Auftragsverarbeitungsvertrag (AVV)

Version 1.0 · Stand: 11. Oktober 2026

Diese Vereinbarung gilt zwischen

BS Labs UG (haftungsbeschränkt), Forsthauswinkel 6, 45891 Gelsenkirchen, Deutschland (nachfolgend „Auftragnehmer“)

und dem Kunden, der AuftragsDesk für sein Unternehmen bestellt oder nutzt und in der Bestellung bzw. im Kundenkonto als Vertragspartner angegeben ist (nachfolgend „Auftraggeber“).

Sie kommt zustande, wenn der Auftraggeber sie im Bestell- bzw. Registrierungsvorgang oder im Kundenkonto ausdrücklich bestätigt. Der Zeitpunkt der Bestätigung und die Version dieses Vertrags werden gespeichert. Sie ergänzt den Nutzungsvertrag über AuftragsDesk (siehe AGB) und gilt für dessen gesamte Laufzeit.

Präambel

Der Auftragnehmer stellt dem Auftraggeber die Software „AuftragsDesk“ (Webanwendung, Schnittstellen und Android-App) zur Verfügung, mit der der Auftraggeber Aufträge, Termine, Einsätze, Arbeitszeiten, Berichte, Material, Fahrzeuge, Werkzeuge, Personal und Abrechnung seines Betriebs verwaltet. Dabei verarbeitet der Auftragnehmer personenbezogene Daten im Auftrag des Auftraggebers. Die Parteien schließen diese Vereinbarung, um die Anforderungen des Art. 28 DSGVO zu erfüllen.

§ 1 Gegenstand, Dauer und Rollen

1. Gegenstand ist die Verarbeitung personenbezogener Daten, die der Auftraggeber und seine Benutzer in AuftragsDesk erfassen, hochladen oder erzeugen („Auftraggeberdaten“), durch den Auftragnehmer im Rahmen des Nutzungsvertrags. Art, Zweck, Datenarten und betroffene Personen ergeben sich aus Anlage 1.
2. Der Auftraggeber ist Verantwortlicher im Sinne von Art. 4 Nr. 7 DSGVO, der Auftragnehmer ist Auftragsverarbeiter im Sinne von Art. 4 Nr. 8 DSGVO. Für Daten, die der Auftragnehmer als eigener Verantwortlicher verarbeitet (insbesondere Vertrags-, Rechnungs- und Zahlungsdaten des Auftraggebers, Daten der Website sowie Anmelde- und Sicherheitsdaten zum Schutz der Plattform), gilt die Datenschutzerklärung; diese Vereinbarung betrifft sie nicht.
3. Die Laufzeit entspricht der Laufzeit des Nutzungsvertrags (einschließlich der Testphase). Die Pflichten nach § 10 gelten darüber hinaus, solange der Auftragnehmer noch Auftraggeberdaten besitzt.

§ 2 Weisungen des Auftraggebers

1. Der Auftragnehmer verarbeitet die Auftraggeberdaten ausschließlich auf dokumentierte Weisung des Auftraggebers, es sei denn, er ist durch Unionsrecht oder das Recht eines Mitgliedstaats zu einer anderen Verarbeitung verpflichtet; in diesem Fall teilt er dem Auftraggeber die rechtlichen Anforderungen vor der Verarbeitung mit, sofern das Recht dies nicht wegen eines wichtigen öffentlichen Interesses verbietet (Art. 28 Abs. 3 lit. a DSGVO).
2. Die Weisungen sind durch diese Vereinbarung, den Nutzungsvertrag und die Bedienung der Software durch die Benutzer des Auftraggebers (Eingaben, Einstellungen, Exporte, Löschungen) erteilt. Zusätzliche oder abweichende Einzelweisungen bedürfen der Textform (z. B. E-Mail an service@hausservice-desk.de) und werden vom Auftragnehmer umgesetzt, soweit sie zumutbar und mit dem Leistungsumfang vereinbar sind.
3. Ist der Auftragnehmer der Ansicht, dass eine Weisung gegen die DSGVO oder andere Datenschutzvorschriften verstößt, weist er den Auftraggeber unverzüglich darauf hin. Er darf die Ausführung bis zur Bestätigung oder Änderung der Weisung aussetzen.

§ 3 Pflichten des Auftragnehmers

1. Vertraulichkeit. Der Auftragnehmer setzt für die Verarbeitung nur Personen ein, die auf die Vertraulichkeit verpflichtet wurden oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen, und die er mit den einschlägigen Datenschutzvorschriften vertraut gemacht hat (Art. 28 Abs. 3 lit. b, Art. 29, Art. 32 Abs. 4 DSGVO).
2. Sicherheit der Verarbeitung. Der Auftragnehmer trifft die in Anlage 2 beschriebenen technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO und entwickelt sie entsprechend dem Stand der Technik weiter. Wesentliche Änderungen, die das Schutzniveau absenken, sind nicht zulässig.
3. Betroffenenrechte. Der Auftragnehmer unterstützt den Auftraggeber im Rahmen des Zumutbaren mit geeigneten technischen und organisatorischen Maßnahmen bei der Beantwortung von Anträgen betroffener Personen nach Kapitel III DSGVO. Die Software bietet dafür unter anderem Funktionen zum Bearbeiten, Exportieren und Löschen von Daten. Wendet sich eine betroffene Person direkt an den Auftragnehmer und lässt sich aus der Anfrage der Auftraggeber erkennen, leitet der Auftragnehmer sie unverzüglich weiter; er beantwortet sie nicht selbst.
4. Meldung von Datenschutzverletzungen. Der Auftragnehmer informiert den Auftraggeber unverzüglich, in der Regel innerhalb von 48 Stunden nach Bekanntwerden, wenn eine Verletzung des Schutzes der Auftraggeberdaten (Art. 4 Nr. 12 DSGVO) vorliegt, und liefert die zur Meldung nach Art. 33 und 34 DSGVO erforderlichen Informationen, soweit sie ihm vorliegen. Die Meldung richtet sich an die im Kundenkonto hinterlegte E-Mail-Adresse.
5. Unterstützung bei Pflichten des Auftraggebers. Der Auftragnehmer unterstützt den Auftraggeber unter Berücksichtigung der Art der Verarbeitung und der ihm zur Verfügung stehenden Informationen bei der Einhaltung der Pflichten aus Art. 32 bis 36 DSGVO (Sicherheit, Meldepflichten, Datenschutz-Folgenabschätzung, Konsultation der Aufsichtsbehörde).
6. Verzeichnis. Der Auftragnehmer führt ein Verzeichnis aller im Auftrag durchgeführten Verarbeitungstätigkeiten nach Art. 30 Abs. 2 DSGVO und stellt es der Aufsichtsbehörde auf Anfrage zur Verfügung.
7. Datenschutzbeauftragter. Ansprechpartner für Datenschutzfragen ist service@hausservice-desk.de.
8. Mandantentrennung. Der Auftragnehmer verarbeitet die Daten verschiedener Auftraggeber logisch getrennt (Anlage 2, Ziffer 7). Zugriffe seiner Mitarbeiter auf Auftraggeberdaten erfolgen nur, soweit sie für Betrieb, Support oder Fehlerbehebung erforderlich sind.

§ 4 Support-Zugriff

1. Zur Fehleranalyse und Hilfe kann sich ein berechtigter Mitarbeiter des Auftragnehmers in das Konto des Auftraggebers „aufschalten“ (Support-Aufschaltung). Das geschieht nur im Zusammenhang mit einer Supportanfrage des Auftraggebers oder zur Behebung einer Störung.
2. Die Aufschaltung wird im Aktivitätsprotokoll des Auftraggebers mit Beginn, Ende und handelnder Person festgehalten; Handlungen sind als „Support“ gekennzeichnet. Die Aufschaltung endet spätestens nach 30 Minuten ohne Bedienung. Der Auftraggeber kann das Protokoll jederzeit einsehen.

§ 5 Pflichten des Auftraggebers

1. Der Auftraggeber ist für die Rechtmäßigkeit der Verarbeitung der Auftraggeberdaten verantwortlich, einschließlich der Rechtsgrundlagen (Art. 6 DSGVO, bei Beschäftigtendaten § 26 BDSG, bei besonderen Kategorien Art. 9 DSGVO), der Information der betroffenen Personen (Art. 13, 14 DSGVO) und der Wahrung ihrer Rechte.
2. Der Auftraggeber verpflichtet sich, nur die Daten zu erfassen, die er für seine Zwecke benötigt, und besonders schützenswerte Daten (z. B. Gesundheitsdaten, etwa die Abwesenheitsart „Krankheit“, oder Unterlagen in der Personalakte) nur im erforderlichen Umfang und mit eingeschränkten Zugriffsrechten zu führen. Die Software stellt dafür getrennte Rechte (z. B. „Personalakte einsehen“) bereit; ihre Vergabe liegt beim Auftraggeber.
3. Der Auftraggeber verwaltet die Zugänge und Berechtigungen seiner Benutzer, wählt sichere Passwörter, schaltet bei Bedarf den zweiten Faktor als Pflicht ein und entfernt Zugänge ausgeschiedener Mitarbeiter unverzüglich.
4. Der Auftraggeber informiert den Auftragnehmer unverzüglich, wenn er in den Ergebnissen der Verarbeitung Fehler oder Verstöße gegen Datenschutzvorschriften feststellt.
5. Der Auftraggeber benennt dem Auftragnehmer eine aktuelle Kontakt-E-Mail-Adresse für Mitteilungen nach dieser Vereinbarung (im Kundenkonto).

§ 6 Unterauftragsverhältnisse

1. Der Auftraggeber erteilt die allgemeine Genehmigung, zur Erbringung der Leistungen weitere Auftragsverarbeiter (Unterauftragnehmer) einzusetzen. Die zum Zeitpunkt des Vertragsschlusses eingesetzten Unterauftragnehmer sind in Anlage 3 aufgeführt und gelten als genehmigt.
2. Der Auftragnehmer informiert den Auftraggeber über beabsichtigte Hinzufügungen oder Ersetzungen von Unterauftragnehmern mindestens 30 Tage vorher in Textform (E-Mail an die Kontaktadresse oder Hinweis in der Anwendung). Der Auftraggeber kann innerhalb dieser Frist aus wichtigem datenschutzrechtlichem Grund widersprechen. Wird der Widerspruch nicht ausgeräumt, können beide Parteien den Nutzungsvertrag zum Zeitpunkt des geplanten Wechsels außerordentlich kündigen; im Voraus bezahlte Entgelte für die Zeit danach werden anteilig erstattet.
3. Der Auftragnehmer verpflichtet jeden Unterauftragnehmer vertraglich auf dieselben Datenschutzpflichten, die in dieser Vereinbarung festgelegt sind, insbesondere hinreichende Garantien für geeignete technische und organisatorische Maßnahmen. Kommt ein Unterauftragnehmer seinen Datenschutzpflichten nicht nach, haftet der Auftragnehmer gegenüber dem Auftraggeber für die Einhaltung der Pflichten dieses Unterauftragnehmers.
4. Vom Auftraggeber veranlasste Dienste Dritter (Anlage 4), z. B. die Anbindung des eigenen E-Mail-, Cloud-Speicher- oder Buchhaltungsdienstes, sind keine Unterauftragsverhältnisse des Auftragnehmers. Der Auftraggeber entscheidet selbst über ihre Aktivierung und bleibt dafür verantwortlich; der Auftragnehmer überträgt Daten dorthin nur auf seine Veranlassung.

§ 7 Verarbeitung außerhalb der EU / des EWR

Der Auftragnehmer verarbeitet die Auftraggeberdaten ausschließlich in Rechenzentren innerhalb der Europäischen Union bzw. des Europäischen Wirtschaftsraums (derzeit Deutschland). Eine Übermittlung in ein Drittland findet nur statt, wenn der Auftraggeber sie selbst veranlasst (Anlage 4) oder wenn der Auftragnehmer sie dem Auftraggeber vorher in Textform mitteilt und die Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind (z. B. Angemessenheitsbeschluss oder Standardvertragsklauseln).

§ 8 Kontrollrechte und Nachweise

1. Der Auftragnehmer stellt dem Auftraggeber auf Anfrage alle Informationen zur Verfügung, die zum Nachweis der Einhaltung der in dieser Vereinbarung und in Art. 28 DSGVO niedergelegten Pflichten erforderlich sind (z. B. Beschreibung der Maßnahmen nach Anlage 2, Auskünfte, Zertifikate oder Prüfberichte der eingesetzten Rechenzentren).
2. Der Auftraggeber oder ein von ihm beauftragter, zur Verschwiegenheit verpflichteter Prüfer darf die Einhaltung dieser Vereinbarung nach vorheriger Anmeldung mit angemessener Frist (in der Regel mindestens 14 Tage), während der üblichen Geschäftszeiten und ohne Störung des Betriebs prüfen, höchstens einmal je Kalenderjahr, außer bei konkretem Anlass (z. B. Datenschutzverletzung). Betriebs- und Geschäftsgeheimnisse sowie die Daten anderer Auftraggeber sind zu wahren. Prüfaufwand des Auftragnehmers über einen halben Tag hinaus kann nach Aufwand vergütet werden.
3. Aufsichtsbehörden dürfen den Auftragnehmer im Rahmen ihrer gesetzlichen Befugnisse prüfen; der Auftragnehmer wirkt dabei mit.

§ 9 Mitteilungspflichten bei Anfragen Dritter

Behörden oder sonstige Dritte, die Auskunft über Auftraggeberdaten verlangen, verweist der Auftragnehmer – soweit rechtlich zulässig – an den Auftraggeber. Der Auftragnehmer informiert den Auftraggeber unverzüglich über solche Anfragen, wenn dem keine rechtliche Verpflichtung entgegensteht.

§ 10 Rückgabe und Löschung nach Vertragsende

1. Der Auftraggeber kann seine Daten jederzeit selbst exportieren (Datenexport im Kundenkonto, Berichte als PDF/ZIP, CSV-Exporte). Auf Wunsch unterstützt der Auftragnehmer die Herausgabe in einem gängigen, maschinenlesbaren Format.
2. Nach Beendigung des Nutzungsvertrags löscht der Auftragnehmer die Auftraggeberdaten einschließlich Dateien und Fotos spätestens 30 Tage nach Vertragsende oder gibt sie auf Wunsch vorher heraus, es sei denn, eine gesetzliche Pflicht zur Speicherung besteht. Der Auftraggeber kann die vollständige Löschung seiner Firma auch selbst oder durch Anforderung beim Auftragnehmer auslösen. Die Löschung wird auf Anfrage bestätigt.
3. Sicherungskopien werden nach spätestens 14 Tagen automatisch überschrieben (siehe Anlage 2, Ziffer 8) und enthalten gelöschte Daten längstens bis dahin; bis dahin werden sie nicht für andere Zwecke verwendet.
4. Dokumentationen, die dem Nachweis der ordnungsgemäßen Verarbeitung dienen, bewahrt der Auftragnehmer entsprechend den Aufbewahrungsfristen über das Vertragsende hinaus auf; er kann sie zu seiner Entlastung dem Auftraggeber übergeben.

§ 11 Haftung

Für die Haftung der Parteien gelten die gesetzlichen Vorschriften, insbesondere Art. 82 DSGVO; im Innenverhältnis gelten die Haftungsregelungen des Nutzungsvertrags (AGB), soweit zwingendes Recht nicht entgegensteht. Die betroffene Person kann sich unabhängig davon an jede der Parteien wenden.

§ 12 Schlussbestimmungen

1. Änderungen und Ergänzungen dieser Vereinbarung bedürfen der Textform. Der Auftragnehmer darf die Anlagen und diese Vereinbarung anpassen, wenn es zur Erfüllung gesetzlicher Vorgaben oder wegen technischer Weiterentwicklung erforderlich ist und das Schutzniveau nicht sinkt; er informiert den Auftraggeber darüber mindestens 30 Tage vorher. Widerspricht der Auftraggeber nicht innerhalb dieser Frist, gilt die geänderte Fassung als vereinbart; auf diese Folge weist der Auftragnehmer in der Mitteilung hin.
2. Bei Widersprüchen zwischen dieser Vereinbarung und dem Nutzungsvertrag geht diese Vereinbarung vor, soweit es um den Schutz personenbezogener Daten geht.
3. Es gilt deutsches Recht unter Ausschluss des UN-Kaufrechts. Ausschließlicher Gerichtsstand ist, soweit zulässig, Gelsenkirchen.
4. Sollten einzelne Bestimmungen unwirksam sein oder werden, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt.

---

Anlage 1 – Gegenstand, Art und Zweck der Verarbeitung, Datenarten und betroffene Personen

1. Gegenstand und Zweck

Bereitstellung und Betrieb der Software AuftragsDesk als Dienst (Software as a Service): Speicherung, Verwaltung, Anzeige, Übermittlung zwischen Weboberfläche und Android-App, Auswertung und Löschung der Daten, die der Auftraggeber und seine Benutzer erfassen; Erzeugung von Dokumenten (z. B. Auftragsberichte als PDF), Versand von E-Mails im Namen des Auftraggebers, Datensicherung, Support und Fehlerbehebung.

2. Art der Verarbeitung

Erheben (durch Eingabe der Benutzer), Speichern, Ordnen, Abfragen, Verwenden, Übermitteln an berechtigte Benutzer und an vom Auftraggeber aktivierte Schnittstellen, Einschränken, Exportieren, Löschen, Sichern.

3. Arten personenbezogener Daten

• Stammdaten von Kunden und Auftraggebern des Auftraggebers (Einsatzorte): Name, Anschrift, Ansprechpartner, Telefon, E-Mail, Ticket- und Auftragsnummern, Objekt- und Zugangsinformationen.
• Auftragsdaten: Beschreibung, Termine, Status und Verlauf, Zuweisungen, Zusatzfelder, Dokumente (Angebote, Rechnungen, Protokolle).
• Auftragsberichte: Arbeitsbeschreibung, Arbeitszeit, verwendetes Material, Fotos (können Personen oder Wohnbereiche zeigen), Unterschriften (Bild) einschließlich Name und Zeitpunkt, Vermerke bei fehlender Unterschrift.
• Beschäftigtendaten (Benutzer und Personal des Auftraggebers): Name, Benutzername, geschäftliche und private Kontaktdaten, Anschrift, Geburtsdatum, Foto optional, Funktion, Anstellungsart, Eintritt/Austritt, Personalnummer, Wochenstunden, Urlaubsanspruch und -konto, Notfallkontakt (Daten einer dritten Person), Notizen, Nachweise mit Ablaufdatum (z. B. Führerschein, Schulungen), abgelegte Personalunterlagen, Arbeitszeiten (Beginn, Ende, Pausen, Tätigkeit), Dienstplan, Termine, Abwesenheiten (Urlaub, Krankheit, Sonstiges), Zugriffs- und Änderungsprotokolle.
• Besondere Kategorien (Art. 9 DSGVO), soweit der Auftraggeber sie erfasst: Angabe der Abwesenheitsart „Krankheit“ (Gesundheitsdaten) und Inhalte der Personalakte, die Gesundheitsdaten enthalten können (z. B. Bescheinigungen). Der Auftraggeber sorgt für die Rechtsgrundlage (z. B. § 26 Abs. 3 BDSG) und beschränkt Zugriffe.
• Ressourcen mit Personenbezug: Fahrzeuge (z. B. Kennzeichen, Zuordnung zu Personen), Werkzeuge und Material mit Zuordnung zu Personen.
• Kommunikationsdaten: E-Mail-Adressen von Empfängern, Inhalt versandter Berichte und Benachrichtigungen, Support-Tickets mit Anhängen.
• Nutzungs- und Protokolldaten: Anmeldezeitpunkte, Aktivitätsprotokoll (wer hat wann was geändert), technische Protokolle, IP-Adressen, API-Tokens (gehasht), Einstellungen.
• Standortdaten: Die Android-App kann für die Navigation zum Einsatzort den Standort des Geräts verwenden; er wird nicht auf den Servern des Auftragnehmers gespeichert (siehe Anlage 4 zu den dabei genutzten Diensten).

4. Kategorien betroffener Personen

• Kunden, Auftraggeber, Ansprechpartner und Endkunden des Auftraggebers sowie Personen, die am Einsatzort anwesend oder abgebildet sind;
• Mitarbeiter, Auszubildende, Bewerber, freie Mitarbeiter und sonstige Beschäftigte des Auftraggebers;
• Notfallkontakte der Beschäftigten;
• Lieferanten, Vertragspartner und sonstige Kommunikationspartner des Auftraggebers.

---

Anlage 2 – Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

Die folgenden Maßnahmen setzt der Auftragnehmer für AuftragsDesk um. Maßnahmen der eingesetzten Rechenzentren (Anlage 3) kommen hinzu.

1. Zutrittskontrolle (Gebäude und Räume)

• Die Server stehen in Rechenzentren der Unterauftragnehmer in Deutschland mit Zutrittskontrolle, Videoüberwachung und Protokollierung; der Auftragnehmer hat selbst keinen Zugang zu den Räumen.
• Die Arbeitsplätze des Auftragnehmers sind in verschlossenen Räumen; Geräte sind passwortgeschützt und mit Bildschirmsperre abgesichert.

2. Zugangskontrolle (Systeme)

• Anmeldung mit Benutzername oder E-Mail-Adresse und Passwort; Passwörter werden ausschließlich als Hash (BCrypt, Kostenfaktor 12) gespeichert, nie im Klartext. Mindestlänge 12 Zeichen.
• Zwei-Faktor-Anmeldung (Authenticator-App/TOTP, Wiederherstellungscodes) und Passkeys (WebAuthn) für alle Benutzer; der Auftraggeber kann sie für seine Firma verpflichtend machen. Für den Auftragnehmer selbst ist der zweite Faktor für Team-Zugänge vorgesehen und in der Produktionsumgebung verpflichtend einzuschalten.
• Schutz vor Passwort-Raten: zeitlich gestaffelte Sperren nach Fehlversuchen je Benutzername und je IP-Adresse; Begrenzung von Passwort-Zurücksetzen-Anfragen; optional Bot-Schutz (Cloudflare Turnstile) bei Registrierung und Kontaktformular.
• E-Mail-Bestätigung neuer Konten; Sicherheitshinweise per E-Mail bei sicherheitsrelevanten Änderungen (z. B. Zurücksetzen des zweiten Faktors).
• Sitzungen werden serverseitig geführt; Cookies sind nur über HTTPS erreichbar (Secure), nicht per Skript lesbar (HttpOnly) und mit SameSite geschützt. Berechtigungen laufender Sitzungen werden regelmäßig (spätestens nach 30 Sekunden) mit der Datenbank abgeglichen; gesperrte Zugänge werden abgemeldet.
• Zugriff des Auftragnehmers auf Kundenfirmen nur über die protokollierte Support-Aufschaltung (§ 4), nicht über gemeinsame Zugangsdaten.
• Server-Betrieb: Firewall (nur SSH sowie HTTP/HTTPS offen), Anwendung und Datenbank nur lokal erreichbar hinter einem TLS-terminierenden Webserver.

3. Zugriffskontrolle (Berechtigungen)

• Rollen- und Rechtekonzept je Firma: feingranulare Rechte (u. a. Aufträge, Berichte, Zeiterfassung, Personal, Benutzerverwaltung, Abrechnung); zusätzlich gesondertes Recht „Personalakte einsehen“ für besonders schützenswerte Personaldaten. Mitarbeiter sehen und ändern nur ihre eigenen Stamm- und Personaldaten.
• Zugriffe des Auftragnehmerpersonals sind nach Funktionsbereichen getrennt (Support, Kunden, Abrechnung, Produkt, Betrieb, Aufschalten, Team-Verwaltung); Änderungen der Rechte wirken sofort.
• Zugangsdaten zu angebundenen Diensten (z. B. SMTP, Buchhaltung, Cloud-Speicher) werden verschlüsselt gespeichert (AES-256-GCM, Schlüssel außerhalb der Datenbank).

4. Weitergabekontrolle

• Verschlüsselte Übertragung aller Verbindungen (TLS) zwischen Browser/App und Server; die App akzeptiert für den Betrieb HTTPS und weist bei unverschlüsselten Verbindungen deutlich darauf hin.
• Datenübertragung an Dritte nur auf Veranlassung des Auftraggebers (Schnittstellen, E-Mail-Versand, Exporte); Datenexporte werden protokolliert.
• Öffentliche Links (z. B. zur Unterschrift des Kunden) sind zufällig, auf sieben Tage begrenzt, nur einmal verwendbar und enthalten nur die für die Aufgabe nötigen Angaben; die Unterschriftsseite zeigt dem Kunden keine internen Angaben wie Arbeitszeit.
• Der Auftragsbericht gibt es in einer Kundenfassung ohne interne Angaben (Arbeitszeit, Material, Zuweisung) und in einer internen Fassung.
• Schutz gegen Clickjacking (X-Frame-Options) und CSRF-Schutz für alle zustandsändernden Anfragen; Content-Security-Policy (derzeit im Beobachtungsmodus).

5. Eingabekontrolle

• Aktivitätsprotokoll je Firma (wer hat wann welche Daten angelegt, geändert, gelöscht, exportiert oder freigegeben); Handlungen des Auftragnehmerpersonals während einer Aufschaltung sind als Support gekennzeichnet und dem handelnden Mitarbeiter zugeordnet.
• Statusverläufe bei Aufträgen und Änderungsverlauf bei Berichten.

6. Auftragskontrolle

• Verarbeitung nur nach Weisung des Auftraggebers (§ 2); Unterauftragnehmer werden sorgfältig ausgewählt und vertraglich nach Art. 28 DSGVO gebunden.
• Betroffenenanfragen, Auskünfte und Löschungen werden als Vorgang mit Fristüberwachung dokumentiert.
• Hochgeladene Dateien werden auf zulässige Typen, Größe und Dateikopf geprüft und mit bereinigten Namen gespeichert.

7. Trennungskontrolle

• Mandantentrennung: Jeder Datensatz gehört einer Firma (Mandant); alle Abfragen laufen automatisch durch einen Mandantenfilter; Konten mehrerer Firmen sind ausdrücklich getrennt. Dateien werden unter nicht erratbaren Kennungen gespeichert und nur über die Anwendung nach Mandantenprüfung ausgeliefert.
• Trennung von Entwicklungs-, Test- und Produktionssystem; keine Produktivdaten in Tests.

8. Verfügbarkeit und Belastbarkeit; Wiederherstellung

• Tägliche automatische Sicherung der Datenbank und des Dateispeichers (Fotos, Unterschriften, Dokumente) mit einer Aufbewahrung von 14 Tagen; Wiederherstellung und Prüfung sind im Betriebshandbuch beschrieben. Vor jedem Update wird zusätzlich gesichert.
• Betriebsüberwachung (Datenbank, Speicherplatz, Speicherauslastung, geplante Läufe, Fehler) mit Warnmeldungen per E-Mail.
• Wartungsmeldungen an Benutzer, geplante Updates mit Flyway-Migrationen; Rückfallstrategie über Sicherungen.
• Rechenzentren mit unterbrechungsfreier Stromversorgung, Klimatisierung, Brandschutz und redundanter Netzanbindung (Maßnahmen der Unterauftragnehmer).

9. Pseudonymisierung und Verschlüsselung

• Verschlüsselung der Übertragung (TLS); Verschlüsselung gespeicherter Zugangsdaten und Authenticator-Geheimnisse; Passwörter und API-Tokens als Hash.
• Bei Löschung von Benutzern werden personenbezogene Angaben anonymisiert, Protokolle bleiben ohne Personenbezug erhalten, sofern Aufbewahrungsfristen es verlangen.

10. Verfahren zur regelmäßigen Überprüfung, Bewertung und Evaluierung

• Automatisierte Tests (u. a. Berechtigungen, Mandantentrennung, Sicherheitsfunktionen) bei jeder Änderung; Prüfbericht zur Sicherheit mit Maßnahmenverfolgung.
• Bibliotheken (Bootstrap, Font Awesome, Chart.js) werden vom eigenen Server ausgeliefert; es werden keine Inhalte von Fremdservern nachgeladen.
• Datenschutz-Management: Verzeichnis der Verarbeitungstätigkeiten, Meldeprozess für Datenschutzverletzungen, Schulung und Verpflichtung der Beteiligten.

---

Anlage 3 – Unterauftragnehmer

Stand: 11. Oktober 2026. Die Verarbeitung findet ausschließlich in der Europäischen Union statt.

Unternehmen / Sitz	Leistung	Daten	Ort der Verarbeitung
dataforest GmbH, Taunusstraße 52, 65830 Kriftel, Deutschland	Bereitstellung von informationstechnischer Infrastruktur (Rechenzentrum, Server, Netzwerk für Anwendung, Datenbank, Dateispeicher und Sicherungen)	Alle Auftraggeberdaten	Deutschland
Tom Gewiese (Skrime), Obernaglbach 2, 94259 Kirchberg im Wald, Deutschland	Bereitstellung von informationstechnischer Infrastruktur (Server, Netzwerk, Hosting-Leistungen einschließlich E-Mail-Versand der Systemnachrichten)	Alle Auftraggeberdaten, soweit auf diesen Systemen verarbeitet, sowie E-Mail-Adressen und Inhalte versandter Nachrichten	Deutschland

---

Anlage 4 – Vom Auftraggeber veranlasste Dienste Dritter (keine Unterauftragnehmer)

Diese Dienste setzt der Auftraggeber in eigener Verantwortung ein, indem er sie aktiviert oder nutzt. Der Auftragnehmer übermittelt nur die Daten, die für die jeweilige Funktion nötig sind. Der Auftraggeber schließt, soweit erforderlich, eigene Verträge mit den Anbietern und prüft die Zulässigkeit (einschließlich einer Übermittlung in Drittländer).

• E-Mail-Versand: Gmail (Google Ireland Ltd.), Microsoft 365 (Microsoft Ireland Operations Ltd.) oder ein eigener SMTP-Server – Versand von Berichten und Benachrichtigungen über das Postfach des Auftraggebers.
• Gespiegelte Ablage in Cloud-Speichern: Microsoft OneDrive, Google Drive, Dropbox – Spiegelung von Dokumenten und Berichten.
• Rechnungs- und Buchhaltungsanbindung: sevDesk (sevDesk GmbH), Lexware Office und orgaMAX (Haufe Service Center GmbH) – Übergabe von Kunden- und Rechnungsdaten.
• Android-App, Navigation: Für Kartenansicht und Route zum Einsatzort ruft die App Kartenkacheln von OpenStreetMap, Adresssuche (Nominatim, OpenStreetMap Foundation) und Routenberechnung (OSRM) auf; dabei werden Zieladresse bzw. Koordinaten und, wenn der Benutzer den Standort freigibt, der Standort an diese Dienste übertragen. Beim Öffnen der Route in Google Maps gelten dessen Bedingungen. Der Benutzer kann den Standortzugriff in den Geräteeinstellungen verweigern; dann wird nur das Ziel angezeigt.