CoPunktRechtliches

Vertrag über die Auftragsverarbeitung

Stand: 28. Oktober 2026 · Art. 28 DSGVO

Wer verarbeitet hier für wen? Der Kunde speichert mit CoPunkt Daten seiner eigenen Kunden und Mitarbeiter. Er entscheidet, was damit geschieht, und ist damit Verantwortlicher. Ertugrul Ünal führt nur aus und ist Auftragsverarbeiter. Für dieses Verhältnis verlangt Art. 28 DSGVO einen Vertrag; das ist dieser.

Der Wortlaut stammt von der Europäischen Kommission. Es sind die Standardvertragsklauseln nach Art. 28 Abs. 7 DSGVO (Durchführungsbeschluss (EU) 2021/915 der Kommission vom 4. Juni 2021, ABl. L 199 vom 7.6.2021, S. 18), unverändert übernommen. Nicht zu verwechseln mit den Klauseln für Übermittlungen in Drittländer (Durchführungsbeschluss (EU) 2021/914); die braucht dieser Vertrag selbst nicht, weil die Verarbeitung in Deutschland stattfindet. Die einzige Ausnahme sind eingeschaltete Benachrichtigungen der Handwerker-App (§ 2, Anhang IV Nr. 3): Dort stützt sich der Zustelldienst auf den Datenschutzrahmen EU-USA und ergänzend auf genau diese Klauseln. Nach Klausel 2 dürfen sie nicht geändert werden; ausgefüllt sind allein die Anhänge I bis IV. Die ergänzenden Vereinbarungen am Ende regeln Einzelheiten, ohne den Klauseln zu widersprechen.

Geschlossen wird er elektronisch (Art. 28 Abs. 9 DSGVO): mit der ausdrücklichen Zustimmung bei der Registrierung, im Kundenbereich oder bei der Buchung des Serverbetriebs, zugleich mit der Annahme der AGB, aber als eigener Vertrag. Einer neuen Fassung kann der Kunde auch im Windows-Programm oder in der Handwerker-App zustimmen, ausgewiesen mit den Zugangsdaten seines Kundenkontos. Fassung und Zeitpunkt werden am Kundenkonto festgehalten, im Änderungsprotokoll zusätzlich der zustimmende Zugang; dessen IP-Adresse wird dort nach 90 Tagen entfernt. Eine unterschriebene Ausfertigung auf Papier ist auf Wunsch erhältlich.

ABSCHNITT I

Klausel 1: Zweck und Anwendungsbereich

a)Mit diesen Standardvertragsklauseln (im Folgenden „Klauseln“) soll die Einhaltung von Artikel 28 Absätze 3 und 4 der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung) sichergestellt werden.

b)Die in Anhang I aufgeführten Verantwortlichen und Auftragsverarbeiter haben diesen Klauseln zugestimmt, um die Einhaltung von Artikel 28 Absätze 3 und 4 der Verordnung (EU) 2016/679 und/oder Artikel 29 Absätze 3 und 4 der Verordnung (EU) 2018/1725 zu gewährleisten.

c)Diese Klauseln gelten für die Verarbeitung personenbezogener Daten gemäß Anhang II.

d)Die Anhänge I bis IV sind Bestandteil der Klauseln.

e)Diese Klauseln gelten unbeschadet der Verpflichtungen, denen der Verantwortliche gemäß der Verordnung (EU) 2016/679 und/oder der Verordnung (EU) 2018/1725 unterliegt.

f)Diese Klauseln stellen für sich allein genommen nicht sicher, dass die Verpflichtungen im Zusammenhang mit internationalen Datenübermittlungen gemäß Kapitel V der Verordnung (EU) 2016/679 und/oder der Verordnung (EU) 2018/1725 erfüllt werden.

Klausel 2: Unabänderbarkeit der Klauseln

a)Die Parteien verpflichten sich, die Klauseln nicht zu ändern, es sei denn, zur Ergänzung oder Aktualisierung der in den Anhängen angegebenen Informationen.

b)Dies hindert die Parteien nicht daran die in diesen Klauseln festgelegten Standardvertragsklauseln in einen umfangreicheren Vertrag aufzunehmen und weitere Klauseln oder zusätzliche Garantien hinzuzufügen, sofern diese weder unmittelbar noch mittelbar im Widerspruch zu den Klauseln stehen oder die Grundrechte oder Grundfreiheiten der betroffenen Personen beschneiden.

Klausel 3: Auslegung

a)Werden in diesen Klauseln die in der Verordnung (EU) 2016/679 bzw. der Verordnung (EU) 2018/1725 definierten Begriffe verwendet, so haben diese Begriffe dieselbe Bedeutung wie in der betreffenden Verordnung.

b)Diese Klauseln sind im Lichte der Bestimmungen der Verordnung (EU) 2016/679 bzw. der Verordnung (EU) 2018/1725 auszulegen.

c)Diese Klauseln dürfen nicht in einer Weise ausgelegt werden, die den in der Verordnung (EU) 2016/679 oder der Verordnung (EU) 2018/1725 vorgesehenen Rechten und Pflichten zuwiderläuft oder die Grundrechte oder Grundfreiheiten der betroffenen Personen beschneidet.

Klausel 4: Vorrang

Im Falle eines Widerspruchs zwischen diesen Klauseln und den Bestimmungen damit zusammenhängender Vereinbarungen, die zwischen den Parteien bestehen oder später eingegangen oder geschlossen werden, haben diese Klauseln Vorrang.

Klausel 5 – fakultativ: Kopplungsklausel

Diese Klausel ist im Beschluss der Kommission als fakultativ bezeichnet. Die Parteien vereinbaren sie nicht; ein Beitritt weiterer Einrichtungen zu diesem Vertrag ist nicht vorgesehen.

ABSCHNITT II — PFLICHTEN DER PARTEIEN

Klausel 6: Beschreibung der Verarbeitung

Die Einzelheiten der Verarbeitungsvorgänge, insbesondere die Kategorien personenbezogener Daten und die Zwecke, für die die personenbezogenen Daten im Auftrag des Verantwortlichen verarbeitet werden, sind in Anhang II aufgeführt.

Klausel 7: Pflichten der Parteien

7.1. Weisungen

a)Der Auftragsverarbeiter verarbeitet personenbezogene Daten nur auf dokumentierte Weisung des Verantwortlichen, es sei denn, er ist nach Unionsrecht oder nach dem Recht eines Mitgliedstaats, dem er unterliegt, zur Verarbeitung verpflichtet. In einem solchen Fall teilt der Auftragsverarbeiter dem Verantwortlichen diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht dies nicht wegen eines wichtigen öffentlichen Interesses verbietet. Der Verantwortliche kann während der gesamten Dauer der Verarbeitung personenbezogener Daten weitere Weisungen erteilen. Diese Weisungen sind stets zu dokumentieren.

b)Der Auftragsverarbeiter informiert den Verantwortlichen unverzüglich, wenn er der Auffassung ist, dass vom Verantwortlichen erteilte Weisungen gegen die Verordnung (EU) 2016/679, die Verordnung (EU) 2018/1725 oder geltende Datenschutzbestimmungen der Union oder der Mitgliedstaaten verstoßen.

7.2. Zweckbindung

Der Auftragsverarbeiter verarbeitet die personenbezogenen Daten nur für den/die in Anhang II genannten spezifischen Zweck(e), sofern er keine weiteren Weisungen des Verantwortlichen erhält.

7.3. Dauer der Verarbeitung personenbezogener Daten

Die Daten werden vom Auftragsverarbeiter nur für die in Anhang II angegebene Dauer verarbeitet.

7.4. Sicherheit der Verarbeitung

a)Der Auftragsverarbeiter ergreift mindestens die in Anhang III aufgeführten technischen und organisatorischen Maßnahmen, um die Sicherheit der personenbezogenen Daten zu gewährleisten. Dies umfasst den Schutz der Daten vor einer Verletzung der Sicherheit, die, ob unbeabsichtigt oder unrechtmäßig, zur Vernichtung, zum Verlust, zur Veränderung oder zur unbefugten Offenlegung von beziehungsweise zum unbefugten Zugang zu den Daten führt (im Folgenden „Verletzung des Schutzes personenbezogener Daten“). Bei der Beurteilung des angemessenen Schutzniveaus tragen die Parteien dem Stand der Technik, den Implementierungskosten, der Art, dem Umfang, den Umständen und den Zwecken der Verarbeitung sowie den für die betroffenen Personen verbundenen Risiken gebührend Rechnung.

b)Der Auftragsverarbeiter gewährt seinem Personal nur insoweit Zugang zu den personenbezogenen Daten, die Gegenstand der Verarbeitung sind, als dies für die Durchführung, Verwaltung und Überwachung des Vertrags unbedingt erforderlich ist. Der Auftragsverarbeiter gewährleistet, dass sich die zur Verarbeitung der erhaltenen personenbezogenen Daten befugten Personen zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen.

7.5. Sensible Daten

Falls die Verarbeitung personenbezogene Daten betrifft, aus denen die rassische oder ethnische Herkunft, politische Meinungen, religiöse oder weltanschauliche Überzeugungen oder die Gewerkschaftszugehörigkeit hervorgehen, oder die genetische Daten oder biometrische Daten zum Zweck der eindeutigen Identifizierung einer natürlichen Person, Daten über die Gesundheit, das Sexualleben oder die sexuelle Ausrichtung einer Person oder Daten über strafrechtliche Verurteilungen und Straftaten enthalten (im Folgenden „sensible Daten“), wendet der Auftragsverarbeiter spezielle Beschränkungen und/oder zusätzliche Garantien an.

7.6. Dokumentation und Einhaltung der Klauseln

a)Die Parteien müssen die Einhaltung dieser Klauseln nachweisen können.

b)Der Auftragsverarbeiter bearbeitet Anfragen des Verantwortlichen bezüglich der Verarbeitung von Daten gemäß diesen Klauseln umgehend und in angemessener Weise.

c)Der Auftragsverarbeiter stellt dem Verantwortlichen alle Informationen zur Verfügung, die für den Nachweis der Einhaltung der in diesen Klauseln festgelegten und unmittelbar aus der Verordnung (EU) 2016/679 und/oder der Verordnung (EU) 2018/1725 hervorgehenden Pflichten erforderlich sind. Auf Verlangen des Verantwortlichen gestattet der Auftragsverarbeiter ebenfalls die Prüfung der unter diese Klauseln fallenden Verarbeitungstätigkeiten in angemessenen Abständen oder bei Anzeichen für eine Nichteinhaltung und trägt zu einer solchen Prüfung bei. Bei der Entscheidung über eine Überprüfung oder Prüfung kann der Verantwortliche einschlägige Zertifizierungen des Auftragsverarbeiters berücksichtigen.

d)Der Verantwortliche kann die Prüfung selbst durchführen oder einen unabhängigen Prüfer beauftragen. Die Prüfungen können auch Inspektionen in den Räumlichkeiten oder physischen Einrichtungen des Auftragsverarbeiters umfassen und werden gegebenenfalls mit angemessener Vorankündigung durchgeführt.

e)Die Parteien stellen der/den zuständigen Aufsichtsbehörde(n) die in dieser Klausel genannten Informationen, einschließlich der Ergebnisse von Prüfungen, auf Anfrage zur Verfügung.

7.7. Einsatz von Unterauftragsverarbeitern

a)ALLGEMEINE SCHRIFTLICHE GENEHMIGUNG: Der Auftragsverarbeiter besitzt die allgemeine Genehmigung des Verantwortlichen für die Beauftragung von Unterauftragsverarbeitern, die in einer vereinbarten Liste aufgeführt sind. Der Auftragsverarbeiter unterrichtet den Verantwortlichen mindestens vier Wochen im Voraus ausdrücklich in schriftlicher Form über alle beabsichtigten Änderungen dieser Liste durch Hinzufügen oder Ersetzen von Unterauftragsverarbeitern und räumt dem Verantwortlichen damit ausreichend Zeit ein, um vor der Beauftragung des/der betreffenden Unterauftragsverarbeiter/s Einwände gegen diese Änderungen erheben zu können. Der Auftragsverarbeiter stellt dem Verantwortlichen die erforderlichen Informationen zur Verfügung, damit dieser sein Widerspruchsrecht ausüben kann.

b)Beauftragt der Auftragsverarbeiter einen Unterauftragsverarbeiter mit der Durchführung bestimmter Verarbeitungstätigkeiten (im Auftrag des Verantwortlichen), so muss diese Beauftragung im Wege eines Vertrags erfolgen, der dem Unterauftragsverarbeiter im Wesentlichen dieselben Datenschutzpflichten auferlegt wie diejenigen, die für den Auftragsverarbeiter gemäß diesen Klauseln gelten. Der Auftragsverarbeiter stellt sicher, dass der Unterauftragsverarbeiter die Pflichten erfüllt, denen der Auftragsverarbeiter entsprechend diesen Klauseln und gemäß der Verordnung (EU) 2016/679 und/oder der Verordnung (EU) 2018/1725 unterliegt.

c)Der Auftragsverarbeiter stellt dem Verantwortlichen auf dessen Verlangen eine Kopie einer solchen Untervergabevereinbarung und etwaiger späterer Änderungen zur Verfügung. Soweit es zum Schutz von Geschäftsgeheimnissen oder anderen vertraulichen Informationen, einschließlich personenbezogener Daten notwendig ist, kann der Auftragsverarbeiter den Wortlaut der Vereinbarung vor der Weitergabe einer Kopie unkenntlich machen.

d)Der Auftragsverarbeiter haftet gegenüber dem Verantwortlichen in vollem Umfang dafür, dass der Unterauftragsverarbeiter seinen Pflichten gemäß dem mit dem Auftragsverarbeiter geschlossenen Vertrag nachkommt. Der Auftragsverarbeiter benachrichtigt den Verantwortlichen, wenn der Unterauftragsverarbeiter seine vertraglichen Pflichten nicht erfüllt.

e)Der Auftragsverarbeiter vereinbart mit dem Unterauftragsverarbeiter eine Drittbegünstigtenklausel, wonach der Verantwortliche – im Falle, dass der Auftragsverarbeiter faktisch oder rechtlich nicht mehr besteht oder zahlungsunfähig ist – das Recht hat, den Untervergabevertrag zu kündigen und den Unterauftragsverarbeiter anzuweisen, die personenbezogenen Daten zu löschen oder zurückzugeben.

7.8. Internationale Datenübermittlungen

a)Jede Übermittlung von Daten durch den Auftragsverarbeiter an ein Drittland oder eine internationale Organisation erfolgt ausschließlich auf der Grundlage dokumentierter Weisungen des Verantwortlichen oder zur Einhaltung einer speziellen Bestimmung nach dem Unionsrecht oder dem Recht eines Mitgliedstaats, dem der Auftragsverarbeiter unterliegt, und muss mit Kapitel V der Verordnung (EU) 2016/679 oder der Verordnung (EU) 2018/1725 im Einklang stehen.

b)Der Verantwortliche erklärt sich damit einverstanden, dass in Fällen, in denen der Auftragsverarbeiter einen Unterauftragsverarbeiter gemäß Klausel 7.7 für die Durchführung bestimmter Verarbeitungstätigkeiten (im Auftrag des Verantwortlichen) in Anspruch nimmt und diese Verarbeitungstätigkeiten eine Übermittlung personenbezogener Daten im Sinne von Kapitel V der Verordnung (EU) 2016/679 beinhalten, der Auftragsverarbeiter und der Unterauftragsverarbeiter die Einhaltung von Kapitel V der Verordnung (EU) 2016/679 sicherstellen können, indem sie Standardvertragsklauseln verwenden, die von der Kommission gemäß Artikel 46 Absatz 2 der Verordnung (EU) 2016/679 erlassen wurden, sofern die Voraussetzungen für die Anwendung dieser Standardvertragsklauseln erfüllt sind.

Klausel 8: Unterstützung des Verantwortlichen

a)Der Auftragsverarbeiter unterrichtet den Verantwortlichen unverzüglich über jeden Antrag, den er von der betroffenen Person erhalten hat. Er beantwortet den Antrag nicht selbst, es sei denn, er wurde vom Verantwortlichen dazu ermächtigt.

b)Unter Berücksichtigung der Art der Verarbeitung unterstützt der Auftragsverarbeiter den Verantwortlichen bei der Erfüllung von dessen Pflicht, Anträge betroffener Personen auf Ausübung ihrer Rechte zu beantworten. Bei der Erfüllung seiner Pflichten gemäß den Buchstaben a und b befolgt der Auftragsverarbeiter die Weisungen des Verantwortlichen.

c)Abgesehen von der Pflicht des Auftragsverarbeiters, den Verantwortlichen gemäß Klausel 8 Buchstabe b zu unterstützen, unterstützt der Auftragsverarbeiter unter Berücksichtigung der Art der Datenverarbeitung und der ihm zur Verfügung stehenden Informationen den Verantwortlichen zudem bei der Einhaltung der folgenden Pflichten:

1)Pflicht zur Durchführung einer Abschätzung der Folgen der vorgesehenen Verarbeitungsvorgänge für den Schutz personenbezogener Daten (im Folgenden „Datenschutz-Folgenabschätzung“), wenn eine Form der Verarbeitung voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen zur Folge hat;

2)Pflicht zur Konsultation der zuständigen Aufsichtsbehörde(n) vor der Verarbeitung, wenn aus einer Datenschutz-Folgenabschätzung hervorgeht, dass die Verarbeitung ein hohes Risiko zur Folge hätte, sofern der Verantwortliche keine Maßnahmen zur Eindämmung des Risikos trifft;

3)Pflicht zur Gewährleistung, dass die personenbezogenen Daten sachlich richtig und auf dem neuesten Stand sind, indem der Auftragsverarbeiter den Verantwortlichen unverzüglich unterrichtet, wenn er feststellt, dass die von ihm verarbeiteten personenbezogenen Daten unrichtig oder veraltet sind;

4)Verpflichtungen gemäß Artikel 32 der Verordnung (EU) 2016/679.

d)Die Parteien legen in Anhang III die geeigneten technischen und organisatorischen Maßnahmen zur Unterstützung des Verantwortlichen durch den Auftragsverarbeiter bei der Anwendung dieser Klausel sowie den Anwendungsbereich und den Umfang der erforderlichen Unterstützung fest.

Klausel 9: Meldung von Verletzungen des Schutzes personenbezogener Daten

Im Falle einer Verletzung des Schutzes personenbezogener Daten arbeitet der Auftragsverarbeiter mit dem Verantwortlichen zusammen und unterstützt ihn entsprechend, damit der Verantwortliche seinen Verpflichtungen gemäß den Artikeln 33 und 34 der Verordnung (EU) 2016/679 oder gegebenenfalls den Artikeln 34 und 35 der Verordnung (EU) 2018/1725 nachkommen kann, wobei der Auftragsverarbeiter die Art der Verarbeitung und die ihm zur Verfügung stehenden Informationen berücksichtigt.

9.1. Verletzung des Schutzes der vom Verantwortlichen verarbeiteten Daten

Im Falle einer Verletzung des Schutzes personenbezogener Daten im Zusammenhang mit den vom Verantwortlichen verarbeiteten Daten unterstützt der Auftragsverarbeiter den Verantwortlichen wie folgt:

a)bei der unverzüglichen Meldung der Verletzung des Schutzes personenbezogener Daten an die zuständige(n) Aufsichtsbehörde(n), nachdem dem Verantwortlichen die Verletzung bekannt wurde, sofern relevant (es sei denn, die Verletzung des Schutzes personenbezogener Daten führt voraussichtlich nicht zu einem Risiko für die persönlichen Rechte und Freiheiten natürlicher Personen);

b)bei der Einholung der folgenden Informationen, die gemäß Artikel 33 Absatz 3 der Verordnung (EU) 2016/679 in der Meldung des Verantwortlichen anzugeben sind, wobei diese Informationen mindestens Folgendes umfassen müssen:

1)die Art der personenbezogenen Daten, soweit möglich, mit Angabe der Kategorien und der ungefähren Zahl der betroffenen Personen sowie der Kategorien und der ungefähren Zahl der betroffenen personenbezogenen Datensätze;

2)die wahrscheinlichen Folgen der Verletzung des Schutzes personenbezogener Daten;

3)die vom Verantwortlichen ergriffenen oder vorgeschlagenen Maßnahmen zur Behebung der Verletzung des Schutzes personenbezogener Daten und gegebenenfalls Maßnahmen zur Abmilderung ihrer möglichen nachteiligen Auswirkungen.

Wenn und soweit nicht alle diese Informationen zur gleichen Zeit bereitgestellt werden können, enthält die ursprüngliche Meldung die zu jenem Zeitpunkt verfügbaren Informationen, und weitere Informationen werden, sobald sie verfügbar sind, anschließend ohne unangemessene Verzögerung bereitgestellt;

c)bei der Einhaltung der Pflicht gemäß Artikel 34 der Verordnung (EU) 2016/679, die betroffene Person unverzüglich von der Verletzung des Schutzes personenbezogener Daten zu benachrichtigen, wenn diese Verletzung voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen zur Folge hat.

9.2. Verletzung des Schutzes der vom Auftragsverarbeiter verarbeiteten Daten

Im Falle einer Verletzung des Schutzes personenbezogener Daten im Zusammenhang mit den vom Auftragsverarbeiter verarbeiteten Daten meldet der Auftragsverarbeiter diese dem Verantwortlichen unverzüglich, nachdem ihm die Verletzung bekannt wurde. Diese Meldung muss zumindest folgende Informationen enthalten:

a)eine Beschreibung der Art der Verletzung (möglichst unter Angabe der Kategorien und der ungefähren Zahl der betroffenen Personen und der ungefähren Zahl der betroffenen Datensätze);

b)Kontaktdaten einer Anlaufstelle, bei der weitere Informationen über die Verletzung des Schutzes personenbezogener Daten eingeholt werden können;

c)die voraussichtlichen Folgen und die ergriffenen oder vorgeschlagenen Maßnahmen zur Behebung der Verletzung des Schutzes personenbezogener Daten, einschließlich Maßnahmen zur Abmilderung ihrer möglichen nachteiligen Auswirkungen.

Die Parteien legen in Anhang III alle sonstigen Angaben fest, die der Auftragsverarbeiter zur Verfügung zu stellen hat, um den Verantwortlichen bei der Erfüllung von dessen Pflichten gemäß Artikel 33 und 34 der Verordnung (EU) 2016/679 zu unterstützen.

ABSCHNITT III — SCHLUSSBESTIMMUNGEN

Klausel 10: Verstöße gegen die Klauseln und Beendigung des Vertrags

a)Falls der Auftragsverarbeiter seinen Pflichten gemäß diesen Klauseln nicht nachkommt, kann der Verantwortliche – unbeschadet der Bestimmungen der Verordnung (EU) 2016/679 und/oder der Verordnung (EU) 2018/1725 – den Auftragsverarbeiter anweisen, die Verarbeitung personenbezogener Daten auszusetzen, bis er diese Klauseln einhält oder der Vertrag beendet ist. Der Auftragsverarbeiter unterrichtet den Verantwortlichen unverzüglich, wenn er aus welchen Gründen auch immer nicht in der Lage ist, diese Klauseln einzuhalten.

b)Der Verantwortliche ist berechtigt, den Vertrag zu kündigen, soweit er die Verarbeitung personenbezogener Daten gemäß diesen Klauseln betrifft, wenn

1)der Verantwortliche die Verarbeitung personenbezogener Daten durch den Auftragsverarbeiter gemäß Buchstabe a ausgesetzt hat und die Einhaltung dieser Klauseln nicht innerhalb einer angemessenen Frist, in jedem Fall aber innerhalb eines Monats nach der Aussetzung, wiederhergestellt wurde;

2)der Auftragsverarbeiter in erheblichem Umfang oder fortdauernd gegen diese Klauseln verstößt oder seine Verpflichtungen gemäß der Verordnung (EU) 2016/679 und/oder der Verordnung (EU) 2018/1725 nicht erfüllt;

3)der Auftragsverarbeiter einer bindenden Entscheidung eines zuständigen Gerichts oder der zuständigen Aufsichtsbehörde(n), die seine Pflichten gemäß diesen Klauseln, der Verordnung (EU) 2016/679 und/oder der Verordnung (EU) 2018/1725 zum Gegenstand hat, nicht nachkommt.

c)Der Auftragsverarbeiter ist berechtigt, den Vertrag zu kündigen, soweit er die Verarbeitung personenbezogener Daten gemäß diesen Klauseln betrifft, wenn der Verantwortliche auf der Erfüllung seiner Anweisungen besteht, nachdem er vom Auftragsverarbeiter darüber in Kenntnis gesetzt wurde, dass seine Anweisungen gegen geltende rechtliche Anforderungen gemäß Klausel 7.1 Buchstabe b verstoßen.

d)Nach Beendigung des Vertrags löscht der Auftragsverarbeiter nach Wahl des Verantwortlichen alle im Auftrag des Verantwortlichen verarbeiteten personenbezogenen Daten und bescheinigt dem Verantwortlichen, dass dies erfolgt ist, oder er gibt alle personenbezogenen Daten an den Verantwortlichen zurück und löscht bestehende Kopien, sofern nicht nach dem Unionsrecht oder dem Recht der Mitgliedstaaten eine Verpflichtung zur Speicherung der personenbezogenen Daten besteht. Bis zur Löschung oder Rückgabe der Daten gewährleistet der Auftragsverarbeiter weiterhin die Einhaltung dieser Klauseln.

ANHANG I: Liste der Parteien

Verantwortlicher

Name:: Der Kunde, also der Betrieb, der CoPunkt einsetzt, mit dem Firmennamen, der im Kundenkonto hinterlegt ist.
Anschrift:: Die im Kundenkonto hinterlegte Anschrift (Pflichtangabe bei der Registrierung).
Kontaktperson:: Die im Kundenkonto hinterlegte Ansprechperson mit ihrer E-Mail-Adresse.
Unterschrift und Beitrittsdatum:: Elektronische Zustimmung bei der Registrierung, im Kundenbereich oder bei der Buchung des Serverbetriebs, zu einer neuen Fassung auch im Windows-Programm oder in der Handwerker-App; Zeitpunkt, Fassung und Herkunft der Zustimmung sind gespeichert.
Datenschutzbeauftragter:: Falls benannt, teilt der Kunde ihn mit.

Auftragsverarbeiter

Name:: Ertugrul Ünal
Anschrift:: Hafnerstraße 20, 74211 Leingarten
Kontaktperson:: Der Inhaber, erreichbar unter support@copunkt.de. Diese Adresse ist zugleich die Anlaufstelle für Meldungen nach Klausel 9.
Unterschrift und Beitrittsdatum:: Mit der Bereitstellung dieses Vertrags und der Annahme der Bestellung des Kunden.
Datenschutzbeauftragter:: Nicht benannt; die Voraussetzungen des Art. 37 DSGVO und des § 38 BDSG liegen nicht vor.

ANHANG II: Beschreibung der Verarbeitung

Kategorien betroffener Personen

Kunden, Interessenten und Lieferanten des Verantwortlichen sowie deren Ansprechpartner
Beschäftigte des Verantwortlichen (Monteure, Büro, Auszubildende) mit ihren Zugängen, Diensttelefonen, Arbeitszeiten und Abwesenheiten
Ansprechpartner des Verantwortlichen für Vertrag und Rechnung
Personen, denen der Verantwortliche einen eigenen Zugang einräumt, etwa für die Steuerberatung oder eine Betriebsprüfung
Personen, die in Belegen, Buchungen, Bankumsätzen, freien Texten oder Fotos vorkommen

Kategorien personenbezogener Daten

Stammdaten des Betriebs und seiner Ansprechpartner: Firmenname, Anschrift, Telefon, E-Mail
Technische Kennungen (Gerätekennungen, Anmeldenamen, Anmelde- und Sitzungsdaten; Kennwörter nur als nicht umkehrbarer Hashwert): E-Mail-Adresse oder Benutzername zur Anmeldung, Streuwert des Kennworts (Argon2, das Kennwort selbst wird nicht gespeichert), verschlüsseltes Geheimnis eines zweiten Faktors, Sitzungsschlüssel
Beschäftigtendaten des Verantwortlichen (Personalnummer, Einsätze, Arbeitszeiten, Pausen, Abwesenheiten, Arbeitszeitkonto, Vergütungsangaben, Rapporte, Fotos, Unterschriften). Vergütungsangaben (Stundenlohn oder Monatsentgelt, Mindestlohnsätze, Minijob-Grenze, Lohnart-Nummern der Kanzlei) und das ganze Arbeitszeitkonto liegen beim Auftragsverarbeiter nur mit gebuchtem Serverbetrieb
Angaben zu Arbeitsplätzen und Diensttelefonen: Bezeichnung, Windows-Computername, Diensthandynummer, eine vom Programm oder der App selbst erzeugte Zufallskennung (keine Seriennummer, keine Werbekennung), öffentlicher Schlüssel des Telefons, Zeitpunkt der letzten Verbindung, Programmfassung
Vermerke der Handwerker-App je Zugang: ob der Rundgang angeboten wurde, welche kurzen Hinweise als verstanden markiert sind und wann zuletzt um eine Rückmeldung gebeten wurde; ob eine Rückmeldung geschickt wurde, wird nicht vermerkt
Zugänge, die der Verantwortliche Dritten einräumt (Steuerberatung, Betriebsprüfung): Name, E-Mail-Adresse, Rolle, bei der Betriebsprüfung das Ablaufdatum, dazu ihre Protokolldaten: Anmeldungen, heruntergeladene Unterlagen und Exporte, bei der Steuerberatung auch die aufgerufenen Seiten der Buchhaltung. Diese Zugänge liegen in der Geschäftsdatenbank und beim Auftragsverarbeiter deshalb nur mit gebuchtem Serverbetrieb
Einsätze aus dem Büroprogramm: Titel, Zeit, Kunde mit Anschrift und Telefon, Hinweise, Material ohne Preise, Rapportvorlage
Benachrichtigungen auf die Diensttelefone, nur wenn der Zugang sie in der App eingeschaltet hat; ausgenommen sind Einsätze mit dem Vermerk Notfall, die immer zugestellt werden, auch bei ausgeschalteten Benachrichtigungen, in der Ruhezeit und im Urlaub: Gerätekennung von Firebase Cloud Messaging je Telefon, Schalter je Art und Ruhezeit, Art und Zeitpunkt einer Benachrichtigung mit allgemeinem Text ohne Namen, Anschriften oder Beträge; vom Büroprogramm gemeldet nur die Anzahl überfälliger Rechnungen und fälliger Mahnungen, ohne Kunden und Beträge
Kalender-Abos: der Schlüssel der Abruf-Adresse je Zugang oder für alle Einsätze des Betriebs und der Zeitpunkt seiner Ausstellung; abgerufen werden darüber Titel, Zeit, Kundenname, Anschrift, Beschreibung und Hinweis zur Anschrift der Einsätze dieses Zugangs, beim Abo des Betriebs aller Einsätze mit den Namen der eingeteilten Zugänge
Artikel- und Kundenliste des Betriebs für die Telefone, Ende zu Ende verschlüsselt
Rapporte und Aufmaße der Monteure: Arbeits-, Fahrt- und Zuschlagszeiten, Ankunft und Abfahrt, Tätigkeiten, Material, Fahrzeug, freie Texte, Fotos, Unterschriften des Kunden und des Monteurs als Bild mit Name und Ort, Stand der Abgabe (unterwegs, im Büro angekommen, was im Büro noch fehlt) mit dem Zeitpunkt der Abholung, Vermerk „Kunde nicht anwesend“ mit Zeitpunkt und Grund, Rückmeldung des Büros zu fehlenden Angaben
Urlaub und Abwesenheit der Beschäftigten: Art (etwa Urlaub, krank, Betriebsruhe, sonstige Abwesenheit), Zeitraum, Bemerkung, Antrag, Genehmigung oder Ablehnung mit Grund, wer entschieden hat, Vorgesetzter, bei einer Betriebsruhe, ob sie als Urlaub zählt oder bezahlt frei ist, Notfall-Vermerk an Einsätzen; der Stand des Urlaubsplaners für die Telefone, solange der Verantwortliche ihn führt, darin eine vertrauliche Art (krank) nur für den Beschäftigten selbst, für alle anderen „abwesend“; Anträge und Entscheidungen vom Telefon bis zur Übernahme durch das Büro
Arbeitszeit der Beschäftigten: Tag, Kommen, Gehen, Pausen mit Uhrzeit, Änderungen mit Grund und wer geändert hat, Abschluss durch den Vorgesetzten, Vorschlag aus den Rapporten; je Knopf die Uhrzeit des Telefons beim Senden und die Empfangszeit des Auftragsverarbeiters (zur Prüfung der Telefonuhr); kein Standort. Für die Telefone hält der Auftragsverarbeiter je Beschäftigtem vor: die eigenen Tage und die Änderungen durch andere der letzten fünf Wochen mit Grund und Namen des Ändernden, den eigenen Stand des Arbeitszeitkontos (Saldo, laufender Monat), eigene Korrekturanträge der letzten 60 Tage, die selbst bestätigten Monate (die letzten drei), ob die Frist von sieben Tagen gesetzlich gilt, und den Tag, bis zu dem die Regeln für Jugendliche gelten (kein Geburtsdatum). Eine Abwesenheit steht dort nur als „abwesend“. Erinnerungen „Kommen oder Gehen vergessen?“ gehen als Benachrichtigung ohne Uhrzeit und Ort; vermerkt wird nur, dass sie verschickt wurde
Einsätze, die ein Monteur selbst angelegt hat (etwa im Notdienst), mit Kundenname als freiem Text
Quittungen (Belegfotos), die Monteure mit der App ans Büro schicken, nur verschlüsselt: Das Telefon verschlüsselt das Bild mit dem Schlüssel, den nur das Büroprogramm und die Telefone des Verantwortlichen kennen; der Auftragsverarbeiter kann den Inhalt nicht lesen. Dazu Zeitpunkt der Aufnahme und welcher Zugang sie geschickt hat
Mit Serverbetrieb zusätzlich die gesamte Geschäftsdatenbank: Kunden und Lieferanten, Angebote, Aufträge, Rechnungen und andere Belege, Buchhaltung mit eingelesenen Bankumsätzen, offene Posten und Mahnungen, Lager, Pläne, Dokumente und Fotos, Benutzer und Rollen, der Verlauf der Anmeldungen; dazu die Arbeitszeit aller Beschäftigten mit Vereinbarung (mit Vergütungsangaben), Arbeitszeitkonto, Buchungen, Korrekturanträgen und Bestätigungen, Abwesenheiten mit ihrer Art, und die Lohnliste je Monat für die Kanzlei des Verantwortlichen (Stunden je Zeitfenster, Urlaubs- und Krankheitstage und Krankheitszeiträume ohne Grund, Zulagen laut Rapport, Saldo, Austritt mit Resturlaub, Bundesland des Arbeitsorts am Einsatz) mit jeder Ausgabe an die Kanzlei samt Datei. Eine Lohnabrechnung findet nicht statt
Mit Serverbetrieb und verbundenem Online-Shop (Shop-Anbindung) die daraus abgerufenen Bestellungen: Bestellnummer, Zeitpunkt, Zahlart, Betrag, Name, Anschrift, E-Mail-Adresse und Telefon des Bestellers, Positionen und Stand im Shop, dazu die Zugangsdaten zur Schnittstelle des Shops, verschlüsselt gespeichert und nur lesend benutzt. Abgerufen wird vom Bereich des Betriebs direkt beim Shop; abgebrochene Bestellungen ohne Rechnung werden nach 90 Tagen gelöscht
Betriebsdaten der Verarbeitung: fehlgeschlagene Anmeldeversuche, Sperren am Server nach erfolglosen Anmeldeversuchen und Sicherheitsereignisse mit IP-Adresse, Empfänger und Zeitpunkt von Systemnachrichten, Änderungs- und Zugriffsvermerke, das Systemprotokoll des Portals (Fehler und Warnungen, soweit sie einen Betrieb betreffen)
Automatische Fehlerberichte aus Büroprogramm, Serverbetrieb und Handwerker-App, ohne Inhalte: Zeitpunkt, Plattform, Fassung, Ort im Programm ohne Kennungen, Art des Fehlers mit der Stelle im Programmcode, Anzahl, Betrieb und Kennung des Arbeitsplatzes oder App-Zugangs; beim Büroprogramm auch langsame oder gescheiterte Starts mit der Dauer der Startschritte. Keine Fehlertexte, Eingaben, Namen, Beträge oder Anschriften; Mailadressen, IBAN, lange Zahlenfolgen und Benutzernamen werden vor dem Senden und beim Eingang unkenntlich gemacht. Sie lassen sich im Büroprogramm und in der App abschalten
Problemmeldungen aus dem Büroprogramm, auch über den Serverbetrieb, und aus der Handwerker-App: Beschreibung und Fassung; beim Büroprogramm ein Ausschnitt seines Protokolls (im Serverbetrieb das Protokoll des meldenden Rechners und die letzten Fehler des Serverbetriebs), bei der App Hersteller und Modell des Telefons und ihre letzten Fehlerberichte. Kennwörter, Schlüssel, Codes, E-Mail-Adressen, Telefon- und Steuernummern, IBAN und lange Zahlenfolgen werden vor dem Senden unkenntlich gemacht; trotzdem können Daten aus dem Betrieb vorkommen

Sensible Daten und angewandte Garantien (Klausel 7.5)

Besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO: Gesundheitsdaten der Beschäftigten des Verantwortlichen, beschränkt auf Krankmeldungen ohne Diagnose. Dafür hat das System ein Feld, die Abwesenheitsart „krank“ im Urlaubsplaner. Eine Diagnose oder ein Grund wird nicht abgefragt. Zu jeder Abwesenheit gibt es aber eine freiwillige Bemerkung als freien Text; was dort steht, bestimmt der Verantwortliche, und eine Diagnose gehört nicht hinein. Aus der Art entstehen im Programm Krankheitstage und Krankheitszeiträume ohne Grund im Arbeitszeitkonto und in der Lohnliste für die Kanzlei; beim Auftragsverarbeiter liegen sie nur mit gebuchtem Serverbetrieb. Im Programm sehen die Art, die Bemerkung und einen Ablehnungsgrund nur der Inhaber, ein Vorgesetzter nur für sein eigenes Team, wer den Eintrag entschieden hat und wer über einen offenen Antrag gerade entscheidet (auch eine Vertretung); alle anderen sehen „abwesend“. Die Lohnliste mit Krankheitstagen und Krankheitszeiträumen sieht und gibt an die Kanzlei nur der Inhaber. Der vollständige Datenexport vor einer Kontolöschung ist Sache des Verantwortlichen (Inhaber oder wer den Betrieb verwaltet) und enthält Krankmeldungen mit Bemerkung; der Zugang für die Betriebsprüfung erhält im Export Krankheitstage und Zeiträume, aber keine Bemerkungen und Gründe. Im Stand des Urlaubsplaners, den der Auftragsverarbeiter für die Telefone vorhält, steht bei einer Krankmeldung für alle „abwesend“, ohne Bemerkung; die echte Art liegt dort je Beschäftigtem in einem eigenen Teil „selbst“, den der Auftragsverarbeiter nur an das Telefon dieses Beschäftigten herausgibt. Auch Vorgesetzte sehen in der App nur „abwesend“. Weitere Felder für Daten nach Art. 9 oder Art. 10 DSGVO hat das System nicht. Unterschriften werden nur als Bild gespeichert und nicht biometrisch ausgewertet. Im Handwerk kann der Verantwortliche aber solche Daten in freie Texte, Notizen oder Fotos aufnehmen, etwa den Hinweis auf eine Pflegebedürftigkeit bei einem barrierefreien Badumbau. Er tut das nur, soweit es für den Auftrag erforderlich ist, und vermeidet es in Texten, die alle Monteure sehen, und in Fotos, soweit möglich.

Für solche Daten gelten folgende Beschränkungen und Garantien:

Die Abwesenheitsart „krank“ sehen im Programm nur der Inhaber, ein Vorgesetzter für sein eigenes Team, wer den Eintrag entschieden hat und wer über einen offenen Antrag entscheidet (auch eine Vertretung); die Lohnliste damit nur der Inhaber; im Datenexport für die Betriebsprüfung stehen keine Bemerkungen und Gründe; im Portal liegt sie nur im Teil „selbst“ des Beschäftigten und geht nur an sein eigenes Telefon, alle anderen erhalten „abwesend“. Die Arbeitszeit auf dem Portal kennt nur „abwesend“.
Sie werden ausschließlich für die Zwecke dieses Anhangs verarbeitet und nicht ausgewertet, durchsucht oder gesondert gekennzeichnet.
Beim Auftragsverarbeiter hat allein der Inhaber Zugang, auf die Inhalte nur auf Weisung des Verantwortlichen; jeder Blick in die Akte eines Betriebs im Portal und jedes Diagnosefenster werden vermerkt (Anhang III 1.3 und 1.6). Fehlerberichte tragen keine Inhalte.
Der Auftragsverarbeiter gibt sie an keine anderen als die in Anhang IV genannten Stellen weiter und verarbeitet sie nur in Deutschland. Benachrichtigungen über Anhang IV Nr. 3 tragen nur allgemeine Texte und enthalten solche Daten nicht. Empfänger, die der Verantwortliche selbst bestimmt, etwa einen Kalenderdienst für ein Kalender-Abo (§ 12), wählt und verantwortet der Verantwortliche.
Es gelten die Verschlüsselung bei der Übertragung und der Sicherungen (Anhang III 2.1 und 3.1), die Trennung der Betriebe (Anhang III 1.4 und 1.5) und die Löschfristen dieses Anhangs.
Eine Verletzung des Schutzes solcher Daten meldet der Auftragsverarbeiter wie jede andere innerhalb von 24 Stunden (Anhang III 7), mit dem Hinweis, dass besondere Kategorien betroffen sein können.

Art der Verarbeitung

Erheben über die Schnittstellen des Büroprogramms und der Handwerker-App, Speichern, Bereitstellen zum Abruf durch die berechtigten Zugänge des Verantwortlichen, Übermitteln zwischen Büro und Diensttelefonen, Versenden von Systemnachrichten an Zugänge des Verantwortlichen, Sichern und Löschen. Stellt der Verantwortliche ein Kalender-Abo aus, kommt hinzu: Bereitstellen der Einsätze des betreffenden Zugangs oder des Betriebs zum Abruf unter einer geheimen Adresse im Kalenderformat iCalendar (§ 12). Schaltet ein Zugang in der App Benachrichtigungen ein, kommt hinzu: Zustellen kurzer, allgemein gehaltener Hinweise an dieses Telefon über Firebase Cloud Messaging (Anhang IV Nr. 3); Einsätze mit dem Vermerk Notfall werden immer zugestellt. Eine Auswertung zu eigenen Zwecken findet nicht statt; ausgenommen sind nur die Zeitpunkte, die der übernächste Absatz nennt.

Mit gebuchtem Serverbetrieb kommt hinzu: Betrieb der Geschäftsdatenbank des Verantwortlichen auf den Servern des Auftragsverarbeiters, einschließlich der Berechnungen, Exporte und Druckstücke, die der Verantwortliche darin anstößt. Dazu gehört, täglich den belegten Speicher des Bereichs zu messen, getrennt nach Datenbank und Dateien, für das vereinbarte Kontingent (AGB § 4 Abs. 9 und 10); ermittelt werden nur Größen, Inhalte werden dabei nicht gelesen. Ohne Serverbetrieb liegt diese Datenbank auf dem Rechner des Verantwortlichen und wird vom Auftragsverarbeiter nicht verarbeitet.

Was nicht zur Auftragsverarbeitung gehört. Daten, die der Auftragsverarbeiter als eigener Verantwortlicher verarbeitet, etwa zum Kundenkonto, zur Lizenz, zu Rechnungen, zu Rückmeldungen und zum Beta-Test, regelt seine Datenschutzerklärung. Aus der Verarbeitung nach diesem Anhang nutzt er dafür nur Zeitpunkte: wann sich Arbeitsplätze, Diensttelefone und der Serverbetrieb zuletzt gemeldet haben, wann sich ein kostenloser Zugang angemeldet hat und, bei kostenlosen Zugängen, wann zuletzt eine Änderung abgeschickt wurde. Daraus sieht er, ob kostenlose Zugänge genutzt werden (AGB § 2 Abs. 6). Was geändert wurde, andere Inhalte, Namen von Personen und einen Verlauf wertet er dafür nicht aus.

Zwecke

Bereitstellung der Software CoPunkt für die Dauer des Vertrags
Bei gebuchtem Serverbetrieb: Betrieb der Geschäftsdatenbank des Verantwortlichen, damit sie von mehreren Arbeitsplätzen und von unterwegs erreichbar ist
Durchgangsspeicher zwischen dem Büroprogramm und den Diensttelefonen: Einsätze, der Stand des Urlaubsplaners und der eigene Stand der Arbeitszeit hin, Rapporte, Aufmaße, selbst angelegte Einsätze, Urlaubsanträge, Arbeitszeit, Korrekturanträge und Monatsbestätigungen zurück, dazu Quittungen der Monteure, für den Auftragsverarbeiter nicht lesbar
Arbeitszeiterfassung des Verantwortlichen nach Arbeitszeitgesetz, Mindestlohngesetz und Jugendarbeitsschutzgesetz und die Vorbereitung der Lohnabrechnung durch seine Kanzlei. Eine Lohnabrechnung, eine Ortung und eine Auswertung von Leistung oder Verhalten durch den Auftragsverarbeiter finden nicht statt. Bis der Verantwortliche dieser Fassung zugestimmt hat, verarbeitet der Auftragsverarbeiter keine Arbeitszeit: Das Portal nimmt sie nicht an, und im Serverbetrieb wird keine neue erfasst; die Telefone behalten sie bis dahin
Auf Weisung des Verantwortlichen: Abruf der Einsätze eines Zugangs oder aller Einsätze des Betriebs durch einen Kalender über ein Kalender-Abo
Hinweise auf die Diensttelefone (neue oder geänderte Einsätze, eingegangene Rapporte, Mitteilungen, Urlaub und Abwesenheit, Erinnerungen zur Arbeitszeit; für den Inhaber auch Hinweise zum Konto), soweit der jeweilige Zugang sie eingeschaltet hat; Einsätze mit dem Vermerk Notfall immer
Verwaltung der Zugänge, Arbeitsplätze, Diensttelefone und Lizenzen des Verantwortlichen, einschließlich der Mails mit Kennwortcodes an seine Monteure
Behebung von Störungen auf Weisung des Verantwortlichen, auch anhand seiner Problemmeldungen, und auch ohne Anfrage anhand der automatischen Fehlerberichte und des Systemprotokolls; jeder Blick in die Akte eines Betriebs wird vermerkt
Sicherung und Wiederherstellung der vorstehenden Daten

Dauer der Verarbeitung

Grundsätzlich für die Dauer des Vertrags über die Nutzung von CoPunkt
Durchgangsspeicher, täglich für alle Betriebe geräumt: Der Inhalt eines Rapports oder Aufmaßes wird gelöscht, sobald das Büro ihn übernommen hat; seine Kennung bleibt 90 Tage gegen doppelte Zustellung. Einsätze bleiben bis 30 Tage nach ihrem Beginn. Selbst angelegte Einsätze werden 30 Tage nach der Abholung gelöscht. Fotos ohne Zuordnung zu einem Bericht werden nach 30 Tagen gelöscht. Eine Quittung wird gelöscht, sobald das Büro sie übernommen hat, spätestens nach 30 Tagen. Urlaubsanträge und Entscheidungen vom Telefon werden gelöscht, sobald das Büro sie übernommen hat; ihre Kennung bleibt danach 30 Tage. Der Stand des Urlaubsplaners umfasst 60 Tage zurück bis 400 Tage voraus, wird mit jedem Abgleich ersetzt und bleibt, solange der Verantwortliche ihn führt. Knöpfe, Tage, Korrekturanträge und Monatsbestätigungen der Arbeitszeit vom Telefon werden gelöscht, sobald das Büro sie übernommen hat, auch wenn der App-Zugang vorher gelöscht wurde; ihre Kennung bleibt danach 30 Tage. Was für die Telefone zur Arbeitszeit vorgehalten wird, umfasst nur die genannten Zeiträume (fünf Wochen, 60 Tage, drei Monate) und wird mit jedem Abgleich ersetzt
Arbeitszeit in der Geschäftsdatenbank (beim Auftragsverarbeiter nur mit gebuchtem Serverbetrieb): bis zum Ende des Kalenderjahres, das der Verantwortliche einstellt, gerechnet nach dem Jahr des Tages (Vorgabe das sechste, mindestens das zweite, höchstens das zehnte); danach löscht das Programm sie automatisch, der Saldo des Kontos bleibt als Übertrag. 30 Tage vorher erinnert das Programm den Inhaber an den Export. Setzt der Verantwortliche die Frist herab, gilt die bisherige noch 30 Tage. Abwesenheiten (Urlaub, Krankheit) und die an die Kanzlei gegebenen Lohnlisten bleiben als Lohnunterlagen mindestens bis zum Ende des sechsten Kalenderjahres, auch wenn weniger eingestellt ist
Nach Vertragsende: 30 Tage Lesemodus zum Herunterladen, danach Löschung der im Auftrag verarbeiteten Daten
Endet eine kostenlose Testphase, ohne dass ein Tarif gebucht wird: frühestens 60 Tage Lesemodus, dann Ankündigung der Löschung per E-Mail, mit der der Vertrag endet; danach wie nach Vertragsende (AGB § 2 Abs. 3 und § 10). Bei einer Buchung vorher entfällt die Löschung
Kalender-Abo: Der Schlüssel bleibt, bis ein neues Abo ausgestellt, das Abo abgeschaltet oder der Zugang gelöscht wird; für einen gesperrten Zugang wird nichts mehr ausgeliefert. Abrufbar sind nur Einsätze ab dem Vortag, die zu dem Zeitpunkt im Durchgangsspeicher liegen
Bei gebuchtem Serverbetrieb: Nach Ablauf der 30 Tage wird der Bereich des Verantwortlichen entfernt. Sein Datenträger und die Sicherungen auf dem Server bleiben danach noch 30 Tage erhalten, damit ein versehentlich entfernter Bereich zurückgeholt werden kann, und werden dann endgültig gelöscht
Endet nur der Serverbetrieb, weil er nach der kostenlosen Testphase nicht gebucht oder für sich gekündigt wurde (AGB § 4 Abs. 8), gilt dasselbe für seinen Bereich: 30 Tage Lesemodus, Erinnerung 14 und 3 Tage vor der Löschung, dann Entfernung mit den vorstehenden Schutzfristen. Die übrige Verarbeitung läuft mit dem Vertrag weiter
Sicherungen auf dem Server: die letzten 14 Tagesstände. Sicherungen im gesonderten Speicher (Anhang IV): 90 Tage, die endgültige Entfernung erfolgt binnen weiterer sieben Tage, also spätestens 97 Tage nach der Anlage
Abbilder der gesamten Serverplatte, die der Unterauftragsverarbeiter Hetzner täglich zur schnellen Wiederherstellung des ganzen Servers erstellt: die letzten sieben Tagesstände, rollierend. Gelöschte Daten können darin bis zu sieben Tage länger enthalten sein
Eine Löschung wirkt im laufenden Betrieb sofort; in den Sicherungen und Abbildern läuft sie innerhalb der vorstehenden Fristen aus. Wird eine Sicherung oder ein Abbild eingespielt, werden zwischenzeitliche Löschungen anhand der Löschliste erneut ausgeführt; die Löschliste enthält nur Prüfsummen der Mailadressen und wird nach 120 Tagen bereinigt
Benachrichtigungen: Die Gerätekennung bleibt, solange die App auf dem Telefon am Zugang angemeldet ist, auch bei ausgeschalteten Benachrichtigungen, damit Notfall-Einsätze ankommen; gelöscht wird sie beim Abmelden des Telefons, wenn das Telefon beim Zugang nicht mehr angemeldet ist, wenn Google sie als ungültig meldet, und spätestens nach 270 Tagen ohne erneute Meldung durch die App, jeweils spätestens im täglichen Aufräumen. Eine wegen der Ruhezeit wartende Benachrichtigung wird mit dem Versand gelöscht, spätestens nach 24 Stunden. Die gemeldete Anzahl überfälliger Rechnungen wird 30 Tage nach der letzten Meldung gelöscht
Sperren am Server nach erfolglosen Anmeldeversuchen (IP-Adresse, Zeitpunkt, Dienst): im Protokoll von fail2ban bis etwa fünf Wochen, im Systemjournal des Servers (auch mit dem versuchten Benutzernamen) höchstens vier Wochen, in der Übersicht des Verwalterbereichs (ohne Benutzernamen) 28 Tage
Systemprotokoll 30 Tage, fehlgeschlagene Anmeldeversuche 30 Tage, Sicherheitsereignisse 30 Tage (Anmeldungen am Serverbetrieb 90 Tage), Protokoll der Kennwortmails 30 Tage, Vorgänge zur Einrichtung eines App-Zugangs 90 Tage, Problemmeldungen 90 Tage, automatische Fehlerberichte 90 Tage nach dem letzten Auftreten, Zugriffsvermerke ein Jahr, Protokolle der Serverdienste höchstens 50 MB je Dienst und bis zur nächsten Fassung des Dienstes
Vermerke der Handwerker-App am Zugang: solange der Zugang besteht
Das Änderungsprotokoll des Auftragsverarbeiters hält fest, wer wann welche Verwaltungshandlung vorgenommen hat, nicht die Inhalte. Einträge zu Geräten und Zugängen werden nach einem Jahr gelöscht, Vertragsnachweise drei Jahre nach Ende des Jahres, in dem der Vertrag endete, steuerlich bedeutsame Einträge nach zehn Jahren; die IP-Adresse des Handelnden nach 90 Tagen
Die Geschäftsdatenbank des Verantwortlichen enthält sein eigenes Änderungsprotokoll, das er für seine Buchführung benötigt. Über dessen Aufbewahrung entscheidet der Verantwortliche

Die Rechnungen des Auftragsverarbeiters an den Verantwortlichen gehören nicht zur Auftragsverarbeitung: Sie sind seine eigene Buchführung und unterliegen den Aufbewahrungsfristen des § 147 AO und des § 14b UStG. Gegenstand, Art und Dauer der Verarbeitung durch Unterauftragsverarbeiter stehen in Anhang IV.

ANHANG III: Technische und organisatorische Maßnahmen

Der Beschluss verlangt eine konkrete Beschreibung; eine allgemeine genügt nicht. Deshalb steht hier, was das System tut, und nicht, was es tun könnte.

1.1 Zutritt zu Räumen und Anlagen

Server und Sicherungsspeicher stehen in den Rechenzentren des Unterauftragsverarbeiters für den Serverbetrieb (Anhang IV). Zutrittskontrolle, Videoüberwachung und Gebäudesicherheit liegen dort und sind über den mit ihm geschlossenen Vertrag nach Art. 28 DSGVO abgesichert. Der Auftragsverarbeiter betreibt keine eigenen Serverräume. Auf seinen Arbeitsplatzrechnern werden keine Daten des Verantwortlichen dauerhaft gespeichert; Exporte, die für eine bestimmte Anfrage erzeugt werden, werden nach Erledigung gelöscht.

1.2 Zugang zu den Systemen

Der Zugang zum Server ist nur mit einem Schlüsselpaar möglich; die Anmeldung mit Kennwort ist abgeschaltet, und die Firewall lässt nur die drei benötigten Wege zu (22, 80, 443). Die Datenbanken sind von außen nicht erreichbar. Kennwörter werden ausschließlich als Argon2-Streuwert gespeichert. Für die Zugänge der Plattformverwalter ist ein zweiter Faktor (Einmalcode) Pflicht; ohne ihn ist keine Verwaltungsfunktion erreichbar. Für das Kundenkonto und die App-Zugänge kann der Verantwortliche ihn einschalten. Der Zugangsschlüssel im Browser lebt nur im geöffneten Fenster, sofern nicht ausdrücklich „Angemeldet bleiben“ gewählt wird; nach 30 Minuten ohne Eingabe wird abgemeldet, und „Abmelden“ macht ihn sofort ungültig. Fehlgeschlagene Anmeldungen werden in der Datenbank gezählt und bremsen weitere Versuche.

Schutz vor Anmeldeversuchen am Server: Wiederholte erfolglose Anmeldeversuche sperren die IP-Adresse des Absenders für eine Stunde, bei Wiederholung für eine Woche (fail2ban). Das Protokoll von fail2ban bleibt am Server bis etwa fünf Wochen (wöchentlich gedreht, vier ältere Dateien); das Systemjournal des Servers, das bei gescheiterten Anmeldungen auch den versuchten Benutzernamen enthält, höchstens vier Wochen. Die Übersicht im Verwalterbereich mit IP-Adresse, Zeitpunkt, betroffenem Dienst und Art des Ereignisses, ohne Benutzernamen, bleibt 28 Tage, danach wird sie automatisch gelöscht. Das Programm, das die Übersicht schreibt, läuft als eigener, abgeschotteter Dienst aus einer Kopie, die nur der Systemverwalter ändern kann. Zusätzlich können Adressen oder Bereiche von Hand befristet oder bis auf Widerruf gesperrt werden; Adresse, Dauer und Grund bleiben bis 28 Tage nach dem Ende der Sperre gespeichert.

1.3 Zugriff auf Daten

Jeder Zugang hat eine Rolle und damit feste Rechte. Die Wege des Kundenbereichs nehmen an keiner Stelle eine fremde Firmenkennung entgegen: Die Firma kommt aus der Anmeldemarke, nicht aus der Adresszeile. Verwaltung, Kundenbereich und öffentliche Webseite liegen auf getrennten Servernamen mit getrennten Sitzungen; die Vorschaltstelle lässt auf der Kundenadresse nur die Kundenwege durch. Jeder lesende Zugriff des Anbieters auf die Akte eines Betriebs im Portal wird mit Zeitpunkt, Person und Bereich vermerkt, auch wenn nichts geändert wurde; mehrere Aufrufe desselben Bereichs durch dieselbe Person innerhalb einer halben Stunde stehen als ein Vermerk. Die Vermerke sind ein Jahr lang auskunftsfähig. Fehlerberichte und Systemprotokoll sehen nur Verwalter mit dem Recht für Technik oder Support, das ganze Systemprotokoll nur mit dem Recht für Technik; in der Akte eines Betriebs stehen sie mit unkenntlich gemachten Mailadressen, Kennwörtern, Schlüsseln und IBAN. Ausführliche Fehlersuche für einen einzelnen Betrieb ist nur in einem befristeten Diagnosefenster möglich, das im Änderungsprotokoll vermerkt wird. Zugänge für Betriebsprüfer, die der Verantwortliche im Büroprogramm einrichtet, sind befristet, können nur lesen und Daten exportieren; jeder Export wird mit Name und Zeitpunkt protokolliert. Zugänge für die Steuerberatung (höchstens zwei) sehen nur die Buchhaltung, können nicht buchen und nur deren Einstellungen pflegen; was sie ansehen und herunterladen, steht im Verlauf des Betriebs.

1.4 Trennung

Alle Daten im Portal hängen an der Kennung des Betriebs, und jede Abfrage führt sie in der Bedingung. Die Kennung kommt dabei nie aus dem Aufruf, sondern aus der geprüften Marke des Zugangs; eine fremde Kennung in einer Adresse bleibt wirkungslos.

1.5 Wo die Geschäftsdaten liegen

Ohne Serverbetrieb liegen die Geschäftsdaten des Betriebs in seiner eigenen Datenbank auf seinem Rechner und nicht beim Auftragsverarbeiter.

Mit Serverbetrieb liegen sie auf dessen Servern, getrennt von denen jedes anderen Betriebs: eigener Prozess, eigene Datenbankdatei, eigenes Netz, schreibgeschütztes Programmabbild ohne Sonderrechte. Die Trennung ist damit keine Bedingung in einer Abfrage, sondern eine des Betriebssystems. Rechenzeit, Arbeitsspeicher und Anzahl der Prozesse sind je Betrieb begrenzt, damit die Last eines Betriebs die anderen nicht beeinträchtigt.

1.6 Zugriff des Auftragsverarbeiters auf den Serverbetrieb

Als Betreiber der Server hat der Auftragsverarbeiter technisch Zugriff auf die Bereiche des Serverbetriebs. Auf die Inhalte greift er nur auf Weisung des Verantwortlichen zu, etwa um eine von ihm gemeldete Störung zu beheben, oder wenn eine gesetzliche Pflicht es verlangt (Klausel 7.1). Die Verwaltung der Server selbst (Starten, Sichern, Aktualisieren, Messen des belegten Speichers) berührt die Inhalte nicht. Ein Diagnose- oder Supportzugriff über das Portal wird automatisch vermerkt (1.3). Die Anmeldung an der Verwaltung des Servers ist nur mit Schlüssel möglich und wird nicht automatisch je Betrieb aufgezeichnet; einen solchen Zugriff auf die Daten eines Betriebs hält der Auftragsverarbeiter mit Anlass und Zeitpunkt fest und nennt ihn dem Verantwortlichen auf Anfrage.

Der Inhaber des Betriebs meldet sich über das Portal mit einem Pass an, der fünf Minuten gilt, nur einmal einlösbar ist und nur ihm ausgestellt wird; die daraus entstehende Sitzung endet spätestens nach einer Stunde. Jede Ausstellung wird im Portal mit IP-Adresse vermerkt, jede Anmeldung im Verlauf des Betriebs.

2.1 Schutz während der Übertragung

Jede Verbindung zum Portal und zum Serverbetrieb läuft über HTTPS mit gültigem, automatisch erneuertem Zertifikat; unverschlüsselte Aufrufe werden umgeleitet, und der Browser wird angewiesen, ein Jahr lang nur verschlüsselt zu verbinden (HSTS). Die Artikel- und Kundenliste für die Diensttelefone ist zusätzlich Ende zu Ende verschlüsselt, mit einem Schlüssel je Telefon; der Auftragsverarbeiter kann sie nicht lesen. In der Gegenrichtung versiegelt die App Rapporte, Aufmaße, Korrekturen, Fotos, selbst angelegte Einsätze, Urlaubs- und Abwesenheitsmeldungen und die Arbeitszeit an einen Schlüssel des Büroprogramms, dessen geheimen Teil nur das Büroprogramm des Verantwortlichen hat; im Durchgangsspeicher des Portals kann der Auftragsverarbeiter den Inhalt nicht lesen. Sichtbar bleiben Kennungen, Gerät, Zeitpunkte, Anzahl und Größe. Mit Serverbetrieb liegt dieser Schlüssel im Bereich des Betriebs auf dem Server (1.5, 1.6); geschützt ist dann der Durchgangsspeicher, nicht dieser Bereich. Fassungen von App und Büroprogramm vor dem 23. Oktober 2026 senden ohne diese zusätzliche Verschlüsselung. Auf dem Telefon legt die App ihre Daten verschlüsselt ab. Sicherungen werden auf dem Server verschlüsselt, bevor sie ihn verlassen. Eine Weitergabe an andere als die in Anhang IV genannten Stellen findet nicht statt; ausgenommen ist der Abruf über ein Kalender-Abo, das der Verantwortliche selbst ausstellt (§ 12). Dessen Adresse enthält einen Schlüssel aus 32 Byte Zufall und wird nur beim Ausstellen einmal angezeigt. Benachrichtigungen an die Telefone (Anhang IV Nr. 3) gehen verschlüsselt an Firebase Cloud Messaging und tragen nur einen allgemeinen Text und die Art; die Einzelheiten holt die App nach dem Antippen über die angemeldete, verschlüsselte Verbindung zum Portal. Der Zugangsschlüssel des Portals für diesen Dienst liegt als Datei nur auf dem Server, lesbar allein für den Portaldienst.

2.2 Nachvollziehbarkeit von Eingaben

Drei getrennte Aufzeichnungen mit verschiedenen Zwecken und Fristen: das Änderungsprotokoll (wer hat wann was geändert; Fristen nach Anhang II), die Zugriffsvermerke (wer hat hineingesehen, ein Jahr) und das Systemprotokoll (Fehler und Warnungen, 30 Tage). Dazu kommen die automatischen Fehlerberichte aus Büroprogramm, Serverbetrieb und App (ohne Inhalte, 90 Tage nach dem letzten Auftreten). Was davon einen Betrieb betrifft, steht in seiner Akte unter den Störungen, sichtbar nur für Verwalter mit dem Recht für Technik oder Support und mit unkenntlich gemachten Zugangsdaten (1.3); auch dieser Blick steht in den Zugriffsvermerken. Das Änderungsprotokoll ist auf Datenbankebene geschützt: Die Datenbank lässt eine Löschung erst nach Ablauf der Frist zu und sonst nur das Entfernen der IP-Adresse nach 90 Tagen. Ein täglicher Lauf löscht abgelaufene Einträge; bei gehemmter Aufbewahrung (etwa Betriebsprüfung oder Rechtsstreit) hält der Auftragsverarbeiter das Löschen von Hand an. Das Protokoll wird täglich mit einer Prüfsumme außer Haus versiegelt; eine nachträgliche Änderung wird dadurch erkannt. Rechnungen sind festgeschrieben: Nummer, Betrag und Zeitraum lassen sich nicht ändern; eine falsche Rechnung wird storniert und neu ausgestellt.

3.1 Verfügbarkeit und Wiederherstellbarkeit

Die Datenbank des Portals wird täglich um 02:15 Uhr gesichert, die Bereiche des Serverbetriebs täglich um 02:45 Uhr. Jede Sicherung wird mit AES-256 verschlüsselt und auf dem Server nur verschlüsselt abgelegt. Auf dem Server bleiben die letzten 14 Stände; zusätzlich wird jede Sicherung in einen gesonderten Speicher innerhalb Deutschlands gebracht (Anhang IV). Dort ist sie 30 Tage gegen Löschen gesperrt; diese Sperre kann niemand vorzeitig aufheben, auch der Auftragsverarbeiter nicht. Der Server selbst kann dort nur ablegen, aber weder lesen noch löschen. Nach 90 Tagen wird die Sicherung gelöscht und binnen weiterer sieben Tage endgültig entfernt.

Daneben erstellt der Unterauftragsverarbeiter Hetzner täglich ein Abbild der gesamten Serverplatte im selben Rechenzentrum wie der Server und behält die letzten sieben Tagesstände. Es dient der schnellen Wiederherstellung des ganzen Servers. Zugriff darauf hat nur das Konto des Auftragsverarbeiters beim Unterauftragsverarbeiter.

Jede Woche spielt ein Lauf eine Sicherung des Portals wirklich zurück und lässt die Datenbank sich selbst prüfen; ein zweiter Lauf tut dasselbe reihum mit einem Bereich des Serverbetriebs, und ein dritter prüft, dass sich eine Sicherung im gesonderten Speicher nicht löschen lässt. Eine Sicherung, die niemand zurückholt, ist keine.

3.2 Belastbarkeit

Fällt das Portal aus, arbeitet das Büroprogramm ohne Serverbetrieb innerhalb der im Tarif angegebenen Kulanzzeit unverändert weiter. Mit Serverbetrieb hängt die Arbeit an dessen Erreichbarkeit; deshalb die Maßnahmen unter 3.1 und 4.1. Die Anmeldebremse begrenzt zugleich die Last, die sich durch automatisiertes Durchprobieren erzeugen ließe.

4. Regelmäßige Überprüfung und Bewertung

Jede Änderung am Programm wird durch automatisierte Prüfungen abgesichert; eine Änderung, die eine davon bricht, wird nicht ausgeliefert. Bei jeder Übertragung in die Quelltextverwaltung werden die eingesetzten Fremdbausteine auf bekannte Schwachstellen und auf ihre Lizenzen geprüft, die Schwachstellen zusätzlich einmal wöchentlich. Dazu die wöchentlichen Rückholproben (3.1). Die Protokolle der Serverdienste sind auf höchstens 50 MB je Dienst begrenzt und werden mit jeder neuen Fassung gelöscht.

4.1 Störungen erreichen einen Menschen

Ein Dienst außerhalb des Servers (live24h, Fuldatal; er erhält keine personenbezogenen Daten aus Anhang II) ruft das Portal alle fünf Minuten auf und meldet sich, wenn es nicht antwortet; er warnt außerdem vor ablaufenden Zertifikaten. Der Server prüft die Zertifikate zusätzlich selbst jeden Tag. Umgekehrt meldet der nächtliche Sicherungslauf diesem Dienst nach jedem Erfolg, dass er gelaufen ist; bleibt die Meldung aus, wird gewarnt. Ein abgestürzter Dienst meldet nichts mehr, und Schweigen wäre sonst nicht von Ordnung zu unterscheiden.

Dazu warnt das Portal selbst per E-Mail, wenn die Datenbank eines Betriebs nicht gesichert werden konnte, wenn sich ein Serverbetrieb nicht einrichten lässt oder wenn die Anmeldebremse greift. Einmal in der Woche bestätigt eine Nachricht, dass dieser Melder selbst funktioniert.

5. Auftragskontrolle

Mit jedem Unterauftragsverarbeiter besteht ein Vertrag nach Art. 28 DSGVO. Die Liste steht in Anhang IV; Änderungen werden mindestens vier Wochen vorher in Textform mitgeteilt, und bis dahin kann der Verantwortliche widersprechen.

6. Datenschutz durch Technikgestaltung und Voreinstellungen (Art. 25 DSGVO)

Der Durchgangsspeicher wird geräumt, sobald das Büro die Daten abgeholt hat. Die Gerätekennung der Handwerker-App ist eine Zufallszahl, die die App sich selbst gibt. Die App fragt keinen Standort ab und entfernt aus Fotos die eingebetteten Zusatzdaten einschließlich Ortsangaben. Programm und App enthalten keine fremden Analyse- oder Absturzmeldedienste. Ihre eigenen Fehlerberichte gehen nur an den Auftragsverarbeiter, tragen keine Inhalte, werden gesammelt und gedrosselt gesendet und lassen sich abschalten. Bei der Registrierung wird nur erhoben, was für Vertrag und Rechnung nötig ist; der Name der Ansprechperson ist freiwillig.

7. Unterstützung des Verantwortlichen (Klausel 8 Buchst. d, Klausel 9)

Eine Verletzung des Schutzes personenbezogener Daten meldet der Auftragsverarbeiter unverzüglich, spätestens innerhalb von 24 Stunden nach Kenntnis, an die im Kundenkonto hinterlegte E-Mail-Adresse, mit den Angaben aus Klausel 9.2; fehlende Angaben reicht er nach, sobald sie vorliegen. So bleibt dem Verantwortlichen genug Zeit für seine eigene Meldung an die Aufsichtsbehörde binnen 72 Stunden (Art. 33 DSGVO). Die Maßnahmen unter 4.1 stellen die Kenntnis her. Anträge betroffener Personen leitet er unverzüglich weiter und beantwortet sie nicht selbst. Für Auskunft und Übertragbarkeit stellen Kundenbereich und Büroprogramm die gespeicherten Daten zum Herunterladen bereit; Löschungen führt er auf Weisung aus und bescheinigt sie in Textform. Hält er eine Weisung für rechtswidrig, teilt er das unverzüglich mit (Klausel 7.1 Buchst. b).

ANHANG IV: Liste der Unterauftragsverarbeiter

Der Verantwortliche genehmigt die Inanspruchnahme der folgenden Unterauftragsverarbeiter (Klausel 7.7 Buchst. a, allgemeine schriftliche Genehmigung). Änderungen dieser Liste teilt der Auftragsverarbeiter mindestens vier Wochen vorher in Textform an die im Kundenkonto hinterlegte Adresse mit; bis dahin kann der Verantwortliche widersprechen.

1. Hetzner Online GmbH

Anschrift:: Industriestr. 25, 91710 Gunzenhausen, Deutschland
Kontakt:: Datenschutz, Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen; data-protection@hetzner.com
Beschreibung der Verarbeitung:: Bereitstellung der Server (Rechenzentrum Nürnberg), der täglichen Abbilder der gesamten Serverplatte (im selben Rechenzentrum, sieben Tagesstände) und des Speichers für die Sicherungen (Rechenzentrum Falkenstein). Gespeichert werden dabei alle in Anhang II genannten Daten, die Sicherungen im gesonderten Speicher verschlüsselt. Ein eigener Zugriff auf die Inhalte ist nicht vorgesehen. Dauer: für die Vertragslaufzeit; für Sicherungen und Abbilder gelten die Fristen aus Anhang II.

2. ALL-INKL.COM, Neue Medien Münnich, Inhaber René Münnich

Anschrift:: Hauptstraße 68, 02742 Friedersdorf, Deutschland
Kontakt:: Der Datenschutzbeauftragte, ALL-INKL.COM, Neue Medien Münnich, Hauptstraße 68, 02742 Friedersdorf
Beschreibung der Verarbeitung:: Versand der Systemnachrichten des Portals, etwa Bestätigungscodes und Mails mit Kennwortcodes an die Monteure des Verantwortlichen. Verarbeitet werden die E-Mail-Adresse des Empfängers und der Inhalt der Nachricht. Dauer: bis zur Zustellung; die Server stehen in Deutschland.

3. Google Ireland Limited (Firebase Cloud Messaging)

Anschrift:: Gordon House, Barrow Street, Dublin 4, Irland
Kontakt:: Datenschutzanfragen über das Formular unter support.google.com/policies, Stichwort Firebase; Datenschutzbeauftragter der Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland
Beschreibung der Verarbeitung:: Zustellung der Benachrichtigungen an die Diensttelefone, nur für Zugänge, die sie in der App eingeschaltet haben. Verarbeitet werden die Gerätekennung des Telefons (Registrierungstoken und Installationskennung), Zeitpunkt, Art und ein allgemeiner Text ohne Namen, Anschriften oder Beträge. Dauer: bis zur Zustellung, höchstens 24 Stunden bei einem nicht erreichbaren Telefon; die Gerätekennung bis zu ihrer Löschung nach Anhang II.
Dokumentenscanner der App:: Scannt ein Zugang in der App einen Beleg, nutzt die App auf Android den Dokumentenscanner aus den Google-Play-Diensten. Das Scannen läuft auf dem Telefon, das Bild geht nicht an Google. Google erhält Angaben zur Nutzung der Funktion: zum Gerät und zur App sowie Leistungs- und Fehlerdaten, keinen Bildinhalt.
Ort und Garantien:: Google kann die Daten auch in den USA verarbeiten (Google LLC, 1600 Amphitheatre Parkway, Mountain View, CA 94043, USA, als weiterer Unterauftragsverarbeiter von Google). Grundlage ist der Angemessenheitsbeschluss der EU-Kommission zum Datenschutzrahmen EU-USA (Art. 45 DSGVO), nach dem Google LLC zertifiziert ist; ergänzend gelten die Standardvertragsklauseln der EU-Kommission aus den Bedingungen von Google für die Datenverarbeitung bei Firebase (Art. 46 Abs. 2 Buchst. c DSGVO).

Belegmails, die der Verantwortliche aus dem Büroprogramm an seine Kunden schickt, laufen über sein eigenes E-Mail-Postfach und nicht über den Auftragsverarbeiter. Der Zahlungsdienst, über den der Verantwortliche Rechnungen des Auftragsverarbeiters bezahlen kann, verarbeitet keine Daten aus Anhang II und ist deshalb kein Unterauftragsverarbeiter.

ERGÄNZENDE VEREINBARUNGEN

An den Klauseln selbst darf nichts geändert werden (Klausel 2 Buchst. a). Zusätzliche Vereinbarungen sind erlaubt, solange sie den Klauseln nicht widersprechen (Klausel 2 Buchst. b). Die folgenden Punkte sagen, wie die Klauseln im Alltag umgesetzt werden; sie schränken keine Rechte des Verantwortlichen ein.

§ 1 Weisungen

Weisungen erteilt der Verantwortliche in Textform an die in Anhang I genannte Kontaktadresse. Weisungsberechtigt sind die Zugänge des Verantwortlichen mit Verwaltungsrecht sowie die im Kundenkonto hinterlegte Ansprechperson. Mündliche Weisungen bestätigt der Verantwortliche unverzüglich in Textform. Jede Weisung wird beim Auftragsverarbeiter festgehalten. Die Bedienung der Software durch den Verantwortlichen (Anlegen, Ändern, Löschen von Daten) gilt als Weisung im Rahmen des Vertrags und bedarf keiner gesonderten Mitteilung.

§ 2 Ort der Verarbeitung

Die Verarbeitung findet in Deutschland statt, einschließlich der Sicherungen. Einzige Ausnahme sind die Benachrichtigungen an Diensttelefone, die ein Zugang in der App eingeschaltet hat, und Notfall-Einsätze: Ihr Zustelldienst (Anhang IV Nr. 3) kann Gerätekennung, Zeitpunkt, Art und allgemeinen Text auch in den USA verarbeiten, mit den dort genannten Garantien. Jede weitere Übermittlung in ein Land außerhalb der Europäischen Union wäre eine Änderung der Liste in Anhang IV und damit vier Wochen vorher mitzuteilen. Ruft ein Kalenderdienst, den der Verantwortliche gewählt hat, Einsätze über ein Kalender-Abo ab, gilt § 12.

§ 3 Nachweise und Kontrollen (zu Klausel 7.6)

Den Nachweis führt der Auftragsverarbeiter zunächst durch Auskunft: diesen Vertrag mit Anhang III, die Verträge mit den Unterauftragsverarbeitern und die Beantwortung von Fragen des Verantwortlichen in Textform, jeweils innerhalb von 14 Tagen. Genügt das nicht, kann der Verantwortliche vor Ort prüfen oder prüfen lassen: nach Ankündigung von vier Wochen, zu üblichen Geschäftszeiten, ohne den Betrieb für andere Kunden zu stören und durch eine Person, die zur Verschwiegenheit verpflichtet ist. Bei Anzeichen für einen Verstoß gegen diesen Vertrag (Klausel 7.6 Buchst. c) genügt eine Ankündigung von drei Werktagen. Die Kosten trägt der Verantwortliche, es sei denn, die Prüfung deckt einen Verstoß auf.

§ 4 Vertraulichkeit des Personals (zu Klausel 7.4 Buchst. b)

Der Auftragsverarbeiter beschäftigt derzeit kein weiteres Personal; Zugang zu den Daten hat allein der Inhaber. Wird künftig Personal eingesetzt, wird es vor dem ersten Zugang schriftlich zur Vertraulichkeit verpflichtet, auch über das Ende der Tätigkeit hinaus, und auf den Umgang mit personenbezogenen Daten hingewiesen.

§ 5 Rückgabe und Löschung (zu Klausel 10 Buchst. d)

Der Verantwortliche kann seine Daten jederzeit herunterladen: im Kundenbereich und, für die Geschäftsdatenbank, im Büroprogramm. Nach dem Vertragsende geht das noch 30 Tage lang; der Auftragsverarbeiter erinnert 14 und 3 Tage vor der Löschung per E-Mail daran. Bis zum Ende dieser 30 Tage wählt der Verantwortliche zwischen Rückgabe durch Herunterladen und Löschung; trifft er keine Wahl, gilt die Löschung nach Ablauf der 30 Tage als gewählt. Ein Herunterladen schließt die anschließende Löschung nicht aus. Danach löscht der Auftragsverarbeiter die im Auftrag verarbeiteten Daten. Beim Serverbetrieb bleiben Datenträger und Sicherungen auf dem Server danach noch 30 Tage erhalten, als Schutz gegen ein versehentliches Entfernen, in den Abbildern der Serverplatte bis zu sieben Tage länger. Endet nur der Serverbetrieb, gilt dieser Absatz für seinen Bereich entsprechend (Anhang II, Dauer der Verarbeitung); die Entfernung teilt der Auftragsverarbeiter per E-Mail mit. In den Sicherungen im gesonderten Speicher bleiben die Daten bis zu 97 Tage nach der jeweiligen Sicherung erhalten. Das ist die Folge einer Aufbewahrung, die gegen Löschen gesperrt ist; die Sicherungen laufen von selbst aus, und wird eine davon eingespielt, wird die Löschung erneut ausgeführt. Ist die Löschung vollzogen, wird sie dem Verantwortlichen automatisch per E-Mail an die zuletzt hinterlegte Adresse bestätigt; das ist die Bescheinigung in Textform. Ausgenommen sind die Rechnungen des Auftragsverarbeiters an den Verantwortlichen: Sie sind dessen eigene Buchführung und gesetzlich aufzubewahren (§ 147 AO, § 14b UStG, Art. 17 Abs. 3 Buchst. b DSGVO).

§ 6 Datenschutzbeauftragter und Ansprechpartner

Der Auftragsverarbeiter hat keinen Datenschutzbeauftragten bestellt; die Voraussetzungen des Art. 37 DSGVO und des § 38 BDSG liegen nicht vor. Ansprechpartner in allen Fragen dieses Vertrags ist die in Anhang I genannte Adresse. Der Verantwortliche teilt seinen Datenschutzbeauftragten mit, falls er einen hat.

§ 7 Meldewege (zu Klausel 9)

Meldungen gehen an die im Kundenkonto hinterlegte E-Mail-Adresse des Verantwortlichen, unverzüglich und spätestens innerhalb von 24 Stunden nach Kenntnis. Meldungen des Verantwortlichen an den Auftragsverarbeiter gehen an die Adresse in Anhang I. Beide Seiten halten ihre Adressen aktuell.

§ 8 Laufzeit

Dieser Vertrag gilt, solange der Vertrag über die Nutzung von CoPunkt läuft, und endet mit ihm. Die Pflichten aus Klausel 10 Buchst. d (Löschung oder Rückgabe) gelten darüber hinaus, bis sie erfüllt sind.

§ 9 Änderungen dieses Vertrags

Die Klauseln selbst bleiben unverändert. Ändern sich die Angaben in den Anhängen oder die ergänzenden Vereinbarungen, kündigt der Auftragsverarbeiter das in Textform an und legt die neue Fassung im Kundenbereich zur ausdrücklichen Zustimmung vor. Schweigen gilt nicht als Zustimmung; bis dahin gilt die zuletzt bestätigte Fassung. Für neue Unterauftragsverarbeiter gilt zusätzlich die Frist aus Klausel 7.7 Buchst. a.

§ 10 Haftung

Für Schäden aus der Verarbeitung gilt Art. 82 DSGVO. Die Haftungsregeln der AGB bleiben daneben bestehen, soweit sie diesen Klauseln nicht widersprechen; im Zweifel haben die Klauseln Vorrang (Klausel 4).

§ 11 Vorläufige Sperre

Sperrt der Auftragsverarbeiter den Zugang des Verantwortlichen nach § 5 Abs. 7 und 8 der AGB, ist das keine Verarbeitung entgegen einer Weisung. Die Daten bleiben unverändert gespeichert und werden weiter gesichert; wegen der Sperre wird nichts gelöscht. Kann der Verantwortliche während der Sperre nicht selbst auf seine Daten zugreifen, stellt der Auftragsverarbeiter ihm auf Anforderung unverzüglich bereit, was er für Anfragen betroffener Personen (Klausel 8), für Meldungen an die Aufsichtsbehörde und für seine Aufbewahrungspflichten braucht.

§ 12 Kalender-Abo

Der Verantwortliche kann im Büroprogramm oder in der Handwerker-App für einen Zugang ein Kalender-Abo ausstellen, im Büroprogramm auch eines über alle Einsätze des Betriebs. Das ist eine Weisung, die Einsätze dieses Zugangs oder des Betriebs unter einer geheimen Abruf-Adresse zum Abruf bereitzustellen, ohne weitere Anmeldung. Stellt ein Beschäftigter in der Handwerker-App ein Abo für seinen eigenen Zugang aus, gilt das als Weisung des Verantwortlichen; der Verantwortliche kann es jederzeit beenden. Der Auftragsverarbeiter zeigt die Adresse nur beim Ausstellen an und liefert unter ihr nichts mehr aus, sobald ein neues Abo ausgestellt, das Abo abgeschaltet oder der Zugang gesperrt oder gelöscht wird. Trägt der Verantwortliche oder sein Mitarbeiter die Adresse bei einem Kalenderdienst ein, ruft dieser die Einsätze ab und speichert sie bei sich. Diesen Dienst wählt und beauftragt allein der Verantwortliche; er ist kein Unterauftragsverarbeiter im Sinne der Klausel 7.7. Für die Weitergabe an ihn, für den Vertrag mit ihm und für eine Übermittlung in Länder außerhalb der Europäischen Union durch ihn (Klausel 7.8) ist der Verantwortliche verantwortlich.

Was sich geändert hat

28. Oktober 2026

Anhang II, Datenarten: Mit Serverbetrieb und verbundenem Online-Shop die daraus abgerufenen Bestellungen (Bestellnummer, Zeitpunkt, Zahlart, Betrag, Name, Anschrift, E-Mail-Adresse und Telefon des Bestellers, Positionen, Stand im Shop) und die Zugangsdaten zur Schnittstelle des Shops, verschlüsselt gespeichert und nur lesend benutzt; abgerufen wird vom Bereich des Betriebs direkt beim Shop. Abgebrochene Bestellungen ohne Rechnung werden nach 90 Tagen gelöscht.
Anhang III 2.1: Rapporte, Aufmaße, Korrekturen, Fotos, selbst angelegte Einsätze, Urlaubs- und Abwesenheitsmeldungen und die Arbeitszeit versiegelt die App an einen Schlüssel des Büroprogramms; im Durchgangsspeicher des Portals kann der Auftragsverarbeiter den Inhalt nicht lesen. Mit Serverbetrieb liegt der Schlüssel im Bereich des Betriebs auf dem Server. Fassungen von App und Büroprogramm vor dem 23. Oktober 2026 senden ohne diese zusätzliche Verschlüsselung.
Anhang III 1.2: Zusätzlich zu den automatischen Sperren können Adressen oder Bereiche von Hand befristet oder bis auf Widerruf gesperrt werden; Adresse, Dauer und Grund bleiben bis 28 Tage nach dem Ende der Sperre gespeichert.

19. Oktober 2026

Anhang II, Datenarten: Quittungen (Belegfotos), die Monteure mit der App ans Büro schicken, nur verschlüsselt; den Schlüssel kennen nur das Büroprogramm und die Telefone des Verantwortlichen, der Auftragsverarbeiter kann den Inhalt nicht lesen.
Anhang II, Zwecke und Dauer: Quittungen im Durchgangsspeicher, gelöscht mit der Übernahme durch das Büro, spätestens nach 30 Tagen.
Anhang IV Nr. 3: Beim Dokumentenscanner der App (Google-Play-Dienste) läuft das Scannen auf dem Telefon; Google erhält Angaben zur Nutzung der Funktion, keinen Bildinhalt.

17. Oktober 2026

§ 12: Ein Kalender-Abo kann der Verantwortliche im Büroprogramm auch über alle Einsätze des Betriebs ausstellen. Stellt ein Beschäftigter in der Handwerker-App ein Abo für seinen eigenen Zugang aus, gilt das als Weisung des Verantwortlichen; er kann es jederzeit beenden.
Anhang II, Datenarten und Zwecke: beim Abo des Betriebs alle Einsätze mit den Namen der eingeteilten Zugänge.

14. Oktober 2026

Anhang II, betroffene Personen: Beschäftigte des Verantwortlichen (Monteure, Büro, Auszubildende) mit ihren Zugängen, Diensttelefonen, Arbeitszeiten und Abwesenheiten.
Anhang II, Datenarten: Beschäftigtendaten (Personalnummer, Einsätze, Arbeitszeiten, Pausen, Abwesenheiten, Arbeitszeitkonto, Vergütungsangaben, Rapporte, Fotos, Unterschriften); Vergütungsangaben und das ganze Arbeitszeitkonto nur mit gebuchtem Serverbetrieb. Technische Kennungen (Gerätekennungen, Anmeldenamen, Anmelde- und Sitzungsdaten; Kennwörter nur als nicht umkehrbarer Hashwert).
Anhang II, Datenarten: Arbeitszeit der Beschäftigten (Tag, Kommen, Gehen, Pausen mit Uhrzeit, Änderungen mit Grund und wer geändert hat, Abschluss, Vorschlag aus den Rapporten, Uhrzeit des Telefons beim Senden und Empfangszeit; kein Standort). Für die Telefone je Beschäftigtem die eigenen Tage und fremde Änderungen der letzten fünf Wochen, der eigene Kontostand, eigene Korrekturanträge der letzten 60 Tage, die bestätigten Monate und der Tag, bis zu dem die Regeln für Jugendliche gelten; Abwesenheit dort nur als „abwesend“. Erinnerungen „Kommen oder Gehen vergessen?“ ohne Uhrzeit und Ort.
Anhang II, Datenarten: Im Serverbetrieb auch Vereinbarung mit Vergütungsangaben, Konto, Buchungen, Korrekturanträge und die Lohnliste für die Kanzlei mit jeder Ausgabe; eine Lohnabrechnung findet nicht statt. Bei der Betriebsruhe, ob sie als Urlaub zählt oder bezahlt frei ist.
Anhang II, sensible Daten (Klausel 7.5): Gesundheitsdaten der Beschäftigten, beschränkt auf Krankmeldungen ohne Diagnose; die freiwillige Bemerkung ist freier Text und wird genannt. Im Stand des Urlaubsplaners, den der Auftragsverarbeiter für die Telefone vorhält, steht bei einer Krankmeldung für alle „abwesend“; die echte Art steht je Beschäftigtem in einem eigenen Teil „selbst“, der nur an sein eigenes Telefon herausgegeben wird, auch Vorgesetzte sehen in der App nur „abwesend“. Im Programm sehen die Art, die Bemerkung und einen Ablehnungsgrund nur der Inhaber, ein Vorgesetzter nur für sein eigenes Team, wer den Eintrag entschieden hat und wer über einen offenen Antrag gerade entscheidet (auch eine Vertretung). Die Lohnliste mit Krankheitstagen und -zeiträumen sieht nur der Inhaber. Der vollständige Datenexport vor einer Kontolöschung ist Sache des Verantwortlichen (Inhaber oder wer den Betrieb verwaltet) und enthält Krankmeldungen mit Bemerkung; der Zugang für die Betriebsprüfung erhält Krankheitstage und Zeiträume ohne Bemerkungen und Gründe.
Anhang II, Zwecke: Arbeitszeiterfassung nach Arbeitszeitgesetz, Mindestlohngesetz und Jugendarbeitsschutzgesetz und Vorbereitung der Lohnabrechnung durch die Kanzlei; keine Lohnabrechnung, keine Ortung, keine Auswertung von Leistung oder Verhalten. Bis der Verantwortliche dieser Fassung zugestimmt hat, verarbeitet der Auftragsverarbeiter keine Arbeitszeit: Das Portal nimmt sie nicht an, und im Serverbetrieb wird keine neue erfasst.
Anhang II, Dauer: Arbeitszeit vom Telefon bis zur Übernahme durch das Büro, die Kennung danach 30 Tage. In der Geschäftsdatenbank bis zum Ende des Kalenderjahres, das der Verantwortliche einstellt (Vorgabe das sechste, mindestens das zweite, höchstens das zehnte), danach automatische Löschung mit Erinnerung 30 Tage vorher. Abwesenheiten (Urlaub, Krankheit) und die an die Kanzlei gegebenen Lohnlisten als Lohnunterlagen mindestens bis zum Ende des sechsten Kalenderjahres. Der Stand des Urlaubsplaners für die Telefone umfasst 60 Tage zurück bis 400 Tage voraus und wird mit jedem Abgleich ersetzt.
Anhang III 1.2: Wiederholte erfolglose Anmeldeversuche am Server sperren die IP-Adresse des Absenders für eine Stunde, bei Wiederholung für eine Woche (fail2ban). Das Protokoll von fail2ban bleibt am Server bis etwa fünf Wochen (wöchentlich gedreht, vier ältere Dateien), das Systemjournal des Servers mit IP-Adresse und versuchtem Benutzernamen höchstens vier Wochen, die Übersicht im Verwalterbereich 28 Tage; dorthin werden keine Benutzernamen übernommen.

13. Oktober 2026

Anhang II, sensible Daten (Klausel 7.5): Das System hat ein Feld für Gesundheitsdaten, die Abwesenheitsart „krank“ im Urlaubsplaner, ohne Diagnose oder Grund. Die Art sehen nur der Inhaber und wer Urlaub genehmigen darf; alle anderen sehen „abwesend“. Bisher hieß es, es gebe kein solches Feld.
Anhang II, Datenarten: Urlaub und Abwesenheit der Mitarbeiter (Art, Zeitraum, Bemerkung, Antrag, Entscheidung mit Grund, wer entschieden hat, Vorgesetzter, Notfall-Vermerk an Einsätzen). Anträge vom Telefon liegen beim Auftragsverarbeiter, bis das Büro sie übernimmt, ihre Kennung danach 30 Tage; den Stand des Urlaubsplaners hält er für die Telefone vor.
Anhang II, Datenarten: Problemmeldungen auch aus der Handwerker-App (Fassung, Hersteller und Modell, letzte Fehlerberichte) und aus dem Serverbetrieb mit Protokollausschnitt; Kennwörter, Schlüssel, Codes, Mailadressen, Telefon- und Steuernummern, IBAN und lange Zahlenfolgen werden vorher unkenntlich gemacht.
Anhang II, Datenarten: bei Rapporten der Stand der Abgabe mit Zeitpunkt der Abholung, der Vermerk „Kunde nicht anwesend“ und Rückmeldungen des Büros zu fehlenden Angaben.
Anhang II: Einsätze mit dem Vermerk Notfall werden immer auf das Diensttelefon zugestellt, auch bei ausgeschalteten Benachrichtigungen, in der Ruhezeit und im Urlaub.

11. Oktober 2026

Anhang II, betroffene Personen und Datenarten: Personen, denen der Verantwortliche einen eigenen Zugang einräumt, etwa für die Steuerberatung oder eine Betriebsprüfung, mit ihren Zugangs- und Protokolldaten; beim Auftragsverarbeiter liegen sie nur mit gebuchtem Serverbetrieb.
Anhang II, Datenarten: das Systemprotokoll des Portals (Fehler und Warnungen, soweit sie einen Betrieb betreffen) und automatische Fehlerberichte aus Büroprogramm, Serverbetrieb und Handwerker-App ohne Inhalte, abschaltbar; Fehlerberichte werden 90 Tage nach dem letzten Auftreten gelöscht.
Anhang II, Datenarten: Vermerke der Handwerker-App am Zugang (Rundgang angeboten, kurze Hinweise verstanden, zuletzt um eine Rückmeldung gebeten); ob eine Rückmeldung geschickt wurde, wird nicht vermerkt.
Anhang II, Zwecke: Störungen werden auch ohne Anfrage des Verantwortlichen behoben, anhand der Fehlerberichte und des Systemprotokolls; jeder Blick in die Akte eines Betriebs wird vermerkt.
Anhang II, Abgrenzung: Für Vertrag und Lizenz nutzt der Auftragsverarbeiter als eigener Verantwortlicher aus dieser Verarbeitung nur Zeitpunkte, etwa wann sich Arbeitsplätze, Diensttelefone und der Serverbetrieb zuletzt gemeldet haben und bei kostenlosen Zugängen, wann sie sich angemeldet haben und wann zuletzt eine Änderung abgeschickt wurde; keine Inhalte, keine Namen, kein Verlauf.
Anhang II, Dauer: Endet eine kostenlose Testphase ohne Buchung, folgen frühestens 60 Tage Lesemodus, dann die Ankündigung der Löschung, mit der der Vertrag endet, und die Löschung wie nach Vertragsende.
Anhang III 1.3: Mehrere Aufrufe desselben Bereichs der Akte durch dieselbe Person innerhalb einer halben Stunde stehen als ein Vermerk. Fehlerberichte und Systemprotokoll sehen nur Verwalter mit dem Recht für Technik oder Support, in der Akte mit unkenntlich gemachten Zugangsdaten. Zugänge für Betriebsprüfer sind befristet; Zugänge für die Steuerberatung sehen nur die Buchhaltung.
Anhang III 2.2 und 6: Fehlerberichte als weitere Aufzeichnung genannt; Programm und App enthalten keine fremden Analyse- oder Absturzmeldedienste, ihre eigenen Fehlerberichte gehen nur an den Auftragsverarbeiter und lassen sich abschalten.

4. Oktober 2026 (Fassung 2)

Anhang IV Nr. 3 neu: Google Ireland Limited (Firebase Cloud Messaging) als Unterauftragsverarbeiter für die Zustellung von Benachrichtigungen an die Diensttelefone, nur für Zugänge, die sie eingeschaltet haben; mögliche Verarbeitung in den USA durch Google LLC auf Grundlage des Datenschutzrahmens EU-USA, ergänzend Standardvertragsklauseln.
§ 2: Die Verarbeitung findet in Deutschland statt; einzige Ausnahme sind eingeschaltete Benachrichtigungen (Gerätekennung, Zeitpunkt, Art, allgemeiner Text), die der Zustelldienst auch in den USA verarbeiten kann.
Anhang II: neue Datenart (Gerätekennung, Schalter, Ruhezeit, Art und Zeitpunkt, allgemeiner Text; vom Büro nur die Anzahl überfälliger Rechnungen und fälliger Mahnungen), neue Art der Verarbeitung (Zustellen kurzer, allgemein gehaltener Hinweise), neuer Zweck (Hinweise auf die Diensttelefone) und neue Fristen (Kennung solange eingeschaltet, spätestens 270 Tage ohne Nutzung; wartende Benachrichtigung höchstens 24 Stunden; Anzahl überfälliger Rechnungen 30 Tage).
Anhang II, Garantien für sensible Daten: Benachrichtigungen tragen nur allgemeine Texte und enthalten solche Daten nicht.
Anhang III 2.1: Benachrichtigungen gehen verschlüsselt an Firebase Cloud Messaging und tragen nur Art und allgemeinen Text; der Zugangsschlüssel für den Dienst liegt nur auf dem Server.

4. Oktober 2026

Anhang II (Dauer) und § 5: Endet nur der Serverbetrieb, weil er nach der Testphase nicht gebucht oder gekündigt wurde, wird sein Bereich nach 30 Tagen Lesemodus und zwei Erinnerungen entfernt, mit denselben Schutzfristen wie beim Vertragsende.
Anhang II (Art der Verarbeitung) und Anhang III 1.6: Im Serverbetrieb wird täglich der belegte Speicher gemessen, getrennt nach Datenbank und Dateien. Ermittelt werden nur Größen, Inhalte werden nicht gelesen.
§ 11 neu: Während einer vorläufigen Sperre nach den AGB bleiben die Daten gespeichert und gesichert, und der Verantwortliche erhält auf Anforderung, was er für Anfragen Betroffener, Meldungen und seine Aufbewahrung braucht.
§ 12 neu, dazu Anhang II, Anhang III 2.1 und § 2: Kalender-Abo. Auf Weisung des Verantwortlichen werden die Einsätze eines Zugangs unter einer geheimen Adresse bereitgestellt. Ein Kalenderdienst, den der Verantwortliche dafür wählt, ist kein Unterauftragsverarbeiter; für die Weitergabe an ihn und eine Übermittlung durch ihn außerhalb der EU ist der Verantwortliche verantwortlich.
Kopf und Anhang I: Einer neuen Fassung kann auch im Büroprogramm oder in der Handwerker-App zugestimmt werden, ausgewiesen mit dem Kundenkonto; die Herkunft der Zustimmung wird gespeichert.

3. Oktober 2026 (Fassung 2)

Anhang II: Garantien für besondere Kategorien personenbezogener Daten (Klausel 7.5) statt „nicht vereinbart".
Anhang II: Änderungsprotokoll in drei Klassen statt pauschal zehn Jahre, IP-Adressen 90 Tage; Durchgangsspeicher, Problemmeldungen, Löschliste und Abbilder der Serverplatte mit ihren Fristen.
Anhang III: Zugriff des Auftragsverarbeiters auf den Serverbetrieb einheitlich beschrieben; Prüferzugang, HSTS, Versiegelung des Protokolls, Sperre der Sicherungen und Prüfläufe ergänzt.
Anhang IV: Kontaktstellen der Unterauftragsverarbeiter, Abbilder der Serverplatte bei Hetzner.
§ 3: Kontrollen bei Anzeichen eines Verstoßes mit drei Werktagen Vorlauf.
§ 5: Wahl zwischen Rückgabe und Löschung, Erinnerungen vor der Löschung, Löschbescheinigung automatisch per E-Mail.

3. Oktober 2026

Änderungen nur mit ausdrücklicher Zustimmung (§ 9); Meldefrist 24 Stunden; tatsächliche Sicherungsfristen.

Dieser Vertrag ergänzt die AGB und geht ihnen im Umfang seines Regelungsgehalts vor. Wie der Anbieter mit Daten umgeht, für die er selbst verantwortlich ist, steht in der Datenschutzerklärung.

Nach oben