Auftragsverarbeitungsvertrag (Art. 28 DSGVO)

Fassung vom 5. November 2026

Das Wichtigste in Kürze

  • Dieser Vertrag gilt automatisch, wenn ein Geschäftskunde Nobamouse für seine Nutzer einsetzt (Organisationskonten): Der Kunde ist Verantwortlicher, NOBATECH ist Auftragsverarbeiter (Art. 28 DSGVO).
  • Kamerabilder werden ausschließlich lokal auf dem Gerät verarbeitet und nie an NOBATECH übermittelt.
  • Geben Sie in Verwaltungsfeldern keine Gesundheitsdaten ein; verwenden Sie für Patienten oder Bewohner pseudonyme Konten.
  • Hosting in der Europäischen Union (OVH SAS); keine Übermittlung außerhalb der EU vorgesehen.
  • Datenschutzverletzung: Information des Kunden unverzüglich, spätestens 48 Stunden nach Kenntnis.

Dieser Auftragsverarbeitungsvertrag (der „AVV“) ist Bestandteil des Vertrags zwischen NOBATECH SAS („NOBATECH“, der „Auftragsverarbeiter“) und dem Geschäftskunden (der „Kunde“, der „Verantwortliche“) nach den Allgemeine Geschäftsbedingungen für Geschäftskunden (die „B2B-AGB“) (der „Vertrag“). Er ist durch Bezugnahme einbezogen und gilt ohne gesonderte Unterschrift, sobald NOBATECH personenbezogene Daten im Auftrag des Kunden verarbeitet; wünscht der Kunde ein unterzeichnetes Exemplar, kann er den Unterschriftsblock am Ende dieses AVV verwenden.

Er regelt die Pflichten der Parteien nach Art. 28 der Verordnung (EU) 2016/679 („DSGVO“) und dem französischen Datenschutzgesetz (Gesetz Nr. 78-17 vom 6. Januar 1978). Bei Widersprüchen zu den B2B-AGB in Datenschutzfragen geht dieser AVV vor.

Nicht erfasst sind Verarbeitungen, die NOBATECH als Verantwortlicher durchführt und die in der Datenschutzerklärung beschrieben sind: Pflege der Beziehung zum Kunden und seinen Ansprechpartnern, Bestellung, Zahlung und Rechnungsstellung, Sicherheit der eigenen Dienste und Erfüllung gesetzlicher Pflichten.

Gegenstand, Dauer, Art und Zweck der Verarbeitung sowie die Kategorien von Daten und betroffenen Personen sind in Artikel 12 beschrieben. Die Verarbeitung erfolgt für die Laufzeit des Vertrags zuzüglich der Rückgabe- und Löschfrist nach Artikel 9.

Lokale Kameraverarbeitung. Die Desktop-Anwendung greift auf die Webcam zu, um Kopf- und Gesichtsbewegungen zu verfolgen. Die Bilder werden lokal und in Echtzeit auf dem Gerät des Nutzers verarbeitet; sie werden weder gespeichert noch an NOBATECH übermittelt, die keinen Zugriff darauf hat. Die Anwendung übermittelt weder Bildschirminhalte noch Tastatureingaben oder Dateien (siehe Endnutzer-Lizenzvertrag (EULA)).

NOBATECH verarbeitet die Daten nur auf dokumentierte Weisung des Kunden; Weisungen sind der Vertrag, dieser AVV und die Nutzung der Verwaltungsfunktionen des Dienstes. NOBATECH informiert den Kunden unverzüglich, wenn eine Weisung ihrer Auffassung nach gegen die DSGVO oder andere Vorschriften verstößt. Ist NOBATECH nach Unionsrecht oder dem Recht eines Mitgliedstaats zu einer Verarbeitung verpflichtet, teilt sie dies dem Kunden vorher mit, sofern das Recht dies nicht verbietet.

Der Kunde ist für die Rechtmäßigkeit der Verarbeitung verantwortlich, insbesondere für die Rechtsgrundlage, die Information der Nutzer (bei minderjährigen Schülern auch ihrer gesetzlichen Vertreter) und die Richtigkeit der von ihm eingegebenen Daten.

Der Dienst benötigt keine Gesundheitsdaten. Der Kunde, insbesondere als Gesundheits-, Pflege- oder Bildungseinrichtung,

  • gibt in Verwaltungsfeldern, Platzbezeichnungen oder Support-Tickets keine Gesundheitsdaten und keine patientenidentifizierenden Angaben ein (Diagnose, Erkrankung, Zimmer, Aktennummer usw.);
  • weist Patienten, Bewohnern oder anderen betreuten Personen pseudonyme Platzkonten zu (neutrale Kennung, nicht namensbezogene oder von der Einrichtung verwaltete E-Mail-Adresse); die Zuordnungstabelle liegt allein in seiner Verantwortung;
  • berücksichtigt, dass schon die Nutzung des Dienstes durch eine in einer Pflegeeinrichtung betreute Person Rückschlüsse auf deren Gesundheit zulassen kann, und beschränkt die eingegebenen Daten auf das unbedingt Erforderliche.

NOBATECH ist kein Hoster von Gesundheitsdaten im Sinne von Art. L1111-8 des französischen Code de la santé publique (HDS) und bietet die Speicherung solcher Daten nicht an.

5.1 Vertraulichkeit

NOBATECH stellt sicher, dass die zur Verarbeitung befugten Personen zur Vertraulichkeit verpflichtet sind oder einer gesetzlichen Verschwiegenheitspflicht unterliegen und nur im erforderlichen Umfang Zugriff haben.

5.2 Sicherheit

NOBATECH trifft die in Artikel 13 beschriebenen technischen und organisatorischen Maßnahmen, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten (Art. 32 DSGVO). Sie darf sie anpassen, sofern das Gesamtschutzniveau nicht sinkt.

5.3 Unterstützung

NOBATECH unterstützt den Kunden unter Berücksichtigung der Art der Verarbeitung nach Möglichkeit mit geeigneten technischen und organisatorischen Maßnahmen bei der Beantwortung von Anträgen betroffener Personen (die Verwaltungsfunktionen erlauben das Einsehen, Berichtigen, Exportieren und Löschen von Nutzerkonten) und leitet direkt an sie gerichtete Anträge unverzüglich an den Kunden weiter. Sie unterstützt den Kunden ferner bei der Einhaltung der Pflichten aus Art. 32 bis 36 DSGVO (Sicherheit, Verletzungen, Datenschutz-Folgenabschätzung, vorherige Konsultation) unter Berücksichtigung der ihr vorliegenden Informationen.

5.4 Verzeichnis

NOBATECH führt ein Verzeichnis aller Kategorien von im Auftrag ihrer Kunden durchgeführten Verarbeitungstätigkeiten (Art. 30 Abs. 2 DSGVO).

Der Kunde erteilt NOBATECH eine allgemeine Genehmigung zum Einsatz der in Artikel 14 aufgeführten Unterauftragsverarbeiter. NOBATECH informiert den Kunden per E-Mail oder im Verwaltungsbereich mindestens 30 Tage im Voraus über jede beabsichtigte Hinzuziehung oder Ersetzung. Der Kunde kann innerhalb dieser Frist aus berechtigten datenschutzrechtlichen Gründen schriftlich widersprechen; kommt keine Einigung zustande, kann er den Vertrag vor Wirksamwerden der Änderung kostenfrei kündigen.

NOBATECH erlegt jedem Unterauftragsverarbeiter vertraglich Datenschutzpflichten auf, die denen dieses AVV mindestens gleichwertig sind, und haftet gegenüber dem Kunden für deren Erfüllung.

NOBATECH meldet dem Kunden jede Verletzung des Schutzes der in seinem Auftrag verarbeiteten personenbezogenen Daten unverzüglich und spätestens 48 Stunden nach Kenntnis an die in Artikel 15 genannte Kontaktadresse. Die Meldung enthält, soweit verfügbar, die Angaben nach Art. 33 Abs. 3 DSGVO (Art der Verletzung, Kategorien und ungefähre Zahl der betroffenen Personen und Datensätze, wahrscheinliche Folgen, ergriffene oder vorgeschlagene Maßnahmen, Anlaufstelle); fehlende Angaben werden so bald wie möglich nachgereicht. NOBATECH ergreift die erforderlichen Maßnahmen zur Eindämmung und unterstützt den Kunden bei dessen Meldungen an die Aufsichtsbehörde und die betroffenen Personen. Die Meldung ist kein Anerkenntnis einer Haftung.

Die Daten werden in der Europäischen Union gespeichert und verarbeitet. Eine Übermittlung in Drittländer ist nicht vorgesehen. Sollte sie erforderlich werden, informiert NOBATECH den Kunden vorab nach dem Verfahren in Artikel 6 und sichert sie durch geeignete Garantien im Sinne von Kapitel V DSGVO ab (Angemessenheitsbeschluss oder Standardvertragsklauseln der Europäischen Kommission).

Während der Vertragslaufzeit kann der Kunde die Daten seiner Organisationskonten im Verwaltungsbereich oder auf Anfrage an privacy@nobatech.eu exportieren. Nach Vertragsende löscht NOBATECH die im Auftrag des Kunden verarbeiteten Daten innerhalb von 30 Tagen, sofern der Kunde nicht vor Vertragsende die Rückgabe verlangt und keine gesetzliche Aufbewahrungspflicht besteht. Sicherungskopien laufen mit Ende ihrer 30-tägigen Rotation ab; bis dahin bleiben sie geschützt und werden zu keinem anderen Zweck verwendet. Auf Anfrage bestätigt NOBATECH die Löschung schriftlich.

NOBATECH stellt dem Kunden die zum Nachweis der Einhaltung dieses AVV erforderlichen Informationen zur Verfügung. Der Kunde übt sein Kontrollrecht vorrangig anhand dieser Dokumentation aus (Beschreibung der Sicherheitsmaßnahmen, Verzeichnis, vorhandene Nachweise, Antworten auf einen angemessenen Fragebogen). Reicht diese nicht aus, kann der Kunde höchstens einmal pro Kalenderjahr (außer bei einer Datenschutzverletzung oder auf Verlangen einer Aufsichtsbehörde) mit einer Frist von dreißig (30) Tagen, während der Geschäftszeiten und ohne Störung des Betriebs eine Prüfung selbst oder durch einen zur Verschwiegenheit verpflichteten, nicht mit NOBATECH im Wettbewerb stehenden unabhängigen Prüfer durchführen lassen. Jede Partei trägt ihre eigenen Kosten.

Dieser AVV gilt für die Laufzeit des Vertrags und solange NOBATECH im Auftrag des Kunden verarbeitete Daten besitzt. Die Haftung richtet sich nach Art. 82 DSGVO und im Übrigen nach den Haftungsregeln der B2B-AGB. Dieser AVV unterliegt französischem Recht; Gerichtsstand ist der in den B2B-AGB bestimmte. NOBATECH kann diesen AVV nach dem Änderungsverfahren der B2B-AGB an Rechtsänderungen oder Empfehlungen der CNIL anpassen.

Gegenstand Bereitstellung des Dienstes Nobamouse für die Nutzer des Kunden: Verwaltung von Organisationskonten und Plätzen, Prüfung von Lizenzen und aktivierten Geräten, Verteilung von Updates, technischer Support.
Art der Verarbeitung Erheben, Erfassen, Speichern, Abfragen, Verändern, Hosten, Übermitteln (Service-E-Mails), Löschen.
Zwecke Vertragserfüllung für den Kunden: Zugang der Nutzer zum Dienst, Platzverwaltung, Kontrolle der Geräteanzahl, Support und Störungsbehebung, Sicherheit des Dienstes.
Betroffene Personen Administratoren und Ansprechpartner des Kunden; Nutzer mit zugewiesenem Platz: Beschäftigte, Schüler und Studierende (einschließlich Minderjähriger), vom Kunden betreute oder begleitete Personen (z. B. Patienten oder Bewohner einer Gesundheits- oder Pflegeeinrichtung).
Datenkategorien Kontokennungen (Name oder Pseudonym, E-Mail-Adresse, Organisation, Rolle Administrator/Nutzer); Platzzuweisung (Platzkennung, Zuweisungsdaten); Lizenz- und Gerätedaten (Lizenzschlüssel oder -code, Aktivierungskennungen, Gerätename und Betriebssystem, Anwendungsversion, Zeitstempel und IP-Adresse bei Lizenzprüfungen); Support-Tickets (Inhalt, Anhänge, Korrespondenz); für den Support erforderliche technische Protokolle und Absturzberichte.
Ausgeschlossene Daten Kamerabilder und -videos (nur lokal verarbeitet), Bildschirminhalte, Tastatureingaben, Dateien. Besondere Kategorien (Art. 9 DSGVO) sind nicht erforderlich; der Kunde verpflichtet sich, keine einzugeben (Artikel 4).
Dauer Vertragslaufzeit, danach Löschung innerhalb von 30 Tagen (Artikel 9); Sicherungen: 30-tägige Rotation.
Ort Europäische Union (Hosting bei OVH SAS, Frankreich).
Datenminimierung Webcam-Verarbeitung ausschließlich lokal; keine Übermittlung von Bildern, Bildschirminhalten oder Tastatureingaben; detaillierte Nutzungsanalysen standardmäßig deaktiviert; pseudonyme Platzkonten möglich.
Verschlüsselung TLS für die gesamte Kommunikation zwischen Desktop-Anwendung, Website und Diensten von NOBATECH; verschlüsselte Sicherungen.
Zugriffskontrolle Zentrale Authentifizierung (Keycloak); Administratorzugriff nur für befugte Personen von NOBATECH, mit Zwei-Faktor-Authentifizierung; Need-to-know-Prinzip.
Software-Sicherheit Signierte Installationsprogramme und Updates; Überwachung von Schwachstellen in Abhängigkeiten; koordinierte Offenlegung (security@nobatech.eu); Sicherheitsupdates während des Supportzeitraums.
Verfügbarkeit Tägliche verschlüsselte Sicherungen mit 30 Tagen Aufbewahrung, davon eine externe Kopie in der EU; regelmäßige Wiederherstellungstests; Offline-Betrieb der Anwendung während einer Toleranzfrist.
Vorfälle Schriftliches internes Verfahren für Datenschutzverletzungen (Art. 33/34 DSGVO), die Information der Kunden als Verantwortliche und die Pflichten nach der Verordnung (EU) 2024/2847 (CRA); Verletzungsregister.
Personal und Unterauftragsverarbeiter Vertraulichkeitsverpflichtung und interne Datenschutzrichtlinien; Entzug der Zugänge bei Ausscheiden; Unterauftragsverarbeiter mit Vertrag nach Art. 28, Hosting in der EU.
Löschung Löschungen werden nach jeder Wiederherstellung erneut angewandt; Sicherungen laufen mit Ende der 30-tägigen Rotation ab.
Unterauftragsverarbeiter Leistung Ort
OVH SAS, 2 rue Kellermann, 59100 Roubaix, France Hosting der Infrastruktur (Server, Datenbanken, privates Netzwerk) Frankreich (EU)
eigener Mailserver der NOBATECH SAS, gehostet auf eigener Infrastruktur bei OVH (Frankreich); kein externer Versanddienstleister Service-E-Mails (Einladungen, Benachrichtigungen) Europäische Union
eigenes Ticketsystem der NOBATECH SAS, gehostet auf eigener Infrastruktur bei OVH (Frankreich) Verwaltung von Support-Tickets Europäische Union

Zahlungsdienstleister. Mollie B.V. (Niederlande) verarbeitet die Zahlungen des Kunden im Rahmen der Geschäftsbeziehung zwischen Kunde und NOBATECH; er verarbeitet keine Nutzerdaten im Auftrag des Kunden und ist daher kein Unterauftragsverarbeiter im Sinne dieses AVV. Für seine eigenen aufsichtsrechtlichen Pflichten handelt er als eigenständiger Verantwortlicher.

  • Datenschutz (NOBATECH): privacy@nobatech.eu. NOBATECH hat keinen Datenschutzbeauftragten benannt (Art. 37 DSGVO nicht einschlägig); Datenschutzkontakt: privacy@nobatech.eu.
  • Sicherheit und Meldung von Verletzungen (NOBATECH): security@nobatech.eu.
  • Kontakt des Kunden für Meldungen: die E-Mail-Adresse des Hauptadministrators des Organisationskontos oder die im Angebot / Bestellschein angegebene, sofern kein anderer Kontakt schriftlich mitgeteilt wurde.

Dieser AVV gilt ohne Unterschrift. Wünscht der Kunde ein unterzeichnetes Exemplar, kann er den folgenden Block ausfüllen.

Übernehmen Sie die Kontrolle

Download