Vertrag zur Auftragsverarbeitung
nach Art. 28 DSGVO · Stand: Oktober 2026
zwischen dem Betrieb, der StatusHeld nutzt ("Verantwortlicher"), und [Firmenname],[Straße], [PLZ Ort] ("Auftragsverarbeiter"). Der Vertrag kommt zustande, wenn der Inhaber des Betriebs ihm in der Verwaltung zustimmt.
1. Gegenstand und Dauer
Der Auftragsverarbeiter stellt dem Verantwortlichen die Software StatusHeld bereit, mit der dieser seinen Endkunden ein Kundenportal anbietet. Dabei verarbeitet der Auftragsverarbeiter personenbezogene Daten im Auftrag. Die Dauer entspricht der Laufzeit des Hauptvertrags (AGB).
2. Art, Zweck und Umfang
| Zweck | Bereitstellung des Kundenportals: Anzeige von Projektstand, Terminen, Dokumenten, Fotos und Zahlungen, Anmeldung, Versand von Benachrichtigungen, Entgegennahme von Empfehlungen und Anfragen. |
|---|---|
| Art der Verarbeitung | Speichern, Anzeigen, Übermitteln per E-Mail, Löschen. |
| Arten von Daten | Name, Anschrift, E-Mail, Telefon, Kundennummer, Zugangsdaten (Passwort nur als Hash), Projekt- und Anlagendaten, Termine, Dokumente, Fotos (auch vom Haus), Zahlungsstände, Nutzungszahlen, Nachrichten und Empfehlungen inkl. Kontaktdaten empfohlener Personen. |
| Betroffene | Endkunden und Interessenten des Verantwortlichen, von Endkunden empfohlene Personen, Mitarbeiter des Verantwortlichen. |
Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO) sind nicht vorgesehen und sollen nicht hochgeladen werden.
3. Weisungen
Der Auftragsverarbeiter verarbeitet die Daten nur auf dokumentierte Weisung des Verantwortlichen. Die Weisungen ergeben sich aus diesem Vertrag und der Nutzung der Software. Weitere Weisungen erteilt der Verantwortliche per E-Mail. Hält der Auftragsverarbeiter eine Weisung für rechtswidrig, teilt er dies unverzüglich mit. Eine Verarbeitung für eigene Zwecke findet nicht statt. Ausnahme: anonyme Summen (z. B. Anzahl aktiver Portale) zur Abrechnung und Verbesserung des Dienstes.
4. Vertraulichkeit
Alle Personen, die Zugriff auf die Daten haben, sind zur Vertraulichkeit verpflichtet.
5. Technische und organisatorische Maßnahmen (Art. 32 DSGVO)
- Zutritt: Betrieb ausschließlich in zertifizierten Rechenzentren der Unterauftragsverarbeiter (ISO 27001 bzw. SOC 2) in Frankfurt am Main.
- Zugang: Anmeldung nur mit persönlichem Passwort, Passwörter nur als Hash gespeichert, Administrationszugänge mit starken Passwörtern.
- Zugriff: Strikte Trennung der Betriebe auf Datenbankebene (Row Level Security). Endkunden sehen nur ihr eigenes Projekt, Mitarbeiter nur Daten ihres Betriebs. Dateien liegen in privaten Speicherbereichen und werden nur über zeitlich begrenzte Links ausgeliefert.
- Weitergabe: Übertragung ausschließlich verschlüsselt (TLS). Speicherung verschlüsselt (Encryption at Rest).
- Eingabe: Änderungen werden mit Zeitstempel gespeichert.
- Verfügbarkeit: Regelmäßige Datensicherung durch den Datenbankanbieter, Betrieb auf ausfallsicherer Infrastruktur.
- Überprüfung: Regelmäßige Prüfung der Sicherheitseinstellungen und der eingesetzten Dienste.
6. Unterauftragsverarbeiter
Der Verantwortliche stimmt dem Einsatz folgender Unterauftragsverarbeiter zu:
| Anbieter | Ort | Aufgabe | Absicherung |
|---|---|---|---|
| Supabase Inc. | Server in Frankfurt am Main (EU), Firmensitz USA | Datenbank, Anmeldung, Dateispeicher | AV-Vertrag mit Standardvertragsklauseln |
| Vercel Inc. | Server in Frankfurt am Main (EU), Firmensitz USA | Betrieb der Webanwendung | AV-Vertrag, EU-US Data Privacy Framework und Standardvertragsklauseln |
| Resend (Plus Five Five, Inc.) | Versand über EU-Region, Firmensitz USA | Versand von E-Mails (Zugangsdaten, Benachrichtigungen) | AV-Vertrag mit Standardvertragsklauseln |
Neue oder geänderte Unterauftragsverarbeiter kündigt der Auftragsverarbeiter mindestens 4 Wochen vorher per E-Mail an. Der Verantwortliche kann aus wichtigem datenschutzrechtlichem Grund widersprechen und den Vertrag dann außerordentlich kündigen. Der Zahlungsdienst Stripe verarbeitet nur Abrechnungsdaten des Betriebs und ist kein Unterauftragsverarbeiter für Endkundendaten.
7. Unterstützung des Verantwortlichen
Der Auftragsverarbeiter unterstützt den Verantwortlichen bei Anfragen von Betroffenen (Auskunft, Berichtigung, Löschung), bei Datenschutz-Folgenabschätzungen und bei der Meldung von Datenpannen. Wendet sich ein Betroffener direkt an den Auftragsverarbeiter, leitet dieser die Anfrage unverzüglich weiter.
8. Datenpannen
Der Auftragsverarbeiter meldet Verletzungen des Schutzes personenbezogener Daten unverzüglich, möglichst innerhalb von 24 Stunden nach Kenntnis, per E-Mail an die hinterlegte Adresse des Betriebs und teilt die bekannten Informationen nach Art. 33 Abs. 3 DSGVO mit.
9. Löschung und Rückgabe
Nach Vertragsende kann der Verantwortliche seine Daten 30 Tage lang abrufen. Danach löscht der Auftragsverarbeiter alle Daten, soweit keine gesetzliche Pflicht zur Aufbewahrung besteht. Datensicherungen werden im regulären Rhythmus überschrieben.
10. Kontrollen
Der Auftragsverarbeiter weist die Einhaltung seiner Pflichten auf Anfrage nach, vorrangig durch Selbstauskunft und Nachweise der Unterauftragsverarbeiter. Vor-Ort-Kontrollen sind nach Vereinbarung mit angemessener Vorankündigung möglich.
11. Schlussbestimmungen
Bei Widersprüchen geht dieser Vertrag den AGB in Datenschutzfragen vor. Die Haftung richtet sich nach Art. 82 DSGVO und im Übrigen nach den AGB. Es gilt deutsches Recht.