Auftragsverarbeitungsvertrag

Dies ist eine Übersetzung. Verbindlich ist allein der niederländische Text.

Zuletzt aktualisiert: 18. Oktober 2026. Dieser Vertrag ist Bestandteil der Allgemeinen Geschäftsbedingungen.

Überblick

Parteien

1. Der Kunde, das Unternehmen, das den Vertrag über Servaro geschlossen hat, nachfolgend „Verantwortlicher“ oder „Kunde“.
2. Netwerkplek IT B.V., handelnd unter dem Namen Servaro, mit Sitz in Veersedijk 59, 3341 LL Hendrik-Ido-Ambacht, Niederlande, KvK 85523968, nachfolgend „Auftragsverarbeiter“ oder „Servaro“.

Warum dieser Vertrag

A. Der Kunde nutzt Servaro, um seine Arbeit zu planen und auszuführen, etwa Wartung, Service und Prüfungen.

B. Dabei verarbeitet Servaro personenbezogene Daten für den Kunden. Der Kunde bestimmt Zwecke und Mittel. Der Kunde ist daher Verantwortlicher und Servaro Auftragsverarbeiter im Sinne der Datenschutz-Grundverordnung (DSGVO).

C. Die DSGVO (Artikel 28) verpflichtet die Parteien, hierzu Vereinbarungen zu treffen. Diese Vereinbarungen sind in diesem Vertrag festgehalten.

Artikel 1. Begriffe

1.1 Begriffe wie personenbezogene Daten, Verarbeitung, betroffene Person, Verantwortlicher, Auftragsverarbeiter, Unterauftragsverarbeiter und Verletzung des Schutzes personenbezogener Daten (Datenpanne) haben die Bedeutung, die ihnen die DSGVO gibt.

1.2 Hauptvertrag: der Vertrag zwischen dem Kunden und Servaro über die Nutzung von Servaro, einschließlich der Allgemeinen Geschäftsbedingungen von Servaro.

1.3 Kundendaten: wie in den Allgemeinen Geschäftsbedingungen definiert.

1.4 Werktag: Montag bis Freitag, ausgenommen niederländische Feiertage.

Artikel 2. Gegenstand und Laufzeit

2.1 Dieser Vertrag betrifft die personenbezogenen Daten, die Servaro bei der Erbringung des Dienstes für den Kunden verarbeitet. Anlage 1 legt fest, welche Daten, über wen, zu welchem Zweck und wie lange.

2.2 Dieser Vertrag ist Bestandteil des Hauptvertrags. Er beginnt und endet zum selben Zeitpunkt, auch während einer Testphase. Artikel, die ihrer Natur nach fortgelten, etwa Artikel 4 (Vertraulichkeit) und Artikel 13 (Vertragsende), bleiben nach dem Ende in Kraft.

2.3 Regeln dieser Vertrag und der Hauptvertrag etwas Unterschiedliches über personenbezogene Daten, geht dieser Vertrag vor.

Artikel 3. Weisungen des Kunden

3.1 Servaro verarbeitet die personenbezogenen Daten nur auf dokumentierte Weisung des Kunden. Der Kunde erteilt seine Weisungen über den Hauptvertrag, diesen Vertrag und die Art, wie er den Dienst einrichtet und nutzt.

3.2 Servaro nutzt die personenbezogenen Daten nicht für eigene Zwecke. Servaro nutzt sie auch nicht zum Trainieren von KI-Modellen.

3.3 Ist Servaro gesetzlich verpflichtet, etwas anderes mit den Daten zu tun, informiert Servaro den Kunden vorab, sofern das Gesetz dies nicht verbietet.

3.4 Ist Servaro der Auffassung, dass eine Weisung gegen die DSGVO oder ein anderes Datenschutzgesetz verstößt, informiert Servaro den Kunden unverzüglich. Servaro muss diese Weisung dann nicht ausführen, bis der Kunde sie geändert oder bestätigt hat.

3.5 Der Kunde ist dafür verantwortlich, dass er die personenbezogenen Daten auf einer gültigen Rechtsgrundlage verarbeiten darf und die betroffenen Personen ordnungsgemäß informiert. Das gilt auch für die Standortfunktion (GPS), die der Kunde nur einschaltet, wenn er dies darf.

3.6 Der Kunde gibt keine besonderen Kategorien personenbezogener Daten, keine Daten über strafrechtliche Verurteilungen und keine nationalen Identifikationsnummern (etwa die niederländische BSN) in den Dienst ein. Bemerkt Servaro, dass dies dennoch geschieht, informiert Servaro den Kunden. Der Kunde entfernt diese Daten dann.

3.7 KI-Funktionen machen nur Vorschläge. Ein Nutzer auf Seiten des Kunden prüft und genehmigt einen Vorschlag, bevor er gespeichert oder versendet wird. Die KI-Funktionen treffen keine Entscheidungen über Personen.

Artikel 4. Vertraulichkeit

4.1 Servaro behandelt die personenbezogenen Daten vertraulich.

4.2 Nur Mitarbeiter von Servaro, die die Daten für ihre Arbeit benötigen, erhalten Zugriff. Sie sind in ihrem Arbeits- oder Dienstvertrag zur Verschwiegenheit verpflichtet oder haben eine Vertraulichkeitserklärung unterzeichnet.

4.3 Servaro sieht Kundendaten nur ein, wenn dies für Support auf Wunsch des Kunden, zur Behebung einer Störung oder aus Sicherheitsgründen nötig ist. Servaro protokolliert einen solchen Zugriff im Audit-Log.

Artikel 5. Sicherheit

5.1 Servaro trifft geeignete technische und organisatorische Maßnahmen zum Schutz der personenbezogenen Daten, wie Artikel 32 DSGVO es verlangt. Diese Maßnahmen sind in Anlage 2 beschrieben.

5.2 Servaro berücksichtigt dabei den Stand der Technik, die Kosten, die Art der Daten und die Risiken für die betroffenen Personen.

5.3 Servaro darf die Maßnahmen ändern, das Sicherheitsniveau darf dabei jedoch nicht sinken.

5.4 Servaro prüft regelmäßig, ob die Maßnahmen noch gut wirken, und passt sie bei Bedarf an.

5.5 Keine Sicherheit ist perfekt. Servaro garantiert nicht, dass nie etwas schiefgeht, tut aber, was vernünftigerweise möglich ist.

5.6 Der Kunde ist für die Sicherheit auf seiner eigenen Seite verantwortlich, etwa für die Geräte seiner Nutzer, die Verwaltung von Konten und Berechtigungen und die Geheimhaltung von Zugangsdaten.

Artikel 6. Unterauftragsverarbeiter

6.1 Der Kunde erteilt Servaro eine allgemeine Genehmigung, Unterauftragsverarbeiter einzusetzen. Die Unterauftragsverarbeiter, die Servaro derzeit einsetzt, sind in Anlage 3 aufgeführt.

6.2 Servaro erlegt jedem Unterauftragsverarbeiter schriftlich mindestens dieselben Datenschutzpflichten auf wie in diesem Vertrag.

6.3 Will Servaro einen Unterauftragsverarbeiter hinzufügen oder ersetzen, informiert Servaro den Ansprechpartner des Kunden mindestens 30 Tage im Voraus per E-Mail. Servaro veröffentlicht die neue Liste außerdem unter servaro.nl/subverwerkers.

6.4 Innerhalb dieser 30 Tage kann der Kunde aus Gründen des Datenschutzes oder der Sicherheit schriftlich widersprechen. Servaro und der Kunde suchen dann gemeinsam nach einer Lösung. Gelingt das nicht, kann der Kunde den Hauptvertrag kostenlos zu dem Datum kündigen, an dem der neue Unterauftragsverarbeiter seine Tätigkeit aufnimmt.

6.5 Muss Servaro einen Unterauftragsverarbeiter kurzfristig ersetzen, etwa wegen Insolvenz oder eines ernsten Sicherheitsproblems, darf Servaro die Frist von 30 Tagen verkürzen. Servaro informiert dann so schnell wie möglich, und der Kunde behält sein Recht aus Artikel 6.4.

6.6 Servaro bleibt gegenüber dem Kunden für seine Unterauftragsverarbeiter verantwortlich.

6.7 Dienste, die der Kunde selbst auswählt und bezieht, etwa die Anmeldung über Microsoft Entra ID, sind keine Unterauftragsverarbeiter von Servaro. Der Kunde trifft dazu eigene Vereinbarungen mit diesem Anbieter.

Artikel 7. Ort der Verarbeitung

7.1 Servaro verarbeitet und speichert die personenbezogenen Daten auf eigenen Servern in den Niederlanden.

7.2 Servaro übermittelt keine personenbezogenen Daten in Länder außerhalb des Europäischen Wirtschaftsraums (EWR), es sei denn, der Kunde stimmt vorab schriftlich zu und die DSGVO erlaubt es.

7.3 Einige Unterauftragsverarbeiter gehören zu einem Unternehmen außerhalb des EWR, auch wenn die Verarbeitung in der EU stattfindet. Anlage 3 nennt für jeden Unterauftragsverarbeiter die Garantien.

Artikel 8. KI-Verarbeitung

8.1 Für KI-Funktionen sendet Servaro nur die für den Vorschlag nötigen Daten, etwa eine Sprachaufnahme oder den Text eines Serviceberichts.

8.2 Servaro nutzt nur KI-Dienste, bei denen die Verarbeitung in der EU stattfindet und der Anbieter die Daten nicht zum Trainieren von Modellen verwendet.

8.3 Der Kunde kann die KI-Funktionen in den Einstellungen für seine gesamte Umgebung abschalten. Es werden dann keine Daten an KI-Anbieter gesendet.

Artikel 9. Rechte der betroffenen Personen

9.1 Eine betroffene Person kann beim Kunden Auskunft, Berichtigung, Löschung, Einschränkung oder Datenübertragbarkeit verlangen oder Widerspruch einlegen. Der Kunde bearbeitet solche Anfragen.

9.2 Die meisten Anfragen kann der Kunde selbst im Dienst erledigen, etwa durch Ändern, Löschen oder Exportieren von Daten.

9.3 Kann der Kunde eine Anfrage nicht selbst erledigen, hilft Servaro in angemessenem Umfang.

9.4 Erhält Servaro selbst eine Anfrage einer betroffenen Person, leitet Servaro sie innerhalb von 2 Werktagen an den Kunden weiter. Servaro antwortet nicht selbst inhaltlich, es sei denn, der Kunde bittet darum.

Artikel 10. Unterstützung bei Sicherheit, DSFA und Aufsichtsbehörde

10.1 Servaro unterstützt den Kunden bei der Erfüllung seiner Pflichten aus den Artikeln 32 bis 36 DSGVO, etwa mit Informationen für eine Datenschutz-Folgenabschätzung (DSFA) oder wenn der Kunde die niederländische Datenschutzbehörde (Autoriteit Persoonsgegevens) vorab konsultieren muss.

10.2 Übliche Informationen über den Dienst und seine Sicherheit stellt Servaro kostenlos bereit. Dauert die Unterstützung mehr als 1 Stunde pro Kalenderjahr, darf Servaro die zusätzliche Zeit nach vorherigem Angebot zum üblichen Stundensatz berechnen.

10.3 Fällt der Kunde unter das niederländische Cybersicherheitsgesetz (Cyberbeveiligingswet), stellt Servaro auf Anfrage angemessene Informationen über die Sicherheit der Lieferkette bereit. Artikel 10.2 gilt dann ebenfalls.

Artikel 11. Datenpannen

11.1 Entdeckt Servaro eine Datenpanne, die personenbezogene Daten des Kunden betrifft, meldet Servaro dies dem Kunden unverzüglich, spätestens 24 Stunden nachdem Servaro die Panne entdeckt hat.

11.2 Servaro meldet dies per E-Mail und Telefon an den Ansprechpartner, den der Kunde dafür benannt hat. Hat der Kunde niemanden benannt, geht die Meldung an den Kontoadministrator.

11.3 In der Meldung gibt Servaro an, was zu diesem Zeitpunkt bekannt ist:

• was passiert ist und wann;
• welche Arten von Daten und betroffenen Personen betroffen sind und ungefähr wie viele;
• welche Folgen wahrscheinlich sind;
• was Servaro unternommen hat und unternehmen wird, um die Panne zu stoppen und den Schaden zu begrenzen;
• wen der Kunde für weitere Informationen anrufen kann.

11.4 Weiß Servaro noch nicht alles, liefert Servaro die übrigen Informationen nach, sobald sie vorliegen.

11.5 Der Kunde entscheidet, ob er die Datenpanne der niederländischen Datenschutzbehörde und den betroffenen Personen meldet. Der Kunde muss innerhalb von 72 Stunden an die Aufsichtsbehörde melden. Servaro unterstützt ihn dabei. Servaro meldet nicht im Namen des Kunden, es sei denn, der Kunde bittet schriftlich darum.

11.6 Servaro führt ein Verzeichnis aller Datenpannen mit den Fakten, Folgen und ergriffenen Maßnahmen.

11.7 Für Unterstützung bei einer Datenpanne, die Servaro oder dessen Unterauftragsverarbeiter verursacht hat, berechnet Servaro nichts.

Artikel 12. Kontrolle (Audit)

12.1 Servaro stellt dem Kunden auf Anfrage alle Informationen zur Verfügung, die nötig sind, um nachzuweisen, dass Servaro diesen Vertrag einhält. Servaro kann dies auch mit einem aktuellen Bericht einer unabhängigen Stelle tun, etwa einem Penetrationstest-Bericht oder einem Zertifikat aus den letzten 12 Monaten.

12.2 Reicht das nicht aus, kann der Kunde einmal pro Kalenderjahr ein Audit durch einen unabhängigen, fachkundigen und zur Verschwiegenheit verpflichteten Prüfer durchführen lassen.

12.3 Der Kunde kündigt das Audit mindestens 4 Wochen im Voraus an, mit einem Plan, was geprüft wird. Das Audit findet an Werktagen statt, beeinträchtigt den Dienst so wenig wie möglich und betrifft nur diese Verarbeitung. Der Prüfer sieht keine Daten anderer Kunden.

12.4 Der Kunde trägt die Kosten des Audits, einschließlich der angemessenen Kosten von Servaro. Zeigt das Audit, dass Servaro diesen Vertrag in einem wichtigen Punkt nicht einhält, trägt Servaro die Kosten des Audits und die eigenen Kosten.

12.5 Nach einer Datenpanne oder auf Verlangen der Aufsichtsbehörde kann der Kunde auch über die Grenze von einmal pro Jahr hinaus ein Audit durchführen lassen.

12.6 Der Kunde übergibt Servaro eine Kopie des Auditberichts. Servaro behebt Mängel, die im Audit festgestellt wurden, innerhalb einer angemessenen Frist.

12.7 Der Kunde darf die Systeme von Servaro nicht ohne schriftliche Erlaubnis von Servaro selbst testen, etwa mit einem Penetrationstest.

Artikel 13. Vertragsende: Rückgabe und Löschung

13.1 Der Kunde kann seine Daten jederzeit selbst im CSV- und JSON-Format exportieren, mit den Dateien im Originalformat.

13.2 Nach dem Ende des Hauptvertrags hat der Kunde 30 Tage Zeit, seine Daten zu exportieren (Exportzeitraum), wie in den Allgemeinen Geschäftsbedingungen festgelegt.

13.3 Innerhalb von 30 Tagen nach Ende des Exportzeitraums löscht Servaro die personenbezogenen Daten des Kunden aus den Produktivsystemen. Der Kunde kann auch eine frühere Löschung verlangen.

13.4 Backups werden nicht gesondert bereinigt. Die Daten verschwinden daraus, wenn die Backups im regulären Rhythmus überschrieben werden, spätestens 12 Monate nach der Löschung. Bis dahin bleiben die Backups gesichert und werden nur zur Wiederherstellung des Dienstes verwendet.

13.5 Das Audit-Log ist eine Ausnahme. Auf Weisung des Kunden bewahrt Servaro das Audit-Log mindestens 7 Jahre auf, damit sich später feststellen lässt, wer was getan hat. Das Audit-Log kann nicht verändert werden. Nach 2 Jahren werden IP-Adressen und Gerätedaten im Audit-Log pseudonymisiert. Nach Ablauf der Aufbewahrungsfrist wird das Audit-Log gelöscht.

13.6 Ist Servaro gesetzlich verpflichtet, Daten länger aufzubewahren, tut Servaro dies nur zu diesem Zweck und so kurz wie möglich.

13.7 Auf Anfrage bestätigt Servaro schriftlich, dass die Daten gelöscht wurden.

13.8 Für den Export und die Löschung berechnet Servaro nichts.

Artikel 14. Haftung

14.1 Für die Haftung von Servaro aus diesem Vertrag gelten die Regeln der Allgemeinen Geschäftsbedingungen (Artikel 19).

14.2 Bußgelder, die die niederländische Datenschutzbehörde gegen den Kunden verhängt, kann der Kunde nicht bei Servaro geltend machen, es sei denn, das Bußgeld beruht auf Vorsatz oder bewusster Leichtfertigkeit der Geschäftsleitung oder leitender Angestellter von Servaro.

Artikel 15. Änderungen und Schlussbestimmungen

15.1 Servaro darf diesen Vertrag auf dieselbe Weise ändern wie die Allgemeinen Geschäftsbedingungen: mit einer Ankündigungsfrist von 30 Tagen und einem Kündigungsrecht. Änderungen an Anlage 3 richten sich nach Artikel 6.

15.2 Muss dieser Vertrag aufgrund eines neuen Gesetzes oder einer Entscheidung der Aufsichtsbehörde geändert werden, passen die Parteien ihn gemeinsam an.

15.3 Für diesen Vertrag gilt niederländisches Recht. Streitigkeiten werden vor das Bezirksgericht Rotterdam (rechtbank Rotterdam) gebracht.

Anlage 1. Was Servaro verarbeitet

Zwecke

Servaro verarbeitet personenbezogene Daten ausschließlich, um dem Kunden den Dienst zu erbringen:

• Arbeit planen, Monteure einsetzen und Serviceberichte erstellen;
• Service, Wartung und Prüfungen dokumentieren, mit Fotos, Unterschriften und Ergebnissen;
• die eigenen Kunden des Kunden per E-Mail, SMS und über das Kundenportal informieren;
• Arbeitszeiten erfassen und, wenn der Kunde dies einschaltet, die Standorte der Monteure;
• Firmendaten beim Anlegen eines Kunden nachschlagen;
• Sprache und Text in KI-Vorschläge umwandeln, die ein Mensch genehmigt;
• Anmeldung, Sicherheit und das Audit-Log;
• Support auf Wunsch des Kunden.

Betroffene Personen und Daten

Nicht erlaubt: besondere Kategorien personenbezogener Daten, Daten über strafrechtliche Verurteilungen und nationale Identifikationsnummern (BSN).

Aufbewahrungsfristen

Anlage 2. Sicherheitsmaßnahmen

Zugriff

• Die Zwei-Faktor-Authentifizierung ist für alle Nutzer Pflicht und lässt sich nicht abschalten.
• Rollenbasierter Zugriff: Jeder Nutzer sieht und tut nur, was zu seiner Rolle gehört.
• Mitarbeiter von Servaro haben nur Zugriff, wenn ihre Arbeit es erfordert. Zugriffe auf Kundendaten werden im Audit-Log protokolliert.

Trennung zwischen Kunden

• Jeder Kunde hat eine eigene, abgeschirmte Umgebung in derselben Datenbank.
• Die Datenbank (PostgreSQL) erzwingt diese Trennung selbst mit Row-Level-Security. Die Anwendung verbindet sich mit einem Datenbanknutzer ohne Administratorrechte, der diese Abschirmung nicht umgehen kann.
• Bei jeder Änderung prüfen automatische Tests, dass ein Kunde keine Daten eines anderen Kunden sehen kann.

Verschlüsselung

• Der gesamte Datenverkehr zwischen Nutzern, Apps und Servern ist mit TLS verschlüsselt.

Protokollierung

• Ein Audit-Log hält fest, wer was getan hat. Das Audit-Log kann von Nutzern und der Anwendung weder verändert noch gelöscht werden.
• Server-Logs werden bis zu 14 Tage aufbewahrt.

Backups und Wiederherstellung

• Regelmäßige Backups der Datenbank und der Dateien.
• Die Wiederherstellung auf einen früheren Zeitpunkt ist möglich (Point-in-Time-Recovery).
• Jedes Quartal spielen wir ein Backup in eine separate Testumgebung zurück, um zu prüfen, ob die Wiederherstellung funktioniert.

Uploads

• Hochgeladene Dateien wie Fotos und Anhänge werden auf Viren geprüft.

Entwicklung

• Jede Änderung an der Software durchläuft automatische Sicherheitsprüfungen in der Build-Pipeline (CI), unter anderem auf Geheimnisse im Code und auf bekannte Schwachstellen.
• Jeden Monat läuft ein automatischer Sicherheitsscan, und Servaro lässt jährlich einen externen Penetrationstest durchführen.

Organisation

• Mitarbeiter und externe Kräfte mit Zugriff auf Kundendaten sind zur Verschwiegenheit verpflichtet.
• Servaro hat ein Verfahren für Datenpannen (siehe Artikel 11).
• Die Server stehen in den Niederlanden, bei einem Hostinganbieter mit physischer Sicherung des Rechenzentrums.

Anlage 3. Unterauftragsverarbeiter

Stand: 18. Oktober 2026. Änderungen gemäß Artikel 6. Die aktuelle Liste finden Sie unter servaro.nl/subverwerkers.

Die KI-Anbieter Mistral und Anthropic (über AWS Bedrock) erhalten nur Daten, wenn die KI-Funktionen eingeschaltet sind.

Kein Unterauftragsverarbeiter von Servaro, zur Information

Zustimmung

Dieser Auftragsverarbeitungsvertrag gilt, sobald der Kunde ihm bei der Registrierung oder in der Bestellung zustimmt.