1.1 Dieser Vertrag zur Auftragsverarbeitung („AVV“) konkretisiert die datenschutzrechtlichen Pflichten der Parteien für die Verarbeitung personenbezogener Daten, die der Anbieter (Hakan Cokkisku, nachfolgend „Anbieter“) im Auftrag des Kunden im Rahmen der Bereitstellung und Nutzung der Software „HandwerkPapierlos“ vornimmt. Er ergänzt den zwischen den Parteien geschlossenen Nutzungsvertrag (AGB) um die nach Art. 28 Abs. 3 DSGVO erforderlichen Regelungen.

1.2 Soweit der Anbieter im Auftrag des Kunden personenbezogene Daten der Endkunden, Interessenten und Ansprechpartner des Kunden verarbeitet, ist der Kunde Verantwortlicher im Sinne des Art. 4 Nr. 7 DSGVO und der Anbieter Auftragsverarbeiter im Sinne des Art. 4 Nr. 8 DSGVO. Der Kunde ist für die Rechtmäßigkeit der Verarbeitung sowie für die Wahrung der Rechte der betroffenen Personen verantwortlich (Art. 4 Nr. 7, Art. 24 DSGVO).

1.3 Für die Konto- und Stammdaten des Kunden selbst (insbesondere dessen Name, Firmen- und Kontaktdaten sowie dessen Abo- und Zahlungsdaten) ist der Anbieter dagegen eigener Verantwortlicher; diese Verarbeitung ist nicht Gegenstand dieses AVV, sondern richtet sich nach der Datenschutzerklärung des Anbieters.

1.4 Dieser AVV gilt für die gesamte Verarbeitung personenbezogener Daten im Auftrag, auch soweit sie über die Synchronisation der Offline-First-App, über Unterauftragsverarbeiter oder im Rahmen von Support-Tätigkeiten erfolgt.

1.5 Bei Widersprüchen zwischen diesem AVV und sonstigen Vereinbarungen der Parteien gehen in Fragen der Verarbeitung personenbezogener Daten im Auftrag die Regelungen dieses AVV vor. Im Übrigen gelten der Nutzungsvertrag (AGB) und die Datenschutzerklärung fort.

1.6 Dieser AVV kommt mit der Registrierung bzw. der ausdrücklichen Annahme durch den Kunden im Rahmen des Nutzungsvertrags zustande. Vertragspartei auf Kundenseite ist der im Nutzerkonto hinterlegte Unternehmer. Der Abschluss in Textform (§ 126b BGB), auch in elektronischer Form, ist ausreichend.

2.1 Gegenstand und Zweck der Verarbeitung ist die Bereitstellung der Funktionen der Software für die betriebliche Verwaltung des Kunden, insbesondere die Kunden-, Angebots-, Rechnungs- und E-Rechnungs-, Baustellen-, Zeiterfassungs-, Zahlungs- und Mahnungsverwaltung sowie der Versand von Belegen und Mahnungen. Der Anbieter verarbeitet die im Auftrag überlassenen Daten ausschließlich zu diesem Zweck und im Rahmen der vom Kunden veranlassten Funktionen.

2.2 Art der Verarbeitung sind insbesondere das Erheben, Erfassen, Speichern, Anpassen, Auslesen, Übermitteln (z. B. Versand von Belegen und Mahnungen), Synchronisieren zwischen Endgerät und Server, Ordnen und Löschen der überlassenen Daten – jeweils im Umfang der vom Kunden genutzten Funktionen.

2.3 Die Verarbeitung umfasst folgende Arten personenbezogener Daten der vom Kunden erfassten Personen: Stamm- und Kontaktdaten (z. B. Name, Anschrift, E-Mail-Adresse, Telefonnummer), Vertrags- und Rechnungsdaten (z. B. Angebots-, Rechnungs-, Zahlungs- und Mahndaten, Leistungspositionen, Beträge), – soweit der Kunde die Zeiterfassung bzw. die Personalverwaltung nutzt – Beschäftigtendaten seiner Mitarbeiter (z. B. Name, erfasste Arbeitszeiten und Tätigkeits-/Baustellenzuordnungen, Abwesenheitszeiten nebst Abwesenheitsgrund – Urlaub, Krankheit, unbezahlte oder sonstige Abwesenheit –, Urlaubsanspruch und Urlaubskonto sowie Beschäftigungs-Stammdaten wie Eintrittsdatum und vereinbarte Arbeitstage bzw. -zeiten; Angaben zur Krankheit beschränken sich dabei auf den Zeitraum der Arbeitsunfähigkeit ohne Diagnosen oder ärztliche Bescheinigungen), – soweit der Kunde Angebote oder Arbeitsnachweise über einen öffentlichen Link teilt – die Angaben der annehmenden bzw. bestätigenden Person (z. B. Name, Kommentar, Zeitpunkt sowie IP-Adresse und Browser-Kennung als Nachweis) sowie – soweit vom Kunden erfasst – Fotos und Dokumente (z. B. Baustellenfotos und PDF-Dokumente).

2.4 Kreis der betroffenen Personen sind die Kunden, Interessenten und Ansprechpartner des Kunden, dessen Beschäftigte/Mitarbeiter (bei Nutzung der Zeiterfassung) sowie Personen, die ein vom Kunden geteiltes Angebot oder einen geteilten Arbeitsnachweis über einen öffentlichen Link annehmen bzw. bestätigen.

2.5 Die Dauer der Verarbeitung entspricht der Laufzeit des Nutzungsvertrags (AGB). Sie endet mit dessen Beendigung, vorbehaltlich der Regelungen zu Löschung und Rückgabe (Ziffer 9).

2.6 Der Kunde stellt sicher, dass er nur solche personenbezogenen Daten in die Software einstellt, für deren Verarbeitung er über eine Rechtsgrundlage verfügt, und dass seine Weisungen rechtmäßig sind. Nutzt der Kunde die Zeiterfassung, erfasst die Software Abwesenheiten mit dem Grund „Krankheit“ ausschließlich als Zeitraum der Arbeitsunfähigkeit; insoweit können besondere Kategorien personenbezogener Daten (Gesundheitsdaten, Art. 9 DSGVO) verarbeitet werden. Diagnosen, ärztliche Bescheinigungen (Arbeitsunfähigkeitsbescheinigungen) oder sonstige Angaben zum Gesundheitszustand sieht die Software nicht vor; solche Angaben sind nicht einzustellen. Darüber hinausgehende besondere Kategorien personenbezogener Daten (Art. 9 DSGVO) sind nicht Gegenstand der bestimmungsgemäßen Nutzung; stellt der Kunde solche Daten dennoch ein, geschieht dies in seiner alleinigen Verantwortung.

3.1 Der Anbieter verarbeitet die personenbezogenen Daten ausschließlich auf dokumentierte Weisung des Kunden, es sei denn, er ist nach dem Recht der Union oder der Mitgliedstaaten, dem er unterliegt, zur Verarbeitung verpflichtet; in einem solchen Fall teilt der Anbieter dem Kunden diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht eine solche Mitteilung nicht wegen eines wichtigen öffentlichen Interesses verbietet.

3.2 Die Weisungen des Kunden ergeben sich grundsätzlich aus diesem AVV und dem Nutzungsvertrag sowie aus der bestimmungsgemäßen Nutzung der Funktionen der Software durch den Kunden (Verarbeitung im Rahmen der jeweils genutzten Funktion). Darüber hinausgehende Einzelweisungen erteilt der Kunde in Textform an den Anbieter; der Anbieter setzt sie im Rahmen des technisch und vertraglich Möglichen um. Mündliche Weisungen bestätigt der Kunde unverzüglich in Textform nach.

3.3 Ist der Anbieter der Auffassung, dass eine Weisung des Kunden gegen die DSGVO oder gegen andere Datenschutzbestimmungen der Union oder der Mitgliedstaaten verstößt, informiert er den Kunden unverzüglich hierüber (Art. 28 Abs. 3 Satz 3 DSGVO). Der Anbieter ist berechtigt, die Durchführung der betreffenden Weisung bis zu deren Bestätigung oder Änderung durch den Kunden auszusetzen.

3.4 Weisungen erteilt und nimmt entgegen auf Seiten des Kunden die in dessen Konto als Inhaber/Administrator hinterlegte Person oder eine von ihr benannte Person. Ansprechpartner des Anbieters für datenschutzbezogene Anliegen und Weisungen ist die im Impressum bzw. in der Datenschutzerklärung genannte Kontaktadresse. Änderungen der zuständigen Personen teilen die Parteien einander in Textform mit.

4.1 Der Anbieter setzt für die Verarbeitung der überlassenen Daten nur Personen ein, die zur Vertraulichkeit verpflichtet wurden oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen. Die Verpflichtung zur Vertraulichkeit besteht auch nach Beendigung der jeweiligen Tätigkeit fort.

4.2 Der Anbieter stellt sicher, dass die zur Verarbeitung befugten Personen die personenbezogenen Daten nur auf Weisung des Kunden und im Umfang ihrer Aufgabe verarbeiten, sofern sie nicht nach dem Recht der Union oder der Mitgliedstaaten zur Verarbeitung verpflichtet sind (Art. 29, Art. 32 Abs. 4 DSGVO).

5.1 Der Anbieter trifft unter Berücksichtigung des Stands der Technik, der Implementierungskosten sowie der Art, des Umfangs, der Umstände und der Zwecke der Verarbeitung die nach Art. 32 DSGVO erforderlichen technischen und organisatorischen Maßnahmen, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten. Hierzu gehören insbesondere:

• Mandantentrennung: strikte Trennung der Daten der einzelnen Betriebe über eine fail-closed konfigurierte Zugriffssteuerung auf Datensatzebene der Datenbank (Postgres Row-Level-Security), die aus einem signierten Zugangstoken (JWT) abgeleitet wird, sodass jeder Betrieb ausschließlich seine eigenen Daten verarbeiten kann;

• Transportverschlüsselung: durchgehende Verschlüsselung sämtlicher Verbindungen nach dem Stand der Technik (HTTPS/TLS);

• Zugriffs- und Zugangskontrolle: rollenbasierte Berechtigungen (OWNER/ADMIN/MEMBER), Authentifizierung über kurzlebige Zugangstoken (JWT) mit Rotation der Refresh-Token sowie Speicherung von Passwörtern ausschließlich als nicht umkehrbarer kryptografischer Hash (BCrypt);

• Missbrauchsabwehr: Begrenzung von Anmelde- und Zugriffsversuchen (Rate-Limiting);

• Integrität und Nachvollziehbarkeit: unveränderbare Beleg-Historie durch GoBD-konforme Festschreibung gestellter Rechnungen (Korrektur nur per Storno);

• Verfügbarkeit und Belastbarkeit: regelmäßige Backups zur Wiederherstellbarkeit der Daten;

• Hosting innerhalb der EU bei der Hetzner Online GmbH (Rechenzentren in Deutschland / EU).

5.2 Die Maßnahmen unterliegen dem technischen Fortschritt. Der Anbieter ist berechtigt, alternative, angemessene Maßnahmen umzusetzen, sofern das Schutzniveau der festgelegten Maßnahmen nicht unterschritten wird.

5.3 Eine detailliertere Übersicht der technischen und organisatorischen Maßnahmen stellt der Anbieter dem Kunden auf Anfrage in Textform zur Verfügung.

6.1 Der Kunde erteilt dem Anbieter die allgemeine schriftliche Genehmigung, weitere Auftragsverarbeiter (Unterauftragsverarbeiter) hinzuzuziehen. Im Zeitpunkt des Vertragsschlusses setzt der Anbieter die folgenden Unterauftragsverarbeiter ein:

• Mistral AI SAS — KI-Textgenerierung & Foto-Schätzung; Ort: Frankreich / EU (Subunternehmer für Cloud-Infrastruktur ggf. USA – abgesichert über EU-Standardvertragsklauseln)

• Hetzner Online GmbH — Hosting, Datenbank, Objektspeicher; Ort: Deutschland / EU

• STRATO GmbH — E-Mail-Versand (SMTP, System-Mails); Ort: Deutschland

• Google Ireland Ltd. (Firebase Cloud Messaging) — Push-Zustellung an Android-Geräte; Ort: Irland / EU (Server ggf. USA – Google LLC unter dem EU-US Data Privacy Framework zertifiziert, ergänzend EU-Standardvertragsklauseln)

• Apple Distribution International Ltd. (Apple Push Notification service) — Push-Zustellung an iOS-Geräte; Ort: Irland / EU (Server ggf. USA – Apple Inc. unter dem EU-US Data Privacy Framework zertifiziert)

6.2 Für die Abo- und Zahlungsabwicklung des Anbieters gegenüber dem Kunden setzt der Anbieter Stripe Payments Europe, Ltd., 1 Grand Canal Street Lower, Grand Canal Dock, Dublin, Irland, ein. Stripe handelt insoweit nach zahlungsrechtlichen Vorschriften (insbesondere PSD2 und Geldwäscheprävention) als eigener Verantwortlicher im Sinne des Datenschutzrechts und verarbeitet keine personenbezogenen Daten der Kunden des Kunden im Auftrag des Anbieters. Einzelheiten regeln die Datenschutzhinweise des Anbieters.

6.3 Beabsichtigt der Anbieter, einen Unterauftragsverarbeiter hinzuzuziehen oder einen bestehenden zu ersetzen, informiert er den Kunden hierüber rechtzeitig vorab in Textform. Der Kunde kann einer beabsichtigten Änderung aus wichtigem, datenschutzbezogenem Grund innerhalb einer angemessenen Frist widersprechen (Art. 28 Abs. 2 DSGVO). Im Falle eines berechtigten Widerspruchs, der eine Leistungserbringung ohne den betreffenden Unterauftragsverarbeiter unzumutbar macht, sind beide Parteien zur außerordentlichen Kündigung des Nutzungsvertrags berechtigt.

6.4 Der Anbieter erlegt jedem Unterauftragsverarbeiter durch Vertrag im Wesentlichen dieselben Datenschutzpflichten auf, die in diesem AVV festgelegt sind, insbesondere hinreichende Garantien für geeignete technische und organisatorische Maßnahmen (Art. 28 Abs. 4 DSGVO). Kommt der Unterauftragsverarbeiter seinen Datenschutzpflichten nicht nach, haftet der Anbieter gegenüber dem Kunden für die Einhaltung der Pflichten dieses Unterauftragsverarbeiters.

6.5 Soweit Unterauftragsverarbeiter personenbezogene Daten außerhalb der EU/des EWR verarbeiten (insbesondere in den USA), stellt der Anbieter sicher, dass geeignete Garantien nach Art. 44 ff. DSGVO bestehen (insbesondere EU-Standardvertragsklauseln und/oder eine Zertifizierung unter dem EU-US Data Privacy Framework; siehe Ziffer 11).

7.1 Der Anbieter unterstützt den Kunden angesichts der Art der Verarbeitung nach Möglichkeit mit geeigneten technischen und organisatorischen Maßnahmen dabei, seiner Pflicht zur Beantwortung von Anträgen betroffener Personen auf Wahrnehmung ihrer Rechte (Art. 12–23 DSGVO; insbesondere Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit und Widerspruch) nachzukommen.

7.2 Wendet sich eine betroffene Person mit einem solchen Antrag unmittelbar an den Anbieter, leitet der Anbieter den Antrag unverzüglich an den Kunden weiter und beauskunftet die betroffene Person nicht selbst, sofern der Kunde dies nicht ausdrücklich angewiesen hat. Über die Funktionen der Software (insbesondere die Bearbeitungs-, Export- und Löschmöglichkeiten) kann der Kunde die Betroffenenrechte weitgehend selbst erfüllen.

8.1 Der Anbieter unterstützt den Kunden unter Berücksichtigung der Art der Verarbeitung und der ihm zur Verfügung stehenden Informationen bei der Einhaltung der Pflichten nach den Art. 32 bis 36 DSGVO, insbesondere bei der Gewährleistung der Sicherheit der Verarbeitung, bei der Erfüllung der Meldepflichten bei Verletzungen des Schutzes personenbezogener Daten sowie – soweit erforderlich – bei einer Datenschutz-Folgenabschätzung und einer vorherigen Konsultation der Aufsichtsbehörde.

8.2 Wird dem Anbieter eine Verletzung des Schutzes personenbezogener Daten bekannt, die im Auftrag des Kunden verarbeitete Daten betrifft, meldet er dies dem Kunden unverzüglich, spätestens jedoch innerhalb von 48 Stunden nach Bekanntwerden (Art. 33 Abs. 2 DSGVO), damit der Kunde seine eigene Meldefrist nach Art. 33 Abs. 1 DSGVO (72 Stunden) wahren kann. Die Meldung enthält die dem Anbieter verfügbaren Informationen, die der Kunde zur Erfüllung seiner eigenen Melde- und Benachrichtigungspflichten (Art. 33, 34 DSGVO) benötigt; der Anbieter folgt hierfür seinem internen Datenpannen-Prozess.

8.3 Die Pflicht zur Meldung einer Verletzung an die Aufsichtsbehörde und zur Benachrichtigung der betroffenen Personen obliegt dem Kunden als Verantwortlichem; der Anbieter unterstützt ihn hierbei im Rahmen des Zumutbaren.

9.1 Nach Beendigung der Verarbeitung löscht der Anbieter nach Wahl des Kunden alle im Auftrag verarbeiteten personenbezogenen Daten oder gibt sie an den Kunden zurück und löscht vorhandene Kopien, sofern nicht nach dem Recht der Union oder der Mitgliedstaaten eine Pflicht zur Speicherung der Daten besteht.

9.2 Die Rückgabe der Daten erfolgt über die in der App bereitstehende Export-Funktion in einem strukturierten, gängigen und maschinenlesbaren Format. Die Aufbewahrung von Belegen nach steuer- und handelsrechtlichen Vorschriften (insbesondere GoBD, § 147 AO, § 14b UStG) obliegt dem Kunden als Verantwortlichem für seine eigenen Geschäftsunterlagen; der Kunde exportiert und sichert die hierfür erforderlichen Daten rechtzeitig vor einer Löschung seines Kontos.

9.3 Die Löschung der im Objektspeicher abgelegten Dateien (z. B. Fotos und PDF-Dokumente) ist von der Löschung umfasst. Technische Sicherungskopien (Backups) der Datenbank dienen ausschließlich der Wiederherstellbarkeit im Störungsfall; wir bewahren sie längstens 30 Tage auf und löschen sie danach automatisch. Spätestens dann sind auch die Daten gelöschter Konten aus den Backups entfernt.

9.4 Der Anbieter bestätigt dem Kunden die Löschung bzw. Rückgabe der im Auftrag verarbeiteten Daten auf Verlangen in Textform.

10.1 Der Anbieter stellt dem Kunden alle erforderlichen Informationen zum Nachweis der Einhaltung der in Art. 28 DSGVO niedergelegten und in diesem AVV festgelegten Pflichten zur Verfügung.

10.2 Der Anbieter ermöglicht dem Kunden oder einem von diesem beauftragten, zur Vertraulichkeit verpflichteten Prüfer Überprüfungen einschließlich Inspektionen und trägt zu diesen bei. Der Nachweis kann vorrangig durch geeignete Auskünfte, durch Vorlage der Dokumentation der technischen und organisatorischen Maßnahmen oder durch aussagekräftige Zertifikate bzw. Berichte erbracht werden.

10.3 Vor-Ort-Inspektionen erfolgen nach angemessener Vorankündigung, zu den üblichen Geschäftszeiten, ohne Störung des Betriebsablaufs und nicht häufiger als einmal jährlich, sofern kein besonderer Anlass (z. B. eine Verletzung des Datenschutzes oder eine Anordnung der Aufsichtsbehörde) eine häufigere Prüfung erfordert. Der Kunde trägt die ihm durch die Prüfung entstehenden eigenen Kosten.

10.4 Der Anbieter führt ein Verzeichnis zu allen Kategorien der im Auftrag des Kunden durchgeführten Verarbeitungstätigkeiten (Art. 30 Abs. 2 DSGVO) und stellt dem Kunden die ihn betreffenden Angaben daraus auf Anfrage in Textform zur Verfügung.

11.1 Eine Übermittlung der im Auftrag verarbeiteten Daten in ein Drittland oder an eine internationale Organisation findet nur statt, soweit dies zur Erbringung der Leistung erforderlich ist und die Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind.

11.2 Soweit Unterauftragsverarbeiter Daten außerhalb der EU/des EWR verarbeiten (insbesondere in den USA, etwa beim Push-Versand über Expo und der Push-Zustellung an Android-Geräte über Google Firebase Cloud Messaging), stützt sich die Übermittlung auf geeignete Garantien im Sinne der Art. 44 ff. DSGVO, insbesondere auf EU-Standardvertragsklauseln und/oder eine Zertifizierung unter dem EU-US Data Privacy Framework. Die KI-Funktionen (Mistral) werden grundsätzlich innerhalb der EU erbracht; je nach Funktion ist eine vorübergehende, durch geeignete Garantien (Art. 44 ff. DSGVO) abgesicherte Verarbeitung außerhalb der EU möglich.

11.3 Für Drittländer besteht das Risiko, dass Behörden des Drittlands unter den dortigen Voraussetzungen Zugriff auf die Daten nehmen und betroffenen Personen kein mit der EU vergleichbares Rechtsschutzniveau zur Verfügung steht. Der Anbieter informiert den Kunden über etwaige Änderungen der Garantien.

12.1 Für die Haftung gelten die Vorgaben des Art. 82 DSGVO sowie die Haftungsregelungen des Nutzungsvertrags (AGB), soweit sie zwingenden datenschutzrechtlichen Bestimmungen nicht widersprechen. Der Kunde stellt den Anbieter im Innenverhältnis von Ansprüchen Dritter frei, die darauf beruhen, dass der Kunde rechtswidrige Weisungen erteilt oder personenbezogene Daten ohne Rechtsgrundlage in die Software eingestellt hat, soweit den Anbieter hieran kein eigenes Verschulden trifft.

12.2 Die Parteien informieren sich gegenseitig unverzüglich, wenn ihnen Fehler oder Unregelmäßigkeiten bei der Verarbeitung personenbezogener Daten oder Verstöße gegen datenschutzrechtliche Bestimmungen bzw. die Festlegungen dieses AVV auffallen.

12.3 Änderungen und Ergänzungen dieses AVV bedürfen der Textform; dies gilt auch für die Aufhebung dieses Textformerfordernisses. Im Übrigen gelten die Regelungen des Nutzungsvertrags zur Änderung der Vertragsbedingungen entsprechend, soweit sie diesem AVV nicht widersprechen.

12.4 Sollten einzelne Bestimmungen dieses AVV ganz oder teilweise unwirksam oder undurchführbar sein oder werden, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt. Anstelle der unwirksamen oder undurchführbaren Bestimmung gilt diejenige wirksame Regelung, die dem mit Art. 28 DSGVO verfolgten Zweck am nächsten kommt.

12.5 Es gilt das Recht der Bundesrepublik Deutschland. Bei Widersprüchen zwischen diesem AVV und sonstigen Vereinbarungen der Parteien gehen in Datenschutzfragen die Regelungen dieses AVV vor.