Auftragsverarbeitungsvertrag DiveOpsHub

Dieser Auftragsverarbeitungsvertrag („Auftragsverarbeitungsvertrag“) ist Bestandteil des Vertrags zwischen:

• Verantwortlicher: dem Kunden (Tauchschule, Tauchcenter oder sonstiges Unternehmen), der DiveOpsHub nutzt („Verantwortlicher“); und
• Auftragsverarbeiter: IJsselmuiden Management B.V., handelnd unter dem Namen DiveOpsHub, Noorder Leidsevaart 1, 2182 NA Hillegom („DiveOpsHub“).

Artikel 1 — Begriffe

Begriffe wie personenbezogene Daten, Verarbeitung, betroffene Person, Gesundheitsdaten, Verletzung des Schutzes personenbezogener Daten (Datenpanne), Unterauftragsverarbeiter und Aufsichtsbehörde haben die Bedeutung aus der DSGVO. Sonstige Begriffe haben die Bedeutung aus den Allgemeinen Geschäftsbedingungen von DiveOpsHub.

Artikel 2 — Gegenstand, Art und Zweck

2.1 DiveOpsHub verarbeitet personenbezogene Daten ausschließlich, um den Dienst für den Verantwortlichen zu erbringen, wie in Anlage 1 beschrieben.

2.2 Die Verarbeitung besteht aus dem Erheben (auch über das Kundenportal und die Anmeldeseite), Speichern, Abfragen, Bearbeiten, Übermitteln (E-Mail, Anbindungen), Aufbewahren und Löschen von Daten im Dienst.

2.3 DiveOpsHub verarbeitet die Daten nur auf Grundlage schriftlicher Weisungen des Verantwortlichen. Dieser Auftragsverarbeitungsvertrag, die Einstellungen, die der Verantwortliche im Dienst wählt (wie aktivierte Module und Anbindungen), und die Handlungen seiner Nutzer gelten als solche Weisungen. Ist DiveOpsHub gesetzlich zu einer Verarbeitung verpflichtet, so teilt sie dies vorab mit, sofern das Gesetz dies nicht verbietet.

2.4 DiveOpsHub verarbeitet die Daten nicht für eigene Zwecke und verkauft sie nicht. Anonymisierte, aggregierte Nutzungsdaten, die keinen Rückschluss auf Personen zulassen, fallen nicht hierunter.

Artikel 3 — Laufzeit

3.1 Dieser Auftragsverarbeitungsvertrag gilt, solange DiveOpsHub für den Verantwortlichen personenbezogene Daten verarbeitet, einschließlich der Aufbewahrungsfristen nach Beendigung (Artikel 13).

3.2 Pflichten, die ihrer Natur nach fortbestehen (wie die Geheimhaltung), bleiben nach Beendigung in Kraft.

Artikel 4 — Betroffene Personen und Daten

4.1 Die Kategorien betroffener Personen und personenbezogener Daten, einschließlich besonderer Kategorien personenbezogener Daten (Gesundheit), sind in
Anlage 1 aufgeführt.

4.2 Der Verantwortliche steht dafür ein, dass er für jede Verarbeitung eine gültige Rechtsgrundlage hat, insbesondere für Gesundheitsdaten, Daten Minderjähriger und Kopien von Ausweisdokumenten, und dass er die betroffenen Personen hierüber informiert.

Artikel 5 — Pflichten von DiveOpsHub

5.1 DiveOpsHub verarbeitet die Daten ausschließlich nach den Weisungen des Verantwortlichen.

5.2 Jeder, der im Namen von DiveOpsHub Zugang zu den Daten hat, ist zur Geheimhaltung verpflichtet.

5.3 DiveOpsHub leistet angemessene Unterstützung bei Anträgen betroffener Personen (Artikel 9), der Sicherheit (Artikel 6), Datenpannen (Artikel 7) sowie Datenschutz-Folgenabschätzungen (DSFA) und vorherigen Konsultationen.

5.4 DiveOpsHub teilt mit, wenn eine Weisung ihrer Auffassung nach gegen die DSGVO oder andere Rechtsvorschriften verstößt.

5.5 DiveOpsHub führt ein Verzeichnis der Verarbeitungen, die sie als Auftragsverarbeiter durchführt (Artikel 30 Absatz 2 DSGVO).

Artikel 6 — Sicherheit

6.1 DiveOpsHub trifft geeignete technische und organisatorische Maßnahmen im Sinne von Artikel 32 DSGVO, unter Berücksichtigung der Art der Daten, einschließlich Gesundheitsdaten. Eine Übersicht befindet sich in Anlage 2.

6.2 DiveOpsHub darf Maßnahmen aktualisieren, solange das Schutzniveau mindestens gleichwertig bleibt.

6.3 DiveOpsHub verwendet keine personenbezogenen Daten des Verantwortlichen zum Testen oder Entwickeln, es sei denn, der Verantwortliche erteilt dazu schriftlich seine Zustimmung; dann geschieht dies in einer abgeschirmten Umgebung und nach Möglichkeit mit pseudonymisierten oder anonymisierten Daten.

Artikel 7 — Datenpannen

7.1 DiveOpsHub informiert den Verantwortlichen ohne unangemessene Verzögerung, und nach Möglichkeit innerhalb von 48 Stunden, nachdem sie davon Kenntnis erlangt hat, über eine Datenpanne, die Daten des Verantwortlichen betrifft.

7.2 DiveOpsHub stellt dabei die Informationen bereit, die der Verantwortliche vernünftigerweise für seine Meldepflicht gegenüber der Autoriteit Persoonsgegevens und, soweit erforderlich, gegenüber den betroffenen Personen benötigt, und ergreift Maßnahmen, um die Folgen zu begrenzen.

7.3 Die Meldung an die Aufsichtsbehörde und an die betroffenen Personen liegt in der Verantwortung des Verantwortlichen, sofern nicht anders vereinbart.

Artikel 8 — Zugriff durch DiveOpsHub

8.1 Mitarbeiter von DiveOpsHub und die von ihr eingesetzten Hilfsmittel (Anlage 3) haben nur Zugriff auf die Daten, soweit dies für die Erbringung, Verwaltung und Sicherung des Dienstes und die Behebung von Störungen erforderlich ist.

8.2 Der Zugriff auf den Server erfolgt nur über persönliche, mit Schlüsseln gesicherte Verbindungen; der Zugriff auf die Daten wird so weit wie möglich auf Zählungen und Messungen beschränkt, ohne Einsicht in den Inhalt.

8.3 DiveOpsHub setzt den KI-Assistenten (Anlage 3) nur über ein geschäftliches Konto ein, für das ein Auftragsverarbeitungsvertrag mit dem Anbieter gilt. Dabei werden nur die Daten abgefragt, die für die Aufgabe erforderlich sind, nach Möglichkeit Zählungen und Messungen statt des Inhalts; der Assistent speichert auf dem Server keine personenbezogenen Daten. Die Protokolle dieser Arbeiten befinden sich auf dem Verwaltungscomputer von DiveOpsHub und werden nach 30 Tagen gelöscht.

Artikel 9 — Rechte der betroffenen Personen

9.1 Der Dienst unterstützt den Verantwortlichen bei Anträgen betroffener Personen, unter anderem mit Exporten von Kunden- und Ausrüstungsdaten, dem Ändern und Löschen von Daten und dem Kundenportal, in dem ein Endkunde seine eigenen Daten, Formulare und Serviceberichte einsehen kann.

9.2 DiveOpsHub leistet angemessene zusätzliche Unterstützung (Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit, Widerspruch).

9.3 Erhält DiveOpsHub einen Antrag direkt von einer betroffenen Person, so verweist sie diese an den Verantwortlichen und informiert den Verantwortlichen; sie bearbeitet den Antrag nicht eigenständig.

Artikel 10 — Unterauftragsverarbeiter

10.1 Der Verantwortliche erteilt DiveOpsHub eine allgemeine Genehmigung, Unterauftragsverarbeiter einzusetzen. Die aktuellen Unterauftragsverarbeiter sind in Anlage 3 aufgeführt.

10.2 DiveOpsHub erlegt Unterauftragsverarbeitern mindestens vergleichbare Pflichten auf wie in diesem Auftragsverarbeitungsvertrag und bleibt gegenüber dem Verantwortlichen für deren Handeln verantwortlich.

10.3 DiveOpsHub kündigt einen neuen oder ersetzenden Unterauftragsverarbeiter mindestens 30 Tage im Voraus per E-Mail an. Der Verantwortliche kann innerhalb dieser Frist begründeten Einspruch erheben; führen Gespräche zu keiner Lösung, so darf er den betreffenden Dienst beenden.

10.4 Parteien, die der Verantwortliche selbst wählt und anbindet (wie seine Buchhaltungssoftware oder Google Drive), sind keine Unterauftragsverarbeiter von DiveOpsHub. DiveOpsHub übermittelt Daten dorthin auf Weisung des Verantwortlichen, der dafür selbst einen Vertrag mit dieser Partei schließt.

Artikel 11 — Übermittlung außerhalb des EWR

11.1 Der Dienst wird innerhalb der Europäischen Union (Finnland) gehostet.

11.2 Einige Unterauftragsverarbeiter (Anlage 3) haben ihren Sitz in den Vereinigten Staaten oder können dort Daten verarbeiten. DiveOpsHub sorgt in diesen Fällen für einen geeigneten Übermittlungsmechanismus gemäß Kapitel V DSGVO, wie eine Zertifizierung nach dem EU-US Data Privacy Framework oder die EU-Standardvertragsklauseln.

Artikel 12 — Audits

12.1 DiveOpsHub stellt auf Anfrage die Informationen zur Verfügung, die erforderlich sind, um die Einhaltung von Artikel 28 DSGVO nachzuweisen.

12.2 Der Verantwortliche darf höchstens einmal pro Jahr ein Audit durchführen (lassen), nach angemessener Ankündigung und ohne den Geschäftsbetrieb unnötig zu stören. Die Kosten trägt der Verantwortliche, es sei denn, das Audit weist eine wesentliche Pflichtverletzung von DiveOpsHub nach.

Artikel 13 — Aufbewahrung, Rückgabe und Löschung

13.1 Während des Vertrags bestimmt der Verantwortliche, wie lange Daten aufbewahrt werden, mit Ausnahme der festen Aufbewahrungsfristen in Anlage 1, die der Dienst automatisch anwendet.

13.2 Am Ende des Dienstes kann der Verantwortliche bis zu 30 Tage lang einen Export anfordern. Nach der Löschung seiner Umgebung bewahrt DiveOpsHub die Dateien und eine Datenbankkopie noch drei Kalendermonate auf und löscht sie danach; Kopien in Back-ups laufen spätestens 60 Tage später ab. Gesetzliche Aufbewahrungspflichten bleiben unberührt.

Artikel 14 — Haftung

Auf diesen Auftragsverarbeitungsvertrag findet die Haftungsregelung aus den Allgemeinen Geschäftsbedingungen von DiveOpsHub Anwendung, unbeschadet zwingenden Rechts und Artikel 82 DSGVO.

Artikel 15 — Schlussbestimmungen

15.1 Bei Widersprüchen zu den Allgemeinen Geschäftsbedingungen hat dieser Auftragsverarbeitungsvertrag hinsichtlich der Verarbeitung personenbezogener Daten Vorrang.

15.2 Auf diesen Auftragsverarbeitungsvertrag ist niederländisches Recht anwendbar.

Anlage 1 — Übersicht über die Verarbeitung

Zweck: die Verwaltung und der Geschäftsbetrieb des Verantwortlichen über den Dienst: Kundenverwaltung, Kurse und Ausbildung, Verleih, Service und Prüfung von Ausrüstung, Kasse und Rechnungsstellung, Füll-, Mehrfach- und Geschenkkarten, Formulare und Unterzeichnung, Kommunikation mit Endkunden und die Anbindungen, die der Verantwortliche wählt.

Kategorien betroffener Personen:

• Kunden und Kursteilnehmer des Verantwortlichen, darunter Minderjährige;
• Eltern oder Vormünder, die für einen Minderjährigen unterzeichnen;
• Personen, die sich über die Anmeldeseite des Verantwortlichen anmelden;
• Mitarbeiter, Instruktoren und sonstige Nutzer des Verantwortlichen;
• Ansprechpartner von Lieferanten und Geschäftspartnern des Verantwortlichen.

Kategorien personenbezogener Daten:

• Identifikations- und Kontaktdaten: Name, Adresse, E-Mail, Telefon, Geburtsdatum, Sprache;
• Kopie (Foto) eines Ausweisdokuments beim Verleih;
• Passfoto für ein Brevet;
• Tauchzertifizierungen und Brevets, Kursanmeldungen, Fortschritt pro Lektion, Notizen von Instruktoren;
• Gesundheitsdaten (besondere Kategorien personenbezogener Daten): medizinische Fragebögen, Fitnesserklärungen, das Datum der ärztlichen Bescheinigung, ob eine ärztliche Freigabe erforderlich ist, sowie RDC-Nummer und -Ablaufdatum;
• unterzeichnete Formulare und Erklärungen, mit Unterschrift (als Bild), Zeitpunkt, Gerät und IP-Adresse;
• Ausrüstung von Kunden, Serviceaufträge, Prüfungen, Serviceberichte und Fotos;
• Verleihdaten: Ausgabe, Rückgabe, Kaution;
• Käufe, Rechnungen, Zahlungen, Angebote und Guthaben von Füll-, Mehrfach- und Geschenkkarten;
• versendete E-Mails (Empfänger, Betreff, Zeitpunkt, Inhalt);
• Zugangsdaten (Passwörter nur verschlüsselt), Anmeldezeitpunkte, IP-Adressen in Sicherheits- und Systemprotokollen.

Feste Aufbewahrungsfristen, die der Dienst automatisch anwendet:

Steuerliche Aufbewahrungspflichten (wie 7 Jahre für Rechnungen) liegen in der Verantwortung des Verantwortlichen; der Dienst löscht Rechnungen nicht von sich aus.

Anlage 2 — Sicherheitsmaßnahmen

• Hosting: Hetzner, Rechenzentrum Helsinki (Finnland), innerhalb der EU.
• Verbindungen: ausschließlich verschlüsselt (HTTPS/TLS, automatisch erneuerte Zertifikate, HSTS).
• Trennung: jeder Kunde hat eine eigene, separate Datenbank; Dateien werden pro Kunde getrennt gespeichert.
• Zugriff: Rollen und Rechte pro Modul, einschließlich eines gesonderten Rechts zur Einsicht in medizinische Formulare; Formulare öffnen sich nur für diejenigen, die speichern dürfen; Sitzungen verfallen bei Deaktivierung, Rollenwechsel oder Passwortzurücksetzung.
• Anmeldung: Passwörter gehasht gespeichert; Begrenzung der Anzahl von Anmeldeversuchen und Anmelde-E-Mails; Login-Links für das Kundenportal funktionieren einmalig und sind 30 Minuten gültig.
• Websicherheit: Sicherheits-Header, darunter eine Content Security Policy; Schutz gegen Cross-Site Request Forgery; Beschränkung von Uploads (Typ und Größe); abgeschirmter Abruf externer Dateien.
• Speicherung von Schlüsseln: Zugangsschlüssel für Anbindungen (wie Moneybird) verschlüsselt in der Datenbank des Kunden; Geheimnisse des Dienstes außerhalb des Quellcodes, nur für den Server lesbar.
• Server: die Anwendung läuft abgeschirmt vom Rest des Systems (eingeschränkte Rechte, schreibgeschütztes Programmverzeichnis); hochgeladene Dateien sind nur für die Anwendung lesbar.
• Back-ups: täglich, von allen Datenbanken und Dateien, auf dem Server und an einem externen Standort, mit automatischer Überwachung, die warnt, wenn ein Back-up ausbleibt; die Wiederherstellung ist erprobt.
• Protokoll: Handlungen wie Unterzeichnen, Abzeichnen und das Ändern von Checklistenpunkten werden mit Zeitpunkt und Mitarbeiter festgehalten.
• Wartung: Sicherheitsupdates des Betriebssystems und der Softwarebibliotheken; regelmäßiges Sicherheitsaudit des Codes (zuletzt September 2026).
• Aufbewahrungsfristen: automatisch angewendet gemäß Anlage 1, mit einer Überwachung, die meldet, wenn ein Bereinigungslauf ausbleibt.

Anlage 3 — Unterauftragsverarbeiter

Kein Unterauftragsverarbeiter (zur Klarstellung):

• Mollie B.V.: nur für das Abonnement, das der Kunde an DiveOpsHub zahlt; verarbeitet keine Daten von Endkunden.
• Healthchecks.io: erhält nur ein technisches Signal, dass eine Aufgabe gelaufen ist, ohne personenbezogene Daten.
• Moneybird, Google Drive und ein früheres Kassensystem des Kunden: angebunden auf Weisung des Kunden (Artikel 10.4).