Auftragsverarbeitungsvertrag (AVV)

Auftragsverarbeitungsvertrag für den Testzugang zu Hallenlotse
Fassung vom 29. Oktober 2026

Vertrag über die Verarbeitung personenbezogener Daten im Auftrag nach Art. 28 Abs. 3 der Datenschutz-Grundverordnung (DSGVO) zwischen dem Rechtsträger, für den der Testzugang angemeldet wird (Werft, Verein oder öffentliche Stelle), und advery.one - Alexander Gesswein als Anbieter.

Worum es geht: Im Testzugang kann die Werft eigene Daten eingeben, etwa Kunden, Boote und Teammitglieder. Für diese Daten bleibt die Werft verantwortlich. Der Anbieter verarbeitet sie nur in ihrem Auftrag und nach ihren Weisungen. Dieser Vertrag regelt die Einzelheiten.

§ 1 Vertragspartner und Abschluss

(1) Verantwortlicher im Sinne der DSGVO ist der Rechtsträger, für den der Testzugang angemeldet wird, mit dem Namen, der im Anmeldeformular oder später im Testzugang angegeben ist: ein Unternehmen (etwa eine Werft, ein Hafen oder eine Marina, ein Hallenbetrieb oder ein Händler), ein Verein oder Verband oder eine öffentliche Stelle (eine juristische Person des öffentlichen Rechts oder ein öffentlich-rechtliches Sondervermögen, zum Beispiel ein kommunaler Hafen). Im Folgenden heißt er kurz „Werft“; alles gilt für Vereine, Verbände und öffentliche Stellen ebenso.

(2) Auftragsverarbeiter (im Folgenden „Anbieter“) ist:
advery.one - Alexander Gesswein
Calle Escritor Carretero Narbona 1
28019 Malaga
E-Mail: hallenlotse@advery.one

(3) Der Vertrag wird elektronisch geschlossen (Art. 28 Abs. 9 DSGVO). Die Person, die den Test anmeldet, kreuzt im Anmeldeformular das Kästchen an, mit dem sie im Namen ihres Betriebs, Vereins oder ihrer Dienststelle die Testbedingungen und diesen Vertrag akzeptiert und erklärt, dazu berechtigt zu sein; berechtigt ist bei Vereinen der Vorstand oder eine von ihm bevollmächtigte Person. Danach bestätigt sie die Anmeldung über den Link in der Bestätigungs-E-Mail. Mit der Bestätigung richtet der Anbieter den Testzugang ein, und der Vertrag gilt. Handelt die Person ohne Vertretungsmacht, gelten die §§ 177 bis 179 BGB; bis die Werft den Vertrag genehmigt hat, gibt die Person keine Daten von Kunden, Mitgliedern oder Beschäftigten ein.

(4) Der Anbieter speichert mit der Anmeldung eine Kennung der Fassung dieses Vertrags und der Testbedingungen, der zugestimmt wurde, und den Zeitpunkt. Maßgeblich ist die Fassung, die beim Absenden des Anmeldeformulars galt. Der Anbieter bewahrt jede Fassung so auf, dass ihr Wortlaut jederzeit wiederhergestellt werden kann, solange der Vertrag läuft und Ansprüche daraus möglich sind. Auf Anfrage sendet der Anbieter der Werft beide Texte in dieser Fassung per E-Mail. Die jeweils aktuelle Fassung steht auf jeder Seite des Angebots unter „AVV“ und kann gespeichert und gedruckt werden.

(5) Dieser Vertrag ergänzt die Testbedingungen. Bei Widersprüchen geht er in allen Fragen des Datenschutzes vor.

§ 2 Gegenstand und Dauer

(1) Der Anbieter stellt der Werft Hallenlotse für einen kostenlosen Test als Online-Dienst bereit. Dabei verarbeitet er im Auftrag der Werft die personenbezogenen Daten, die die Werft und ihre Nutzer im Testzugang eingeben, hochladen oder dort erzeugen. Der Testzugang ist eine nicht produktive Version zu Test- und Bewertungszwecken für begrenzte Zeit (Art. 31 Abs. 2 der Verordnung (EU) 2023/2854, Data Act).

(2) Nicht Gegenstand dieses Vertrags sind:
– die Angaben aus dem Anmeldeformular, die Bestätigung der Anmeldung und die Kontaktdaten für die Betreuung des Tests; sie verarbeitet der Anbieter als eigener Verantwortlicher, siehe Datenschutzerklärung;
– die Verwaltung des Testzugangs (Laufzeit, Verlängerung, Ende, Archivierung, Löschung) und die Mitteilungen dazu an die Administratoren; auch sie verarbeitet der Anbieter als eigener Verantwortlicher, siehe Datenschutzerklärung;
– die erfundenen Boote und Kunden des Beispielbetriebs, den der Testzugang je nach Seite enthält; trägt die Werft dort echte Daten ein, gilt für diese dieser Vertrag.

(3) Der Vertrag beginnt, wenn der Testzugang eingerichtet wird, und läuft, solange der Anbieter Daten der Werft verarbeitet:
– während des Tests; er dauert 30 Tage, wenn die Seite, über die sich die Werft angemeldet hat, keine andere Dauer nennt;
– danach, solange der Testzugang nur noch lesbar ist (Daten sichtbar, aber nicht mehr änderbar), bis zur Archivierung nach Ablauf von 90 Tagen nach Testende;
– danach im Archiv ohne Zugang bis zur endgültigen Löschung nach Ablauf von 30 Tagen nach der Archivierung (§ 12).
Den Test verlängert der Anbieter nur auf Wunsch oder mit Einverständnis der Werft; dann verschieben sich diese Fristen entsprechend. Endet der Test vorzeitig (Abschnitt 14 der Testbedingungen), wird der Testzugang sofort archiviert und 30 Tage danach endgültig gelöscht, wenn die Werft nicht die frühere Löschung nach § 12 Abs. 4 verlangt. Für die Fristen bis zur Archivierung und bis zur Löschung gelten die Werte, die bei der Anmeldung in diesem Vertrag standen. Ändert der Anbieter sie später, übernimmt er für bestehende Testzugänge nur längere Fristen; kürzere gelten nur für Testzugänge, die danach angemeldet werden. Die Löschung auf Verlangen nach § 12 Abs. 4 bleibt immer möglich.

(4) Schließt die Werft einen Vertrag über die weitere, kostenpflichtige Nutzung, tritt der Auftragsverarbeitungsvertrag jenes Vertrags mit dessen Beginn an die Stelle dieses Vertrags.

§ 3 Art und Zweck der Verarbeitung

(1) Zweck ist, dass die Werft Hallenlotse mit ihren eigenen Daten ausprobieren kann. Dazu gehören, je nachdem, was die Werft nutzt:
– Gelände, Hallen und Freiflächen maßstabsgetreu zeichnen;
– Kunden und Boote verwalten, Boote auf Stellplätze stellen und den Lagerplan führen;
– Stellplatzvorschläge der selbstlernenden Positionierung und des Perfect Spot Finder (eigener Modell-Dienst des Anbieters, § 9 Abs. 6);
– Krantage und Tagespläne für Kran, Fahrzeuge und Team planen, Ausfälle erfassen, Teammitglieder einladen, die Team-App nutzen;
– Wege und Fahrzeiten berechnen (Routenplanung);
– Listen und Pläne einlesen (Import, Smart Import nach § 9 Abs. 4);
– wenn die Werft es einschaltet: Eigner-Portal und Rundmails an Eigner;
– Sicherungen, Ausdrucke und Exporte.

(2) Die Verarbeitung umfasst das Erfassen, Speichern, Ordnen und Anzeigen der Daten, das Berechnen von Plänen und Vorschlägen, das Übermitteln an die berechtigten Nutzer der Werft und, wenn die Werft es auslöst, an Eigner per E-Mail und Portal, das Exportieren, Sichern und Löschen.

(3) Der Anbieter verarbeitet die Daten nur für diesen Zweck. Er gibt sie nur nach diesem Vertrag weiter, wertet sie nicht für eigene Zwecke aus und nutzt personenbezogene Daten der Werft weder für Werbung noch zum Training von Modellen. Ausnahmen sind nur die Absätze 4 und 6. Hinweise zum Test, etwa zum Testende, zu Änderungen nach § 9 Abs. 3 und Meldungen nach § 11, sendet der Anbieter an die Administratoren des Testzugangs; Werbung sendet er an Nutzer der Werft nicht. Für die Person, die den Test angemeldet hat, gilt dafür ihre Wahl im Anmeldeformular.

(4) Die Werft ist damit einverstanden, dass der Anbieter für die Auswertung seiner Angebotsseiten festhält, ob und wann in den ersten 7 Tagen nach der Bestätigung der eine Schritt erfolgt ist, den die Seite misst (eine Fläche gezeichnet, eine Bootsliste eingelesen, ein Krantag geplant oder das Eigner-Portal genutzt, also ein Eigner-Zugang angelegt oder die erste Anmeldung eines Eigners). Dafür liest er nur Art und Zeitpunkt der passenden Einträge im Änderungsprotokoll; er hält weder fest, wer gehandelt hat, noch Inhalte oder Daten von Kunden der Werft. Gespeichert werden nur der Schritt und sein Zeitpunkt, bei der Anmeldung. Diese Angabe verarbeitet der Anbieter als eigener Verantwortlicher (Art. 6 Abs. 1 lit. f DSGVO, siehe Datenschutzerklärung). Er gibt sie nicht an Werbedienste wie Google oder Meta weiter. Wird der Testzugang gelöscht, bleibt sie nur ohne Bezug zur Werft in der Zählung erhalten.

(5) In die Daten des Testzugangs schaut der Anbieter nur nach § 7 Abs. 3 und 4.

(6) Einen Lagerplan aus dem Testzugang verwendet der Anbieter nur dann als Trainingsbeispiel für seine Modelle, wenn die Werft dem im Einzelfall in Textform zustimmt. Er übernimmt dafür nur eine anonymisierte Fassung ohne Verbindung zum Testzugang: neue Kürzel, die sich keinem Boot und keinem Kunden zuordnen lassen, Bootsmaße, Krantag-Nummern statt Datumsangaben und Lagen in Metern innerhalb der Fläche, keine Namen, Kennungen, Kontaktdaten, Datumsangaben oder Geokoordinaten; eine Zuordnung zu den Daten des Testzugangs bewahrt er nicht auf. Die Werft kann ihre Zustimmung für künftige Beispiele jederzeit widerrufen.

§ 4 Daten und betroffene Personen

(1) Je nachdem, was die Werft eingibt oder einliest, verarbeitet der Anbieter:
– Kunden und Eigner, bei Vereinen Mitglieder: Name, Anrede, Firma, Anschrift, Telefon- und Mobilnummer, E-Mail, Sprache, Kundennummer, Merkmale und eigene Felder, Notizen, Einwilligungen, etwa für Rundmails;
– Boote: Name, Hersteller und Typ, Maße, Umriss, Eigner, Heimatliegeplatz, Stellplatz, Ein- und Auslagerungstermine, Krantermine, Notizen, eigene Felder;
– Nutzer und Teammitglieder der Werft: Benutzerkonten mit Name, E-Mail, Rolle, Team, Passwort als Hashwert, Angaben zur Zwei-Faktor-Anmeldung, Sitzungen sowie Anmelde- und Sicherheitsprotokoll mit gekürzter IP-Adresse und Browserkennung, Änderungsprotokoll (wer hat wann was geändert); Team-Geräte mit PIN als Hashwert;
– Krantage und Tagespläne: Zuordnung von Teammitgliedern zu Fahrzeugen, Aufgaben und Zeiten, Rückmeldungen aus der Team-App, Ausfälle von Fahrzeugen und Teams mit Zeitraum und Grund (bei Teams nur die Zahl der fehlenden Personen, nicht wer);
– Eigner-Portal: Zugänge, Anmeldelinks, Änderungs- und Terminwünsche, geteilte und von Eignern hochgeladene Dokumente;
– Rundmails: Empfängeradressen (bis 365 Tage nach Versand) und Versandstatus;
– Importe: hochgeladene Dateien wie Listen, Pläne und Fotos mit ihrem Inhalt, auch Namen, Anschriften, Telefonnummern und E-Mail-Adressen;
– Sicherungen: nächtliche Sicherungsdateien des Testzugangs mit seinen Daten (Anlage 1);
– Server-Protokoll: bei jeder Anfrage an die Anwendung und das Eigner-Portal Zeitpunkt, Host, aufgerufener Pfad ohne Suchparameter, Art und Ergebnis der Anfrage, Dauer und die vollständige IP-Adresse, aber keine Angaben zu Browser oder Gerät; dazu vermerkt der vorgeschaltete Webserver Verbindungsfehler mit IP-Adresse und Zeitpunkt. Das Protokoll dient der Fehlersuche und der Abwehr von Angriffen. Es wird nach seiner Größe fortlaufend überschrieben (jeweils drei Dateien zu je 10 MB); wie lange ein Eintrag bleibt, hängt davon ab, wie viel aufgerufen wird. Eine feste Zahl von Tagen gibt es dafür nicht.

(2) Betroffen sind Kunden, Eigner und Mitglieder der Werft, ihre Beschäftigten, Helfer und weiteren Nutzer sowie Personen, die in hochgeladenen Dateien genannt sind.

(3) Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO) und Daten über Straftaten (Art. 10 DSGVO) sind nicht vorgesehen, mit einer Ausnahme: Bei einem Ausfall in einem Team hält der Testzugang fest, wie viele Personen fehlen, nicht wer, und als Grund kann „Krank“ gewählt werden, ohne Diagnose. In kleinen Teams kann daraus erkennbar sein, wer krank ist; dann ist das ein Gesundheitsdatum. Die Werft prüft, ob sie es verarbeiten darf (Art. 9 Abs. 2 DSGVO, bei Beschäftigten etwa lit. b in Verbindung mit § 26 Abs. 3 BDSG), oder wählt einen anderen Grund. Andere solche Daten gibt die Werft auch nicht in Notizen, Freitextfelder oder hochgeladene Dateien ein.

§ 5 Weisungen

(1) Der Anbieter verarbeitet die Daten nur auf dokumentierte Weisung der Werft, auch bei Übermittlungen in ein Drittland außerhalb von EU und Europäischem Wirtschaftsraum (EWR) oder an eine internationale Organisation. Weisungen sind dieser Vertrag, die Einstellungen und Funktionen, die Nutzer der Werft im Testzugang verwenden (zum Beispiel Einladen, Rundmail senden, Exportieren, Löschen), und Einzelweisungen in Textform, etwa per E-Mail an hallenlotse@advery.one.

(2) Einzelweisungen erteilen die Administratoren des Testzugangs oder die Person, die den Test angemeldet hat. Mündliche Weisungen bestätigt die Werft unverzüglich in Textform.

(3) Ist der Anbieter nach dem Recht der EU oder eines EU-Mitgliedstaats zu einer Verarbeitung verpflichtet, teilt er das der Werft vorher mit, es sei denn, das Gesetz verbietet die Mitteilung.

(4) Hält der Anbieter eine Weisung für rechtswidrig, sagt er das der Werft unverzüglich. Er darf die Ausführung aussetzen, bis die Werft die Weisung bestätigt oder ändert.

§ 6 Pflichten der Werft

(1) Die Werft ist für die Rechtmäßigkeit der Verarbeitung verantwortlich. Sie gibt nur Daten ein, die sie verarbeiten darf, und informiert ihre Kunden, Mitglieder und Beschäftigten selbst über die Verarbeitung (Art. 13, 14 DSGVO).

(2) Sie gibt Zugänge nur Personen, die sie brauchen, sorgt dafür, dass ihre Nutzer Anmeldedaten geheim halten, und nutzt den Testzugang nicht missbräuchlich.

(3) Bemerkt die Werft Fehler oder Unregelmäßigkeiten beim Schutz der Daten, sagt sie das dem Anbieter unverzüglich.

§ 7 Vertraulichkeit und Zugriffe des Anbieters

(1) Der Anbieter und alle Personen, die er mit Zugriff auf Daten der Werft betraut, sind zur Vertraulichkeit verpflichtet. Diese Personen kennen die Vorschriften des Datenschutzes und verarbeiten die Daten nur nach den Weisungen der Werft. Die Pflicht gilt auch nach Ende dieses Vertrags.

(2) Ein Datenschutzbeauftragter ist derzeit nicht benannt, da keine Pflicht dazu besteht (Art. 37 DSGVO, § 38 BDSG). Benennt der Anbieter einen, teilt er der Werft Namen und Kontaktdaten mit. Ansprechpartner für den Datenschutz ist advery.one - Alexander Gesswein, E-Mail hallenlotse@advery.one. Der Anbieter führt ein Verzeichnis der Verarbeitungstätigkeiten, die er im Auftrag ausführt (Art. 30 Abs. 2 DSGVO).

(3) In den Testzugang selbst schaut der Anbieter nur, wenn die Werft um Hilfe bittet oder eine Störung, ein Sicherheitsvorfall oder ein Missbrauch es erfordert. Dafür schaltet er sich den Zugang selbst frei: mit Rolle, Grund und Dauer, nur mit Zwei-Faktor-Anmeldung und für höchstens 8 Stunden; die Freigabe endet früher, wenn er sie widerruft. Freigabe, Rolle, Dauer und Widerruf stehen im Änderungsprotokoll des Testzugangs, das die Administratoren der Werft einsehen können; den Grund nennt der Anbieter der Werft auf Anfrage.

(4) Ohne Freigabe sieht der Anbieter in seiner Verwaltung nur Name, Adresse und Status des Testzugangs, das Testende, die eingeschalteten Module, die Importeinheiten und die Zustimmung für Smart Import sowie die Liste der Nutzer und Einladungen (Name, E-Mail, Rolle, Status). Diese Liste nutzt er nur zur Betreuung, etwa um auf Wunsch der Werft eine Einladung zu erneuern. Rollen ändert er und Nutzer sperrt er nur auf Wunsch der Werft oder bei Missbrauch; jede Änderung steht im Änderungsprotokoll des Testzugangs. Über Einladungs- oder Rücksetzlinks meldet er sich nicht als Nutzer der Werft an.

(5) Werden Daten der Werft beim Anbieter durch Pfändung, Beschlagnahme, ein Insolvenzverfahren oder ähnliche Maßnahmen Dritter gefährdet, informiert er die Werft unverzüglich und weist die Dritten darauf hin, dass die Werft für die Daten verantwortlich ist.

§ 8 Technische und organisatorische Maßnahmen

(1) Der Anbieter schützt die Daten mit den Maßnahmen nach Art. 32 DSGVO, die Anlage 1 beschreibt. Die wichtigsten:
– Server und Datenbank in einem Rechenzentrum in Amsterdam (Niederlande, EU);
– Trennung der Daten jeder Werft in der Datenbank (Zeilensicherheit);
– verschlüsselte Verbindungen (TLS);
– Passwörter nur als Argon2id-Hashwert, Zwei-Faktor-Anmeldung wählbar, für den Plattformbetrieb Pflicht;
– Rollen und Rechte je Nutzer, Änderungsprotokoll;
– verschlüsselte Sicherungen der Datenbank, 30 Tage aufbewahrt; dazu nächtliche Sicherungsdateien jedes Testzugangs, ebenfalls 30 Tage aufbewahrt (Anlage 1).

(2) Der Anbieter darf die Maßnahmen dem Stand der Technik anpassen, solange das Schutzniveau nicht sinkt. Wesentliche Änderungen dokumentiert er.

(3) Der Testzugang ist kein Produktivbetrieb: Eine bestimmte Verfügbarkeit ist nicht zugesagt, und Wartungen können ihn unterbrechen (Abschnitt 12 der Testbedingungen). Die Pflichten zum Schutz der Daten gelten trotzdem in vollem Umfang.

§ 9 Ort der Verarbeitung und Unterauftragsverarbeiter

(1) Der Anbieter verarbeitet die Daten der Werft in der EU. In ein Drittland außerhalb der EU und des EWR gehen Daten nur nach Absatz 4 und nur, wenn die Voraussetzungen der Art. 44 bis 49 DSGVO erfüllt sind.

(2) Die Werft genehmigt die Unterauftragsverarbeiter, die Anlage 2 mit Name und Anschrift nennt. Der Anbieter verpflichtet jeden von ihnen vertraglich auf dieselben Datenschutzpflichten wie in diesem Vertrag, insbesondere auf geeignete technische und organisatorische Maßnahmen (Art. 28 Abs. 4 DSGVO). Für ihre Pflichten haftet er der Werft wie für eigene.

(3) Will der Anbieter einen Unterauftragsverarbeiter hinzunehmen oder ersetzen, teilt er das mindestens 14 Tage vorher per E-Mail an die Administratoren des Testzugangs mit. Die Werft kann innerhalb der Frist widersprechen, wenn sie datenschutzrechtliche Bedenken gegen den neuen Unterauftragsverarbeiter hat. Dann setzt der Anbieter ihn für die Daten der Werft nicht ein. Ist das technisch nicht möglich, teilt er das der Werft mit; sie kann den Test dann beenden und die Löschung nach § 12 Abs. 4 verlangen. Bis zum Ablauf der Frist und, nach einem Widerspruch, bis zur Löschung erhält der neue Unterauftragsverarbeiter keine Daten der Werft.

(4) Smart Import liest Listen, PDFs und Fotos von Plänen ein und kann dafür einen KI-Dienst nutzen. Es wird erst freigeschaltet, wenn eine Administratorin oder ein Administrator der Werft in der Anwendung im Namen der Werft gesondert zustimmt; gespeichert werden Fassung, Zeitpunkt und zustimmende Person. Anlage 3 (KI-Dienst für Smart Import) nennt den KI-Dienst mit Name, Sitz, Ort der Verarbeitung, Aufbewahrung beim Dienst und Grundlage einer Übermittlung in ein Drittland; die Werft sieht sie in der Anwendung, bevor sie zustimmt. Mit der Zustimmung wird Anlage 3 Teil dieses Vertrags, und die Werft genehmigt den KI-Dienst als Unterauftragsverarbeiter. Dann gilt:
– An den KI-Dienst gehen nur die Inhalte der Seiten, die ein Nutzer zur Auswertung auswählt, auch Namen und Kontaktdaten darin. Von Tabellen gehen nur Blattnamen, Spaltenüberschriften und wenige gekürzte Beispielzeilen hinaus, Dateinamen nie.
– Der KI-Dienst verarbeitet die Inhalte nur zur Beantwortung der einzelnen Anfrage und nutzt sie nicht zum Training. Sie werden mit der Anfrage gesendet und nicht in einem Dateispeicher des Dienstes abgelegt. Ob und wie lange der Dienst sie danach höchstens aufbewahrt, etwa zur Missbrauchskontrolle, nennt Anlage 3.
– Verarbeitet der KI-Dienst außerhalb der EU und des EWR, stützt sich die Übermittlung auf einen Angemessenheitsbeschluss der EU-Kommission (Art. 45 DSGVO), bei Empfängern in den USA auf das EU-US Data Privacy Framework, soweit der Dienst danach zertifiziert ist, sonst auf die Standardvertragsklauseln der EU-Kommission (Art. 46 Abs. 2 lit. c DSGVO).
– Hochgeladene Dateien und erkannte Daten nicht übernommener Importe löscht der Anbieter 30 Tage nach der letzten Änderung, die Angaben zum Rückgängigmachen übernommener Importe nach Ablauf der Rückgängig-Frist von 30 Tagen. Die Werft kann beide Fristen in den Einstellungen verkürzen. Spätestens werden sie mit dem Testzugang gelöscht.
– Nur wenn der Anbieter es zur Fehlersuche einschaltet, bewahrt er Anfragen an den KI-Dienst und dessen Antworten, auch mit Namen und Seitenbildern, bis zu 30 Tage auf; die Werft kann das in den Einstellungen ausschalten.
Ohne diese Zustimmung gehen keine personenbezogenen Daten an einen KI-Dienst.

(5) KI-Draufsichten von Booten (Bilder, die ein externer KI-Dienst erzeugt) und die KI-Positionierung (Stellplatzvorschläge eines externen KI-Dienstes) sind im Testzugang ausgeschaltet. Die Werft kann sie im Test nicht einschalten, und der Anbieter schaltet sie dort nicht ein. An Dienste dafür gehen keine Daten. Die selbstlernende Positionierung und der Perfect Spot Finder mit dem eigenen Modell-Dienst des Anbieters (Absatz 6) sind davon nicht betroffen.

(6) Die selbstlernende Positionierung und der Perfect Spot Finder schlagen Stellplätze mit einem Modell-Dienst vor, den der Anbieter selbst in einem Rechenzentrum in der EU betreibt (Anlage 2 Nr. 3). Der Modell-Dienst erhält nur pseudonymisierte Aufgaben: Kürzel statt Namen und Kennungen (etwa B01, A1), Bootsmaße, Krantag-Nummern statt Datumsangaben, Flächen und Lagen in Metern innerhalb der Fläche, keine Geokoordinaten. Die Zuordnung der Kürzel zu den Booten bleibt in der Datenbank des Testzugangs; der Betreiber des Rechenzentrums kann sie nicht herstellen. Der Dienst speichert keine Inhalte der Aufgaben; er protokolliert je Anfrage nur die Zahl der Boote, den Status und die Dauer.

§ 10 Unterstützung der Werft

(1) Der Anbieter unterstützt die Werft dabei, Anfragen betroffener Personen zu beantworten: Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit und Widerspruch (Art. 12 bis 22 DSGVO). Während des Tests kann die Werft das meiste im Testzugang selbst erledigen: Daten ansehen, berichtigen und exportieren und einzelne Kunden löschen. Beim Löschen werden Name, Anschrift, Kontaktdaten, Einwilligungen, Notizen und persönliche eigene Felder entfernt, ebenso die Notizen und persönlichen Felder der Boote, die nur dieser Person gehörten, ihre Adresse in Rundmails und ihre Daten im Eigner-Portal und in Importen. Zurück bleibt ein Platzhalter (etwa „Ehem. Kunde #0042“), damit Pläne und Protokolle stimmig bleiben. Sollen auch Boote und Termine nicht mehr auf die Person schließen lassen, etwa über den Bootsnamen, ändert oder entfernt die Werft sie im Testzugang, oder der Anbieter tut es auf ihre Weisung.

(2) Nach Testende ist der Testzugang nur noch lesbar: Bis zur Archivierung können die Administratoren bereits erstellte Exporte und die nächtlichen Sicherungsdateien weiter herunterladen, aber im Testzugang nichts mehr ändern und nichts neu exportieren. Exporte, Berichtigungen und Löschungen der Daten einzelner Personen erledigt dann der Anbieter auf Anfrage per E-Mail an hallenlotse@advery.one, unverzüglich, spätestens innerhalb von 14 Tagen, oder er schaltet den Testzugang dafür auf Wunsch der Werft vorübergehend wieder frei. Exporte stellt er als Download bereit (§ 12 Abs. 2).

(3) Wendet sich eine betroffene Person direkt an den Anbieter, leitet er die Anfrage unverzüglich an die Werft weiter. Er beantwortet sie nur auf Weisung der Werft.

(4) Der Anbieter unterstützt die Werft bei ihren Pflichten nach Art. 32 bis 36 DSGVO (Sicherheit der Verarbeitung, Meldung von Verletzungen, Datenschutz-Folgenabschätzung, vorherige Konsultation der Aufsichtsbehörde) mit den Informationen, die ihm vorliegen.

(5) Für diese Unterstützung verlangt der Anbieter im Test kein Entgelt.

§ 11 Verletzungen des Schutzes personenbezogener Daten

(1) Erfährt der Anbieter von einer Verletzung des Schutzes personenbezogener Daten der Werft, meldet er sie unverzüglich, spätestens innerhalb von 24 Stunden, per E-Mail an die Administratoren des Testzugangs und an die Person, die den Test angemeldet hat; hat sie eine Telefonnummer angegeben, auch telefonisch.

(2) Die Meldung enthält, soweit bekannt, die Angaben nach Art. 33 Abs. 3 DSGVO: was geschehen ist, welche Daten und ungefähr wie viele Personen betroffen sind, die wahrscheinlichen Folgen, die ergriffenen und vorgeschlagenen Maßnahmen und eine Kontaktstelle. Was noch nicht bekannt ist, reicht der Anbieter nach, sobald er es weiß.

(3) Der Anbieter ergreift unverzüglich Maßnahmen, um die Daten zu sichern und Nachteile für die Betroffenen zu mindern. Er unterstützt die Werft bei Meldungen an die Aufsichtsbehörde und Benachrichtigungen der Betroffenen (Art. 33, 34 DSGVO). Erklärungen in ihrem Namen gibt er nur auf ihre Weisung ab. Jede Verletzung dokumentiert er.

§ 12 Löschung und Rückgabe

(1) Während des Tests kann die Werft ihre Daten jederzeit selbst exportieren. Weil der Testzugang am Ende gelöscht wird, sollte sie alles, was sie behalten will, vorher exportieren.

(2) Bis zur endgültigen Löschung stellt der Anbieter der Werft auf Anfrage einen Export ihrer Daten (ZIP-Datei mit Tabellen und Dateien in gängigen, maschinenlesbaren Formaten) als Download bereit, nicht als E-Mail-Anhang, auch nach Testende und nach der Archivierung.

(3) Ohne Vertrag über die weitere Nutzung gilt:
– Nach Testende ist der Testzugang nur noch lesbar (§ 10 Abs. 2).
– Nach Ablauf von 90 Tagen nach Testende wird er archiviert: kein Zugang mehr, die Adresse des Testzugangs ist gesperrt. Die Daten bleiben nur gespeichert, damit der Test auf Wunsch der Werft fortgesetzt oder der Werft ein Export bereitgestellt werden kann; sonst nutzt der Anbieter sie nicht.
– Endet der Test vorzeitig (§ 2 Abs. 3), wird der Testzugang sofort archiviert.
– Nach Ablauf von 30 Tagen nach der Archivierung löscht der Anbieter den Testzugang endgültig mit allen Daten und Dateien, auch den nächtlichen Sicherungsdateien des Testzugangs und den Benutzerkonten, die zu keinem anderen Betrieb gehören.

(4) Die Werft kann jederzeit verlangen, dass der Testzugang früher gelöscht wird. Dafür genügt eine E-Mail an hallenlotse@advery.one von der Adresse einer Administratorin oder eines Administrators des Testzugangs oder der Person, die den Test angemeldet hat; bei Zweifeln fragt der Anbieter dort nach. Auf Wunsch stellt der Anbieter vorher einen Export nach Absatz 2 bereit. Er löscht den Testzugang dann unverzüglich, spätestens innerhalb von 14 Tagen, so wie in Absatz 3 beschrieben, und bestätigt die Löschung per E-Mail.

(5) Gelöschte Daten bleiben in den verschlüsselten Sicherungen der Datenbank noch bis zu 30 Tage erhalten; danach werden diese Sicherungen gelöscht. Einzelne Daten, die die Werft während des Tests löscht, bleiben ebenso lange in den nächtlichen Sicherungsdateien des Testzugangs; diese werden spätestens mit dem Testzugang gelöscht. Im Server-Protokoll bleiben Einträge, bis sie nach ihrer Größe überschrieben werden (§ 4 Abs. 1). Muss in dieser Zeit eine Sicherung zurückgespielt werden, löscht der Anbieter die Daten erneut.

(6) Muss der Anbieter Daten nach dem Recht der EU oder Deutschlands länger aufbewahren, sperrt er sie und nutzt sie nur für diesen Zweck. Im Protokoll der Plattform bleiben die Einträge zu Bestätigung, Archivierung und Löschung des Testzugangs mit seiner Adresse drei Jahre ab Ende des Jahres, in dem der Testzugang gelöscht wurde, als Nachweis der Löschung; diese Einträge verarbeitet der Anbieter als eigener Verantwortlicher (Art. 5 Abs. 2 DSGVO, siehe Datenschutzerklärung).

(7) Auf Anfrage bestätigt der Anbieter der Werft die Löschung in Textform.

§ 13 Nachweise und Kontrollen

(1) Der Anbieter stellt der Werft alle Informationen bereit, die sie braucht, um die Einhaltung der Pflichten nach Art. 28 DSGVO nachzuweisen, etwa eine aktuelle Beschreibung der Maßnahmen nach Anlage 1, Auskünfte und Nachweise seiner Unterauftragsverarbeiter wie Zertifikate oder Prüfberichte.

(2) Die Werft oder ein von ihr beauftragter, zur Verschwiegenheit verpflichteter Prüfer kann die Einhaltung überprüfen. Vor-Ort-Prüfungen beim Anbieter finden statt, wenn die Nachweise nach Absatz 1 nicht ausreichen oder ein begründeter Verdacht auf einen Verstoß besteht. Die Werft kündigt eine Prüfung mit angemessener Frist an, in der Regel 14 Tage; bei einem begründeten Verdacht auf eine Verletzung auch kürzer. Prüfungen finden zu üblichen Geschäftszeiten und ohne vermeidbare Störung des Betriebs statt.

(3) Die Rechenzentren und den E-Mail-Dienst betreibt nicht der Anbieter selbst (Anlage 2); für sie legt er aktuelle Zertifikate (etwa ISO/IEC 27001) und Prüfberichte der Unterauftragsverarbeiter vor.

(4) Die Rechte der Aufsichtsbehörden bleiben unberührt. Jede Partei trägt ihre eigenen Kosten einer Prüfung.

§ 14 Haftung

(1) Für Schäden betroffener Personen haften die Werft und der Anbieter nach Art. 82 DSGVO.

(2) Der Anbieter haftet für den durch eine Verarbeitung verursachten Schaden nur, wenn er seinen besonderen Pflichten als Auftragsverarbeiter aus der DSGVO nicht nachgekommen ist oder rechtmäßige Weisungen der Werft nicht beachtet oder gegen sie gehandelt hat (Art. 82 Abs. 2 Satz 2 DSGVO). Eine Partei ist von der Haftung befreit, wenn sie nachweist, dass sie für den Schaden in keinerlei Hinsicht verantwortlich ist (Art. 82 Abs. 3 DSGVO).

(3) Hat eine Partei einer betroffenen Person vollen Schadenersatz geleistet, kann sie von der anderen den Teil zurückverlangen, der deren Anteil an der Verantwortung für den Schaden entspricht (Art. 82 Abs. 5 DSGVO).

(4) Im Übrigen haftet der Anbieter der Werft für die Verletzung von Pflichten aus diesem Vertrag unbeschränkt bei Vorsatz und grober Fahrlässigkeit, bei Verletzung von Leben, Körper oder Gesundheit, bei arglistig verschwiegenen Mängeln und nach dem Produkthaftungsgesetz. Bei leichter Fahrlässigkeit haftet er nur für die Verletzung wesentlicher Pflichten, also solcher, deren Erfüllung die Durchführung dieses Vertrags erst ermöglicht und auf deren Einhaltung die Werft regelmäßig vertrauen darf (dazu gehören die Pflichten nach §§ 7, 8, 9 und 11), und dann begrenzt auf den bei Vertragsschluss vorhersehbaren, vertragstypischen Schaden. Das gilt auch, wenn eine solche Pflichtverletzung zum Verlust von Daten führt. Diese Regeln beschränken weder Ansprüche betroffener Personen nach Art. 82 DSGVO noch den Ausgleich nach Absatz 3. Hinweise der Testbedingungen zu eigenen Sicherungen der Werft lassen die Pflichten des Anbieters nach § 8 unberührt.

§ 15 Schlussbestimmungen

(1) Eine neue Fassung dieses Vertrags gilt für einen bestehenden Testzugang nur, wenn die Werft ihr zustimmt. Für neue Unterauftragsverarbeiter gilt § 9 Abs. 3, für geänderte Fristen § 2 Abs. 3.

(2) Ist eine Bestimmung unwirksam, bleibt der übrige Vertrag wirksam. An ihre Stelle treten die gesetzlichen Vorschriften, insbesondere Art. 28 DSGVO.

(3) Es gilt deutsches Recht.

Anlage 1: Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

Vertraulichkeit
Zutritt: Der Anbieter betreibt keine eigenen Serverräume. Die Server der Anwendung stehen in einem Rechenzentrum der Scaleway SAS in Amsterdam (Niederlande, EU), der Modell-Dienst in einem Rechenzentrum derselben Firma in Paris (Frankreich, EU); E-Mails versendet und empfängt die STRATO GmbH in Deutschland (Anlage 2). Die Betreiber der Rechenzentren stellen Zutritt und physischen Schutz der Räume sicher.
Zugang: Jede Person meldet sich mit eigenem Zugang an. Passwörter haben eine Mindestlänge, werden mit einer Liste bekannter, veröffentlichter Passwörter abgeglichen und nie im Klartext gespeichert, nur als Argon2id-Hashwert. Die Zwei-Faktor-Anmeldung ist für Nutzer der Werft wählbar und für den Plattformbetrieb Pflicht; ihre Geheimnisse sind verschlüsselt gespeichert. Sitzungen enden nach Inaktivität und nach einer Höchstdauer. Einladungs- und Rücksetzlinks gelten nur einmal und nur kurz; der Link aus der Bestätigungs-E-Mail führt so lange zum Setzen des ersten Passworts, wie die E-Mail angibt, und nur, solange es noch nicht gesetzt ist. Eigner melden sich mit einem einmal gültigen E-Mail-Link an. Administrativen Zugang zu den Servern hat nur der Anbieter, mit Schlüssel-Anmeldung über verschlüsselte Verbindungen.
Zugriff: Rollen mit abgestuften Rechten (Administration, Planung, Team, nur lesen); Eigner sehen im Portal nur ihre eigenen Boote und Termine. Ohne Freigabe sieht der Anbieter nur die Verwaltungsangaben nach § 7 Abs. 4. In den Testzugang selbst kommt er nur mit einer begründeten, höchstens 8 Stunden gültigen und protokollierten Freigabe (§ 7 Abs. 3).
Trennung: Die Daten jeder Werft sind in der Datenbank durch Zeilensicherheit (Row-Level Security) getrennt; jede Abfrage im Namen eines Nutzers sieht nur die Daten der eigenen Werft. Hintergrundaufgaben des Plattformbetriebs, etwa Sicherungen und Fristen, arbeiten werftübergreifend. Daten aus Testzugängen werden nicht in Entwicklungs- oder Testumgebungen kopiert, außer auf Weisung der Werft, etwa zur Fehlersuche, oder mit ihrer Zustimmung als Trainingsbeispiel nach § 3 Abs. 6; zur Fehlersuche nur verschlüsselt, befristet und danach gelöscht. Zur Fehlersuche gibt der Anbieter keine Daten des Testzugangs an KI-Werkzeuge oder andere Dienste, die nicht in Anlage 2 stehen. Der Beispielbetrieb wird nur mit erfundenen Daten angelegt.

Verschlüsselung, Pseudonymisierung, Datensparsamkeit
Verbindungen über das Internet sind mit TLS verschlüsselt, die Sicherungen der Datenbank ebenfalls. Namen, Anschriften und Kontaktdaten stehen in den Stammdaten (Kunden, Nutzer), den Portal-, Rundmail- und Importdaten und in hochgeladenen Dateien. Ereignisse, Änderungsprotokoll und Suchindizes enthalten keine Namen oder Kontaktdaten, nur interne Kennungen; Werte personenbezogener Felder schreibt das Änderungsprotokoll nicht mit, wohl aber die gekürzte IP-Adresse und die Browserkennung. Das Server-Protokoll enthält die vollständige IP-Adresse (§ 4 Abs. 1). Beim Löschen eines Kunden werden seine Namens-, Kontakt- und weiteren persönlichen Daten entfernt; zurück bleibt ein Platzhalter. Boote und Termine ändert oder entfernt die Werft auf Wunsch der Person mit (§ 10 Abs. 1). Der Modell-Dienst der selbstlernenden Positionierung und des Perfect Spot Finder erhält nur pseudonymisierte Aufgaben ohne Namen, Kennungen, Datumsangaben oder Geokoordinaten; die Zuordnung der Kürzel bleibt in der Datenbank des Testzugangs (§ 9 Abs. 6).

Integrität
Weitergabe: Daten gehen nur verschlüsselt an berechtigte Nutzer, an Eigner nur, wenn die Werft es auslöst, und an die Unterauftragsverarbeiter nach Anlage 2. Vor dem Versand einer Rundmail prüft die Anwendung für Werbe-Rundmails die Einwilligung und für Service-Mails, dass der Empfänger nicht widersprochen hat; archivierte und gelöschte Kunden erhalten keine Mails.
Eingabe: Ein Änderungsprotokoll hält fest, wer wann was geändert hat; seine Einträge lassen sich nicht nachträglich ändern. Nur die gekürzte IP-Adresse und die Browserkennung werden nach 90 Tagen daraus entfernt.

Verfügbarkeit und Wiederherstellung
Die Datenbank wird täglich verschlüsselt gesichert; die Sicherungen werden 30 Tage aufbewahrt. Zusätzlich legt die Anwendung jede Nacht eine Sicherungsdatei jedes Testzugangs im Dateispeicher an. Sie wird 30 Tage aufbewahrt, ist nicht gesondert verschlüsselt, kann von den Administratoren der Werft heruntergeladen werden und wird mit dem Testzugang gelöscht. Die Wiederherstellung ist beschrieben und wird regelmäßig, mindestens vierteljährlich, geprobt. Eine bestimmte Verfügbarkeit ist im Test nicht zugesagt.

Regelmäßige Überprüfung
Der Anbieter überprüft die Maßnahmen mindestens einmal im Jahr und nach wesentlichen Änderungen und passt sie an. Unterauftragsverarbeiter wählt er nach ihren Schutzmaßnahmen aus und verpflichtet sie nach Art. 28 Abs. 4 DSGVO.
Datenschutzfreundliche Voreinstellungen: Smart Import mit KI-Dienst bleibt aus, bis die Werft zustimmt; das Aufbewahren von Anfragen an den KI-Dienst ist ausgeschaltet; KI-Draufsichten und KI-Positionierung sind im Test ausgeschaltet und lassen sich dort nicht einschalten.

Anlage 2: Unterauftragsverarbeiter

Der Anbieter setzt für den Testzugang diese Unterauftragsverarbeiter ein. Mit jedem hat er einen Vertrag zur Auftragsverarbeitung nach Art. 28 Abs. 4 DSGVO geschlossen. Ändern sie sich, gilt § 9 Abs. 3.

1. Hosting
Unternehmen: Scaleway SAS, 8 rue de la Ville l'Évêque, 75008 Paris, Frankreich
Ort der Verarbeitung: Rechenzentrum in Amsterdam, Niederlande (EU)
Leistung: Server, Datenbank, Dateien und Sicherungen
Daten: alle Daten des Testzugangs (§ 4)
Übermittlung in ein Drittland: keine

2. E-Mail-Versand und E-Mail-Postfach
Unternehmen: STRATO GmbH, Otto-Ostrowski-Straße 7, 10249 Berlin, Deutschland
Ort der Verarbeitung: Deutschland (EU)
Leistung: Versand von Einladungen, Benachrichtigungen, Anmeldelinks des Eigner-Portals und Rundmails; Empfang und Ablage der E-Mails an hallenlotse@advery.one
Daten: Name und E-Mail-Adresse der Empfänger und Inhalt der E-Mails; was die Werft in E-Mails an den Anbieter schreibt oder anhängt, etwa Weisungen und Anfragen zur Hilfe
Übermittlung in ein Drittland: keine

3. Rechenzentrum für den Modell-Dienst der selbstlernenden Positionierung und des Perfect Spot Finder
Unternehmen: Scaleway SAS, 8 rue de la Ville l'Évêque, 75008 Paris, Frankreich (wie Nr. 1)
Ort der Verarbeitung: Rechenzentrum in Paris, Frankreich (EU)
Leistung: Rechenleistung für den Modell-Dienst, den der Anbieter selbst betreibt; er schlägt Stellplätze vor, wenn die Werft die selbstlernende Positionierung oder den Perfect Spot Finder nutzt
Daten: nur pseudonymisierte Aufgaben nach § 9 Abs. 6 (Kürzel, Bootsmaße, Krantag-Nummern, Flächen und Lagen in Metern), keine Namen, Kennungen, Datumsangaben oder Geokoordinaten; der Dienst speichert keine Inhalte
Übermittlung in ein Drittland: keine

4. KI-Dienst für Smart Import (nur nach Zustimmung, § 9 Abs. 4)
Unternehmen, Ort der Verarbeitung, Aufbewahrung und Grundlage einer Übermittlung: in Anlage 3 (KI-Dienst für Smart Import) genannt
Leistung: Erkennen und Auslesen der ausgewählten Seiten hochgeladener Dateien
Daten: Inhalte der ausgewählten Seiten einschließlich Namen und Kontaktdaten; bei Tabellen nur Blattnamen, Überschriften und gekürzte Beispielzeilen; keine Dateinamen
Übermittlung in ein Drittland: möglich, dann nach § 9 Abs. 4

Nur wenn eingerichtet
Wählt die Werft für die Routenplanung einen Online-Routendienst, erhält dieser nur Koordinaten von Gelände und Wegpunkten, keine Namen oder Kontaktdaten. Einen Dienst für Fehlerberichte in der EU kündigt der Anbieter vor dem ersten Einsatz nach § 9 Abs. 3 an; er erhält nur technische Fehlerangaben ohne Namen und Kontaktdaten. Nutzt die Werft für Rundmails ihren eigenen Mailserver, gehen die Rundmails über diesen; dafür ist die Werft selbst verantwortlich.

Im Testzugang ausgeschaltet
KI-Draufsichten von Booten und KI-Positionierung: An Dienste dafür gehen keine Daten (§ 9 Abs. 5).

Anlage 3: KI-Dienst für Smart Import

Diese Anlage zeigt die Anwendung, bevor eine Administratorin oder ein Administrator der Werft Smart Import zustimmt (§ 9 Abs. 4). Sie nennt den KI-Dienst mit Name, Sitz, Ort der Verarbeitung, Aufbewahrung beim Dienst und Grundlage einer Übermittlung in ein Drittland. Mit der Zustimmung wird sie in der dort gezeigten Fassung Teil dieses Vertrags. Bis dahin setzt der Anbieter für den Testzugang keinen KI-Dienst für Smart Import ein. Auf Anfrage sendet der Anbieter der Werft die Anlage vorab per E-Mail.