Vertrag zur Auftragsverarbeitung
nach Art. 28 DSGVO · Fassung 1.1, gültig ab 7. August 2026
Zwischen den Parteien
Verantwortlicher ist der Handwerksbetrieb, der Meisterdeck nutzt (nachfolgend „Kunde“). Auftragsverarbeiter ist Ralf Fangmeier, Föhrenkamp 38, 45481 Mülheim (nachfolgend „Anbieter“). Der Vertrag kommt mit der Bestätigung in der Software zustande und gilt, solange der Kunde Meisterdeck nutzt.
§ 1 Gegenstand und Dauer
(1) Der Anbieter verarbeitet personenbezogene Daten im Auftrag des Kunden, soweit dies für die Bereitstellung der Software erforderlich ist. Einzelheiten regelt Anlage 1.
(2) Die Dauer entspricht der Laufzeit des Hauptvertrags.
§ 2 Weisungsrecht
(1) Der Anbieter verarbeitet die Daten ausschließlich auf dokumentierte Weisung des Kunden. Als Weisung gelten dieser Vertrag, der Hauptvertrag sowie die Nutzung der in der Software vorgesehenen Funktionen.
(2) Weitergehende Weisungen erteilt der Kunde in Textform an hallo@meisterdeck.de.
(3) Hält der Anbieter eine Weisung für rechtswidrig, teilt er das mit und darf ihre Ausführung aussetzen.
§ 3 Vertraulichkeit
Der Anbieter verpflichtet alle Personen, die Zugang zu den Daten haben, auf Vertraulichkeit, soweit sie nicht bereits einer gesetzlichen Verschwiegenheitspflicht unterliegen. Derzeit hat ausschließlich der Anbieter selbst administrativen Zugang.
§ 4 Technische und organisatorische Maßnahmen
Der Anbieter trifft die in Anlage 3 beschriebenen Maßnahmen nach Art. 32 DSGVO und hält sie während der Vertragslaufzeit aufrecht. Maßnahmen dürfen ersetzt werden, solange das Schutzniveau nicht unterschritten wird.
§ 5 Unterauftragsverarbeiter
(1) Der Kunde stimmt dem Einsatz der in Anlage 2 genannten Unterauftragsverarbeiter zu.
(2) Der Anbieter informiert über beabsichtigte Änderungen mindestens 30 Tage vorher in Textform. Der Kunde kann binnen dieser Frist widersprechen; bei Widerspruch darf er den Hauptvertrag zum geplanten Wechsel außerordentlich kündigen.
(3) Der Anbieter verpflichtet Unterauftragsverarbeiter auf ein Schutzniveau, das diesem Vertrag entspricht.
§ 6 Unterstützung des Kunden
(1) Wendet sich eine betroffene Person unmittelbar an den Anbieter, leitet er die Anfrage unverzüglich an den Kunden weiter und beantwortet sie nicht selbst.
(2) Der Anbieter unterstützt den Kunden bei Auskunft, Berichtigung, Löschung, Einschränkung und Datenübertragbarkeit, soweit die Software die Daten nicht ohnehin direkt zugänglich macht.
(3) Der Anbieter meldet dem Kunden Verletzungen des Schutzes personenbezogener Daten unverzüglich, spätestens innerhalb von 24 Stunden nach Kenntnis, mit den nach Art. 33 Abs. 3 DSGVO nötigen Angaben — damit der Kunde seine eigene 72-Stunden-Frist wahren kann.
(4) Der Anbieter unterstützt bei Datenschutz-Folgenabschätzungen, soweit die Verarbeitung in seinem Bereich betroffen ist.
§ 7 Löschung und Rückgabe
(1) Nach Ende des Hauptvertrags stellt der Anbieter die Daten für 30 Tage zum Abruf bereit und löscht sie anschließend.
(2) Sicherungskopien werden im Rahmen des üblichen Zyklus überschrieben; die Löschfrist verlängert sich insoweit um höchstens 90 Tage.
(3) Gesetzliche Aufbewahrungspflichten des Anbieters bleiben unberührt.
§ 8 Nachweise und Kontrollen
(1) Der Anbieter weist die Einhaltung auf Anfrage in Textform nach, insbesondere durch aktuelle Angaben zu Anlage 3 und durch Nachweise seiner Unterauftragsverarbeiter.
(2) Reicht das nicht aus, kann der Kunde nach Ankündigung mit angemessener Frist eine Kontrolle in den Räumen des Anbieters durchführen oder durchführen lassen. Vor-Ort-Kontrollen sind auf das Erforderliche zu beschränken und dürfen den Betrieb nicht unangemessen stören.
§ 9 Schlussbestimmungen
(1) Bei Widersprüchen geht dieser Vertrag dem Hauptvertrag in Datenschutzfragen vor.
(2) Änderungen bedürfen der Textform. Es gilt deutsches Recht.
Anlage 1 — Gegenstand der Verarbeitung
| Zweck | Bereitstellung einer Software zur Betriebsverwaltung: Baustellenakte mit Nachrichten und Fotos, Zeiterfassung mit Standortbezug, Personalplanung, Angebote und Rechnungen, Mahnwesen, Nachkalkulation, KI-gestütztes Anfrageportal. |
|---|---|
| Art der Verarbeitung | Erheben, Speichern, Ordnen, Auslesen, Verwenden, Übermitteln an vom Kunden bestimmte Empfänger, Löschen. |
| Kategorien betroffener Personen | Beschäftigte des Kunden · Kunden und Interessenten des Kunden · Ansprechpartner bei Lieferanten. |
| Kategorien von Daten | Stammdaten (Name, Anschrift, Telefon, E-Mail) · Vertragsdaten (Angebote, Rechnungen, Zahlungen) · Kommunikationsdaten (Nachrichten, Fotos, Sprachnotizen, Portal-Gespräche) · Arbeitszeit- und Standortdaten der Beschäftigten (Ein- und Ausstempeln mit Koordinaten und Genauigkeit) · Abwesenheiten (Urlaub, Krankheit — ohne Diagnose) · Lohngruppen-Kostensätze. |
| Besondere Kategorien | Nicht vorgesehen. Der Kunde stellt sicher, dass er keine Daten nach Art. 9 DSGVO in Freitextfeldern erfasst. |
Anlage 2 — Unterauftragsverarbeiter
| Dienstleister | Zweck | Ort |
|---|---|---|
| ALL-INKL.COM – Neue Medien Münnich, Friedrichroda | Hosting von Anwendung, Datenbank, Dateien und Sicherungen | Deutschland |
| Anthropic PBC, San Francisco | KI-Antworten im Kundenportal und beim Diktat. Übermittelt werden ausschließlich die dafür eingegebenen Texte. Entfällt, wenn der Kunde einen eigenen Zugang nutzt — siehe Hinweis unter der Tabelle. | USA — auf Grundlage von Standardvertragsklauseln; keine Nutzung der Inhalte zum Training |
| Expo (650 Industries, Inc.) | Zustellung von Push-Benachrichtigungen an die Monteur-App (Gerätekennung und Meldungstext) | USA |
| Google Ireland Ltd. bzw. OpenStreetMap Foundation | Umwandlung von Baustellenanschriften in Koordinaten (Geokodierung). Übermittelt wird die Anschrift, kein Personenbezug. | EU / je nach genutztem Dienst |
| PayPal (Europe) S.à r.l. et Cie, S.C.A. | Abwicklung der Abo-Zahlungen des Kunden. PayPal ist insoweit eigener Verantwortlicher. | Luxemburg |
Eigener KI-Zugang des Kunden. Hinterlegt der Kunde in der Software seinen eigenen API-Schlüssel des KI-Anbieters, verarbeitet dieser nicht mehr im Auftrag des Anbieters. Der Kunde schließt den Vertrag selbst und ist für diese Verarbeitung eigenständig verantwortlich (§ 8a der AGB). Der Anbieter übermittelt die Anfrage in diesem Fall technisch weiter; die Rechtsgrundlage, die Information der Betroffenen und die Absicherung der Übermittlung in die USA obliegen dem Kunden. Für alle übrigen Verarbeitungen bleibt es bei diesem Vertrag.
Anlage 3 — Technische und organisatorische Maßnahmen (Art. 32 DSGVO)
Vertraulichkeit. Zugang zur Anwendung nur über persönliche Konten mit gehashten Passwörtern (bcrypt) und Abgleich gegen bekannte Datenlecks bei der Vergabe. Zwei-Faktor-Anmeldung ist für kaufmännische Zugänge verpflichtend, sobald Belege versendet werden. Anmeldeversuche sind je Konto und je IP begrenzt. Sitzungen laufen ab (Büro 30 Tage, Monteur-Geräte 180 Tage) und lassen sich aus der Ferne beenden — die Antwort auf das verlorene Baustellen-Handy. Innerhalb eines Betriebs greifen Rollen: Monteure haben keinen Zugriff auf kaufmännische Daten, Auswertungen oder den Kundenstamm.
Mandantentrennung. Jeder Betrieb ist ein eigener Mandant; sämtliche Abfragen sind technisch auf ihn eingeschränkt (globale Filter auf Datenbankebene, nicht in einzelnen Abfragen). Der Zugriff auf fremde Datensätze führt zu einer Fehlermeldung, nicht zu Inhalten.
Integrität. Übertragung ausschließlich über TLS mit erzwungenem HTTPS (HSTS). Serverzugang nur über SSH-Schlüssel. Gestellte Belege sind unveränderlich und können nur storniert werden (Revisionssicherheit).
Verfügbarkeit. Zugesagt sind 97 % im Jahresmittel (§ 3 der AGB). Tägliche Sicherung durch den Hoster; zusätzlich eine Sicherung der Datenbank vor jeder Änderung des Datenmodells. Wiederherstellung wird beim Einspielen geprüft. Der Kunde sichert die für ihn wesentlichen Unterlagen zusätzlich selbst (§ 5 Abs. 5 der AGB).
Belastbarkeit und Überprüfung. Änderungen gehen erst live, wenn die automatisierte Testsuite vollständig grün ist (derzeit über 550 Prüfungen). Die Software führt einen Versionsstand mit, der auf jedem Bildschirm ablesbar ist.
Geheimnisse. Hinterlegte API-Schlüssel des Kunden werden ausschließlich verschlüsselt gespeichert und nach dem Speichern nicht wieder ausgegeben — auch nicht an den Kunden selbst; sichtbar bleiben die letzten vier Zeichen zur Wiedererkennung. Setzen und Entfernen darf nur die Rolle „Chef“; Zeitpunkt und Person werden protokolliert.
Datenminimierung. Standortdaten werden nur beim Stempeln erhoben, nicht im Hintergrund verfolgt. Abwesenheiten werden ohne Angabe von Gründen gespeichert. Ausgeschiedene Mitarbeiter werden stillgelegt statt gelöscht, damit Zeiten und Belege nachvollziehbar bleiben.