Vertrag zur Auftragsverarbeitung

nach Art. 28 DSGVO · Stand: Juli 2026

Dieser Vertrag konkretisiert die datenschutzrechtlichen Pflichten der Parteien, die sich aus der Nutzung der Software „Ripelog“ gemäß den Allgemeinen Geschäftsbedingungen (nachfolgend „Hauptvertrag“) ergeben. Er ist Anlage und Bestandteil des Hauptvertrags.

§ 1 Gegenstand, Dauer und Spezifizierung der Verarbeitung

1. Gegenstand: Der Auftragsverarbeiter stellt dem Verantwortlichen die Software Ripelog als webbasierte Anwendung bereit und verarbeitet dabei personenbezogene Daten in dessen Auftrag. Eine Verarbeitung zu eigenen Zwecken des Auftragsverarbeiters findet nicht statt.
2. Dauer: Die Verarbeitung beginnt mit Vertragsschluss und ist auf die Laufzeit des Hauptvertrags befristet.
3. Art und Zweck: Erhebung, Speicherung, Strukturierung, Auswertung und Löschung von Stamm- und Bewegungsdaten zum Zweck der digitalen Ernteerfassung und – sofern gesondert freigeschaltet – der Arbeitszeiterfassung im Betrieb des Verantwortlichen.
4. Art der Daten:
   • Stammdaten der Beschäftigten/Erntehelfer: Vor- und Nachname, Telefonnummer, Mitarbeiternummer, externe Personalnummer, Eintrittsdatum;
   • Leistungs-/Bewegungsdaten: erfasste Erntemengen mit Zeitpunkt, Feld, Sorte, Qualität und Gebinde;
   • Nutzungsdaten der Anwenderkonten: E-Mail-Adresse, Rolle, Berechtigungen, An-/Abmeldezeitpunkte;
   • nur bei freigeschaltetem Modul Zeiterfassung zusätzlich: Arbeits- und Pausenzeiten, Abwesenheiten sowie die hierfür erfassten Personal- und Abrechnungsstammdaten.
5. Kategorien betroffener Personen: Beschäftigte, Saison- und Erntehelfer sowie sonstige Anwender des Verantwortlichen.
6. Besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO sind nicht Gegenstand der Verarbeitung. Der Verantwortliche wird solche Daten nicht in den Dienst einstellen.

§ 2 Weisungsrecht

1. Der Auftragsverarbeiter verarbeitet die Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen, es sei denn, er ist nach dem Recht der Union oder der Mitgliedstaaten zur Verarbeitung verpflichtet. In einem solchen Fall teilt er dem Verantwortlichen diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das Recht dies nicht wegen eines wichtigen öffentlichen Interesses verbietet.
2. Die Nutzung der Funktionen der Software durch den Verantwortlichen gilt als Weisung. Weitere Weisungen erfolgen in Textform an kontakt@ripelog.com und werden dokumentiert.
3. Der Auftragsverarbeiter informiert den Verantwortlichen unverzüglich, wenn er der Auffassung ist, dass eine Weisung gegen datenschutzrechtliche Vorschriften verstößt. Er ist berechtigt, die Durchführung der betreffenden Weisung auszusetzen, bis sie bestätigt oder geändert wird.

§ 3 Vertraulichkeit

1. Der Auftragsverarbeiter ist zur Wahrung der Vertraulichkeit bei der Verarbeitung verpflichtet. Diese Pflicht besteht auch nach Beendigung des Vertrags fort.
2. Der Auftragsverarbeiter ist Einzelunternehmer. Zugriff auf die Produktivdaten hat ausschließlich er selbst. Setzt er künftig weitere Personen ein, verpflichtet er diese vor Aufnahme der Tätigkeit schriftlich zur Vertraulichkeit und unterweist sie über die einschlägigen Datenschutzvorgaben.

§ 4 Technische und organisatorische Maßnahmen

1. Der Auftragsverarbeiter trifft die in Anlage 1 beschriebenen technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO und hält sie während der Vertragslaufzeit aufrecht.
2. Die Maßnahmen unterliegen dem technischen Fortschritt. Der Auftragsverarbeiter darf sie anpassen, sofern das Schutzniveau nicht unterschritten wird. Wesentliche Änderungen werden dokumentiert.

§ 5 Unterauftragsverarbeiter

1. Der Verantwortliche erteilt hiermit seine allgemeine Genehmigung zur Hinzuziehung der nachfolgend genannten Unterauftragsverarbeiter:

2. Der Auftragsverarbeiter hat mit den vorgenannten Unternehmen Verträge geschlossen, die den Anforderungen des Art. 28 DSGVO entsprechen, und ihnen dieselben Datenschutzpflichten auferlegt, die ihn selbst treffen.
3. Der Auftragsverarbeiter informiert den Verantwortlichen mindestens 30 Tage im Voraus in Textform über die beabsichtigte Hinzuziehung eines weiteren oder den Austausch eines bestehenden Unterauftragsverarbeiters. Der Verantwortliche kann hiergegen binnen 30 Tagen aus einem wichtigen, datenschutzbezogenen Grund Einspruch erheben.
4. Erhebt der Verantwortliche Einspruch und kann keine Einigung erzielt werden, ist jede Partei berechtigt, den Hauptvertrag mit einer Frist von 30 Tagen zu kündigen.
5. Drittlandübermittlung: Die Datenhaltung erfolgt ausschließlich innerhalb der Europäischen Union. Eine Übermittlung in die USA kann im Rahmen des Hostings (Netlify) sowie durch Zugriffsmöglichkeiten der US-Muttergesellschaften erfolgen. Der Auftragsverarbeiter hat hierfür die Standardvertragsklauseln der EU-Kommission nach Art. 46 Abs. 2 lit. c DSGVO abgeschlossen.
6. Nicht als Unterauftragsverarbeitung gelten Nebenleistungen, die der Auftragsverarbeiter bei Dritten in Anspruch nimmt (z. B. Telekommunikations- oder Reinigungsleistungen).

§ 6 Unterstützung des Verantwortlichen

1. Der Auftragsverarbeiter unterstützt den Verantwortlichen im Rahmen des Zumutbaren bei der Erfüllung der Rechte betroffener Personen nach Art. 12–23 DSGVO. Wendet sich eine betroffene Person unmittelbar an den Auftragsverarbeiter, leitet er das Anliegen unverzüglich an den Verantwortlichen weiter und beantwortet es nicht selbst.
2. Der Auftragsverarbeiter unterstützt den Verantwortlichen bei der Einhaltung der Pflichten nach Art. 32–36 DSGVO, insbesondere bei der Sicherheit der Verarbeitung, der Meldung von Verletzungen des Schutzes personenbezogener Daten und einer etwaigen Datenschutz-Folgenabschätzung.
3. Die Software stellt dem Verantwortlichen Funktionen zur Verfügung, mit denen er Daten eigenständig auskunftsweise ausleiten, berichtigen und löschen kann.

§ 7 Meldung von Datenschutzverletzungen

1. Der Auftragsverarbeiter meldet dem Verantwortlichen jede Verletzung des Schutzes personenbezogener Daten unverzüglich, nach Möglichkeit innerhalb von 24 Stunden ab Kenntniserlangung, in Textform.
2. Die Meldung enthält, soweit verfügbar: eine Beschreibung der Art der Verletzung, die Kategorien und die ungefähre Zahl der betroffenen Personen und Datensätze, die wahrscheinlichen Folgen sowie die ergriffenen oder vorgeschlagenen Maßnahmen.
3. Die Meldung an die Aufsichtsbehörde nach Art. 33 DSGVO und an die betroffenen Personen nach Art. 34 DSGVO obliegt dem Verantwortlichen.

§ 8 Nachweise und Kontrollrechte

1. Der Auftragsverarbeiter stellt dem Verantwortlichen auf Anfrage alle erforderlichen Informationen zum Nachweis der Einhaltung der in Art. 28 DSGVO genannten Pflichten zur Verfügung.
2. Der Nachweis kann durch die Vorlage dieser Anlage 1, durch aktuelle Testate, Berichte oder Zertifikate der eingesetzten Unterauftragsverarbeiter oder durch eine Selbstauskunft erfolgen.
3. Der Verantwortliche ist berechtigt, sich von der Einhaltung der getroffenen Maßnahmen zu überzeugen, auch durch Überprüfungen vor Ort. Solche Überprüfungen sind mit angemessener Frist, mindestens 14 Tage im Voraus, anzukündigen, auf das erforderliche Maß zu beschränken und während der üblichen Geschäftszeiten durchzuführen; sie dürfen den Betriebsablauf nicht unverhältnismäßig stören.

§ 9 Löschung und Rückgabe nach Beendigung

1. Nach Beendigung des Hauptvertrags stellt der Auftragsverarbeiter dem Verantwortlichen dessen Daten für einen Zeitraum von 30 Tagen zum Export bereit.
2. Nach Ablauf dieser Frist löscht der Auftragsverarbeiter die im Auftrag verarbeiteten Daten, sofern nicht nach dem Recht der Union oder der Mitgliedstaaten eine Verpflichtung zur Speicherung besteht.
3. In Sicherungskopien vorhandene Daten werden mit dem Ablauf der jeweiligen Sicherungs-Aufbewahrungsfrist (siehe Anlage 1) gelöscht. Bis dahin bleiben sie von der aktiven Nutzung ausgeschlossen.
4. Die Löschung wird dem Verantwortlichen auf Verlangen in Textform bestätigt.

§ 10 Schlussbestimmungen

1. Im Fall von Widersprüchen zwischen diesem Vertrag und dem Hauptvertrag gehen die Regelungen dieses Vertrags vor, soweit die Verarbeitung personenbezogener Daten betroffen ist.
2. Sollten einzelne Bestimmungen unwirksam sein oder werden, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt.
3. Es gilt das Recht der Bundesrepublik Deutschland.