Auftragsverarbeitungsvertrag
Anlage 1 zu den Allgemeinen Geschäftsbedingungen der Spacenus GmbH
Art. 28 DSGVO
Gültig ab: 18.09.2026
Version: 1.0
Zwischen
Spacenus GmbH, Hilpertstraße 31, 64295 Darmstadt („Auftragsverarbeiter")
und
dem im Bestellformular genannten Kunden („Verantwortlicher").
1. Gegenstand
(1) Dieser Vertrag regelt die Verarbeitung personenbezogener Daten durch Spacenus im Auftrag des Verantwortlichen im Zusammenhang mit der Spacenus-Plattform.
(2) Er erfasst nicht die Verarbeitungen, bei denen Spacenus eigenständig Verantwortlicher ist — insbesondere Kontodaten sowie die Verifizierung von Praktiken und die Ausstellung von Digital-Proof-of-Practice-Zertifikaten. Hierfür gelten § 15 Abs. 3 der AGB und die Datenschutzerklärung für die Plattform.
2. Art und Zweck der Verarbeitung
Speicherung, Organisation, Auswertung, Übermittlung und Löschung personenbezogener Daten zur Bereitstellung von Betriebs- und Flächenmanagement, satellitengestützter und agronomischer Kartierung, Nährstoffempfehlungen, Nachhaltigkeitsbewertungen und zugehörigen Funktionen, für die Dauer des Hauptvertrags.
3. Datenkategorien und betroffene Personen
Betroffene Personen: Nutzer und Beschäftigte des Verantwortlichen; Landwirte, Feldarbeiter und Grundstückseigentümer, deren Daten der Verantwortliche einträgt oder die auf Feldfotos erscheinen; Kontaktpersonen des Verantwortlichen.
Datenkategorien: Name und Kontaktdaten; Rolle und Berechtigungen; Standort und Geometrie von Betrieben und Feldern; Fruchtart-, Vegetationsperioden-, Ertrags- und Düngedaten; geotaggte Feldfotos mit Zeitstempel; Nutzungsprotokolle einschließlich IP-Adresse.
Besondere Kategorien: werden nicht gezielt verarbeitet.
4. Weisungen
(1) Spacenus verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen. Der Hauptvertrag, dieser Vertrag und die Nutzung der Funktionen des Dienstes stellen Weisungen dar.
(2) Hält Spacenus eine Weisung für datenschutzrechtswidrig, informiert sie den Verantwortlichen unverzüglich und kann die Ausführung bis zur Bestätigung aussetzen.
(3) Verpflichtet Unionsrecht oder mitgliedstaatliches Recht zur Verarbeitung, informiert Spacenus den Verantwortlichen vorab, sofern dies nicht verboten ist.
5. Vertraulichkeit
Spacenus verpflichtet alle zur Verarbeitung befugten Personen zur Vertraulichkeit oder stellt sicher, dass sie einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen.
6. Sicherheit der Verarbeitung (Art. 32 DSGVO)
Spacenus unterhält geeignete technische und organisatorische Maßnahmen gemäß Anlage A und kann diese ändern, sofern das Schutzniveau nicht unterschritten wird.
7. Unterauftragsverarbeiter
(1) Der Verantwortliche erteilt eine allgemeine Genehmigung für Unterauftragsverarbeiter. Die aktuelle Liste findet sich unter spacenus.com/subprocessors und in Anlage B.
(2) Spacenus informiert den Verantwortlichen mindestens 30 Tage vor Hinzunahme oder Austausch eines Unterauftragsverarbeiters. Innerhalb dieser Frist kann der Verantwortliche aus sachlichen datenschutzrechtlichen Gründen widersprechen. Kommt keine Einigung zustande, kann jede Partei den betroffenen Teil des Dienstes zum Wirksamwerden der Änderung kündigen.
(3) Spacenus verpflichtet jeden Unterauftragsverarbeiter auf gleichwertige Pflichten und haftet für dessen Leistung wie für eigene.
8. Unterstützungspflichten
Spacenus unterstützt den Verantwortlichen unter Berücksichtigung der Art der Verarbeitung:
bei der Beantwortung von Betroffenenanfragen nach Art. 12 bis 23 DSGVO, unter anderem durch Export-, Berichtigungs- und Löschfunktionen im Dienst;
bei den Pflichten nach Art. 32 bis 36 DSGVO — Sicherheit, Meldung von Verletzungen, Datenschutz-Folgenabschätzung und vorherige Konsultation.
Unmittelbar bei Spacenus eingehende Betroffenenanfragen werden unverzüglich an den Verantwortlichen weitergeleitet und nicht selbst beantwortet.
9. Verletzungen des Schutzes personenbezogener Daten
Spacenus informiert den Verantwortlichen unverzüglich, spätestens innerhalb von 48 Stunden nach Kenntnis einer Verletzung des Schutzes personenbezogener Daten mit den verfügbaren Informationen und ergänzt diese im Verlauf der Aufklärung.
10. Internationale Übermittlungen
Die Verarbeitung erfolgt in der EU (Frankfurt am Main). Sitzt ein Unterauftragsverarbeiter außerhalb des EWR, stützt sich Spacenus auf einen Angemessenheitsbeschluss, das EU-US Data Privacy Framework oder Standardvertragsklauseln.
11. Kontrollrechte
(1) Spacenus stellt dem Verantwortlichen die zum Nachweis der Einhaltung des Art. 28 DSGVO erforderlichen Informationen zur Verfügung.
(2) Der Verantwortliche kann einmal jährlich sowie zusätzlich nach einer Verletzung des Schutzes personenbezogener Daten eine Überprüfung durchführen, mit einer Ankündigungsfrist von 30 Tagen, während der Geschäftszeiten, ohne Betriebsablaufstörung und unter Wahrung der Vertraulichkeit. Spacenus kann eine Überprüfung durch Vorlage aktueller Testberichte oder Bewertungen Dritter erfüllen, soweit diese die Fragen des Verantwortlichen beantworten.
12. Löschung und Rückgabe
Nach Vertragsende löscht Spacenus die personenbezogenen Daten oder gibt sie zurück, nach Wahl des Verantwortlichen, sofern keine unions- oder mitgliedstaatsrechtliche Aufbewahrungspflicht besteht. Für den Exportvorgang gilt § 21 der AGB.
13. Haftung und Vorrang
Für die Haftung gilt Art. 82 DSGVO. Widerspricht dieser Vertrag dem Hauptvertrag in datenschutzrechtlichen Fragen, geht dieser Vertrag vor.
Anlage A — Technische und organisatorische Maßnahmen
Zugriffskontrolle. Rollenbasierte und feingranulare Berechtigungen; individuelle Konten; tokenbasierte Authentifizierung; Single Sign-on unterstützt; Least-Privilege für administrative Zugriffe.
Verschlüsselung. TLS bei der Übertragung; Verschlüsselung gespeicherter Daten und Medien.
Trennung. Mandantentrennung nach Unternehmen; kein unternehmensübergreifender Zugriff ohne protokollierte Freigabe.
Pseudonymisierung. Identitätsdaten werden getrennt vom Feldattribut- und Änderungsprotokoll des Verifizierungsnachweises gespeichert. Direkte Identifikatoren werden vor externen Modellaufrufen aus dem Text des KI-Assistenten entfernt.
Protokollierung. API-Anfragen mit Endpunkt, Methode, Status, Antwortzeit, IP und User-Agent; sensible Felder maskiert; Aufbewahrung 90 Tage.
Verfügbarkeit. Hosting bei Amazon Web Services in Frankfurt am Main; regelmäßige Sicherungen; dokumentiertes Wiederherstellungsverfahren.
Prüfungen. Regelmäßig beauftragte Penetrationstests; Nachverfolgung der Feststellungen bis zur Behebung.
Personal. Vertraulichkeitsverpflichtungen; Zugriff nach Need-to-know; Entzug bei Rollenende.
Steuerung der Unterauftragsverarbeiter. Schriftliche Vereinbarungen mit jedem Unterauftragsverarbeiter; veröffentlichte Liste; Änderungsmitteilung.
Anlage B — Unterauftragsverarbeiter
Amazon Web Services EMEA SARL, Frankfurt am Main, Deutschland — Cloud-Rechenleistung und -Speicherung.
Stripe Payments Europe Ltd., Irland — Zahlungsabwicklung und Rechnungsstellung.
Microsoft Ireland Operations Ltd., Irland / EU — Transaktions-E-Mails.
Cool Farm Alliance, Vereinigtes Königreich — Treibhausgas- und Nachhaltigkeitsbewertung.
Open-Meteo, EU — historische Wetterdaten.
Google Ireland Ltd., Irland — Karten und Satellitenbildmaterial.
OpenRouter, Inc., Verarbeitung über den EU-Endpunkt — Routing der Anfragen des KI-Assistenten.
Die aktuelle Liste ist unter spacenus.com/subprocessors veröffentlicht.
Spacenus GmbH · Version 1.0 · Gültig ab 18.09.2026