gemäß Art. 28 DSGVO
Zentrava, Inhaber Jan-Felix Drömer
Stand: September 2026 · Version 1.1
Diese Vereinbarung zur Auftragsverarbeitung regelt die Datenverarbeitung im Auftrag des Auftraggebers durch Zentrava, Inhaber Jan-Felix Drömer, Herler Str. 115, 51067 Köln (nachfolgend „Auftragnehmer“). Sie ist Bestandteil des Hauptvertrages über die Bereitstellung der OpsGuide-Software und wird durch die Bezugnahme in den AGB Bestandteil des jeweiligen Vertrages.
1.1 Der Auftragnehmer betreibt eine SaaS-Plattform (OpsGuide) zur digitalen Erstellung, Verwaltung und Ausführung von Montage-, Arbeits- und Prüfanweisungen. Die Parteien haben einen Vertrag geschlossen, der die Verarbeitung von personenbezogenen Daten im Auftrag durch den Auftragnehmer beinhaltet („Hauptvertrag“).
1.2 Dieser AVV konkretisiert als Teil des Hauptvertrages die Verpflichtungen beider Parteien zur Einhaltung des anwendbaren Datenschutzrechts, insbesondere der EU-Datenschutz-Grundverordnung („DSGVO“) und des BDSG.
Der Auftragnehmer verarbeitet personenbezogene Daten im Auftrag des Auftraggebers. Gegenstand, Art und Zweck der Verarbeitung, die Kategorien personenbezogener Daten sowie die Kategorien betroffener Personen sind in Anlage 1 zu diesem AVV festgelegt. Die Laufzeit dieses AVV richtet sich nach der Laufzeit des Hauptvertrages.
3.1 Der Auftragnehmer darf personenbezogene Daten ausschließlich im Rahmen des Auftrages und der dokumentierten Weisungen des Auftraggebers verarbeiten. Die Weisungen werden durch den Hauptvertrag und diesen AVV festgelegt und können vom Auftraggeber danach in Textform geändert, ergänzt oder ersetzt werden.
3.2 Ist der Auftragnehmer nach dem Recht der Union oder eines Mitgliedstaates verpflichtet, personenbezogene Daten ohne Weisung des Auftraggebers zu verarbeiten, informiert er den Auftraggeber vor der Verarbeitung darüber, sofern das Recht dies nicht aus wichtigen Gründen des öffentlichen Interesses verbietet.
3.3 Der Auftragnehmer informiert den Auftraggeber unverzüglich, wenn er der Auffassung ist, dass eine Weisung gegen anwendbare Datenschutzvorschriften verstößt. Der Auftragnehmer darf die Umsetzung der betreffenden Weisung solange aussetzen, bis sie vom Auftraggeber bestätigt oder abgeändert wurde.
4.1 Der Auftragnehmer verpflichtet sich zur Einhaltung der technischen und organisatorischen Maßnahmen gemäß Art. 32 DSGVO. Der zum Zeitpunkt des Vertragsschlusses bestehende Stand ist in Anlage 2 dokumentiert.
4.2 Änderungen der technischen und organisatorischen Maßnahmen bleiben dem Auftragnehmer vorbehalten, wobei sichergestellt sein muss, dass das vertraglich vereinbarte Schutzniveau nicht unterschritten wird. Der Auftraggeber kann jederzeit eine aktuelle Übersicht der Maßnahmen anfordern.
5.1 Der Auftragnehmer unterstützt den Auftraggeber im Rahmen seiner Möglichkeiten bei der Erfüllung der Anfragen und Ansprüche betroffener Personen gemäß Kapitel III DSGVO, insbesondere bei Auskunft, Berichtigung, Sperrung oder Löschung.
5.2 Auskünfte an Dritte oder Betroffene darf der Auftragnehmer nur nach vorheriger Zustimmung des Auftraggebers erteilen. Direkt an ihn gerichtete Anfragen leitet er unverzüglich an den Auftraggeber weiter.
6.1 Der Auftragnehmer unterrichtet den Auftraggeber unverzüglich, spätestens innerhalb von 72 Stunden, wenn ihm eine Verletzung des Schutzes personenbezogener Daten des Auftraggebers bekannt wird. Die Meldung enthält mindestens die Angaben gemäß Art. 33 Abs. 3 DSGVO, soweit diese zum Zeitpunkt der Meldung verfügbar sind.
6.2 Der Auftragnehmer unterstützt den Auftraggeber bei der Erstellung und Fortschreibung des Verzeichnisses der Verarbeitungstätigkeiten sowie erforderlichenfalls bei der Durchführung einer Datenschutz-Folgenabschätzung.
6.3 Wird der Auftraggeber durch Aufsichtsbehörden einer Kontrolle unterzogen oder machen betroffene Personen ihm gegenüber Rechte geltend, verpflichtet sich der Auftragnehmer, den Auftraggeber im erforderlichen Umfang zu unterstützen.
6.4 Die beim Auftragnehmer mit der Verarbeitung befassten Personen sind zur Vertraulichkeit verpflichtet und wurden über die datenschutzrechtlichen Anforderungen belehrt.
6.5 Sollte das Eigentum des Auftraggebers beim Auftragnehmer durch Maßnahmen Dritter (z. B. Pfändung), durch ein Insolvenzverfahren oder durch sonstige Ereignisse gefährdet werden, informiert der Auftragnehmer den Auftraggeber unverzüglich.
7.1 Für die Beurteilung der Zulässigkeit der beauftragten Verarbeitung sowie für die Wahrung der Rechte betroffener Personen ist allein der Auftraggeber verantwortlich.
7.2 Der Auftraggeber ist berechtigt, die Einhaltung der Datenschutzvorschriften und der vertraglichen Vereinbarungen beim Auftragnehmer in angemessenem Umfang selbst oder durch Dritte zu kontrollieren, insbesondere durch die Einholung von Auskünften und Einsichtnahme in Dokumentationen. Kontrollen werden mindestens 14 Tage im Voraus angekündigt, finden zu Geschäftszeiten statt und sind auf höchstens eine Kontrolle pro Kalenderjahr beschränkt, sofern kein konkreter Anlass für eine zusätzliche Kontrolle besteht.
7.3 Weisungen des Auftraggebers sind in Textform zu erteilen. Mündliche Weisungen sind unverzüglich in Textform zu bestätigen.
8.1 Die Beauftragung von Unterauftragsverarbeitern ist nur mit Zustimmung des Auftraggebers zulässig. Der Auftraggeber stimmt mit Abschluss dieses AVV der Beauftragung der in Anlage 3 aufgeführten Unterauftragsverarbeiter zu.
8.2 Der Auftragnehmer informiert den Auftraggeber über beabsichtigte Änderungen (Hinzufügung oder Ersetzung von Unterauftragsverarbeitern) mindestens 30 Tage im Voraus in Textform. Der Auftraggeber kann einer Änderung innerhalb von 14 Tagen nach Ankündigung aus wichtigem Grund widersprechen. Widerspricht der Auftraggeber nicht fristgerecht, gilt die Zustimmung als erteilt.
8.3 Der Auftragnehmer wählt Unterauftragsverarbeiter sorgfältig aus und stellt sicher, dass diese die zwischen den Parteien getroffenen datenschutzrechtlichen Vereinbarungen einhalten können. Die Beauftragung von Unterauftragsverarbeitern lässt die datenschutzrechtlichen Verpflichtungen des Auftragnehmers gegenüber dem Auftraggeber unberührt. Der Auftragnehmer haftet für Schlechtleistungen eines Unterauftragsverarbeiters wie für eigenes Verschulden.
8.4 Nicht als Unterauftragsverhältnisse gelten reine Nebenleistungen wie Telekommunikationsleistungen, Post- und Kurierdienste sowie vergleichbare Leistungen ohne konkreten Bezug zur beauftragten Verarbeitung.
9.1 Eine Übermittlung personenbezogener Daten in Drittländer außerhalb der EU/des EWR erfolgt ausschließlich auf Grundlage eines Angemessenheitsbeschlusses nach Art. 45 DSGVO oder geeigneter Garantien nach Art. 46 DSGVO, insbesondere durch EU-Standardvertragsklauseln.
9.2 Der Betrieb der Plattform einschließlich der Speicherung aller Kundendaten und Protokolle im Produktivsystem findet ausschließlich auf Servern in Deutschland statt. Die verschlüsselten Datensicherungen werden derzeit ebenfalls in Deutschland gespeichert; eine Verlagerung in ein anderes Land innerhalb der EU kann nicht ausgeschlossen werden (siehe Anlage 3). Eine Übermittlung personenbezogener Daten in ein Drittland findet nach dem Stand bei Abschluss dieses AVV nicht statt.
9.3 Über die optionale KI-Funktion zur Inhaltsextraktion wird ausschließlich technische Dokumentation verarbeitet (Gebrauchsanweisungen, Betriebsanleitungen und vergleichbare Unterlagen). Bei aktiver Nutzung durch den Auftraggeber werden die Inhalte der ausgewählten Dokumente an die API von OpenAI übermittelt und dort ausschließlich zur Durchführung der Extraktion verarbeitet; eine Speicherung und eine Nutzung zu Trainingszwecken finden nicht statt. Die Funktion ist nicht zur Verarbeitung personenbezogener Daten bestimmt; der Auftraggeber entfernt vor der Nutzung vereinzelte Namensangaben aus eingescannten Unterlagen. Die Übermittlung der Dokumentinhalte erfolgt ausschließlich auf Weisung des Auftraggebers, die dieser durch Aktivierung und Nutzung der Funktion erteilt.
10.1 Kopien oder Duplikate der Daten werden ohne Wissen des Auftraggebers nicht erstellt. Hiervon ausgenommen sind Sicherungskopien, soweit sie zur Gewährleistung einer ordnungsgemäßen Datenverarbeitung erforderlich sind, sowie Daten, die zur Einhaltung gesetzlicher Aufbewahrungspflichten erforderlich sind.
10.2 Nach Beendigung des Hauptvertrages löscht der Auftragnehmer alle im Auftrag verarbeiteten personenbezogenen Daten des Auftraggebers unverzüglich nach Ablauf der Exportfrist nach § 10.3 – im Fall eines fristgerecht angeforderten Datenexports unverzüglich nach dessen Bereitstellung – datenschutzkonform, sofern keine gesetzlichen Aufbewahrungspflichten entgegenstehen.
10.3 Auf schriftlichen Wunsch kann der Auftraggeber bis spätestens 14 Tage nach Vertragsende einen Datenexport aller seiner Inhalte – einschließlich Anweisungen, Protokolle und Medien – im JSON-Format anfordern. Nach Ablauf dieser Frist besteht kein Anspruch mehr auf Herausgabe der Daten.
10.4 Dokumentationen, die dem Nachweis der auftrags- und ordnungsgemäßen Datenverarbeitung dienen, sind durch den Auftragnehmer entsprechend der jeweiligen Aufbewahrungsfristen über das Vertragsende hinaus aufzubewahren.
11.1 Für Nebenabreden ist die Schriftform erforderlich. Sollten einzelne Bestimmungen dieses AVV unwirksam sein, bleibt die Wirksamkeit der übrigen Regelungen unberührt.
11.2 Dieser AVV unterliegt deutschem Recht. Im Konfliktfall zwischen diesem AVV und dem Hauptvertrag gehen die Regelungen dieses AVV vor, soweit Fragen der Datenverarbeitung betroffen sind.
Bestandteil des AVV zwischen Zentrava / OpsGuide und dem Auftraggeber
Der Auftraggeber ist Verantwortlicher i. S. v. Art. 4 Nr. 7 DSGVO und nutzt die OpsGuide-Software des Auftragnehmers, um Montage-, Arbeits- und Prüfanweisungen digital zu erstellen, zu verwalten und auszuführen sowie Ausführungsprotokolle zu generieren.
Der Auftragnehmer (Zentrava, Inhaber Jan-Felix Drömer) stellt als Auftragsverarbeiter eine SaaS-Plattform bereit, über die der Auftraggeber Arbeitsanweisungen digital abbildet und Ausführungen protokolliert.
Die im Auftrag verarbeiteten personenbezogenen Daten betreffen folgende Kategorien betroffener Personen:
Die im Auftrag verarbeiteten personenbezogenen Daten gehören zu folgenden Kategorien:
Die im Auftrag verarbeiteten Daten umfassen keine besonderen Kategorien personenbezogener Daten gemäß Art. 9 DSGVO.
Die personenbezogenen Daten werden verarbeitet zur Durchführung der im Hauptvertrag vereinbarten Leistungen, insbesondere:
Die Dauer der Verarbeitung entspricht der Laufzeit des Hauptvertrages. Nach Vertragsende werden die Daten gemäß § 10 dieses AVV gelöscht oder auf Wunsch herausgegeben.
gemäß Art. 32 DSGVO – Stand: September 2026
Beim Auftragnehmer sind folgende technische und organisatorische Maßnahmen zur Datensicherheit getroffen:
| Maßnahme | Umsetzung bei OpsGuide |
|---|---|
| Verschlüsselung der Übertragung | SSL/TLS für alle Verbindungen zwischen Client und Server (HTTPS) |
| Verschlüsselung gespeicherter Daten | Die täglichen Datensicherungen werden verschlüsselt gespeichert; der Schlüssel liegt ausschließlich beim Auftragnehmer (IONOS Cloud Backup, siehe Anlage 3). Die Daten im Produktivsystem werden nicht gesondert verschlüsselt gespeichert; der Zugriff ist durch die übrigen in dieser Anlage genannten Maßnahmen geschützt. |
| Zugangskontrolle | HMAC-Token-Authentifizierung, automatischer Sitzungs-Timeout nach 8 h, Logout-Blacklist, 30-Tage absolute Token-Lifetime |
| Brute-Force-Schutz | Rate Limiting auf Login-Endpunkten (5 Versuche/min) und PIN-Endpunkten (5 Versuche/5 min) |
| Pseudonymisierung | Benutzer-PINs werden mit bcrypt gehasht gespeichert – keine Klartextpasswörter |
| Zugriffskontrolle / Rollentrennung | Rollenbasiertes Berechtigungskonzept: Administrator, Autor, Player (Werker ohne Bearbeitungsrechte) |
| Mandantentrennung | Jeder Auftraggeber erhält eine isolierte Datenbankinstanz; keine Datenvermischung zwischen Mandanten |
| Input-Validierung & Integrität | Zod-Schema-Validierung auf allen schreibenden Endpunkten mit JSON-Nutzlast; Datei-Uploads über typ- und größenbegrenzte Upload-Middleware; Zahlungs-Webhook mit kryptografischer Signaturprüfung; XSS-Schutz, Path-Traversal-Schutz |
| Dateiablage | Medien-Uploads werden isoliert pro Mandant gespeichert; Zugriff nur über authentifizierte API-Endpunkte |
| Löschbarkeit | Nutzer- und Protokolldaten vollständig löschbar (DSGVO Art. 17); ZMC-Button für vollständige Mandantenlöschung |
| Datenportabilität / Backup | Datenexport als ZIP/JSON auf Anfrage; tägliche, verschlüsselte Datensicherung (IONOS Cloud Backup) |
| Serverzugang | Administrativer Serverzugang ausschließlich per SSH-Schlüssel, Passwort-Anmeldung deaktiviert; Notfallzugang nur über die Konsole des Hosting-Kontos, das mit Zwei-Faktor-Authentifizierung gesichert ist |
| Sicherheits-Headers | Helmet.js für HTTP-Security-Headers, Content Security Policy (CSP) |
| Statische Dateiisolation | express.static auf /public beschränkt; Datenbankdateien nicht öffentlich erreichbar |
| Geheimhaltung Mitarbeiter | Verarbeitung ausschließlich durch den Inhaber; bei zukünftigen Mitarbeitern schriftliche Vertraulichkeitsverpflichtung |
Die Maßnahmen werden entsprechend der technologischen Entwicklung und aktuellen Bedrohungslagen fortlaufend überprüft und angepasst. Der Auftraggeber kann jederzeit eine aktualisierte Übersicht der Maßnahmen anfordern.
Stand: September 2026 – vom Auftraggeber mit Vertragsschluss genehmigt
Der Auftragnehmer setzt bei der Erbringung der Leistungen aus dem Hauptvertrag folgende Unterauftragsverarbeiter ein:
| Unterauftragsverarbeiter | Leistung | Sitz | Geeignete Garantien |
|---|---|---|---|
| VPS-Hoster (IONOS SE) | Serverhosting, Datenspeicherung | Deutschland / EU | AVV; Hosting in Deutschland |
| Brevo SAS | SMTP / Transaktions-E-Mail | Frankreich / EU | AVV; Verarbeitung in der EU |
| IONOS SE, Elgendorfer Str. 57, 56410 Montabaur | Backup und Wiederherstellung der Serverdaten einschließlich aller Auftraggeberdaten. Unterauftragnehmer von IONOS für diese Leistung: Acronis Germany GmbH, München. | EU (Speicherung georedundant in zwei Rechenzentren, derzeit Berlin und Frankfurt) | AVV; Verschlüsselung mit einem Schlüssel, über den ausschließlich der Auftragnehmer verfügt |
Änderungen bei Unterauftragsverarbeitern werden dem Auftraggeber gemäß § 8.2 dieses AVV mindestens 30 Tage im Voraus angekündigt. Der Auftraggeber hat innerhalb von 14 Tagen ein Widerspruchsrecht aus wichtigem Grund.