Vertrag zur Auftragsverarbeitung

Nach Art. 28 DSGVO · Stand: 05.11.2026 · Fassung 1.2

Worum es geht

Wenn Sie MeisterOrga nutzen, erfassen Sie darin Daten über Menschen: Ihre Mitarbeiterinnen und Mitarbeiter, deren Urlaub, wer welchen Schlüssel hat, wer welches Fahrzeug fährt. Datenschutzrechtlich sind das Ihre Daten und Sie sind dafür der Verantwortliche – wir speichern sie nur in Ihrem Auftrag auf unseren Systemen.

Für genau diesen Fall verlangt Art. 28 DSGVO einen schriftlichen Vertrag zwischen Ihnen und uns. Er regelt, was wir mit Ihren Daten tun dürfen und was nicht. Der folgende Text ist dieser Vertrag.

Nicht erfasst sind hiervon die Daten, die bei uns über Sie als Kunden anfallen – Registrierung, Vertrag, Rechnungen, Support. Dafür sind wir selbst verantwortlich; das steht in der Datenschutzerklärung.

Vertragsparteien

Dieser Vertrag wird geschlossen zwischen

und

§ 1 Gegenstand und Dauer des Auftrags

Gegenstand des Auftrags ist die Bereitstellung und der Betrieb der webbasierten Betriebsverwaltung MeisterOrga als Software as a Service sowie die damit verbundene Verarbeitung personenbezogener Daten im Auftrag des Verantwortlichen.

Die Dauer dieses Vertrages entspricht der Laufzeit des zugrunde liegenden Nutzungsvertrages einschließlich einer etwaigen kostenlosen Test- oder BETA-Phase. Er endet mit dessen Beendigung, ohne dass es einer gesonderten Kündigung bedarf. Die Pflichten aus § 12 (Löschung und Rückgabe) bestehen über das Vertragsende hinaus fort.

§ 2 Art und Zweck der Verarbeitung

Die Verarbeitung umfasst das Erheben, Erfassen, Organisieren, Ordnen, Speichern, Anpassen, Auslesen, Abfragen, Verwenden, Übermitteln innerhalb der Anwendung, Einschränken und Löschen personenbezogener Daten.

Zweck ist ausschließlich die Erbringung der vertraglich vereinbarten Leistung, insbesondere:

• Verwaltung von Mitarbeiterdaten und Benutzerkonten des Betriebs
• Urlaubsplanung, Urlaubsanträge und deren Genehmigung
• Ausgabe, Rücknahme und Nachverfolgung von Schlüsseln
• Werkzeug- und Geräteverwaltung einschließlich Ausleihe
• Fahrzeug-, Anhänger- und Fuhrparkverwaltung
• Termine, Wartungs- und Prüffristen
• Veranstaltungen, Einladungen und Rückmeldungen
• Wareneingang
• Speicherung zugehöriger Fotos und Dokumente
• Protokollierung von Änderungen zur Nachvollziehbarkeit im Betrieb
• Bearbeitung von Supportmeldungen aus der Anwendung heraus

Eine Verarbeitung zu eigenen Zwecken des Auftragsverarbeiters findet nicht statt. Die Daten werden insbesondere nicht ausgewertet, nicht zu Statistiken über einzelne Betriebe zusammengeführt, nicht für Werbung verwendet und nicht an Dritte verkauft.

§ 3 Kategorien personenbezogener Daten

Verarbeitet werden können, je nachdem welche Module der Verantwortliche nutzt:

• Stammdaten: Vor- und Nachname, Personalnummer, Anschrift, Geburtsdatum, Eintrittsdatum, Betriebszugehörigkeit
• Kontaktdaten: dienstliche E-Mail-Adresse, Telefonnummer
• Zugangsdaten: Benutzerkonto, Passwort-Hash, Rollen und Berechtigungen, Zeitpunkt der letzten Anmeldung, Anmeldecodes (nur als Prüfwert, mit Zeitpunkt und IP-Adresse der Anforderung)
• Abwesenheitsdaten: Urlaubsanträge, Urlaubsansprüche, Genehmigungen, Abwesenheitszeiträume
• Zuordnungsdaten: welcher Person welcher Schlüssel, welches Werkzeug, welches Fahrzeug, welcher Anhänger und welche Arbeitskleidung zugeordnet oder ausgeliehen ist
• Bilddaten: Mitarbeiterfotos, sofern der Verantwortliche solche hinterlegt, sowie Fotos von Werkzeugen, Fahrzeugen und Veranstaltungen, auf denen Personen abgebildet sein können
• Veranstaltungsdaten: Einladungen, Zu- und Absagen, Teilnahmen an Schulungen und Unterweisungen
• Protokolldaten: wer wann welchen Datensatz geändert hat, einschließlich IP-Adresse
• Supportdaten: Name, E-Mail-Adresse, Beschreibung des Anliegens und freiwillig beigefügte Bildschirmfotos

Besondere Kategorien nach Art. 9 DSGVO – etwa Gesundheits- daten, Gewerkschaftszugehörigkeit oder Religionszugehörigkeit – sind für den Betrieb der Anwendung nicht vorgesehen. Der Verantwortliche stellt sicher, dass er solche Daten nicht in Freitextfeldern erfasst; anderenfalls trägt er die dafür erforderlichen zusätzlichen Schutzmaßnahmen und Rechtsgrundlagen selbst.

§ 4 Kategorien betroffener Personen

• Beschäftigte des Verantwortlichen, einschließlich Auszubildender, Aushilfen und Leiharbeitnehmer
• Benutzerinnen und Benutzer, denen der Verantwortliche einen Zugang einrichtet
• Ansprechpartner und Teilnehmer von Veranstaltungen, soweit vom Verantwortlichen erfasst
• weitere Personen, die der Verantwortliche in Freitextfeldern oder auf Fotos erfasst

§ 5 Rechte und Pflichten des Verantwortlichen

Der Verantwortliche ist für die Rechtmäßigkeit der Verarbeitung allein verantwortlich, insbesondere für das Vorliegen einer Rechtsgrundlage, für die Information der betroffenen Personen und – soweit im Betrieb ein Betriebsrat besteht – für dessen Beteiligung.

Er entscheidet, welche Daten er erfasst, wie lange er sie vorhält und wer in seinem Betrieb darauf zugreifen darf. Die dafür nötigen Werkzeuge – Benutzerverwaltung, Rollen, Berechtigungen, Löschfunktionen und Datenausgabe – stellt der Auftragsverarbeiter bereit.

Der Verantwortliche ist berechtigt, sich jederzeit von der Einhaltung dieses Vertrages zu überzeugen (§ 13).

§ 6 Weisungsgebundenheit

Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen. Als Weisung gelten dabei:

• dieser Vertrag einschließlich seiner Anlagen,
• die Bedienung der Anwendung durch den Verantwortlichen und die von ihm berechtigten Benutzer – jede Eingabe, Änderung und Löschung in der Anwendung ist eine Einzelweisung,
• Weisungen in Textform an die im Kopf genannte Kontaktadresse.

Ist der Auftragsverarbeiter der Auffassung, dass eine Weisung gegen datenschutzrechtliche Vorschriften verstößt, teilt er dies dem Verantwortlichen unverzüglich mit. Er ist berechtigt, die Ausführung auszusetzen, bis der Verantwortliche sie bestätigt oder ändert.

Eine Verarbeitung außerhalb der Weisungen erfolgt nur, wenn der Auftragsverarbeiter hierzu nach Unionsrecht oder dem Recht eines Mitgliedstaates verpflichtet ist. In diesem Fall teilt er dem Verantwortlichen die rechtlichen Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht dies nicht verbietet.

§ 7 Vertraulichkeit

Der Auftragsverarbeiter verpflichtet alle Personen, die auftragsgemäß Zugang zu personenbezogenen Daten des Verantwortlichen haben können, vor Aufnahme der Tätigkeit auf Vertraulichkeit. Die Verpflichtung besteht auch nach Beendigung der Tätigkeit fort.

Der Auftragsverarbeiter wird derzeit als Einzelunternehmen ohne Beschäftigte geführt; die Verpflichtung betrifft daher zunächst nur den Inhaber selbst und würde bei einer Erweiterung auf jede weitere Person ausgedehnt.

§ 8 Technische und organisatorische Maßnahmen

Der Auftragsverarbeiter trifft die in Anlage 1 beschriebenen technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO. Sie sind Bestandteil dieses Vertrages.

Die Maßnahmen unterliegen dem technischen Fortschritt. Der Auftragsverarbeiter darf sie fortentwickeln, solange das Schutzniveau dabei nicht unterschritten wird. Wesentliche Änderungen werden dokumentiert.

§ 9 Unterauftragsverarbeiter

Der Verantwortliche erteilt hiermit die allgemeine Genehmigung, weitere Auftragsverarbeiter einzusetzen. Die zum Zeitpunkt des Vertragsschlusses eingesetzten Unterauftragsverarbeiter sind in Anlage 2 aufgeführt.

Der Auftragsverarbeiter informiert den Verantwortlichen mindestens vier Wochen vor der Beauftragung eines weiteren oder dem Austausch eines bestehenden Unterauftragsverarbeiters in Textform. Der Verantwortliche kann innerhalb dieser Frist aus wichtigem datenschutzrechtlichem Grund widersprechen. Widerspricht er, ist der Auftragsverarbeiter berechtigt, den Vertrag mit Wirkung zum geplanten Wechsel zu kündigen, wenn die Leistung ohne den Unterauftragsverarbeiter nicht zumutbar erbracht werden kann.

Der Auftragsverarbeiter schließt mit jedem Unterauftragsverarbeiter einen Vertrag, der diesem mindestens dieselben Pflichten auferlegt, die ihm selbst aus diesem Vertrag obliegen. Er wählt ihn sorgfältig aus und überprüft vor der Beauftragung, dass die erforderlichen Maßnahmen eingehalten werden.

Nicht als Unterauftragsverarbeitung gelten Nebenleistungen, die der Auftragsverarbeiter bei Dritten in Anspruch nimmt, ohne dass diese bestimmungsgemäß Zugang zu personenbezogenen Daten des Verantwortlichen erhalten – etwa Telekommunikationsleistungen oder Wartung von Endgeräten.

§ 10 Unterstützung bei Betroffenenrechten

Wendet sich eine betroffene Person unmittelbar an den Auftragsverarbeiter, leitet dieser das Anliegen unverzüglich an den Verantwortlichen weiter und beantwortet es nicht selbst.

Der Auftragsverarbeiter unterstützt den Verantwortlichen mit geeigneten technischen und organisatorischen Maßnahmen bei der Erfüllung der Betroffenenrechte nach Art. 12 bis 22 DSGVO. Ein wesentlicher Teil davon ist in der Anwendung selbst angelegt: Der Verantwortliche kann jeden Datensatz einsehen, berichtigen und löschen sowie unter „Daten und Konto" eine vollständige, maschinenlesbare Ausgabe aller Daten seines Betriebs erzeugen. Für darüber hinausgehende Unterstützung kann der Auftragsverarbeiter eine angemessene Vergütung verlangen, sofern der Aufwand nicht auf einem Fehler in seiner Sphäre beruht.

§ 11 Unterstützung bei Verletzungen des Schutzes personenbezogener Daten

Der Auftragsverarbeiter unterrichtet den Verantwortlichen unverzüglich, spätestens jedoch innerhalb von 24 Stunden nach Bekanntwerden, über jede Verletzung des Schutzes personenbezogener Daten, die dessen Daten betrifft.

Die Mitteilung enthält, soweit bekannt:

• eine Beschreibung der Art der Verletzung
• die Kategorien und die ungefähre Zahl der betroffenen Personen und Datensätze
• die wahrscheinlichen Folgen
• die ergriffenen oder vorgeschlagenen Gegenmaßnahmen
• einen Ansprechpartner für Rückfragen

Die Meldung an die Aufsichtsbehörde nach Art. 33 DSGVO und die Benachrichtigung der betroffenen Personen nach Art. 34 DSGVO obliegen dem Verantwortlichen. Der Auftragsverarbeiter unterstützt ihn dabei und stellt die erforderlichen Informationen bereit.

Ebenso unterstützt der Auftragsverarbeiter den Verantwortlichen bei einer Datenschutz-Folgenabschätzung nach Art. 35 DSGVO und bei einer vorherigen Konsultation nach Art. 36 DSGVO, soweit die dafür nötigen Informationen nur ihm vorliegen.

§ 12 Löschung und Rückgabe nach Vertragsende

Der Verantwortliche kann seine Daten jederzeit selbst ausgeben lassen – je Liste als Tabellendatei und unter „Daten und Konto" vollständig als Archiv. Diese Möglichkeit besteht auch nach Ablauf einer Testphase, in der die Anwendung nur noch lesend nutzbar ist.

Nach Beendigung des Nutzungsvertrages hat der Verantwortliche 30 Tage Zeit, seine Daten herauszuverlangen oder selbst zu sichern. Nach Ablauf dieser Frist löscht der Auftragsverarbeiter sämtliche Daten des Verantwortlichen einschließlich hochgeladener Dateien, sofern keine gesetzliche Aufbewahrungspflicht entgegensteht.

Löscht der Verantwortliche sein Konto selbst über die Funktion „Daten und Konto", geschieht dies sofort und endgültig; eine Übergangsfrist besteht dann nicht.

Daten in Sicherungskopien werden mit dem Ablauf des jeweiligen Sicherungszyklus gelöscht. Bis dahin bleiben sie in die Maßnahmen nach Anlage 1 einbezogen und werden nicht wiederhergestellt, außer zur Behebung einer Störung.

Die Löschung wird dem Verantwortlichen auf Verlangen in Textform bestätigt.

§ 13 Kontrollrechte und Nachweise

Der Auftragsverarbeiter weist die Einhaltung der Pflichten aus diesem Vertrag auf Anfrage nach, insbesondere durch Vorlage dieser Vertragsunterlagen einschließlich Anlage 1 und durch Auskunft in Textform.

Der Verantwortliche kann sich darüber hinaus nach vorheriger Anmeldung mit angemessener Frist, während der üblichen Geschäftszeiten und ohne Störung des Betriebsablaufs von der Einhaltung überzeugen. Er kann die Prüfung durch einen zur Verschwiegenheit verpflichteten Dritten durchführen lassen, sofern dieser nicht in Wettbewerb zum Auftragsverarbeiter steht.

Prüfungen, die über den Nachweis in Textform hinausgehen, kann der Auftragsverarbeiter nach Aufwand berechnen, sofern kein Anlass in seiner Sphäre besteht.

§ 14 Schlussbestimmungen

Änderungen und Ergänzungen dieses Vertrages bedürfen der Textform. Das gilt auch für die Aufhebung dieses Formerfordernisses.

Sollte eine Bestimmung unwirksam sein oder werden, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt. An die Stelle der unwirksamen Bestimmung tritt diejenige zulässige Regelung, die dem wirtschaftlichen Zweck am nächsten kommt.

Bei Widersprüchen zwischen diesem Vertrag und den Allgemeinen Geschäftsbedingungen gehen die Regelungen dieses Vertrages vor, soweit sie die Verarbeitung personenbezogener Daten im Auftrag betreffen.

Es gilt das Recht der Bundesrepublik Deutschland.

Anlage 1: Technische und organisatorische Maßnahmen

Beschrieben ist der Stand vom 05.11.2026. Aufgeführt sind ausschließlich Maßnahmen, die tatsächlich umgesetzt sind. Was noch aussteht, steht am Ende dieser Anlage – nicht, weil es dort weniger auffällt, sondern damit der Verantwortliche es bei seiner eigenen Risikoabwägung berücksichtigen kann.

1. Vertraulichkeit – Zutritt, Zugang, Zugriff

• Zutrittskontrolle: Die Systeme stehen im Rechenzentrum des in Anlage 2 genannten Hosters. Für den physischen Schutz gelten dessen Maßnahmen; der Auftragsverarbeiter unterhält selbst kein Rechenzentrum.
• Zugangskontrolle: Der Zugang zur Anwendung ist ausschließlich über Kundennummer, E-Mail-Adresse und Passwort möglich, gefolgt von einem zweiten Schritt: einem einmaligen 4-stelligen Anmeldecode, der an die hinterlegte E-Mail-Adresse geht, 10 Minuten gilt und nach 5 Fehlversuchen verfällt. Der Code wird nur als HMAC-Prüfwert gespeichert, dessen Schlüssel allein in der Sitzung des Anmeldenden liegt. Das gilt für alle Konten einschließlich der Plattformverwaltung. Passwörter werden nie im Klartext gespeichert, sondern ausschließlich als bcrypt-Hash (password_hash()); veraltete Hashverfahren werden bei der Anmeldung automatisch erneuert.
• Passwortanforderungen: mindestens zehn Zeichen, Groß- und Kleinbuchstaben sowie eine Ziffer für Administratorkonten eines Betriebs.
• Schutz gegen Ausprobieren: Fehlanmeldungen werden je IP-Adresse und je Konto gezählt; nach mehreren Fehlversuchen wird der Zugang zeitlich gesperrt. Die dabei verwendete Aufruferadresse wird aus REMOTE_ADDR gebildet und nicht aus einer vom Browser gesetzten Kopfzeile, die sich fälschen ließe.
• Sitzungssicherheit: Das Sitzungscookie ist für JavaScript nicht lesbar (HttpOnly), trägt SameSite=Lax und wird unter HTTPS als Secure gesetzt. Die Sitzungskennung wird nach der Anmeldung und danach regelmäßig erneuert (Schutz gegen Session-Fixation).
• Zugriffskontrolle: Rollen- und Rechtemodell mit einzeln vergebbaren Berechtigungen je Modul und Vorgang. Jeder aufrufende Vorgang prüft das Recht serverseitig; die Navigation blendet Bereiche ohne Recht zusätzlich aus.
• Trennungskontrolle (Mandantentrennung): Jeder Betrieb arbeitet in einem getrennten Datenbereich. Die Firmenkennung (company_id) wird ausschließlich aus der angemeldeten Sitzung abgeleitet und nie aus der Adresszeile oder einem Formularfeld übernommen. Jede lesende und schreibende Abfrage ist darauf eingegrenzt.

2. Integrität – Weitergabe und Eingabe

• Transportverschlüsselung: Der produktive Betrieb erfolgt ausschließlich über HTTPS (TLS). E-Mails werden verschlüsselt übergeben, soweit der Zielserver dies unterstützt.
• Keine Datenübermittlung an Dritte im Browser: Die Anwendung lädt keine Inhalte von fremden Servern – keine Schriftarten, keine Skriptbibliotheken, keine Analysedienste. Beim Aufruf entsteht keine Verbindung zu Dritten.
• Schutz vor Fremdaufrufen (CSRF): Jedes Formular, das Daten verändert, trägt ein sitzungsgebundenes Merkmal, das serverseitig geprüft wird.
• Schutz vor Einschleusen von Datenbankbefehlen: Alle Datenbankzugriffe verwenden vorbereitete Anweisungen mit gebundenen Werten.
• Schutz vor eingeschleustem Code: Jede Ausgabe wird maskiert; ein hochgeladenes Bild wird serverseitig neu berechnet, so dass eingebetteter Code nicht überlebt.
• Uploadprüfung: Dateien werden nach dem Dateikopf beurteilt, nicht nach Endung oder gemeldetem Typ. Das Uploadverzeichnis ist über den Webserver vollständig gesperrt; Dateien werden nur über die Anwendung ausgeliefert, nachdem Anmeldung und Berechtigung geprüft wurden.
• Eingabekontrolle: Änderungen an Datensätzen werden protokolliert – wer, wann, was, von welcher Adresse.
• Schutzkopfzeilen: X-Content-Type-Options, X-Frame-Options, Referrer-Policy, Permissions-Policy und eine Content-Security-Policy werden bei jeder Auslieferung gesetzt; Strict-Transport-Security ist für den produktiven HTTPS-Betrieb vorgesehen.
• Getrennte Zugangsdaten: Die Anwendung greift mit einem eigenen Datenbankbenutzer zu, nicht mit dem administrativen Konto der Datenbank. Zugangsdaten stehen ausschließlich in einer Konfigurationsdatei außerhalb des ausgelieferten Bereichs und nicht im Quelltext.

3. Verfügbarkeit und Belastbarkeit

• Betrieb in einem Rechenzentrum mit unterbrechungsfreier Stromversorgung, Klimatisierung und Brandschutz nach den Maßnahmen des Hosters.
• Serverprotokolle zur Fehlersuche; Anwendungsfehler werden protokolliert, ohne dass Passwörter, Merkmale zum Zurücksetzen von Passwörtern oder Sitzungskennungen darin auftauchen.
• Wiederherstellbarkeit einzelner Betriebe aus der vollständigen Datenausgabe.

4. Verfahren zur Überprüfung und Bewertung

• Datenschutz durch Voreinstellung: Öffentliche Seiten setzen kein Cookie, das nicht unbedingt erforderlich ist. Die Besucherzählung der Verkaufsseite kommt ohne Wiedererkennungsmerkmal aus.
• Datensparsamkeit: Bei der Registrierung werden nur die Angaben erhoben, die für Vertrag und Rechnung erforderlich sind.
• Auftragskontrolle: Unterauftragsverarbeiter werden vertraglich nach Art. 28 DSGVO gebunden; die Liste steht in Anlage 2.
• Löschbarkeit: Der Verantwortliche kann einzelne Datensätze, einzelne Benutzer und seinen gesamten Betrieb einschließlich aller Dateien selbst löschen.
• Datenübertragbarkeit: Vollständige Ausgabe aller Daten eines Betriebs als Archiv mit Tabellendateien und den hochgeladenen Dateien.

5. Noch nicht umgesetzt

Die folgenden Maßnahmen sind zum genannten Stand nicht umgesetzt. Sie stehen hier, damit der Verantwortliche sie bei seiner eigenen Bewertung berücksichtigen kann:

• Regelmäßige, geprüfte Datensicherung durch den Auftragsverarbeiter. Ein eigener, automatisch laufender Sicherungsvorgang mit erprobter Wiederherstellung ist noch nicht eingerichtet. Bis dahin gelten allein die Sicherungen des Hosters nach dessen Leistungsbeschreibung.
• Verschlüsselung der Daten im Ruhezustand. Die Datenbank und die hochgeladenen Dateien liegen unverschlüsselt auf dem Dateisystem des Servers.
• Zweiter Faktor unabhängig vom E-Mail-Postfach. Der zweite Anmeldeschritt erfolgt per Code an die E-Mail-Adresse des Kontos. Ein Verfahren mit eigenem Gerät (Authenticator-App, Sicherheitsschlüssel) ist nicht umgesetzt; wer Passwort und Zugang zum Postfach hat, kann sich anmelden.
• Automatisierte Löschfristen. Datensätze werden nicht von selbst nach einer festen Frist gelöscht; die Löschung veranlasst der Verantwortliche.
• Benannter Datenschutzbeauftragter. Ein solcher ist nicht bestellt; eine Bestellpflicht nach § 38 BDSG besteht nach derzeitiger Einschätzung nicht.
• Dokumentierter Prozess für Sicherheitsaktualisierungen. Aktualisierungen von Betriebssystem, PHP und Datenbank erfolgen, sind aber nicht in einem festen, nachweisbaren Verfahren geregelt.

Anlage 2: Unterauftragsverarbeiter

Zum genannten Stand werden die folgenden Unterauftragsverarbeiter eingesetzt:

Eine Verarbeitung außerhalb der Europäischen Union bzw. des Europäischen Wirtschaftsraums findet nicht statt.

Abschluss dieses Vertrages

Möchten Sie diesen Vertrag zeichnen, wenden Sie sich an info@meisterorga.de oder nutzen Sie das Kontaktformular. Sie erhalten das Dokument dann in unterschriftsfähiger Form.

Dieses Vertragsmuster wurde nach den üblichen Anforderungen des Art. 28 DSGVO aufgebaut und beschreibt die tatsächlich eingesetzte Technik. Es ersetzt keine anwaltliche Prüfung; vor der Verwendung im Geschäftsverkehr sollte es von fachkundiger Seite gegengelesen werden.