Nutzungsbedingungen und Auftragsverarbeitung

Diese Bedingungen gelten für die Nutzung des Frage-Antwort-Dialogs (im Folgenden „Werkzeug“). Sie bestehen aus den Abschnitten 1 bis 15 und drei Anlagen: dem Vertrag zur Auftragsverarbeitung (Anlage 1), den technischen und organisatorischen Maßnahmen (Anlage 2) und der Liste der Unterauftragsverarbeiter (Anlage 3).

Anbieter

Webstoff Digital UG (haftungsbeschränkt), Spandauer Straße 105, 13591 Berlin (im Folgenden „Anbieter“)
Vertreten durch den Geschäftsführer Marcel Mudrich
Amtsgericht Charlottenburg (Berlin), HRB 191575 B
Vertrag, Kündigung, Support und Störungsmeldungen: service@caidao.de
Weitere Angaben: Impressum

1. Gegenstand

Das Werkzeug ist eine Anwendung im Browser, mit der ein Gremium der betrieblichen oder dienstlichen Interessenvertretung Fragen an die Arbeitgeberseite sammelt, Antworten dokumentiert und Nachfragen stellt. Es umfasst insbesondere:

• getrennte Vorgänge mit eigenen Themenbereichen, eigenem Vorspann und eigener Frist,
• das Einreichen von Fragen und Nachfragen durch die Mitglieder des Gremiums,
• die Sichtung mit Status (offen, übernommen, beantwortet, verworfen) und festen Katalognummern,
• die Erfassung der Antworten der Arbeitgeberseite mit Datum und Einschätzung,
• den Fragenkatalog und den Verlauf als PDF sowie den Export als CSV, Markdown und JSON.

Das Werkzeug ist ein technisches Hilfsmittel. Es ist keine Rechtsberatung und ersetzt keine Beratung des Gremiums. Vorbelegte Texte, etwa der Vorspann des Fragenkatalogs mit Verweis auf die Rechtsgrundlage, sind Vorschläge; ob sie im Einzelfall passen, entscheidet das Gremium. Eine Beratung durch Gesellschaften der CAIDAO-Gruppe ist nicht Gegenstand dieses Vertrags und wird gesondert vereinbart.

2. Vertragspartner

Kunde ist das Gremium, das sich registriert — etwa ein Betriebsrat, Wirtschaftsausschuss, Personalrat, Gesamt- oder Konzernbetriebsrat. Es handelt durch seine Vorsitzende oder seinen Vorsitzenden oder eine andere vom Gremium dazu bestimmte Person. Wer das Konto anlegt, versichert, dazu vom Gremium berechtigt zu sein.

Das Angebot richtet sich ausschließlich an Gremien der Interessenvertretung, nicht an Verbraucherinnen und Verbraucher.

Die Kosten der Tätigkeit des Gremiums trägt nach § 40 BetrVG beziehungsweise nach dem maßgeblichen Personalvertretungsrecht in der Regel der Arbeitgeber oder die Dienststelle. Die Rechnung wird deshalb auf das Unternehmen beziehungsweise die Dienststelle ausgestellt, die das Gremium bei der Registrierung als Rechnungsempfänger angibt, und per E-Mail an die Adresse gesandt, mit der das Konto registriert wurde (im Folgenden „Registrierungsadresse“). Unternehmen und Rechnungsanschrift kann das Gremium in der Verwaltung des Kontos ändern.

Der Vertrag hängt nicht an einzelnen Personen. Er besteht fort, wenn Mitglieder ausscheiden, der Vorsitz wechselt oder das Gremium neu gewählt wird, solange er nicht gekündigt wird.

3. Konto und Zugänge

Je Gremium wird ein Konto geführt. Der erste Zugang wird bei der Registrierung angelegt und erhält die Rolle Verwaltung; er wird erst nach Bestätigung der E-Mail-Adresse nutzbar. Über die Verwaltung lädt das Gremium weitere Zugänge ein und vergibt die Rollen Mitglied (Fragen und Nachfragen einreichen, Verlauf lesen), Auswertung (zusätzlich sichten, Status vergeben, Antworten erfassen, exportieren) und Verwaltung (zusätzlich Zugänge und Angaben zum Gremium ändern).

Jeder Zugang ist persönlich. Eine E-Mail-Adresse kann nur zu einem Gremium gehören. Das Gremium sorgt dafür, dass nur Personen einen Zugang haben, die ihn für die Arbeit des Gremiums brauchen, und schaltet Zugänge ausgeschiedener Mitglieder unverzüglich ab.

Sicherheit der Zugänge. Passwörter müssen mindestens 12 Zeichen lang sein; kürzere nimmt das Werkzeug nicht an. Jede Person verwendet ein Passwort, das sie nirgendwo sonst nutzt, und gibt es nicht weiter. Besteht der Verdacht, dass Zugangsdaten Unbefugten bekannt geworden sind, ändert die Person ihr Passwort sofort, und das Gremium informiert den Anbieter unverzüglich unter service@caidao.de.

Wechsel in der Verwaltung. Scheidet eine Person mit der Rolle Verwaltung aus — etwa bei einem Wechsel im Vorsitz —, überträgt das Gremium die Rolle vorher auf eine andere Person. Das Werkzeug lässt nicht zu, dass der letzte aktive Zugang mit der Rolle Verwaltung entfällt. Ist trotzdem keiner mehr erreichbar, richtet der Anbieter auf Anforderung einen neuen ein. Die Anforderung stellt die oder der Vorsitzende oder die Stellvertretung in Textform; der Anbieter kann einen Nachweis verlangen, etwa einen Auszug aus dem Beschluss des Gremiums.

Die Daten eines Gremiums sind für andere Gremien technisch nicht zugänglich. Beschäftigte des Anbieters greifen auf Inhalte nur zu, soweit es für Betrieb, Sicherung oder Fehlerbehebung erforderlich ist oder das Gremium darum bittet (Anlage 1, § 5).

4. Test und Freischaltung

Nach der Registrierung kann das Gremium das Werkzeug 10 Tage kostenlos und ohne Angabe von Zahlungsdaten nutzen. Danach wird der Zugang gesperrt; die Daten bleiben erhalten.

Möchte das Gremium das Werkzeug weiter nutzen, stellt der Anbieter die Rechnung für den ersten Monat. Mit Eingang der Zahlung kommt der entgeltliche Vertrag zum Tarif der Gremienart zustande, und der Anbieter schaltet den Zugang frei. Die Freischaltung erfolgt von Hand; sie kann deshalb bis zum nächsten Werktag dauern.

Wird nicht gezahlt, endet der Test ohne Kosten. Das Konto wird dann nach Abschnitt 10 gelöscht.

5. Preise und Abrechnung

Es gelten die auf der Startseite genannten Preise je Gremium und Monat, zuzüglich der gesetzlichen Umsatzsteuer:

• Betriebsrat, Personalrat: 5,90 € je Monat
• Gesamtbetriebsrat, Gesamtpersonalrat: 15,90 € je Monat
• Konzernbetriebsrat, Hauptpersonalrat: auf Anfrage

Der Wirtschaftsausschuss wird wie ein Betriebsrat abgerechnet. Abgerechnet wird je Gremium, nicht je Nutzerin oder Nutzer; die Zahl der Zugänge und Vorgänge ist nicht begrenzt. Welcher Tarif gilt und seit wann, steht in der Verwaltung des Kontos.

In der Anwendung wird nicht bezahlt. Die Rechnung stellt die Webstoff Digital UG monatlich im Voraus; sie ist sofort ohne Abzug fällig. Freigeschaltet wird jeweils bis zum Ende des bezahlten Monats, nach Zahlungseingang. Ist ein Monat bei seinem Beginn nicht bezahlt, wird der Zugang gesperrt, bis die Zahlung eingeht; die Daten bleiben bis dahin erhalten.

Preisänderungen kündigt der Anbieter mindestens sechs Wochen vorher per E-Mail an die Registrierungsadresse an; das Gremium kann dann zum Zeitpunkt der Änderung kündigen.

6. Pflichten des Gremiums

• Das Gremium entscheidet, welche Inhalte es in das Werkzeug einträgt, und ist dafür verantwortlich, dass es sie verarbeiten darf. Das schließt die Verschwiegenheitspflichten nach § 79 BetrVG beziehungsweise dem Personalvertretungsrecht ein.
• Besondere Kategorien personenbezogener Daten (etwa Gesundheitsdaten oder die Gewerkschaftszugehörigkeit einzelner Beschäftigter) sollen nur eingetragen werden, soweit sie für die Arbeit des Gremiums erforderlich sind.
• Das Gremium hält die Zugänge nach Abschnitt 3 aktuell und schützt seine Zugangsdaten.
• Das Werkzeug darf nicht missbraucht werden, insbesondere nicht für rechtswidrige Inhalte, nicht zum Ausspähen fremder Konten und nicht für Angriffe auf die Anwendung oder den Server.

7. Verfügbarkeit, Support und Wartung

Der Anbieter stellt das Werkzeug mit der Sorgfalt eines ordentlichen Betreibers bereit, schuldet aber keine ununterbrochene Verfügbarkeit. Angestrebt ist eine Verfügbarkeit von 99 % im Monatsmittel. Angekündigte Wartungsarbeiten von insgesamt bis zu vier Stunden im Monat zählen dabei nicht als Ausfall.

Support. Fragen und Störungsmeldungen gehen per E-Mail an service@caidao.de. Servicezeiten sind Montag bis Freitag von 9 bis 17 Uhr, ausgenommen gesetzliche Feiertage in Berlin. Der Anbieter reagiert innerhalb der Servicezeiten

• auf Störungen, die die Nutzung insgesamt verhindern, innerhalb von vier Stunden,
• auf Störungen einzelner Funktionen bis zum Ende des nächsten Werktags,
• auf sonstige Anfragen innerhalb von zwei Werktagen.

Reaktion heißt: Der Anbieter bestätigt die Meldung und beginnt mit der Behebung. Eine Frist für die Behebung selbst ist damit nicht zugesagt.

Wartung. Geplante Wartungsarbeiten kündigt der Anbieter mindestens drei Werktage vorher per E-Mail an die Registrierungsadresse an. Sie finden möglichst werktags nach 18 Uhr oder am Wochenende statt. Sicherheitsupdates, die keinen Aufschub dulden, spielt der Anbieter ohne Vorankündigung ein und hält die Unterbrechung so kurz wie möglich.

Störungen. Dauert eine Störung voraussichtlich länger als vier Stunden, informiert der Anbieter das Gremium per E-Mail an die Registrierungsadresse über Art und voraussichtliche Dauer der Störung und anschließend über ihre Behebung.

Der Anbieter entwickelt das Werkzeug weiter. Funktionen können sich ändern, soweit der vertragliche Kern nach Abschnitt 1 erhalten bleibt.

8. Sicherung und Wiederherstellung

Die Anwendung läuft auf einem Server in einem Rechenzentrum in Spanien, also innerhalb der Europäischen Union. Die Daten werden nächtlich gesichert. Die Sicherungen werden asymmetrisch verschlüsselt und getrennt vom Anwendungsserver auf Speicherplatz der IONOS SE innerhalb der Europäischen Union bzw. des Europäischen Wirtschaftsraums aufbewahrt. Sicherungen werden auf dem Server 30 Tage und im ausgelagerten Speicher 60 Tage aufbewahrt und danach gelöscht.

Muss das Werkzeug aus einer Sicherung wiederhergestellt werden, gehen höchstens die Eingaben seit der letzten nächtlichen Sicherung verloren. Der Anbieter strebt an, das Werkzeug in diesem Fall innerhalb von zwei Werktagen wieder bereitzustellen. Das Zurückspielen einer Sicherung ist erprobt.

9. Daten des Gremiums und Export

Die Inhalte gehören dem Gremium. Der Anbieter verarbeitet sie ausschließlich im Auftrag und nach Weisung des Gremiums (Anlage 1).

Das Gremium kann seine Inhalte je Vorgang jederzeit selbst exportieren — als PDF, CSV, Markdown und JSON —, auch nach einer Kündigung bis zum Ende des bezahlten Monats. Der Export ist kostenfrei.

Ist der Zugang gesperrt oder der bezahlte Monat abgelaufen, schaltet der Anbieter auf Anforderung in Textform den Zugang bis zur Löschung kostenfrei für sieben Tage wieder frei, damit das Gremium seine Daten selbst exportieren kann. Weitere Formate oder eine Aufbereitung durch den Anbieter sind nicht geschuldet.

10. Laufzeit, Kündigung und Löschung

Der Vertrag läuft auf unbestimmte Zeit. Das Gremium kann jederzeit zum Ende des bereits bezahlten Monats kündigen; der Anbieter ebenso. Die Kündigung ist in Textform zu erklären; eine E-Mail an service@caidao.de genügt. Bereits gezahlte Entgelte werden nicht anteilig erstattet. Das Recht zur außerordentlichen Kündigung aus wichtigem Grund bleibt unberührt.

Das Konto wird samt aller Inhalte 3 Monate nach dem Ende des letzten bezahlten Monats gelöscht — nach einer Kündigung ebenso wie bei ausbleibender Zahlung. Wurde nie gezahlt, wird es 3 Monate nach dem Ende des Testzeitraums gelöscht. Bis dahin gilt für den Export Abschnitt 9. Wird bis zur Löschung wieder gezahlt, schaltet der Anbieter den Zugang mit allen Daten wieder frei.

Aus den Sicherungen verschwinden die Daten spätestens 60 Tage nach der Löschung, wenn die letzte Sicherung mit ihnen ausläuft. Registrierungen, deren E-Mail-Adresse nicht innerhalb von sieben Tagen bestätigt wurde, werden automatisch gelöscht.

11. Haftung

Der Anbieter haftet unbeschränkt bei Vorsatz und grober Fahrlässigkeit, bei Verletzung von Leben, Körper oder Gesundheit, nach dem Produkthaftungsgesetz und soweit er eine Garantie übernommen hat.

Bei leichter Fahrlässigkeit haftet der Anbieter nur für die Verletzung wesentlicher Vertragspflichten, also solcher, deren Erfüllung die ordnungsgemäße Durchführung des Vertrags erst ermöglicht und auf deren Einhaltung das Gremium regelmäßig vertrauen darf. Die Haftung ist dann auf den vertragstypischen, vorhersehbaren Schaden begrenzt, höchstens auf das Zwölffache des Jahresentgelts des Gremiums, mindestens jedoch auf 1.000 Euro je Schadensfall.

Für den Verlust von Daten haftet der Anbieter nur in dem Umfang, der bei regelmäßiger Sicherung nach Abschnitt 8 zur Wiederherstellung erforderlich gewesen wäre.

Ansprüche betroffener Personen nach Art. 82 DSGVO bleiben von diesem Abschnitt unberührt.

12. Höhere Gewalt

Der Anbieter haftet nicht für Ausfälle und Verzögerungen durch Ereignisse, die er nicht zu vertreten hat und mit zumutbarem Aufwand nicht abwenden kann — etwa Naturereignisse, Streik, behördliche Anordnungen, großflächige Ausfälle der Stromversorgung oder öffentlicher Telekommunikationsnetze. Für die Dauer eines solchen Ereignisses ruhen die davon betroffenen Leistungspflichten. Die Pflichten zum Schutz der Daten nach Anlage 1 bleiben bestehen.

13. Open-Source-Komponenten

Das Werkzeug enthält Komponenten Dritter, die unter Open-Source-Lizenzen stehen, etwa die Schrift Lato unter der SIL Open Font License. Deren Lizenzbedingungen bleiben unberührt; sie schränken die Nutzung des Werkzeugs nach diesen Bedingungen nicht ein.

14. Änderungen dieser Bedingungen

Der Anbieter kann diese Bedingungen mit Wirkung für die Zukunft ändern. Er kündigt Änderungen mindestens sechs Wochen vor ihrem Inkrafttreten per E-Mail an die Registrierungsadresse an. Das Gremium kann bis zum Inkrafttreten kündigen; darauf weist die Ankündigung hin. Für einen Wechsel der Unterauftragsverarbeiter gilt Anlage 1, § 7.

15. Schlussbestimmungen

Es gilt das Recht der Bundesrepublik Deutschland. Gerichtsstand ist Berlin, soweit das gesetzlich vereinbart werden kann.

Widersprechen sich diese Bedingungen und Anlage 1 in Fragen des Datenschutzes, geht Anlage 1 vor.

Sollte eine Bestimmung unwirksam sein, bleibt der Vertrag im Übrigen wirksam.

Anlage 1 — Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO

§ 1 Parteien und Rollen

Auftragsverarbeiter ist die Webstoff Digital UG (haftungsbeschränkt). Das Gremium schließt diesen Vertrag als Kunde nach Abschnitt 2 der Nutzungsbedingungen.

Verantwortlicher im Sinne der DSGVO für die Inhalte des Gremiums ist, wer es nach dem für das Gremium geltenden Recht ist. Für Betriebsräte bestimmt § 79a Satz 2 BetrVG den Arbeitgeber als Verantwortlichen, für Personalräte § 69 BPersVG und die entsprechenden Landesgesetze die Dienststelle. Unabhängig von dieser Einordnung handelt gegenüber dem Anbieter allein das Gremium: Es erteilt die Weisungen, und nur ihm stehen die Rechte aus diesem Vertrag zu. Weisungen des Arbeitgebers oder der Dienststelle befolgt der Anbieter nicht.

§ 2 Gegenstand, Dauer, Art und Zweck

Gegenstand ist der Betrieb des Werkzeugs nach Abschnitt 1 der Nutzungsbedingungen. Die Verarbeitung umfasst das Erheben, Speichern, Ordnen, Anzeigen, Exportieren, Sichern und Löschen der Daten sowie den Versand der E-Mails, die das Werkzeug verschickt. Zweck ist allein, dem Gremium das Werkzeug bereitzustellen.

Dieser Vertrag gilt, solange der Nutzungsvertrag besteht, und darüber hinaus, bis die Daten nach § 11 gelöscht sind.

§ 3 Art der Daten und Kreis der Betroffenen

• Zugänge: Name, E-Mail-Adresse, Rolle, Passwort (nur als Hash), Zeitpunkte von Bestätigung und letzter Anmeldung.
• Inhalte: Vorgänge, Fragen, Begründungen, Fundstellen, Nachfragen, Status, Antworten der Arbeitgeberseite mit Datum und Einschätzung, Name der einreichenden Person.
• In Freitexten: gegebenenfalls Angaben zu Beschäftigten, auch besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO, soweit das Gremium sie einträgt.

Betroffen sind die Mitglieder des Gremiums und die weiteren Inhaberinnen und Inhaber eines Zugangs, Beschäftigte, Vertreterinnen und Vertreter der Arbeitgeberseite sowie andere Personen, die in den Inhalten genannt werden.

Die Rechnungsangaben (Unternehmen, Anschrift, Registrierungsadresse) verarbeitet der Anbieter für seine eigene Abrechnung in eigener Verantwortung; dafür gilt die Datenschutzerklärung.

§ 4 Weisungen

Der Anbieter verarbeitet die Daten ausschließlich auf dokumentierte Weisung des Gremiums. Die Weisungen sind mit diesem Vertrag und mit der Nutzung der Funktionen des Werkzeugs erteilt. Einzelweisungen erteilt das Gremium in Textform an service@caidao.de; weisungsberechtigt sind die Zugänge mit der Rolle Verwaltung sowie die oder der Vorsitzende. Der Anbieter dokumentiert Einzelweisungen.

Hält der Anbieter eine Weisung für rechtswidrig, weist er das Gremium unverzüglich darauf hin und darf die Ausführung aussetzen, bis das Gremium sie bestätigt oder ändert.

Verarbeitet der Anbieter Daten, weil ihn das Recht der Union oder eines Mitgliedstaats dazu verpflichtet, teilt er dies dem Gremium vorher mit, sofern das Recht die Mitteilung nicht verbietet.

§ 5 Vertraulichkeit

Der Anbieter setzt nur Personen ein, die auf die Vertraulichkeit verpflichtet sind; die Verpflichtung gilt über das Ende ihrer Tätigkeit hinaus. Sie werden darauf hingewiesen, dass die Inhalte der Verschwiegenheit nach § 79 BetrVG beziehungsweise dem Personalvertretungsrecht unterliegen können.

Auf Inhalte greifen diese Personen nur zu, soweit es für Betrieb, Sicherung oder Fehlerbehebung erforderlich ist oder das Gremium darum bittet. Ein solcher Zugriff wird dokumentiert und dem Gremium auf Anfrage mitgeteilt. Die Betriebsübersicht des Anbieters zeigt je Gremium nur Stammdaten, Abrechnungsstand und Zählwerte, keine Inhalte. Für Entwicklung und Fehlersuche werden Testdaten verwendet; Inhalte von Gremien werden nicht in Entwicklungsumgebungen übernommen und nicht an Entwicklungswerkzeuge oder KI-Dienste übermittelt.

§ 6 Sicherheit der Verarbeitung

Der Anbieter trifft die technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO, die in Anlage 2 beschrieben sind. Er darf sie an den Stand der Technik anpassen, solange das Schutzniveau nicht sinkt. Wesentliche Änderungen dokumentiert er in Anlage 2.

§ 7 Unterauftragsverarbeiter

Das Gremium genehmigt die in Anlage 3 genannten Unterauftragsverarbeiter. Der Anbieter erlegt ihnen vertraglich dieselben Datenschutzpflichten auf, die dieser Vertrag ihm auferlegt (Art. 28 Abs. 4 DSGVO).

Will der Anbieter einen Unterauftragsverarbeiter hinzunehmen oder ersetzen, kündigt er das mindestens sechs Wochen vorher per E-Mail an die Registrierungsadresse an. Das Gremium kann innerhalb von vier Wochen nach der Ankündigung in Textform widersprechen. Hält der Anbieter an der Änderung fest, kann das Gremium den Vertrag zum Zeitpunkt der Änderung kündigen; bereits gezahlte Entgelte für die Zeit danach werden dann erstattet.

Eine Verarbeitung außerhalb der Europäischen Union und des Europäischen Wirtschaftsraums findet nicht statt. Sollte sie je erforderlich werden, geschieht sie nur nach vorheriger Ankündigung wie oben und nur unter den Voraussetzungen der Art. 44 ff. DSGVO.

§ 8 Unterstützung des Gremiums

Der Anbieter unterstützt das Gremium mit geeigneten technischen und organisatorischen Maßnahmen dabei, Anfragen betroffener Personen auf Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit und Widerspruch zu beantworten, soweit das Gremium sie nicht selbst mit den Funktionen des Werkzeugs erfüllen kann. Wendet sich eine betroffene Person direkt an den Anbieter, leitet er die Anfrage unverzüglich an das Gremium weiter und beantwortet sie nicht selbst.

Der Anbieter unterstützt das Gremium außerdem bei den Pflichten nach Art. 32 bis 36 DSGVO, insbesondere bei einer Datenschutz-Folgenabschätzung und einer vorherigen Konsultation der Aufsichtsbehörde, indem er die Angaben zum Werkzeug, zur Infrastruktur und zu den Maßnahmen nach Anlage 2 bereitstellt.

§ 9 Verletzungen des Schutzes personenbezogener Daten

Der Anbieter informiert das Gremium unverzüglich, spätestens innerhalb von 48 Stunden, nachdem er von einer Verletzung des Schutzes personenbezogener Daten Kenntnis erlangt hat, die Daten des Gremiums betrifft. Die Meldung geht per E-Mail an die Registrierungsadresse und enthält, soweit bekannt, die Angaben nach Art. 33 Abs. 3 DSGVO: Art der Verletzung, betroffene Daten und Personen, wahrscheinliche Folgen und ergriffene oder vorgeschlagene Maßnahmen. Was noch nicht bekannt ist, reicht der Anbieter nach.

Der Anbieter ergreift unverzüglich die Maßnahmen, die erforderlich sind, um die Daten zu sichern und nachteilige Folgen zu mindern, und dokumentiert die Verletzung.

§ 10 Nachweise und Kontrollen

Der Anbieter weist dem Gremium auf Anfrage nach, dass er die Pflichten aus diesem Vertrag einhält, insbesondere durch die jeweils aktuelle Anlage 2 und Auskünfte zur Verarbeitung. Für die Leistungen der IONOS SE dienen deren Zertifizierungen, insbesondere nach ISO/IEC 27001, als Nachweis.

Das Gremium oder ein von ihm beauftragter, zur Verschwiegenheit verpflichteter Prüfer kann die Einhaltung nach Ankündigung mit einer Frist von mindestens zwei Wochen zu den Geschäftszeiten auch vor Ort prüfen. Die Prüfung darf den Betrieb nicht unverhältnismäßig stören und erstreckt sich nicht auf Daten anderer Gremien. Jede Partei trägt ihre eigenen Kosten.

§ 11 Löschung und Rückgabe

Die Rückgabe der Daten erfolgt durch den Export nach Abschnitt 9 der Nutzungsbedingungen. Gelöscht werden die Daten nach Abschnitt 10; aus den Sicherungen verschwinden sie spätestens 60 Tage danach. Eine Aufbewahrung über diese Fristen hinaus findet nicht statt. Auf Anforderung bestätigt der Anbieter die Löschung in Textform.

§ 12 Ansprechpartner, Haftung, Laufzeit

Der Anbieter ist nicht verpflichtet, einen Datenschutzbeauftragten zu benennen, und hat keinen benannt. Ansprechpartner für Fragen des Datenschutzes ist der Geschäftsführer Marcel Mudrich, marcel.mudrich@caidao.de.

Für die Haftung gegenüber betroffenen Personen gilt Art. 82 DSGVO. Im Verhältnis zwischen dem Gremium und dem Anbieter gilt Abschnitt 11 der Nutzungsbedingungen.

Dieser Vertrag endet mit dem Nutzungsvertrag. Die Pflichten aus §§ 5, 9 und 11 gelten fort, bis die Daten vollständig gelöscht sind.

Anlage 2 — Technische und organisatorische Maßnahmen nach Art. 32 DSGVO

1. Rechenzentrum und Server

• Zutritt: Der Server steht in einem Rechenzentrum der IONOS SE in Spanien. Den Zutritt regelt IONOS nach ihren eigenen, nach ISO/IEC 27001 zertifizierten Maßnahmen; der Anbieter hat keinen physischen Zugang.
• Zugang zum Server: nur per SSH-Schlüssel, die Anmeldung mit Passwort ist abgeschaltet. Von außen erreichbar sind nur die Ports 22 (SSH), 80 und 443 (Web). Neue Fassungen der Anwendung werden ohne Kommandozeile ausgeliefert: Der dafür verwendete Schlüssel kann nur ein Paket übergeben.
• Trennung der Umgebungen: Produktion und Testumgebung laufen unter je eigenem Systembenutzer, mit eigenem PHP-Prozess, auf das eigene Verzeichnis beschränkt, mit abgeschalteten Systembefehlen, eigenem Sitzungsspeicher und je eigener Datenbank mit eigenem Datenbankbenutzer.
• Konfiguration: Zugangsdaten liegen außerhalb des vom Webserver ausgelieferten Verzeichnisses und sind nur für den Systembenutzer der Anwendung lesbar.
• Aktualisierung (Patchmanagement): Sicherheitsaktualisierungen des Betriebssystems werden automatisch eingespielt: Das System prüft täglich auf neue Pakete und installiert Aktualisierungen aus den Sicherheitsquellen selbsttätig. Verlangt eine Aktualisierung einen Neustart, etwa beim Systemkern, wird dieser seit dem 04.10.2026 automatisch um 03:00 Uhr durchgeführt. Aktualisierungen, die nicht sicherheitsrelevant sind, werden nicht automatisch eingespielt, weil sie den Betrieb stören können. Die Anwendung selbst kommt ohne Programmbibliotheken Dritter aus.

2. Zugang zur Anwendung

• Persönliche Zugänge mit E-Mail-Adresse und Passwort; Passwörter mit mindestens 12 Zeichen, gespeichert nur als Hash nach dem Standardverfahren von PHP (derzeit bcrypt).
• Nach 5 Fehlversuchen wird ein Zugang für 15 Minuten gesperrt.
• Bestätigung, Einladung und Zurücksetzen des Passworts über Einmal-Links; gespeichert wird nur ein Hash des Links. Gültigkeit: 24 Stunden für die Bestätigung, sieben Tage für Einladungen, eine Stunde für das Passwort. Bestätigt wird erst per Knopfdruck, damit Mailfilter einen Link nicht vorab verbrauchen.
• Eine Sitzung endet nach acht Stunden ohne Aktivität. Das Sitzungscookie ist für Skripte nicht lesbar, wird nur verschlüsselt übertragen und nicht an fremde Seiten mitgesendet; bei der Anmeldung erhält die Sitzung eine neue Kennung. Formulare sind gegen untergeschobene Anfragen (CSRF) geschützt.
• Die Anwendung setzt Sicherheitskopfzeilen, die das Einbetten in fremde Seiten und das Nachladen fremder Inhalte verhindern (Content-Security-Policy, X-Frame-Options).

3. Berechtigungskonzept

• Mitglied: Fragen und Nachfragen einreichen, Verlauf lesen.
• Auswertung: zusätzlich sichten, Status vergeben, Antworten erfassen, exportieren.
• Verwaltung: zusätzlich Zugänge einladen, Rollen ändern, Zugänge abschalten, Angaben zum Gremium ändern. Mindestens ein aktiver Zugang behält diese Rolle.
• Trennung der Gremien: Die Datenschicht der Anwendung führt jede Abfrage auf Inhalte nur mit der Kennung des angemeldeten Gremiums aus und verweigert Abfragen ohne diese Bindung. Automatische Prüfungen belegen die Trennung und laufen vor jeder Auslieferung einer neuen Fassung; schlägt eine fehl, wird nicht ausgeliefert.
• Betrieb: Der Anbieter verwaltet die Abrechnung über eine eigene Betriebsübersicht mit eigener Anmeldung, die nur namentlich festgelegten Personen offensteht. Sie zeigt Stammdaten, Abrechnungsstand und Zählwerte, keine Inhalte.

4. Verschlüsselung

• Alle Verbindungen zur Anwendung laufen über TLS; unverschlüsselte Aufrufe werden umgeleitet, Zertifikate werden automatisch erneuert.
• E-Mails werden über eine mit STARTTLS verschlüsselte Verbindung an den Mailserver der IONOS SE übergeben.
• Ausgelagerte Sicherungen sind asymmetrisch verschlüsselt (AES-256). Auf dem Server liegt nur der öffentliche Schlüssel; der private Schlüssel liegt nicht auf dem Server.

5. Protokollierung

• Die Anwendung speichert keine IP-Adressen. Sie hält fest, wann ein Zugang bestätigt wurde und sich zuletzt angemeldet hat, wer eine Frage eingereicht und wer eine Antwort erfasst hat, jeweils mit Zeitpunkt.
• Der Webserver führt ein Zugriffsprotokoll (IP-Adresse, Zeitpunkt, Adresse, Status, Datenmenge, Referrer, Browserkennung). Es wird täglich rotiert und spätestens nach acht Tagen gelöscht.
• Technische Fehler schreibt die Anwendung in ein Fehlerprotokoll, das nur ihr Systembenutzer lesen kann und das über das Netz nicht erreichbar ist; Fehlermeldungen werden nie im Browser angezeigt. Eine Meldung kann im Einzelfall personenbezogene Daten enthalten, etwa eine E-Mail-Adresse. Das Protokoll wird täglich rotiert und nach spätestens 31 Tagen gelöscht.

6. Sicherung und Wiederherstellung

• Nächtliche Sicherung der Datenbank mit Prüfung auf Vollständigkeit; unvollständige Sicherungen werden verworfen und gemeldet.
• Aufbewahrung 30 Tage auf dem Server und 60 Tage im ausgelagerten, verschlüsselten Speicher der IONOS SE innerhalb der EU bzw. des EWR, getrennt vom Anwendungsserver.
• Datenverlust im schlimmsten Fall: die Eingaben seit der letzten nächtlichen Sicherung. Angestrebte Dauer der Wiederherstellung: zwei Werktage.
• Das vollständige Zurückspielen einer Sicherung wurde am 27.09.2026 erprobt.

7. Umgang mit Sicherheitsvorfällen

• Hinweise auf Sicherheitsvorfälle gehen an service@caidao.de und werden außerhalb der Reihenfolge bearbeitet.
• Der Anbieter bewertet den Vorfall, sichert die Daten, schließt die Lücke und dokumentiert Ablauf und Maßnahmen.
• Betroffene Gremien werden nach Anlage 1, § 9 binnen 48 Stunden informiert.
• Bei Verdacht auf missbrauchte Zugangsdaten kann der Anbieter einzelne Zugänge vorsorglich sperren und Sitzungen beenden.

8. Datenschutz durch Technikgestaltung

• Keine Werbe- oder Analysedienste, keine Zählpixel, keine Inhalte von fremden Servern; auch die Schrift wird von der Anwendung selbst ausgeliefert.
• E-Mails laden keine Bilder nach; das Logo ist in die Mail eingebettet.
• Abgelaufene Einmal-Links und nicht bestätigte Registrierungen werden nächtlich gelöscht; Konten nach der Löschfrist in Abschnitt 10 vollständig.
• Änderungen an der Anwendung werden in einer Versionsverwaltung nachvollziehbar festgehalten und vor der Auslieferung automatisch geprüft.

Anlage 3 — Unterauftragsverarbeiter

IONOS SE, Elgendorfer Straße 57, 56410 Montabaur (Amtsgericht Montabaur, HRB 24498)

• Betrieb des Servers mit Anwendung und Datenbank — Standort Spanien
• Aufbewahrung der verschlüsselten Sicherungen — innerhalb der EU bzw. des EWR
• Versand der E-Mails über smtp.ionos.de

Grundlage ist die Vereinbarung zur Auftragsverarbeitung der IONOS SE mit dem Anbieter. Die IONOS SE setzt ihrerseits weitere Auftragsverarbeiter ein; deren Liste stellt der Anbieter auf Anfrage zur Verfügung. Eine Übermittlung in ein Drittland findet nicht statt.

Stand: 4. Oktober 2026