Auftrags­verarbeitungs­vertrag

Dieser Auftragsverarbeitungsvertrag (nachfolgend „Vertrag“) konkretisiert die datenschutzrechtlichen Rechte und Pflichten zwischen dem Handwerksbetrieb, der Werkerly nutzt (nachfolgend „Verantwortlicher“), und dem Anbieter (nachfolgend „Auftragsverarbeiter“).

Auftragsverarbeiter

Enver Eser, Einzelunternehmen, handelnd unter der Geschäftsbezeichnung „Wemodo“, Feuerbachstraße 1A, 89331 Burgau, Deutschland, info@werkerly.de

Verantwortlicher

Der Betrieb, der ein Werkerly-Konto eröffnet, mit den bei der Registrierung angegebenen Firmendaten.

Der Vertrag kommt mit Annahme bei der Registrierung zustande, wird Bestandteil des Nutzungsvertrags und läuft, solange der Auftragsverarbeiter für den Verantwortlichen personenbezogene Daten verarbeitet. Er endet mit Beendigung des Nutzungsvertrags; die Pflichten aus Ziffer 12 (Löschung und Rückgabe) bestehen darüber hinaus fort.

Bei Widersprüchen zwischen diesem Vertrag und dem Nutzungsvertrag gehen die Regelungen dieses Vertrags in datenschutzrechtlichen Fragen vor.

Der Auftragsverarbeiter stellt dem Verantwortlichen eine Software zur Verwaltung seines Handwerksbetriebs bereit. Zweck der Verarbeitung ist ausschließlich die Erbringung dieser vertraglich vereinbarten Leistung.

Art der Verarbeitung

Erheben, Erfassen, Organisieren, Ordnen, Speichern, Anpassen, Auslesen, Abfragen, Verwenden, Übermitteln an vom Verantwortlichen bestimmte Empfänger, Einschränken, Löschen und Vernichten – jeweils in automatisierter Form.

Zweck

Zeiterfassung, Einsatz-, Urlaubs- und Abwesenheitsplanung, Personalverwaltung, Tageszettel, Regieberichte und Aufmaße, Kunden-, Auftrags-, Angebots- und Rechnungsverwaltung einschließlich der Online-Annahme von Angeboten durch Kunden des Verantwortlichen, Versand von Dokumenten und Nachrichten an vom Verantwortlichen bestimmte Empfänger, Material- und Ausgabenerfassung einschließlich automatischer Belegerkennung, Adresssuche und Kartenansicht, Dokumentenablage, Benachrichtigungen, Datenexport sowie Support.

Ort

Datenbank und Dateiablage werden ausschließlich in Rechenzentren innerhalb der Europäischen Union betrieben. Einzelne Verarbeitungsschritte – der E-Mail-Versand, die automatische Belegerkennung, die Zustellung von Push-Benachrichtigungen, Fehlerberichte sowie die Erzeugung von PDF-Dokumenten und der Versand über einen eigenen Mailserver des Verantwortlichen – können bei den in Anlage 2 genannten Unterauftragsverarbeitern außerhalb der Union stattfinden; das geschieht nur nach Ziffer 9.

Eine Verarbeitung zu eigenen Zwecken des Auftragsverarbeiters – insbesondere zu Werbung, Profilbildung, Weiterverkauf oder dem Training von KI-Modellen – findet nicht statt.

Gegenstand der Verarbeitung sind folgende Datenarten:

Beschäftigtendaten

Stamm- und Kontaktdaten (Name, E-Mail-Adresse, Telefonnummer, Anschrift, Geburtsdatum, Personalnummer, Notfallkontakt, Profilbild), Rolle, Berechtigung und Funktionsbezeichnung, Vergütungs- und Abrechnungsdaten (Stundenlohn oder Monatsgehalt, interner Verrechnungssatz, Bankverbindung, Steuer-Identifikationsnummer und Steuerklasse), Arbeitszeiten mit Beginn, Ende und Pausen, Korrekturen samt Bearbeiter und Grund, Einsatz- und Urlaubsplanung, Abwesenheiten, Qualifikationen, Führerscheine und Zertifikate mit Gültigkeitsdaten, hinterlegte Personaldokumente, interne Notizen der Betriebsleitung, Unterschriften auf Berichten, Push-Token, bei Einwilligung Standortdaten: zum Zeitpunkt einer Zeitbuchung und – als getrennt zu erteilende zweite Stufe – die Position während einer laufenden Zeitbuchung bei geöffneter App.

Besondere Kategorien (Art. 9 DSGVO)

Gesundheitsdaten, soweit der Verantwortliche Arbeitsunfähigkeitsbescheinigungen, Gesundheitszeugnisse oder vergleichbare Nachweise hinterlegt. Der Auftragsverarbeiter verarbeitet sie ausschließlich zur Speicherung und Anzeige, mit den Maßnahmen nach Anlage 1 (Ziffer 16). Steuer-Identifikationsnummer und Steuerklasse werden ohne Merkmale zur Religionszugehörigkeit oder Kirchensteuer erfasst.

Daten über strafrechtliche Verurteilungen (Art. 10 DSGVO)

Soweit der Verantwortliche ein Führungszeugnis als Personaldokument hinterlegt. Der Auftragsverarbeiter verarbeitet es ausschließlich zur Speicherung und Anzeige, mit denselben Maßnahmen wie Gesundheitsdaten (Anlage 1, Ziffer 16).

Kundendaten des Verantwortlichen

Name und Anschrift, Kontaktdaten, Objekt- und Baustellendaten, Aufträge, Angebote, Rechnungen, Aufmaße, Tageszettel und Regieberichte samt Unterschriften der Kunden, Beleg- und Baustellenfotos, Protokolle über den Versand an Kunden (Empfängeradresse, Betreff, Zeitpunkt, Ergebnis) sowie Angaben zu Lieferanten auf Belegen und Lieferscheinen.

Kategorien betroffener Personen

Beschäftigte des Verantwortlichen einschließlich ausgeschiedener Beschäftigter, Nutzer mit Gastzugang wie der Steuerberater des Verantwortlichen, Kunden und deren Ansprechpartner, Lieferanten und sonstige Geschäftspartner sowie sonstige Personen, deren Daten der Verantwortliche in die Software einstellt oder die auf hochgeladenen Fotos und Dokumenten abgebildet sind.

Der Verantwortliche entscheidet allein, welche Daten er einstellt. Für die Ablage von Gesundheitsdaten prüft er die Rechtsgrundlage, insbesondere Art. 9 Abs. 2 lit. b DSGVO in Verbindung mit § 26 Abs. 3 BDSG. Für Führungszeugnisse prüft er, ob eine Rechtsvorschrift ihre Einholung vorsieht oder zulässt (Art. 10 DSGVO), und ob die Ablage einer Kopie erforderlich ist oder ein Vermerk über die erfolgte Einsichtnahme genügt. Andere besondere Kategorien personenbezogener Daten sind nicht Gegenstand dieses Vertrags.

Der Verantwortliche ist für die Rechtmäßigkeit der Verarbeitung sowie für die Wahrung der Rechte der betroffenen Personen allein verantwortlich (Art. 24 DSGVO). Ihm obliegt insbesondere die Prüfung, ob für die Verarbeitung von Beschäftigtendaten eine tragfähige Rechtsgrundlage besteht – für die Standorterfassung eine freiwillige Einwilligung nach Art. 6 Abs. 1 lit. a, Art. 7 DSGVO und § 26 Abs. 2 BDSG einschließlich der Aufklärung in Textform –, ob eine Datenschutz-Folgenabschätzung durchzuführen ist und ob eine Beteiligung des Betriebsrats erforderlich ist.

Der Verantwortliche ist berechtigt, Weisungen nach Ziffer 5 zu erteilen, und verpflichtet, dem Auftragsverarbeiter Verstöße gegen datenschutzrechtliche Bestimmungen unverzüglich mitzuteilen, wenn er sie bei der Prüfung von Ergebnissen der Verarbeitung feststellt.

Der Verantwortliche informiert die betroffenen Personen, insbesondere seine Beschäftigten, über die Verarbeitung (Art. 13 und 14 DSGVO). Er sorgt für die Sicherheit der Endgeräte, auf denen er und seine Nutzer die Software verwenden, einschließlich der dort für die Offline-Nutzung zwischengespeicherten Inhalte, vergibt Zugänge und Rollen nur im erforderlichen Umfang und entzieht ausgeschiedenen Beschäftigten den Zugang unverzüglich. Anträge betroffener Personen, die ihm über die Software zugeleitet werden – insbesondere Anträge auf Löschung eines Zugangs –, bearbeitet er innerhalb der Frist des Art. 12 Abs. 3 DSGVO.

Der Auftragsverarbeiter verarbeitet die Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen, einschließlich der Übermittlung in Drittländer, es sei denn, er ist nach Unionsrecht oder dem Recht eines Mitgliedstaats zur Verarbeitung verpflichtet. In einem solchen Fall teilt er dem Verantwortlichen diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das Recht dies nicht wegen eines wichtigen öffentlichen Interesses verbietet.

Die Nutzung der Software durch den Verantwortlichen und die von ihm vorgenommenen Einstellungen gelten als Weisung. Weitergehende Einzelweisungen sind in Textform an info@werkerly.de zu richten.

Ist der Auftragsverarbeiter der Auffassung, dass eine Weisung gegen die DSGVO oder andere Datenschutzbestimmungen verstößt, informiert er den Verantwortlichen unverzüglich (Art. 28 Abs. 3 Satz 3 DSGVO). Er ist berechtigt, die Ausführung der Weisung bis zu deren Bestätigung oder Änderung auszusetzen.

Antworten von Empfängern auf Nachrichten, die über die Software versandt wurden und beim Auftragsverarbeiter eingehen, sowie sonstige Mitteilungen Dritter zu Daten des Verantwortlichen leitet der Auftragsverarbeiter unverzüglich an den Verantwortlichen weiter; er beantwortet sie nicht in der Sache und verwendet sie nicht für andere Zwecke.

Der Auftragsverarbeiter setzt zur Verarbeitung ausschließlich Personen ein, die zur Vertraulichkeit verpflichtet wurden oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen (Art. 28 Abs. 3 lit. b DSGVO). Die Verpflichtung besteht auch nach Beendigung der Tätigkeit fort.

Der Kreis der zugriffsberechtigten Personen ist auf das für Betrieb, Wartung und Support unbedingt erforderliche Maß beschränkt. Ein Zugriff auf Inhaltsdaten des Verantwortlichen erfolgt nur, soweit dies zur Störungsbeseitigung oder auf dessen Anfrage erforderlich ist.

Für Betrieb und Support nutzt der Auftragsverarbeiter eine eigene, nur für einzeln freigeschaltete Konten erreichbare Verwaltungsoberfläche. Sie zeigt Firmen- und Vertragsdaten des Verantwortlichen, Namen und Rollen seiner Nutzer mit dem Zeitpunkt ihrer letzten Aktivität, Mengenangaben zur Nutzung sowie Support-Anfragen samt Anhängen; Inhalte wie Rechnungen, Arbeitszeiten oder Personaldokumente zeigt sie nicht. Ein Anmelden im Namen eines Nutzers ist nicht vorgesehen. Verwaltungsvorgänge wie Sperren, Verlängerungen der Testphase oder die Freischaltung von Funktionen werden am Kundenkonto vermerkt.

Der Auftragsverarbeiter trifft die nach Art. 32 DSGVO erforderlichen technischen und organisatorischen Maßnahmen, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten. Die konkreten Maßnahmen sind in Anlage 1 (Ziffer 16) beschrieben und Bestandteil dieses Vertrags.

Die Maßnahmen unterliegen dem technischen Fortschritt. Der Auftragsverarbeiter darf sie anpassen, sofern das vereinbarte Schutzniveau dabei nicht unterschritten wird. Wesentliche Änderungen werden dokumentiert.

Der Verantwortliche erteilt hiermit die allgemeine Genehmigung zur Hinzuziehung der in Anlage 2 (Ziffer 17) genannten Unterauftragsverarbeiter (Art. 28 Abs. 2 Satz 2 DSGVO).

Der Auftragsverarbeiter verpflichtet jeden Unterauftragsverarbeiter vertraglich auf Datenschutzpflichten, die denen dieses Vertrags entsprechen. Kommt der Unterauftragsverarbeiter seinen Pflichten nicht nach, haftet der Auftragsverarbeiter gegenüber dem Verantwortlichen für dessen Verhalten wie für eigenes.

Beabsichtigt der Auftragsverarbeiter, einen Unterauftragsverarbeiter hinzuzuziehen oder zu ersetzen, informiert er den Verantwortlichen mindestens vier Wochen vorher in Textform. Der Verantwortliche kann der Änderung innerhalb von zwei Wochen nach Zugang der Information widersprechen. Eine Begründung ist nicht erforderlich; sie hilft dem Auftragsverarbeiter aber, Abhilfe zu schaffen. Kann dem Widerspruch nicht abgeholfen werden, kann jede Partei den Nutzungsvertrag samt diesem Vertrag zum Zeitpunkt des Wirksamwerdens der Änderung kündigen.

Nicht als Unterauftragsverarbeitung gelten Nebenleistungen wie Telekommunikation, Post oder Wartung, bei denen ein Zugriff auf personenbezogene Daten nicht Vertragszweck und allenfalls gelegentlich möglich ist.

Ebenfalls keine Unterauftragsverarbeitung sind Übermittlungen an Dienste, die der Verantwortliche selbst beauftragt und eingerichtet hat. Das betrifft insbesondere die Buchhaltungs-Schnittstellen zu Lexware Office (Haufe-Lexware GmbH & Co. KG, Deutschland) und sevDesk (sevDesk GmbH, Deutschland) sowie den Versand über einen eigenen SMTP-Server. Diese Anbindungen sind standardmäßig deaktiviert; sie werden erst wirksam, wenn der Verantwortliche einen eigenen Zugangsschlüssel hinterlegt und den Abgleich auslöst. Der Auftragsverarbeiter übermittelt die betroffenen Kunden-, Angebots- und Rechnungsdaten dann ausschließlich auf diese Weisung hin. Der Vertrag mit dem jeweiligen Anbieter, dessen Auswahl und die datenschutzrechtliche Zulässigkeit der Übermittlung liegen beim Verantwortlichen; der Auftragsverarbeiter schuldet insoweit keine Auswahlprüfung.

Keine Unterauftragsverarbeiter im Sinne dieses Vertrags sind ferner: Stripe Payments Europe, Limited (Irland), die ausschließlich das Abonnement zwischen Auftragsverarbeiter und Verantwortlichem abwickelt und dafür keine Inhaltsdaten des Verantwortlichen erhält; Apple Inc. und Google LLC als Betreiber der App-Vertriebsplattformen; sowie Apple Distribution International Ltd. beim Zustelldienst für Push-Benachrichtigungen auf dem iPhone, der Gerätetoken und Benachrichtigungsinhalt in eigener Verantwortung verarbeitet.

Datenbank und Dateiablage liegen ausschließlich in der Europäischen Union. Soweit einzelne Unterauftragsverarbeiter ihren Sitz in einem Drittland haben, dort ansässige Unternehmen einsetzen oder Kopien einzelner Inhalte dort speichern, erfolgt eine Übermittlung nur, wenn die Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind – auf Grundlage des Angemessenheitsbeschlusses zum EU-US Data Privacy Framework, soweit der Empfänger danach zertifiziert ist, und im Übrigen sowie für den Fall seines Wegfalls auf Grundlage der Standardvertragsklauseln nach Art. 46 Abs. 2 lit. c DSGVO.

Anlage 2 weist den Sitz und die jeweilige Garantie für jeden Unterauftragsverarbeiter aus.

Der Auftragsverarbeiter unterstützt den Verantwortlichen mit geeigneten technischen und organisatorischen Maßnahmen dabei, Anträge betroffener Personen nach Kapitel III DSGVO zu beantworten (Art. 28 Abs. 3 lit. e DSGVO). Die Software stellt hierfür insbesondere einen vollständigen Datenexport (Art. 15 und 20), Korrekturmöglichkeiten (Art. 16) sowie eine Kontolöschung (Art. 17) bereit.

Wendet sich eine betroffene Person unmittelbar an den Auftragsverarbeiter, leitet er das Anliegen unverzüglich an den Verantwortlichen weiter und beantwortet es nicht selbst.

Jeder Nutzer kann die ihn betreffenden Daten in der Software selbst exportieren; Nutzer mit der Rolle Chef können den gesamten Bestand des Betriebs exportieren. Nutzer ohne diese Rolle können in der Software die Löschung ihres eigenen Zugangs beantragen. Ein solcher Antrag wird dem Verantwortlichen in der Software gemeldet und zugleich beim Auftragsverarbeiter als Support-Vorgang erfasst, damit dieser den Verantwortlichen an die Frist des Art. 12 Abs. 3 DSGVO erinnern kann. Über den Antrag und seine Umsetzung entscheidet allein der Verantwortliche.

Der Auftragsverarbeiter unterstützt den Verantwortlichen bei der Einhaltung der Pflichten aus Art. 32 bis 36 DSGVO, unter Berücksichtigung der Art der Verarbeitung und der ihm zur Verfügung stehenden Informationen (Art. 28 Abs. 3 lit. f DSGVO). Für eine Datenschutz-Folgenabschätzung zur Standortfunktion stellt er die Angaben zu Funktionsweise, Speicherung und Schutzmaßnahmen zur Verfügung.

Der Auftragsverarbeiter meldet dem Verantwortlichen jede Verletzung des Schutzes personenbezogener Daten unverzüglich nach Bekanntwerden, spätestens innerhalb von 48 Stunden, in Textform. Die Meldung enthält, soweit verfügbar, eine Beschreibung der Art der Verletzung, die Kategorien und die ungefähre Zahl der betroffenen Personen und Datensätze, die wahrscheinlichen Folgen sowie die ergriffenen oder vorgeschlagenen Gegenmaßnahmen. Die Meldung an die Aufsichtsbehörde nach Art. 33 DSGVO obliegt dem Verantwortlichen.

Solange das Konto besteht, bleiben die Daten gespeichert. Der Verantwortliche kann sie jederzeit über die Exportfunktion in einem strukturierten, gängigen und maschinenlesbaren Format selbst abrufen (Art. 28 Abs. 3 lit. g DSGVO).

Löscht der Verantwortliche das Konto in den Einstellungen, gilt das als Weisung zur vollständigen Löschung. Der Auftragsverarbeiter löscht dann alle personenbezogenen Daten des Verantwortlichen einschließlich der Rechnungen, Belege und des Änderungsprotokolls. Handels- und steuerrechtliche Aufbewahrungspflichten (§ 147 AO, § 257 HGB) treffen allein den Verantwortlichen. Die Software weist vor der Löschung auf den Datenexport hin; die Löschung wird erst nach Bestätigung per E-Mail ausgeführt.

Setzt der Verantwortliche das Konto in den Einstellungen zurück, gilt das als Weisung, alle Geschäftsdaten zu löschen – einschließlich Kunden, Aufträgen, Rechnungen, Belegen, Arbeitszeiten, Standortdaten und des Änderungsprotokolls. Bestehen bleiben das Konto, die Nutzerzugänge mit ihren Personaldaten, die Einstellungen, Firmendokumente, Einwilligungsnachweise und Support-Vorgänge. Das Zurücksetzen setzt die erneute Eingabe des Passworts voraus.

Deaktiviert der Verantwortliche einen Nutzerzugang, bleiben die Daten dieses Nutzers gespeichert, bis der Verantwortliche sie löscht oder das Konto löscht. Die Löschung von Personal- und Vergütungsdaten ausgeschiedener Beschäftigter nach Ablauf der für ihn geltenden Fristen obliegt dem Verantwortlichen; soweit die Software dafür keine eigene Funktion bereitstellt, führt der Auftragsverarbeiter die Löschung auf Weisung in Textform aus.

Endet der Nutzungsvertrag auf andere Weise, gelten für Rückgabe und Löschung die Regelungen zum Anbieterwechsel in den Nutzungsbedingungen: Der Verantwortliche kann seine Daten danach noch mindestens 30 Kalendertage abrufen; anschließend werden sie gelöscht.

Aus den Datensicherungen werden gelöschte Daten mit dem turnusmäßigen Löschen der Sicherungen entfernt, spätestens 14 Tage nach Erstellung einer neueren Sicherung. Als Nachweis der Löschung bleiben ein anonymisierter Firmendatensatz und ein Löschprotokoll mit Zeitpunkt, Umfang und dem Namen der Person erhalten, die die Löschung angewiesen hat.

Der Auftragsverarbeiter stellt dem Verantwortlichen alle erforderlichen Informationen zum Nachweis der Einhaltung dieses Vertrags zur Verfügung und ermöglicht Überprüfungen einschließlich Inspektionen (Art. 28 Abs. 3 lit. h DSGVO).

Der Nachweis kann durch aktuelle Zertifikate oder Prüfberichte der eingesetzten Unterauftragsverarbeiter, durch eine dokumentierte Selbstauskunft zu den Maßnahmen nach Anlage 1 oder durch Vorlage geeigneter Testate erfolgen.

Reicht dies im Einzelfall nicht aus, kann der Verantwortliche nach rechtzeitiger Ankündigung mit angemessener Vorlaufzeit, während der üblichen Geschäftszeiten und ohne Störung des Betriebsablaufs eine Prüfung durchführen oder durch einen zur Verschwiegenheit verpflichteten Prüfer durchführen lassen, der kein Wettbewerber des Auftragsverarbeiters sein darf.

Vor-Ort-Prüfungen finden höchstens einmal je Kalenderjahr statt, es sei denn, ein konkreter Anlass – insbesondere eine Verletzung des Schutzes personenbezogener Daten beim Auftragsverarbeiter oder eine Anordnung der Aufsichtsbehörde – rechtfertigt eine weitere Prüfung. Den ihm durch eine Vor-Ort-Prüfung entstehenden Aufwand kann der Auftragsverarbeiter angemessen vergütet verlangen, es sei denn, die Prüfung ergibt einen erheblichen Verstoß des Auftragsverarbeiters gegen diesen Vertrag. Die Befugnisse der Aufsichtsbehörden bleiben unberührt.

Für die Haftung im Außenverhältnis gegenüber betroffenen Personen gilt Art. 82 DSGVO. Im Innenverhältnis gelten die Haftungsregelungen des Nutzungsvertrags, soweit die DSGVO nicht zwingend etwas anderes bestimmt.

Änderungen und Ergänzungen dieses Vertrags bedürfen der Textform. Das gilt auch für die Aufhebung dieses Formerfordernisses.

Sollte eine Bestimmung unwirksam sein oder werden, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt. Die Parteien ersetzen die unwirksame Bestimmung durch eine wirksame, die dem wirtschaftlichen Zweck am nächsten kommt.

Es gilt das Recht der Bundesrepublik Deutschland unter Ausschluss des UN-Kaufrechts.

Vertraulichkeit – Zutrittskontrolle

Die laufende Verarbeitung erfolgt ausschließlich in Rechenzentren der eingesetzten Unterauftragsverarbeiter. Diese sind nach anerkannten Standards (u. a. ISO 27001) zertifiziert und verfügen über Zutrittsschutz, Videoüberwachung und Alarmierung. Eigene Server werden nicht betrieben. Ausgenommen sind die verschlüsselten Datensicherungen (siehe „Verfügbarkeit und Belastbarkeit"); sie liegen auf Datenträgern des Auftragsverarbeiters in dessen Geschäftsräumen und sind ohne den getrennt verwahrten Schlüssel nicht lesbar.

Vertraulichkeit – Zugangskontrolle

Zugang ausschließlich über persönliche Benutzerkonten mit E-Mail und Passwort. Passwörter werden nur als kryptografischer Hash gespeichert. Sitzungen laufen über zeitlich begrenzte Tokens. Anmeldeversuche werden begrenzt; eine Prüfung auf automatisierte Anmeldeversuche kann vorgeschaltet werden. Das Zurücksetzen eines Kontos verlangt die erneute Eingabe des Passworts, die Kontolöschung die Bestätigung über einen zeitlich begrenzten Link per E-Mail. Administrative Zugänge des Auftragsverarbeiters zu allen eingesetzten Diensten sind mit Zwei-Faktor-Authentifizierung geschützt.

Vertraulichkeit – Zugriffskontrolle

Mandantentrennung auf Datenbankebene durch Row Level Security: Jede Abfrage ist an die Firmenzugehörigkeit des Kontos gebunden, ein Zugriff über Firmengrenzen hinweg wird von der Datenbank unterbunden; serverseitig wird die Firmenzugehörigkeit stets aus dem Konto gelesen, nie aus der Anfrage. Innerhalb des Betriebs steuert ein Rollenkonzept den Umfang des Zugriffs: Chef mit vollem Zugriff; Monteur – auch mit dem Titel Meister – mit Zugriff auf die eigenen Daten und die ihm zugewiesenen Vorgänge, ohne Verkaufspreise und Personalakten; Steuerberater mit Lesezugriff auf die kaufmännischen Unterlagen. Personal- und Vergütungsdaten sind nur für die betroffene Person und für Nutzer mit der Rolle Chef lesbar, interne Notizen und Verrechnungssätze nur für die Rolle Chef. Belege, Fotos, Firmendokumente, Personaldokumente, Arbeitsunfähigkeitsnachweise, Regieberichte, Aufmaße, Support-Anhänge und Datenexporte liegen in nicht öffentlichen Speicherbereichen und sind nur über zeitlich begrenzte, signierte Links oder über den Server erreichbar; öffentlich abrufbar sind ausschließlich Profilbilder und Firmenlogos.

Schutz von Gesundheitsdaten und Führungszeugnissen

Personaldokumente – zu denen Gesundheitszeugnisse und Führungszeugnisse gehören können – und Arbeitsunfähigkeitsnachweise sind nur für die betroffene Person selbst und für Nutzer mit der Rolle Chef zugänglich; die Datenbank erzwingt das für jede einzelne Zeile, und nur diese beiden können Arbeitsunfähigkeitsnachweise hochladen. Arbeitsunfähigkeitsnachweise liegen in einem gesonderten Speicherbereich ohne direkten Zugriff aus dem Browser. Alle Dateien werden bei der Übertragung und im Ruhezustand verschlüsselt.

Pseudonymisierung

Fehlerberichte enthalten statt Namen und E-Mail-Adressen nur interne Kennungen von Nutzer, Firma und Rolle; Zugangsschlüssel werden vor dem Versand aus Adressen entfernt, IP-Adressen aus den Berichten gelöscht. Aufrufe an die automatische Belegerkennung und den Geodienst erfolgen vom Server aus ohne Kennung des Nutzers.

Vertraulichkeit – Trennungskontrolle

Daten verschiedener Verantwortlicher werden logisch über die Firmenzugehörigkeit getrennt und ausschließlich für den jeweiligen Verantwortlichen verarbeitet. Entwicklung und automatisierte Tests laufen gegen eine getrennte lokale Datenbank mit erfundenen Testdaten. Die Vorabversion der Anwendung, auf der Änderungen vor der Veröffentlichung geprüft werden, nutzt die Produktivdatenbank und unterliegt denselben Zugriffsregeln.

Integrität – Weitergabekontrolle

Jede Übertragung erfolgt ausschließlich TLS-verschlüsselt. Daten werden im Ruhezustand verschlüsselt gespeichert. Zugangsdaten zu Buchhaltungs-Schnittstellen und eigenen Mailservern des Verantwortlichen werden zusätzlich anwendungsseitig verschlüsselt. Datensicherungen werden verschlüsselt übertragen (TLS) und verschlüsselt abgelegt (AES-256); ein Transport unverschlüsselter Daten auf Datenträgern findet nicht statt.

Integrität – Eingabekontrolle

Steuerrelevante Vorgänge werden in einem unveränderlichen Änderungsprotokoll (Audit-Log) mit Zeitpunkt und auslösendem Konto erfasst. Korrekturen an Zeiterfassungen werden mit Bearbeiter, Zeitpunkt und Grund festgehalten. Finalisierte Rechnungen sind durch Datenbankregeln gegen nachträgliche Änderung gesperrt. Einwilligungen und ihr Widerruf werden als unveränderliche Einträge mit Zeitpunkt gespeichert; Verwaltungsvorgänge des Auftragsverarbeiters werden am Kundenkonto vermerkt.

Endgeräte

Für die Offline-Nutzung zwischengespeicherte Inhalte, noch nicht übertragene Eingaben und Sitzungsdaten werden beim Abmelden vom Gerät gelöscht. Die Android-App schließt ihre Daten von der Sicherung durch das Betriebssystem aus. Für die Sicherheit der Endgeräte selbst ist der Verantwortliche zuständig.

Verfügbarkeit und Belastbarkeit

Automatisierte, in der Regel tägliche Sicherung der Datenbank und aller gespeicherten Dateien durch den Auftragsverarbeiter. Die Sicherungen werden vor dem Speichern mit AES-256 verschlüsselt und auf verschlüsselten Datenträgern des Auftragsverarbeiters in Deutschland aufbewahrt; der Schlüssel wird getrennt davon verwahrt. Ältere Sicherungen werden nach 14 Tagen gelöscht, die jeweils jüngste bleibt bis zur Erstellung einer neueren erhalten. Die Wiederherstellbarkeit wird regelmäßig geprüft. Redundante Infrastruktur und Schutz vor Überlastungsangriffen über den Hosting-Anbieter; automatische Fehlerberichte zur schnellen Störungserkennung.

Verfahren zur Überprüfung und Bewertung

Regelmäßige Überprüfung der Maßnahmen und Aktualisierung der eingesetzten Komponenten; automatisierte Prüfungen der Mandantentrennung und der Zugriffsregeln vor Veröffentlichungen. Datenschutzfreundliche Voreinstellungen (Art. 25): Die Standorterfassung ist standardmäßig deaktiviert und erfordert sowohl die Aktivierung durch den Verantwortlichen als auch eine ausdrückliche, jederzeit widerrufbare Einwilligung der betroffenen Person; beides prüft die Datenbank bei jeder Speicherung eines Standorts selbst. Die Erhebung während der laufenden Arbeitszeit ist eine zweite, getrennt zu erteilende Einwilligung; sie endet mit dem Ausstempeln. Von dieser Erhebung wird ausschließlich der jeweils letzte Punkt gespeichert – die Datenhaltung lässt je Person nur einen Datensatz zu, eine Aufzeichnung zurückliegender Positionen kann technisch nicht entstehen. Eine Ortung im Hintergrund findet nicht statt: die Anwendung fordert keine dauerhafte Standortberechtigung an und kann bei geschlossener App keine Position übermitteln.

Mitbestimmung bei Standortanzeige

Die Anzeige von Standorten gegenüber der Betriebsleitung ist eine technische Einrichtung im Sinne des § 87 Abs. 1 Nr. 6 BetrVG. Besteht beim Verantwortlichen ein Betriebsrat, hat dieser vor Aktivierung der Funktion mitzubestimmen. Die Verantwortung für die Einholung liegt beim Verantwortlichen.

Transparenz der Standort-Abrufe

Jede Anzeige eines aktuellen Standorts gegenüber der Betriebsleitung wird protokolliert und ist für die betroffene Person in der Anwendung einsehbar (wer, wann); wiederholtes Aktualisieren innerhalb von 15 Minuten gilt als eine Anzeige. Eine Anfrage an das Gerät der betroffenen Person findet nicht statt. Die Positionsmeldung erfolgt im Abstand von 30 Minuten und ausschließlich bei geöffneter Anwendung während einer laufenden Zeitbuchung; der gespeicherte Punkt wird mit dem Ausstempeln gelöscht, spätestens nach 24 Stunden.

Auftragskontrolle

Abschluss von Verträgen nach Art. 28 Abs. 4 DSGVO mit jedem Unterauftragsverarbeiter vor dessen Einsatz und deren Ablage als Nachweis, Auswahl nach Eignung und dokumentierten Garantien, Verpflichtung der eingesetzten Personen auf Vertraulichkeit sowie ein dokumentierter Ablauf für die Behandlung und Meldung von Verletzungen des Schutzes personenbezogener Daten.

Der Verantwortliche genehmigt die Hinzuziehung der folgenden Unterauftragsverarbeiter (Stand siehe oben):

Supabase Pte. Ltd., Singapur

Datenbank, Authentifizierung und Dateispeicher sowie serverseitige Funktionen zur Erzeugung von PDF-Dokumenten und zum Versand über einen eigenen Mailserver des Verantwortlichen. Datenhaltung ausschließlich in einer EU-Region auf Infrastruktur von Amazon Web Services; die serverseitigen Funktionen können in dem der Anfrage nächstgelegenen Rechenzentrum des Anbieters ausgeführt werden, auch außerhalb der EU. Browser und App verbinden sich unmittelbar mit dem Dienst, der dabei die IP-Adresse verarbeitet. Garantie für Zugriffe und Verarbeitungen aus Drittländern: Standardvertragsklauseln.

Cloudflare, Inc., USA

Hosting und Auslieferung der Anwendung, Schutz vor Angriffen; verarbeitet dabei Verbindungsdaten und die durchgeleiteten Inhalte. Sofern eingeschaltet, zusätzlich Prüfung auf automatisierte Zugriffe bei Anmeldung, Registrierung und Passwortänderung (Turnstile) anhand von IP-Adresse, Browserkennung und technischen Verbindungsmerkmalen; diese Signale verarbeitet Cloudflare nach eigenen Angaben auch in eigener Verantwortung zur Verbesserung seiner Erkennung automatisierter Zugriffe. Garantie: EU-US Data Privacy Framework, ergänzend Standardvertragsklauseln.

Google Ireland Limited, Irland

Firebase Cloud Messaging zur Zustellung von Push-Benachrichtigungen in den Apps. Verarbeitet werden Gerätetoken und der Benachrichtigungsinhalt, der je nach Anlass Namen von Beschäftigten oder Kunden, den Betreff eines Vorgangs oder den Anfang einer Notiz enthalten kann. Garantie für Übermittlungen an Google LLC: EU-US Data Privacy Framework, ergänzend Standardvertragsklauseln.

Functional Software, Inc. („Sentry“), USA

Erfassung technischer Fehler- und Absturzberichte zur Störungsbehebung. Die Fehlerberichte liegen in der EU-Datenregion (Rechenzentrum in Deutschland); Konto- und Organisationsangaben des Dienstes liegen in den USA. Verarbeitet werden technische Fehlerdaten sowie Benutzer-, Firmen- und Rollenkennung zur Zuordnung; keine Inhaltsdaten, keine Klarnamen, keine IP-Adressen, keine Bildschirmaufzeichnungen. Aufbewahrung höchstens 90 Tage. Garantie: EU-US Data Privacy Framework, ergänzend Standardvertragsklauseln.

OpenRouter, Inc., USA

Vermittlung des Modellaufrufs für die maschinelle Beleg-, Rechnungs- und Lieferschein-Erkennung. Übermittelt wird ausschließlich das einzelne Dokument nebst Verarbeitungsanweisung, nicht der übrige Datenbestand; ein Zugriff auf die Datenbank besteht nicht. Der Auftragsverarbeiter hat die Vermittlung technisch darauf festgelegt, dass der Aufruf ausschließlich an den nachfolgend genannten Modellanbieter ausgeliefert wird; ein Ausweichen auf andere Modellanbieter ist ausgeschlossen, und PDF-Dateien werden ohne vorgeschaltete Texterkennung Dritter weitergereicht. Keine Speicherung der Inhalte über die Bearbeitung hinaus, keine Verwendung zum Training von KI-Modellen. Garantie: Standardvertragsklauseln.

Anthropic, PBC, USA (von OpenRouter eingesetzt)

Maschinelle Auswertung von Belegen, Rechnungen und Lieferscheinen zur Übernahme der enthaltenen Felder, ausgelöst durch den jeweiligen Nutzer. Der Aufruf erreicht den Modellanbieter ausschließlich über den vorstehend genannten Vermittlungsdienst. Die Inhalte werden nicht zum Training von KI-Modellen verwendet und nach höchstens 30 Tagen Speicherung zur Missbrauchserkennung gelöscht; als Verstoß gegen die Nutzungsrichtlinien markierte Inhalte können länger aufbewahrt werden.

Plus Five Five, Inc. („Resend“), USA

Versand von System- und Beleg-E-Mails einschließlich der angehängten Rechnungs-, Angebots- und Nachweis-PDF-Dateien an die vom Verantwortlichen bestimmten Empfänger. Verarbeitet werden Empfängeradresse, Betreff, Nachrichtentext und Anhänge; Kopien der Nachrichten werden in den USA gespeichert und nach 30 Tagen gelöscht. Garantie: EU-US Data Privacy Framework, ergänzend Standardvertragsklauseln. Setzt der Verantwortliche einen eigenen SMTP-Server ein, entfällt dieser Unterauftragsverarbeiter; der Versand erfolgt dann über den von ihm gewählten Anbieter in seiner Verantwortung.

KEPTAGO LTD („Geoapify“), Zypern

Adresssuche und Kartenbilder. Übermittelt werden Suchtexte und angeforderte Kartenausschnitte vom Server des Auftragsverarbeiters, ohne IP-Adresse oder Kennung des Nutzers. Verarbeitung in Rechenzentren in der Europäischen Union; Protokolle höchstens 24 Stunden, in Ausnahmefällen bis zu zwei Monate.

Welche Dienste bewusst nicht als Unterauftragsverarbeiter gelten, regelt Ziffer 8.