Vereinbarung zur Auftragsverarbeitung (AVV) nach Art. 28 DSGVO – GardenPilot Professional

Version: dpa-b2b-2026-09-v3
Gültig ab: Annahme / Veröffentlichung
Sprachfassung: Deutsch

zwischen dem jeweiligen Geschäftskunden von GardenPilot Professional – „Verantwortlicher“ – und

PUENJER, S.L.U.
Avinguda Mèxic 17
07007 Palma de Mallorca
Spanien
C.I.F.: B22974018
E-Mail: support@gardenpilot.de
Telefon: +34 684 774 631
vertreten durch Fin Pünjer, administrador único

– „Auftragsverarbeiter“ –

§ 1 Gegenstand und Anwendungsbereich

  1. Diese AVV gilt, soweit der Auftragsverarbeiter im Rahmen von GardenPilot Professional personenbezogene Daten ausschließlich im Auftrag und auf dokumentierte Weisung des Verantwortlichen verarbeitet.
  2. Sie ergänzt den Hauptvertrag über GardenPilot Professional.
  3. Verarbeitungen zu eigenen Zwecken des Auftragsverarbeiters, insbesondere Accountverwaltung, Abrechnung, eigene IT-Sicherheit, Betrugs-/Missbrauchsprävention und gesetzliche Pflichten, fallen nicht unter diese AVV, sondern unter die B2B-Datenschutzerklärung.

§ 2 Gegenstand, Zweck und Dauer

  1. Gegenstand der Auftragsverarbeitung ist die technische und funktionale Bereitstellung von GardenPilot Professional für Projekte des Verantwortlichen.
  2. Zwecke können insbesondere sein: Speicherung und Verarbeitung von Projektbildern und Dateien; Verarbeitung von Standort- und Projektangaben; KI-gestützte Analyse; Erstellung von Konzepten, Visualisierungen, Texten und Planungsunterlagen; projektbezogene Assistenz- und Chatfunktionen; Exporte und Projektverwaltung; technische Sicherung, Bereitstellung und Löschung von Auftragsdaten.
  3. Die Verarbeitung dauert grundsätzlich für die Laufzeit des Hauptvertrags bzw. bis zur Löschung oder Rückgabe der jeweiligen Auftragsdaten nach Maßgabe dieser AVV.

§ 3 Art der Verarbeitung

Die Verarbeitung kann insbesondere umfassen: Erheben/Entgegennehmen, Erfassen, Speichern, Ordnen, Strukturieren, Auslesen, Abfragen, Übermitteln an genehmigte Unterauftragsverarbeiter, KI-Analyse, technische Bearbeitung, Generierung, Bereitstellung, Export, Einschränkung und Löschung.

§ 4 Kategorien personenbezogener Daten

Je nach Nutzung insbesondere:

  • Projekt-/Grundstücksfotos und sonstige Projektdateien,
  • Postleitzahl, Land und sonstige Standortangaben,
  • projektbezogene Wünsche und Präferenzen,
  • projektbezogene Freitexte,
  • technische Projektmetadaten,
  • gegebenenfalls Kontakt-/Endkundendaten,
  • Chat-/Assistenteninhalte, soweit sie personenbezogene Auftragsdaten enthalten.

Besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO sind für die reguläre Nutzung nicht vorgesehen und sollen nicht eingegeben werden, sofern ihre Verarbeitung nicht zuvor ausdrücklich vereinbart und auf eine geeignete Rechtsgrundlage gestützt wurde.

§ 5 Kategorien betroffener Personen

Je nach Projekt insbesondere:

  • Endkunden des Verantwortlichen,
  • Eigentümer, Bewohner oder Nutzer eines fotografierten Grundstücks,
  • Ansprechpartner,
  • Mitarbeiter oder Projektbeteiligte,
  • sonstige identifizierbare Personen, soweit sie ausnahmsweise in bereitgestellten Inhalten enthalten sind.

§ 6 Weisungen und gesetzlich erforderliche Verarbeitung

  1. Der Auftragsverarbeiter verarbeitet Auftragsdaten nur auf dokumentierte Weisung des Verantwortlichen, soweit nicht das Unionsrecht oder das Recht eines Mitgliedstaats bzw. ein anderes zwingend anwendbares Recht zu einer Verarbeitung verpflichtet.
  2. Als dokumentierte Weisungen gelten der Hauptvertrag, diese AVV, die bestimmungsgemäße Nutzung, von autorisierten Nutzern ausgelöste Plattformvorgänge sowie zusätzliche Weisungen in Textform.
  3. Ist der Auftragsverarbeiter gesetzlich zu einer Verarbeitung verpflichtet, die nicht auf einer Weisung beruht, informiert er den Verantwortlichen vor der Verarbeitung über diese rechtliche Verpflichtung, soweit das betreffende Recht eine solche Information nicht aus wichtigen Gründen des öffentlichen Interesses verbietet.
  4. Hält der Auftragsverarbeiter eine Weisung für datenschutzrechtlich unzulässig, informiert er den Verantwortlichen unverzüglich, soweit rechtlich zulässig.

§ 7 Pflichten des Auftragsverarbeiters

Der Auftragsverarbeiter verpflichtet sich insbesondere:

  1. personenbezogene Auftragsdaten nur nach Art. 28 DSGVO, dieser AVV und dokumentierten Weisungen zu verarbeiten;
  2. sicherzustellen, dass befugte Personen zur Vertraulichkeit verpflichtet sind oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen;
  3. angemessene technische und organisatorische Maßnahmen nach Art. 32 DSGVO zu treffen;
  4. die Regelungen zu Unterauftragsverarbeitern nach § 9 einzuhalten;
  5. den Verantwortlichen unter Berücksichtigung der Art der Verarbeitung angemessen bei Betroffenenrechten zu unterstützen;
  6. den Verantwortlichen bei Pflichten nach Art. 32 bis 36 DSGVO angemessen zu unterstützen;
  7. Daten nach § 12 zu löschen oder zurückzugeben;
  8. die nach Art. 28 DSGVO erforderlichen Informationen und Nachweise bereitzustellen;
  9. Audits nach § 13 zu ermöglichen;
  10. personenbezogene Auftragsdaten nicht für eigene allgemeine KI-Modelltrainingszwecke zu verwenden.

§ 8 Pflichten und Rechte des Verantwortlichen

  1. Der Verantwortliche entscheidet über Zwecke und wesentliche Mittel der von ihm verantworteten Verarbeitung und ist insbesondere verantwortlich für Rechtmäßigkeit und Rechtsgrundlagen, Transparenzinformationen gegenüber betroffenen Personen, Datenminimierung, rechtmäßige, vollständige und eindeutige Weisungen, die Entscheidung, welche Daten in GardenPilot eingestellt werden dürfen, sowie die Bearbeitung von Betroffenenanfragen und behördlichen Pflichten, soweit diese ihm als Verantwortlichem obliegen.
  2. Der Verantwortliche soll keine unnötigen personenbezogenen Daten und keine besonderen Kategorien personenbezogener Daten in GardenPilot eingeben.
  3. Der Verantwortliche darf ergänzende Weisungen erteilen, soweit diese vom vereinbarten Leistungsumfang umfasst, technisch umsetzbar und rechtmäßig sind. Zusätzlicher Aufwand außerhalb des vereinbarten Leistungsumfangs kann einer gesonderten Vereinbarung bedürfen.

§ 9 Unterauftragsverarbeiter

  1. Der Verantwortliche erteilt die allgemeine Genehmigung zum Einsatz von Unterauftragsverarbeitern.
  2. Die aktuelle Liste der Anbieter, die Auftragsdaten verarbeiten, wird im Anbieter- und Unterauftragsverarbeiterregister geführt.
  3. Der Auftragsverarbeiter informiert den Verantwortlichen über beabsichtigte Hinzunahmen oder Ersetzungen eines Unterauftragsverarbeiters, der Auftragsdaten verarbeitet, grundsätzlich mit angemessenem Vorlauf.
  4. Dringende Sicherheits-, Rechts- oder Verfügbarkeitsgründe können eine kurzfristigere Information rechtfertigen.
  5. Der Verantwortliche kann aus objektiv nachvollziehbarem datenschutzrechtlichem Grund gegen eine Änderung widersprechen. Die Parteien bemühen sich um eine angemessene Lösung; ist diese nicht möglich, können die betroffenen Leistungen bzw. der Hauptvertrag nach den anwendbaren Vertragsregeln beendet werden.
  6. Unterauftragsverarbeiter werden vertraglich zu Datenschutzpflichten verpflichtet, die hinsichtlich der geschützten Auftragsdaten ein im Wesentlichen gleichwertiges Schutzniveau wie diese AVV gewährleisten und die Anforderungen des Art. 28 DSGVO erfüllen.
  7. Der ursprüngliche Auftragsverarbeiter bleibt gegenüber dem Verantwortlichen für die Erfüllung der datenschutzrechtlichen Pflichten des Unterauftragsverarbeiters im gesetzlich vorgesehenen Umfang verantwortlich.

§ 10 Drittlandtransfers

  1. Übermittlungen von Auftragsdaten außerhalb des EWR oder Zugriffe aus Drittländern erfolgen nur unter den Voraussetzungen des Kapitels V DSGVO.
  2. Die eingesetzten Transfermechanismen und wesentlichen Standorte werden im Anbieter- und Unterauftragsverarbeiterregister dokumentiert.
  3. Soweit Standardvertragsklauseln, Angemessenheitsbeschlüsse oder zusätzliche Schutzmaßnahmen erforderlich sind, stellt der Auftragsverarbeiter deren Einsatz sicher bzw. wählt einen entsprechend abgesicherten Unterauftragsverarbeiter.
  4. Soweit schweizerisches Datenschutzrecht anwendbar ist, gilt ergänzend § 19.

§ 11 Betroffenenrechte, Datenschutz-Folgenabschätzung und Behörden

  1. Anfragen betroffener Personen, die eindeutig Auftragsdaten betreffen, werden grundsätzlich an den Verantwortlichen weitergeleitet, soweit kein anderes gesetzliches Vorgehen vorgeschrieben ist.
  2. Der Auftragsverarbeiter unterstützt den Verantwortlichen unter Berücksichtigung der Art der Verarbeitung und der verfügbaren Informationen mit angemessenen technischen und organisatorischen Maßnahmen bei Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit und sonstigen Betroffenenrechten.
  3. Der Auftragsverarbeiter unterstützt den Verantwortlichen unter Berücksichtigung der Art der Verarbeitung und der verfügbaren Informationen angemessen bei Datenschutz-Folgenabschätzungen und gegebenenfalls erforderlichen vorherigen Konsultationen der Aufsichtsbehörde nach Art. 35 und 36 DSGVO.
  4. Soweit eine Aufsichtsbehörde im Zusammenhang mit Auftragsdaten Informationen verlangt, arbeiten die Parteien im gesetzlich erforderlichen Umfang zusammen.

§ 12 Löschung und Rückgabe

  1. Nach Beendigung der Auftragsverarbeitung löscht oder gibt der Auftragsverarbeiter personenbezogene Auftragsdaten nach Wahl des Verantwortlichen zurück, soweit keine gesetzliche Aufbewahrungspflicht oder sonstige zwingende gesetzliche Grundlage entgegensteht.
  2. Soweit Plattformfunktionen für Export oder Löschung bestehen, kann der Verantwortliche sie während der Vertragslaufzeit nutzen.
  3. Gesetzlich aufzubewahrende Daten werden gesperrt bzw. von der normalen produktiven Nutzung getrennt und nicht für andere Zwecke verwendet.
  4. Sicherheitskopien werden im Rahmen regulärer Backup-Rotation überschrieben oder gelöscht, soweit eine sofortige Einzelbereinigung technisch unverhältnismäßig ist und die Daten bis dahin nicht produktiv verwendet werden.
  5. Weitergehende Rechte auf Export und Wechsel nach dem EU Data Act ergeben sich, soweit anwendbar, aus dem Hauptvertrag und den gesetzlichen Vorgaben; sie verändern die datenschutzrechtlichen Lösch-/Rückgabepflichten dieser AVV nicht.

§ 13 Nachweise und Audits

  1. Der Auftragsverarbeiter stellt die nach Art. 28 DSGVO erforderlichen Informationen zur Verfügung.
  2. Geeignete vorhandene Nachweise, Sicherheitsdokumentationen, Zertifikate, Prüfberichte oder Remote-Audits haben Vorrang, soweit sie den Prüfzweck angemessen erfüllen.
  3. Vor-Ort-Prüfungen erfolgen nur, wenn mildere Nachweismittel nicht ausreichen, nach angemessener Vorankündigung und unter Schutz von Vertraulichkeit, Sicherheit, Betrieb und Rechten anderer Kunden.
  4. Prüfungen dürfen den laufenden Betrieb nicht unangemessen beeinträchtigen und müssen auf den für den Nachweis der Einhaltung dieser AVV erforderlichen Umfang beschränkt sein.
  5. Gesetzliche Prüf- und Kontrollrechte der zuständigen Datenschutzaufsichtsbehörden bleiben unberührt.

§ 14 Verletzungen des Schutzes personenbezogener Daten

  1. Der Auftragsverarbeiter informiert den Verantwortlichen unverzüglich nach Bekanntwerden einer Verletzung des Schutzes personenbezogener Auftragsdaten.
  2. Die Meldung enthält, soweit verfügbar, Art und Beschreibung des Vorfalls, betroffene Datenkategorien und Kategorien betroffener Personen, soweit möglich Umfang/Anzahl, bekannte oder wahrscheinliche Folgen, ergriffene oder vorgeschlagene Gegenmaßnahmen sowie eine Kontaktmöglichkeit für Rückfragen.
  3. Noch nicht verfügbare Informationen können ohne unangemessene Verzögerung schrittweise nachgereicht werden.
  4. Die Meldung stellt keine Anerkennung einer Rechtspflichtverletzung oder Haftung dar; gesetzliche Pflichten bleiben unberührt.

§ 15 Technische und organisatorische Maßnahmen

GardenPilot unterhält insbesondere:

  • rollen- und Need-to-know-basierte Zugriffe;
  • getrennte Nutzer- und Administrationsberechtigungen;
  • Schutz privilegierter Konten;
  • aktuelle Transportverschlüsselung;
  • geschützte Authentifizierung und Secret-/Credential-Management;
  • logische Projekt-/Kontozuordnung und Berechtigungsprüfungen;
  • Backup- und Wiederherstellungsmechanismen;
  • Monitoring und Fehlererkennung;
  • Sicherheitsprotokollierung und Incident Response;
  • projekt-/kontobezogene Löschprozesse;
  • zeitlich begrenzte technische Logs;
  • keine dauerhafte Raw-IP-Nutzung als interner Analytics-Identifier.

Die TOM dürfen an technische Entwicklungen angepasst werden, sofern das Schutzniveau insgesamt nicht abgesenkt wird. Wesentliche Änderungen mit nachteiligen Auswirkungen auf das Schutzniveau werden dem Verantwortlichen angemessen mitgeteilt.

§ 16 Laufzeit und Rangfolge

  1. Diese AVV gilt für die Dauer der Verarbeitung, für die GardenPilot als Auftragsverarbeiter tätig ist.
  2. Bei Widersprüchen mit dem Hauptvertrag geht diese AVV hinsichtlich Schutz und Verarbeitung personenbezogener Auftragsdaten vor.
  3. Zwingende datenschutzrechtliche Vorschriften gehen abweichenden Vertragsregelungen vor.

§ 17 Form, Version, Sprache und Annahme

  1. Diese AVV kann elektronisch abgeschlossen werden.
  2. GardenPilot bietet die AVV in deutscher und englischer Sprache an. Maßgeblich für den konkreten Abschluss ist die im Annahmevorgang verwendete Sprachfassung. Ein pauschaler Vorrang der deutschen Fassung wird nicht vereinbart.
  3. GardenPilot dokumentiert die angenommene Fassung mit Legal-Version, Locale, Zeitpunkt und Inhalts-Hash bzw. gleichwertigem Inhaltsnachweis.
  4. Materielle Änderungen werden als neue unveränderliche Fassung veröffentlicht. Ob eine erneute Annahme erforderlich ist, wird getrennt von der technischen Versionierung nach den anwendbaren rechtlichen und vertraglichen Anforderungen beurteilt.
  5. Historische angenommene Fassungen werden nicht nachträglich verändert.

§ 18 Anwendbares Recht

Es gilt spanisches Recht, soweit zwingendes Datenschutzrecht der Europäischen Union, des EWR, der Schweiz oder sonstiges zwingendes Recht nicht entgegensteht.

§ 19 Schweizer Datenschutzrecht (revDSG)

  1. Diese AVV ist eine internationale Fassung. Sie gilt für Auftragsverarbeitungen nach Art. 28 DSGVO, soweit die DSGVO anwendbar ist, und nach Art. 9 des Schweizer Bundesgesetzes über den Datenschutz (DSG, SR 235.1), soweit schweizerisches Datenschutzrecht auf den Verantwortlichen oder die Verarbeitung anwendbar ist. Unterliegt eine Verarbeitung beiden Rechtsordnungen, gelten sie nebeneinander. Für Verantwortliche, auf die ausschließlich die DSGVO anwendbar ist, ändert dieser Paragraph nichts.
  2. Begriffe. Soweit schweizerisches Recht anwendbar ist, ist „Verantwortlicher“ der Verantwortliche und „Auftragsverarbeiter“ der Auftragsbearbeiter im Sinne des DSG; „personenbezogene Daten“ sind Personendaten. Besonders schützenswerte Personendaten bestimmen sich nach Art. 5 lit. c DSG und umfassen zusätzlich insbesondere Daten über verwaltungs- und strafrechtliche Verfolgungen oder Sanktionen sowie Daten über Maßnahmen der sozialen Hilfe.
  3. Zulässigkeit der Übertragung (Art. 9 Abs. 1 DSG). Der Auftragsverarbeiter bearbeitet Auftragsdaten nur so, wie der Verantwortliche sie selbst bearbeiten dürfte. Der Verantwortliche stellt sicher, dass der Übertragung keine gesetzliche oder vertragliche Geheimhaltungspflicht entgegensteht, und informiert GardenPilot unverzüglich, wenn sich daran etwas ändert.
  4. Unterauftragsverarbeiter (Art. 9 Abs. 3 DSG, Art. 7 DSV). Die allgemeine Genehmigung nach § 9 Ziff. 1 ist zugleich die vorgängige Genehmigung im Sinne von Art. 9 Abs. 3 DSG. Die Information über beabsichtigte Änderungen und das Widerspruchsrecht richten sich nach § 9 Ziff. 3 bis 5.
  5. Datensicherheit (Art. 8 DSG, Art. 1–5 DSV). § 15 gilt entsprechend. Soweit im Einzelfall die Voraussetzungen von Art. 4 DSV oder Art. 5 DSV erfüllt sind, erfüllt der Auftragsverarbeiter die dort vorgesehenen Pflichten.
  6. Verzeichnis (Art. 12 DSG). Der Auftragsverarbeiter führt ein eigenes Verzeichnis seiner Bearbeitungstätigkeiten. Er stellt dem Verantwortlichen auf Anfrage die Angaben bereit, die dieser für sein eigenes Verzeichnis benötigt, insbesondere den Staat einer Bekanntgabe ins Ausland und die dabei verwendeten Garantien nach Art. 16 Abs. 2 DSG.
  7. Verletzungen der Datensicherheit (Art. 24 DSG). Die Meldung nach § 14 erfolgt auch gegenüber einem Verantwortlichen, der schweizerischem Recht untersteht. Der Auftragsverarbeiter unterstützt ihn bei seiner Meldung an den EDÖB sowie bei der Information betroffener Personen, soweit dies nach schweizerischem Recht erforderlich ist.
  8. Bekanntgabe ins Ausland (Art. 16 und 17 DSG). Soweit schweizerisches Datenschutzrecht anwendbar ist, richtet sich die Zulässigkeit einer Bekanntgabe ins Ausland nach schweizerischem Recht. Maßgeblich ist insbesondere die Staatenliste in Anhang 1 der Datenschutzverordnung (DSV, SR 235.11). Ein Angemessenheitsbeschluss der Europäischen Kommission ist nicht automatisch eine Grundlage für eine Bekanntgabe aus der Schweiz.
  9. Vereinigte Staaten. Eine Bekanntgabe in die Vereinigten Staaten, die auf einen Angemessenheitsstatus nach schweizerischem Recht gestützt wird, setzt voraus, dass die Zertifizierung des Empfängers den Swiss-U.S. Data Privacy Framework abdeckt. Andernfalls ist eine andere zulässige Grundlage nach schweizerischem Recht erforderlich.
  10. Standarddatenschutzklauseln. Werden Standardvertragsklauseln der Europäischen Union für dem DSG unterstellte Bekanntgaben verwendet, gelten sie mit den nach schweizerischem Recht erforderlichen Anpassungen, insbesondere hinsichtlich schweizerischer Begriffe, zuständiger Aufsichtsbehörde und anwendbarer Transferanforderungen.
  11. Aufsicht. Zuständige Aufsichtsbehörde für den dem DSG unterstellten Teil der Verarbeitung ist der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte (EDÖB/FDPIC).
  12. Rangfolge. Soweit schweizerisches Datenschutzrecht anwendbar ist, geht dieser Paragraph den übrigen Bestimmungen dieser AVV vor, soweit dies zur Einhaltung zwingenden schweizerischen Datenschutzrechts erforderlich ist. Die Rechtswahl nach § 18 verdrängt zwingendes schweizerisches Datenschutzrecht nicht.