Fünf Fragen, fünf Antworten
Wer eine Prüfsoftware auswählt, sollte dem Anbieter fünf Fragen stellen – zum
Serverstandort, zur Auftragsverarbeitung, zur Herausgabe der eigenen Daten, zum Umfang der
DVFG-Auftragsarten und zum Umgang mit Sicherheitslücken. Hier stehen unsere Antworten. Jede ist so
formuliert, dass Sie sie nachprüfen können.
Wo stehen die Server, und welche Rechtsordnung gilt?
Alle Server stehen in Deutschland, bei der Hetzner Online GmbH in Nürnberg.
Es gilt deutsches Recht.
Das betrifft nicht nur die Datenbank, sondern jeden Dienst, den die App benutzt:
Anmeldung, Kartendarstellung und Routenberechnung, Dateiablage, E-Mail-Versand und diese Website.
Nichts davon läuft über einen Dienst in den USA, und nichts über ein Unternehmen mit
US-Muttergesellschaft. Der CLOUD Act greift damit an keiner Stelle.
Auch die Sicherungen bleiben im Land: sie liegen auf Speicherplatz von Hetzner in Deutschland,
verschlüsselt.
Das ist keine Absichtserklärung auf einer Website, sondern steht so im Vertrag:
§ 3 Hosting nennt den Betreiber mit Anschrift und
schließt eine Übermittlung in ein Drittland ausdrücklich aus.
So prüfen Sie das nach
Schlagen Sie nach, wohin unsere Adressen zeigen, und wem die Adresse gehört. Alle
LIPEGA-Adressen – app.lipega.org, api.lipega.org, die Datenbank, der
Anmeldedienst, die Kartendienste und lipega.org selbst – führen auf dieselbe
deutsche Adresse im Netz der Hetzner Online GmbH (AS24940), Standort Nürnberg.
Unter Windows, Mac oder Linux genügt dafür nslookup app.lipega.org
in der Eingabeaufforderung; wem das zu umständlich ist, der fragt seinen IT-Dienstleister.
Gibt es einen Auftragsverarbeitungsvertrag nach Art. 28 DSGVO – und wer sind die Unterauftragnehmer?
Ja – und Sie müssen dafür nicht erst Kunde werden:
der vollständige Vertrag steht offen hier. Unterauftragnehmer ist ein
einziger: die Hetzner Online GmbH.
Sie bleiben der Verantwortliche im Sinne der DSGVO, wir sind Auftragsverarbeiter. Diese
Rollenverteilung ist in
§ 14 der Nutzungsbedingungen festgehalten; Absatz 2
verpflichtet uns, Ihnen den Vertrag bei Vertragsabschluss auszuhändigen. Wir stellen ihn
darüber hinaus vorab zum Lesen bereit, damit Ihr Datenschutzbeauftragter ihn prüfen kann,
bevor Sie sich entscheiden.
Er enthält beides, was in der Praxis fehlt: die technischen und
organisatorischen Maßnahmen als Beschreibung des tatsächlichen Betriebs statt als
Textbaustein, und die Liste der Unterauftragnehmer mit einer
Unterrichtungsfrist von vier Wochen, bevor sich daran etwas ändert.
Dass die Liste der Unterauftragnehmer so kurz ist, hat einen Grund: Was andere zukaufen,
betreiben wir selbst auf eigenen Servern. Auch das ist vertraglich festgehalten —
§ 3 Abs. 3 schließt weitere Unterauftragnehmer aus,
und Absatz 4 verpflichtet uns, Sie in Textform zu unterrichten, bevor sich daran etwas
ändert. Sie erfahren es also vorher, nicht aus einer aktualisierten Liste im Netz.
Die Kette in voller Länge
- Hetzner Online GmbH, Gunzenhausen – Server, Dateiablage und Sicherungen.
Der einzige Unterauftragnehmer.
- Anmeldung, Kartendienst, Routenberechnung, E-Mail-Versand – von uns
selbst betrieben, auf diesen Servern. Kein weiterer Anbieter, keine weiteren Verträge.
- Kein Analysedienst, kein Werbenetz,
kein externer Kartenanbieter, kein Versanddienstleister
für E-Mail.
App Store und Google Play verteilen die App, bekommen aber keine
Auftragsdaten. Sie sind Vertriebsweg, nicht Auftragsverarbeiter.
Wie kommen wir wieder an unsere Daten – auch beim Wechsel zu einem anderen Anbieter?
Jederzeit und ohne Begründung, in offenen Formaten. Ein Zurückbehaltungsrecht
an Ihren Daten haben wir vertraglich ausgeschlossen.
Das ist nicht nur eine Zusage auf dieser Seite, sondern steht in
§ 8 der Nutzungsbedingungen („Datenhoheit“): Sie bleiben
Alleinberechtigter an Ihren Daten und denen Ihrer Endkunden, können jederzeit die Herausgabe
einzelner oder sämtlicher Daten verlangen, und bei Vertragsende geben wir unverzüglich alles
heraus. Absatz 4 schließt ausdrücklich sowohl ein Zurückbehaltungsrecht als auch das
Vermieterpfandrecht nach § 562 BGB aus.
Im Klartext: Wir können Ihre Daten nicht als Druckmittel benutzen, wenn Sie kündigen wollen.
Genau diese Klausel entscheidet darüber, ob ein Wechsel überhaupt möglich ist.
Womit Sie herauskommen
- DVFG-Datensatz – das Format, das Ihr Auftraggeber ohnehin erwartet,
für Aufträge wie für Anlagendaten.
- Excel – für alles, was weiterverarbeitet oder geprüft werden soll.
- PDF – die unterschriebenen Protokolle, wie der Endkunde sie bekommt.
- JPG – die Fotodokumentation.
Dazu kommt der direkte Rückweg in die Software des Auftraggebers: Für die
Gasgeräte-Fernüberwachung (GFÜ) gibt es eine Schnittstelle, die
Prüfergebnisse ohne Zwischenschritt zurückmeldet.
Welche DVFG-Auftragsarten deckt die Software ab – und mit welchen Schlüsseln?
Alle gängigen Auftragsarten nach DVFG-Schlüssel 1.7.1, mit den Nummern der
Leistungstabelle 5.3.
Wir nennen die Schlüssel offen, damit Sie vor dem ersten Gespräch abgleichen können, ob Ihre
Aufträge dabei sind – statt es beim ersten Auftrag herauszufinden.
Abgedeckt
- Äußere Prüfung –
1100 1105 1120
- Innere Prüfung –
20000 21000 22000
22100 22101 22007
- Rohrleitungsprüfung –
2400 bis 2407,
für Nieder-, Mitteldruck und Flüssigphase
- Zählertausch –
2500 2501 2502
2503
- Kathodischer Korrosionsschutz –
22008
- Dienstleistungen allgemein –
9999
Fehlt eine Auftragsart? Wir nehmen sie mit rein, ohne zusätzliche Kosten für Sie.
Wie wird mit gemeldeten Sicherheitslücken umgegangen, und wer informiert wen in welcher Frist?
Es gibt einen veröffentlichten Meldeweg mit festen Fristen – und die Zusage,
Sie zu informieren, bevor eine Behebung fertig ist.
Eingangsbestätigung innerhalb von zwei Werktagen, erste Einschätzung innerhalb von fünf. Sind
Ihre Daten oder die Ihrer Endkunden betroffen, informieren wir Sie unverzüglich,
sobald wir das Ausmaß beurteilen können – auch dann, wenn die Lücke noch offen ist. Daneben
stehen die gesetzlichen Fristen: 72 Stunden an die Aufsichtsbehörde nach Art. 33 DSGVO, und ab
dem 11. September 2026 die 24-Stunden-Frühwarnung des Cyber Resilience Act.
