder nach dem Ende einer Testversion zwölf Monate lang kein Mitglied der Organisation in der App an, löscht der Auftragnehmer die Daten ohne vorherige Ankündigung. Die Aufbewahrung von 90 Tagen entfällt in diesen Fällen.

(2) Daten in Sicherungskopien werden mit dem automatischen Ablauf der Sicherungen gelöscht. Sicherungen der Datenbank laufen spätestens nach acht Wochen ab, frühere Versionen und der Papierkorb des Datei-Speichers spätestens nach 37 Tagen. Bis dahin werden diese Daten nur zur Wiederherstellung nach einem Datenverlust verwendet. Anmeldedaten entfernt der Unterauftragsverarbeiter nach der Löschung des Kontos innerhalb von höchstens 180 Tagen aus seinen aktiven Systemen und Sicherungen.

(3) Auf Anfrage bestätigt der Auftragnehmer die Löschung in Textform.

§ 10 Nachweise und Kontrollen

(1) Der Auftragnehmer stellt dem Auftraggeber alle erforderlichen Informationen zum Nachweis der Einhaltung der Pflichten aus Art. 28 DSGVO und diesem Vertrag zur Verfügung.

(2) Der Auftraggeber oder ein von ihm beauftragter, zur Verschwiegenheit verpflichteter Prüfer kann Überprüfungen einschließlich Inspektionen durchführen. Inspektionen vor Ort sind mit einer Frist von mindestens vier Wochen anzumelden. Besteht ein konkreter Anlass, insbesondere eine Verletzung des Schutzes personenbezogener Daten oder eine Anordnung einer Aufsichtsbehörde, genügt eine angemessene kürzere Frist. Inspektionen finden während der üblichen Geschäftszeiten statt und dürfen den Geschäftsbetrieb nicht unverhältnismäßig stören. Für die Rechenzentren der Unterauftragsverarbeiter genügen in der Regel deren aktuelle Zertifikate und Prüfberichte.

(3) Für Inspektionen vor Ort, die über eine pro Vertragsjahr hinausgehen und nicht durch einen konkreten Anlass veranlasst sind, kann der Auftragnehmer eine angemessene Aufwandsentschädigung verlangen.

§ 11 Haftung

Für die Haftung gegenüber betroffenen Personen gilt Art. 82 DSGVO. Im Verhältnis der Parteien zueinander gelten die Haftungsregelungen des Hauptvertrages, soweit die DSGVO nichts anderes zwingend vorschreibt.

§ 12 Schlussbestimmungen

(1) In Fragen des Datenschutzes geht dieser Vertrag den Regelungen des Hauptvertrages vor.

(2) Änderungen und Ergänzungen dieses Vertrages bedürfen der Textform. Änderungen der Anlagen B und C erfolgen nach § 4 Abs. 2 und § 5.

(3) Sollte eine Bestimmung dieses Vertrages unwirksam sein, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt. An die Stelle der unwirksamen Bestimmung tritt eine Regelung, die den Anforderungen des Art. 28 DSGVO entspricht.

Anlage A: Beschreibung der Verarbeitung

Feuerwehrhelfer

Zweck: Bereitstellung und Betrieb der App „Feuerwehrhelfer“ (mobile App und Web-Anwendung) zur Alarmierung und Koordination von Einsatzkräften, zur Mitglieder-, Termin- und Qualifikationsverwaltung sowie zum Austausch von Nachrichten und Dateien innerhalb der Organisation, einschließlich Support und Fehlerbehebung.

Art der Verarbeitung: Erheben, Speichern, Ordnen, Anzeigen, Übermitteln innerhalb der Organisation (auch per Push-Benachrichtigung und E-Mail), Auswerten für Statistiken der Organisation, Sichern und Löschen.

Kategorien betroffener Personen:

Mitglieder und Einsatzkräfte der Organisation
Administratoren, Führungskräfte und weitere Funktionsträger der Organisation
eingeladene Personen, die ihr Konto noch nicht vollständig eingerichtet haben
Dritte, soweit Nutzer deren Daten in Nachrichten, Dateien oder Einsatzinformationen eingeben

Arten personenbezogener Daten:

Nutzerkonto und Stammdaten: Name, E-Mail-Adresse, Anmeldedaten, optional Telefonnummer und Profilbild
Organisationsdaten: Zugehörigkeit, Rollen, Rechte, Gruppen, Einladungen
Verfügbarkeit, Status, Abwesenheiten und Sperrzeiten
Alarmierungen, Quittierungen und Rückmeldungen mit Zeitstempeln sowie die von der Organisation eingegebenen Einsatzangaben
Termine und Übungen mit Zu- und Absagen, Anwesenheit und daraus erstellter Teilnahmestatistik
Lehrgänge und Qualifikationen mit Nachweisen und Fristen
Aufgaben, Nachrichten, Chats, Dokumente und Dateianhänge
technische Daten: Push-Token, Plattform, App-Version, Zeitstempel, In-App-Benachrichtigungen

Besondere Kategorien: Die Verarbeitung besonderer Kategorien personenbezogener Daten nach Art. 9 DSGVO, insbesondere von Gesundheitsdaten, ist nicht vorgesehen. Der Auftraggeber stellt sicher, dass solche Daten nicht über die Software verarbeitet werden, sofern hierfür keine Rechtsgrundlage besteht und dies nicht gesondert mit dem Auftragnehmer vereinbart ist.

Ort der Verarbeitung: Rechenzentren in der Europäischen Union. Ausnahmen sind in Anlage C angegeben.

Löschung: Inhalte löschen die Nutzer und Administratoren in der Software. Beim Löschen eines Kontos werden Name, Kontaktdaten, Profilbild, Status und Zuordnungen entfernt. Bereits versendete Nachrichten und die Einsatzdokumentation der Organisation bleiben erhalten. Der Name der Person wird darin durch einen neutralen Platzhalter ersetzt und die Verknüpfung mit dem Konto entfernt. Texte und Dateien, die Nutzer selbst verfasst oder hochgeladen haben, werden inhaltlich nicht verändert. Nach Vertragsende gilt § 9.

BMA-Trainer

Beim BMA-Trainer verarbeitet der Auftragnehmer grundsätzlich keine Daten im Auftrag, da das Organisationskonto nur Name und E-Mail-Adresse der Ansprechperson enthält und diese Daten in eigener Verantwortung verarbeitet werden. Hinterlegt der Auftraggeber dennoch personenbezogene Daten Dritter, etwa in Übungsprojekten, Laufkarten oder Grundrissen, gilt dieser Vertrag für diese Daten mit den in Anlage C für den BMA-Trainer genannten Unterauftragsverarbeitern entsprechend.

Anlage B: Technische und organisatorische Maßnahmen

Vertraulichkeit

Zutrittskontrolle: Die Daten werden ausschließlich in Rechenzentren der Unterauftragsverarbeiter gespeichert, deren physische Sicherheit durch Zertifizierungen nach ISO/IEC 27001 und Prüfberichte (SOC 2) nachgewiesen ist. Beim Auftragnehmer werden keine Server betrieben und keine Daten der Auftraggeber auf lokalen Datenträgern gespeichert. Die Büroräume des Auftragnehmers werden außerhalb der Arbeitszeiten verschlossen.

Zugangskontrolle:

Anmeldung der Nutzer über Firebase Authentication mit E-Mail-Adresse und Passwort, Passwörter werden nur als Hash gespeichert
Zugriff auf die Verwaltungskonsole der Infrastruktur nur für zwei namentlich bestimmte Beschäftigte des Auftragnehmers mit persönlichen Konten
Arbeitsgeräte sind durch eine persönliche Anmeldung mit Passwort geschützt

Zugriffskontrolle:

Mandantentrennung: Jede Organisation sieht ausschließlich ihre eigenen Daten, technisch durchgesetzt durch Firestore Security Rules und Storage Rules auf dem Server
abgestuftes Rollen- und Rechtekonzept innerhalb der Organisation
serverseitige Prüfung der Berechtigung bei allen verwaltenden Funktionen
Zugriff des Auftragnehmers auf Inhalte nur, soweit für Support, Fehlerbehebung oder auf Weisung erforderlich

Trennungskontrolle: Logische Trennung der Daten je Organisation, getrennte Test- und Demo-Organisationen.

Pseudonymisierung: Nach Löschung eines Nutzerkontos werden verbleibende Einträge ohne Personenbezug weitergeführt. Speicher- und Volumenstatistiken werden nur aggregiert je Organisation erfasst.

Integrität

Weitergabekontrolle: Verschlüsselte Übertragung aller Daten über TLS, serverseitige Verschlüsselung der gespeicherten Daten durch den Infrastrukturanbieter, E-Mail-Versand über TLS-verschlüsselte Verbindung.

Eingabekontrolle: Zeitstempel bei Anlage und Änderung von Datensätzen, Protokollierung serverseitiger Funktionen in der Infrastruktur des Anbieters.

Verfügbarkeit und Belastbarkeit

Speicherung der Datenbank in einer Multi-Region-Konfiguration innerhalb der EU (eur3) mit automatischer Replikation
tägliche Sicherung der Datenbank mit 14 Tagen Aufbewahrung und wöchentliche Sicherung mit acht Wochen Aufbewahrung, gespeichert in der EU am Standort der Datenbank
Löschschutz der Datenbank
Datei-Speicher mit Versionierung: überschriebene und gelöschte Dateien bleiben 30 Tage als frühere Version und anschließend sieben Tage im Papierkorb wiederherstellbar
Wartungsmodus und Mindestversion der App, um fehlerhafte Versionen sperren zu können
Überwachung von Fehlern und Abstürzen über Firebase Crashlytics

Verfahren zur regelmäßigen Überprüfung

Überprüfung dieser Maßnahmen mindestens jährlich und bei wesentlichen technischen Änderungen
regelmäßige Aktualisierung der eingesetzten Software-Bibliotheken
Unterauftragsverarbeiter werden nur mit Vertrag nach Art. 28 DSGVO eingesetzt

Anlage C: Unterauftragsverarbeiter

Feuerwehrhelfer

Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland

Cloud Firestore (Datenbank): EU-Multi-Region eur3 (Belgien und Niederlande)
Cloud Storage (Dateien, Bilder, Dokumente): Region europe-west1 (Belgien)
Cloud Functions (serverseitige Funktionen): Region europe-west1 (Belgien)
Firebase Authentication (Anmeldung): Verarbeitung ausschließlich in den USA
Firebase Cloud Messaging (Push-Benachrichtigungen): von Google global betrieben, Verarbeitung auch in den USA
Firebase Crashlytics (Absturz- und Fehlerdaten): von Google global betrieben, Verarbeitung auch in den USA

Vertragsgrundlage: für Cloud Firestore, Cloud Storage und Cloud Functions das Google Cloud Data Processing Addendum, für Firebase Authentication, Firebase Cloud Messaging und Firebase Crashlytics die Firebase Data Processing and Security Terms. Beide enthalten die EU-Standardvertragsklauseln. Google LLC ist zusätzlich nach dem EU-US Data Privacy Framework zertifiziert.

IONOS SE, Elgendorfer Str. 57, 56410 Montabaur, Deutschland

Versand von E-Mails aus der App, etwa Einladungen, Bestätigung der E-Mail-Adresse, Zurücksetzen des Passworts und Benachrichtigungen; Verarbeitung in Deutschland

BMA-Trainer (nur im Fall von Anlage A, BMA-Trainer)

Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland

Cloud Firestore (Datenbank): EU-Multi-Region eur3 (Belgien und Niederlande)
Cloud Storage (Projekte, Grundrisse, Laufkarten): Region us-central1 (USA)
Cloud Functions: Regionen europe-west3 (Frankfurt) und us-central1 (USA)
Firebase Authentication (Anmeldung): Verarbeitung ausschließlich in den USA

Vertragsgrundlage wie beim Feuerwehrhelfer.

IONOS SE, Elgendorfer Str. 57, 56410 Montabaur, Deutschland

Versand von E-Mails mit Zugangsdaten und zum Zurücksetzen des Passworts; Verarbeitung in Deutschland