Vertrag zur Auftragsverarbeitung

§ 1 Gegenstand und Dauer

1. Der Auftragsverarbeiter betreibt für den Kunden die Software PhytAI und verarbeitet dabei personenbezogene Daten, die der Kunde in seiner Organisation erfasst oder erfassen lässt.
2. Die Dauer entspricht der Laufzeit des Nutzungsvertrags. Nach dessen Ende gilt § 9.
3. Dieser Vertrag begründet keine gemeinsame Verantwortlichkeit nach Art. 26 DSGVO.

§ 2 Art, Zweck und Umfang der Verarbeitung

1. Zweck ist das Führen der betrieblichen Aufzeichnungen des Kunden (Pflanzenschutz, Düngung, Flächen, Kulturen, Arbeitsgänge, Nachweise, Lager, Ernte, Beobachtungen) samt Auswertung, Export und Zusammenarbeit im Team.
2. Verarbeitet werden Erheben, Speichern, Anzeigen, Auswerten, Exportieren, Übermitteln an die vom Kunden veranlassten Empfänger, Sichern und Löschen der Daten. Eine Nutzung für eigene Zwecke des Auftragsverarbeiters findet nicht statt; Absatz 3 bleibt unberührt.
3. Training von Modellen: Auf gesonderte, jederzeit widerrufliche Weisung des Kunden in Textform anonymisiert der Auftragsverarbeiter bestimmte Fotos oder Aufzeichnungen der Organisation für das Training seiner Modelle. Die Anonymisierung entfernt Aufnahmezeit, Standort, handelnde Person und jeden Bezug zur Organisation; Material, dessen Personenbezug nicht entfernt werden kann, wird nicht verwendet. Das anonymisierte Ergebnis ist kein personenbezogenes Datum mehr; für seine weitere Nutzung ist der Auftragsverarbeiter eigener Verantwortlicher, und dieser Vertrag gilt dafür nicht. Die Anonymisierung selbst erfolgt im Auftrag des Kunden nach diesem Vertrag. Ohne Weisung nach Satz 1 findet kein Training mit Daten der Organisation statt.

§ 3 Betroffene Personen und Datenarten

• Betroffene: Mitarbeitende und Mitglieder des Kunden mit Zugang zu PhytAI; vom Kunden eingetragene Anwender, Berater, Lieferanten, Abnehmer und Kontaktpersonen; Lohnunternehmen und deren Mitarbeitende, die über einen Auftragslink eine durchgeführte Maßnahme zurückmelden.
• Datenarten: Name, geschäftliche E-Mail-Adresse, Rolle, Zeitpunkte und Inhalte von Aufzeichnungen und Änderungen (Auditprotokoll), Unterschriften, Fotos und Dateien, vom Kunden erfasste Freitexte, Koordinaten von Standorten und Flächen, Gerätestandort bei Freigabe, Gerätekennung bei eingeschalteten Benachrichtigungen.
• Der Kunde verpflichtet sich, keine Daten besonderer Kategorien nach Art. 9 DSGVO in PhytAI zu erfassen oder erfassen zu lassen. Die Software ist dafür nicht ausgelegt und sieht keine entsprechenden Felder vor; Freitextfelder, Notizen und Fotos kann der Auftragsverarbeiter nicht darauf prüfen.

§ 4 Weisungen

1. Der Auftragsverarbeiter verarbeitet Daten nur auf dokumentierte Weisung des Kunden. Weisungen sind der Nutzungsvertrag, dieser Vertrag und die Bedienung der Software durch den Kunden (etwa Export, Einladung, Löschung).
2. Weitere Weisungen erteilt der Kunde in Textform an legal@cannai.io. Weisungsberechtigt auf Seiten des Kunden sind die Personen mit der Rolle „Inhaber“ oder „Betriebsleitung“ in seiner Organisation; weisungsempfangend auf Seiten des Auftragsverarbeiters ist dessen Geschäftsführung. Jede Partei kann der anderen weitere Personen in Textform benennen.
3. Hält der Auftragsverarbeiter eine Weisung für rechtswidrig, weist er darauf hin und darf die Ausführung bis zur Bestätigung aussetzen.
4. Verpflichtet Unionsrecht oder das Recht eines Mitgliedstaats den Auftragsverarbeiter zu einer Verarbeitung, teilt er dem Kunden dies vor der Verarbeitung mit, soweit das Recht dies nicht verbietet.

§ 5 Pflichten des Auftragsverarbeiters

1. Er trifft die technischen und organisatorischen Maßnahmen nach Anlage 2 und passt sie an den Stand der Technik an, ohne das Schutzniveau zu senken.
2. Er verpflichtet die mit der Verarbeitung befassten Personen auf die Vertraulichkeit und auf das Datengeheimnis; die Verpflichtung gilt über das Ende ihrer Tätigkeit hinaus fort. Er beschränkt den Zugriff auf Kundendaten auf das für Betrieb, Support und Fehlerbehebung Erforderliche. Eingriffe des Auftragsverarbeiters, die Daten der Organisation verändern, werden im Auditprotokoll der Organisation festgehalten.
3. Er führt ein Verzeichnis aller Kategorien von Verarbeitungstätigkeiten nach Art. 30 Abs. 2 DSGVO.
4. Er unterstützt den Kunden bei der Beantwortung von Anfragen betroffener Personen (Art. 12 bis 22 DSGVO), bei Datenschutz-Folgenabschätzungen und bei der Zusammenarbeit mit Aufsichtsbehörden. Berichtigung, Export und Löschung für seine Organisation kann der Kunde in der Software selbst ausführen; für eine Auskunft nach Art. 15 DSGVO liefert der vollständige Export die Grundlage. Unterstützung, die über das gesetzlich Geschuldete hinausgeht, erbringt der Auftragsverarbeiter nach vorheriger Abstimmung gegen Erstattung des angemessenen Aufwands.
5. Er meldet dem Kunden eine Verletzung des Schutzes personenbezogener Daten unverzüglich, spätestens 24 Stunden nach Kenntnis, mit den Angaben nach Art. 33 Abs. 3 DSGVO, soweit sie zu diesem Zeitpunkt vorliegen, und ergänzt sie fortlaufend. Die Frist ist so bemessen, dass dem Kunden von seinen 72 Stunden nach Art. 33 Abs. 1 DSGVO genug Zeit für Bewertung und eigene Meldung bleibt.
6. Er benennt eine Kontaktstelle für Datenschutzfragen: privacy@cannai.io. Ein Datenschutzbeauftragter ist nicht zu bestellen (§ 38 Abs. 1 BDSG) und nicht bestellt.

§ 6 Unterauftragsverarbeiter

1. Der Kunde genehmigt die Unterauftragsverarbeiter in Anlage 1.
2. Der Auftragsverarbeiter informiert den Kunden mindestens vier Wochen vor dem Hinzufügen oder Ersetzen eines Unterauftragsverarbeiters in der Software oder per E-Mail. Der Kunde kann aus wichtigem datenschutzrechtlichem Grund widersprechen; kommt keine Einigung zustande, kann jede Partei den Nutzungsvertrag zum Wirksamwerden der Änderung kündigen.
3. Mit jedem Unterauftragsverarbeiter besteht ein Vertrag, der ihm dieselben Datenschutzpflichten auferlegt wie dieser Vertrag.
4. Kommt ein Unterauftragsverarbeiter seinen Datenschutzpflichten nicht nach, haftet der Auftragsverarbeiter gegenüber dem Kunden für dessen Pflichten wie für eigenes Handeln (Art. 28 Abs. 4 Satz 2 DSGVO).

§ 7 Verarbeitung außerhalb des EWR

Die Betriebsdaten der Organisation werden in der Europäischen Union gespeichert und verarbeitet. Bei den in Anlage 1 mit Drittlandbezug bezeichneten Unterauftragsverarbeitern — Zahlungsabwicklung, vorgeschalteter Proxy für die Website und Push-Benachrichtigungen — kann es zu einer Übermittlung in die Vereinigten Staaten kommen. Sie erfolgt auf Grundlage des Angemessenheitsbeschlusses der Europäischen Kommission zum EU-US Data Privacy Framework, ergänzend auf Grundlage von Standardvertragsklauseln nach Art. 46 Abs. 2 lit. c DSGVO. Anlage 1 weist für jeden Unterauftragsverarbeiter den Ort der Verarbeitung und die Grundlage aus. Eine Koordinatenabfrage außerhalb der Union findet nicht mehr statt (Anlage 1, Absatz zur Standortprüfung).

§ 8 Nachweise und Kontrollen

1. Der Auftragsverarbeiter stellt dem Kunden auf Anfrage die Informationen zur Verfügung, die zum Nachweis der Einhaltung dieses Vertrags erforderlich sind, insbesondere die aktuelle Anlage 2, Prüf- und Testberichte sowie Zertifikate der Unterauftragsverarbeiter.
2. Der Nachweis erfolgt vorrangig durch die Unterlagen nach Absatz 1. Prüffragebögen des Kunden beantwortet der Auftragsverarbeiter im Rahmen des Zumutbaren, soweit die Unterlagen die Fragen nicht bereits beantworten.
3. Eine Kontrolle in den Räumen oder Systemen des Auftragsverarbeiters kann der Kunde verlangen, wenn die Unterlagen nach Absatz 1 und 2 zum Nachweis nicht ausreichen oder ein konkreter Anlass besteht, insbesondere eine Verletzung des Schutzes personenbezogener Daten oder eine Anordnung der Aufsichtsbehörde. Sie erfolgt nach Ankündigung mit einer Frist von zwei Wochen, während der Geschäftszeiten, höchstens einmal im Kalenderjahr, durch den Kunden selbst oder durch einen zur Verschwiegenheit verpflichteten und nicht mit dem Auftragsverarbeiter im Wettbewerb stehenden Prüfer, und ohne den Betrieb für andere Kunden zu beeinträchtigen.
4. Eine Kontrolle nach Absatz 3 vergütet der Kunde nach Aufwand, es sei denn, sie stellt eine Pflichtverletzung des Auftragsverarbeiters fest. Weitergehende Rechte des Kunden nach Art. 28 Abs. 3 lit. h DSGVO bleiben unberührt.

§ 9 Löschung und Rückgabe

1. Der Kunde kann seine Daten jederzeit exportieren. Umfang, Formate und technische Grenzen des Exports ergeben sich aus § 7 Abs. 3 und 4 der Allgemeinen Geschäftsbedingungen; erreicht ein Export eine dieser Grenzen, stellt der Auftragsverarbeiter dem Kunden die betroffenen Daten auf Anfrage in anderer Form bereit.
2. Nach Ende des Nutzungsvertrags oder auf Weisung löscht der Auftragsverarbeiter alle personenbezogenen Daten der Organisation oder gibt sie zurück; der Kunde wählt zwischen Löschung und Rückgabe und teilt seine Wahl bis zum Ende des Nutzungsvertrags mit. Ohne Mitteilung löscht der Auftragsverarbeiter nach einer Frist von 30 Tagen, in der der Kunde den Export nachholen kann. Verlangt der Kunde die Rückgabe, erfolgt sie nach Absatz 1; die Löschung erfolgt erst danach. Sicherungskopien auf dem Server werden nach 14 Tagen gelöscht; die verschlüsselte Kopie am zweiten Standort hält die Stände der letzten 7 Tage vor. Gelöschte Daten bleiben damit höchstens 21 Tage in Sicherungen enthalten; sie werden nicht wiederhergestellt: Nach einer Wiederherstellung führt der Auftragsverarbeiter die seit dem Sicherungsstand erfolgten Löschungen erneut aus. Die Löschung wird auf Anfrage bestätigt.
3. Gesetzliche Aufbewahrungspflichten des Auftragsverarbeiters für Vertrags- und Abrechnungsdaten bleiben unberührt; sie betreffen keine Betriebsdaten der Organisation.

§ 10 Haftung und Schlussbestimmungen

1. Für die Haftung gelten Art. 82 DSGVO und § 9 der Allgemeinen Geschäftsbedingungen.
2. Änderungen dieses Vertrags bedürfen der Textform. Bei Widersprüchen zwischen diesem Vertrag und dem Nutzungsvertrag geht dieser Vertrag in Fragen des Datenschutzes vor.
3. Es gilt deutsches Recht; Gerichtsstand ist Kiel, sofern der Kunde Kaufmann ist.

Anlage 1: Unterauftragsverarbeiter

Anwendung, Datenbank und Dateien laufen auf einem virtuellen Server (KVM), den der Auftragsverarbeiter bei der netcup GmbH gemietet hat, im Rechenzentrum Nürnberg, Deutschland. Hosting-Unterauftragsverarbeiter für die Betriebsdaten ist damit die netcup GmbH (Tabelle unten); die Maßnahmen im Rechenzentrum stehen in Anlage 2.

Die netcup GmbH gehört zur Anexia-Unternehmensgruppe und setzt nach Anhang 2 ihres Vertrags zur Auftragsverarbeitung folgende eigene Unterauftragsverarbeiter ein: ANX Holding GmbH und Anexia Cloud Solutions GmbH (vormals ANEXIA Internetdienstleistungs GmbH), beide Feldkirchner Straße 140, 9020 Klagenfurt, Österreich (Unterstützungsleistungen, Infrastruktur und Personal im Rechenzentrumsumfeld), sowie die ANEXIA Deutschland GmbH, Emmy-Noether-Straße 10, 76131 Karlsruhe. Die Verarbeitung findet damit in Deutschland und Österreich statt, also ausschließlich in der Europäischen Union; eine Übermittlung in ein Drittland ist damit nicht verbunden. Die netcup GmbH und die Anexia Cloud Solutions GmbH sind nach ISO/IEC 27001:2022 zertifiziert (Einzelheiten in Anlage 2); die Zertifikate stellt der Auftragsverarbeiter auf Anfrage nach § 8 Abs. 1 zur Verfügung.

Die folgenden Stellen erhalten keine Aufzeichnungen, Konten oder Namen aus der Organisation, sondern ausschließlich Koordinaten und Zeiträume oder — beim Laden von Kartenkacheln unmittelbar durch den Browser — die IP-Adresse des Endgeräts, wie in der Datenschutzerklärung beschrieben. Sie erhalten dabei keine Angabe, zu welchem Betrieb oder zu welcher Person eine Koordinate gehört. Bei einem Einzelunternehmen kann eine Flächengeometrie gleichwohl auf den Inhaber rückführbar sein; der Auftragsverarbeiter behandelt die unten genannten Stellen deshalb wie Empfänger im Sinne von Art. 13 Abs. 1 lit. e DSGVO und weist sie in der Datenschutzerklärung aus, führt sie aber nicht als Unterauftragsverarbeiter, weil sie die Daten nicht für den Kunden verarbeiten, sondern eine eigene, öffentlich angebotene Auskunft erteilen. Es sind die Karten- und Luftbilddienste des Bundesamts für Kartographie und Geodäsie, der Vermessungsverwaltungen der dreizehn abgedeckten Bundesländer, von PDOK (Kadaster, Niederlande), des Instituto Geográfico Nacional (Spanien) und der OpenStreetMap Foundation; die OpenStreetMap-Overpass-Schnittstelle; das Copernicus Data Space Ecosystem; das Bundesamt für Naturschutz, die Bundesanstalt für Gewässerkunde und die Landwirtschaftskammer Nordrhein-Westfalen für die Standortprüfung; sowie das Bundesamt für Verbraucherschutz und Lebensmittelsicherheit.

Die frühere Abfrage des Szenenkatalogs „Earth Search“ in den Vereinigten Staaten ist entfallen: Den Vegetationsindex der Standortprüfung entnimmt der Auftragsverarbeiter der Vegetationsauswertung des Betriebs aus dem Copernicus Data Space Ecosystem. Eine Übermittlung in die Vereinigten Staaten findet bei der Standortprüfung nicht mehr statt. Eine Änderung der Unterauftragsverarbeiter oder der Verarbeitungsorte teilt er nach § 6 Abs. 2 mit.

Den Modelldienst für den Assistenten betreibt der Auftragsverarbeiter selbst und gibt Fragen an keinen Modellanbieter weiter: das Modell für die Textsuche (Embeddings) auf dem bei der netcup GmbH gemieteten Server, das Sprachmodell auf eigener Hardware in den Geschäftsräumen des Auftragsverarbeiters in Eckernförde, Deutschland, angebunden über eine verschlüsselte VPN-Verbindung (WireGuard). Auf derselben Hardware betreibt er eine eigene Wetterinstanz (Open-Meteo) für Vorhersage und Niederschlag; an den öffentlichen Dienst Open-Meteo gehen keine Koordinaten. Ein eigenes Bildmodell betreibt der Auftragsverarbeiter derzeit nicht; Befunde aus Bildauswertungen liefert der Verantwortliche selbst ein.

Anlage 2: Technische und organisatorische Maßnahmen

Zutritts- und Zugangskontrolle

• Die Betriebsdaten liegen im Rechenzentrum der netcup GmbH (Anlage 1). Zutritt, Bewachung, Brandschutz und Stromversorgung stellt der Betreiber des Rechenzentrums Nürnberg, bei dem die netcup GmbH Fläche angemietet hat (Colocation). Die netcup GmbH ist nach ISO/IEC 27001:2022 zertifiziert (TÜV NORD CERT, Zertifikat-Nr. 44 121 231472, gültig bis 17.11.2027; Geltungsbereich laut Zertifikat: Entwicklung, Vermarktung, Verkauf, Bereitstellung und Betrieb von Services und Lösungen in den Bereichen Webhosting, virtuelle Server, Domains, SSL-Zertifikate, Groupware, Software und Managed Hosting); die Anexia Cloud Solutions GmbH hält ein eigenes Zertifikat nach ISO/IEC 27001:2022 (Nr. 44 121 121845, gültig bis 01.11.2027). Der Auftragsverarbeiter hat keinen physischen Zutritt; er verwaltet den virtuellen Server ausschließlich über verschlüsselte Fernzugänge.
• Die eigene Hardware des Auftragsverarbeiters in seinen Geschäftsräumen in Eckernförde (Sprachmodell des Assistenten, Wetterinstanz, zweite Sicherungskopie) ist nicht öffentlich erreichbar; der gemietete Server greift ausschließlich über eine verschlüsselte VPN-Verbindung (WireGuard) darauf zu. Die Sicherungskopie dort ist mit restic verschlüsselt; der Schlüssel liegt nicht auf dieser Hardware. Der Modelldienst speichert Fragen und Antworten nicht.
• Administrativer Zugang nur über personengebundene Schlüssel; Geheimnisse (Datenbank-, Signatur-, Zahlungs- und Mail-Zugänge) liegen in einem zentralen Secret-Manager und nicht im Quellcode. Ein automatischer Scan verhindert das Einchecken von Geheimnissen.
• Anmeldung der Nutzer mit Passwortrichtlinie (mindestens 12 Zeichen, Groß- und Kleinbuchstabe und Zahl), Passwörter nur als Hash gespeichert, höchstens 10 fehlgeschlagene Anmeldungen je Konto und Stunde, E-Mail-Bestätigung, begrenzte Wiederherstellungscodes, Sitzungen mit Höchstdauer und Verfall bei Untätigkeit.

Zugriffskontrolle und Trennung

• Jedes Datenobjekt trägt die Organisation; jeder Lese- und Schreibzugriff prüft serverseitig die Mitgliedschaft und die Rolle (Inhaber, Betriebsleitung, Fachberatung, Feldteam, Leseberechtigt). Strukturänderungen und Rollen sind Inhabern und Betriebsleitung vorbehalten.
• Die Trennung wird serverseitig erzwungen und nicht der Oberfläche überlassen: Eine Anfrage ohne Mitgliedschaft in der Organisation wird abgewiesen, als gäbe es das Datenobjekt nicht.
• Maschinenschlüssel je Organisation mit einer einzigen Berechtigung, gespeichert als Hash, widerrufbar, Nutzung protokolliert.
• Der Auftragslink für Lohnunternehmen ist die einzige Berechtigung der zugehörigen Seite, gilt nur für einen Auftrag und wird nicht an Dritte weitergegeben; die Seite ist von der Indexierung ausgenommen und gibt keine Verweisadresse weiter.

Übertragung und Speicherung

• Alle Verbindungen zwischen Browser, Anwendung und Datenbank sind mit TLS verschlüsselt; Dateien sind an ihren Betrieb gebunden und werden über nicht erratbare Adressen ausgegeben, die erst nach Prüfung der Mitgliedschaft herausgegeben werden; das Export-Archiv wird nach 24 Stunden gelöscht.
• Offline-Daten auf dem Gerät (Entwürfe, Lesestand) sind mit AES-GCM (256 Bit) unter einem nicht exportierbaren Schlüssel je Organisation und Person verschlüsselt. Der Lesestand wird beim Abmelden entfernt; noch nicht übertragene Entwürfe bleiben verschlüsselt auf dem Gerät, bis sie übertragen oder verworfen werden, damit im Feld erfasste Aufzeichnungen nicht verloren gehen.
• Gerätekennungen für Benachrichtigungen werden verschlüsselt gespeichert und beim Abmelden und beim Löschen des Kontos entfernt.
• Den Modelldienst für den Assistenten betreibt der Auftragsverarbeiter selbst in Deutschland (Anlage 1), ein eigenes Bildmodell derzeit nicht; der Assistent beantwortet Fragen ausschließlich aus dem Handbuch und erhält keine Betriebsdaten. Ein Training mit Daten der Organisation findet nur auf gesonderte Weisung nach § 2 Abs. 3 und nur mit anonymisiertem Material statt.

Eingabekontrolle

• Jede Änderung an Aufzeichnungen, Rollen, Nachweisen und Einstellungen wird im Auditprotokoll der Organisation mit Zeitpunkt und handelnder Person festgehalten; abgeschlossene Pflanzenschutz- und Düngeaufzeichnungen werden nicht überschrieben, sondern durch Korrekturen mit Verweis ergänzt.
• Offline erfasste Aktionen tragen Idempotenzschlüssel und Versionsstände, damit keine neuere Serverfassung unbemerkt überschrieben wird.

Verfügbarkeit und Belastbarkeit

• Die Verfügbarkeit der Daten und der Zugang zu ihnen lassen sich nach einem Zwischenfall rasch wiederherstellen (Art. 32 Abs. 1 lit. c DSGVO); dafür werden Datenbank und Dateien täglich gesichert und die Sicherungen 14 Tage aufbewahrt. Die Sicherungsdateien auf dem Server sind nur für Administratoren lesbar (Dateirechte 0600). Eine weitere, mit restic verschlüsselte Kopie liegt an einem zweiten Standort, auf eigener Hardware in den Geschäftsräumen des Auftragsverarbeiters in Eckernförde, getrennt vom Rechenzentrum; sie hält die Stände der letzten 7 Tage vor.
• Getrennte Umgebungen für Entwicklung und Produktion mit eigenen Schlüsseln und eigenen Netzen; unveränderliche Container-Images mit Rückrollmöglichkeit; Gesundheitsprüfung der Hintergrundjobs.
• Vorgeschalteter Schutz gegen Missbrauch (Begrenzung von Registrierungen und Anfragen je IP) am Übergabepunkt des Hostings.

Verfahren zur Überprüfung

• Änderungen durchlaufen vor der Auslieferung eine automatisierte Prüfung: Typprüfung, statische Analyse, Abhängigkeiten auf bekannte Schwachstellen und Tests.
• Grundablauf bei Vorfällen: eindämmen, betroffene Organisationen bestimmen, Schlüssel widerrufen, Beweise sichern, Ursache schließen, wiederherstellen, informieren.
• Die Wirksamkeit dieser Maßnahmen wird regelmäßig überprüft und bewertet (Art. 32 Abs. 1 lit. d DSGVO). Den Stand dieser Anlage nennt das Datum am Kopf des Dokuments.