Stand · 26. Juli 2026

Auftragsverarbeitungsvertrag

Dieser Vertrag nach Art. 28 DSGVO regelt, wie wir personenbezogene Daten in Ihrem Auftrag verarbeiten – insbesondere die Daten Ihrer Beschäftigten und Ihrer Kunden. Er wird mit der Registrierung Bestandteil des Nutzungsvertrags.

01

Vertragsparteien und Gegenstand

Dieser Auftragsverarbeitungsvertrag (nachfolgend „Vertrag“) konkretisiert die datenschutzrechtlichen Rechte und Pflichten zwischen dem Handwerksbetrieb, der TrueFlow nutzt (nachfolgend „Verantwortlicher“), und dem Anbieter (nachfolgend „Auftragsverarbeiter“).

Auftragsverarbeiter
Enver Eser, Einzelunternehmen, handelnd unter der Geschäftsbezeichnung „Wemodo“, Feuerbachstraße 1A, 89331 Burgau, Deutschland, hello@wemodo.de
Verantwortlicher
Der Betrieb, der ein TrueFlow-Konto eröffnet, mit den bei der Registrierung angegebenen Firmendaten.

Der Vertrag kommt mit Annahme bei der Registrierung zustande, wird Bestandteil des Nutzungsvertrags und läuft, solange der Auftragsverarbeiter für den Verantwortlichen personenbezogene Daten verarbeitet. Er endet mit Beendigung des Nutzungsvertrags; die Pflichten aus Ziffer 12 (Löschung) bestehen darüber hinaus fort.

Bei Widersprüchen zwischen diesem Vertrag und dem Nutzungsvertrag gehen die Regelungen dieses Vertrags in datenschutzrechtlichen Fragen vor.

02

Art und Zweck der Verarbeitung

Der Auftragsverarbeiter stellt dem Verantwortlichen eine Software zur Verwaltung seines Handwerksbetriebs bereit. Zweck der Verarbeitung ist ausschließlich die Erbringung dieser vertraglich vereinbarten Leistung.

Art der Verarbeitung
Erheben, Erfassen, Organisieren, Ordnen, Speichern, Anpassen, Auslesen, Abfragen, Verwenden, Übermitteln an vom Verantwortlichen bestimmte Empfänger, Einschränken, Löschen und Vernichten – jeweils in automatisierter Form.
Zweck
Zeiterfassung, Einsatz- und Urlaubsplanung, Tageszettel und Regieberichte, Auftrags-, Angebots- und Rechnungsverwaltung, Material- und Ausgabenerfassung, Dokumentenablage sowie Benachrichtigungen.
Ort
Die Verarbeitung findet ausschließlich in Rechenzentren innerhalb der Europäischen Union statt. Ausnahmen ausschließlich nach Ziffer 9.

Eine Verarbeitung zu eigenen Zwecken des Auftragsverarbeiters – insbesondere zu Werbung, Profilbildung, Weiterverkauf oder dem Training von KI-Modellen – findet nicht statt.

03

Art der Daten und Kategorien betroffener Personen

Gegenstand der Verarbeitung sind folgende Datenarten:

Beschäftigtendaten
Name, E-Mail-Adresse, Rolle und Berechtigung, Arbeitszeiten mit Beginn/Ende/Pausen, Korrekturen samt Bearbeiter und Grund, Einsatz- und Urlaubsplanung, Abwesenheiten, Qualifikationen und hinterlegte Dokumente, Push-Token, bei Einwilligung Standortdaten zum Zeitpunkt einer Zeitbuchung.
Kundendaten des Verantwortlichen
Name und Anschrift, Kontaktdaten, Objekt- und Baustellendaten, Aufträge, Angebote, Rechnungen, Regieberichte, Beleg- und Baustellenfotos.
Kategorien betroffener Personen
Beschäftigte des Verantwortlichen, dessen Kunden und Ansprechpartner sowie sonstige Personen, deren Daten der Verantwortliche in die Software einstellt.

Der Verantwortliche entscheidet allein, welche Daten er einstellt. Besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO (etwa Gesundheitsdaten) sind nicht Gegenstand dieses Vertrags. Stellt der Verantwortliche solche Daten dennoch ein – etwa Arbeitsunfähigkeitsbescheinigungen als Dokument –, geschieht dies in seiner alleinigen Verantwortung; er hat die dafür erforderliche Rechtsgrundlage und zusätzliche Schutzmaßnahmen sicherzustellen.

04

Rechte und Pflichten des Verantwortlichen

Der Verantwortliche ist für die Rechtmäßigkeit der Verarbeitung sowie für die Wahrung der Rechte der betroffenen Personen allein verantwortlich (Art. 24 DSGVO). Ihm obliegt insbesondere die Prüfung, ob für die Verarbeitung von Beschäftigtendaten – etwa der Standorterfassung – eine tragfähige Rechtsgrundlage nach § 26 BDSG besteht und ob eine Beteiligung des Betriebsrats erforderlich ist.

Der Verantwortliche ist berechtigt, Weisungen nach Ziffer 5 zu erteilen, und verpflichtet, dem Auftragsverarbeiter Verstöße gegen datenschutzrechtliche Bestimmungen unverzüglich mitzuteilen, wenn er sie bei der Prüfung von Ergebnissen der Verarbeitung feststellt.

05

Weisungsgebundenheit

Der Auftragsverarbeiter verarbeitet die Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen, einschließlich der Übermittlung in Drittländer, es sei denn, er ist nach Unionsrecht oder dem Recht eines Mitgliedstaats zur Verarbeitung verpflichtet. In einem solchen Fall teilt er dem Verantwortlichen diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das Recht dies nicht wegen eines wichtigen öffentlichen Interesses verbietet.

Die Nutzung der Software durch den Verantwortlichen und die von ihm vorgenommenen Einstellungen gelten als Weisung. Weitergehende Einzelweisungen sind in Textform an hello@wemodo.de zu richten.

Ist der Auftragsverarbeiter der Auffassung, dass eine Weisung gegen die DSGVO oder andere Datenschutzbestimmungen verstößt, informiert er den Verantwortlichen unverzüglich (Art. 28 Abs. 3 Satz 3 DSGVO). Er ist berechtigt, die Ausführung der Weisung bis zu deren Bestätigung oder Änderung auszusetzen.

06

Vertraulichkeit

Der Auftragsverarbeiter setzt zur Verarbeitung ausschließlich Personen ein, die zur Vertraulichkeit verpflichtet wurden oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen (Art. 28 Abs. 3 lit. b DSGVO). Die Verpflichtung besteht auch nach Beendigung der Tätigkeit fort.

Der Kreis der zugriffsberechtigten Personen ist auf das für Betrieb, Wartung und Support unbedingt erforderliche Maß beschränkt. Ein Zugriff auf Inhaltsdaten des Verantwortlichen erfolgt nur, soweit dies zur Störungsbeseitigung oder auf dessen Anfrage erforderlich ist.

07

Technische und organisatorische Maßnahmen

Der Auftragsverarbeiter trifft die nach Art. 32 DSGVO erforderlichen technischen und organisatorischen Maßnahmen, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten. Die konkreten Maßnahmen sind in Anlage 1 (Ziffer 16) beschrieben und Bestandteil dieses Vertrags.

Die Maßnahmen unterliegen dem technischen Fortschritt. Der Auftragsverarbeiter darf sie anpassen, sofern das vereinbarte Schutzniveau dabei nicht unterschritten wird. Wesentliche Änderungen werden dokumentiert.

08

Unterauftragsverarbeiter

Der Verantwortliche erteilt hiermit die allgemeine Genehmigung zur Hinzuziehung der in Anlage 2 (Ziffer 17) genannten Unterauftragsverarbeiter (Art. 28 Abs. 2 Satz 2 DSGVO).

Der Auftragsverarbeiter verpflichtet jeden Unterauftragsverarbeiter vertraglich auf Datenschutzpflichten, die denen dieses Vertrags entsprechen. Kommt der Unterauftragsverarbeiter seinen Pflichten nicht nach, haftet der Auftragsverarbeiter gegenüber dem Verantwortlichen für dessen Verhalten wie für eigenes.

Beabsichtigt der Auftragsverarbeiter, einen Unterauftragsverarbeiter hinzuzuziehen oder zu ersetzen, informiert er den Verantwortlichen mindestens vier Wochen vorher in Textform. Der Verantwortliche kann der Änderung innerhalb von zwei Wochen aus wichtigem datenschutzrechtlichem Grund widersprechen. Im Fall eines berechtigten Widerspruchs, dem nicht abgeholfen werden kann, steht dem Verantwortlichen ein Sonderkündigungsrecht zu.

Nicht als Unterauftragsverarbeitung gelten Nebenleistungen wie Telekommunikation, Post oder Wartung, bei denen ein Zugriff auf personenbezogene Daten nicht Vertragszweck und allenfalls gelegentlich möglich ist.

09

Übermittlung in Drittländer

Die Speicherung der Inhaltsdaten erfolgt ausschließlich innerhalb der Europäischen Union. Soweit einzelne Unterauftragsverarbeiter ihren Sitz in einem Drittland haben oder dort ansässige Unternehmen einsetzen, erfolgt eine Übermittlung nur, wenn die Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind – insbesondere auf Grundlage eines Angemessenheitsbeschlusses (EU-US Data Privacy Framework) oder der Standardvertragsklauseln nach Art. 46 Abs. 2 lit. c DSGVO nebst ergänzender Schutzmaßnahmen.

Anlage 2 weist den Sitz und die jeweilige Garantie für jeden Unterauftragsverarbeiter aus.

10

Unterstützung bei den Rechten betroffener Personen

Der Auftragsverarbeiter unterstützt den Verantwortlichen mit geeigneten technischen und organisatorischen Maßnahmen dabei, Anträge betroffener Personen nach Kapitel III DSGVO zu beantworten (Art. 28 Abs. 3 lit. e DSGVO). Die Software stellt hierfür insbesondere einen vollständigen Datenexport (Art. 15 und 20), Korrekturmöglichkeiten (Art. 16) sowie eine Kontolöschung (Art. 17) bereit.

Wendet sich eine betroffene Person unmittelbar an den Auftragsverarbeiter, leitet er das Anliegen unverzüglich an den Verantwortlichen weiter und beantwortet es nicht selbst.

11

Unterstützung bei Sicherheit, Meldepflichten und Datenschutz-Folgenabschätzung

Der Auftragsverarbeiter unterstützt den Verantwortlichen bei der Einhaltung der Pflichten aus Art. 32 bis 36 DSGVO, unter Berücksichtigung der Art der Verarbeitung und der ihm zur Verfügung stehenden Informationen (Art. 28 Abs. 3 lit. f DSGVO).

Der Auftragsverarbeiter meldet dem Verantwortlichen jede Verletzung des Schutzes personenbezogener Daten unverzüglich nach Bekanntwerden, spätestens innerhalb von 24 Stunden, in Textform. Die Meldung enthält, soweit verfügbar, eine Beschreibung der Art der Verletzung, die Kategorien und die ungefähre Zahl der betroffenen Personen und Datensätze, die wahrscheinlichen Folgen sowie die ergriffenen oder vorgeschlagenen Gegenmaßnahmen. Die Meldung an die Aufsichtsbehörde nach Art. 33 DSGVO obliegt dem Verantwortlichen.

12

Löschung und Rückgabe

Nach Beendigung der Verarbeitung löscht der Auftragsverarbeiter alle personenbezogenen Daten oder gibt sie nach Wahl des Verantwortlichen zurück (Art. 28 Abs. 3 lit. g DSGVO). Der Verantwortliche kann seine Daten jederzeit und bis zur Löschung über die Exportfunktion in einem strukturierten, gängigen und maschinenlesbaren Format selbst abrufen.

Ausgenommen sind Daten, für die eine gesetzliche Aufbewahrungspflicht besteht – insbesondere Rechnungen, Buchungsbelege und die ihnen zugrunde liegenden Zeit- und Materialdaten sowie das nach GoBD zu führende unveränderliche Änderungsprotokoll. Diese Daten werden bis zum Ablauf der Frist (§ 147 Abs. 3 AO, § 257 Abs. 4 HGB) aufbewahrt, für die weitere Nutzung gesperrt und anschließend gelöscht.

13

Nachweise und Überprüfungen

Der Auftragsverarbeiter stellt dem Verantwortlichen alle erforderlichen Informationen zum Nachweis der Einhaltung dieses Vertrags zur Verfügung und ermöglicht Überprüfungen einschließlich Inspektionen (Art. 28 Abs. 3 lit. h DSGVO).

Der Nachweis kann durch aktuelle Zertifikate oder Prüfberichte der eingesetzten Unterauftragsverarbeiter, durch eine dokumentierte Selbstauskunft zu den Maßnahmen nach Anlage 1 oder durch Vorlage geeigneter Testate erfolgen.

Reicht dies im Einzelfall nicht aus, kann der Verantwortliche nach rechtzeitiger Ankündigung mit angemessener Vorlaufzeit, während der üblichen Geschäftszeiten und ohne Störung des Betriebsablaufs eine Prüfung durchführen oder durch einen zur Verschwiegenheit verpflichteten Prüfer durchführen lassen, der kein Wettbewerber des Auftragsverarbeiters sein darf.

14

Haftung

Für die Haftung im Außenverhältnis gegenüber betroffenen Personen gilt Art. 82 DSGVO. Im Innenverhältnis gelten die Haftungsregelungen des Nutzungsvertrags, soweit die DSGVO nicht zwingend etwas anderes bestimmt.

15

Schlussbestimmungen

Änderungen und Ergänzungen dieses Vertrags bedürfen der Textform. Das gilt auch für die Aufhebung dieses Formerfordernisses.

Sollte eine Bestimmung unwirksam sein oder werden, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt. Die Parteien ersetzen die unwirksame Bestimmung durch eine wirksame, die dem wirtschaftlichen Zweck am nächsten kommt.

Es gilt das Recht der Bundesrepublik Deutschland unter Ausschluss des UN-Kaufrechts.

16

Anlage 1 – Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

Vertraulichkeit – Zutrittskontrolle
Die Verarbeitung erfolgt ausschließlich in Rechenzentren der eingesetzten Unterauftragsverarbeiter innerhalb der EU. Diese sind nach anerkannten Standards (u. a. ISO 27001) zertifiziert und verfügen über Zutrittsschutz, Videoüberwachung und Alarmierung. Eigene Server werden nicht betrieben.
Vertraulichkeit – Zugangskontrolle
Zugang ausschließlich über persönliche Benutzerkonten mit E-Mail und Passwort. Passwörter werden nur als kryptografischer Hash gespeichert. Sitzungen laufen über zeitlich begrenzte Tokens. Administrative Zugänge des Auftragsverarbeiters sind mit Zwei-Faktor-Authentifizierung geschützt.
Vertraulichkeit – Zugriffskontrolle
Mandantentrennung auf Datenbankebene durch Row Level Security: Jede Abfrage ist an die Firmenzugehörigkeit des Kontos gebunden, ein Zugriff über Firmengrenzen hinweg ist technisch ausgeschlossen. Innerhalb des Betriebs steuert ein Rollenkonzept (Chef, Monteur) den Umfang des Zugriffs. Dateien liegen in privaten Buckets und sind nur über zeitlich begrenzte, signierte Links erreichbar.
Vertraulichkeit – Trennungskontrolle
Daten verschiedener Verantwortlicher werden logisch über die Firmenzugehörigkeit getrennt und ausschließlich für den jeweiligen Verantwortlichen verarbeitet. Produktiv- und Entwicklungsumgebung sind getrennt; für Entwicklung und Test werden keine Echtdaten verwendet.
Integrität – Weitergabekontrolle
Jede Übertragung erfolgt ausschließlich TLS-verschlüsselt. Daten werden im Ruhezustand verschlüsselt gespeichert. Ein Transport auf Datenträgern findet nicht statt.
Integrität – Eingabekontrolle
Steuerrelevante Vorgänge werden in einem unveränderlichen Änderungsprotokoll (Audit-Log) mit Zeitpunkt und auslösendem Konto erfasst. Korrekturen an Zeiterfassungen werden mit Bearbeiter, Zeitpunkt und Grund festgehalten. Finalisierte Rechnungen sind durch Datenbankregeln gegen nachträgliche Änderung gesperrt.
Verfügbarkeit und Belastbarkeit
Automatisierte tägliche Sicherungen mit Point-in-Time-Recovery über die eingesetzte Datenbankplattform. Redundante Infrastruktur, Schutz vor Überlastungsangriffen und Ausfallüberwachung über den Hosting-Anbieter.
Verfahren zur Überprüfung und Bewertung
Regelmäßige Überprüfung der Maßnahmen und Aktualisierung der eingesetzten Komponenten. Datenschutzfreundliche Voreinstellungen (Art. 25): Die Standorterfassung ist standardmäßig deaktiviert und erfordert sowohl die Aktivierung durch den Verantwortlichen als auch eine ausdrückliche, jederzeit widerrufbare Einwilligung der betroffenen Person. Erfasst und dargestellt werden ausschließlich einzelne Buchungspunkte; eine fortlaufende Ortung ist technisch nicht vorgesehen.
Mitbestimmung bei Standortanzeige
Die Anzeige von Buchungsstandorten gegenüber der Betriebsleitung ist eine technische Einrichtung im Sinne des § 87 Abs. 1 Nr. 6 BetrVG. Besteht beim Verantwortlichen ein Betriebsrat, hat dieser vor Aktivierung der Funktion mitzubestimmen. Die Verantwortung für die Einholung liegt beim Verantwortlichen.
Auftragskontrolle
Schriftliche Auftragsverarbeitungsverträge mit allen Unterauftragsverarbeitern, Auswahl nach Eignung und dokumentierten Garantien, Verpflichtung der eingesetzten Personen auf Vertraulichkeit.
17

Anlage 2 – Genehmigte Unterauftragsverarbeiter

Der Verantwortliche genehmigt die Hinzuziehung der folgenden Unterauftragsverarbeiter (Stand siehe oben):

Supabase Inc., USA
Datenbank, Authentifizierung und Dateispeicher. Datenhaltung ausschließlich in der EU-Region. Garantie für etwaige Zugriffe aus dem Drittland: Standardvertragsklauseln.
Cloudflare, Inc., USA
Hosting und Auslieferung der Anwendung, Schutz vor Angriffen. Garantie: Standardvertragsklauseln, Verarbeitung vorrangig in EU-Rechenzentren.
Stripe Payments Europe, Ltd., Irland
Abwicklung von Abonnement und Zahlung. Für Zahlungsdaten handelt Stripe zugleich als eigener Verantwortlicher.
Google Ireland Limited, Irland
Firebase Cloud Messaging zur Zustellung von Push-Benachrichtigungen. Verarbeitet werden ausschließlich Gerätetoken und der Benachrichtigungsinhalt. Garantie für Konzernübermittlungen: Standardvertragsklauseln bzw. EU-US Data Privacy Framework.
Functional Software, Inc. („Sentry“), USA
Erfassung technischer Fehler- und Absturzberichte zur Störungsbehebung. Datenhaltung in der EU-Datenregion (Rechenzentrum in Deutschland). Verarbeitet werden technische Fehlerdaten sowie Benutzer-, Firmen- und Rollenkennung zur Zuordnung; keine Inhaltsdaten, keine Klarnamen, keine Bildschirmaufzeichnungen. Garantie: Standardvertragsklauseln.
E-Mail-Versanddienstleister
Versand von System- und Beleg-E-Mails. Setzt der Verantwortliche einen eigenen SMTP-Server ein, entfällt dieser Unterauftragsverarbeiter; der Versand erfolgt dann über den von ihm gewählten Anbieter in seiner Verantwortung.

Apple Inc. und Google LLC stellen lediglich die App-Vertriebsplattformen bereit und erhalten keine Inhaltsdaten; sie sind keine Unterauftragsverarbeiter im Sinne dieses Vertrags.

Enver Eser · Wemodo · Feuerbachstraße 1A · 89331 Burgau