Gegenstand und Parteien
Diese Vereinbarung konkretisiert Art. 28 DSGVO zwischen dem bestellenden Kunden als Verantwortlichem und der Agentur Zentral GmbH als Auftragsverarbeiter, soweit AlarmRoutine Daten weisungsgebunden für den Kunden verarbeitet. Sie gilt für die Vertragsdauer und die Abwicklung. Die eigenen Vertrags-, Abrechnungs- und gesetzlichen Pflichten der Agentur bleiben hiervon getrennt.
Umfang der Verarbeitung
Gegenstand sind Konten der eingeladenen Mitglieder, Rollen, optionale Profilbilder, Integrationskonfiguration, die flüchtige Entgegennahme technischer Alarmereignisse sowie minimale Zustellmetadaten. Betroffen sind Mitglieder und Ansprechpartner der Feuerwehr sowie Personen, deren Daten der Kunde gegebenenfalls in Eingangspayloads übermittelt. Einsatztexte und Adressen werden nicht dauerhaft gespeichert oder an SmartHome-Ziele weitergegeben. Der Kunde soll Eingangsdaten auf den notwendigen Umfang begrenzen.
Weisungen und Vertraulichkeit
Die Verarbeitung erfolgt auf dokumentierte Weisung des Kunden im Rahmen der vereinbarten Funktionen. Ergänzende Weisungen sind in Textform an info@alarmroutine.de zu richten. Bei erkennbar rechtswidrigen Weisungen informieren wir den Kunden und setzen deren Ausführung bis zur Klärung aus. Mit der Verarbeitung befasste Personen sind zur Vertraulichkeit verpflichtet.
Technische und organisatorische Maßnahmen
Die Maßnahmen umfassen verschlüsselte Transportverbindungen, Passwort-Hashing, begrenzte Einmal-Links, rollenbasierte und kundenbezogene Zugriffskontrollen, Formularschutz, Anmeldebegrenzung, verschlüsselte Integrationsschlüssel, Prüfung öffentlicher Zieladressen mit DNS-Pinning, Protokollierung ohne Einsatzpayloads und festgelegte Löschfristen. Backups, Wiederherstellungsverfahren und Berechtigungskontrollen sind im Betrieb regelmäßig zu prüfen. Weiterentwicklungen dürfen das vereinbarte Schutzniveau nicht unterschreiten.
Unterauftragsverarbeiter
Für Hosting und E-Mail-Infrastruktur wird ALL-INKL.COM (Neue Medien Münnich), Hauptstraße 68, 02742 Friedersdorf, Deutschland, eingesetzt. Der Kunde erteilt hierfür die Genehmigung. Über beabsichtigte Änderungen oder weitere Unterauftragsverarbeiter informieren wir mindestens 30 Tage zuvor in Textform; der Kunde kann aus datenschutzrechtlichen Gründen widersprechen. Unterauftragsverarbeitern werden mindestens gleichwertige Datenschutzpflichten auferlegt. Vom Kunden selbst konfigurierte SmartHome-Dienste werden durch dessen Entscheidung eingebunden und sind gesondert zu bewerten.
Unterstützung und Kontrolle
Wir unterstützen den Kunden angemessen bei Betroffenenanfragen, Sicherheitsmaßnahmen, Datenschutz-Folgenabschätzungen und Konsultationen. Datenschutzverletzungen im Auftragsbereich melden wir dem Kunden unverzüglich nach Bekanntwerden mit den verfügbaren Informationen. Wir stellen erforderliche Nachweise bereit und ermöglichen angemessene, abgestimmte Kontrollen unter Wahrung der Vertraulichkeit anderer Kunden.
Beendigung
Nach Ende der Verarbeitung löschen wir die Daten nach Wahl des Kunden oder geben sie zurück und löschen vorhandene Kopien, soweit keine gesetzliche Aufbewahrung entgegensteht. Die operative Abwicklung erfolgt innerhalb von 30 Tagen; gesperrte Sicherungskopien werden im regulären Sicherungszyklus überschrieben. Die Pflichten zur Vertraulichkeit bleiben bestehen. Stand: 6. September 2026.