Schrat Auftragsverarbeitungsvertrag
Vertrag über die Verarbeitung personenbezogener Daten im Auftrag gemäß Art 28 DSGVO zwischen der Organisation, die die Plattform Schrat nutzt (im Folgenden „Verantwortlicher“), und der Grünecho e.U., Großsölk 76, 8961 Sölk, Österreich, FN 604739y (im Folgenden „Auftragsverarbeiter“).
Stand: Oktober 2026
Dieser Vertrag gilt für jede Nutzung der Plattform, bei der der Verantwortliche personenbezogene Daten erfasst oder erfassen lässt, und ergänzt die AGB. Er wird mit der Nutzung der Plattform geschlossen. Auf Wunsch erhalten Sie ihn gegengezeichnet: Senden Sie die ausgedruckte, unterschriebene Fassung (Browser → Drucken → PDF) an support@schrat.eco.
1. Gegenstand und Dauer
Gegenstand ist die Bereitstellung der Plattform Schrat (Web-Anwendung, Apps, Synchronisation, Programmierschnittstelle) zur Erfassung, Speicherung, Synchronisation, Auswertung und Weitergabe von Felddaten durch den Verantwortlichen. Der Vertrag gilt für die Dauer des Nutzungsverhältnisses und darüber hinaus, solange der Auftragsverarbeiter Daten des Verantwortlichen verarbeitet.
2. Art und Zweck der Verarbeitung, Daten und Betroffene
Zweck: Bereitstellung, Betrieb, Sicherung und Support der Plattform im Auftrag des Verantwortlichen. Der Auftragsverarbeiter verwendet die Daten nicht für eigene Zwecke.
Arten der Verarbeitung: Speichern, Synchronisieren auf die Geräte berechtigter Nutzer, Berechnen abgeleiteter Werte, Exportieren, Bereitstellen über Freigabelinks und die Programmierschnittstelle, Sichern, Löschen.
Kategorien personenbezogener Daten:
- Kontodaten der Nutzer: Name, E-Mail-Adresse, Rollen und Gruppenzugehörigkeit
- Nutzungs- und Protokolldaten: Zeitpunkte von Erfassung und Änderung, Urheber eines Datensatzes, IP-Adressen in Server-Protokollen
- Erfasste Felddaten, soweit sie Personenbezug haben: Standortdaten (GPS-Koordinaten, Geometrien), Fotos, Angaben zu Flurstücken, Waldbesitz oder Eigentümern, Freitext
- Gerätetoken für Push-Benachrichtigungen
Besondere Kategorien nach Art 9 DSGVO sind nicht vorgesehen. Erfasst der Verantwortliche sie dennoch, trägt er dafür die Verantwortung.
Kategorien betroffener Personen: Beschäftigte und Beauftragte des Verantwortlichen (Nutzer), Dienstleister und eingeladene Mitglieder, in Felddaten genannte Personen (z. B. Waldbesitzer).
3. Weisungen
Der Auftragsverarbeiter verarbeitet die Daten nur auf dokumentierte Weisung des Verantwortlichen, auch in Bezug auf Übermittlungen in Drittländer, es sei denn, er ist durch Unionsrecht oder mitgliedstaatliches Recht dazu verpflichtet; in diesem Fall teilt er dem Verantwortlichen diese Pflicht vorab mit, sofern das Recht dies nicht verbietet. Weisungen sind dieser Vertrag, die Einstellungen, die der Verantwortliche in der Plattform vornimmt (z. B. Rollen, Freigaben, Sichtbarkeit, Aufbewahrungsfristen), sowie Einzelweisungen in Textform an support@schrat.eco. Hält der Auftragsverarbeiter eine Weisung für rechtswidrig, weist er den Verantwortlichen unverzüglich darauf hin.
4. Vertraulichkeit
Der Auftragsverarbeiter gewährleistet, dass alle Personen, die Zugang zu den Daten haben, zur Vertraulichkeit verpflichtet sind oder einer gesetzlichen Verschwiegenheitspflicht unterliegen (Art 28 Abs 3 lit b DSGVO, § 6 DSG).
5. Technische und organisatorische Maßnahmen
Der Auftragsverarbeiter trifft die in der Anlage 1 – Technische und organisatorische Maßnahmen beschriebenen Maßnahmen nach Art 32 DSGVO. Er darf sie weiterentwickeln, sofern das Schutzniveau nicht unterschritten wird; wesentliche Änderungen dokumentiert er auf dieser Seite.
6. Unterauftragsverarbeiter
Der Verantwortliche genehmigt die in der Anlage 2 – Unterauftragsverarbeiter genannten Unterauftragsverarbeiter. Über die beabsichtigte Hinzuziehung oder Ersetzung eines Unterauftragsverarbeiters informiert der Auftragsverarbeiter mindestens 30 Tage im Voraus per E-Mail an die Inhaber und Administratoren der betroffenen Mandanten und Projekte und auf der Seite der Anlage 2. Der Verantwortliche kann binnen dieser Frist aus wichtigem datenschutzrechtlichem Grund widersprechen; kommt keine Einigung zustande, kann er den Vertrag zum Wirksamwerden der Änderung kündigen. Der Auftragsverarbeiter erlegt jedem Unterauftragsverarbeiter vertraglich dieselben Datenschutzpflichten auf.
7. Übermittlung in Drittländer
Die Inhaltsdaten des Verantwortlichen werden in Rechenzentren in Deutschland gespeichert. Eine Verarbeitung außerhalb des EWR erfolgt nur durch die in Anlage 2 so gekennzeichneten Unterauftragsverarbeiter und nur, wenn die Voraussetzungen der Art 44 ff DSGVO erfüllt sind (Angemessenheitsbeschluss, insbesondere EU-US Data Privacy Framework, oder Standardvertragsklauseln).
8. Unterstützung des Verantwortlichen
Der Auftragsverarbeiter unterstützt den Verantwortlichen mit geeigneten Maßnahmen bei der Beantwortung von Anträgen betroffener Personen (Art 12–22 DSGVO) sowie bei den Pflichten nach Art 32–36 DSGVO (Sicherheit, Meldung von Verletzungen, Datenschutz-Folgenabschätzung, vorherige Konsultation). Auskunft, Berichtigung, Export und Löschung kann der Verantwortliche zum größten Teil selbst in der Plattform vornehmen. Wendet sich eine betroffene Person direkt an den Auftragsverarbeiter, leitet er das Anliegen unverzüglich an den Verantwortlichen weiter.
9. Verletzungen des Schutzes personenbezogener Daten
Der Auftragsverarbeiter meldet dem Verantwortlichen eine Verletzung des Schutzes personenbezogener Daten unverzüglich, spätestens binnen 48 Stunden nach Bekanntwerden, mit den ihm vorliegenden Angaben nach Art 33 Abs 3 DSGVO, und ergänzt fehlende Angaben, sobald sie vorliegen. Er ergreift unverzüglich die Maßnahmen, um die Verletzung zu beheben und ihre Folgen zu mindern.
10. Löschung und Rückgabe
Der Verantwortliche kann seine Daten jederzeit selbst exportieren (CSV, GeoJSON, PDF, Programmierschnittstelle). Nach Ende des Vertrags löscht der Auftragsverarbeiter die Daten des Verantwortlichen binnen 30 Tagen, sofern nicht eine gesetzliche Pflicht zur Aufbewahrung besteht. Abweichend davon gilt:
- In kostenpflichtigen Projekten werden abgegebene Datensätze beim Löschen zunächst archiviert und sind wiederherstellbar; sie werden spätestens 12 Monate nach Ende des Tarifs endgültig gelöscht, auf Weisung des Verantwortlichen auch früher.
- Datensätze von Erfassungsverfahren mit einer Mindestaufbewahrung (z. B. nach der EU-Entwaldungsverordnung) werden bis zum Ablauf dieser Frist aufbewahrt; diese Frist legt der Verantwortliche mit der Wahl des Verfahrens fest.
- In Datensicherungen bleiben gelöschte Daten bis zu deren turnusmäßiger Überschreibung erhalten, längstens 7 Tage; sie werden in dieser Zeit nicht verarbeitet, außer zur Wiederherstellung nach einem Ausfall.
Daten, die auf den Endgeräten der Nutzer zwischengespeichert sind, liegen im Verantwortungsbereich des Verantwortlichen; sie werden spätestens beim Entfernen der App vom Gerät gelöscht.
11. Nachweise und Kontrollen
Der Auftragsverarbeiter stellt dem Verantwortlichen alle erforderlichen Informationen zum Nachweis der Einhaltung dieses Vertrags zur Verfügung. Er ermöglicht Überprüfungen einschließlich Inspektionen durch den Verantwortlichen oder einen von ihm beauftragten, zur Verschwiegenheit verpflichteten Prüfer nach Vorankündigung von mindestens 14 Tagen, zu den üblichen Geschäftszeiten und ohne Störung des Betriebs. Vorrangig erfolgt der Nachweis durch schriftliche Auskunft. Die Rechenzentren des Hostinganbieters sind nach ISO/IEC 27001 zertifiziert; vor-Ort-Prüfungen dort richten sich nach dessen Bedingungen.
12. Haftung
Für die Haftung gilt Art 82 DSGVO. Im Übrigen gelten die Haftungsregeln der AGB.
13. Schlussbestimmungen
Bei Widersprüchen geht dieser Vertrag den AGB in Fragen des Datenschutzes vor. Änderungen und Ergänzungen bedürfen der Textform. Es gilt österreichisches Recht; Gerichtsstand ist das sachlich zuständige Gericht am Sitz des Auftragsverarbeiters. Öffentliche Auftraggeber können einen eigenen Mustervertrag vorlegen; der Auftragsverarbeiter prüft ihn und schließt ihn bei inhaltlicher Gleichwertigkeit anstelle dieses Vertrags.
Unterschriften
Für den Verantwortlichen: ______________________________
Organisation, Name, Funktion, Ort, Datum
Für den Auftragsverarbeiter: Grünecho e.U., Gerrit Balindt, Inhaber