Auftragsverarbeitungsvertrag

Hinweis zum Status dieses Dokuments

Dieses Dokument ist ein Entwurf und wurde nicht anwaltlich geprüft. Es ersetzt keine Rechtsberatung. Vor dem verbindlichen Einsatz muss der Text durch eine Rechtsanwältin oder einen Rechtsanwalt geprüft und freigegeben werden.

Präambel

Verantwortlicher im Sinne des Art. 4 Nr. 7 DSGVO ist der Kunde (der Handwerksbetrieb). Auftragsverarbeiter im Sinne des Art. 4 Nr. 8 DSGVO ist der Anbieter:

Tobias Thöne
Braukämperhof 15
45899 Gelsenkirchen
Deutschland
E-Mail: sales@thoene-ge.de

Dieser Vertrag ergänzt die Allgemeinen Geschäftsbedingungen und geht diesen bei Widersprüchen in Fragen des Datenschutzes vor. Er wird mit Abschluss des Hauptvertrags wirksam und endet mit diesem.

Der Verantwortliche bleibt für die Rechtmäßigkeit der Verarbeitung und für die Wahrung der Rechte betroffener Personen verantwortlich.

1. Gegenstand der Verarbeitung

Gegenstand und Zweck der Verarbeitung ist die Bereitstellung der Software myTekton zur digitalen Auftragsverwaltung für den Verantwortlichen. Eine Verarbeitung zu eigenen Zwecken des Auftragsverarbeiters findet nicht statt.

Art der Verarbeitung: Erheben, Erfassen, Organisieren, Ordnen, Speichern, Anpassen, Auslesen, Abfragen, Verwenden, Übermitteln innerhalb des Systems, Einschränken, Löschen und Vernichten — jeweils ausschließlich im Rahmen der Erbringung der vertraglich vereinbarten Leistung.

Dauer: für die Laufzeit des Hauptvertrags zuzüglich der in Ziffer 6 geregelten Fristen.

Kategorien betroffener Personen:

• Beschäftigte des Verantwortlichen (einschließlich Auszubildender und Aushilfen)
• Auftraggeber und Kunden des Verantwortlichen sowie deren Ansprechpartner
• Sonstige Personen, die auf vom Verantwortlichen eingestellten Fotos oder in Dokumenten erkennbar sind

Kategorien personenbezogener Daten:

• Stammdaten: Namen, Firmierungen, Anschriften, Telefonnummern, E-Mail-Adressen
• Auftragsdaten: Auftragsnummern, Beschreibungen, Status, Termine, Kostenangaben
• Dokumentation: Baustellenfotos, Dokumente und Kommentare zu Aufträgen
• Beschäftigtendaten: Name, E-Mail-Adresse, Rolle innerhalb des Betriebs
• Zeit- und Planungsdaten: erfasste Arbeitszeiten pro Auftrag, Einsatzplanung, Kalendereinträge
• Zugangsdaten: E-Mail-Adresse als Anmeldename, Passwort in gehashter Form

Besondere Kategorien nach Art. 9 DSGVO sind nicht Gegenstand dieses Vertrags. myTekton sieht für solche Daten keine Felder vor. Erfasst der Verantwortliche gleichwohl Angaben, aus denen sich etwa Gesundheitsdaten ergeben — beispielsweise Abwesenheitsgründe in der Zeiterfassung oder Freitextkommentare —, geschieht dies in seiner alleinigen Verantwortung. Der Auftragsverarbeiter empfiehlt ausdrücklich, davon abzusehen.

2. Weisungsrecht

Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen. Der Hauptvertrag und dieser Vertrag stellen die Erstweisung dar.

Einzelweisungen erteilt der Verantwortliche in Textform an sales@thoene-ge.de. Mündlich erteilte Weisungen bestätigt der Verantwortliche unverzüglich in Textform. Der Auftragsverarbeiter dokumentiert erteilte Weisungen.

Ist der Auftragsverarbeiter der Auffassung, dass eine Weisung gegen die DSGVO oder andere Datenschutzvorschriften verstößt, teilt er dies dem Verantwortlichen unverzüglich mit. Er ist berechtigt, die Ausführung der betreffenden Weisung auszusetzen, bis der Verantwortliche sie bestätigt oder ändert.

Eine Verarbeitung außerhalb der Weisungen erfolgt nur, wenn der Auftragsverarbeiter hierzu nach Unionsrecht oder dem Recht eines Mitgliedstaats verpflichtet ist. In diesem Fall teilt er dem Verantwortlichen die rechtlichen Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht dies nicht aus wichtigem Grund des öffentlichen Interesses verbietet.

3. Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

Der Auftragsverarbeiter trifft die nachfolgenden Maßnahmen, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten:

• Verschlüsselung bei der Übertragung: Sämtliche Verbindungen zur Anwendung und zur Website erfolgen ausschließlich über TLS. Ein unverschlüsselter Aufruf wird auf die verschlüsselte Verbindung umgeleitet.
• Verschlüsselung im Ruhezustand: Die Datenbank und die abgelegten Dateien werden verschlüsselt gespeichert.
• Zugangskontrolle: Der Zugang zur Anwendung ist nur mit persönlichen Zugangsdaten möglich. Passwörter werden ausschließlich als Hashwert gespeichert, nie im Klartext.
• Zugriffskontrolle: Innerhalb eines Betriebs steuert ein Rollensystem mit sieben Rollen (Administration, Meister, Projektleitung, Facharbeit, Handwerk, Auszubildende, Buchhaltung), welche Daten ein Nutzer sehen und ändern kann. Die Rollen vergibt der Verantwortliche selbst. Beschäftigte in ausführenden Rollen sehen ausschließlich die ihnen zugewiesenen Aufträge; betriebswirtschaftliche Kennzahlen sind auf Administration, Projektleitung und Buchhaltung beschränkt.
• Trennungskontrolle: Die Anwendung ist mandantenfähig aufgebaut. Die Daten verschiedener Betriebe sind voneinander getrennt. Die Trennung greift auf zwei Ebenen: In der Datenbank ist für alle Tabellen Row-Level-Security aktiv, die jede Zeile an die Firmenzugehörigkeit des angemeldeten Nutzers bindet; der Dateispeicher ist nicht öffentlich und erlaubt Zugriff nur auf den Ordner der eigenen Firma. Im Anwendungspfad prüft jede Schnittstelle die Firmenzugehörigkeit und verweigert den Zugriff, wenn sie fehlt.
• Eingabekontrolle: Sicherheitsrelevante Vorgänge — beispielsweise das Anlegen von Beschäftigten, Rollenänderungen und Passwortrücksetzungen — werden mit Zeitstempel, handelnder Person und Ziel protokolliert.
• Missbrauchsbegrenzung: Schreibende Zugriffe unterliegen einer Mengenbegrenzung je Konto und Zeitfenster.
• Verfügbarkeitskontrolle: Der Datenbestand wird regelmäßig gesichert. Die Sicherungen unterliegen denselben Schutzmaßnahmen wie der Produktivbestand.
• Standort der Verarbeitung: Die Anwendungsdaten werden ausschließlich in Rechenzentren innerhalb der Europäischen Union verarbeitet (AWS-Region eu-central-1, Frankfurt am Main).
• Vertraulichkeit: Alle zur Verarbeitung befugten Personen sind zur Vertraulichkeit verpflichtet (Art. 28 Abs. 3 lit. b DSGVO). Die Verpflichtung gilt über das Ende der Tätigkeit hinaus.
• Datenminimierung durch Voreinstellung: Die Website mytekton.de setzt keine Cookies und bindet keine Inhalte Dritter ein; Schriftarten werden vom eigenen Server ausgeliefert. Die Reichweitenmessung läuft auf eigener Infrastruktur ohne Speicherung der IP-Adresse.

Die Maßnahmen unterliegen dem technischen Fortschritt. Der Auftragsverarbeiter darf sie ändern, solange das vereinbarte Schutzniveau nicht unterschritten wird. Wesentliche Änderungen dokumentiert er und teilt sie dem Verantwortlichen auf Anfrage mit.

4. Unterauftragsverarbeiter

Der Verantwortliche erteilt hiermit die allgemeine Genehmigung zur Hinzuziehung der nachfolgend genannten Unterauftragsverarbeiter (Art. 28 Abs. 2 Satz 2 DSGVO):

• Supabase Inc., 970 Toa Payoh North, Singapur — Anwendungs-Backend und Datenbank. Die Verarbeitung findet in der AWS-Region eu-central-1 (Frankfurt am Main) statt.
• Vercel Inc., 340 S Lemon Ave #4133, Walnut, CA 91789, USA — Auslieferung der Website mytekton.de. Vercel hat sich zur Einhaltung der EU-Standardvertragsklauseln verpflichtet.
• Hostinger International Ltd. — Bereitstellung der Infrastruktur für die Verarbeitung von Formulareingaben auf mytekton.de (Automatisierungsinstanz unter flow.mytekton.de). Der Server steht in einem Rechenzentrum in Frankfurt am Main.

Stripe Payments Europe, Ltd. (1 Grand Canal Street Lower, Dublin 2, Irland) wickelt die Zahlungen ab. Stripe verarbeitet die Zahlungsdaten in eigener Verantwortung und ist insoweit nicht Unterauftragsverarbeiter dieses Vertrags.

Der Auftragsverarbeiter unterrichtet den Verantwortlichen mindestens vier Wochen vorher in Textform über die Hinzuziehung eines weiteren oder die Ersetzung eines bestehenden Unterauftragsverarbeiters. Der Verantwortliche kann innerhalb dieser Frist aus einem wichtigen datenschutzrechtlichen Grund widersprechen. Widerspricht er, kann jede Partei den Hauptvertrag zum geplanten Wirksamwerden der Änderung kündigen.

Der Auftragsverarbeiter verpflichtet jeden Unterauftragsverarbeiter vertraglich zu Datenschutzpflichten, die den Pflichten aus diesem Vertrag entsprechen. Er haftet für deren Einhaltung wie für eigenes Handeln.

5. Betroffenenrechte

Wendet sich eine betroffene Person unmittelbar an den Auftragsverarbeiter, leitet dieser das Anliegen unverzüglich an den Verantwortlichen weiter und beantwortet es nicht selbst.

Der Auftragsverarbeiter unterstützt den Verantwortlichen mit geeigneten technischen und organisatorischen Maßnahmen dabei, seiner Pflicht zur Beantwortung von Anträgen auf Wahrnehmung der Rechte aus den Art. 15 bis 22 DSGVO nachzukommen — Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Datenübertragbarkeit und Widerspruch.

Soweit die Anwendung dafür Funktionen bereitstellt — insbesondere Export und Löschung von Datensätzen —, nutzt der Verantwortliche diese vorrangig selbst. Darüber hinausgehende Unterstützung erbringt der Auftragsverarbeiter innerhalb angemessener Frist.

Der Auftragsverarbeiter unterstützt den Verantwortlichen ferner bei der Einhaltung der Pflichten aus den Art. 32 bis 36 DSGVO, insbesondere bei einer Datenschutz-Folgenabschätzung und bei einer etwaigen vorherigen Konsultation der Aufsichtsbehörde.

6. Löschung und Rückgabe

Während der Laufzeit des Hauptvertrags kann der Verantwortliche seine Daten jederzeit über die in der Anwendung vorhandenen Exportfunktionen abrufen.

Nach Beendigung des Hauptvertrags bleiben die Daten 30 Tage zugänglich, damit der Verantwortliche sie exportieren kann. Nach Ablauf dieser Frist löscht der Auftragsverarbeiter sämtliche im Auftrag verarbeiteten personenbezogenen Daten innerhalb von weiteren 30 Tagen.

Dasselbe gilt für Zugänge, bei denen eine kostenlose Testphase abgelaufen ist, ohne dass ein kostenpflichtiger Vertrag gebucht wurde.

Daten in Sicherungskopien werden mit dem regulären Überschreiben der Sicherungen gelöscht. Bis dahin bleiben sie durch die Maßnahmen aus Ziffer 3 geschützt und werden nicht mehr für andere Zwecke verarbeitet.

Gesetzliche Aufbewahrungspflichten — insbesondere handels- und steuerrechtliche Pflichten hinsichtlich der Rechnungsdaten — bleiben unberührt. Die davon betroffenen Daten werden für die Dauer der Aufbewahrungsfrist in der Verarbeitung eingeschränkt.

Die Löschung bestätigt der Auftragsverarbeiter dem Verantwortlichen auf Verlangen in Textform.

7. Kontrollrechte

Der Auftragsverarbeiter stellt dem Verantwortlichen auf Anfrage alle Informationen zur Verfügung, die zum Nachweis der Einhaltung der Pflichten aus Art. 28 DSGVO erforderlich sind, und ermöglicht Überprüfungen.

Der Nachweis erfolgt vorrangig durch Auskunft in Textform, durch die Dokumentation der Maßnahmen aus Ziffer 3 sowie durch Nachweise und Zertifikate der eingesetzten Unterauftragsverarbeiter. Der Auftragsverarbeiter antwortet innerhalb von vier Wochen nach Zugang der Anfrage.

Genügen diese Nachweise im Einzelfall nicht, kann der Verantwortliche eine Überprüfung vor Ort verlangen. Sie ist mindestens vier Wochen vorher anzukündigen, findet während der üblichen Geschäftszeiten statt, darf den Betriebsablauf nicht unangemessen beeinträchtigen und erfolgt in der Regel höchstens einmal jährlich. Anlassbezogene Prüfungen bei einem konkreten Verdacht bleiben davon unberührt. Die Kosten einer Vor-Ort-Prüfung trägt der Verantwortliche, es sei denn, die Prüfung deckt einen erheblichen Verstoß des Auftragsverarbeiters auf.

Meldung von Verletzungen des Schutzes personenbezogener Daten: Der Auftragsverarbeiter meldet dem Verantwortlichen jede ihm bekannt gewordene Verletzung des Schutzes personenbezogener Daten unverzüglich, spätestens jedoch innerhalb von 24 Stunden nach Kenntniserlangung (Art. 33 Abs. 2 DSGVO). Die Meldung enthält, soweit verfügbar, eine Beschreibung der Art der Verletzung, die Kategorien und die ungefähre Zahl der betroffenen Personen und Datensätze, die wahrscheinlichen Folgen sowie die ergriffenen oder vorgeschlagenen Gegenmaßnahmen. Fehlende Angaben reicht er unverzüglich nach.

Der Auftragsverarbeiter unterstützt den Verantwortlichen bei dessen eigenen Melde- und Benachrichtigungspflichten nach den Art. 33 und 34 DSGVO.