1. Gegenstand und Dauer der Verarbeitung

Gegenstand dieses Vertrags ist die Verarbeitung personenbezogener Daten durch den Auftragsverarbeiter im Auftrag des Verantwortlichen im Rahmen der Nutzung von klima-protokoll.de zur Erstellung von Inbetriebnahmeprotokollen und Dichtigkeitsprüfungen. Die Dauer entspricht der Laufzeit des zugrunde liegenden Nutzungsverhältnisses (Abonnement).

2. Art und Zweck der Verarbeitung

Speicherung, Anzeige und Export (als PDF) von Protokolldaten, die der Verantwortliche bzw. dessen Mitarbeitende über die Anwendung erfassen, einschließlich Kundendaten, Anlagendaten, Fotos und digitalen Unterschriften.

3. Art der personenbezogenen Daten

• Namen und Adressen der Kund:innen des Verantwortlichen
• Technische Anlagendaten
• Fotografien der Anlage/Baustelle
• Digitale Unterschriften (Bilddaten)
• Namen und Zertifikatsnummern der Mitarbeitenden des Verantwortlichen

4. Kategorien betroffener Personen

Kund:innen des Verantwortlichen sowie dessen Mitarbeitende (Techniker:innen, Admins).

5. Pflichten des Auftragsverarbeiters

Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen, gewährleistet die Vertraulichkeit, trifft die in Ziffer 7 genannten technischen und organisatorischen Maßnahmen und unterstützt den Verantwortlichen bei der Erfüllung von Betroffenenrechten sowie bei der Einhaltung der Pflichten aus Art. 32–36 DSGVO.

6. Unterauftragsverarbeiter

Der Verantwortliche stimmt dem Einsatz folgender Unterauftragsverarbeiter zu:

• Supabase Inc. — Datenbank-/Authentifizierungs-/Datei-Hosting (Serverstandort Frankfurt, EU)
• Vercel Inc. (USA) — Anwendungs-Hosting
• Hostinger — Domain- und E-Mail-Verwaltung
• Stripe / PayPal — Zahlungsabwicklung (sobald aktiv genutzt)

Über den Austausch oder die Hinzuziehung weiterer Unterauftragsverarbeiter wird der Verantwortliche vorab informiert und kann diesem innerhalb angemessener Frist widersprechen.

7. Technische und organisatorische Maßnahmen (TOMs)

• Durchgängige TLS-Verschlüsselung der Datenübertragung
• Zugriffskontrolle über Row-Level-Security: jede Firma sieht ausschließlich eigene Daten
• Passwörter werden verschlüsselt gespeichert, nie im Klartext
• Zugriff auf Produktionssysteme ist auf den Betreiber beschränkt

8. Löschung und Rückgabe von Daten

Nach Beendigung der Nutzung werden die Daten des Verantwortlichen auf Anfrage gelöscht oder zurückgegeben, soweit keine gesetzlichen Aufbewahrungspflichten entgegenstehen.

9. Kontrollrechte

Der Verantwortliche hat das Recht, sich von der Einhaltung der in diesem Vertrag vereinbarten Pflichten zu überzeugen, insbesondere durch Einholung von Auskünften.