Rechtliches
Vereinbarung zur Auftragsverarbeitung gemäß Art. 28 DSGVO
(1) Gegenstand dieses Auftragsverarbeitungsvertrags (AVV) ist die Verarbeitung personenbezogener Daten durch die Softwareentwicklung Sebastian Bleuel (Auftragsverarbeiter) im Auftrag des Kunden (Verantwortlicher) im Rahmen der Nutzung der Anwendung „FarmManager". Die Dauer entspricht der Laufzeit des zugrunde liegenden Hauptvertrags.
(2) Hauptvertrag sind die Allgemeinen Geschäftsbedingungen und Nutzungsbedingungen des Auftragsverarbeiters (AGB) einschließlich der vom Verantwortlichen gebuchten Pakete. Dieser AVV konkretisiert die datenschutzrechtlichen Pflichten der Vertragsparteien; in Fragen des Datenschutzes geht er den Regelungen des Hauptvertrags vor. Die Pflichten aus diesem AVV bestehen fort, solange der Auftragsverarbeiter personenbezogene Daten des Verantwortlichen verarbeitet.
(3) Der Verantwortliche nimmt diesen AVV bei der Registrierung elektronisch an; der Auftragsverarbeiter protokolliert Fassung und Zeitpunkt der Annahme. Der AVV wird damit in elektronischer Form geschlossen (Art. 28 Abs. 9 DSGVO) und ist auf dieser Seite vollständig wiedergegeben.
(1) Der Auftragsverarbeiter verarbeitet die vom Verantwortlichen und dessen Nutzern eingegebenen, hochgeladenen oder über aktivierte Schnittstellen übernommenen Daten ausschließlich zum Zweck der Bereitstellung und des Betriebs der Anwendung sowie der vereinbarten Funktionen. Die Verarbeitung umfasst insbesondere das Speichern, Anzeigen, Auswerten, Exportieren, Sichern und Löschen der Daten, den Versand von System-E-Mails, die Fehlerbehebung und den Support sowie Übermittlungen, die der Verantwortliche selbst veranlasst (§ 8).
(2) Kategorien betroffener Personen: Nutzer und Mitarbeitende des Verantwortlichen; vom Verantwortlichen erfasste Personen ohne Benutzerkonto (z. B. Aushilfen oder Fahrer von Lohnunternehmen als Anwender von Pflanzenschutzmitteln); Kunden, Lieferanten und sonstige Geschäftspartner einschließlich Bezugsquellen von Tierarzneimitteln; Tierärztinnen und Tierärzte.
(3) Datenkategorien: Kontakt- und Stammdaten, Arbeitszeit- und Lohndaten, Namen von Anwendern, Bezugsquelle und Erwerbsnachweis von Tierarzneimitteln, Behandlungs- und Impfdaten von Tieren, Flächen-, Dünge- und Pflanzenschutzdaten, Maschinen- und Positionsdaten, Finanz- und Belegdaten sowie Zugangs- und Protokolldaten der Nutzer.
(1) Der Auftragsverarbeiter verarbeitet die Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen – auch in Bezug auf die Übermittlung in ein Drittland –, sofern er nicht durch das Recht der Union oder der Mitgliedstaaten, dem er unterliegt, hierzu verpflichtet ist (Art. 28 Abs. 3 lit. a DSGVO); in einem solchen Fall teilt er dem Verantwortlichen diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht eine solche Mitteilung nicht wegen eines wichtigen öffentlichen Interesses verbietet.
(2) Die Weisungen des Verantwortlichen ergeben sich aus dem Hauptvertrag, diesem AVV sowie aus der Nutzung und Einstellung der Funktionen der Anwendung durch den Verantwortlichen (z. B. dem Aktivieren einer Schnittstelle oder dem Auslösen einer Meldung). Einzelweisungen erteilt der Verantwortliche in Textform.
(3) Ist der Auftragsverarbeiter der Auffassung, dass eine Weisung gegen datenschutzrechtliche Vorschriften verstößt, informiert er den Verantwortlichen unverzüglich.
(1) Der Auftragsverarbeiter gewährleistet, dass sich die zur Verarbeitung der Daten befugten Personen zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen (Art. 28 Abs. 3 lit. b DSGVO).
(2) Er unterstützt den Verantwortlichen angesichts der Art der Verarbeitung nach Möglichkeit mit geeigneten technischen und organisatorischen Maßnahmen dabei, Anträge betroffener Personen auf Wahrnehmung ihrer Rechte zu beantworten (Art. 28 Abs. 3 lit. e DSGVO). Hierzu stellt die Anwendung Funktionen zum Export sowie zur Löschung bzw. Pseudonymisierung personenbezogener Daten bereit; für Personen ohne Benutzerkonto (z. B. Anwender von Pflanzenschutzmitteln) erfolgen Auskunft, Berichtigung und Löschung über die Bearbeitung der jeweiligen Datensätze. Wendet sich eine betroffene Person unmittelbar an den Auftragsverarbeiter, verweist er sie an den Verantwortlichen.
(3) Er unterstützt den Verantwortlichen unter Berücksichtigung der Art der Verarbeitung und der ihm zur Verfügung stehenden Informationen bei der Einhaltung der Pflichten aus Art. 32 bis 36 DSGVO, einschließlich einer Datenschutz-Folgenabschätzung und einer vorherigen Konsultation der Aufsichtsbehörde (Art. 28 Abs. 3 lit. f DSGVO).
(4) Wird dem Auftragsverarbeiter eine Verletzung des Schutzes personenbezogener Daten bekannt, die Daten des Verantwortlichen betrifft, meldet er sie dem Verantwortlichen unverzüglich (Art. 33 Abs. 2 DSGVO) und stellt ihm die ihm vorliegenden Informationen zur Verfügung, die der Verantwortliche für eine Meldung an die Aufsichtsbehörde und eine Benachrichtigung der betroffenen Personen benötigt.
(5) Der Auftragsverarbeiter stellt dem Verantwortlichen alle erforderlichen Informationen zum Nachweis der Einhaltung der in Art. 28 DSGVO niedergelegten Pflichten zur Verfügung und ermöglicht Überprüfungen – einschließlich Inspektionen –, die vom Verantwortlichen oder einem von diesem beauftragten Prüfer durchgeführt werden, und trägt dazu bei (Art. 28 Abs. 3 lit. h DSGVO).
Der Auftragsverarbeiter trifft geeignete technische und organisatorische Maßnahmen nach Art. 32 DSGVO (u. a. Verschlüsselung der Übertragung, Zugriffskontrolle über Rollen und Berechtigungen, Zwei-Faktor-Authentifizierung, strikte Mandantentrennung, regelmäßige Datensicherungen und Protokollierung). Eine Übersicht stellen wir auf Anfrage bereit.
(1) Der Verantwortliche erteilt die allgemeine Genehmigung, weitere Auftragsverarbeiter (Unterauftragsverarbeiter) in Anspruch zu nehmen. Die bei Abschluss dieses AVV eingesetzten Unterauftragsverarbeiter sind in § 7 aufgeführt; ihrem Einsatz stimmt der Verantwortliche zu.
(2) Über jede beabsichtigte Änderung in Bezug auf die Hinzuziehung oder die Ersetzung von Unterauftragsverarbeitern informiert der Auftragsverarbeiter den Verantwortlichen rechtzeitig vorher in Textform; der Verantwortliche kann der Änderung widersprechen (Art. 28 Abs. 2 Satz 2 DSGVO).
(3) Der Auftragsverarbeiter erlegt jedem Unterauftragsverarbeiter vertraglich dieselben Datenschutzpflichten auf, die in diesem Vertrag festgelegt sind (Art. 28 Abs. 4 DSGVO). Kommt ein Unterauftragsverarbeiter seinen Datenschutzpflichten nicht nach, haftet der Auftragsverarbeiter gegenüber dem Verantwortlichen für die Einhaltung der Pflichten jenes Unterauftragsverarbeiters.
(4) Übermittlungen in Drittländer erfolgen nur auf Grundlage eines Angemessenheitsbeschlusses der Europäischen Kommission (insbesondere EU-US Data Privacy Framework) oder von EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO).
Der Auftragsverarbeiter setzt folgende Unterauftragsverarbeiter ein (Stand: 11.10.2026):
(1) Empfänger auf Weisung des Verantwortlichen sind behördliche Meldestellen, insbesondere die zentrale Datenbank HI-Tier einschließlich der TAM-Datenbank. Diese sind keine Unterauftragsverarbeiter. Übermittlungen erfolgen ausschließlich mit den Zugangsdaten und auf Veranlassung des Verantwortlichen, etwa Bestands- und Bewegungsmeldungen, Mitteilungen nach §§ 55 und 56 TAMG oder – nach Aktivierung – wöchentliche Schweine-Todmeldungen (S_TODKW). Die HI-Tier-Zugangsdaten werden verschlüsselt gespeichert.
(2) Nutzt der Verantwortliche die Adresssuche in Eingabemasken der Anwendung (z. B. für Ställe, Landschaftselemente oder Adressen in der Disposition) oder die Ansicht „Gelände 3D“ einer Fläche, übermittelt die Anwendung den eingegebenen Suchbegriff bzw. Koordinaten an öffentliche Geodienste: an den Suchdienst Nominatim der OpenStreetMap Foundation, Vereinigtes Königreich, und an den Höhendienst OpenTopoData. Übernimmt er beim Import von Flächen ein Flurstück aus Nordrhein-Westfalen („Flurstück eingeben“), übermittelt die Anwendung Gemarkung, Flur und Flurstücksnummer an den Geodatendienst des Landes Nordrhein-Westfalen (Geobasis NRW, Bezirksregierung Köln). Einzelheiten enthält die Datenschutzerklärung.
Im Rahmen der Bereitstellung, des Betriebs, der Wartung, der Fehlerbehebung und des Supports hat der Auftragsverarbeiter technisch die Möglichkeit, auf sämtliche im Auftrag verarbeiteten Daten aller Mandanten zuzugreifen und diese einzusehen. Ein solcher Zugriff erfolgt ausschließlich auf dokumentierte Weisung des Verantwortlichen sowie zu den vorgenannten Zwecken, ist auf das erforderliche Maß beschränkt und unterliegt der Vertraulichkeit. Eine Verarbeitung zu eigenen Zwecken des Auftragsverarbeiters findet nicht statt; ausgenommen ist der Flächenabgleich bei Lite-Betrieben nach § 9 Abs. 6 der AGB, für den der Auftragsverarbeiter selbst Verantwortlicher ist.
Der Verantwortliche ist für die Rechtmäßigkeit der Verarbeitung und die Wahrung der Rechte der betroffenen Personen verantwortlich. Er ist berechtigt, Weisungen zu erteilen (§ 3) und die Einhaltung dieses AVV zu überprüfen (§ 4 Abs. 5). Stellt er bei der Nutzung der Anwendung Fehler oder Unregelmäßigkeiten in Bezug auf datenschutzrechtliche Bestimmungen fest, informiert er den Auftragsverarbeiter unverzüglich.
Nach Beendigung der Erbringung der Verarbeitungsleistungen löscht der Auftragsverarbeiter nach Wahl des Verantwortlichen alle personenbezogenen Daten oder gibt sie ihm zurück und löscht die vorhandenen Kopien, sofern nicht nach dem Unionsrecht oder dem Recht der Mitgliedstaaten eine Verpflichtung zur Speicherung besteht (Art. 28 Abs. 3 lit. g DSGVO). Die Rückgabe erfolgt durch Bereitstellung der Daten in einem gängigen maschinenlesbaren Format nach § 11 Abs. 2 der AGB.
Ansprechpartner des Auftragsverarbeiters für Fragen zum Datenschutz und zu diesem AVV: Softwareentwicklung Sebastian Bleuel, Ortesweg 10, 36145 Hofbieber, E-Mail: info@sebastian-bleuel.de.
