Vertrag zur Auftragsverarbeitung

Nach Art. 28 DSGVO — Bestandteil des Nutzungsvertrags

Wer Zerspano nutzt, gibt darin Daten seiner eigenen Kunden, Lieferanten und Mitarbeiter ein. Verantwortlich dafür bleibt er selbst; wir verarbeiten diese Daten nur in seinem Auftrag. Genau das regelt dieser Vertrag — er wird mit dem Nutzungsvertrag geschlossen und muss nicht gesondert unterzeichnet werden. Wer ihn dennoch unterschrieben in der Akte haben möchte, druckt diese Seite aus; das Feld dafür steht am Ende.

Zwischen

dem Kunden, wie im Nutzungsvertrag benannt
— nachfolgend Auftraggeber —

und

SAW Technologie GmbH
Redcarstr. 6a
53842 Troisdorf
Deutschland
Geschäftsführer: Kevin Witt und Daniel Neumann
— nachfolgend Auftragnehmer —

§ 1 Gegenstand und Dauer

(1) Der Auftragnehmer verarbeitet personenbezogene Daten im Auftrag des Auftraggebers. Gegenstand ist der Betrieb der Software Zerspano als Fertigungs-ERP: das Speichern, Anzeigen, Auswerten und Sichern der vom Auftraggeber eingegebenen Daten, dazu auf seine Weisung das Versenden von E-Mails mit Belegen, Anfragen und Bestellungen samt Anhängen an die Empfänger, die er selbst angibt.

(2) Die Verarbeitung findet ausschließlich innerhalb der Europäischen Union statt.

(3) Dieser Vertrag läuft, solange der Nutzungsvertrag läuft. Er endet mit ihm, jedoch nicht vor Erfüllung der Pflichten aus § 9.

§ 2 Art der Daten und betroffene Personen

Verarbeitet werden insbesondere:

Kontodaten: Name, E-Mail-Adresse, Telefon, Rolle, Kennwort (nur als PBKDF2-Hash, nie im Klartext)
Firmendaten: Firmenname, Anschrift, Bankverbindung, Steuernummern
Inhaltsdaten: Kunden, Lieferanten mit Ansprechpartnern, Angebote, Aufträge, Anfragen und Bestellungen, Produkte, Zeichnungen und STEP-Dateien, Kalkulationen, Prüfprotokolle — alles, was der Kunde selbst eingibt
Versandnachweis: Empfängeradresse, Betreff, Namen der Anhänge, Zeitpunkt und Absender jeder E-Mail, die der Kunde aus Zerspano an seine Kunden und Lieferanten sendet — auch, ob sie hinausging
Beschäftigtendaten: Zeitbuchungen, Tätigkeiten, PIN für das Werkstatt-Terminal
Sitzungen: Ein zufälliger Token, gespeichert nur als SHA-256-Hash
Fragen an den Bedienhelfer: Die Frage, die jemand stellt, und die Antwort darauf
Einladungscode anfordern: E-Mail-Adresse und IP-Adresse der Anfrage
Besucherzählung der Homepage: Tageweise Prüfsumme aus IP-Adresse und Browserkennung (nicht diese selbst); dauerhaft nur Summen je Tag, je Seite und je verweisender Website
Gespräch im Support: Ton und, wenn Sie es wählen, Bild eines Gesprächs mit dem Support, auf Wunsch des Supports auch dessen Bildschirm mit Mauszeiger; dazu die Verbindungsdaten der beiden Browser (IP-Adressen). Es wird nichts aufgezeichnet.
Empfehlungen: Name und Kontakt von Empfehlungsgebern; welcher Kunde auf wessen Empfehlung kam; der Netto-Betrag seiner Abo-Rechnungen als Grundlage der Provision; Auszahlungen. Der Empfehlungsgeber erhält monatlich eine Abrechnung mit Firmenname, Leistungsmonat und Höhe der Provision je empfohlenem Kunden - nicht die gebuchten Module und nicht den Umsatz
Server-Protokoll: IP-Adresse, Zeitpunkt, aufgerufene Adresse, Browserkennung

Kategorien betroffener Personen:

Beschäftigte des Auftraggebers (Anmeldung, Zeiterfassung)
Ansprechpartner bei Kunden und Lieferanten des Auftraggebers, auch als Empfänger der E-Mails, die er aus Zerspano sendet
Ansprechpartner bei Dienstleistern des Auftraggebers (Wärmebehandlung, Beschichtung)

Besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO sind nicht Gegenstand des Auftrags. Der Auftraggeber gibt solche Daten nicht in Zerspano ein.

§ 3 Weisungen

(1) Der Auftragnehmer verarbeitet die Daten ausschließlich nach dokumentierter Weisung des Auftraggebers. Als solche gelten dieser Vertrag, der Nutzungsvertrag und die Bedienung der Software durch den Auftraggeber selbst.

(2) Einzelweisungen erteilt der Auftraggeber in Textform an info@zerspano.de.

(3) Hält der Auftragnehmer eine Weisung für rechtswidrig, teilt er dies unverzüglich mit und darf ihre Ausführung aussetzen.

(4) Eine Verarbeitung zu eigenen Zwecken findet nicht statt. Die Daten des Auftraggebers werden insbesondere nicht ausgewertet, nicht zu Trainingszwecken verwendet und nicht an Dritte verkauft.

§ 4 Vertraulichkeit

(1) Der Auftragnehmer setzt zur Verarbeitung nur Personen ein, die zur Vertraulichkeit verpflichtet sind.

(2) Ein Zugriff auf die Daten des Auftraggebers erfolgt nur, soweit es zur Erbringung der Leistung erforderlich ist — insbesondere zur Fehlerbehebung auf Anfrage des Auftraggebers. Eingriffe des Betreibers werden protokolliert und sind nachvollziehbar.

(3) Ein Einblick in die Bestandsdaten des Auftraggebers setzt dessen ausdrückliche Freigabe in der Anwendung voraus („Support-Zugang"). Der Auftraggeber erteilt sie befristet und kann sie jederzeit zurückziehen; sie endet außerdem von selbst mit Ablauf der Frist. Jeder Zugriff wird protokolliert, und das Protokoll steht dem Auftraggeber in der Anwendung offen. Während einer Freigabe kann der Auftragnehmer um ein Gespräch mit Ton und auf Wunsch Bild bitten; es kommt nur zustande, wenn die Person, die freigegeben hat, es in der Anwendung annimmt, und wird nicht aufgezeichnet.

§ 5 Technische und organisatorische Maßnahmen

Der Auftragnehmer trifft die in Anlage 1 beschriebenen Maßnahmen nach Art. 32 DSGVO. Er darf sie fortentwickeln, solange das Schutzniveau nicht unterschritten wird.

§ 6 Unterauftragsverarbeiter

(1) Der Auftraggeber stimmt dem Einsatz der in Anlage 2 genannten Unterauftragnehmer zu.

(2) Weitere Unterauftragnehmer teilt der Auftragnehmer mindestens vier Wochen vorher in Textform mit. Der Auftraggeber darf aus wichtigem Grund widersprechen; in diesem Fall darf er den Nutzungsvertrag außerordentlich kündigen.

(3) Der Auftragnehmer verpflichtet Unterauftragnehmer auf dieselben Pflichten, die ihn selbst treffen.

§ 7 Unterstützung des Auftraggebers

(1) Der Auftragnehmer unterstützt den Auftraggeber bei Anfragen betroffener Personen — Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit. Wendet sich eine betroffene Person unmittelbar an den Auftragnehmer, leitet er sie an den Auftraggeber weiter.

(2) Er unterstützt ihn ebenso bei Datenschutz-Folgenabschätzungen und bei der Zusammenarbeit mit der Aufsichtsbehörde, jeweils im Rahmen des Zumutbaren.

§ 8 Verletzungen des Schutzes personenbezogener Daten

Der Auftragnehmer meldet dem Auftraggeber jede ihm bekannt gewordene Verletzung unverzüglich, spätestens innerhalb von 24 Stunden nach Kenntnis, in Textform. Die Meldung beschreibt, was geschehen ist, welche Daten betroffen sind und welche Maßnahmen ergriffen wurden. Die Meldung an die Aufsichtsbehörde nach Art. 33 DSGVO obliegt dem Auftraggeber.

§ 9 Löschung und Rückgabe

(1) Nach Ende des Nutzungsvertrags kann der Auftraggeber seine Daten 30 Tage lang abrufen oder eine Ausgabe in einem gängigen Format verlangen.

(2) Danach löscht der Auftragnehmer sämtliche Daten des Auftraggebers. Datensicherungen laufen im Rahmen ihrer Aufbewahrung aus — die täglichen Stände nach höchstens 30 Tagen, die Monatsstände nach 12 Monaten, spätestens 13 Monate nach Vertragsende; bis dahin bleiben sie ausschließlich für den Wiederherstellungsfall gesperrt.

(3) Unberührt bleiben gesetzliche Aufbewahrungspflichten des Auftragnehmers, etwa für Rechnungen.

§ 10 Nachweise und Kontrollen

(1) Der Auftragnehmer weist die Einhaltung dieser Pflichten auf Anfrage nach, insbesondere durch die Anlagen dieses Vertrags und durch Auskunft in Textform.

(2) Der Auftraggeber darf sich nach rechtzeitiger Ankündigung und zu üblichen Geschäftszeiten selbst überzeugen, soweit dies den Betrieb nicht unangemessen stört und die Vertraulichkeit gegenüber anderen Kunden gewahrt bleibt.

§ 11 Schlussbestimmungen

(1) Bei Widersprüchen zwischen diesem Vertrag und dem Nutzungsvertrag gehen die Regelungen dieses Vertrags vor, soweit es um die Verarbeitung personenbezogener Daten geht.

(2) Änderungen bedürfen der Textform.

(3) Es gilt deutsches Recht.

Anlage 1 — Technische und organisatorische Maßnahmen

Nach Art. 32 DSGVO. Aufgeführt ist ausschließlich, was tatsächlich umgesetzt ist.

Bereich	Maßnahme
Zutritt	Der Server steht in einem Rechenzentrum des Auftragnehmers für Rechenleistung; dessen Zutrittsschutz ist Gegenstand des mit ihm geschlossenen Vertrags. Eigene Hardware wird nicht betrieben.
Zugang	Anmeldung ausschließlich mit E-Mail und Kennwort. Kennwörter werden mit PBKDF2-HMAC-SHA256 und Zufallssalz gespeichert, nie im Klartext. Sitzungen laufen nach 14 Tagen ab; abgeschaltete Konten kommen auch mit gültigem Cookie nicht mehr hinein. Nach zehn falschen Kennwörtern in 15 Minuten ist für dieses Konto Pause. Jedes Konto kann einen zweiten Faktor (Authenticator-App) einschalten; der Auftraggeber kann ihn für Konten mit Verwaltung verlangen, das Betreiber-Konto hat ihn immer.
Server	Eine Brandmauer lässt nur Webzugriffe (HTTP wird auf HTTPS umgeleitet) und die Fernwartung per SSH herein. SSH nur mit Schlüssel, die Anmeldung mit Kennwort ist abgeschaltet; wiederholte Fehlversuche sperren die Adresse selbsttätig. Sicherheitsupdates des Betriebssystems werden täglich selbsttätig eingespielt. Die Datenbank ist von außen nicht erreichbar.
Zugriff	Rollen (Verwaltung, Büro, Werkstatt) mit serverseitiger Prüfung bei jedem Aufruf, nicht nur in der Anzeige. Nicht gebuchte Module sind auch bei direktem Aufruf gesperrt.
Trennung	Jede Firma ist ein eigener Mandant. Sämtliche Datensätze tragen eine Mandantennummer, jede Abfrage filtert darauf. Der Zugriff auf fremde Daten wird durch automatische Prüfläufe nachgewiesen.
Übertragung	Ausschließlich HTTPS mit Zertifikat von Let's Encrypt, HSTS aktiviert. Die Anwendung selbst ist nur auf 127.0.0.1 erreichbar; von außen führt kein Weg an der Verschlüsselung vorbei. Sitzungs-Cookies mit httponly, samesite und secure. Ein Gespräch im Support-Zugang geht verschlüsselt (DTLS-SRTP) von Browser zu Browser; erreichen sich die beiden nicht direkt, reicht ein eigener Vermittlungsdienst (TURN) auf dem Server des Auftragnehmers nur die verschlüsselten Pakete weiter. Es wird nichts aufgezeichnet, und jedes Gespräch muss die Person annehmen, die den Zugang freigegeben hat.
Eingabe	Gebuchte Zeiten tragen Person und Zeitpunkt, ebenso jede E-Mail, die aus Zerspano an Kunden oder Lieferanten geht, und die Freigabe einer geschwärzten Zeichnung. Eingriffe des Betreibers (Modul schalten, Kennwort zurücksetzen, Abo ändern) werden gesondert protokolliert. Ein Änderungsverlauf je Auftrag mit Person wird nicht geführt.
Verfügbarkeit	Tägliche Datensicherung von Datenbank und hochgeladenen Dateien; die täglichen Stände bleiben 7 bis 30 Tage, danach je Monat ein Stand für 12 Monate. Eine Kopie liegt zusätzlich an einem zweiten Ort außerhalb des Rechenzentrums. Der Dienst startet nach einem Absturz selbsttätig neu. Ein Wächter prüft alle fünf Minuten Erreichbarkeit, Datenbank, Dienste, Sicherung und Speicherplatz und meldet Störungen sofort an den Betreiber; ob der Server von außen erreichbar ist, prüft zusätzlich mehrmals täglich ein unabhängiger Dienst. Die Sicherungen liegen unverschlüsselt auf dem Server.
Auftragskontrolle	Keine Weitergabe an Dritte außer den in Anlage 2 genannten Unterauftragnehmern. Keine externen Skripte, Schriftarten oder Zählpixel — es werden bei der Nutzung keine Daten an Dritte übertragen. E-Mails an Kunden und Lieferanten des Auftraggebers gehen nur hinaus, wenn er sie in der Anwendung selbst absendet, und nur an die Adresse, die er angibt.
Datensparsamkeit	Es werden keine Nutzungsprofile gebildet, keine Cookies zu Werbe- oder Analysezwecken gesetzt und keine Daten an Auswertungsdienste übermittelt. Eine Zeichnung, die an einen Lieferanten geht, wird vorher geschwärzt und als Bild neu aufgebaut — sie enthält danach keinen Text und keine Metadaten; einer STEP-Datei werden Autor, Firma und Dateiname genommen.

Anlage 2 — Unterauftragsverarbeiter

Unternehmen	Leistung	Ort der Verarbeitung	Grundlage
netcup GmbH Emmy-Noether-Straße 10, 76131 Karlsruhe, Deutschland	Betrieb des Servers (Rechenleistung, Speicher, Netz)	Nürnberg, Deutschland	Auftragsverarbeitungsvertrag nach Art. 28 DSGVO

Ort, Datum — Auftraggeber

Ort, Datum — Auftragnehmer

Stand: 06.10.2026