Vertrag zur Auftragsverarbeitung (AVV)
Dieser Vertrag nach Art. 28 DSGVO regelt die Verarbeitung personenbezogener Daten, die Sie als Verantwortlicher in Ihrer SaniMate-Umgebung speichern, durch uns als Auftragsverarbeiter.
Vertragspartner sind der Kunde als Verantwortlicher und IT-Service Enzo Berardi, Hölderlinstraße 15, 77704 Oberkirch, als Auftragsverarbeiter. Dieser AVV ist Bestandteil des Hauptvertrages (Nutzung von SaniMate) und gilt mit dessen Abschluss. Eine unterschriebene Fassung senden wir Ihnen mit dem Angebot oder auf Anfrage an [email protected].
Diese Seite ist für den Druck eingerichtet und enthält am Ende einen Unterschriftsblock — Drucken bzw. „Als PDF sichern“ ergibt die unterschriftsfähige Fassung.
§ 1 Gegenstand und Dauer
Gegenstand ist die Verarbeitung personenbezogener Daten durch den Auftragsverarbeiter im Auftrag des Verantwortlichen im Rahmen des Betriebs der SaniMate-Umgebung des Verantwortlichen (eigene, gehostete Umgebung mit eigener Datenbank) und der zugehörigen App. Die Dauer entspricht der Laufzeit des Hauptvertrages. Einzelheiten zu Datenarten und betroffenen Personen ergeben sich aus Anhang 1.
§ 2 Art, Zweck, Datenarten und betroffene Personen
Art und Zweck: Bereitstellung, Hosting und Betrieb einer Software für Handwerksbetriebe (Speicherung, Verwaltung und Anzeige der vom Verantwortlichen eingegebenen Daten) sowie zugehörige Hilfsfunktionen (z. B. Versand von Benachrichtigungen, Erstellung von Belegen, Protokollen und Berichten, Datensicherung, Wartung und Software-Updates).
Datenarten und betroffene Personen: siehe Anhang 1. Maßgeblich ist die tatsächliche Nutzung der Funktionen durch den Verantwortlichen.
§ 3 Pflichten des Auftragsverarbeiters
- Verarbeitung ausschließlich nach dokumentierter Weisung des Verantwortlichen, sofern nicht gesetzlich anders verpflichtet;
- Verpflichtung der mit der Verarbeitung befassten Personen auf Vertraulichkeit;
- Umsetzung geeigneter technischer und organisatorischer Maßnahmen nach Art. 32 DSGVO (siehe Anhang 3);
- Unterstützung des Verantwortlichen bei der Beantwortung von Betroffenenanfragen (Art. 12–23 DSGVO) sowie bei den Pflichten aus Art. 32–36 DSGVO, soweit zumutbar;
- unverzügliche Meldung von Verletzungen des Schutzes personenbezogener Daten an den Verantwortlichen;
- Führung der erforderlichen Verzeichnisse nach Art. 30 Abs. 2 DSGVO;
- Löschung oder Rückgabe der Daten nach Beendigung des Auftrags (siehe § 7).
§ 4 Unterauftragsverarbeiter
Der Verantwortliche erteilt die allgemeine Genehmigung zum Einsatz der in Anhang 2 aufgeführten Unterauftragsverarbeiter. Über beabsichtigte Änderungen informiert der Auftragsverarbeiter mindestens 4 Wochen im Voraus in Textform; der Verantwortliche kann aus wichtigem, datenschutzrechtlichem Grund widersprechen. Mit jedem Unterauftragsverarbeiter bestehen Verträge nach Art. 28 DSGVO; bei Empfängern außerhalb der EU bzw. des EWR ist die Übermittlung über einen Angemessenheitsbeschluss (insbesondere EU-U.S. Data Privacy Framework) und/oder EU-Standardvertragsklauseln abgesichert.
§ 5 Rechte des Verantwortlichen, Weisungen
Der Verantwortliche bleibt im datenschutzrechtlichen Sinne „Herr der Daten“. Weisungen erfolgen in der Regel in Textform. Hält der Auftragsverarbeiter eine Weisung für rechtswidrig, weist er darauf hin und darf ihre Ausführung bis zur Bestätigung aussetzen.
§ 6 Technische und organisatorische Maßnahmen (Art. 32 DSGVO)
Der Auftragsverarbeiter trifft die in Anhang 3 beschriebenen Maßnahmen. Er darf sie fortentwickeln, solange das Schutzniveau nicht unterschritten wird.
§ 7 Löschung und Rückgabe
Nach Beendigung des Hauptvertrages stellt der Auftragsverarbeiter dem Verantwortlichen einen vollständigen Export seiner Daten zur Verfügung und löscht die Daten anschließend nach einer angemessenen Karenzzeit endgültig. Belege, für die den Verantwortlichen gesetzliche Aufbewahrungspflichten treffen (etwa mit SaniMate erstellte Rechnungen), muss dieser vor Vertragsende exportieren; der Auftragsverarbeiter weist rechtzeitig darauf hin.
§ 8 Nachweise und Kontrollen
Der Auftragsverarbeiter stellt dem Verantwortlichen die zum Nachweis der Einhaltung erforderlichen Informationen auf Anfrage bereit und ermöglicht angemessene Überprüfungen. Kontrollen vor Ort werden mit angemessener Frist angekündigt und erfolgen ohne Störung des Betriebs.
§ 9 Vom Verantwortlichen selbst beauftragte Dienste (Abgrenzung)
SaniMate bindet auf Wunsch des Verantwortlichen dessen eigene Konten bei Drittdiensten an — insbesondere eine Buchhaltungssoftware (Papierkram, sevDesk oder Lexware Office), einen SMS-Anbieter, eine Telefonanlage oder Telefonie-Anbieter, einen Inkasso-Dienst, den eigenen E-Mail-Versand (SMTP), Google Kalender bzw. Outlook / Microsoft 365 sowie bei Nutzung der KI-Funktionen den gewählten KI-Anbieter, jeweils mit eigenem Konto. Diese Dienste beauftragt der Verantwortliche selbst und direkt (eigener Vertrag, eigene Zugangsdaten); sie sind keine Unterauftragsverarbeiter des Auftragsverarbeiters. Der Auftragsverarbeiter speichert insoweit lediglich die Zugangsdaten (verschlüsselt) und übermittelt Daten technisch im Auftrag des Verantwortlichen an dessen Dienste.
§ 10 Schlussbestimmungen
Es gilt das Recht der Bundesrepublik Deutschland. Im Verhältnis der Parteien gelten ergänzend die Regelungen des Hauptvertrages und der DSGVO. Sollten einzelne Bestimmungen unwirksam sein, bleibt die Wirksamkeit der übrigen unberührt.
Anhang 1 — Datenarten und betroffene Personen
Je nach genutzten Funktionen verarbeitet die Umgebung insbesondere:
| Bereich | Datenarten (Beispiele) |
|---|---|
| Kunden, Objekte und Beteiligte | Name, Firma, Anschrift, E-Mail, Telefonnummer, Kundennummer; Objektadressen; Eigentümer, Mieter, Hausverwaltungen und Ansprechpartner am Objekt; Zugangshinweise |
| Anlagen und Anlagenakte | Geräte- und Anlagendaten, Standort im Objekt, Verlauf, Dokumente, Fotos |
| Kundendienst, Termine und Notdienst | Auftrags- und Termindaten, Einsatzort, Störungsbeschreibungen, Statusverläufe, Unterschriften, Arbeitsberichte |
| Wartung, Protokolle und Pflichten | Prüf- und Wartungsprotokolle mit Messwerten und Unterschriften, F-Gas-Aufzeichnungen, Nachweise zu Prüfpflichten, Garantien |
| Fotodokumentation | Fotos mit Aufnahmezeitpunkt und gegebenenfalls Aufnahmeort, Markierungen, Urheber |
| Angebote, Rechnungen, Eingangsrechnungen | Belege mit Käufer- und Leistungsangaben, Zahlungen, E-Rechnungen von Lieferanten, Bestellungen |
| Mitarbeiter | Benutzerkonten, Rechte, Arbeitszeiten und Pausen, Einsatzzeiten, Abwesenheiten, Notdienste, Qualifikationen mit Nachweisen und Ablaufdatum, Lohngruppen |
| Live-Anfahrt | Zuletzt gemeldete Position während einer freigegebenen Fahrt (kein Verlauf) |
| Interessenten und Anfragen | Angaben aus Online-Fragebögen, Fotos, Nachrichten, Kundenportal und Freigaben von Hausverwaltungen |
| Protokolle | Anmelde- und Änderungsprotokolle, gekürzte IP-Adressen |
Betroffene Personen: Kunden, Interessenten, Eigentümer, Mieter, Hausverwaltungen, Ansprechpartner und sonstige Kontakte des Verantwortlichen, Lieferanten sowie dessen Mitarbeiter.
Anhang 2 — Unterauftragsverarbeiter
| Unterauftragsverarbeiter | Zweck | Sitz | Drittland-Absicherung |
|---|---|---|---|
| myLoc managed IT AG (webtropia) | Rechenzentrum, Bereitstellung des Servers (kein inhaltlicher Datenzugriff) | Düsseldorf, DE | — (EU/DE) |
| Cloudflare, Inc. | Auslieferung und Schutz aller Zugriffe (Tunnel, TLS, Abwehr von Überlastungsangriffen) | USA | EU-U.S. DPF + EU-Standardvertragsklauseln |
| Google Ireland Ltd. (Firebase Cloud Messaging) | Push-Benachrichtigungen der App, nur bei Nutzung (Zustell-Token, Inhalt der Benachrichtigung) | Irland (ggf. Google LLC, USA) | EU-U.S. DPF + EU-Standardvertragsklauseln |
| Sendinblue SAS (Brevo) | Versand von System-E-Mails der Plattform an den Verantwortlichen (nicht an dessen Kunden) | Paris, FR | — (EU) |
Anwendung und Datenbank laufen auf einem eigenen, dediziert gemieteten Server des Auftragsverarbeiters in Deutschland; die Server-Verwaltung erfolgt ausschließlich durch den Auftragsverarbeiter. E-Mails der Umgebung an Kunden des Verantwortlichen laufen über den vom Verantwortlichen eingerichteten Versanddienst (§ 9).
Anhang 3 — Technische und organisatorische Maßnahmen (Art. 32 DSGVO)
Trennungskontrolle
- Jeder Kunde erhält eine eigene, abgeschottete Umgebung (eigener Container) mit eigener Datenbank;
- Kundenportal, öffentliche Seiten und Verwaltung mit getrennten Sitzungen und Protokollen.
Zugangs- und Zugriffskontrolle
- Zwei-Faktor-Anmeldung für Benutzer; Rechte je Benutzer und Bereich, Finanzzahlen nur mit Sonderrecht;
- Schutz gegen Durchprobieren von Passwörtern und Begrenzung der Anfragen auf allen öffentlichen Zugängen;
- Sitzungs-Cookies mit
HttpOnly/Secure/SameSite, automatischer Sitzungsablauf; - Serverzugriff ausschließlich durch den Auftragsverarbeiter, schlüsselbasiert, keine offenen Ports (Zugriff nur über abgesicherten Tunnel).
Verschlüsselung und Weitergabekontrolle
- Transportverschlüsselung (TLS/HTTPS) für sämtliche Zugriffe;
- Zugangsdaten und Geheimnisse verschlüsselt gespeichert (AES-256);
- hochgeladene Dateien außerhalb des öffentlich erreichbaren Bereichs, Auslieferung nur nach Anmeldung, Prüfung des Dateityps.
Verfügbarkeit und Belastbarkeit
- regelmäßige automatisierte Sicherungen; zusätzlich jederzeit abrufbarer, verschlüsselter Voll-Export;
- Wiederherstellbarkeit aus Sicherungen;
- zeitnahe, zentrale Versorgung aller Umgebungen mit (Sicherheits-)Updates.
Eingabekontrolle und Löschkonzept
- Protokolle sicherheits- und geschäftsrelevanter Vorgänge; festgeschriebene Rechnungen und Protokolle mit Prüfsumme;
- automatische Meldung erkannter Angriffe an den Auftragsverarbeiter und den Administrator des Verantwortlichen;
- automatisierte, tägliche Durchsetzung definierter Löschfristen;
- Kürzung von IP-Adressen, wo ohne Funktionsverlust möglich.
Unterschriften
|
Verantwortlicher
Firma / Name
Ort, Datum, Unterschrift |
Auftragsverarbeiter
Ort, Datum, Unterschrift (Enzo Berardi) |
„SaniMate“ ist ein Angebot von IT-Service Enzo Berardi, Hölderlinstraße 15, 77704 Oberkirch.