Vertrag zur Auftragsverarbeitung

zwischen dem Nutzer von Fertig (Verantwortlicher, „Auftraggeber“) und der Softure UG (haftungsbeschränkt), Scharfenberger Str. 28, 13505 Berlin (Auftragsverarbeiter, „Auftragnehmer“), gemäß Art. 28 DSGVO. Dieser Vertrag ist Bestandteil der AGB und wird in elektronischer Form geschlossen (Art. 28 Abs. 9 DSGVO); Version, Zeitpunkt und zustimmende Person werden gespeichert.

1. Gegenstand und Dauer

Der Auftragnehmer verarbeitet personenbezogene Daten im Auftrag des Auftraggebers, um die Software Fertig bereitzustellen (Angebote, Rechnungen, Baustellen, Stundenzettel, Ausgaben, Online-Annahme von Angeboten, KI-Assistent). Die Dauer entspricht der Laufzeit des Nutzungsvertrags.

2. Art der Daten und betroffene Personen

• Kunden des Auftraggebers: Name, Anschrift, Kontaktdaten, Inhalte von Angeboten und Rechnungen, Zahlungen, Annahme- und Widerrufserklärungen (Name, Zeitpunkt, IP-Adresse), Unterschriften auf Stundenzetteln.
• Mitarbeiter des Auftraggebers: Name, Telefonnummer, Tätigkeit, Arbeitszeiten auf Stundenzetteln.
• Sonstiges: Fotos und Belege von Baustellen, Eingaben an den Assistenten (Text, Spracheingaben als Transkript).

Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO) sind nicht Gegenstand der Verarbeitung; der Auftraggeber gibt solche Daten nicht ein.

3. Weisungen

Der Auftragnehmer verarbeitet die Daten nur auf dokumentierte Weisung des Auftraggebers, auch in Bezug auf Übermittlungen in Drittländer, sofern er nicht gesetzlich zur Verarbeitung verpflichtet ist; in diesem Fall teilt er dem Auftraggeber dies vorher mit, soweit gesetzlich zulässig (Art. 28 Abs. 3 lit. a DSGVO). Die Nutzung der App gilt als Weisung. Ist der Auftragnehmer der Ansicht, dass eine Weisung gegen Datenschutzvorschriften verstößt, informiert er den Auftraggeber unverzüglich.

Die Unterauftragsverarbeiter für KI-Dienste verwenden die übermittelten Daten nach ihren Vertragsbedingungen nicht zum Training ihrer Modelle. Es werden nur die Daten übermittelt, die für die jeweilige Aufgabe erforderlich sind.

4. Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

• Hosting in Rechenzentren in Deutschland; Übertragung ausschließlich verschlüsselt (TLS).
• Mandantentrennung auf Datenbankebene (Row-Level-Security): jeder Betrieb sieht nur seine eigenen Daten.
• Anmeldung per Einmalcode, begrenzte Anmeldeversuche, Sitzungen mit sicheren Cookies.
• Unveränderbare, protokollierte Festschreibung von Rechnungen; manipulationssicheres Änderungsprotokoll.
• Tägliche Sicherungen; verschlüsselte Kopie außerhalb des Servers; regelmäßige Wiederherstellungstests.
• Zugriff auf Server nur durch die Geschäftsführung, über Schlüssel-Authentifizierung.

5. Unterauftragsverarbeiter

Der Auftraggeber stimmt dem Einsatz folgender Unterauftragsverarbeiter zu. Der Auftragnehmer erlegt ihnen vertraglich dieselben Datenschutzpflichten auf (Art. 28 Abs. 4 DSGVO). Über beabsichtigte Änderungen informiert er den Auftraggeber mindestens 30 Tage vorher; der Auftraggeber kann widersprechen und in diesem Fall den Vertrag zum Wirksamwerden der Änderung kündigen.

• Contabo GmbH, München: Hosting von Anwendung und Datenbank. Ort: Deutschland.
• Hetzner Online GmbH, Gunzenhausen: Verschlüsselte Datensicherung (Backups). Ort: Deutschland.
• Sendinblue SAS (Brevo), Paris: Versand von E-Mails (Anmeldecodes, Dokumente, Bestätigungen). Ort: Frankreich (EU).
• Anthropic Ireland, Limited, Dublin: KI-Assistent (Verarbeitung von Texteingaben und der dafür nötigen Daten). Ort: Irland (EU); Weiterübermittlung an Anthropic PBC (USA) auf Grundlage von EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO).
• Cantab Research Limited (Speechmatics), Cambridge: Spracherkennung (Audio → Text); Verarbeitung in Rechenzentren der EU, Löschung beim Anbieter nach spätestens 7 Tagen, keine Verwendung zum Training. Ort: EU (Verarbeitung); Sitz im Vereinigten Königreich, für das ein Angemessenheitsbeschluss der EU-Kommission besteht (Art. 45 DSGVO).
• OpenAI Ireland Ltd, Dublin: Spracherkennung als Ersatz, wenn Speechmatics nicht erreichbar ist (die Aufnahme wird von uns nicht gespeichert). Ort: Irland (EU); Weiterübermittlung an OpenAI, L.L.C. (USA) auf Grundlage von EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO).

Eine Kopie der Standardvertragsklauseln erhält der Auftraggeber auf Anfrage.

6. Unterstützung

Der Auftragnehmer unterstützt den Auftraggeber mit geeigneten Maßnahmen bei der Beantwortung von Anträgen betroffener Personen (Art. 12–22 DSGVO) sowie bei der Einhaltung der Pflichten aus Art. 32–36 DSGVO (Sicherheit, Meldung von Verletzungen, Datenschutz-Folgenabschätzung, vorherige Konsultation).

7. Verletzungen des Schutzes personenbezogener Daten

Der Auftragnehmer meldet dem Auftraggeber eine Verletzung des Schutzes personenbezogener Daten unverzüglich, spätestens innerhalb von 48 Stunden nach Kenntnis, mit den Angaben nach Art. 33 Abs. 3 DSGVO, soweit verfügbar.

8. Nachweise und Kontrollen

Der Auftragnehmer stellt dem Auftraggeber alle erforderlichen Informationen zum Nachweis der Einhaltung dieser Pflichten zur Verfügung und ermöglicht Überprüfungen einschließlich Inspektionen durch den Auftraggeber oder einen von ihm beauftragten Prüfer (Art. 28 Abs. 3 lit. h DSGVO). Inspektionen werden mit angemessener Frist angekündigt und während der Geschäftszeiten durchgeführt.

9. Löschung und Rückgabe

Nach Vertragsende gibt der Auftragnehmer nach Wahl des Auftraggebers alle Daten zurück (Export als PDF, XML und CSV) oder löscht sie, soweit keine gesetzliche Pflicht zur Speicherung besteht (Art. 28 Abs. 3 lit. g DSGVO). Die Daten stehen nach Vertragsende 30 Tage zum Export bereit und werden danach gelöscht; Sicherungskopien werden im regulären Rotationszyklus überschrieben.

10. Vertraulichkeit

Alle Personen mit Zugriff auf die Daten sind zur Vertraulichkeit verpflichtet oder unterliegen einer angemessenen gesetzlichen Verschwiegenheitspflicht (Art. 28 Abs. 3 lit. b DSGVO).