Version avv-1.1

Fassung herunterladen

Vereinbarung zur Auftragsverarbeitung nach Art. 28 DSGVO

Version 1.1 · Stand 14. Oktober 2026

Hinweis zur Sprache: Personenbezeichnungen gelten gleichermaßen für alle Geschlechter. Zur besseren Lesbarkeit und in Anlehnung an gesetzliche Begriffe wird teilweise die grammatisch männliche Form verwendet.

zwischen

dem in der Bestellung oder Vertragsbestätigung bezeichneten Kunden
– Verantwortlicher oder Auftragsverarbeiter, nachfolgend „Kunde“ –

und

BKO Urban Forestry Solutions UG (haftungsbeschränkt)
Geismar Landstraße 72, 37083 Göttingen
Amtsgericht Göttingen, HRB 208215
– Auftragsverarbeiter oder weiterer Auftragsverarbeiter, nachfolgend „BKO“ –

gemeinsam „Parteien“.

1. Abschluss, Gegenstand und Rangfolge

  1. Diese Vereinbarung gilt, soweit BKO im Rahmen von Baumkataster Online personenbezogene Daten im Auftrag des Kunden oder, wenn der Kunde selbst Auftragsverarbeiter ist, als weiterer Auftragsverarbeiter verarbeitet. Sie wird dem Kunden mit ihren Anlagen vor seiner bindenden Vertragserklärung in speicherbarer Form bereitgestellt und zusammen mit dem Hauptvertrag elektronisch geschlossen.
  2. Handelt der Kunde als Auftragsverarbeiter, stellt er vor Beginn der Verarbeitung sicher, dass sein Verantwortlicher den Einsatz von BKO genehmigt hat, der Kunde diese Vereinbarung wirksam für die Verarbeitungskette schließen und BKO die maßgeblichen Weisungen weitergeben darf. Verweise dieser Vereinbarung auf Pflichten des Kunden als Verantwortlicher gelten dann als Pflicht des Kunden, deren Erfüllung durch den Verantwortlichen sicherzustellen oder ihn dabei nach dessen Weisungen zu unterstützen.
  3. Gegenstand der Verarbeitung ist die Bereitstellung von Baumkataster Online einschließlich Betrieb, Support, Sicherung, Export und Löschung des Kundenmandanten. Die Einzelheiten stehen in Anlage 1.
  4. Die Verarbeitung beginnt mit Freischaltung des Kundenmandanten und dauert, wenn der Kunde die Rückgabe wählt, bis zu deren Abschluss und der anschließend geschuldeten vollständigen Löschung der Auftragsdaten; bei einer Löschung ohne Rückgabe dauert sie bis zur vollständigen Löschung. Soweit technisch geschlossene Sicherungen nach Ziffer 12 noch nicht durch Rotation entfallen sind, gelten die dort bestimmten Schutz-, Sperr-, Wiederherstellungs-, Lösch- und Nachweispflichten bis zur abschließenden Löschbestätigung fort.
  5. Bei Widersprüchen geht diese Vereinbarung hinsichtlich der Auftragsverarbeitung dem Hauptvertrag und den AGB vor. Zwingende Vorschriften der DSGVO und sonstiges zwingendes Datenschutzrecht bleiben unberührt.
  6. Vom Kunden bestimmte Einladungen, Mandanten- und Auftraggeberzuordnungen, Rollen, Kontostatus, Zugangsfreigaben und fachliche Akteurszuordnungen sind Auftragsverarbeitung nach dieser Vereinbarung. Das gilt auch für technische E-Mail-Verifikation, Passwortzurücksetzung und Zugangssicherung, soweit sie ausschließlich einen solchen kundenbestimmten Zugang umsetzen.
  7. Nicht Gegenstand dieser Vereinbarung sind getrennte Verarbeitungsvorgänge, deren Zweck und wesentliche Mittel BKO selbst bestimmt. Dazu gehören die eigene Vertrags- und Abrechnungsverwaltung, eigene Geschäftskommunikation und gesetzliche Nachweise sowie klar abgegrenzte Verarbeitungen erforderlicher Sicherheitsdaten zum Schutz des Gesamtdienstes. BKO informiert darüber in seiner Datenschutzerklärung. Die datenschutzrechtliche Rolle richtet sich nach dem jeweiligen Verarbeitungszweck.

2. Art und Zweck der Verarbeitung

  1. BKO verarbeitet die in Anlage 1 beschriebenen Daten zur Bereitstellung der vom Kunden ausgewählten Softwarefunktionen. Je nach Nutzung kann dies insbesondere umfassen:

    • Erfassen, Speichern, Ordnen und Aktualisieren,
    • Anzeigen und Abrufen durch vom Kunden berechtigte Nutzer,
    • Verknüpfen von Bäumen, Auftraggebern des Kunden, Nutzern, Maßnahmen und Leistungsverzeichnissen sowie Verarbeiten der zugehörigen Kontroll- und Terminfelder,
    • Erzeugen einer fachlichen Aktivitätshistorie,
    • Erstellen von Tabellenexporten und PDF-Leistungsverzeichnissen,
    • technische Sicherung und Wiederherstellung des Gesamtsystems,
    • Fehleranalyse und Support auf Weisung sowie
    • Export, Rückgabe, Einschränkung und Löschung.

  2. BKO verarbeitet Auftragsdaten weder für Werbung, Datenhandel oder Profilbildung zu eigenen Zwecken noch für das Training oder die Verbesserung von KI-Modellen.

  3. Der Hauptvertrag, diese Vereinbarung, die Kundeneinstellungen und die vertragsgemäße Softwarenutzung bilden die dokumentierte Grundweisung. Zusätzliche Weisungen erteilt der Kunde in Textform an kontakt@baumkataster.online oder über einen hierfür von BKO benannten sicheren Kanal.

3. Verantwortungsbereich und Pflichten des Kunden

  1. Der Kunde stellt in seinem Verantwortungsbereich sicher, dass Erhebung und Verarbeitung der Auftragsdaten sowie seine Weisungen rechtmäßig sind und die erforderlichen Rechtsgrundlagen, Genehmigungen und Weisungen vorliegen. Ist er Verantwortlicher, erfüllt er die Betroffenenrechte selbst; handelt er als Auftragsverarbeiter, unterstützt er seinen Verantwortlichen nach dessen Weisungen.
  2. Der Kunde erfüllt die Informationspflichten nach Art. 12 bis 14 DSGVO, soweit er Verantwortlicher ist. Handelt er als Auftragsverarbeiter, stellt er deren Erfüllung durch seinen Verantwortlichen sicher und unterstützt ihn nach dessen Weisungen. Der Kunde sorgt dafür, dass nur erforderliche Daten eingegeben sowie Zugänge und Rollen sachgerecht vergeben werden.
  3. Veranlasst der Kunde eine persönliche Einladung durch BKO, stellt BKO in seinem Auftrag einen zentral gepflegten Datenschutzhinweis für Einladung und Zugangsverwaltung bereit und ergänzt ihn um die vorhandenen Organisationsangaben. Der Kunde hält die tatsächliche Verantwortlichkeit, die Kontaktangaben und die Kontaktdaten eines benannten Datenschutzbeauftragten aktuell. Öffentliche Stellen hinterlegen dessen Kontaktdaten vor der Einrichtung eines persönlichen Zugangs. Die erste Einladungsnachricht nennt die verantwortliche Stelle und den Einladungszweck und verlinkt den Zugangshinweis. Dieser erläutert die Datenherkunft und verweist auf die BKO-Datenschutzerklärung für getrennte eigene Verarbeitungsvorgänge. Für nichtöffentliche Stellen enthält er die vollständigen Informationen für die beschriebenen Standardverarbeitungen; zusätzlich erforderliche Informationen stellt der Kunde bereit. Für öffentliche Stellen ergänzt er die eigenen Datenschutzhinweise der verantwortlichen Stelle um Informationen zum Betrieb des Zugangs. Der Kunde stellt sicher, dass die verantwortliche Stelle den betroffenen Personen die auf ihren konkreten Einsatz zugeschnittenen Informationen nach Art. 13 und 14 DSGVO einschließlich der maßgeblichen Rechtsgrundlagen über geeignete eigene Informationswege erteilt. BKO stellt die Informationen zu seinen Verarbeitungsleistungen bereit und unterstützt nach dieser Vereinbarung. Die datenschutzrechtliche Rolle richtet sich nach dem jeweiligen Verarbeitungsvorgang; ein Auftragsverhältnis für Fachdaten bestimmt für sich genommen die Verantwortung für die eigene Zugangsverwaltung des Kunden nicht. Die Informationspflichten gelten unabhängig vom Versand einer BKO-Einladung: Bei Direkterhebung ist bei der Erhebung zu informieren; bei Dritterhebung innerhalb angemessener Frist, spätestens binnen eines Monats und, falls früher, bei der ersten Kommunikation oder ersten Offenlegung an einen anderen Empfänger. Bei einer Zweckänderung ist vor der Weiterverarbeitung entsprechend zu informieren. Bereits erteilte Informationen werden nach Maßgabe von Art. 13 Abs. 4 und Art. 14 Abs. 5 Buchst. a DSGVO berücksichtigt.
  4. Im Standarddienst ist die Verarbeitung besonderer Kategorien personenbezogener Daten nach Art. 9 DSGVO sowie personenbezogener Daten über strafrechtliche Verurteilungen oder Straftaten nach Art. 10 DSGVO untersagt. Der Kunde darf solche Daten insbesondere nicht in Freitextfelder eingeben. Eine einseitige Weisung hebt dieses Verbot nicht auf.
  5. Der Kunde benennt BKO einen fachlich zuständigen, weisungsberechtigten Kontakt und hält dessen Daten aktuell. Weisungen müssen Inhalt, Zweck und Umfang so bestimmt beschreiben, dass BKO sie rechtmäßig umsetzen kann.
  6. Erkennt der Kunde einen Fehler, eine unzulässige Eingabe oder einen möglichen Datenschutzverstoß in seinem Verantwortungsbereich, informiert er BKO unverzüglich, soweit deren Mitwirkung erforderlich ist.

4. Weisungsgebundene Verarbeitung

  1. BKO verarbeitet Auftragsdaten nur auf dokumentierte Weisung des Kunden; dies gilt auch für Übermittlungen in ein Drittland oder an eine internationale Organisation. Ausgenommen sind Verarbeitungen, zu denen Unionsrecht oder das Recht eines Mitgliedstaats BKO verpflichtet. In diesem Fall teilt BKO dem Kunden die rechtliche Anforderung vor der Verarbeitung mit, soweit das betreffende Recht dies nicht aus wichtigem öffentlichen Interesse verbietet.
  2. Hält BKO eine Weisung für datenschutzrechtswidrig, informiert BKO den Kunden unverzüglich und darf die Ausführung aussetzen, bis dieser sie bestätigt, ändert oder zurücknimmt. Besteht der Kunde trotz begründeten Hinweises auf einer rechtswidrigen Weisung, darf BKO den betroffenen Verarbeitungsteil beenden, soweit keine mildere rechtmäßige Lösung möglich ist.
  3. BKO führt ein Verzeichnis der Kategorien von Verarbeitungstätigkeiten nach Art. 30 Abs. 2 DSGVO und arbeitet auf Anfrage mit der zuständigen Aufsichtsbehörde zusammen.

5. Vertraulichkeit und Zugriffsberechtigung

  1. BKO setzt nur Personen ein, die zur Vertraulichkeit verpflichtet sind oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen. Die Verpflichtung besteht nach Tätigkeitsende fort.
  2. Beschäftigte und sonstige von BKO autorisierte Personen verarbeiten Auftragsdaten nur nach Weisung und soweit sie den Zugriff für Betrieb, Sicherheit, Support oder die Erfüllung dieser Vereinbarung benötigen.
  3. BKO vergibt persönliche Zugänge, beschränkt Berechtigungen nach dem Erforderlichkeitsprinzip und überprüft privilegierte Zugänge regelmäßig. Auftragsdaten dürfen nicht unkontrolliert auf private Endgeräte oder nicht freigegebene Dienste übertragen werden.

6. Sicherheit der Verarbeitung

  1. BKO trifft unter Berücksichtigung des Stands der Technik, der Implementierungskosten, der Art, des Umfangs, der Umstände und Zwecke der Verarbeitung sowie der unterschiedlichen Eintrittswahrscheinlichkeit und Schwere der Risiken angemessene technische und organisatorische Maßnahmen nach Art. 32 DSGVO.
  2. Die bei Abschluss vereinbarten Maßnahmen beschreibt Anlage 2. BKO darf sie an technische und rechtliche Entwicklungen anpassen, wenn das vereinbarte Schutzniveau insgesamt gewahrt bleibt. Wesentliche Änderungen dokumentiert BKO und kündigt sie dem Kunden vor ihrem Wirksamwerden proaktiv in Textform an. Muss eine Änderung zur Abwehr einer akuten Gefahr sofort umgesetzt werden, informiert BKO den Kunden unverzüglich danach. Eine Verminderung des vereinbarten Schutzniveaus bedarf einer dokumentierten Vereinbarung der Parteien.
  3. BKO überprüft die Wirksamkeit der Maßnahmen regelmäßig sowie nach erheblichen Sicherheitsvorfällen oder wesentlichen Systemänderungen. Erkannte, nicht nur unerhebliche Mängel behebt BKO risikogerecht.

7. Meldung von Verletzungen des Schutzes personenbezogener Daten

  1. BKO informiert den Kunden unverzüglich nach Kenntnis einer Verletzung des Schutzes der von dieser Vereinbarung erfassten personenbezogenen Daten. Eine erste Meldung erfolgt auch bei noch unvollständigen Informationen; fehlende Angaben werden ohne unangemessene Verzögerung ergänzt.

  2. Die Meldung enthält, soweit bekannt:

    • Art und Zeitpunkt des Vorfalls,
    • betroffene Daten- und Personenkategorien sowie die ungefähre Zahl der Datensätze und Personen,
    • wahrscheinliche Folgen,
    • ergriffene oder vorgeschlagene Eindämmungs- und Abhilfemaßnahmen und
    • eine Ansprechstelle für Rückfragen.

  3. BKO ergreift unverzüglich angemessene Maßnahmen zur Eindämmung, Beweissicherung und Abhilfe und unterstützt den Kunden mit den verfügbaren Informationen bei dessen Pflichten nach Art. 33 und 34 DSGVO. Über eine Meldung an eine Aufsichtsbehörde oder betroffene Personen entscheidet der Kunde, soweit BKO nicht für einen eigenen Verarbeitungsteil selbst verantwortlich ist.

  4. Diese Regelung erfasst Datenschutzverletzungen. Sonstige Sicherheits- oder Verfügbarkeitsvorfälle werden nach dem Hauptvertrag behandelt, soweit sie keine personenbezogenen Daten betreffen.

8. Unterstützung des Kunden

  1. BKO unterstützt den Kunden unter Berücksichtigung der Verarbeitungsart und der bei BKO verfügbaren Informationen bei:

    • Auskunft, Berichtigung, Löschung, Einschränkung, Widerspruch und Datenübertragbarkeit,
    • Sicherheit der Verarbeitung,
    • Meldung und Benachrichtigung bei Datenschutzverletzungen,
    • Datenschutz-Folgenabschätzungen und vorheriger Konsultation sowie
    • dem Nachweis der Einhaltung der Pflichten nach Art. 28 DSGVO.

  2. Geht ein Begehren einer betroffenen Person unmittelbar bei BKO ein und betrifft Auftragsdaten, informiert BKO den Kunden. Inhaltlich beantwortet BKO es nur auf dessen Weisung oder aufgrund einer gesetzlichen Pflicht.

  3. Unterstützungen durch übliche Funktionen, Informationen und gewöhnlichen Supportaufwand sind mit dem vereinbarten Entgelt abgegolten. Verlangt der Kunde darüber hinaus eine außergewöhnlich aufwendige, nicht durch einen BKO-Verstoß verursachte Sonderleistung, informiert BKO vorab über den voraussichtlichen Aufwand. Eine Vergütung darf gesetzlich erforderliche Hilfe nicht praktisch vereiteln.

9. Unterauftragsverarbeiter und angewiesene Offenlegungen

  1. Der Kunde erteilt BKO die allgemeine schriftliche Genehmigung, die in Anlage 3 bezeichneten Unterauftragsverarbeiter einzusetzen.
  2. BKO informiert den Kunden vor der geplanten Hinzuziehung oder Ersetzung eines Unterauftragsverarbeiters in Textform so rechtzeitig, dass ihm eine angemessene Möglichkeit zum Widerspruch vor dem Einsatz verbleibt. Die Mitteilung bezeichnet Anbieter, Leistung und vorgesehenen Verarbeitungsort. Erhält BKO selbst eine Änderungsmitteilung mit einer bestimmten Vorlauffrist, leitet BKO sie ohne schuldhaftes Zögern weiter und verkürzt diese Frist nicht.
  3. Der Kunde kann bis zum angekündigten Einsatz aus nachweisbaren datenschutzrechtlichen Gründen widersprechen. Die Parteien suchen zunächst eine angemessene Lösung, etwa eine alternative Leistungserbringung. Ist keine zumutbare Lösung möglich, kann der Kunde das gesamte BKO-Vertragsverhältnis nach Ziffer 13 der AGB beenden. Die Rückgabe-, Wechsel- und Löschungsmöglichkeiten nach Ziffer 13 der AGB bleiben vollständig erhalten. Vorausgezahlte Entgelte für die Restlaufzeit werden anteilig erstattet; der Ausgleich für den Jahresrabatt bei vorzeitigem Vertragsende entfällt nach Ziffer 13 Absatz 9 der AGB.
  4. BKO verpflichtet jeden Unterauftragsverarbeiter vertraglich mindestens zu denselben Datenschutzpflichten, die BKO nach dieser Vereinbarung treffen, soweit sie für seine Leistung einschlägig sind. Gegenüber dem Kunden bleibt BKO für die Erfüllung dieser Pflichten verantwortlich.
  5. Nebenleistungen ohne Zugriff auf Auftragsdaten, etwa Telekommunikation, Post, Reinigung oder allgemeine Wartung, sind keine Unterauftragsverarbeitung. Erhält ein solcher Dienstleister ausnahmsweise Zugriff, stellt BKO angemessene Vertraulichkeit und Aufsicht sicher.
  6. Ein Empfänger, der offengelegte Daten als unabhängiger Verantwortlicher für eigene Zwecke verarbeitet, ist kein Unterauftragsverarbeiter. Veranlasst BKO im Rahmen einer vom Kunden ausgewählten Funktion eine solche Offenlegung, erfolgt sie nur auf dokumentierte Weisung des Kunden und im Umfang nach Anlage 3. Allein wegen der technischen Vermittlung verwendet BKO die offengelegten Auftragsdaten nicht für einen eigenen Zweck.
  7. Die vom Kunden angewiesenen Offenlegungen an unabhängige Verantwortliche sowie Datenumfang, Zweck und Empfänger sind in Anlage 3 bezeichnet. Der Kunde verantwortet die Rechtsgrundlage und die Information seiner Nutzer; BKO stellt ihm die verfügbaren Angaben zu Datenumfang, Empfänger, Verarbeitungsorten und Übermittlungen bereit.

10. Übermittlungen außerhalb des EWR

  1. BKO und seine Unterauftragsverarbeiter verarbeiten Auftragsdaten an den Orten, die Anlage 3 und der bei Vertragsschluss bereitgestellte aktuelle Unterauftragsnachweis bezeichnen. Entsprechendes gilt für eine von BKO veranlasste Offenlegung an einen unabhängigen Verantwortlichen. Eine Verarbeitung oder Offenlegung in einem Drittland erfolgt nur auf dokumentierte Weisung des Kunden und unter den Voraussetzungen der Art. 44 bis 49 DSGVO. Die Genehmigung eines in Anlage 3 bezeichneten Unterauftragsverarbeiters oder die Nutzung einer dort beschriebenen Funktion bildet eine solche Weisung nur im dort ausgewiesenen Umfang.
  2. Vor einer nicht durch einen Angemessenheitsbeschluss gedeckten Übermittlung dokumentiert BKO mit dem Empfänger die geeignete Garantie, insbesondere die einschlägigen Standardvertragsklauseln, prüft die Übermittlungsumstände und trifft erforderlichenfalls ergänzende Maßnahmen.
  3. BKO stellt dem Kunden auf Anfrage Informationen über die eingesetzte Übermittlungsgrundlage und eine Kopie geeigneter Garantien bereit. Geschäftsgeheimnisse und Daten Dritter dürfen geschwärzt werden, soweit die für die Prüfung des Kunden erforderliche Information erhalten bleibt.
  4. Erhält BKO eine behördliche oder gerichtliche Herausgabeanordnung aus einem Drittland, prüft BKO deren Rechtmäßigkeit, schöpft verfügbare Rechtsbehelfe aus, soweit dies begründet und zumutbar ist, beschränkt eine zulässige Offenlegung auf das Erforderliche und informiert den Kunden, soweit rechtlich zulässig.

11. Nachweise und Kontrollen

  1. BKO stellt dem Kunden die zum Nachweis der Einhaltung von Art. 28 DSGVO und dieser Vereinbarung erforderlichen Informationen bereit. Dazu können aktuelle TOM-Beschreibungen, Unterauftragnehmerlisten, geeignete Prüfberichte und Antworten auf angemessene Datenschutzfragebögen gehören.
  2. Reichen solche Nachweise für einen begründeten Prüfzweck nicht aus, darf der Kunde selbst oder durch einen zur Verschwiegenheit verpflichteten unabhängigen Prüfer kontrollieren. Die Kontrolle ist grundsätzlich mindestens 14 Kalendertage vorher anzukündigen, auf das Erforderliche zu beschränken und so durchzuführen, dass Betrieb, Sicherheit, Geschäftsgeheimnisse und Daten anderer Kunden nicht beeinträchtigt werden.
  3. Ohne besonderen Anlass besteht das Vor-Ort-Kontrollrecht höchstens einmal pro Kalenderjahr. Diese Begrenzung und die Ankündigungsfrist gelten nicht bei einer erheblichen Datenschutzverletzung, einem begründeten Verdacht auf einen wesentlichen Verstoß oder einer Anordnung der zuständigen Aufsichtsbehörde.
  4. Der Kunde trägt seine Kontrollkosten. Weist die Kontrolle einen wesentlichen, von BKO zu vertretenden Verstoß nach, erstattet BKO die angemessenen externen Prüfungskosten. Gesetzliche Untersuchungsbefugnisse einer Aufsichtsbehörde bleiben unberührt.
  5. BKO informiert den Kunden unverzüglich über für dessen Auftragsdaten einschlägige Kontrollen und verbindliche Maßnahmen einer Datenschutzaufsichtsbehörde, soweit dies rechtlich zulässig ist.

12. Rückgabe, Abruf und Löschung

  1. Während des Vertrags kann der Kunde die vorhandenen Exportfunktionen nutzen. Für eine vollständige Rückgabe oder einen Anbieterwechsel gelten ergänzend Ziffer 13 der AGB, die bei Vertragsschluss einbezogene Vertragsanlage „Besondere Wechselbedingungen – Datenkategorien und Abschlusskriterien“ und die Verordnung (EU) 2023/2854.
  2. Nach Verarbeitungsende gibt BKO die Auftragsdaten nach der zuletzt dokumentierten Wahl des Kunden zurück oder löscht sie. Liegt keine spätere Wahl vor, gilt die bei Vertragsschluss dokumentierte Grundweisung „Rückgabe, danach Löschung“. Bei gewählter Rückgabe stellt BKO die Daten in einem strukturierten, gängigen und maschinenlesbaren Format bereit und löscht sie nach Ablauf der vereinbarten Abruffrist. Bei gewählter Löschung ohne Rückgabe löscht BKO ohne vorherige Erstellung oder Bereitstellung eines Rückgabepakets; eine Abruffrist gilt in diesem Fall nicht. Der Kunde kann seine Wahl bis zur tatsächlichen produktiven Löschung in dokumentierter Form ändern. Dies gilt nicht für die ausdrücklich bestätigte sofortige Beendigung eines reinen Free-Vertragsverhältnisses nach Ziffer 12 Absatz 4 und Ziffer 13 Absatz 7 der AGB; diese Wahl ist mit der bestätigten dauerhaften Speicherung dieser Erklärung in einem von den zu löschenden Produktivdaten unabhängigen Löschjournal von BKO bindend. Nach erfolgreichem Abschluss eines Anbieterwechsels gilt dessen Abruf- und Löschpfad einschließlich der maßgeblichen Abruffrist fort. Die Einzelheiten bestimmen Ziffern 12 und 13 der AGB.
  3. Zum danach maßgeblichen Löschzeitpunkt löscht BKO die produktiven Auftragsdaten sowie gewöhnlich zugängliche Replikate, Zwischenspeicher und temporäre Exportkopien. Zugänge werden gesperrt; die Daten dürfen ab dann nicht mehr für Regelbetrieb, Support oder andere Zwecke verwendet werden.
  4. Technisch geschlossene gemeinsame Sicherungen werden bei einer einzelnen Kundenlöschung nicht nachträglich verändert. Sie bleiben verschlüsselt, vom Regelbetrieb getrennt und für jeden anderen Zweck als die Wiederherstellung des Gesamtsystems gesperrt. Die ab Erstellung höchstens 90-tägige Rotation erfasst auch Snapshots, Sicherungsarchive und Sicherungen von Unterauftragsverarbeitern, soweit sie Auftragsdaten enthalten. Betroffene Sicherungen entfallen mit Ablauf dieser bereits laufenden Rotation; der maßgebliche produktive Löschzeitpunkt beginnt oder verlängert ihre Frist nicht. Als späterer Löschzeitpunkt gilt der Ablauf der bei der produktiven Löschung bereits laufenden Rotation der letzten betroffenen Sicherung, spätestens 90 Kalendertage nach deren Erstellung.
  5. Bei Wiederherstellungen stellt BKO vor einer erneuten Produktivnutzung sicher, dass bestätigte Mandantenlöschungen sowie seit dem Sicherungszeitpunkt wirksame Berichtigungen und Verarbeitungseinschränkungen erneut wirksam sind. Anlage 2 beschreibt die hierfür vorgesehenen technischen und organisatorischen Maßnahmen.
  6. Nach der Löschung nach Absatz 3 bestätigt BKO dem Kunden die Beendigung des Zugangs in Textform. Nach Wegfall der letzten betroffenen Sicherung bestätigt BKO den Abschluss der Löschung in Textform. Für die zwischenzeitliche Behandlung technisch geschlossener Sicherungen gelten die Absätze 4 und 5.
  7. Muss BKO nach Unionsrecht oder dem Recht eines Mitgliedstaats ausnahmsweise bestimmte Auftragsdaten aufbewahren, informiert BKO den Kunden, soweit zulässig, über Datenkategorien, Rechtsgrund und Frist. Die betreffenden Daten werden gesperrt, nur noch für den gesetzlichen Zweck verarbeitet und nach Fristablauf gelöscht.
  8. Eine anonymisierte Information, die sich auch mit zusätzlichen vernünftigerweise verfügbaren Mitteln nicht mehr auf den Kunden oder eine natürliche Person beziehen lässt, ist kein Auftragsdatum. Eine Anonymisierung zu eigenen Zwecken ist nur zulässig, wenn der Kunde sie anweist oder die Daten zuvor vollständig aus seinem Verantwortungsbereich herausgelöst und rechtmäßig anonymisiert wurden.

13. Vertragsverstöße und Beendigung

  1. Kann BKO diese Vereinbarung aus irgendeinem Grund nicht mehr einhalten, informiert BKO den Kunden unverzüglich.
  2. Bei einem erheblichen oder fortdauernden Verstoß kann der Kunde die betroffene Verarbeitung aussetzen lassen. Wird die Einhaltung nicht innerhalb einer angemessenen Frist, spätestens innerhalb eines Monats nach der Aussetzung, wiederhergestellt, kann der Kunde den betroffenen Vertragsteil außerordentlich kündigen.
  3. Das Recht zur außerordentlichen Kündigung bei einer sonstigen schwerwiegenden Pflichtverletzung und gesetzliche Rechte bleiben unberührt.
  4. Diese Vereinbarung endet, sobald sämtliche Auftragsdaten nach Ziffer 12 zurückgegeben beziehungsweise gelöscht sind und die abschließende Löschung bestätigt ist. Die Schutz-, Sperr-, Wiederherstellungs-, Lösch- und Nachweispflichten für technisch geschlossene Sicherungen gelten bis dahin fort.

14. Haftung und Schlussbestimmungen

  1. Gegenüber betroffenen Personen gilt Art. 82 DSGVO. Die interne Haftungsverteilung der Parteien richtet sich ergänzend nach Gesetz und Hauptvertrag, ohne zwingende Rechte betroffener Personen oder Befugnisse von Aufsichtsbehörden zu beschränken.
  2. Es gilt deutsches Recht. Die Gerichtsstandsregelung des Hauptvertrags gilt entsprechend, soweit sie wirksam vereinbart werden kann.
  3. Änderungen dieser Vereinbarung bedürfen einer dokumentierten Vereinbarung in Textform. Dies gilt nicht für zulässige Aktualisierungen der TOM nach Ziffer 6 Abs. 2 und der Unterauftragnehmerliste nach Ziffer 9.
  4. Ist oder wird eine Bestimmung unwirksam, gelten an ihrer Stelle die gesetzlichen Vorschriften. Die übrigen Bestimmungen bleiben unberührt.

Anlage 1 – Beschreibung der Auftragsverarbeitung

1. Gegenstand und Zweck

Bereitstellung, Betrieb, Sicherung, Support, Export und Löschung des Kundenmandanten in Baumkataster Online zur fachlichen Verwaltung von Baumbeständen, Kontrollen, Maßnahmen, Leistungsverzeichnissen, Nutzer- und Auftraggeberzugängen sowie der Aktivitätshistorie.

2. Art der Verarbeitung

Erheben, Erfassen, Organisieren, Ordnen, Speichern, Anpassen, Auslesen, Abfragen, Verwenden, Anzeigen gegenüber berechtigten Nutzern, Verknüpfen, Exportieren, Einschränken und Löschen; im Supportfall vorübergehender Zugriff nach Weisung; Erstellung verschlüsselter Sicherungskopien und Wiederherstellung des Gesamtsystems.

3. Kategorien betroffener Personen

  • Beschäftigte, Organmitglieder, freie Mitarbeitende und Auftragnehmer des Kunden,
  • vom Kunden eingesetzte Baumkontrolleure, Sachverständige und Pflegedienstleister,
  • Ansprechpartner, Beschäftigte und Auftragnehmer von Auftraggebern des Kunden,
  • Personen, denen der Kunde einen Mitarbeiter-, Auftragnehmer- oder Auftraggeberzugang einrichtet, und
  • sonstige Personen, die der Kunde in erforderlichen fachlichen Freitexten benennt, etwa Grundstückseigentümer, Nutzungsberechtigte, Bewohner oder Standortkontakte, sofern er solche Angaben überhaupt erfasst.

4. Kategorien personenbezogener Daten

  • Namen, geschäftliche Kontakt- und Organisationsdaten,
  • Nutzerkennung, Rolle, Status sowie Mandanten- und Auftraggeberzuordnung,
  • Zuordnung als Ersteller, Bearbeiter, Kontrolleur oder Verantwortlicher,
  • präzise geografische Punktkoordinaten von Bäumen sowie textliche Standortangaben, soweit sie einer Person oder einem Grundstück zugeordnet werden können,
  • Kontrolltermine, Zustands- und Erwartungsangaben, Maßnahmen, Prioritäten, Leistungsverzeichnisse, Zeitangaben und fachliche Freitexte, soweit personenbeziehbar,
  • Beziehungen zwischen Bäumen, Auftraggebern des Kunden, Nutzern, Maßnahmen und Leistungsverzeichnissen,
  • die fachliche Aktivitätshistorie mit Zeitstempel, Akteursbezug, alten und neuen Werten, gekürztem IP-Netzbereich, verkürzter Browserkennung und aufgerufenen Pfaden sowie
  • Export- und Löschinformationen.

In der Aktivitätshistorie werden besonders schutzbedürftige Freitextinhalte zu Standort, Notizen und Maßnahmen durch einen neutralen Platzhalter ersetzt. Geografische Punktkoordinaten können zur Nachvollziehbarkeit einer Standortänderung erhalten bleiben. Diese Begrenzung betrifft nur die Aktivitätshistorie; die aktuellen Fachdaten und erzeugten Leistungsverzeichnisse können die vom Kunden eingegebenen Inhalte weiterhin enthalten.

5. Besondere Datenkategorien

Für besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO und personenbezogene Daten über strafrechtliche Verurteilungen oder Straftaten nach Art. 10 DSGVO gilt Ziffer 3 Absatz 4.

6. Häufigkeit und Dauer

Die Verarbeitung erfolgt fortlaufend, sobald berechtigte Nutzer den Dienst verwenden. Produktive Auftragsdaten werden für die Vertragsdauer und danach während der vereinbarten Übergangs- und Abruffrist verarbeitet. In den hierfür freigeschalteten Paketen wird jeder tatsächlich erzeugte Eintrag der fachlichen Aktivitätshistorie ab seiner Erzeugung grundsätzlich fünf Jahre gespeichert. Rechtmäßige Weisungen zu einer kürzeren Dauer oder früheren Löschung sowie frühere Löschpflichten nach Ziffer 12 oder zwingendem Recht gehen vor. Technisch geschlossene Sicherungen werden ausschließlich für die Wiederherstellung des Gesamtsystems und nach dem in Anlage 2 beschriebenen Turnus ab ihrer Erstellung höchstens 90 Kalendertage aufbewahrt. Im Übrigen gilt Ziffer 12.

Anlage 2 – Technische und organisatorische Maßnahmen

1. Organisation und Datenschutzmanagement

  • dokumentierte Verantwortlichkeiten für Betrieb, Entwicklung, Support und Vorfallbearbeitung,
  • Vertraulichkeitsverpflichtung aller Personen mit möglichem Datenzugriff,
  • personenbezogene Administrationszugänge und Berechtigungsvergabe nach Erforderlichkeit,
  • regelmäßige Überprüfung privilegierter Zugänge und Entzug bei Aufgabenwechsel,
  • dokumentiertes Verfahren für Datenschutz- und Sicherheitsvorfälle,
  • Auswahl und Kontrolle von Unterauftragsverarbeitern sowie
  • regelmäßige und anlassbezogene Überprüfung dieser Maßnahmen.

2. Physischer Zutritt und Infrastruktur

  • Betrieb der produktiven Server in den für die konkrete Hosting-Leistung vertraglich bezeichneten Rechenzentren des in Anlage 3 genannten Infrastrukturbetreibers,
  • physische Zutritts-, Stromversorgungs-, Brand-, Klima- und Datenträgerschutzmaßnahmen des Infrastrukturbetreibers nach dessen vertraglicher TOM-Dokumentation,
  • physische Zutrittskontrolle zu den Rechenzentrumsflächen durch den Infrastrukturbetreiber nach dessen vertraglicher TOM-Dokumentation und
  • versionierter Nachweis von konkreter Hosting-Leistung, Rechenzentrumsregion und anwendbarer TOM-Fassung des Infrastrukturbetreibers.

3. Authentifizierung und logischer Zugang

  • persönliche Nutzerkonten,
  • Passwörter werden mit einem Passwort-Hashverfahren gespeichert,
  • E-Mail-Verifikation und sichere Passwortzurücksetzung,
  • für sämtliche Kundenkonten freiwillig aktivierbare Zwei-Faktor-Authentifizierung,
  • verpflichtende Zwei-Faktor-Authentifizierung ausschließlich für privilegierte BKO-Zugänge zur Produktionsadministration,
  • Begrenzung von Anmelde- und Zwei-Faktor-Versuchen,
  • sichere, HttpOnly- und SameSite-geschützte Sitzungscookies im Produktivbetrieb,
  • verschlüsselte serverseitige Sitzungsinhalte mit regulär 120 Minuten Inaktivitätsfrist und
  • rollen- und richtlinienbasierte Autorisierungsprüfungen für fachliche Funktionen.

4. Mandantentrennung und Berechtigungskontrolle

  • Zuordnung fachlicher Daten zu Kundenmandanten,
  • serverseitige Richtlinien für Hauptnutzer-, Mitarbeiter-, Auftragnehmer- und Auftraggeberzugriffe,
  • erneute Berechtigungsprüfung bei Downloads und besonders geschützten Aktionen,
  • kurzlebige, nutzergebundene Einmal-Token für Baumexporte und
  • Sperrung nicht aktivierter oder deaktivierter Nutzerkonten.

5. Übertragungs- und Eingabekontrolle

  • verschlüsselte Übertragung über HTTPS/TLS,
  • HSTS, restriktive Referrer-, Frame- und Inhaltstyp-Sicherheitsheader,
  • Content Security Policy und CSRF-Schutz,
  • Validierung von Eingaben und Maskierung nutzergesteuerter Inhalte in Kartendarstellungen,
  • TLS-gesicherter E-Mail-Transport zum eingesetzten SMTP-Dienst, soweit die Gegenstelle dies unterstützt, und
  • verschlüsselte Übertragung vollständiger Rückgabepakete über einen autorisierten Kanal.

6. Speicherung, Protokollierung und Datenminimierung

  • Schutz gewöhnlicher Baum- und Kundendaten durch Infrastruktur-, Zugriffs- und Transportmaßnahmen,
  • verschlüsselte Speicherung der serverseitigen Sitzungsinhalte,
  • Kürzung gespeicherter IPv4-Adressen auf /24 und IPv6-Adressen auf /64 in Sitzungs- und fachlichen Aktivitätsmetadaten,
  • Speicherung der Browserkennung als verkürzter kryptografischer Prüfwert,
  • Speicherung von Pfaden anstelle vollständiger URLs in fachlichen Audits,
  • Ersetzung besonders schutzbedürftiger Freitextinhalte zu Standort, Notizen und Maßnahmen durch einen neutralen Platzhalter in der Aktivitätshistorie; geografische Punktkoordinaten können zur Nachvollziehbarkeit von Standortänderungen erhalten bleiben,
  • reguläre Anwendungsprotokolle grundsätzlich 14 Tage und gesonderte Sicherheitsprotokolle grundsätzlich 30 Tage sowie
  • die fachliche Aktivitätshistorie in freigeschalteten Paketen für jeden tatsächlich erzeugten Historieneintrag grundsätzlich höchstens fünf Jahre.

7. Verfügbarkeit und Wiederherstellung

  • tägliche Sicherung der produktiven Datenbank und erforderlicher Anwendungsdateien,
  • Verschlüsselung der Sicherungsarchive,
  • automatisierte Überwachung der planmäßigen Hintergrundaufgaben,
  • dokumentierte Wiederherstellungsanweisung und regelmäßige Wiederherstellungstests,
  • vom Regelbetrieb getrennte Zugriffsberechtigungen für Sicherungsarchive,
  • Speicherung der Sicherungsarchive in einer vom Produktivsystem unabhängigen Speicher- und Fehlerdomäne,
  • ein versioniertes Sicherungskonzept mit Turnus, Speicherort, Schlüsselverantwortung und dokumentierten Ergebnissen der Wiederherstellungstests,
  • feste Rotation: sämtliche Sicherungen einschließlich einschlägiger Snapshots, Sicherungsarchive und Sicherungen von Unterauftragsverarbeitern für sieben Tage, höchstens eine tägliche Sicherung bis Tag 30 und höchstens eine wöchentliche Sicherung bis Tag 90,
  • Sicherstellung, dass bestätigte Löschungen sowie zwischenzeitliche Berichtigungen und Verarbeitungseinschränkungen nach einer Wiederherstellung erneut wirksam sind, und
  • Produktivfreigabe wiederhergestellter Systeme erst nach Prüfung dieser Maßnahmen.

8. Integrität, Entwicklung und Änderungen

  • Versionsverwaltung sämtlicher Anwendungsänderungen,
  • automatisierte Tests für zentrale Berechtigungs-, Sicherheits- und Mandantentrennungsfunktionen,
  • risikobasierte Installation von Sicherheitsaktualisierungen für Anwendung und Abhängigkeiten,
  • getrennte Konfigurationen für Entwicklung, Test und Produktion,
  • Verwendung produktiver Kundendaten in Entwicklungs- oder Testumgebungen ausschließlich bei dokumentierter Notwendigkeit, Weisung und Schutzmaßnahmen sowie
  • Protokollierung und Überprüfung erheblicher produktiver Fehler und Sicherheitsereignisse.

9. Löschung und Auftragsende

  • harte Löschung produktiver Baum- und Leistungsverzeichnisdatensätze bei berechtigter Löschaktion,
  • Löschung des Kundenmandanten und seiner abhängigen Daten zum nach den AGB und Ziffer 12 maßgeblichen produktiven Löschzeitpunkt,
  • bei gewählter Rückgabe Bereitstellung eines vollständigen Rückgabepakets und Löschung nach Ablauf der vereinbarten Abruffrist; bei gewählter Löschung ohne Rückgabe keine Erstellung oder Bereitstellung eines Rückgabepakets und keine Abruffrist,
  • dokumentierte Löschung aus Produktivsystem, gewöhnlich zugänglichen Replikaten und Zwischenspeichern,
  • Sperrung technisch geschlossener Sicherungskopien gegen Regelbetrieb, Support, Analyse und Einzelwiederherstellung bis zu ihrer endgültigen Entfernung gemäß der ab Erstellung höchstens 90-tägigen Rotation,
  • Sicherstellung der Wirksamkeit bestätigter Löschungen, Berichtigungen und Verarbeitungseinschränkungen nach einer Wiederherstellung.

Anlage 3 – Genehmigte Unterauftragsverarbeiter

Unternehmen Anschrift / Land Leistung Betroffene Auftragsdaten Verarbeitungsort
IONOS SE Elgendorfer Straße 57, 56410 Montabaur, Deutschland Webhosting, Datenbankhosting, lokaler Dateispeicher für Export- und Rückgabepakete und SMTP-E-Mail sämtliche im Produktivsystem gehosteten Auftragsdaten; bei E-Mail nur Adress-, Versand- und Nachrichteninhalte Deutschland; administrative und Supportzugriffe sowie weitere Unterauftragsverarbeiter nach den für die gebuchten Leistungen geltenden IONOS-Vertragsunterlagen
IONOS Cloud GmbH Elgendorfer Straße 57, 56410 Montabaur, Deutschland IONOS Cloud Object Storage für verschlüsselte Sicherungs- und Nachweisspeicher sämtliche in Sicherungsarchiven enthaltenen Auftragsdaten sowie die zur Sicherstellung bestätigter Löschungen erforderlichen Angaben Berlin, Deutschland (eu-central-3); administrative und Supportzugriffe sowie weitere Unterauftragsverarbeiter nach den für IONOS Cloud geltenden Vertragsunterlagen
Mailjet GmbH Alt Moabit 2, 10557 Berlin, Deutschland transaktionaler E-Mail-Versand und technische Zustellereignisse Absender- und Empfängeradresse, Betreff, Inhalt, technische Versanddaten sowie Zustell-, Bounce-, Blockierungs- und Spam-Beschwerdeereignisse; BKO speichert für die technische Zustellverfolgung lokal eine pseudonymisierte Empfängerkennung sowie Status- und Zeitangaben Deutschland und Belgien für Mailjet-Cloud-Rechenzentren im Regelbetrieb; weitere Unterauftragsverarbeiter und gegebenenfalls einschlägige Übermittlungen nach der jeweils aktuellen Sinch-Unterauftragsliste und Sinch-Datenverarbeitungsvereinbarung
Environmental Systems Research Institute, Inc. („Esri“) 380 New York Street, Redlands, California 92373, USA ArcGIS Location Platform; vom Nutzer ausgewählte Static Basemap Tiles des Dienstes World Imagery und zugehörige Quellenangaben IP-Adresse, Browser-, Geräte- und Betriebssystemangaben, Zeitpunkt, angeforderter Kartenausschnitt, Herkunft der Anfrage und technische Dienstkennung; keine Namen, Baumkennungen oder fachlichen Freitexte für das BKO-Plattformkonto ausgewiesene Region USA sowie Orte der nach dem Esri-DPA eingesetzten Unterauftragsverarbeiter; Übermittlungen an zertifizierte US-Empfänger auf Grundlage des EU-U.S. Data Privacy Framework, andernfalls auf Grundlage der Standardvertragsklauseln der Europäischen Kommission

Das Esri-DPA erteilt eine allgemeine Genehmigung für weitere Unterauftragsverarbeiter, nennt insbesondere Microsoft, Amazon Web Services, Salesforce und Akamai sowie erforderliche technische Supportdienstleister und sieht eine vorherige Änderungsinformation mit Widerspruchsmöglichkeit vor. Maßgeblich ist nur, welcher dieser Dienstleister für die BKO-Leistung tatsächlich eingesetzt wird. BKO führt die Anbieterprüfung nach dem in Ziffer 9 geregelten Verfahren fort.

Vom Kunden angewiesene Offenlegung an einen unabhängigen Verantwortlichen

Empfänger Rolle Funktion und Weisung Offengelegte Daten Verarbeitungsorte
OpenStreetMap Foundation („OSMF“), St John's Innovation Centre, Cowley Road, Cambridge, CB4 0WS, Vereinigtes Königreich unabhängiger Verantwortlicher; kein Unterauftragsverarbeiter von BKO Öffnet ein berechtigter Nutzer die Straßenkarte, weist der Kunde BKO an, den unmittelbaren Browserabruf der erforderlichen Kartenkacheln zu ermöglichen IP-Adresse, Browser- und Geräteart, Betriebssystem, Zeitpunkt, Herkunftsseite und sichtbarer Kartenausschnitt; keine Namen, Baumkennungen oder fachlichen Freitexte; aus dem Kartenausschnitt kann sich die ungefähre Lage von Bäumen ergeben Vereinigtes Königreich, Irland und Niederlande sowie abhängig von der Netzwerkroutenwahl weitere Cache-Standorte des von OSMF eingesetzten Content-Delivery-Netzwerks

Die Offenlegung an OSMF ist auf den Aufruf der Straßenkarte und die vorstehend beschriebenen Daten beschränkt. Der Kunde erfüllt die Informationspflichten gegenüber seinen Nutzern und legt die Rechtsgrundlage der Offenlegung fest; BKO stellt ihm hierzu die verfügbaren Anbieterinformationen bereit.