Pluvius GmbH – Software für Wasserschadensanierung
Fassung 2026-10
Fassung 2026-10 – ersetzt die Fassung V1.7 vom 24.01.2023.
zwischen der
Pluvius GmbH, Zechenring 52, 41836 Hückelhoven
(nachfolgend „Auftragnehmer“ / „Auftragsverarbeiter“)
und
dem im Lizenzvertrag genannten Kunden
(nachfolgend „Auftraggeber“ / „Verantwortlicher“)
Diese Vereinbarung zur Auftragsverarbeitung (nachfolgend „AV“) regelt die Rechte und Pflichten der Parteien im Zusammenhang mit der Verarbeitung personenbezogener Daten im Hinblick auf die Erfüllung und Einhaltung gesetzlicher Bestimmungen zum Datenschutz. Die gesetzlichen Grundlagen bilden die Regelungen der Europäischen Datenschutzgrundverordnung (nachfolgend „DS-GVO“) und des Bundesdatenschutzgesetzes (nachfolgend „BDSG“).
„Auftragsverarbeiter“ bezeichnet diejenige natürliche oder juristische Person, die personenbezogene Daten im Auftrag des Verantwortlichen verarbeitet.
„Betroffener“ bezeichnet die identifizierte oder identifizierbare natürliche Person, auf die sich personenbezogene Daten beziehen.
„Personenbezogene Daten“ sind alle Informationen über eine bestimmte oder bestimmbare natürliche Person.
„Subunternehmer“ bezeichnet sämtliche von Seiten des Auftragsverarbeiters beauftragte weitere Auftragsverarbeiter (Unterauftragsverhältnis), um bestimmte Verarbeitungstätigkeiten im Namen des Verantwortlichen auszuführen.
„Verantwortlicher“ bezeichnet diejenige natürliche oder juristische Person, die allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung personenbezogener Daten entscheidet.
„Verarbeitung“ bezeichnet jeden mit oder ohne Hilfe automatisierter Verfahren ausgeführten Vorgang oder jede solche Vorgangsreihe im Zusammenhang mit personenbezogenen Daten wie das Erheben, das Erfassen, die Organisation, das Ordnen, die Speicherung, die Anpassung oder Veränderung, das Auslesen, das Abfragen, die Verwendung, die Offenlegung durch Übermittlung, Verbreitung oder eine andere Form der Bereitstellung, den Abgleich oder die Verknüpfung, die Einschränkung, das Löschen oder die Vernichtung.
(1) Gegenstand des Auftrags ist die Bereitstellung und das Hosting der Verwaltungssoftware Pluvius für die Organisation und das Management von Aufträgen in den Bereichen Leckageortung, Trocknung und Instandsetzung nach dem Lizenzvertrag und der Leistungs- und Supportbeschreibung.
(2) Die Dauer des Auftrags entspricht der Laufzeit des Lizenzvertrags.
(1) Im Rahmen der Leistungserbringung werden Daten folgender Personengruppen verarbeitet:
(2) Verarbeitet werden folgende Arten personenbezogener Daten:
Besondere Kategorien personenbezogener Daten nach Art. 9 DS-GVO sind nicht Gegenstand der Verarbeitung. Gibt der Auftraggeber sie dennoch ein, ist er dafür allein verantwortlich.
(3) Die Datenverarbeitung findet in einem Mitgliedsstaat der Europäischen Union oder in einem anderen Vertragsstaat des Abkommens über den Europäischen Wirtschaftsraum statt. Ausnahmen ergeben sich ausschließlich aus den in Anlage 2 genannten Unterauftragsverhältnissen mit den dort angegebenen Garantien. Jede weitere Verlagerung in ein Drittland bedarf der vorherigen Zustimmung des Auftraggebers in Textform und darf nur erfolgen, wenn die besonderen Voraussetzungen der Art. 44 ff. DS-GVO erfüllt sind.
(4) Aktiviert der Auftraggeber in der Software selbst einen externen Dienst mit eigenem Zugang, etwa einen KI-Anbieter mit eigenem API-Schlüssel oder den Abgleich mit seinem eigenen Microsoft-Konto, beauftragt er diesen Dienst selbst. Ein solcher Dienst ist kein Unterauftragnehmer des Auftragnehmers.
(1) Der Auftraggeber ist im Rahmen dieser Vereinbarung für die Einhaltung der gesetzlichen Bestimmungen zum Datenschutz, insbesondere für die Rechtmäßigkeit der Datenweitergabe an den Auftragnehmer sowie für die Rechtmäßigkeit der Verarbeitung allein verantwortlich („Verantwortlicher“ i.S.v. Art. 4 Nr. 7 DS-GVO).
(2) Der Auftraggeber ist als Verantwortlicher für die Wahrung der Betroffenenrechte verantwortlich. Der Auftragnehmer wird den Auftraggeber unverzüglich darüber informieren, wenn Betroffene ihre Betroffenenrechte gegenüber dem Auftragnehmer geltend machen.
(3) Der Auftraggeber hat das Recht, jederzeit ergänzende Weisungen über Art, Umfang und Verfahren der Datenverarbeitung gegenüber dem Auftragnehmer zu erteilen. Weisungen sind in Textform zu erteilen.
(4) Regelungen über eine etwaige Vergütung von Mehraufwänden, die in Folge ergänzender Weisungen des Auftraggebers beim Auftragnehmer entstehen, bleiben unberührt.
(5) Der Auftraggeber informiert den Auftragnehmer unverzüglich, wenn er Fehler oder Unregelmäßigkeiten im Zusammenhang mit der Verarbeitung personenbezogener Daten durch den Auftragnehmer feststellt.
(1) Der Auftraggeber hat das Recht, sich vor Beginn der Datenverarbeitung und sodann regelmäßig durch Stichprobenkontrollen, die mit einer angemessenen Vorlaufzeit beim Auftragnehmer bzw. dessen Unterauftragnehmer anzumelden sind, von der Einhaltung der gesetzlich und in dieser Vereinbarung übernommenen Verpflichtungen des Auftragnehmers bzw. von dessen Unterauftragnehmer in dessen Geschäftsbetrieb zu dessen Geschäftszeiten zu überzeugen (Kontrollrecht). Er kann diese Überprüfung selbst durchführen oder durch von ihm zu benennende, auf Vertraulichkeit verpflichtete Dritte auf seine Kosten durchführen lassen. Dritte in diesem Sinne dürfen keine Vertreter von Wettbewerbern des Auftragnehmers sein. Der Auftragnehmer kann der Überprüfung durch externe Prüfer widersprechen, wenn der vom Auftraggeber ausgewählte Prüfer in einem Wettbewerbsverhältnis zum Auftragnehmer steht.
(2) Der Auftragnehmer stellt sicher, dass sich der Auftraggeber von der Einhaltung der Pflichten des Auftragnehmers nach Art. 28 DS-GVO überzeugen kann. Der Auftragnehmer verpflichtet sich, dem Auftraggeber auf Anforderung die erforderlichen Auskünfte zu erteilen und insbesondere die Umsetzung der technischen und organisatorischen Maßnahmen nachzuweisen.
(3) Der Nachweis solcher Maßnahmen, die nicht nur den konkreten Auftrag betreffen, kann erfolgen durch
(4) Für die Ermöglichung von Kontrollen durch den Auftraggeber kann der Auftragnehmer einen angemessenen Vergütungsanspruch geltend machen.
(1) Der Auftragnehmer verarbeitet personenbezogene Daten ausschließlich im Rahmen des Auftrages und der Weisung des Auftraggebers. Ausgenommen hiervon sind gesetzliche Regelungen, die den Auftragnehmer ggf. zu einer anderweitigen Verarbeitung verpflichten. In diesem Fall teilt der Auftragnehmer dem Auftraggeber diese rechtlichen Anforderungen unverzüglich nach Kenntnisnahme mit, sofern das betreffende Recht eine solche Mitteilung nicht wegen eines wichtigen öffentlichen Interesses verbietet.
(2) Der Auftragnehmer unterstützt den Auftraggeber im Rahmen seiner Möglichkeiten bei der Erfüllung von Anfragen und Ansprüchen betroffener Personen sowie bei der Einhaltung und Durchführung von Melde- und Informationspflichten gemäß DS-GVO. Des Weiteren unterstützt der Auftragnehmer den Auftraggeber bei der Erstellung von Verzeichnissen von Verarbeitungstätigkeiten gemäß Art. 30 DS-GVO und teilt ihm die jeweils erforderlichen Angaben in geeigneter Weise mit.
(3) Der Auftragnehmer gewährleistet, dass es den mit der Verarbeitung der Daten des Auftraggebers befassten Mitarbeitern und anderen für den Auftragnehmer tätigen Personen untersagt ist, die Daten außerhalb der Weisung zu verarbeiten. Der Auftragnehmer gewährleistet ferner, dass die zur Verarbeitung der personenbezogenen Daten befugten Personen zur Vertraulichkeit verpflichtet wurden oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen. Die Verschwiegenheitspflicht besteht auch nach Beendigung des Auftrages fort.
(4) Der Auftragnehmer wird den Auftraggeber unverzüglich darüber informieren, wenn eine vom Auftraggeber erteilte Weisung nach seiner Auffassung gegen gesetzliche Regelungen verstößt. Der Auftragnehmer ist berechtigt, die Durchführung der betreffenden Weisung bis zur Bestätigung oder Änderung durch den Auftraggeber auszusetzen.
(5) Der Auftragnehmer ist verpflichtet, dem Auftraggeber jeden Verstoß gegen datenschutzrechtliche Vorschriften oder gegen die getroffenen vertraglichen Vereinbarungen oder die erteilten Weisungen des Auftraggebers, der im Rahmen der Verarbeitung durch ihn oder andere mit der Verarbeitung beschäftigten Personen erfolgt ist, unverzüglich mitzuteilen. Der Auftragnehmer wird den Auftraggeber unverzüglich darüber informieren, wenn eine Aufsichtsbehörde nach Art. 58 DS-GVO gegenüber dem Auftragnehmer tätig wird und dies auch eine Kontrolle der Verarbeitung, die der Auftragnehmer im Auftrag des Auftraggebers erbringt, betreffen kann.
Stellt der Auftragnehmer fest oder begründen Tatsachen die Annahme, dass von ihm für den Auftraggeber verarbeitete personenbezogene Daten unrechtmäßig übermittelt oder auf sonstige Weise Dritten unrechtmäßig zur Kenntnis gelangt sind, unterrichtet er den Auftraggeber unverzüglich und vollständig über Zeitpunkt, Art und Umfang des Vorfalls in Textform. Die Information hat eine Darlegung der Art der unrechtmäßigen Kenntniserlangung sowie mögliche nachteilige Folgen der unrechtmäßigen Kenntniserlangung zu beinhalten. Der Auftragnehmer ist darüber hinaus verpflichtet, unverzüglich mitzuteilen, welche Maßnahmen durch den Auftragnehmer getroffen wurden, um die unrechtmäßige Übermittlung oder Kenntnisnahme durch Dritte künftig zu verhindern.
(6) Der Auftragnehmer bestätigt, dass er einen betrieblichen Datenschutzbeauftragten i.S.d. Art. 37 DS-GVO bestellt hat. Der externe Datenschutzbeauftragte des Auftragnehmers wird gestellt von der exkulpa gmbh, Herr Maximilian Kindshofer, Waldfeuchter Str. 266, 52525 Heinsberg, Tel.: 02452/993311, E-Mail: m.kindshofer@exkulpa.de.
(1) Der Auftragnehmer hat die Grundsätze ordnungsgemäßer Datenverarbeitung zu beachten und ihre Einhaltung zu überwachen. Er versichert, dass er die gesetzlichen Bestimmungen zur Sicherheit bei der Auftragsverarbeitung gemäß Art. 28 Abs. 3 c) i.V.m. Art. 32 DS-GVO einhält. Hierzu hat er angemessene Maßnahmen der Datensicherheit (technisch-organisatorische Maßnahmen / TOM; siehe Anlage 3) getroffen und gewährleistet unter fortlaufender Vornahme gegebenenfalls erforderlicher Anpassungen ein dem Risiko angemessenes Schutzniveau hinsichtlich der Vertraulichkeit, der Integrität, der Verfügbarkeit sowie der Belastbarkeit der Datenverarbeitungssysteme. Hierbei wird dem Stand der Technik, der Verhältnismäßigkeit und der Art, dem Umfang und den Zwecken der Datenverarbeitung sowie der Eintrittswahrscheinlichkeit und Schwere des Risikos für die Rechte und Freiheiten der Betroffenen Rechnung getragen.
(2) Die technisch-organisatorischen Maßnahmen sind in Anlage 3 dokumentiert. Mit Abschluss dieser Vereinbarung werden die dokumentierten Maßnahmen Grundlage der Auftragsverarbeitung.
(3) Die technisch-organisatorischen Maßnahmen unterliegen dem technischen Fortschritt. Dem Auftragnehmer ist es insoweit gestattet, alternative adäquate Maßnahmen umzusetzen. Das Sicherheitsniveau der in dieser Vereinbarung festgelegten Maßnahmen darf dabei jedoch nicht unterschritten werden.
(4) Die technisch-organisatorischen Maßnahmen nach aktuellem Stand stellt der Auftragnehmer unter https://pluvius-online.de/docs/toms/ zur Verfügung.
(1) Der Auftraggeber stimmt der Einschaltung der in Anlage 2 aufgeführten Unterauftragnehmer für die Erbringung der vertraglich vereinbarten Leistungen zu. Die aktuelle Liste steht unter https://pluvius-online.de/docs/unterauftragnehmer/.
(2) Vor Hinzuziehung oder Ersetzung von Unterauftragnehmern (Subdienstleistern) informiert der Auftragnehmer den Auftraggeber frühzeitig in Textform. Der Auftragnehmer wird mit diesen Dritten im erforderlichen Umfang Vereinbarungen treffen, um angemessene Datenschutzmaßnahmen zu gewährleisten.
Der Auftraggeber kann der Änderung oder Hinzuziehung innerhalb einer angemessenen Frist von mindestens 14 Tagen aus wichtigem Grund gegenüber dem Auftragnehmer widersprechen. Erfolgt kein Widerspruch innerhalb der Frist, gilt die Zustimmung zur Änderung oder Ergänzung als gegeben. Liegt ein wichtiger datenschutzrechtlicher Grund vor, und sofern eine einvernehmliche Lösungsfindung zwischen den Parteien nicht möglich ist, wird dem Auftraggeber ein Sonderkündigungsrecht eingeräumt.
Nicht zu den Unterauftragsverhältnissen gehören Nebenleistungen, die der Auftragnehmer z. B. als Telekommunikationsdienstleistungen, Post- oder Transportdienstleistungen, Wartung oder Benutzerservice oder die Entsorgung von Datenträgern sowie sonstige Maßnahmen zur Sicherstellung der Vertraulichkeit, Verfügbarkeit, Integrität und Belastbarkeit der Hard- und Software von Datenverarbeitungsanlagen in Anspruch nimmt. Der Auftragnehmer ist jedoch verpflichtet, zur Gewährleistung des Datenschutzes und der Datensicherheit der Daten des Auftraggebers auch bei ausgelagerten Nebenleistungen angemessene und rechtskonforme vertragliche Vereinbarungen sowie Kontrollmaßnahmen zu ergreifen.
(3) Im Falle der Einschaltung eines nach §§ 15 ff. AktG mit dem Auftragnehmer verbundenen Unternehmens als Unterauftragnehmer erteilt der Auftraggeber hiermit ausdrücklich seine Zustimmung.
(4) Erteilt der Auftragnehmer Aufträge an Unterauftragnehmer, so obliegt ihm die Pflicht, seine datenschutzrechtlichen Pflichten aus diesem Vertrag dem Unterauftragnehmer zu übertragen.
(5) Erbringt ein Unterauftragnehmer die vereinbarte Leistung nicht innerhalb eines Mitgliedsstaates der Europäischen Union oder eines anderen Vertragsstaates des Abkommens über den Europäischen Wirtschaftsraum, stellt der Auftragnehmer die datenschutzrechtliche Zulässigkeit durch geeignete Garantien nach Art. 44 ff. DS-GVO sicher und gibt diese in Anlage 2 an. Gleiches gilt, wenn Dienstleister lediglich zur Erbringung von Nebenleistungen i.S.d. Abs. 2 eingesetzt werden sollen.
(1) Der Auftragnehmer berichtigt oder löscht die vertragsgegenständlichen Daten, wenn der Auftraggeber dies anweist und dies vom Weisungsrahmen umfasst ist. Ist eine datenschutzkonforme Löschung oder eine entsprechende Einschränkung der Datenverarbeitung nicht möglich, übernimmt der Auftragnehmer die datenschutzkonforme Vernichtung von Datenträgern und sonstigen Materialien auf Grundlage einer Einzelbeauftragung durch den Auftraggeber oder gibt die Daten an den Auftraggeber zurück.
(2) Nach Beendigung des Vertrages stellt der Auftragnehmer dem Auftraggeber die Daten nach AGB § 6 Abs. 5 und § 10 zum Export bereit und löscht sie anschließend. Die Löschung ist in geeigneter Weise zu dokumentieren. Etwaige gesetzliche Aufbewahrungspflichten oder sonstige Pflichten zur Speicherung der Daten bleiben unberührt.
(3) Die Parteien sind sich darüber einig, dass die Einrede des Zurückbehaltungsrechts durch den Auftragnehmer i.S.d. § 273 BGB hinsichtlich der verarbeiteten Daten und der zugehörigen Datenträger ausgeschlossen wird.
(1) Sollte das Eigentum des Auftraggebers beim Auftragnehmer durch Maßnahmen Dritter (z. B. durch Pfändung oder Beschlagnahmung), durch Insolvenzverfahren oder durch sonstige Ereignisse gefährdet werden, so hat der Auftragnehmer den Auftraggeber unverzüglich zu informieren. Der Auftragnehmer wird die Gläubiger über die Tatsache unverzüglich informieren, dass es sich um Daten handelt, die im Auftrag verarbeitet werden.
(2) Änderungen und Ergänzungen dieser Vereinbarung bedürfen der Textform.
(3) Sollten einzelne Teile dieser Regelung unwirksam sein, so berührt dies die Wirksamkeit der übrigen Regelungen nicht.
(4) Es gilt deutsches Recht. Gerichtsstand ist, soweit gesetzlich zulässig, Heinsberg.
Diese Vereinbarung wird mit der Annahme des Lizenzvertrags online abgeschlossen (AGB § 1 Abs. 3). Zeitpunkt, annehmende Person und Fassung hält das Protokoll im unterschriebenen Vertrag fest; einer gesonderten Unterschrift bedarf es nicht.
Anlagen: 1. Lizenzvertrag und Leistungs- und Supportbeschreibung · 2. Unterauftragsverhältnisse · 3. Technisch-organisatorische Maßnahmen
