Auftragsverarbeitung

Vertrag nach Art. 28 DSGVO inkl. TOM · Stand: 11.10.2026

Noch nicht freigegeben. Es fehlen Pflichtangaben des Anbieters (rot markiert). Die Seite ist bis dahin auf noindex gesetzt. Ergänzung in der Admin-Konsole unter „Recht & Anbieter".

Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO zwischen dem Kunden (Verantwortlicher) und [Firmierung (vollstaendig) - bitte in der Admin-Konsole ergänzen] (Auftragsverarbeiter). Er wird mit Abschluss des Nutzungsvertrages Vertragsbestandteil.

1. Gegenstand und Dauer

Gegenstand ist die Verarbeitung personenbezogener Daten durch den Auftragsverarbeiter im Rahmen der Bereitstellung der Software MEISTERHILFE. Die Dauer entspricht der Laufzeit des Nutzungsvertrages.

2. Art, Zweck und Umfang der Verarbeitung

Zweck	Bereitstellung einer Betriebssoftware für Handwerksbetriebe: Kunden- und Auftragsverwaltung, Angebote und Rechnungen, Zeiterfassung, Disposition, Material, Dokumente, Buchhaltungsvorbereitung.
Art der Verarbeitung	Erheben, Speichern, Verändern, Auslesen, Übermitteln (an vom Kunden bestimmte Empfänger), Einschränken und Löschen.
Kategorien betroffener Personen	Kunden und Interessenten des Verantwortlichen, deren Ansprechpartner, Mitarbeiter des Verantwortlichen, Lieferanten und Nachunternehmer.
Kategorien von Daten	Stammdaten (Name, Anschrift, Kontaktdaten), Vertrags- und Auftragsdaten, Abrechnungs- und Zahlungsdaten, Arbeitszeitdaten, Objekt- und Baustellendaten, hochgeladene Dokumente und Fotos, Unterschriften auf Abnahme- und Arbeitsberichten.

3. Weisungsgebundenheit

Der Auftragsverarbeiter verarbeitet die Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen. Als Weisung gilt auch die Bedienung der Software durch den Verantwortlichen. Ist der Auftragsverarbeiter der Auffassung, dass eine Weisung gegen Datenschutzrecht verstößt, weist er darauf hin und darf die Ausführung aussetzen.

4. Vertraulichkeit

Zur Verarbeitung eingesetzte Personen sind zur Vertraulichkeit verpflichtet und mit den einschlägigen Datenschutzvorschriften vertraut gemacht.

5. Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

Der Auftragsverarbeiter trifft die in der Anlage beschriebenen Maßnahmen und hält sie während der Vertragslaufzeit aufrecht. Änderungen dürfen das Schutzniveau nicht unterschreiten.

6. Unterauftragsverarbeiter

Der Verantwortliche stimmt dem Einsatz der nachfolgend genannten Unterauftragsverarbeiter zu. Weitere oder andere Unterauftragsverarbeiter teilt der Auftragsverarbeiter mindestens vier Wochen vorher mit; der Verantwortliche kann aus wichtigem Grund widersprechen.

Hosting / Rechenzentrum	[Hosting-Dienstleister - bitte in der Admin-Konsole ergänzen] — Serverbetrieb, Standort [Serverstandort - bitte in der Admin-Konsole ergänzen]
Zahlungsabwicklung	Stripe Payments Europe, Ltd., Dublin, Irland — nur Abrechnungsdaten des Kunden, keine Daten der Endkunden des Betriebs

Vom Verantwortlichen selbst eingerichtete Verbindungen (eigener Postausgangsserver, Microsoft 365, optionaler KI-Zugang) sind keine Unterauftragsverhältnisse des Auftragsverarbeiters; hierfür ist der Verantwortliche selbst zuständig.

7. Unterstützung des Verantwortlichen

Der Auftragsverarbeiter unterstützt den Verantwortlichen im Rahmen des Möglichen bei der Beantwortung von Betroffenenanfragen (Art. 12 bis 23 DSGVO) sowie bei Datenschutz-Folgenabschätzungen und Meldepflichten (Art. 32 bis 36 DSGVO). Anfragen betroffener Personen, die den Auftragsverarbeiter erreichen, werden unverzüglich an den Verantwortlichen weitergeleitet und nicht selbst beantwortet.

8. Meldung von Verletzungen

Der Auftragsverarbeiter meldet dem Verantwortlichen jede Verletzung des Schutzes personenbezogener Daten unverzüglich, spätestens innerhalb von 48 Stunden nach Kenntnis, mit den zur Meldung nach Art. 33 DSGVO erforderlichen Angaben.

9. Löschung und Rückgabe

Nach Beendigung des Vertrages stellt der Auftragsverarbeiter dem Verantwortlichen die Daten für 30 Tage zum Export bereit und löscht sie anschließend einschließlich vorhandener Kopien, soweit keine gesetzliche Aufbewahrungspflicht entgegensteht. Sicherungskopien werden im Rahmen des regulären Sicherungszyklus überschrieben.

10. Nachweise und Kontrollen

Der Auftragsverarbeiter weist die Einhaltung der Pflichten auf Anfrage nach, insbesondere durch diese Dokumentation der technischen und organisatorischen Maßnahmen. Der Verantwortliche kann nach vorheriger Ankündigung mit angemessener Frist Kontrollen durchführen oder durchführen lassen; der Betrieb darf dadurch nicht unangemessen gestört werden.

Anlage: Technische und organisatorische Maßnahmen

Vertraulichkeit

Zutritt: Serverbetrieb in einem Rechenzentrum des Hosting-Dienstleisters mit Zutrittskontrolle; kein physischer Zutritt durch den Auftragsverarbeiter erforderlich.
Zugang: Anmeldung ausschließlich über persönliche Zugangsdaten; Passwörter werden nur als Hash (bcrypt) gespeichert; Sitzungscookies mit den Merkmalen Secure, HttpOnly und SameSite; erzwungene TLS-Verschlüsselung mit HSTS; administrativer Serverzugang nur über SSH mit Schlüsselpaar.
Zugriff: Rollen- und Rechtesystem je Betrieb (Inhaber, Meister, Büro, Monteur, Azubi, Servicetechniker, Lager, Steuerberater) mit Rechtematrix je Modul; Mandantentrennung auf Datenbankebene durch verpflichtende Mandantenkennung in jeder Abfrage; hochgeladene Dokumente liegen außerhalb des öffentlichen Verzeichnisses und werden erst nach Prüfung von Anmeldung und Betriebszugehörigkeit ausgeliefert; serverseitige Prüfung bei jeder Anfrage, ob das Konto noch aktiv ist.
Trennung: Logische Trennung der Betriebe; getrennte Datenbanken für Produktivbetrieb und Schulungsumgebung.

Integrität

Schutz vor Cross-Site-Request-Forgery durch Token bei allen ändernden Vorgängen.
Ausschließlich parametrisierte Datenbankabfragen (Schutz vor SQL-Injection).
Content-Security-Policy, Schutz vor Einbettung in fremde Seiten, kein Erraten von Inhaltstypen (nosniff).
Uploads: Prüfung des Inhaltstyps, Ablage unter zufälligem Namen mit abgeleiteter Endung, Ausführung im Ablageverzeichnis unterbunden.
Änderungsprotokoll (Audit-Log) für sicherheitsrelevante Vorgänge; Datensätze werden nach den Vorgaben der GoBD nicht physisch gelöscht, sondern als gelöscht gekennzeichnet.

Verfügbarkeit und Belastbarkeit

Tägliche Sicherung der Datenbank mit Aufbewahrung mehrerer Generationen.
Getrennte Sicherung der hochgeladenen Dokumente.
Serverseitige Schutzmaßnahmen des Hosting-Dienstleisters gegen Angriffe und Überlastung.
Protokollierung von Anwendungsfehlern zur schnellen Störungserkennung.

Verfahren zur Überprüfung und Bewertung

Wiederkehrende sicherheitsorientierte Durchsicht des Quellcodes.
Syntax- und Funktionsprüfung vor jeder Veröffentlichung (Deploy-Gate).
Nachvollziehbare Versionierung aller Änderungen.
Datenschutz durch Voreinstellung: keine Analyse- oder Tracking-Werkzeuge, keine externen Schriftarten, Datenübermittlung an Dritte nur nach ausdrücklicher Einrichtung durch den Verantwortlichen.