Dieser Vertrag nach Art. 28 DSGVO regelt, wie wir personenbezogene Daten in Ihrem Auftrag verarbeiten – insbesondere die Daten Ihrer Beschäftigten und Ihrer Kunden. Er wird mit der Registrierung Bestandteil des Nutzungsvertrags.
Dieser Auftragsverarbeitungsvertrag (nachfolgend „Vertrag“) konkretisiert die datenschutzrechtlichen Rechte und Pflichten zwischen dem Handwerksbetrieb, der TrueFlow nutzt (nachfolgend „Verantwortlicher“), und dem Anbieter (nachfolgend „Auftragsverarbeiter“).
Der Vertrag kommt mit Annahme bei der Registrierung zustande, wird Bestandteil des Nutzungsvertrags und läuft, solange der Auftragsverarbeiter für den Verantwortlichen personenbezogene Daten verarbeitet. Er endet mit Beendigung des Nutzungsvertrags; die Pflichten aus Ziffer 12 (Löschung) bestehen darüber hinaus fort.
Bei Widersprüchen zwischen diesem Vertrag und dem Nutzungsvertrag gehen die Regelungen dieses Vertrags in datenschutzrechtlichen Fragen vor.
Der Auftragsverarbeiter stellt dem Verantwortlichen eine Software zur Verwaltung seines Handwerksbetriebs bereit. Zweck der Verarbeitung ist ausschließlich die Erbringung dieser vertraglich vereinbarten Leistung.
Eine Verarbeitung zu eigenen Zwecken des Auftragsverarbeiters – insbesondere zu Werbung, Profilbildung, Weiterverkauf oder dem Training von KI-Modellen – findet nicht statt.
Gegenstand der Verarbeitung sind folgende Datenarten:
Der Verantwortliche entscheidet allein, welche Daten er einstellt. Besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO (etwa Gesundheitsdaten) sind nicht Gegenstand dieses Vertrags. Stellt der Verantwortliche solche Daten dennoch ein – etwa Arbeitsunfähigkeitsbescheinigungen als Dokument –, geschieht dies in seiner alleinigen Verantwortung; er hat die dafür erforderliche Rechtsgrundlage und zusätzliche Schutzmaßnahmen sicherzustellen.
Der Verantwortliche ist für die Rechtmäßigkeit der Verarbeitung sowie für die Wahrung der Rechte der betroffenen Personen allein verantwortlich (Art. 24 DSGVO). Ihm obliegt insbesondere die Prüfung, ob für die Verarbeitung von Beschäftigtendaten – etwa der Standorterfassung – eine tragfähige Rechtsgrundlage nach § 26 BDSG besteht und ob eine Beteiligung des Betriebsrats erforderlich ist.
Der Verantwortliche ist berechtigt, Weisungen nach Ziffer 5 zu erteilen, und verpflichtet, dem Auftragsverarbeiter Verstöße gegen datenschutzrechtliche Bestimmungen unverzüglich mitzuteilen, wenn er sie bei der Prüfung von Ergebnissen der Verarbeitung feststellt.
Der Auftragsverarbeiter verarbeitet die Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen, einschließlich der Übermittlung in Drittländer, es sei denn, er ist nach Unionsrecht oder dem Recht eines Mitgliedstaats zur Verarbeitung verpflichtet. In einem solchen Fall teilt er dem Verantwortlichen diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das Recht dies nicht wegen eines wichtigen öffentlichen Interesses verbietet.
Die Nutzung der Software durch den Verantwortlichen und die von ihm vorgenommenen Einstellungen gelten als Weisung. Weitergehende Einzelweisungen sind in Textform an hello@wemodo.de zu richten.
Ist der Auftragsverarbeiter der Auffassung, dass eine Weisung gegen die DSGVO oder andere Datenschutzbestimmungen verstößt, informiert er den Verantwortlichen unverzüglich (Art. 28 Abs. 3 Satz 3 DSGVO). Er ist berechtigt, die Ausführung der Weisung bis zu deren Bestätigung oder Änderung auszusetzen.
Der Auftragsverarbeiter setzt zur Verarbeitung ausschließlich Personen ein, die zur Vertraulichkeit verpflichtet wurden oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen (Art. 28 Abs. 3 lit. b DSGVO). Die Verpflichtung besteht auch nach Beendigung der Tätigkeit fort.
Der Kreis der zugriffsberechtigten Personen ist auf das für Betrieb, Wartung und Support unbedingt erforderliche Maß beschränkt. Ein Zugriff auf Inhaltsdaten des Verantwortlichen erfolgt nur, soweit dies zur Störungsbeseitigung oder auf dessen Anfrage erforderlich ist.
Der Auftragsverarbeiter trifft die nach Art. 32 DSGVO erforderlichen technischen und organisatorischen Maßnahmen, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten. Die konkreten Maßnahmen sind in Anlage 1 (Ziffer 16) beschrieben und Bestandteil dieses Vertrags.
Die Maßnahmen unterliegen dem technischen Fortschritt. Der Auftragsverarbeiter darf sie anpassen, sofern das vereinbarte Schutzniveau dabei nicht unterschritten wird. Wesentliche Änderungen werden dokumentiert.
Der Verantwortliche erteilt hiermit die allgemeine Genehmigung zur Hinzuziehung der in Anlage 2 (Ziffer 17) genannten Unterauftragsverarbeiter (Art. 28 Abs. 2 Satz 2 DSGVO).
Der Auftragsverarbeiter verpflichtet jeden Unterauftragsverarbeiter vertraglich auf Datenschutzpflichten, die denen dieses Vertrags entsprechen. Kommt der Unterauftragsverarbeiter seinen Pflichten nicht nach, haftet der Auftragsverarbeiter gegenüber dem Verantwortlichen für dessen Verhalten wie für eigenes.
Beabsichtigt der Auftragsverarbeiter, einen Unterauftragsverarbeiter hinzuzuziehen oder zu ersetzen, informiert er den Verantwortlichen mindestens vier Wochen vorher in Textform. Der Verantwortliche kann der Änderung innerhalb von zwei Wochen aus wichtigem datenschutzrechtlichem Grund widersprechen. Im Fall eines berechtigten Widerspruchs, dem nicht abgeholfen werden kann, steht dem Verantwortlichen ein Sonderkündigungsrecht zu.
Nicht als Unterauftragsverarbeitung gelten Nebenleistungen wie Telekommunikation, Post oder Wartung, bei denen ein Zugriff auf personenbezogene Daten nicht Vertragszweck und allenfalls gelegentlich möglich ist.
Die Speicherung der Inhaltsdaten erfolgt ausschließlich innerhalb der Europäischen Union. Soweit einzelne Unterauftragsverarbeiter ihren Sitz in einem Drittland haben oder dort ansässige Unternehmen einsetzen, erfolgt eine Übermittlung nur, wenn die Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind – insbesondere auf Grundlage eines Angemessenheitsbeschlusses (EU-US Data Privacy Framework) oder der Standardvertragsklauseln nach Art. 46 Abs. 2 lit. c DSGVO nebst ergänzender Schutzmaßnahmen.
Anlage 2 weist den Sitz und die jeweilige Garantie für jeden Unterauftragsverarbeiter aus.
Der Auftragsverarbeiter unterstützt den Verantwortlichen mit geeigneten technischen und organisatorischen Maßnahmen dabei, Anträge betroffener Personen nach Kapitel III DSGVO zu beantworten (Art. 28 Abs. 3 lit. e DSGVO). Die Software stellt hierfür insbesondere einen vollständigen Datenexport (Art. 15 und 20), Korrekturmöglichkeiten (Art. 16) sowie eine Kontolöschung (Art. 17) bereit.
Wendet sich eine betroffene Person unmittelbar an den Auftragsverarbeiter, leitet er das Anliegen unverzüglich an den Verantwortlichen weiter und beantwortet es nicht selbst.
Der Auftragsverarbeiter unterstützt den Verantwortlichen bei der Einhaltung der Pflichten aus Art. 32 bis 36 DSGVO, unter Berücksichtigung der Art der Verarbeitung und der ihm zur Verfügung stehenden Informationen (Art. 28 Abs. 3 lit. f DSGVO).
Der Auftragsverarbeiter meldet dem Verantwortlichen jede Verletzung des Schutzes personenbezogener Daten unverzüglich nach Bekanntwerden, spätestens innerhalb von 24 Stunden, in Textform. Die Meldung enthält, soweit verfügbar, eine Beschreibung der Art der Verletzung, die Kategorien und die ungefähre Zahl der betroffenen Personen und Datensätze, die wahrscheinlichen Folgen sowie die ergriffenen oder vorgeschlagenen Gegenmaßnahmen. Die Meldung an die Aufsichtsbehörde nach Art. 33 DSGVO obliegt dem Verantwortlichen.
Nach Beendigung der Verarbeitung löscht der Auftragsverarbeiter alle personenbezogenen Daten oder gibt sie nach Wahl des Verantwortlichen zurück (Art. 28 Abs. 3 lit. g DSGVO). Der Verantwortliche kann seine Daten jederzeit und bis zur Löschung über die Exportfunktion in einem strukturierten, gängigen und maschinenlesbaren Format selbst abrufen.
Ausgenommen sind Daten, für die eine gesetzliche Aufbewahrungspflicht besteht – insbesondere Rechnungen, Buchungsbelege und die ihnen zugrunde liegenden Zeit- und Materialdaten sowie das nach GoBD zu führende unveränderliche Änderungsprotokoll. Diese Daten werden bis zum Ablauf der Frist (§ 147 Abs. 3 AO, § 257 Abs. 4 HGB) aufbewahrt, für die weitere Nutzung gesperrt und anschließend gelöscht.
Der Auftragsverarbeiter stellt dem Verantwortlichen alle erforderlichen Informationen zum Nachweis der Einhaltung dieses Vertrags zur Verfügung und ermöglicht Überprüfungen einschließlich Inspektionen (Art. 28 Abs. 3 lit. h DSGVO).
Der Nachweis kann durch aktuelle Zertifikate oder Prüfberichte der eingesetzten Unterauftragsverarbeiter, durch eine dokumentierte Selbstauskunft zu den Maßnahmen nach Anlage 1 oder durch Vorlage geeigneter Testate erfolgen.
Reicht dies im Einzelfall nicht aus, kann der Verantwortliche nach rechtzeitiger Ankündigung mit angemessener Vorlaufzeit, während der üblichen Geschäftszeiten und ohne Störung des Betriebsablaufs eine Prüfung durchführen oder durch einen zur Verschwiegenheit verpflichteten Prüfer durchführen lassen, der kein Wettbewerber des Auftragsverarbeiters sein darf.
Für die Haftung im Außenverhältnis gegenüber betroffenen Personen gilt Art. 82 DSGVO. Im Innenverhältnis gelten die Haftungsregelungen des Nutzungsvertrags, soweit die DSGVO nicht zwingend etwas anderes bestimmt.
Änderungen und Ergänzungen dieses Vertrags bedürfen der Textform. Das gilt auch für die Aufhebung dieses Formerfordernisses.
Sollte eine Bestimmung unwirksam sein oder werden, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt. Die Parteien ersetzen die unwirksame Bestimmung durch eine wirksame, die dem wirtschaftlichen Zweck am nächsten kommt.
Es gilt das Recht der Bundesrepublik Deutschland unter Ausschluss des UN-Kaufrechts.
Der Verantwortliche genehmigt die Hinzuziehung der folgenden Unterauftragsverarbeiter (Stand siehe oben):
Apple Inc. und Google LLC stellen lediglich die App-Vertriebsplattformen bereit und erhalten keine Inhaltsdaten; sie sind keine Unterauftragsverarbeiter im Sinne dieses Vertrags.
Enver Eser · Wemodo · Feuerbachstraße 1A · 89331 Burgau