Vertrag zur Auftragsverarbeitung (AVV) nach Art. 28 DSGVO
Version 1.0 · Stand 04.10.2026
zwischen dem Kunden gemäß Bestellung (nachfolgend „Verantwortlicher“) und der Zählbuddy UG (haftungsbeschränkt), Zum Pfaffenthal 48, 89584 Ehingen (nachfolgend „Auftragsverarbeiter“). Dieser Vertrag ist Bestandteil des Nutzungsvertrags über die Software „Zählbuddy“ (siehe AGB § 7) und wird mit der Bestellung elektronisch geschlossen (Art. 28 Abs. 9 DSGVO).
§ 1 Gegenstand und Dauer
- Gegenstand ist die Bereitstellung der Software zur Unterstützung der Stimmauszählung bei Wahlen von Arbeitnehmervertretungen (u. a. Betriebsrat, JAV, SBV) und die damit verbundene Speicherung und Verarbeitung personenbezogener Daten im Auftrag des Verantwortlichen.
- Die Dauer entspricht der Laufzeit des Nutzungsvertrags einschließlich der Zeit bis zur Löschung der Daten nach § 8.
§ 2 Art und Zweck der Verarbeitung, Daten, Betroffene
| Zweck | Erfassung der Wahlvorschläge, Auszählung der Stimmzettel durch Zählteams, Abgleich der Zählungen, Berechnung von Ergebnis und Mindestsitzen, Erstellung von Protokollen und Exporten, optionale Live-Anzeige nach Freigabe durch den Verantwortlichen, Erinnerungen an Fristen. |
|---|---|
| Art der Verarbeitung | Erheben, Speichern, Ordnen, Auslesen, Abgleichen, Übermitteln an berechtigte Nutzer, Löschen. |
| Datenarten | Namen der Bewerberinnen und Bewerber, Listenname bzw. Listenzugehörigkeit (kann Rückschlüsse auf eine Gewerkschaftszugehörigkeit zulassen, Art. 9 DSGVO), Geschlecht der Bewerberinnen und Bewerber sowie Belegschaftszahlen nach Geschlecht (für die Mindestsitzberechnung), Stimmenzahlen je Bewerber, Namen der Zählteams und von prüfenden Personen, Zugangsdaten und E-Mail-Adressen der Nutzer, Protokolldaten (Audit-Log mit Zeitpunkt, Aktion, IP-Adresse und Browserkennung). Es werden keine Daten erfasst, die einzelnen Wählerinnen und Wählern zugeordnet werden können. |
| Betroffene | Bewerberinnen und Bewerber, Mitglieder des Wahlvorstands, Wahlhelferinnen und Wahlhelfer, Nutzer des Kundenkontos. |
§ 3 Weisungen
- Der Auftragsverarbeiter verarbeitet die Daten nur auf dokumentierte Weisung des Verantwortlichen, einschließlich der Einstellungen und Aktionen in der Software, sofern er nicht gesetzlich zu einer anderen Verarbeitung verpflichtet ist (Art. 28 Abs. 3 lit. a DSGVO).
- Ein Zugriff von Mitarbeitern des Auftragsverarbeiters auf das Kundenkonto (z. B. zur Fehleranalyse) erfolgt nur auf Anfrage oder mit Zustimmung des Verantwortlichen.
- Hält der Auftragsverarbeiter eine Weisung für rechtswidrig, informiert er den Verantwortlichen unverzüglich.
§ 4 Vertraulichkeit
Der Auftragsverarbeiter setzt nur Personen ein, die zur Vertraulichkeit verpflichtet sind oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen (Art. 28 Abs. 3 lit. b DSGVO).
§ 5 Technische und organisatorische Maßnahmen (Art. 32 DSGVO)
- Verschlüsselte Übertragung (HTTPS/TLS) zwischen Browser und Server.
- Hosting in einem Rechenzentrum in Deutschland; Datenbank ohne direkten Zugang aus dem Internet.
- Mandantentrennung: Zugriff nur auf Daten des eigenen Kundenkontos; Zählteams nur auf die eigene Wahl.
- Passwörter werden ausschließlich als Hash gespeichert; optionale Zwei-Faktor-Authentifizierung.
- Begrenzung von Anmeldeversuchen; zeitlich begrenzte Sitzungen.
- Protokollierung administrativer Aktionen (Audit-Log).
- Regelmäßige Datensicherungen auf dem Server, Aufbewahrung der Sicherungen 30 Tage; die Sicherungen liegen in einem nur für Administratoren zugänglichen Verzeichnis des Servers.
- Physische Zutritts- und Zugangskontrolle im Rechenzentrum gemäß den Maßnahmen des Hosters (Hetzner Online GmbH, zertifiziert nach ISO/IEC 27001).
§ 6 Unterauftragsverarbeiter
- Der Verantwortliche erteilt die allgemeine Genehmigung zum Einsatz der folgenden Unterauftragsverarbeiter (Art. 28 Abs. 2 DSGVO):
| Unternehmen | Leistung | Ort der Verarbeitung |
|---|---|---|
| Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen | Hosting von Anwendung, Datenbank und Sicherungen | Deutschland |
| Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen | Versand von System-E-Mails (z. B. Passwort zurücksetzen, Fristen-Erinnerungen) an Nutzer des Kundenkontos | Deutschland |
- Nicht als Unterauftragsverarbeiter für Wahldaten tätig sind: Stripe (verarbeitet nur Bestell- und Zahlungsdaten im Rahmen der Vertragsabwicklung, siehe Datenschutzerklärung) sowie Google Analytics und Google Ads (nur auf den öffentlichen Webseiten nach Einwilligung, nicht im Anwendungsbereich).
- Über beabsichtigte Änderungen informiert der Auftragsverarbeiter den Verantwortlichen vorab per E-Mail; der Verantwortliche kann binnen 14 Tagen aus wichtigem datenschutzrechtlichem Grund widersprechen.
- Der Auftragsverarbeiter verpflichtet Unterauftragsverarbeiter vertraglich auf ein gleichwertiges Schutzniveau.
§ 7 Unterstützung des Verantwortlichen
- Der Auftragsverarbeiter unterstützt den Verantwortlichen mit geeigneten Maßnahmen bei der Beantwortung von Anträgen betroffener Personen (Art. 12–22 DSGVO) sowie bei den Pflichten nach Art. 32–36 DSGVO.
- Verletzungen des Schutzes personenbezogener Daten meldet der Auftragsverarbeiter dem Verantwortlichen unverzüglich nach Kenntnis.
- Der Auftragsverarbeiter stellt dem Verantwortlichen die zum Nachweis der Einhaltung dieses Vertrags erforderlichen Informationen zur Verfügung und ermöglicht Überprüfungen nach vorheriger Abstimmung (Art. 28 Abs. 3 lit. h DSGVO).
§ 8 Rückgabe und Löschung
- Der Verantwortliche kann jede Wahl in der Software selbst exportieren und anschließend endgültig löschen sowie das gesamte Kundenkonto löschen. Damit werden die Wahldaten, Nutzerkonten und Audit-Log-Einträge des Kontos aus der Datenbank entfernt.
- Aus Datensicherungen werden gelöschte Daten mit Ablauf der Aufbewahrungsdauer der Sicherungen von 30 Tagen entfernt.
- Die Pflicht zur Aufbewahrung der Wahlakten (z. B. § 19 WO, § 16 SchwbVWO) trifft das jeweilige Gremium; der Verantwortliche sorgt vor der Löschung für einen Export, soweit er die Daten weiter benötigt.
- Bestell- und Rechnungsdaten unterliegen nicht diesem Vertrag und werden nach den gesetzlichen Aufbewahrungsfristen gelöscht.
§ 9 Schlussbestimmungen
Bei Widersprüchen zwischen diesem Vertrag und anderen Vereinbarungen geht dieser Vertrag in Fragen des Datenschutzes vor. Im Übrigen gelten die AGB.