This document is available in German only. The German version is legally binding.

Vereinbarung zur Auftragsverarbeitung nach Art. 28 DSGVO

zwischen

dem Kunden von Equenzo gemäß Vertrag (nachfolgend „Verantwortlicher“ oder „Kunde“)

und

Silver Rock Ranch, Inhaber John Metzner (Einzelunternehmen) – Geschäftsbereich Equenzo
Zwönitzer Str. 105, 09481 Elterlein
(nachfolgend „Auftragsverarbeiter“ oder „Anbieter“)

Stand: 22.10.2026

---

§ 1 Gegenstand und Dauer

1. Gegenstand dieser Vereinbarung ist die Verarbeitung personenbezogener Daten durch den Auftragsverarbeiter im Auftrag des Verantwortlichen im Rahmen der Bereitstellung der Software-as-a-Service-Plattform Equenzo nach dem zwischen den Parteien geschlossenen Nutzungsvertrag einschließlich der Allgemeinen Geschäftsbedingungen (nachfolgend „Hauptvertrag“).
2. Diese Vereinbarung gilt für die Dauer des Hauptvertrags einschließlich der kostenlosen Testphase und darüber hinaus bis zur vollständigen Löschung bzw. Rückgabe der Daten nach § 10.
3. Bei Widersprüchen zwischen dieser Vereinbarung und dem Hauptvertrag geht diese Vereinbarung in Fragen des Datenschutzes vor.

§ 2 Art und Zweck der Verarbeitung

1. Der Auftragsverarbeiter betreibt für den Verantwortlichen eine eigene, von anderen Kunden getrennte Instanz der Software mit eigener Datenbank und stellt sie über Browser und Apps zur Verfügung.
2. Die Verarbeitung umfasst insbesondere das Speichern, Organisieren, Ordnen, Abfragen, Anzeigen, Übermitteln an vom Verantwortlichen bestimmte Empfänger (z. B. Versand von Rechnungen über das E-Mail-Postfach des Verantwortlichen, Übermittlung an ELSTER), Sichern, Wiederherstellen und Löschen personenbezogener Daten.
3. Zweck der Verarbeitung ist ausschließlich die Erbringung der Leistungen aus dem Hauptvertrag, insbesondere Kunden- und Pferdeverwaltung, Termin- und Tourenplanung, Online-Buchung, Rechnungsstellung, Kundenbereich für Endkunden, Buchhaltung, Kassensystem sowie Support, Fehlerbehebung und Datensicherung.
4. Die Verarbeitung findet ausschließlich in Deutschland statt. Eine Übermittlung in ein Drittland erfolgt durch den Auftragsverarbeiter nicht. Übermittlungen, die der Verantwortliche selbst durch die Anbindung von Drittdiensten veranlasst (§ 7 Abs. 5), bleiben hiervon unberührt.

§ 3 Art der Daten und Kategorien betroffener Personen

1. Datenarten:
   • Stammdaten von Kunden bzw. Pferdehaltern (Name, Firma, Anschrift),
   • Kontakt- und Kommunikationsdaten (Telefon, E-Mail, Nachrichten),
   • Termin-, Buchungs- und Tourendaten (Ort, Zeit, Leistung),
   • Vertrags-, Rechnungs- und Zahlungsdaten (Leistungen, Beträge, Bankverbindung, SEPA-Mandate, Zahlungsstatus),
   • Pferde- und Behandlungsdaten (Pferdeakten, Befunde, Behandlungsverlauf, Notizen),
   • Fotos und Dokumente (auf denen Personen abgebildet oder genannt sein können),
   • Mitarbeiter- und Benutzerdaten (Name, Kontaktdaten, Rollen, Anmelde- und Protokolldaten, Einsatzzeiten),
   • Buchhaltungsdaten und Bankumsätze (Kontoumsätze einschließlich Name und IBAN von Zahlungspartnern, Verwendungszwecke, Belege),
   • Kassendaten (Verkäufe, Zahlungsart),
   • Zugangsdaten des Verantwortlichen zu Drittdiensten, soweit er sie in der Software hinterlegt.
2. Betroffene Personen:
   • Kunden und Interessenten des Verantwortlichen (insbesondere Pferdebesitzer, Reitschüler und deren Erziehungsberechtigte, Einsteller),
   • Endkunden mit Zugang zum Kundenbereich,
   • Beschäftigte und sonstige Benutzer des Verantwortlichen,
   • Lieferanten, Geschäftspartner und sonstige Zahlungspartner des Verantwortlichen,
   • sonstige Personen, die in Fotos, Dokumenten oder Notizen erfasst werden.
3. Daten über Pferde sind als solche keine personenbezogenen Daten; sie werden es durch die Verknüpfung mit dem Halter. Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO) sind für die Verarbeitung nicht vorgesehen. Erfasst der Verantwortliche solche Daten dennoch (z. B. Gesundheitsangaben von Reitschülern), trägt er die Verantwortung für die Rechtmäßigkeit und informiert den Auftragsverarbeiter, falls zusätzliche Schutzmaßnahmen erforderlich sind.

§ 4 Weisungen

1. Der Auftragsverarbeiter verarbeitet die Daten nur auf dokumentierte Weisung des Verantwortlichen, es sei denn, er ist durch das Recht der Union oder Deutschlands zur Verarbeitung verpflichtet; in diesem Fall teilt er dem Verantwortlichen diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das Recht dies nicht verbietet.
2. Die Weisungen werden durch den Hauptvertrag, diese Vereinbarung und die Nutzung der Funktionen der Software durch den Verantwortlichen erteilt. Einzelweisungen erfolgen in Textform.
3. Der Auftragsverarbeiter informiert den Verantwortlichen unverzüglich, wenn er der Auffassung ist, dass eine Weisung gegen datenschutzrechtliche Vorschriften verstößt. Er darf die Ausführung der Weisung aussetzen, bis sie vom Verantwortlichen bestätigt oder geändert wird.
4. Weisungsberechtigt sind der Kunde bzw. die von ihm in der Software als Inhaber oder Administratoren eingetragenen Personen. Weisungsempfänger beim Auftragsverarbeiter ist John Metzner, erreichbar unter info@equenzo.de und telefonisch unter 0172 – 34 71 776.

§ 5 Vertraulichkeit

1. Der Auftragsverarbeiter setzt nur Personen ein, die zur Vertraulichkeit verpflichtet sind oder einer gesetzlichen Verschwiegenheitspflicht unterliegen und mit den Bestimmungen des Datenschutzes vertraut gemacht wurden.
2. Zugriff auf Daten des Verantwortlichen nimmt der Auftragsverarbeiter nur vor, soweit dies für Betrieb, Datensicherung, Fehlerbehebung oder einen vom Verantwortlichen angefragten Support erforderlich ist.

§ 6 Technische und organisatorische Maßnahmen

1. Der Auftragsverarbeiter trifft die in Anlage 1 beschriebenen technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO.
2. Die Maßnahmen unterliegen dem technischen Fortschritt. Der Auftragsverarbeiter darf sie durch gleichwertige oder bessere Maßnahmen ersetzen; das Schutzniveau darf nicht unterschritten werden. Wesentliche Änderungen werden dokumentiert und dem Verantwortlichen auf Anfrage mitgeteilt.

§ 7 Unterauftragsverarbeiter

1. Der Verantwortliche erteilt die allgemeine Genehmigung zur Beauftragung von Unterauftragsverarbeitern. Die bei Vertragsschluss eingesetzten Unterauftragsverarbeiter sind in Anlage 2 aufgeführt und gelten als genehmigt.
2. Der Auftragsverarbeiter informiert den Verantwortlichen mindestens vier Wochen vor der Hinzuziehung oder Ersetzung eines Unterauftragsverarbeiters in Textform. Der Verantwortliche kann der Änderung innerhalb dieser Frist aus wichtigem datenschutzrechtlichem Grund in Textform widersprechen. Können sich die Parteien nicht einigen, kann der Verantwortliche den Hauptvertrag zum Zeitpunkt der Änderung außerordentlich kündigen.
3. Der Auftragsverarbeiter erlegt jedem Unterauftragsverarbeiter vertraglich die Datenschutzpflichten dieser Vereinbarung auf, insbesondere hinreichende Garantien für geeignete technische und organisatorische Maßnahmen.
4. Nicht als Unterauftragsverarbeitung gelten Nebenleistungen, bei denen der Dienstleister keinen Zugriff auf personenbezogene Daten des Verantwortlichen hat (z. B. Telekommunikationsleistungen, Bereitstellung der Apps über App-Stores).
5. Drittanbindungen des Verantwortlichen sind keine Unterauftragsverarbeiter. Dienste, die der Verantwortliche selbst beauftragt und deren Zugangsdaten er selbst in der Software hinterlegt – insbesondere TSE-Anbieter, Banken (FinTS), PayPal, Stripe, SumUp, sein E-Mail-Postfach bzw. Mailserver und die ELSTER-Schnittstelle der Finanzverwaltung – stehen in einem unmittelbaren Vertragsverhältnis zum Verantwortlichen. Die Übermittlung an diese Dienste erfolgt auf Weisung des Verantwortlichen; die datenschutzrechtliche Verantwortung für das Verhältnis zu diesen Diensten liegt beim Verantwortlichen.

§ 8 Unterstützung bei Betroffenenrechten und Pflichten des Verantwortlichen

1. Der Auftragsverarbeiter unterstützt den Verantwortlichen mit geeigneten technischen und organisatorischen Maßnahmen bei der Beantwortung von Anträgen betroffener Personen (Art. 12 bis 22 DSGVO). Die Software stellt hierfür insbesondere Funktionen zur Auskunft (Anzeige und Export), Berichtigung und Löschung von Datensätzen bereit.
2. Wendet sich eine betroffene Person unmittelbar an den Auftragsverarbeiter, leitet dieser das Anliegen unverzüglich an den Verantwortlichen weiter und beantwortet es nicht selbst, soweit er nicht dazu angewiesen ist.
3. Der Auftragsverarbeiter unterstützt den Verantwortlichen unter Berücksichtigung der ihm zur Verfügung stehenden Informationen bei der Einhaltung der Pflichten aus Art. 32 bis 36 DSGVO (Sicherheit, Meldung von Verletzungen, Datenschutz-Folgenabschätzung, vorherige Konsultation).
4. Für Unterstützungsleistungen, die über die Funktionen der Software und einen geringfügigen Aufwand hinausgehen und nicht durch einen Verstoß des Auftragsverarbeiters veranlasst sind, kann der Auftragsverarbeiter nach vorheriger Ankündigung eine Vergütung von 60 € netto je Stunde verlangen, abgerechnet nach tatsächlichem Aufwand in Viertelstunden.

§ 9 Meldung von Verletzungen des Schutzes personenbezogener Daten

1. Der Auftragsverarbeiter meldet dem Verantwortlichen eine Verletzung des Schutzes personenbezogener Daten unverzüglich, spätestens innerhalb von 24 Stunden nach Kenntniserlangung, in Textform an die im Konto hinterlegte E-Mail-Adresse und nach Möglichkeit zusätzlich telefonisch.
2. Die Meldung enthält, soweit bekannt, die Angaben nach Art. 33 Abs. 3 DSGVO: Art der Verletzung, Kategorien und ungefähre Zahl der betroffenen Personen und Datensätze, wahrscheinliche Folgen sowie ergriffene und vorgeschlagene Maßnahmen. Informationen, die noch nicht vorliegen, werden unverzüglich nachgereicht.
3. Der Auftragsverarbeiter trifft unverzüglich die erforderlichen Maßnahmen zur Sicherung der Daten und zur Minderung möglicher nachteiliger Folgen und stimmt sich hierzu mit dem Verantwortlichen ab.
4. Die Meldung an die Aufsichtsbehörde und die Benachrichtigung der betroffenen Personen obliegen dem Verantwortlichen.

§ 10 Löschung und Rückgabe nach Vertragsende

1. Nach Beendigung des Hauptvertrags hat der Verantwortliche 30 Tage lesenden Zugriff auf seine Daten, um sie selbst zu exportieren; auf Anfrage stellt der Auftragsverarbeiter innerhalb dieser Frist einen vollständigen Export in einem gängigen, maschinenlesbaren Format bereit.
2. Nach Ablauf dieser Frist löscht der Auftragsverarbeiter sämtliche personenbezogenen Daten des Verantwortlichen einschließlich der Instanz, der Datenbank und der zur Instanz gehörenden Jahressicherungen, sofern nicht nach dem Recht der Union oder Deutschlands eine Pflicht zur Speicherung besteht oder der Verantwortliche vor Ablauf der Frist in Textform etwas anderes verlangt. Daten in den laufenden Datensicherungen werden mit dem regulären Zyklus gelöscht (tägliche Sicherungen nach 14 Tagen, Monatssicherungen nach zwölf Monaten), spätestens also zwölf Monate nach der Löschung der Instanz; bis dahin sind sie gegen Zugriff geschützt und werden nicht mehr verarbeitet.
3. Der Auftragsverarbeiter bestätigt die Löschung auf Verlangen in Textform.
4. Die Aufbewahrungspflichten des Verantwortlichen (z. B. nach § 147 AO, § 257 HGB) erfüllt der Verantwortliche durch eigenen Export und eigene Aufbewahrung.

§ 11 Nachweise und Kontrollrechte

1. Der Auftragsverarbeiter stellt dem Verantwortlichen auf Anfrage alle erforderlichen Informationen zum Nachweis der Einhaltung der Pflichten aus Art. 28 DSGVO zur Verfügung, insbesondere eine aktuelle Beschreibung der technischen und organisatorischen Maßnahmen sowie Nachweise der Unterauftragsverarbeiter (z. B. Zertifikate des Rechenzentrumsbetreibers).
2. Der Verantwortliche ist berechtigt, Überprüfungen einschließlich Inspektionen selbst oder durch einen von ihm beauftragten, zur Verschwiegenheit verpflichteten Prüfer durchzuführen, der nicht in einem Wettbewerbsverhältnis zum Auftragsverarbeiter steht. Inspektionen vor Ort sind mit einer Frist von mindestens vier Wochen anzukündigen, finden während der üblichen Geschäftszeiten statt und dürfen den Betrieb sowie die Daten anderer Kunden nicht beeinträchtigen. Sie sind in der Regel höchstens einmal je Kalenderjahr zulässig, es sei denn, es besteht ein konkreter Anlass (z. B. eine Datenschutzverletzung).
3. Eine Inspektion der Rechenzentren des Unterauftragsverarbeiters erfolgt durch Vorlage von dessen Zertifikaten und Prüfberichten.
4. Den Aufwand für Inspektionen trägt jede Partei selbst; über einen geringfügigen Umfang hinausgehenden Aufwand des Auftragsverarbeiters kann dieser angemessen in Rechnung stellen, es sei denn, die Prüfung deckt einen Verstoß des Auftragsverarbeiters auf.

§ 12 Pflichten des Verantwortlichen

1. Der Verantwortliche ist für die Rechtmäßigkeit der Verarbeitung, insbesondere für das Vorliegen einer Rechtsgrundlage und die Erfüllung der Informationspflichten gegenüber den betroffenen Personen, allein verantwortlich.
2. Der Verantwortliche informiert den Auftragsverarbeiter unverzüglich, wenn er Fehler oder Unregelmäßigkeiten bei der Verarbeitung feststellt.

§ 13 Haftung

1. Für die Haftung gegenüber betroffenen Personen gilt Art. 82 DSGVO.
2. Im Innenverhältnis haftet jede Partei für die Schäden, die auf ihren eigenen Verstoß gegen die DSGVO oder diese Vereinbarung zurückzuführen sind. Im Übrigen gelten die Haftungsregelungen des Hauptvertrags, soweit Art. 82 DSGVO nicht entgegensteht.

§ 14 Schlussbestimmungen

1. Änderungen und Ergänzungen dieser Vereinbarung bedürfen der Textform.
2. Sollten einzelne Bestimmungen unwirksam sein, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt.
3. Es gilt deutsches Recht. Der Gerichtsstand richtet sich nach dem Hauptvertrag.

---

Anlage 1 – Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

1. Vertraulichkeit

Zutrittskontrolle

• Die Server werden in einem Rechenzentrum der IONOS SE in Deutschland betrieben. Physischer Zutritt ist nur dem Personal des Rechenzentrumsbetreibers gemäß dessen Sicherheitskonzept möglich. Die deutschen Rechenzentren der IONOS SE sind nach Angaben des Betreibers nach ISO/IEC 27001 zertifiziert.
• Der Auftragsverarbeiter selbst hat keinen physischen Zugang zu den Servern.
• Arbeitsgeräte des Auftragsverarbeiters, mit denen administriert wird, sind durch eine Gerätesperre mit Passwort geschützt.

Zugangskontrolle

• Anmeldung an der Software nur mit persönlichem Benutzerkonto und Passwort.
• Zwei-Faktor-Anmeldung (Passkey oder Authenticator-App) für Administrator-, Buchhaltungs- und Personalkonten verpflichtend; für übrige Benutzer optional.
• Administrativer Zugang der Administratoren des Auftragsverarbeiters zu den Servern nur über eine verschlüsselte VPN-Verbindung (Tailscale) bzw. per SSH mit Schlüsselauthentifizierung.
• Firewall auf dem Server; nach außen nur die für den Betrieb erforderlichen Dienste über HTTPS erreichbar.
• Anmeldesitzungen in der Software sind höchstens 30 Tage gültig; danach ist eine erneute Anmeldung erforderlich. Benutzer können sich jederzeit abmelden; beim Sperren eines Benutzerkontos werden alle seine Sitzungen sofort beendet. An gemeinsam genutzten Tablets (Tablet-Modus) werden persönliche Ansichten nach 40 Sekunden ohne Bedienung geschlossen. Ein Gerät, auf dem die Zwei-Faktor-Anmeldung gemerkt wird, gilt höchstens 30 Tage als vertrauenswürdig.

Zugriffskontrolle

• Rollen- und Rechtekonzept in der Software; Benutzer erhalten nur die Rechte, die der Verantwortliche ihnen zuweist.
• Zugriff des Auftragsverarbeiters auf Kundendaten nur zur Fehlerbehebung, Datensicherung oder bei Supportanfrage des Verantwortlichen.
• Zugangsdaten zu Drittdiensten, die der Verantwortliche hinterlegt (insbesondere Bank-PIN, Zugangsdaten zu TSE und Zahlungsdiensten), werden mit AES-256-GCM verschlüsselt gespeichert; der Schlüssel liegt getrennt von der Datenbank in einer Schlüsseldatei mit eingeschränkten Zugriffsrechten auf dem Server. API-Schlüssel für KI-Anbieter werden getrennt von der Datenbank in einer Datei mit eingeschränkten Zugriffsrechten gespeichert. Hinterlegte Zugangsdaten werden in der Software nicht im Klartext angezeigt.

Trennungskontrolle

• Für jeden Kunden wird eine eigene Instanz mit eigener Datenbank betrieben; Daten verschiedener Kunden werden nicht in einer gemeinsamen Datenbank verarbeitet.
• Test- und Entwicklungsumgebungen arbeiten nicht mit Echtdaten von Kunden.

Pseudonymisierung

• Eine Pseudonymisierung ist für den Vertragszweck (Verwaltung namentlich bekannter Kunden) nicht vorgesehen.

2. Integrität

Weitergabekontrolle

• Alle Verbindungen zwischen Browser bzw. App und Server sind per TLS verschlüsselt (HTTPS).
• Datensicherungen werden verschlüsselt gespeichert und übertragen.
• Übermittlungen an Drittdienste erfolgen nur über deren verschlüsselte Schnittstellen und nur auf Veranlassung des Verantwortlichen.

Eingabekontrolle

• Änderungen an wesentlichen Datensätzen (z. B. Rechnungen, Buchungen, Kassenvorgängen) werden mit Benutzer und Zeitpunkt protokolliert; festgeschriebene Buchungen und Kassendaten sind gegen nachträgliche Veränderung geschützt; Korrekturen erfolgen nur als nachvollziehbare Änderung mit Protokoll.
• Das Aktivitätsprotokoll ist technisch gegen Änderung und Löschung gesperrt. Protokolle zur Buchhaltung werden zehn Jahre aufbewahrt, übrige Protokolle, solange die Instanz besteht.
• Anmeldevorgänge werden protokolliert.

3. Verfügbarkeit und Belastbarkeit

• Nächtliche Datensicherung jeder Kundeninstanz, verschlüsselt mit AES-256 und einem Sicherungs-Passwort; ohne Sicherungs-Passwort wird nicht gesichert.
• Aufbewahrung der Sicherungen: die 14 neuesten täglichen Sicherungen sowie je Monat eine Sicherung für zwölf Monate; zusätzlich je Geschäftsjahr eine Jahressicherung für die Dauer des Vertrags.
• Speicherort der Sicherungen: auf dem Server im Rechenzentrum der IONOS SE sowie als verschlüsselte Kopie an einem zweiten, räumlich getrennten Standort der IONOS SE in Deutschland.
• Die Wiederherstellung wird monatlich automatisch getestet (Sicherung entschlüsseln, Datenbank öffnen, Integrität prüfen).
• Überwachung: Fehler im Sicherungslauf und beim Wiederherstellungstest werden den Administratoren automatisch gemeldet.
• Sicherheitsupdates für Betriebssystem und Laufzeitumgebung werden zeitnah eingespielt.
• Unterbrechungsfreie Stromversorgung, Klimatisierung und Brandschutz durch den Rechenzentrumsbetreiber.

4. Verfahren zur regelmäßigen Überprüfung

• Überprüfung dieser Maßnahmen mindestens einmal jährlich sowie nach wesentlichen Änderungen.
• Verfahren zur Meldung und Bearbeitung von Datenschutzverletzungen (§ 9).
• Auftragskontrolle: Unterauftragsverarbeiter werden nur mit Vertrag nach Art. 28 DSGVO eingesetzt.
• Datenschutzfreundliche Voreinstellungen: Funktionen, die Daten an Dritte übermitteln, sind erst nach Einrichtung durch den Verantwortlichen aktiv.

---

Anlage 2 – Unterauftragsverarbeiter

Keine Unterauftragsverarbeiter sind:

• Apple Inc. (App Store) und Google LLC (Google Play): Sie werden ausschließlich zur Verteilung der Apps genutzt. Kundendaten des Verantwortlichen werden über diese Dienste nicht verarbeitet; die App kommuniziert direkt und verschlüsselt mit dem Server des Auftragsverarbeiters. Push-Mitteilungen über Apple oder Google sowie Absturzberichte an Dritte werden derzeit nicht eingesetzt.
• Tailscale Inc. (VPN für den administrativen Zugang): verarbeitet nur Verbindungsdaten der Administratoren; der Datenverkehr ist Ende-zu-Ende verschlüsselt, ein Zugriff auf Kundendaten besteht nicht.
• Drittanbindungen des Verantwortlichen (TSE-Anbieter wie Swissbit oder fiskaly, Banken über FinTS, PayPal, Stripe, SumUp, E-Mail-Postfach bzw. Mailserver des Verantwortlichen, ELSTER, KI-Anbieter wie Anthropic oder OpenAI mit eigenem Zugang des Verantwortlichen für die KI-Belegerkennung und den Assistenten): Der Verantwortliche beauftragt diese Dienste selbst (§ 7 Abs. 5).