Auftragsverarbeitungsvertrag (Anlage 1 zu den AGB)

Anlage 1 zu den Allgemeinen Geschäftsbedingungen. Dieser Vertrag wird mit der Registrierung gemeinsam mit den AGB geschlossen und bedarf keiner gesonderten Unterzeichnung.

§ 1 Vertragsparteien und Gegenstand

(1) Verantwortlicher im Sinne von Art. 4 Nr. 7 DSGVO ist der Kunde (die Tierarztpraxis bzw. das nutzende Unternehmen), nachfolgend „Verantwortlicher”.

(2) Auftragsverarbeiter im Sinne von Art. 4 Nr. 8 DSGVO ist die Steffen Burosch & Erik-Manuel Zorn GbR, Schlehenstraße 57, 71149 Bondorf, nachfolgend „Auftragsverarbeiter”.

(3) Gegenstand dieses Vertrages ist die Verarbeitung personenbezogener Daten durch den Auftragsverarbeiter im Rahmen der Bereitstellung der Web-Applikation „catalog” (nachfolgend „Dienst”) gemäß den AGB. Dieser Vertrag konkretisiert die Pflichten der Parteien nach Art. 28 DSGVO.

(4) Die Laufzeit dieses Vertrages entspricht der Laufzeit des Hauptvertrages (AGB). Er endet automatisch mit dessen Beendigung.

§ 2 Art und Zweck der Verarbeitung

(1) Art der Verarbeitung: Erheben, Speichern, Ordnen, Auslesen, Verändern, Übermitteln (innerhalb des Dienstes) und Löschen personenbezogener Daten mittels automatisierter Verfahren in einer Cloud-Infrastruktur.

(2) Zweck der Verarbeitung: Bereitstellung, Betrieb, Wartung und Support des Dienstes zur Verwaltung von Bestelllisten, Wareneingängen und Produktkatalogen für Tierarztpraxen. Dazu gehören insbesondere die Benutzerauthentifizierung, die Zuordnung von Nutzern zu einer Praxis, die Speicherung der Bestell- und Wareneingangsdaten sowie die technische Fehlerdiagnose.

§ 3 Kategorien betroffener Personen und Daten

(1) Kategorien betroffener Personen:

Mitarbeiterinnen und Mitarbeiter des Verantwortlichen, die als Benutzer im Dienst angelegt sind (Praxisinhaber, Administratoren, Mitarbeitende)

(2) Kategorien personenbezogener Daten:

Anzeigename (frei gewählt, kein Klarname erforderlich)
E-Mail-Adresse
Benutzerkennung (Firebase User-ID) sowie Rolle und Praxiszuordnung
Name und Anschrift der Praxis sowie deren Einstellungen (Bestandsdaten des Verantwortlichen; personenbezogen nur, soweit die Praxis als Einzelunternehmen firmiert)
Zeitstempel und Urheberkennung von Aktionen im Dienst (z. B. wer eine Bestellung angelegt oder einen Wareneingang gebucht hat)
Technische Fehlerprotokolle (Benutzerkennung, E-Mail-Adresse, Rolle, Praxiszuordnung, Browser- und Gerätedaten), automatische Löschung nach 30 Tagen
Abrechnungsbezogene Daten (Name und E-Mail-Adresse des Rechnungsempfängers), soweit ein kostenpflichtiges Abonnement besteht

(3) Es werden keine besonderen Kategorien personenbezogener Daten im Sinne von Art. 9 DSGVO und keine Patienten- oder Tierhalterdaten im Dienst verarbeitet. Der Verantwortliche ist verpflichtet, solche Daten nicht in Freitextfeldern des Dienstes (z. B. Notizen zu Bestellungen) einzugeben.

(4) Bilddaten der Gerätekamera (Barcode-Scanner) werden ausschließlich lokal auf dem Endgerät verarbeitet und nicht an den Auftragsverarbeiter übertragen.

§ 4 Weisungsrecht des Verantwortlichen

(1) Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen, es sei denn, er ist nach Unionsrecht oder dem Recht eines Mitgliedstaates zur Verarbeitung verpflichtet.

(2) Die Nutzung des Dienstes gemäß der AGB und dessen Funktionsumfang stellt die Hauptweisung dar. Einzelweisungen, die darüber hinausgehen, sind in Textform (z. B. per E-Mail an kontakt@vet-digital.de) zu erteilen und werden vom Auftragsverarbeiter dokumentiert.

(3) Ist der Auftragsverarbeiter der Auffassung, dass eine Weisung gegen datenschutzrechtliche Vorschriften verstößt, hat er den Verantwortlichen unverzüglich darauf hinzuweisen. Er ist berechtigt, die Ausführung der betreffenden Weisung bis zu deren Bestätigung oder Änderung auszusetzen.

§ 5 Vertraulichkeit

Der Auftragsverarbeiter stellt sicher, dass sich alle zur Verarbeitung befugten Personen zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen (Art. 28 Abs. 3 lit. b DSGVO). Die betreffenden Personen werden über die Vorgaben der DSGVO unterrichtet.

§ 6 Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

Der Auftragsverarbeiter trifft die folgenden Maßnahmen zur Sicherheit der Verarbeitung:

Zugangs- und Zugriffskontrolle

Passwortlose Authentifizierung per Einmalcode; Einmalcodes werden ausschließlich gehasht und mit kurzer Gültigkeitsdauer gespeichert
Rollenbasiertes Berechtigungskonzept (Administrator / Mitarbeitende)
Serverseitig durchgesetzte Mandantentrennung: Datenbankregeln (Firestore Security Rules) verhindern, dass Nutzer auf Daten einer anderen Praxis zugreifen können
Rate-Limiting beim Anmeldevorgang zum Schutz vor automatisierten Angriffen

Verschlüsselung

Transportverschlüsselung (TLS/HTTPS) für sämtliche Verbindungen
Verschlüsselung der Daten im ruhenden Zustand („encryption at rest”) durch die eingesetzte Cloud-Infrastruktur

Verfügbarkeit und Belastbarkeit

Betrieb auf der Infrastruktur von Google Cloud / Firebase mit automatisierter Replikation
Regelmäßige Backups durch den Infrastrukturanbieter
Getrennte Umgebungen für Test (Staging) und Produktivbetrieb

Eingabe- und Nachvollziehbarkeitskontrolle

Protokollierung von Erstellungs- und Änderungszeitpunkten sowie der handelnden Benutzerkennung bei Bestell- und Wareneingangsvorgängen

Datenminimierung

Verzicht auf die Erhebung von IP-Adressen in den Fehlerprotokollen
Automatische Löschung technischer Fehlerprotokolle nach 30 Tagen
Freie Wahl des Anzeigenamens; ein Klarname ist nicht erforderlich

Der Auftragsverarbeiter ist berechtigt, die Maßnahmen an den Stand der Technik anzupassen, sofern das Schutzniveau nicht unterschritten wird.

§ 7 Unterauftragsverarbeiter

(1) Der Verantwortliche erteilt hiermit seine allgemeine Genehmigung zum Einsatz der folgenden Unterauftragsverarbeiter:

Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland — Hosting, Datenbank (Cloud Firestore), Authentifizierung, Cloud Functions. Verarbeitungsort: Europäische Union (Region europe-west3).
Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, Deutschland — Versand von System-E-Mails (SMTP). Verarbeitungsort: Deutschland.
Stripe Payments Europe, Ltd., 1 Grand Canal Street Lower, Grand Canal Dock, Dublin, Irland — Zahlungsabwicklung und Abonnementverwaltung (nur bei kostenpflichtigem Abonnement). Eine Übermittlung in die USA an die Stripe, Inc. wird auf die EU-Standardvertragsklauseln gestützt.

(2) Der Auftragsverarbeiter hat mit diesen Unterauftragsverarbeitern Verträge gemäß Art. 28 DSGVO geschlossen, die den Anforderungen dieses Vertrages entsprechen.

(3) Der Auftragsverarbeiter informiert den Verantwortlichen mindestens vier Wochen vorab in Textform über jede beabsichtigte Änderung in Bezug auf die Hinzuziehung oder Ersetzung von Unterauftragsverarbeitern. Der Verantwortliche kann einer solchen Änderung aus wichtigem datenschutzrechtlichem Grund innerhalb von zwei Wochen widersprechen. Im Falle eines begründeten Widerspruchs ist jede Partei berechtigt, den Hauptvertrag zum Zeitpunkt der geplanten Änderung zu kündigen.

§ 8 Unterstützungspflichten

(1) Der Auftragsverarbeiter unterstützt den Verantwortlichen mit geeigneten technischen und organisatorischen Maßnahmen bei der Erfüllung von Anfragen betroffener Personen (Art. 12 bis 23 DSGVO), insbesondere bei Auskunft, Berichtigung, Löschung und Datenübertragbarkeit.

(2) Wendet sich eine betroffene Person unmittelbar an den Auftragsverarbeiter, leitet dieser die Anfrage unverzüglich an den Verantwortlichen weiter.

(3) Der Auftragsverarbeiter unterstützt den Verantwortlichen bei der Einhaltung der Pflichten nach Art. 32 bis 36 DSGVO (Sicherheit der Verarbeitung, Meldung von Verletzungen des Schutzes personenbezogener Daten, Datenschutz-Folgenabschätzung).

§ 9 Meldung von Datenschutzverletzungen

Der Auftragsverarbeiter meldet dem Verantwortlichen jede Verletzung des Schutzes personenbezogener Daten unverzüglich, spätestens innerhalb von 24 Stunden nach Kenntnisnahme, in Textform. Die Meldung enthält, soweit verfügbar, eine Beschreibung der Art der Verletzung, die Kategorien und die ungefähre Zahl der betroffenen Personen und Datensätze, die wahrscheinlichen Folgen sowie die ergriffenen oder vorgeschlagenen Gegenmaßnahmen.

§ 10 Nachweise und Kontrollen

(1) Der Auftragsverarbeiter stellt dem Verantwortlichen auf Anfrage alle erforderlichen Informationen zum Nachweis der Einhaltung der Pflichten aus Art. 28 DSGVO zur Verfügung.

(2) Der Verantwortliche ist berechtigt, Überprüfungen durchzuführen oder durch einen zur Verschwiegenheit verpflichteten Prüfer durchführen zu lassen. Überprüfungen erfolgen nach angemessener Vorankündigung (mindestens 14 Tage), während der üblichen Geschäftszeiten und ohne Störung des Betriebsablaufs, in der Regel höchstens einmal jährlich. Anlassbezogene Überprüfungen bleiben unberührt.

(3) Der Nachweis kann auch durch Vorlage geeigneter Zertifizierungen oder Prüfberichte der eingesetzten Unterauftragsverarbeiter erbracht werden.

§ 11 Löschung und Rückgabe der Daten

(1) Nach Beendigung des Hauptvertrages löscht der Auftragsverarbeiter die im Auftrag verarbeiteten personenbezogenen Daten gemäß den in den AGB (§ 13) geregelten Fristen, sofern keine gesetzliche Aufbewahrungspflicht entgegensteht.

(2) Der Verantwortliche kann seine Daten vor Ablauf der Frist über die Exportfunktion des Dienstes selbst sichern oder einen vollständigen Datenexport in einem gängigen, maschinenlesbaren Format beim Auftragsverarbeiter anfordern.

(3) Daten, die gesetzlichen Aufbewahrungspflichten unterliegen (insbesondere Rechnungsdaten), werden bis zum Ablauf der jeweiligen Frist aufbewahrt und anschließend gelöscht.

§ 12 Haftung und Schlussbestimmungen

(1) Für die Haftung der Parteien gelten die Regelungen des Hauptvertrages (§ 10 der AGB) sowie Art. 82 DSGVO.

(2) Im Falle von Widersprüchen zwischen diesem Vertrag und dem Hauptvertrag gehen die Regelungen dieses Vertrages hinsichtlich der Auftragsverarbeitung vor.

(3) Sollten einzelne Bestimmungen dieses Vertrages unwirksam sein oder werden, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt.

(4) Es gilt das Recht der Bundesrepublik Deutschland.

Stand: Juli 2026