kessel wissen, wo das Zeug ist

Vertrag zur Auftragsverarbeitung

nach Art. 28 DSGVO zwischen dem Kunden als Verantwortlichem (nachfolgend „Auftraggeber") und XUADRA Softwaresysteme, Bastian Herrmann, Sophienstraße 4, 73663 Berglen (nachfolgend „Auftragnehmer"). Dieser Vertrag ist gemäß Ziffer 9 der Nutzungsbedingungen Bestandteil des Vertrags über die Nutzung von kessel; er bedarf keiner gesonderten Unterschrift. Auf Wunsch stellt der Auftragnehmer ein unterzeichnetes Exemplar bereit.

1. Gegenstand und Dauer

Der Auftragnehmer betreibt für den Auftraggeber den Online-Dienst kessel (Lager- und Bestandsverwaltung) und verarbeitet dabei personenbezogene Daten im Auftrag. Die Dauer entspricht der Laufzeit des Nutzungsvertrags.

2. Art und Zweck der Verarbeitung

Speicherung, Anzeige, Änderung und Löschung der Daten, die der Auftraggeber und dessen Benutzer in kessel einpflegen, ausschließlich zur Bereitstellung des Dienstes. Eine Verarbeitung findet ausschließlich in Mitgliedstaaten der Europäischen Union statt.

3. Art der Daten und Kreis der Betroffenen

Betroffene sind die Benutzer des Auftraggebers sowie Personen, deren Daten der Auftraggeber im Dienst speichert. Verarbeitet werden insbesondere: Namen und E-Mail-Adressen der Benutzerkonten, Passwörter (nur als kryptografischer Hash), vom Auftraggeber erfasste Inhalte (Artikel, Bestände, Buchungen mit Benutzerbezug) sowie technische Protokolldaten.

4. Pflichten des Auftragnehmers

Der Auftragnehmer verarbeitet die Daten nur auf dokumentierte Weisung des Auftraggebers (die Nutzung der Funktionen des Dienstes gilt als Weisung), wahrt die Vertraulichkeit, trifft die technischen und organisatorischen Maßnahmen der Anlage 1 und passt sie dem Stand der Technik an. Er unterstützt den Auftraggeber im Rahmen seiner Möglichkeiten bei der Erfüllung der Betroffenenrechte (Art. 12–23 DSGVO) und der Pflichten aus Art. 32–36 DSGVO und meldet ihm Verletzungen des Schutzes personenbezogener Daten unverzüglich. Personen, die Zugang zu den Daten haben, sind zur Vertraulichkeit verpflichtet.

5. Unterauftragsverarbeiter

Der Auftraggeber stimmt dem Einsatz der folgenden Unterauftragsverarbeiter zu:

Über beabsichtigte Änderungen informiert der Auftragnehmer per E-Mail; der Auftraggeber kann aus wichtigem Grund widersprechen. Mit jedem Unterauftragsverarbeiter werden Pflichten entsprechend diesem Vertrag vereinbart.

6. Kontrollrechte

Der Auftraggeber kann sich vor Beginn und während der Verarbeitung von der Einhaltung dieses Vertrags überzeugen — in der Regel durch Auskünfte des Auftragnehmers und vorhandene Nachweise (z. B. Prüfberichte des Rechenzentrums-Betreibers). Weitergehende Kontrollen erfolgen nach Terminabstimmung.

7. Löschung und Rückgabe

Nach Ende des Nutzungsvertrags werden alle Daten des Auftraggebers nach 30 Tagen gelöscht, sofern keine gesetzliche Aufbewahrungspflicht besteht. In Sicherungskopien können Daten technisch bedingt bis zu 90 Tage länger vorhanden sein; die Sicherungen werden turnusmäßig überschrieben. Auf Wunsch stellt der Auftragnehmer vor der Löschung einen Export in einem gängigen, maschinenlesbaren Format bereit.

8. Schlussbestimmungen

Es gilt deutsches Recht. Im Übrigen gelten die Nutzungsbedingungen. Sollten einzelne Bestimmungen unwirksam sein, bleibt der Rest wirksam.

Anlage 1: Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

Stand: 1. September 2026