Auftragsverarbeitungsvertrag gemäß Art. 28 DSGVO

Vertrag über die Auftragsverarbeitung von Daten in der Anwendung HERA betrieben und Angeboten von Hagen Langbartels.

WARNUNG

Diese Instanz ist eine Domoversion der Anwendung! Die Bereitstellung dieser Anwendungsinstanz kann jederzeit ohne Ankündigung beendet werden. Die Daten in der Demo-Instanz können jederzeit, ohne Ankündigung gelöscht werden.

1. Geltungsbereich

Dieser Auftragsverarbeitungsvertrag („AV-Vertrag“) gilt für die Nutzung der webbasierten Anwendung HERA – Helfer Entwicklung, Ressourcen und Ausbildung durch Organisationseinheiten. Mit Aktivierung der Anwendung erklärt sich der jeweilige Dienststelle als Verantwortlicher im Sinne der DSGVO mit diesem AV-Vertrag einverstanden.

2. Rollen der Parteien

Verantwortlicher ist der jeweilige Dienststelle, der HERA nutzt. Auftragsverarbeiter ist der Betreiber der Anwendung HERA.

3. Gegenstand und Zweck der Verarbeitung

(1) Gegenstand dieses Vertrags ist die Verarbeitung personenbezogener Daten im Auftrag des Verantwortlichen im Rahmen des Betriebs von HERA.

(2) Zweck der Verarbeitung ist die Unterstützung organisatorischer, administrativer und ausbildungsbezogener Aufgaben der Dienststelle, insbesondere:

Mitgliederverwaltung
Dienst- und Terminplanung
Ausbildungs- und Qualifikationsverwaltung
Ressourcen- und Materialverwaltung

4. Art der verarbeiteten Daten

Verarbeitet werden insbesondere:

Personenbezogene Daten, einschließlich:
Kontaktdaten
Bankverbindungen
Arbeitgeberdaten
Ausbildungs- und Qualifikationsdaten in der Organisation
Organisationszugehörigkeiten
Belehrungen und Berechtigungen
Gesundheitsdaten (Impfungen, Untersuchungsfälligkeiten)
Organisations- und Sachdaten, u. a.:
Einheitenstruktur
Dienst- und Terminplanung
Fahrzeuge, Ausstattung, Wartungen
Gefahrstoffkataster
Beschaffungs- und Budgetplanung
Aktenverzeichnisse

5. Kategorien betroffener Personen

Mitglieder der Dienststelle
Funktionsträgerinnen und Funktionsträger
Ausbilderinnen und Ausbilder
Anwärterinnen und Anwärter
Ehemalige Mitglieder (soweit gespeichert)

6. Weisungen des Verantwortlichen

(1) Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich auf Weisung des Verantwortlichen.

(2) Weisungen erfolgen regelmäßig durch die bestimmungsgemäße Nutzung der Anwendung HERA.

(3) Einzelweisungen außerhalb der Anwendung bedürfen der Textform.

(4) Der Verantwortliche stellt sicher, dass für jede in HERA durchgeführte Verarbeitung eine wirksame Rechtsgrundlage gemäß Art. 6 DSGVO – sowie bei besonderen Kategorien personenbezogener Daten (z. B. Gesundheitsdaten) gemäß Art. 9 DSGVO – besteht. Soweit die Verarbeitung auf einer Einwilligung der betroffenen Person beruht, obliegen deren Einholung, Dokumentation, Nachweis und die Bearbeitung eines Widerrufs ausschließlich dem Verantwortlichen. Der Verantwortliche kommt zudem den Informationspflichten nach Art. 13/14 DSGVO gegenüber den betroffenen Personen eigenständig nach.

7. Technische und organisatorische Maßnahmen

(1) Der Auftragsverarbeiter setzt geeignete technische und organisatorische Maßnahmen gemäß Art. 32 DSGVO um.

(2) Personenbezogene Daten und Gesundheitsdaten werden verschlüsselt gespeichert.

(3) Die Maßnahmen entsprechen dem Stand der Technik und sind in Anlage 1 (TOM) dokumentiert.

8. Vertraulichkeit

Der Auftragsverarbeiter verpflichtet alle mit der Verarbeitung befassten Personen auf Vertraulichkeit.

9. Unterstützungspflichten

Der Auftragsverarbeiter unterstützt den Verantwortlichen im angemessenen Umfang bei:

Betroffenenanfragen
Meldung von Datenschutzverletzungen
Datenschutz-Folgenabschätzungen

10. Unterauftragsverarbeiter

Der Einsatz von Unterauftragsverarbeitern (z. B. Hosting) ist zulässig, sofern diese gemäß Art. 28 DSGVO verpflichtet sind.

11. Beendigung und Löschung

Nach Beendigung der Nutzung werden personenbezogene Daten gelöscht oder dem Verantwortlichen auf Wunsch in einem gängigen Format zur Verfügung gestellt, sofern keine gesetzlichen Aufbewahrungspflichten bestehen.

12. Haftung

Der Auftragsverarbeiter haftet nur für Schäden, die er durch einen Verstoß gegen diesen Vertrag oder die DSGVO selbst verursacht hat.

13. Schlussbestimmungen

Es gilt deutsches Recht. Sollten einzelne Bestimmungen unwirksam sein, bleibt der Vertrag im Übrigen wirksam.

Version 2, Stand: 08.05.2026