Vertrag zur Auftragsverarbeitung

nach Art. 28 DSGVO – Bestandteil des Nutzungsvertrags über Zerspano

Wer Zerspano nutzt, gibt darin Daten seiner eigenen Kunden, Lieferanten und Beschäftigten ein. Verantwortlich dafür bleibt er selbst; der Anbieter verarbeitet diese Daten nur in seinem Auftrag. Dieser Vertrag wird bei der Registrierung mit dem Nutzungsvertrag geschlossen; die Zustimmung wird mit Zeitpunkt und Fassung gespeichert. Wer ihn zusätzlich unterschrieben in der Akte haben möchte, druckt ihn aus; die Unterschriftsfelder stehen am Ende.

Zwischen dem Kunden, wie im Nutzungsvertrag benannt – nachfolgend „Auftraggeber“ –, und der SAW Technologie GmbH, Redcarstr. 6a, 53842 Troisdorf, vertreten durch die Geschäftsführer Kevin Witt und Daniel Neumann – nachfolgend „Auftragnehmer“.

§ 1 Gegenstand, Art und Zweck, Dauer

(1) Der Auftragnehmer betreibt für den Auftraggeber die Software Zerspano als Fertigungs-ERP. Gegenstand der Auftragsverarbeitung ist das Speichern, Anzeigen, Auswerten und Sichern der vom Auftraggeber und seinen Nutzern eingegebenen Daten, das Versenden von E-Mails mit Belegen, Anfragen und Bestellungen an die vom Auftraggeber angegebenen Empfänger sowie die Fehlerbehebung im Rahmen eines vom Auftraggeber freigegebenen Support-Zugangs.

(2) Nicht Gegenstand dieses Vertrags sind Verarbeitungen, für die der Auftragnehmer selbst Verantwortlicher ist: die Verwaltung und Abrechnung des Nutzungsvertrags, die Funktionen von WorkPool und Marktplatz, soweit der Auftraggeber dort Daten für andere Betriebe oder Händler freigibt, das Empfehlungsprogramm, den Bereich „Jobs & Talente“ (Konten und Profile der Fachkräfte, Anfragen, Gespräche und Freigaben; mit jeder Freigabe wird der Auftraggeber für die freigegebenen Daten selbst Verantwortlicher), die Abwicklung von Zahlungen über den Zahlungsdienstleister, die Nachweise über Zustimmungen, das Server-Protokoll und die Besucherzählung der Homepage. Hierfür gilt die Datenschutzerklärung des Auftragnehmers.

(3) Die Verarbeitung findet ausschließlich in der Europäischen Union statt; die Server stehen in Deutschland. Eine Verlagerung in ein Drittland bedarf der vorherigen Zustimmung des Auftraggebers in Textform und der Erfüllung der Art. 44 ff. DSGVO.

(4) Dieser Vertrag läuft, solange der Nutzungsvertrag einschließlich der Testphase läuft. Er endet mit ihm, jedoch nicht vor Erfüllung der Pflichten aus § 9.

§ 2 Art der Daten und betroffene Personen

(1) Verarbeitet werden insbesondere:

• Nutzerdaten der Beschäftigten des Auftraggebers: Name, E-Mail-Adresse oder von der Verwaltung vergebener Benutzername, Telefon, Rolle, Sichtrechte, Kennwort (nur als Hash), zweiter Faktor, Terminal-PIN, Anmeldesitzungen;
• Personalstamm: Name, Abteilung, Tätigkeiten, bediente Maschinen, freiwillig Geburtstag und Privatanschrift, Nachweise und Unterweisungen;
• Zeitbuchungen und Arbeitsplanung: Arbeitsgang, Beginn, Ende, Dauer, Art, Maschine, Person; Auswertungen daraus, einschließlich Stunden, Kosten und Umsatz je Mitarbeiter auf Grundlage eines internen Stundensatzes;
• Arbeitszeit (soweit der Auftraggeber die Arbeitszeiterfassung nutzt): Kommen, Pause, Pause-Ende und Gehen mit der Uhrzeit des Servers, ohne Standort; Personalnummer, Arbeitszeitmodell, Soll-Stunden, Zeitkonto, Urlaubsanspruch; Urlaub und weitere Abwesenheiten (z. B. Berufsschule, Überstundenabbau), bei Krankheit nur der Zeitraum ohne Diagnose oder Ursache (Abs. 3); Nachträge und Berichtigungen mit Begründung sowie wer sie beantragt und freigegeben hat;
• Inhaltsdaten: Kunden, Lieferanten und Dienstleister mit Ansprechpartnern, Angebote, Aufträge, Anfragen und Bestellungen, Lieferscheine, Rechnungen, Mahnungen, Produkte, Zeichnungen und 3D-Modelle, Kalkulationen, Prüf- und Reklamationsdaten, Nachrichten im internen Chat;
• Versand- und Verlaufsdaten: Empfängeradresse, Betreff, Anhänge, Zeitpunkt und Absender jeder aus Zerspano gesendeten E-Mail; Verlauf je Beleg und Einkaufsvorgang (angelegt, geändert, festgeschrieben, versendet, geschwärzt, freigegeben – mit Zeit und Person);
• Fragen an den Bedienhelfer und die Antworten darauf.

(2) Betroffen sind Beschäftigte des Auftraggebers sowie Ansprechpartner bei seinen Kunden, Lieferanten und Dienstleistern, auch als Empfänger der E-Mails, die er aus Zerspano sendet.

(3) Besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO sind nur in folgendem Umfang Gegenstand des Auftrags: Schaltet der Auftraggeber die Funktion „Krankheitszeiten“ ein, wird erfasst, dass und von wann bis wann ein Beschäftigter krankheitsbedingt abwesend war – ohne Diagnose, Ursache oder Bescheinigung. Auch diese Angabe ist ein Gesundheitsdatum. Die Rechtsgrundlage (Art. 9 Abs. 2 lit. b DSGVO in Verbindung mit § 26 Abs. 3 BDSG) prüft und verantwortet der Auftraggeber. Für diese Daten gelten die besonderen Maßnahmen nach Anlage 1 („Gesundheitsdaten“). Andere besondere Kategorien, insbesondere Diagnosen, Befunde, Arbeitsunfähigkeitsbescheinigungen und Ergebnisse arbeitsmedizinischer Vorsorge, gibt der Auftraggeber nicht in Zerspano ein.

§ 3 Weisungen

(1) Der Auftragnehmer verarbeitet die Daten ausschließlich auf dokumentierte Weisung des Auftraggebers, auch in Bezug auf Übermittlungen in Drittländer, es sei denn, er ist durch Unionsrecht oder deutsches Recht zur Verarbeitung verpflichtet; in diesem Fall teilt er dem Auftraggeber diese Pflicht vorher mit, soweit das Recht dies nicht verbietet. Weisungen sind dieser Vertrag, der Nutzungsvertrag und die Bedienung der Software durch den Auftraggeber und seine Nutzer.

(2) Einzelweisungen erteilt der Auftraggeber in Textform an info@zerspano.de.

(3) Hält der Auftragnehmer eine Weisung für rechtswidrig, teilt er dies unverzüglich mit und darf ihre Ausführung bis zur Bestätigung oder Änderung aussetzen.

(4) Der Auftragnehmer verarbeitet die Daten nicht zu eigenen Zwecken. Er wertet sie insbesondere nicht für sich aus, verwendet sie nicht zum Training von Software und verkauft sie nicht. § 1 Abs. 2 bleibt unberührt.

§ 4 Vertraulichkeit und Zugriff des Auftragnehmers

(1) Der Auftragnehmer setzt nur Personen ein, die zur Vertraulichkeit verpflichtet sind oder einer gesetzlichen Verschwiegenheitspflicht unterliegen.

(2) Einen Einblick in die Inhalte des Auftraggebers nimmt der Auftragnehmer nur, wenn der Auftraggeber ihn unter „Support-Zugang“ ausdrücklich, befristet (2 bis 72 Stunden) und mit Angabe des Anlasses freigibt. Die Freigabe kann jederzeit zurückgezogen werden und endet von selbst mit Ablauf der Frist. Jeder Zugriff wird protokolliert; das Protokoll steht dem Auftraggeber in der Anwendung offen.

(3) Ohne Freigabe greift der Auftragnehmer nur auf technische Daten zu, soweit dies für den Betrieb, die Sicherung und die Abwehr von Störungen und Angriffen zwingend erforderlich ist. Eingriffe des Betreibers (z. B. Paket schalten, Kennwort zurücksetzen) werden gesondert protokolliert.

(4) Während einer Freigabe kann der Auftragnehmer ein Gespräch mit Ton und auf Wunsch Bild anbieten. Es kommt nur zustande, wenn die freigebende Person annimmt, läuft verschlüsselt von Browser zu Browser bzw. über einen eigenen Vermittlungsdienst auf dem Server des Auftragnehmers und wird nicht aufgezeichnet.

§ 5 Technische und organisatorische Maßnahmen

Der Auftragnehmer trifft die in Anlage 1 beschriebenen Maßnahmen nach Art. 32 DSGVO. Er überprüft ihre Wirksamkeit regelmäßig und darf sie fortentwickeln, solange das Schutzniveau nicht unterschritten wird. Wesentliche Änderungen dokumentiert er und teilt sie dem Auftraggeber auf Anfrage mit.

§ 6 Unterauftragsverarbeiter

(1) Der Auftraggeber stimmt dem Einsatz der in Anlage 2 genannten Unterauftragsverarbeiter zu.

(2) Weitere oder andere Unterauftragsverarbeiter teilt der Auftragnehmer mindestens vier Wochen vorher in Textform mit. Der Auftraggeber kann aus wichtigem datenschutzrechtlichem Grund innerhalb dieser Frist widersprechen. Kommt keine Einigung zustande, kann der Auftraggeber den Nutzungsvertrag zum Einsatz des neuen Unterauftragsverarbeiters außerordentlich kündigen.

(3) Der Auftragnehmer verpflichtet jeden Unterauftragsverarbeiter vertraglich auf dieselben Datenschutzpflichten, die ihn selbst treffen, insbesondere auf hinreichende Garantien für geeignete technische und organisatorische Maßnahmen. Er haftet für dessen Einhaltung nach Art. 28 Abs. 4 DSGVO.

(4) Keine Unterauftragsverarbeitung sind Nebenleistungen, bei denen der Dienstleister keinen Zugriff auf personenbezogene Daten des Auftraggebers hat, etwa der Versand von Statusmeldungen des Servers per SMS an den Auftragnehmer.

§ 7 Unterstützung des Auftraggebers

(1) Der Auftragnehmer unterstützt den Auftraggeber mit geeigneten Maßnahmen bei der Beantwortung von Anträgen betroffener Personen nach Kapitel III DSGVO. Viele Rechte kann der Auftraggeber selbst in der Software erfüllen (Auskunft und Export, Berichtigung, Löschung). Wendet sich eine betroffene Person unmittelbar an den Auftragnehmer, leitet er die Anfrage unverzüglich an den Auftraggeber weiter.

(2) Er unterstützt den Auftraggeber bei der Einhaltung der Pflichten aus Art. 32 bis 36 DSGVO, insbesondere bei Meldungen von Verletzungen, Datenschutz-Folgenabschätzungen und der Zusammenarbeit mit der Aufsichtsbehörde.

§ 8 Verletzungen des Schutzes personenbezogener Daten

(1) Der Auftragnehmer meldet dem Auftraggeber jede ihm bekannt gewordene Verletzung des Schutzes der Daten des Auftraggebers unverzüglich, spätestens innerhalb von 24 Stunden nach Kenntnis, in Textform.

(2) Die Meldung enthält, soweit bekannt, die Angaben nach Art. 33 Abs. 3 DSGVO: was geschehen ist, welche Kategorien und ungefähre Zahl von Daten und Personen betroffen sind, die wahrscheinlichen Folgen und die ergriffenen oder vorgeschlagenen Maßnahmen. Angaben, die noch fehlen, liefert er unverzüglich nach.

(3) Die Meldung an die Aufsichtsbehörde und die Benachrichtigung der Betroffenen obliegen dem Auftraggeber; der Auftragnehmer unterstützt ihn dabei.

§ 9 Löschung und Rückgabe

(1) Nach Ende des Nutzungsvertrags oder der Testphase kann der Auftraggeber seine Daten 30 Tage lang abrufen und exportieren. Der Auftragnehmer erinnert ihn sieben Tage und einen Tag vor der Löschung.

(2) Danach löscht der Auftragnehmer sämtliche Daten des Auftraggebers. Datensicherungen laufen planmäßig aus – die täglichen Stände nach höchstens 30 Tagen, die Monatsstände nach zwölf Monaten, spätestens 13 Monate nach Vertragsende; bis dahin sind sie gesperrt und werden nur zur Wiederherstellung nach einer technischen Störung verwendet.

(3) Der Auftragnehmer bestätigt die Löschung auf Anfrage in Textform.

(4) Unberührt bleiben gesetzliche Aufbewahrungspflichten des Auftragnehmers aus eigenen Verarbeitungen (§ 1 Abs. 2).

(5) Während der Laufzeit legt der Auftraggeber unter „Arbeitszeit → Einstellungen“ fest, wie viele Jahre nach Ende des Kalenderjahres Stempel, Nachträge und Abwesenheiten aufbewahrt werden, mindestens zwei Jahre (§ 16 Abs. 2 ArbZG); danach löscht der Auftragnehmer sie automatisch. Zeitbuchungen auf Aufträgen werden nach derselben Frist so verändert, dass sie keiner Person mehr zugeordnet werden können; die Stunden am Auftrag bleiben für die Nachkalkulation ohne Namen erhalten. Krankheitszeiten werden mit Ablauf des auf die Abwesenheit folgenden Kalenderjahres gelöscht. Längere Aufbewahrungspflichten des Auftraggebers, etwa für Lohnunterlagen, bleiben seine Sache.

§ 10 Nachweise und Kontrollen

(1) Der Auftragnehmer stellt dem Auftraggeber alle erforderlichen Informationen zum Nachweis der Einhaltung dieses Vertrags zur Verfügung, insbesondere durch die Anlagen, Auskünfte in Textform und – soweit vorhanden – Prüfberichte und Zertifikate seiner Unterauftragsverarbeiter.

(2) Der Auftraggeber kann sich nach rechtzeitiger Ankündigung, in der Regel mindestens zwei Wochen, zu üblichen Geschäftszeiten selbst oder durch einen von ihm beauftragten, zur Verschwiegenheit verpflichteten Prüfer von der Einhaltung überzeugen. Die Kontrolle darf den Betrieb nicht unangemessen stören und muss die Vertraulichkeit gegenüber anderen Kunden wahren. Kontrollen, die über eine jährliche Prüfung hinausgehen und nicht durch einen Verstoß des Auftragnehmers veranlasst sind, kann der Auftragnehmer nach Aufwand berechnen.

§ 11 Haftung

Für die Haftung gegenüber betroffenen Personen gilt Art. 82 DSGVO. Im Innenverhältnis gelten die Haftungsregeln des Nutzungsvertrags, soweit Art. 82 DSGVO nicht entgegensteht.

§ 12 Schlussbestimmungen

(1) Bei Widersprüchen zwischen diesem Vertrag und dem Nutzungsvertrag gehen die Regelungen dieses Vertrags vor, soweit es um die Verarbeitung personenbezogener Daten geht.

(2) Änderungen bedürfen der Textform. Für Änderungen durch den Auftragnehmer gilt § 18 der AGB entsprechend; er teilt sie mindestens sechs Wochen vorher in Textform mit. Neue Arten von Daten oder neue Kategorien betroffener Personen verarbeitet der Auftragnehmer nur in Funktionen, die der Auftraggeber selbst einschaltet; besondere Kategorien nach Art. 9 DSGVO nur nach ausdrücklicher Freischaltung durch den Auftraggeber. Änderungen der technischen und organisatorischen Maßnahmen richten sich nach § 5, der Wechsel von Unterauftragsverarbeitern nach § 6.

(3) Es gilt deutsches Recht.

Anlage 1 – Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

Aufgeführt ist, was tatsächlich umgesetzt ist.

Anlage 2 – Unterauftragsverarbeiter

Die netcup GmbH setzt ihrerseits Unternehmen ihrer Unternehmensgruppe ein (Anexia Holding GmbH und Anexia Cloud Solutions GmbH, Klagenfurt, Österreich, sowie Anexia Cloud Solutions GmbH, Karlsruhe) für Infrastruktur- und Unterstützungsleistungen. Mit beiden Unterauftragsverarbeitern bestehen Verträge nach Art. 28 DSGVO (netcup vom 17.09.2026, Hetzner vom 04.10.2026).

Stand: 06.11.2026