{"id":8294,"date":"2026-10-02T12:21:38","date_gmt":"2026-10-02T10:21:38","guid":{"rendered":"https:\/\/bos-akademie.de\/?page_id=8294"},"modified":"2026-10-14T13:20:26","modified_gmt":"2026-10-14T11:20:26","slug":"auftragsverarbeitungsvertrag","status":"publish","type":"page","link":"https:\/\/bos-akademie.de\/en\/auftragsverarbeitungsvertrag\/","title":{"rendered":"Data Processing Agreement"},"content":{"rendered":"

Status:<\/strong> 14.10.2026<\/p>\n\n\n\n

Auftragsverarbeitungsvertrag nach Art. 28 DSGVO. Anlage 1 zu den Allgemeinen Gesch\u00e4ftsbedingungen der Bollin Consulting GmbH (\u00a7 12 Abs. 10 und 11).<\/p>\n\n\n\n

\u00a7 1 Vertragsparteien und Gegenstand<\/h2>\n\n\n\n

(1) Dieser Vertrag gilt zwischen dem Kunden, der mit der Bollin Consulting GmbH einen Vertrag \u00fcber die Nutzung eines Software- und Lizenzprodukts geschlossen hat (im Folgenden \u201eAuftraggeber\u201c), und der Bollin Consulting GmbH, Sebaldstra\u00dfe 23, 73525 Schw\u00e4bisch Gm\u00fcnd (im Folgenden \u201eAuftragnehmer\u201c). Auftraggeber kann eine Organisation oder eine nat\u00fcrliche Person sein. Bestellt eine Person f\u00fcr eine Organisation, die f\u00fcr die Verarbeitung verantwortlich ist, schlie\u00dft sie diesen Vertrag im Namen dieser Organisation. Der Vertrag regelt die Verarbeitung personenbezogener Daten, soweit der Auftraggeber hierf\u00fcr Verantwortlicher im Sinne des Art. 4 Nr. 7 DSGVO ist und der Auftragnehmer sie in seinem Auftrag als Auftragsverarbeiter im Sinne des Art. 4 Nr. 8 DSGVO verarbeitet.<\/p>\n\n\n\n

(2) Gegenstand dieses Vertrages ist die Verarbeitung personenbezogener Daten durch den Auftragnehmer im Auftrag des Auftraggebers bei der Bereitstellung und dem Betrieb der Software nach dem zugrunde liegenden Lizenzvertrag (im Folgenden \u201eHauptvertrag\u201c). Art, Zweck und Umfang der Verarbeitung, die Art der Daten und die Kategorien betroffener Personen ergeben sich aus Anlage A. Nicht Gegenstand dieses Vertrages sind die Verarbeitungen, \u00fcber die der Auftragnehmer selbst entscheidet, insbesondere die eigene Vertrags- und Rechnungsverwaltung. Nutzerkonten und Anmeldedaten in der Software geh\u00f6ren dagegen zur Auftragsverarbeitung, soweit Anlage A sie nennt. Soweit eine nat\u00fcrliche Person Daten ausschlie\u00dflich im Rahmen pers\u00f6nlicher oder famili\u00e4rer T\u00e4tigkeiten verarbeitet, gilt f\u00fcr diese Verarbeitung die Ausnahme des Art. 2 Abs. 2 lit. c DSGVO; die gesetzlichen Pflichten des Auftragnehmers bleiben davon unber\u00fchrt.<\/p>\n\n\n\n

(3) Der Vertrag wird mit dem Hauptvertrag geschlossen, im kostenlosen Tarif mit dem Anlegen der Organisation in der App oder mit der nachtr\u00e4glichen Zustimmung eines Administrators oder Kommandanten in der App. Er l\u00e4uft, solange der Auftragnehmer personenbezogene Daten im Auftrag des Auftraggebers verarbeitet, also bis zum Ablauf der L\u00f6schfrist nach \u00a7 9.<\/p>\n\n\n\n

(4) Der Vertrag wird in elektronischer Form geschlossen (Art. 28 Abs. 9 DSGVO). Auf Wunsch erh\u00e4lt der Auftraggeber zus\u00e4tzlich eine unterzeichnete Fassung.<\/p>\n\n\n\n

\u00a7 2 Weisungen<\/h2>\n\n\n\n

(1) Der Auftragnehmer verarbeitet personenbezogene Daten ausschlie\u00dflich auf dokumentierte Weisung des Auftraggebers, auch in Bezug auf die \u00dcbermittlung in ein Drittland, es sei denn, er ist durch das Recht der Union oder eines Mitgliedstaats hierzu verpflichtet. In einem solchen Fall teilt der Auftragnehmer dem Auftraggeber diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht eine solche Mitteilung nicht verbietet.<\/p>\n\n\n\n

(2) Die Weisungen sind abschlie\u00dfend im Hauptvertrag, in diesem Vertrag und in der bestimmungsgem\u00e4\u00dfen Nutzung der Software durch den Auftraggeber festgelegt, insbesondere durch Eingaben und Einstellungen seiner Administratoren. Weitere Weisungen erteilt der Auftraggeber in Textform an info@bos-akademie.de.<\/p>\n\n\n\n

(3) Weisungsberechtigt sind die im Bestellvorgang benannte administrative Ansprechperson sowie die Administratoren der Organisation in der Software. Der Auftraggeber teilt \u00c4nderungen der Ansprechperson unverz\u00fcglich mit.<\/p>\n\n\n\n

(4) Ist der Auftragnehmer der Ansicht, dass eine Weisung gegen datenschutzrechtliche Vorschriften verst\u00f6\u00dft, weist er den Auftraggeber unverz\u00fcglich darauf hin. Er setzt die Durchf\u00fchrung aus, solange begr\u00fcndete Zweifel an der Rechtm\u00e4\u00dfigkeit bestehen. Die Verarbeitung wird erst fortgesetzt, wenn die Zweifel ausger\u00e4umt sind oder die Weisung rechtm\u00e4\u00dfig ge\u00e4ndert wurde; eine blo\u00dfe Best\u00e4tigung der unver\u00e4nderten Weisung gen\u00fcgt nicht.<\/p>\n\n\n\n

\u00a7 3 Vertraulichkeit<\/h2>\n\n\n\n

Der Auftragnehmer gew\u00e4hrleistet, dass sich alle Personen, die zur Verarbeitung der personenbezogenen Daten befugt sind, zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen. Zugriff auf die Daten erhalten nur Personen, die ihn f\u00fcr die Erbringung der Leistung ben\u00f6tigen.<\/p>\n\n\n\n

\u00a7 4 Technische und organisatorische Ma\u00dfnahmen<\/h2>\n\n\n\n

(1) Der Auftragnehmer trifft die nach Art. 32 DSGVO erforderlichen technischen und organisatorischen Ma\u00dfnahmen. Die zum Vertragsschluss geltenden Ma\u00dfnahmen sind in Anlage B beschrieben.<\/p>\n\n\n\n

(2) Die Ma\u00dfnahmen unterliegen dem technischen Fortschritt. Der Auftragnehmer darf sie anpassen, sofern das Schutzniveau der in Anlage B beschriebenen Ma\u00dfnahmen nicht unterschritten wird. Wesentliche \u00c4nderungen dokumentiert er.<\/p>\n\n\n\n

\u00a7 5 Unterauftragsverarbeiter<\/h2>\n\n\n\n

(1) Der Auftraggeber erteilt dem Auftragnehmer die allgemeine Genehmigung, weitere Auftragsverarbeiter (Unterauftragsverarbeiter) einzusetzen. Die bei Vertragsschluss eingesetzten Unterauftragsverarbeiter sind in Anlage C aufgef\u00fchrt und gelten als genehmigt.<\/p>\n\n\n\n

(2) Der Auftragnehmer informiert den Auftraggeber mindestens vier Wochen vor der Hinzuziehung oder dem Austausch eines Unterauftragsverarbeiters in Textform, in der Regel per E-Mail an die administrative Ansprechperson. Der Auftraggeber kann der \u00c4nderung innerhalb dieser Frist aus wichtigem datenschutzrechtlichem Grund in Textform widersprechen. K\u00f6nnen sich die Parteien nicht einigen, kann der Auftraggeber den Hauptvertrag zum Zeitpunkt des Wirksamwerdens der \u00c4nderung k\u00fcndigen.<\/p>\n\n\n\n

(3) Der Auftragnehmer erlegt jedem Unterauftragsverarbeiter vertraglich im Wesentlichen dieselben Datenschutzpflichten auf, die in diesem Vertrag festgelegt sind. Kommt ein Unterauftragsverarbeiter seinen Pflichten nicht nach, haftet der Auftragnehmer gegen\u00fcber dem Auftraggeber nach Art. 28 Abs. 4 DSGVO.<\/p>\n\n\n\n

(4) Nicht als Unterauftragsverarbeitung gelten Leistungen Dritter, soweit diese dabei keine personenbezogenen Daten im Auftrag des Auftragnehmers verarbeiten, sondern f\u00fcr ihre Verarbeitung selbst verantwortlich sind, etwa Telekommunikations- und Postdienste. Die Einordnung richtet sich nach der tats\u00e4chlich ausge\u00fcbten T\u00e4tigkeit und den geltenden Vereinbarungen.<\/p>\n\n\n\n

\u00a7 6 \u00dcbermittlung in Drittl\u00e4nder<\/h2>\n\n\n\n

Eine Verarbeitung au\u00dferhalb der Europ\u00e4ischen Union oder des Europ\u00e4ischen Wirtschaftsraums erfolgt nur, wenn die Voraussetzungen der Art. 44 bis 49 DSGVO erf\u00fcllt sind. Die zum Vertragsschluss bestehenden \u00dcbermittlungen und die jeweiligen Garantien sind in Anlage C angegeben.<\/p>\n\n\n\n

\u00a7 7 Unterst\u00fctzung bei Betroffenenrechten<\/h2>\n\n\n\n

(1) Der Auftragnehmer unterst\u00fctzt den Auftraggeber mit geeigneten technischen und organisatorischen Ma\u00dfnahmen dabei, Antr\u00e4ge betroffener Personen nach Kapitel III DSGVO zu beantworten. Die Software erm\u00f6glicht den Administratoren des Auftraggebers, Daten von Mitgliedern einzusehen, zu berichtigen und zu l\u00f6schen.<\/p>\n\n\n\n

(2) Wendet sich eine betroffene Person unmittelbar an den Auftragnehmer, leitet er das Anliegen unverz\u00fcglich an den Auftraggeber weiter. Er beantwortet es nicht selbst, es sei denn, der Auftraggeber weist ihn dazu an.<\/p>\n\n\n\n

\u00a7 8 Weitere Unterst\u00fctzungspflichten und Datenschutzverletzungen<\/h2>\n\n\n\n

(1) Der Auftragnehmer unterst\u00fctzt den Auftraggeber unter Ber\u00fccksichtigung der Art der Verarbeitung und der ihm zur Verf\u00fcgung stehenden Informationen bei der Einhaltung der Pflichten aus Art. 32 bis 36 DSGVO, insbesondere bei einer Datenschutz-Folgenabsch\u00e4tzung und einer vorherigen Konsultation der Aufsichtsbeh\u00f6rde.<\/p>\n\n\n\n

(2) Der Auftragnehmer meldet dem Auftraggeber eine Verletzung des Schutzes personenbezogener Daten unverz\u00fcglich, nach M\u00f6glichkeit innerhalb von 24 Stunden nachdem sie ihm bekannt geworden ist. Die Meldung enth\u00e4lt, soweit bekannt, die Angaben nach Art. 33 Abs. 3 DSGVO. Angaben, die noch nicht vorliegen, reicht er nach. Der Auftragnehmer ergreift unverz\u00fcglich die erforderlichen Ma\u00dfnahmen, um die Verletzung zu beheben und m\u00f6gliche nachteilige Folgen zu mindern.<\/p>\n\n\n\n

(3) Ansprechstelle des Auftragnehmers f\u00fcr Datenschutzfragen und Meldungen ist info@bos-akademie.de, Telefon 07171 99 810 31.<\/p>\n\n\n\n

\u00a7 9 L\u00f6schung und R\u00fcckgabe nach Vertragsende<\/h2>\n\n\n\n

(1) Nach Ende des Hauptvertrages bewahrt der Auftragnehmer die Daten des Auftraggebers 90 Tage auf. Innerhalb dieser Frist kann der Auftraggeber die Herausgabe seiner Daten in einem g\u00e4ngigen Format verlangen. Nach Ablauf der Frist l\u00f6scht der Auftragnehmer die Daten aus den aktiven Systemen, sofern nicht nach dem Recht der Union oder eines Mitgliedstaats eine Pflicht zur Speicherung besteht. Auf Weisung des Auftraggebers l\u00f6scht er die Daten fr\u00fcher. Die L\u00f6schung der Organisation in der App durch einen Administrator oder Kommandanten gilt als solche Weisung. In diesem Fall wird die Organisation sofort gesperrt und nach 30 Tagen gel\u00f6scht, sofern die L\u00f6schung nicht vorher in der App zur\u00fcckgenommen wird. Hat die Organisation nur ein Mitglied und l\u00e4uft weder eine bezahlte Lizenz noch eine Testversion, erfolgt die L\u00f6schung sofort. Meldet sich im kostenlosen Tarif oder nach dem Ende einer Testversion zw\u00f6lf Monate lang kein Mitglied der Organisation in der App an, l\u00f6scht der Auftragnehmer die Daten ohne vorherige Ank\u00fcndigung. Die Aufbewahrung von 90 Tagen entf\u00e4llt in diesen F\u00e4llen. Die Regelungen zur L\u00f6schung der Organisation in der App, zur Organisation mit nur einem Mitglied und zur Inaktivit\u00e4t betreffen den Feuerwehrhelfer. F\u00fcr BMA-Mietvertr\u00e4ge, die vor dem 14.10.2026 geschlossen wurden und bei denen eine Aufbewahrung von 18 Monaten zugesagt wurde, gilt anstelle der 90 Tage diese l\u00e4ngere Frist; das Recht, eine fr\u00fchere L\u00f6schung oder R\u00fcckgabe zu verlangen, bleibt unber\u00fchrt.<\/p>\n\n\n\n

(2) Daten in Sicherungskopien werden mit dem automatischen Ablauf der Sicherungen gel\u00f6scht. Sicherungen der Datenbank laufen sp\u00e4testens nach acht Wochen ab. Gel\u00f6schte oder \u00fcberschriebene Dateien bleiben beim Feuerwehrhelfer bis zu 37 Tage, beim BMA-Trainer bis zu 14 Tage wiederherstellbar. Bis dahin werden diese Daten nur zur Wiederherstellung nach einem Datenverlust verwendet. Anmeldedaten entfernt der Unterauftragsverarbeiter nach der L\u00f6schung des Kontos innerhalb von h\u00f6chstens 180 Tagen aus seinen aktiven Systemen und Sicherungen.<\/p>\n\n\n\n

(3) Auf Anfrage best\u00e4tigt der Auftragnehmer die L\u00f6schung in Textform.<\/p>\n\n\n\n

\u00a7 10 Nachweise und Kontrollen<\/h2>\n\n\n\n

(1) Der Auftragnehmer stellt dem Auftraggeber alle erforderlichen Informationen zum Nachweis der Einhaltung der Pflichten aus Art. 28 DSGVO und diesem Vertrag zur Verf\u00fcgung.<\/p>\n\n\n\n

(2) Der Auftraggeber oder ein von ihm beauftragter, zur Verschwiegenheit verpflichteter Pr\u00fcfer kann \u00dcberpr\u00fcfungen einschlie\u00dflich Inspektionen durchf\u00fchren. Inspektionen vor Ort sind mit einer Frist von mindestens vier Wochen anzumelden. Besteht ein konkreter Anlass, insbesondere eine Verletzung des Schutzes personenbezogener Daten oder eine Anordnung einer Aufsichtsbeh\u00f6rde, gen\u00fcgt eine angemessene k\u00fcrzere Frist. Inspektionen finden w\u00e4hrend der \u00fcblichen Gesch\u00e4ftszeiten statt und d\u00fcrfen den Gesch\u00e4ftsbetrieb nicht unverh\u00e4ltnism\u00e4\u00dfig st\u00f6ren. F\u00fcr die Rechenzentren der Unterauftragsverarbeiter gen\u00fcgen in der Regel deren aktuelle Zertifikate und Pr\u00fcfberichte.<\/p>\n\n\n\n

(3) F\u00fcr Inspektionen vor Ort, die \u00fcber eine pro Vertragsjahr hinausgehen und nicht durch einen konkreten Anlass veranlasst sind, kann der Auftragnehmer eine angemessene Aufwandsentsch\u00e4digung verlangen.<\/p>\n\n\n\n

\u00a7 11 Haftung<\/h2>\n\n\n\n

F\u00fcr die Haftung gegen\u00fcber betroffenen Personen gilt Art. 82 DSGVO. Im Verh\u00e4ltnis der Parteien zueinander gelten die Haftungsregelungen des Hauptvertrages, soweit die DSGVO nichts anderes zwingend vorschreibt.<\/p>\n\n\n\n

\u00a7 12 Schlussbestimmungen<\/h2>\n\n\n\n

(1) In Fragen des Datenschutzes geht dieser Vertrag den Regelungen des Hauptvertrages vor.<\/p>\n\n\n\n

(2) \u00c4nderungen und Erg\u00e4nzungen dieses Vertrages bed\u00fcrfen der Textform. \u00c4nderungen der Anlagen B und C erfolgen nach \u00a7 4 Abs. 2 und \u00a7 5.<\/p>\n\n\n\n

(3) Sollte eine Bestimmung dieses Vertrages unwirksam sein, bleibt die Wirksamkeit der \u00fcbrigen Bestimmungen unber\u00fchrt. An die Stelle der unwirksamen Bestimmung tritt eine Regelung, die den Anforderungen des Art. 28 DSGVO entspricht.<\/p>\n\n\n\n

Anlage A: Beschreibung der Verarbeitung<\/h2>\n\n\n\n

Firefighter<\/h3>\n\n\n\n

Zweck:<\/strong> Bereitstellung und Betrieb der App \u201eFeuerwehrhelfer\u201c (mobile App und Web-Anwendung) zur Alarmierung und Koordination von Einsatzkr\u00e4ften, zur Mitglieder-, Termin- und Qualifikationsverwaltung sowie zum Austausch von Nachrichten und Dateien innerhalb der Organisation, einschlie\u00dflich Support und Fehlerbehebung.<\/p>\n\n\n\n

Art der Verarbeitung:<\/strong> Erheben, Speichern, Ordnen, Anzeigen, \u00dcbermitteln innerhalb der Organisation (auch per Push-Benachrichtigung und E-Mail), Auswerten f\u00fcr Statistiken der Organisation, Sichern und L\u00f6schen.<\/p>\n\n\n\n

Kategorien betroffener Personen:<\/strong><\/p>\n\n\n\n

    \n
  • Mitglieder und Einsatzkr\u00e4fte der Organisation<\/li>\n\n
  • Administratoren, F\u00fchrungskr\u00e4fte und weitere Funktionstr\u00e4ger der Organisation<\/li>\n\n
  • eingeladene Personen, die ihr Konto noch nicht vollst\u00e4ndig eingerichtet haben<\/li>\n\n
  • Dritte, soweit Nutzer deren Daten in Nachrichten, Dateien oder Einsatzinformationen eingeben<\/li>\n<\/ul>\n\n\n\n

    Arten personenbezogener Daten:<\/strong><\/p>\n\n\n\n

      \n
    • Nutzerkonto und Stammdaten: Name, E-Mail-Adresse, Anmeldedaten, optional Telefonnummer und Profilbild<\/li>\n\n
    • Organisationsdaten: Zugeh\u00f6rigkeit, Rollen, Rechte, Gruppen, Einladungen<\/li>\n\n
    • Verf\u00fcgbarkeit, Status, Abwesenheiten und Sperrzeiten<\/li>\n\n
    • Alarmierungen, Quittierungen und R\u00fcckmeldungen mit Zeitstempeln sowie die von der Organisation eingegebenen Einsatzangaben<\/li>\n\n
    • Termine und \u00dcbungen mit Zu- und Absagen, Anwesenheit und daraus erstellter Teilnahmestatistik<\/li>\n\n
    • Lehrg\u00e4nge und Qualifikationen mit Nachweisen und Fristen<\/li>\n\n
    • Aufgaben, Nachrichten, Chats, Dokumente und Dateianh\u00e4nge<\/li>\n\n
    • technische Daten: Push-Token, Plattform, App-Version, Zeitstempel, In-App-Benachrichtigungen<\/li>\n<\/ul>\n\n\n\n

      Besondere Kategorien:<\/strong> Die Verarbeitung besonderer Kategorien personenbezogener Daten nach Art. 9 DSGVO, insbesondere von Gesundheitsdaten, ist nicht vorgesehen. Der Auftraggeber stellt sicher, dass solche Daten nicht \u00fcber die Software verarbeitet werden, sofern hierf\u00fcr keine Rechtsgrundlage besteht und dies nicht gesondert mit dem Auftragnehmer vereinbart ist.<\/p>\n\n\n\n

      Ort der Verarbeitung:<\/strong> Rechenzentren in der Europ\u00e4ischen Union. Ausnahmen sind in Anlage C angegeben.<\/p>\n\n\n\n

      L\u00f6schung:<\/strong> Inhalte l\u00f6schen die Nutzer und Administratoren in der Software. Beim L\u00f6schen eines Kontos werden Name, Kontaktdaten, Profilbild, Status und Zuordnungen entfernt. Bereits versendete Nachrichten und die Einsatzdokumentation der Organisation bleiben erhalten. Der Name der Person wird darin durch einen neutralen Platzhalter ersetzt und die Verkn\u00fcpfung mit dem Konto entfernt. Texte und Dateien, die Nutzer selbst verfasst oder hochgeladen haben, werden inhaltlich nicht ver\u00e4ndert. Nach Vertragsende gilt \u00a7 9.<\/p>\n\n\n\n

      BMA-Trainer<\/h3>\n\n\n\n

      Beim BMA-Trainer verarbeitet der Auftragnehmer grunds\u00e4tzlich keine Daten im Auftrag, da das Organisationskonto nur Name und E-Mail-Adresse der Ansprechperson enth\u00e4lt und diese Daten in eigener Verantwortung verarbeitet werden. Hinterlegt der Auftraggeber dennoch personenbezogene Daten Dritter, etwa in \u00dcbungsprojekten, Laufkarten oder Grundrissen, gilt dieser Vertrag f\u00fcr diese Daten mit den in Anlage C f\u00fcr den BMA-Trainer genannten Unterauftragsverarbeitern entsprechend.<\/p>\n\n\n\n

      Anlage B: Technische und organisatorische Ma\u00dfnahmen<\/h2>\n\n\n\n

      Die Angaben zu Speicherorten und Datei-Speicher beschreiben den Feuerwehrhelfer. F\u00fcr den BMA-Trainer gelten die Speicherorte in Anlage C und eine Wiederherstellbarkeit gel\u00f6schter oder \u00fcberschriebener Dateien von bis zu 14 Tagen.<\/p>\n\n\n\n

      Vertraulichkeit<\/h3>\n\n\n\n

      Zutrittskontrolle:<\/strong> Die Daten werden ausschlie\u00dflich in Rechenzentren der Unterauftragsverarbeiter gespeichert, deren physische Sicherheit durch Zertifizierungen nach ISO\/IEC 27001 und Pr\u00fcfberichte (SOC 2) nachgewiesen ist. Beim Auftragnehmer werden keine Server betrieben und keine Daten der Auftraggeber auf lokalen Datentr\u00e4gern gespeichert. Die B\u00fcror\u00e4ume des Auftragnehmers werden au\u00dferhalb der Arbeitszeiten verschlossen.<\/p>\n\n\n\n

      Zugangskontrolle:<\/strong><\/p>\n\n\n\n

        \n
      • Anmeldung der Nutzer \u00fcber Firebase Authentication mit E-Mail-Adresse und Passwort, Passw\u00f6rter werden nur als Hash gespeichert<\/li>\n\n
      • Zugriff auf die Verwaltungskonsole der Infrastruktur nur f\u00fcr zwei namentlich bestimmte Besch\u00e4ftigte des Auftragnehmers mit pers\u00f6nlichen Konten<\/li>\n\n
      • Arbeitsger\u00e4te sind durch eine pers\u00f6nliche Anmeldung mit Passwort gesch\u00fctzt<\/li>\n<\/ul>\n\n\n\n

        Zugriffskontrolle:<\/strong><\/p>\n\n\n\n

          \n
        • Mandantentrennung: Jede Organisation sieht ausschlie\u00dflich ihre eigenen Daten, technisch durchgesetzt durch Firestore Security Rules und Storage Rules auf dem Server<\/li>\n\n
        • abgestuftes Rollen- und Rechtekonzept innerhalb der Organisation<\/li>\n\n
        • serverseitige Pr\u00fcfung der Berechtigung bei allen verwaltenden Funktionen<\/li>\n\n
        • Zugriff des Auftragnehmers auf Inhalte nur, soweit f\u00fcr Support, Fehlerbehebung oder auf Weisung erforderlich<\/li>\n<\/ul>\n\n\n\n

          Trennungskontrolle:<\/strong> Logische Trennung der Daten je Organisation, getrennte Test- und Demo-Organisationen.<\/p>\n\n\n\n

          Pseudonymisierung:<\/strong> Nach L\u00f6schung eines Nutzerkontos wird der Name in verbleibenden Eintr\u00e4gen durch einen neutralen Platzhalter ersetzt und die Verkn\u00fcpfung mit dem Konto entfernt. Verbleibende Texte und Dateien k\u00f6nnen dennoch personenbezogene Daten enthalten. Speicher- und Volumenstatistiken werden nur aggregiert je Organisation erfasst.<\/p>\n\n\n\n

          Integrit\u00e4t<\/h3>\n\n\n\n

          Weitergabekontrolle:<\/strong> Verschl\u00fcsselte \u00dcbertragung aller Daten \u00fcber TLS, serverseitige Verschl\u00fcsselung der gespeicherten Daten durch den Infrastrukturanbieter, E-Mail-Versand \u00fcber TLS-verschl\u00fcsselte Verbindung.<\/p>\n\n\n\n

          Eingabekontrolle:<\/strong> Zeitstempel bei Anlage und \u00c4nderung von Datens\u00e4tzen, Protokollierung serverseitiger Funktionen in der Infrastruktur des Anbieters.<\/p>\n\n\n\n

          Verf\u00fcgbarkeit und Belastbarkeit<\/h3>\n\n\n\n
            \n
          • Speicherung der Datenbank in einer Multi-Region-Konfiguration innerhalb der EU (eur3) mit automatischer Replikation<\/li>\n\n
          • t\u00e4gliche Sicherung der Datenbank mit 14 Tagen Aufbewahrung und w\u00f6chentliche Sicherung mit acht Wochen Aufbewahrung, gespeichert in der EU am Standort der Datenbank<\/li>\n\n
          • L\u00f6schschutz der Datenbank<\/li>\n\n
          • Datei-Speicher mit Versionierung: \u00fcberschriebene und gel\u00f6schte Dateien bleiben 30 Tage als fr\u00fchere Version und anschlie\u00dfend sieben Tage im Papierkorb wiederherstellbar<\/li>\n\n
          • Wartungsmodus und Mindestversion der App, um fehlerhafte Versionen sperren zu k\u00f6nnen<\/li>\n\n
          • \u00dcberwachung von Fehlern und Abst\u00fcrzen \u00fcber Firebase Crashlytics<\/li>\n<\/ul>\n\n\n\n

            Verfahren zur regelm\u00e4\u00dfigen \u00dcberpr\u00fcfung<\/h3>\n\n\n\n
              \n
            • \u00dcberpr\u00fcfung dieser Ma\u00dfnahmen mindestens j\u00e4hrlich und bei wesentlichen technischen \u00c4nderungen<\/li>\n\n
            • regelm\u00e4\u00dfige Aktualisierung der eingesetzten Software-Bibliotheken<\/li>\n\n
            • Unterauftragsverarbeiter werden nur mit Vertrag nach Art. 28 DSGVO eingesetzt<\/li>\n<\/ul>\n\n\n\n

              Anlage C: Unterauftragsverarbeiter<\/h2>\n\n\n\n

              Firefighter<\/h3>\n\n\n\n

              Google Ireland Limited<\/strong>, Gordon House, Barrow Street, Dublin 4, Ireland<\/p>\n\n\n\n

                \n
              • Cloud Firestore (Datenbank): EU-Multi-Region eur3 (Belgien und Niederlande)<\/li>\n\n
              • Cloud Storage (Dateien, Bilder, Dokumente): Region europe-west1 (Belgien)<\/li>\n\n
              • Cloud Functions (serverseitige Funktionen): Region europe-west1 (Belgien)<\/li>\n\n
              • Firebase Authentication (Anmeldung): Verarbeitung ausschlie\u00dflich in den USA<\/li>\n\n
              • Firebase Cloud Messaging (Push-Benachrichtigungen): von Google global betrieben, Verarbeitung auch in den USA<\/li>\n\n
              • Firebase Crashlytics (Absturz- und Fehlerdaten): von Google global betrieben, Verarbeitung auch in den USA<\/li>\n<\/ul>\n\n\n\n

                Vertragsgrundlage: f\u00fcr Cloud Firestore, Cloud Storage und Cloud Functions das Google Cloud Data Processing Addendum, f\u00fcr Firebase Authentication, Firebase Cloud Messaging und Firebase Crashlytics die Firebase Data Processing and Security Terms. Beide enthalten die EU-Standardvertragsklauseln. Google LLC ist zus\u00e4tzlich nach dem EU-US Data Privacy Framework zertifiziert.<\/p>\n\n\n\n

                IONOS SE<\/strong>, Elgendorfer Str. 57, 56410 Montabaur, Germany<\/p>\n\n\n\n

                  \n
                • Versand von E-Mails aus der App, etwa Einladungen, Best\u00e4tigung der E-Mail-Adresse, Zur\u00fccksetzen des Passworts und Benachrichtigungen; Verarbeitung in Deutschland<\/li>\n<\/ul>\n\n\n\n

                  BMA-Trainer (nur im Fall von Anlage A, BMA-Trainer)<\/h3>\n\n\n\n

                  Google Ireland Limited<\/strong>, Gordon House, Barrow Street, Dublin 4, Ireland<\/p>\n\n\n\n

                    \n
                  • Cloud Firestore (Datenbank): EU-Multi-Region eur3 (Belgien und Niederlande)<\/li>\n\n
                  • Cloud Storage (Projekte, Grundrisse, Laufkarten): Region us-central1 (USA)<\/li>\n\n
                  • Cloud Functions: Regionen europe-west3 (Frankfurt) und us-central1 (USA)<\/li>\n\n
                  • Firebase Authentication (Anmeldung): Verarbeitung ausschlie\u00dflich in den USA<\/li>\n<\/ul>\n\n\n\n

                    Vertragsgrundlage wie beim Feuerwehrhelfer.<\/p>\n\n\n\n

                    IONOS SE<\/strong>, Elgendorfer Str. 57, 56410 Montabaur, Germany<\/p>\n\n\n\n

                      \n
                    • Versand von E-Mails mit Zugangsdaten und zum Zur\u00fccksetzen des Passworts; Verarbeitung in Deutschland<\/li>\n<\/ul>","protected":false},"excerpt":{"rendered":"

                      Stand: 14.10.2026 Auftragsverarbeitungsvertrag nach Art. 28 DSGVO. Anlage 1 zu den Allgemeinen Gesch\u00e4ftsbedingungen der Bollin Consulting GmbH (\u00a7 12 Abs. 10 und 11). \u00a7 1 Vertragsparteien und Gegenstand (1) Dieser Vertrag gilt zwischen dem Kunden, der mit der Bollin Consulting GmbH einen Vertrag \u00fcber die Nutzung eines Software- und Lizenzprodukts […]<\/p>\n","protected":false},"author":1,"featured_media":0,"parent":0,"menu_order":0,"comment_status":"closed","ping_status":"closed","template":"","meta":{"footnotes":""},"class_list":["post-8294","page","type-page","status-publish","hentry"],"yoast_head":"\nData Processing Agreement - BOS-Akademie<\/title>\n<meta name=\"robots\" content=\"noindex, follow\" \/>\n<meta property=\"og:locale\" content=\"en_US\" \/>\n<meta property=\"og:type\" content=\"article\" \/>\n<meta property=\"og:title\" content=\"Data Processing Agreement - BOS-Akademie\" \/>\n<meta property=\"og:description\" content=\"Stand: 14.10.2026 Auftragsverarbeitungsvertrag nach Art. 28 DSGVO. Anlage 1 zu den Allgemeinen Gesch\u00e4ftsbedingungen der Bollin Consulting GmbH (\u00a7 12 Abs. 10 und 11). \u00a7 1 Vertragsparteien und Gegenstand (1) Dieser Vertrag gilt zwischen dem Kunden, der mit der Bollin Consulting GmbH einen Vertrag \u00fcber die Nutzung eines Software- und Lizenzprodukts […]\" \/>\n<meta property=\"og:url\" content=\"https:\/\/bos-akademie.de\/en\/auftragsverarbeitungsvertrag\/\" \/>\n<meta property=\"og:site_name\" content=\"BOS-Akademie\" \/>\n<meta property=\"article:modified_time\" content=\"2026-10-14T11:20:26+00:00\" \/>\n<meta name=\"twitter:card\" content=\"summary_large_image\" \/>\n<meta name=\"twitter:label1\" content=\"Est. reading time\" \/>\n\t<meta name=\"twitter:data1\" content=\"12 minutes\" \/>\n<script type=\"application\/ld+json\" class=\"yoast-schema-graph\">{\"@context\":\"https:\\\/\\\/schema.org\",\"@graph\":[{\"@type\":\"WebPage\",\"@id\":\"https:\\\/\\\/bos-akademie.de\\\/auftragsverarbeitungsvertrag\\\/\",\"url\":\"https:\\\/\\\/bos-akademie.de\\\/auftragsverarbeitungsvertrag\\\/\",\"name\":\"Auftragsverarbeitungsvertrag - BOS-Akademie\",\"isPartOf\":{\"@id\":\"https:\\\/\\\/bos-akademie.de\\\/#website\"},\"datePublished\":\"2026-10-02T10:21:38+00:00\",\"dateModified\":\"2026-10-14T11:20:26+00:00\",\"breadcrumb\":{\"@id\":\"https:\\\/\\\/bos-akademie.de\\\/auftragsverarbeitungsvertrag\\\/#breadcrumb\"},\"inLanguage\":\"en-US\",\"potentialAction\":[{\"@type\":\"ReadAction\",\"target\":[\"https:\\\/\\\/bos-akademie.de\\\/auftragsverarbeitungsvertrag\\\/\"]}]},{\"@type\":\"BreadcrumbList\",\"@id\":\"https:\\\/\\\/bos-akademie.de\\\/auftragsverarbeitungsvertrag\\\/#breadcrumb\",\"itemListElement\":[{\"@type\":\"ListItem\",\"position\":1,\"name\":\"Startseite\",\"item\":\"https:\\\/\\\/bos-akademie.de\\\/\"},{\"@type\":\"ListItem\",\"position\":2,\"name\":\"Auftragsverarbeitungsvertrag\"}]},{\"@type\":\"WebSite\",\"@id\":\"https:\\\/\\\/bos-akademie.de\\\/#website\",\"url\":\"https:\\\/\\\/bos-akademie.de\\\/\",\"name\":\"BOS-Akademie\",\"description\":\"\",\"publisher\":{\"@id\":\"https:\\\/\\\/bos-akademie.de\\\/#organization\"},\"potentialAction\":[{\"@type\":\"SearchAction\",\"target\":{\"@type\":\"EntryPoint\",\"urlTemplate\":\"https:\\\/\\\/bos-akademie.de\\\/?s={search_term_string}\"},\"query-input\":{\"@type\":\"PropertyValueSpecification\",\"valueRequired\":true,\"valueName\":\"search_term_string\"}}],\"inLanguage\":\"en-US\"},{\"@type\":\"Organization\",\"@id\":\"https:\\\/\\\/bos-akademie.de\\\/#organization\",\"name\":\"BOS-Akademie\",\"url\":\"https:\\\/\\\/bos-akademie.de\\\/\",\"logo\":{\"@type\":\"ImageObject\",\"inLanguage\":\"en-US\",\"@id\":\"https:\\\/\\\/bos-akademie.de\\\/#\\\/schema\\\/logo\\\/image\\\/\",\"url\":\"https:\\\/\\\/bos-akademie.de\\\/wp-content\\\/uploads\\\/2025\\\/01\\\/BosAkademieLogo.png\",\"contentUrl\":\"https:\\\/\\\/bos-akademie.de\\\/wp-content\\\/uploads\\\/2025\\\/01\\\/BosAkademieLogo.png\",\"width\":167,\"height\":115,\"caption\":\"BOS-Akademie\"},\"image\":{\"@id\":\"https:\\\/\\\/bos-akademie.de\\\/#\\\/schema\\\/logo\\\/image\\\/\"}}]}<\/script>\n<!-- \/ Yoast SEO plugin. -->","yoast_head_json":{"title":"Data Processing Agreement - BOS-Akademie","robots":{"index":"noindex","follow":"follow"},"og_locale":"en_US","og_type":"article","og_title":"Data Processing Agreement - BOS-Akademie","og_description":"Stand: 14.10.2026 Auftragsverarbeitungsvertrag nach Art. 28 DSGVO. Anlage 1 zu den Allgemeinen Gesch\u00e4ftsbedingungen der Bollin Consulting GmbH (\u00a7 12 Abs. 10 und 11). \u00a7 1 Vertragsparteien und Gegenstand (1) Dieser Vertrag gilt zwischen dem Kunden, der mit der Bollin Consulting GmbH einen Vertrag \u00fcber die Nutzung eines Software- und Lizenzprodukts […]","og_url":"https:\/\/bos-akademie.de\/en\/auftragsverarbeitungsvertrag\/","og_site_name":"BOS-Akademie","article_modified_time":"2026-10-14T11:20:26+00:00","twitter_card":"summary_large_image","twitter_misc":{"Est. reading time":"12 minutes"},"schema":{"@context":"https:\/\/schema.org","@graph":[{"@type":"WebPage","@id":"https:\/\/bos-akademie.de\/auftragsverarbeitungsvertrag\/","url":"https:\/\/bos-akademie.de\/auftragsverarbeitungsvertrag\/","name":"Data Processing Agreement - BOS-Akademie","isPartOf":{"@id":"https:\/\/bos-akademie.de\/#website"},"datePublished":"2026-10-02T10:21:38+00:00","dateModified":"2026-10-14T11:20:26+00:00","breadcrumb":{"@id":"https:\/\/bos-akademie.de\/auftragsverarbeitungsvertrag\/#breadcrumb"},"inLanguage":"en-US","potentialAction":[{"@type":"ReadAction","target":["https:\/\/bos-akademie.de\/auftragsverarbeitungsvertrag\/"]}]},{"@type":"BreadcrumbList","@id":"https:\/\/bos-akademie.de\/auftragsverarbeitungsvertrag\/#breadcrumb","itemListElement":[{"@type":"ListItem","position":1,"name":"Startseite","item":"https:\/\/bos-akademie.de\/"},{"@type":"ListItem","position":2,"name":"Auftragsverarbeitungsvertrag"}]},{"@type":"WebSite","@id":"https:\/\/bos-akademie.de\/#website","url":"https:\/\/bos-akademie.de\/","name":"BOS-Akademie","description":"","publisher":{"@id":"https:\/\/bos-akademie.de\/#organization"},"potentialAction":[{"@type":"SearchAction","target":{"@type":"EntryPoint","urlTemplate":"https:\/\/bos-akademie.de\/?s={search_term_string}"},"query-input":{"@type":"PropertyValueSpecification","valueRequired":true,"valueName":"search_term_string"}}],"inLanguage":"en-US"},{"@type":"Organization","@id":"https:\/\/bos-akademie.de\/#organization","name":"BOS-Akademie","url":"https:\/\/bos-akademie.de\/","logo":{"@type":"ImageObject","inLanguage":"en-US","@id":"https:\/\/bos-akademie.de\/#\/schema\/logo\/image\/","url":"https:\/\/bos-akademie.de\/wp-content\/uploads\/2025\/01\/BosAkademieLogo.png","contentUrl":"https:\/\/bos-akademie.de\/wp-content\/uploads\/2025\/01\/BosAkademieLogo.png","width":167,"height":115,"caption":"BOS-Akademie"},"image":{"@id":"https:\/\/bos-akademie.de\/#\/schema\/logo\/image\/"}}]}},"_links":{"self":[{"href":"https:\/\/bos-akademie.de\/en\/wp-json\/wp\/v2\/pages\/8294","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/bos-akademie.de\/en\/wp-json\/wp\/v2\/pages"}],"about":[{"href":"https:\/\/bos-akademie.de\/en\/wp-json\/wp\/v2\/types\/page"}],"author":[{"embeddable":true,"href":"https:\/\/bos-akademie.de\/en\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/bos-akademie.de\/en\/wp-json\/wp\/v2\/comments?post=8294"}],"version-history":[{"count":3,"href":"https:\/\/bos-akademie.de\/en\/wp-json\/wp\/v2\/pages\/8294\/revisions"}],"predecessor-version":[{"id":8450,"href":"https:\/\/bos-akademie.de\/en\/wp-json\/wp\/v2\/pages\/8294\/revisions\/8450"}],"wp:attachment":[{"href":"https:\/\/bos-akademie.de\/en\/wp-json\/wp\/v2\/media?parent=8294"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}