Vertrag zur Auftragsverarbeitung (AVV) nach Art. 28 DSGVO

Entwurf – vor Verwendung anwaltlich prüfen. Stand: 04.11.2026. Zwischen dem Kunden (Handwerksbetrieb, „Verantwortlicher“) und [Anbieter], [Anschrift] („Auftragsverarbeiter“). Der AVV ist Bestandteil des FluxWerk-Vertrags (AGB § 1 Abs. 4) und gilt ab Registrierung. Er orientiert sich an Art. 28 Abs. 3 lit. a–h DSGVO. Alternativ können die EU-Standardvertragsklauseln für Auftragsverarbeitung (Durchführungsbeschluss (EU) 2021/915) verwendet werden –

§ 1 Gegenstand, Dauer, Art und Zweck

1. Gegenstand ist der Betrieb einer eigenen FluxWerk-Instanz für den Verantwortlichen als SaaS (Hosting, Betrieb, Wartung, Updates, Sicherung, Überwachung, Support, Export und Löschung). Einzelheiten zu Datenarten, Betroffenen und Zwecken: Anlage 1.
2. Dauer: Laufzeit des Hauptvertrags einschließlich Testphase, Übergangs- und Abrufzeitraum (AGB § 10) und der anschließenden Löschung.
3. Die Verarbeitung findet ausschließlich in Deutschland statt (Rechenzentren des Unterauftragnehmers nach Anlage 3). Eine Verlagerung in ein anderes Land bedarf der vorherigen Zustimmung in Textform; in ein Drittland nur unter den Voraussetzungen der Art. 44 ff. DSGVO.

§ 2 Weisungen (Art. 28 Abs. 3 lit. a, Art. 29 DSGVO)

1. Der Auftragsverarbeiter verarbeitet Daten nur auf dokumentierte Weisung des Verantwortlichen. Die Erstweisung ist dieser Vertrag samt Leistungsbeschreibung. Weitere Weisungen erteilt der Verantwortliche durch Einstellungen und Bedienung der Software (z. B. Löschen, Export, Freigaben, Modul an/aus) oder in Textform an [support@…]. Weisungsberechtigt sind der Inhaber und die in der Instanz als „Chef“ bzw. „Sekretariat“ geführten Personen sowie die in Anlage 4 genannten Personen.
2. Der Auftragsverarbeiter informiert unverzüglich, wenn er eine Weisung für rechtswidrig hält (Art. 28 Abs. 3 Satz 3 DSGVO), und darf die Ausführung bis zur Bestätigung aussetzen.
3. Eine Verarbeitung für eigene Zwecke des Auftragsverarbeiters (z. B. Analyse, Werbung, KI-Training) ist ausgeschlossen. Zulässig sind nur nicht personenbezogene Betriebskennzahlen (AGB § 7 Abs. 2).
4. Pflichten zur Verarbeitung nach Unionsrecht oder dem Recht eines Mitgliedstaats (z. B. behördliche Anordnung) teilt der Auftragsverarbeiter vorher mit, sofern das Recht dies nicht verbietet (Art. 28 Abs. 3 lit. a).

§ 3 Vertraulichkeit (lit. b)

Alle Personen, die Zugriff auf Daten haben, sind auf Vertraulichkeit verpflichtet bzw. unterliegen einer gesetzlichen Verschwiegenheitspflicht. Der Auftragsverarbeiter greift auf Inhalte der Instanz nur zu, soweit dies für Betrieb, Fehlerbehebung oder auf Anforderung des Verantwortlichen (Support) erforderlich ist. Support-Zugriffe auf Inhalte erfolgen nur nach Freigabe durch den Verantwortlichen (Support-Freigabe in der Instanz oder Ticket), zeitlich begrenzt, und werden im Audit-Protokoll der Instanz vermerkt. ⚖/Technik: Support-Freigabe ist im Code noch zu bauen (siehe bewertung.md).

§ 4 Sicherheit der Verarbeitung (lit. c, Art. 32)

Der Auftragsverarbeiter trifft die technischen und organisatorischen Maßnahmen nach Anlage 2. Er darf sie durch gleichwertige oder bessere Maßnahmen ersetzen und dokumentiert Änderungen. Das Schutzniveau darf nicht unterschritten werden.

§ 5 Unterauftragsverarbeiter (lit. d, Art. 28 Abs. 2, 4)

1. Der Verantwortliche erteilt eine allgemeine Genehmigung für die in Anlage 3 genannten Unterauftragnehmer.
2. Über beabsichtigte Hinzuziehung oder Ersetzung informiert der Auftragsverarbeiter mindestens vier Wochen vorher in Textform (E-Mail an die Inhaber-Adresse und Hinweis in der Instanz). Der Verantwortliche kann aus wichtigem datenschutzrechtlichem Grund binnen dieser Frist widersprechen. Bei Widerspruch kann der Verantwortliche den Hauptvertrag zum Wirksamwerden kündigen; der Export nach AGB § 10 bleibt gewährleistet.
3. Der Auftragsverarbeiter legt Unterauftragnehmern vertraglich dieselben Datenschutzpflichten auf und haftet für sie (Art. 28 Abs. 4 DSGVO).
4. Keine Unterauftragsverarbeitung sind Nebenleistungen wie Telekommunikation, Post, Wartung von Hardware ohne Datenzugriff oder Dienste, die der Verantwortliche selbst beauftragt oder deren Nutzung allein von Endgeräten seiner Nutzer ausgeht (Anlage 3 Teil B).

§ 6 Unterstützung bei Betroffenenrechten (lit. e)

Die Software stellt Funktionen zur Auskunft, Berichtigung, Löschung, Einschränkung und Datenübertragbarkeit bereit (⚖/Technik: DSGVO-Auskunft und Anonymisierung je Kunde/Mitarbeiter sind noch umzusetzen). Wenden sich Betroffene direkt an den Auftragsverarbeiter, leitet er die Anfrage unverzüglich weiter und antwortet nicht selbst in der Sache.

§ 7 Unterstützung bei Art. 32–36 (lit. f), Meldepflichten

1. Der Auftragsverarbeiter meldet dem Verantwortlichen eine Verletzung des Schutzes personenbezogener Daten unverzüglich, spätestens innerhalb von 24 Stunden nach Bekanntwerden, mit den Angaben nach Art. 33 Abs. 3 DSGVO, soweit verfügbar, und reicht fehlende Angaben nach. Er ergreift sofort Maßnahmen zur Eindämmung.
2. Er unterstützt bei Meldungen an die Aufsichtsbehörde (Art. 33), Benachrichtigung Betroffener (Art. 34), Datenschutz-Folgenabschätzung (Art. 35, z. B. für GPS-Tagesablauf) und vorheriger Konsultation (Art. 36) mit den ihm vorliegenden Informationen (insb. Beschreibung der Technik, Anlage 2).
3. Er informiert unverzüglich über Kontrollen und Maßnahmen von Aufsichtsbehörden und über Ersuchen von Behörden auf Herausgabe von Daten, soweit rechtlich zulässig.

§ 8 Löschung und Rückgabe (lit. g)

1. Nach Ende der Leistungen gibt der Auftragsverarbeiter alle Daten über den Gesamtexport zurück (AGB § 10: Übergangszeitraum 30 Tage, Abrufzeitraum mindestens 30 Tage) und löscht sie danach einschließlich aller Kopien.
2. Sicherungskopien werden nicht einzeln bereinigt, sondern laufen mit ihrer Aufbewahrungsfrist aus (höchstens [90] Tage, Anlage 2 Nr. 7). Bis dahin sind sie verschlüsselt und nur für die Wiederherstellung zugänglich. ⚖/Technik: heutiges Sicherungsskript hält Jahresstände 10 Jahre – für SaaS zwingend ändern.
3. Die Löschung wird in Textform bestätigt (Löschprotokoll mit Instanz, Datum, Umfang).
4. Eine Aufbewahrung über das Vertragsende hinaus erfolgt nur, wenn eine gesetzliche Pflicht des Auftragsverarbeiters besteht (Art. 28 Abs. 3 lit. g). Die Aufbewahrungspflichten des Verantwortlichen (z. B. § 147 AO) erfüllt dieser selbst mit dem Export.

§ 9 Nachweise und Kontrollen (lit. h)

1. Der Auftragsverarbeiter stellt alle zum Nachweis erforderlichen Informationen zur Verfügung, insbesondere diese Anlagen, Zertifikate der Unterauftragnehmer (z. B. ISO/IEC 27001 des Rechenzentrums) und einen jährlichen Sicherheitsbericht (Ergebnisse von Wiederherstellungstests, Updates, Sicherheitsvorfälle).
2. Der Verantwortliche oder ein von ihm beauftragter, zur Verschwiegenheit verpflichteter Prüfer kann nach Ankündigung von mindestens 30 Tagen Vor-Ort- oder Ferninspektionen während der Geschäftszeiten durchführen, in der Regel höchstens einmal jährlich, außer bei konkretem Anlass. Ein Prüfer, der im Wettbewerb zum Auftragsverarbeiter steht, kann abgelehnt werden. Der Aufwand über eine Prüfung pro Jahr hinaus wird nach Aufwand vergütet ⚖.
3. Rechenzentren der Unterauftragnehmer werden durch deren Zertifikate und Prüfberichte geprüft; ein Zutritt ist nicht geschuldet.

§ 10 Haftung, Sonstiges

1. Es gilt Art. 82 DSGVO. Im Übrigen gelten die Haftungsregeln der AGB, soweit Art. 82 DSGVO nicht entgegensteht.
2. Bei Widersprüchen geht dieser AVV den AGB vor. Änderungen bedürfen der Textform.
3. Der Auftragsverarbeiter hat [keinen Datenschutzbeauftragten, da nicht nach Art. 37 DSGVO, § 38 BDSG erforderlich | Datenschutzbeauftragte/r: …]. Ansprechpartner Datenschutz: [Name, E-Mail].

Anlage 1 – Art, Zweck, Datenkategorien, Betroffene

Besondere Kategorien (Art. 9 DSGVO): möglich bei Krankheitskennzeichen, freien Notizen, E-Mail-Inhalten, Fotos (z. B. Pflegebetten, barrierefreies Bad mit Hinweis auf Behinderung), Badplanung „barrierefrei“. Der Verantwortliche weist seine Nutzer an, Gesundheitsangaben nur soweit nötig zu erfassen.

Anlage 2 – Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

Abgeleitet aus dem Code-Stand 52c1d9f (04.11.2026). docs/tom-technik.md des Technik-Pakets lag noch nicht vor. Alle mit [zu bestätigen] markierten Punkte sind vom Technik-Paket (E Sicherheit/Produktiv, A Zentrale) zu bestätigen oder noch umzusetzen. Vor Vertragsschluss mit echten Kunden muss diese Anlage vollständig bestätigt sein.

1. Vertraulichkeit

Zutrittskontrolle (Rechenzentrum): Rechenzentrum des Hosters in Deutschland mit Zutrittskontrolle, Videoüberwachung, 24/7-Personal, zertifiziert nach ISO/IEC 27001 (Nachweis des Hosters) [zu bestätigen: gewählter Hoster/Standort]. Kein physischer Zugang des Auftragsverarbeiters erforderlich.

Zugangskontrolle (Systeme):

• Server-Zugang nur per SSH-Schlüssel, kein Passwort-Login, Firewall nur 443/80 (Weiterleitung) offen [zu bestätigen].
• Anwendung: Passwörter mit Argon2 gehasht (core/security.py); Login-Sperre je Konto und je IP; Sitzungen mit zufälligem Token, gespeichert nur als SHA-256, Cookie HttpOnly, SameSite, Secure im Produktivbetrieb (Warnung bei unsicherem Cookie); Sitzungen enden bei Passwortwechsel; Leerlauf-Abmeldung 12 h (Chef/Sekretariat), Kundenportal 2 h.
• 2-Faktor-Anmeldung für Chef/Sekretariat und Administratoren der Zentrale [offen – Paket E].
• Kundenportal: getrennte Konten, eigenes Cookie mit Pfad /api/portal, nur Einladung, Token 256 Bit nur gehasht, im URL-Fragment (nicht in Server-Logs).

Zugriffskontrolle:

• Rollen- und Rechtekonzept (Chef, Sekretariat, Monteur, Azubi-Zusatz) mit Rechte-Matrix über alle Routen, automatisiert getestet; Objektprüfung gegen IDOR; Monteure sehen nur eingeteilte Aufträge (auftraege/visibility.py).
• E-Mail-Postfächer nur mit Freigabe je Postfach, persönliche Postfächer nur für den Inhaber des Postfachs.
• Privatfahrten im Fahrtenbuch für Dritte nur Datum/km; Krank-Notiz nur Betroffener und Zeitverwaltung.
• Administrative Zugriffe des Auftragsverarbeiters auf Instanzdaten nur mit Support-Freigabe, protokolliert [offen – Support-Freigabe bauen, Paket A].

Trennungskontrolle: Eigene Instanz je Kunde (eigener App-Container, eigene PostgreSQL-Datenbank, eigener Datenordner, eigenes Geheimnis FW_SECRET_KEY) – keine gemeinsame Datenbank mehrerer Kunden (docs/SAAS.md). Test- und Produktivsysteme getrennt.

Pseudonymisierung/Verschlüsselung:

• Transport: HTTPS (TLS 1.2+) über Reverse-Proxy, HSTS [zu bestätigen: Proxy-Konfiguration, Paket A]; E-Mail-Abruf/ -Versand über TLS/STARTTLS.
• Zugangsdaten zu E-Mail-Postfächern und OAuth-Token mit Fernet (AES-128-CBC + HMAC) verschlüsselt (FW_SECRET_KEY).
• Datenträgerverschlüsselung der Server (Datenbank, Dateien) [offen – z. B. LUKS, Paket E].
• Sicherungen außer Haus verschlüsselt [offen – Paket E].
• IP-Adressen öffentlicher Formulare nur als SHA-256-Wert gespeichert [Hinweis: ohne geheimen Salt ist der Wert rückrechenbar – Paket E: HMAC mit Instanz-Geheimnis]; Fotos aus Anfragen ohne Metadaten (EXIF/GPS) gespeichert.

2. Integrität

• Audit-Protokoll für sicherheits- und rechtsrelevante Aktionen (Anmeldungen, Exporte, Freigaben, Änderungen an Zeiten, IBAN, Beträgen, Löschungen).
• Revisionssicherheit: festgeschriebene Rechnungen, Prüfprotokolle und archivierte E-Mails/Eingangsbelege mit SHA-256, Angebotsannahme an Prüfsumme der gezeigten Fassung gebunden.
• Eingaben serverseitig validiert; Uploads nach Dateiinhalt geprüft, Größenlimits; XML ohne externe Entitäten (XXE).
• Sicherheits-Header: strenge Content-Security-Policy (default-src 'self', keine Fremdskripte/-schriften), frame-ancestors 'none', nosniff, Referrer-Policy; CSRF-Schutz für alle schreibenden Aufrufe.
• E-Mail-HTML wird bereinigt und ohne Skriptrechte angezeigt; externe Bilder blockiert.

3. Verfügbarkeit und Belastbarkeit

• Tägliche Sicherung (PostgreSQL-Dump, geprüft auf Lesbarkeit, SHA-256; Dateiordner per rsync) [heute auf NAS der Testinstanz; für SaaS: je Instanz, verschlüsselt, zweiter Standort in DE, Paket E].
• Überwachung /health mit ehrlichem Sicherungsstatus; Benachrichtigung bei Fehlschlag.
• Container-Neustart bei Absturz (restart: unless-stopped), Speicherlimits je Container.
• Rate-Limits gegen Missbrauch öffentlicher Formulare, Honeypot, Mindest-Ausfüllzeit.
• Wiederherstellungstest mindestens vierteljährlich, dokumentiert [offen – Paket E].
• Updates von Betriebssystem, Container-Images und Bibliotheken mindestens monatlich, Sicherheitsupdates binnen [7] Tagen [zu bestätigen].

4. Verfahren zur regelmäßigen Überprüfung

• Automatisierte Tests (Rechte-Matrix, Isolation zwischen Portal-Kunden, Robustheit) bei jeder Änderung.
• Sicherheitsprüfung vor Produktivstart und jährlich [offen – Paket E].
• Incident-Response-Plan mit Meldekette (24-h-Meldung an Kunden) [offen].
• Jährliche Überprüfung dieser Anlage.

5. Datenminimierung im Design (Art. 25 DSGVO)

• GPS-Rohpunkte bleiben auf dem Gerät (localStorage, nach Bestätigung bzw. 7 Tagen gelöscht); Server erhält nur Zusammenfassungen; Aufzeichnung nur nach Einwilligung und nur bei offener App.
• Portal zeigt Monteure nur mit Vornamen; Hinweis-Mails ohne Inhalt.
• Keine Tracking-, Analyse- oder Werbedienste; Schriften lokal; Kartendienste nur als Link.
• Texterkennung (Tesseract) und Barcode-Erkennung lokal in der Instanz, keine externe KI.

6. Protokolle

• Anwendungs-Zugriffsprotokolle (uvicorn) enthalten IP-Adressen; Aufbewahrung höchstens [7/14] Tage, Rotation [offen – heute keine Rotation konfiguriert, Paket A/E].
• Anmeldeversuche (inkl. IP) 30 Tage; Formular-Rate-Limits 1–2 Tage; Portal-Versuche 30 Tage.

7. Löschkonzept

• Anfragen ohne Auftrag 365 Tage (einstellbar), Ticket-Link 90 Tage, abgelaufene Sitzungen/Links laufend.
• Löschfristen für Zeiten, Abwesenheiten, Fahrtenbuch, Anrufe, Chat, E-Mails nach Fristablauf [offen – Code].
• Instanz nach Vertragsende gemäß § 8; Sicherungen rotieren nach höchstens [90] Tagen.

Anlage 3 – Unterauftragnehmer und Datenflüsse

Teil A – Genehmigte Unterauftragnehmer

Heute versendet jede Instanz E-Mails über das SMTP-Konto des Kunden (Einstellungen → E-Mail-Versand). Dann ist der Mailanbieter des Kunden dessen eigener Dienstleister (Teil B) und kein Unterauftragnehmer.

Teil B – Keine Unterauftragnehmer, aber Datenflüsse (Information für die Datenschutzerklärung des Kunden)

Geprüft und nicht vorhanden (Stand Code 04.11.2026): keine CDN, keine externen Schriften (Bricolage, Geist, Lato, Carlito, PT Serif lokal), keine Kartenkacheln, kein Geocoding-Dienst, keine Analyse-/Tracking-Dienste, kein reCAPTCHA, keine externe KI/OCR, keine Fehlertracking-Dienste (Sentry o. ä.).

Anlage 4 – Ansprechpartner

Quellen

DSGVO Art. 26, 28, 29, 32–36, 44 ff. (<https://eur-lex.europa.eu/eli/reg/2016/679/oj>); Durchführungsbeschluss (EU) 2021/915 (Standardvertragsklauseln Art. 28); DSK Kurzpapier Nr. 13 „Auftragsverarbeitung“; EU-US Data Privacy Framework (Angemessenheitsbeschluss (EU) 2023/1795); RFC 8030/8291/8292 (Web Push). Abgrenzung Art. 26 vs. Art. 28: Der Anbieter bestimmt keine eigenen Zwecke der Verarbeitung der Betriebsdaten; die Mittel (Software) stellt er als Dienstleister bereit – daher Auftragsverarbeitung, keine gemeinsame Verantwortung. Würde der Anbieter Daten mehrerer Betriebe für eigene Zwecke zusammenführen (z. B. Benchmark, Störungswissen über Betriebe hinweg, KI-Training), entstünde eigene oder gemeinsame Verantwortung (EuGH, Urt. v. 05.12.2023 – C-683/21) – das ist ausgeschlossen (§ 2 Abs. 3).