Vertrag zur Auftragsverarbeitung

zwischen dem Kunden von Tagwerkstatt als Verantwortlichem (nachfolgend „Auftraggeber“) und strothmann.online, Inhaber Marco Strothmann, Römerstraße 46, 33758 Schloß Holte-Stukenbrock (nachfolgend „Auftragnehmer“).

§ 1 Gegenstand und Dauer

1. Der Auftragnehmer verarbeitet personenbezogene Daten im Auftrag des Auftraggebers bei der Bereitstellung des Online-Dienstes Tagwerkstatt gemäß dem Hauptvertrag und den AGB. Dieser Vertrag ist Bestandteil des Hauptvertrags und wird mit ihm in elektronischer Form geschlossen (Art. 28 Abs. 9 DSGVO).
2. Die Dauer entspricht der Laufzeit des Hauptvertrags; die Pflichten nach § 8 wirken darüber hinaus.

§ 2 Art und Zweck der Verarbeitung

Hosting, Betrieb, Wartung, Datensicherung und Weiterentwicklung von Tagwerkstatt einschließlich der Erstellung, Speicherung und des Versands von Arbeitsnachweisen (PDF) auf Veranlassung des Auftraggebers sowie Unterstützung (Support) auf Anforderung des Auftraggebers. Verarbeitet wird ausschließlich zur Erbringung dieser Leistungen.

§ 3 Art der Daten und Kreis der Betroffenen

Daten:

• Stammdaten von Beschäftigten (Name, Personalnummer, Kontaktdaten, Anschrift, Eintrittsdatum, Arbeitszeitmodell, Rolle)
• Arbeitszeitdaten (Stempelzeiten, Pausen, Nachträge und Korrekturen, Zeitkonten)
• Abwesenheiten (Urlaub, Arbeitsunfähigkeit nur als Zeitraum ohne Diagnose – insoweit Gesundheitsdaten nach Art. 9 DSGVO –, sonstige Abwesenheiten)
• Vergütungsangaben, soweit der Auftraggeber sie erfasst
• Auftrags- und Kundendaten des Auftraggebers (Namen, Anschriften, Ansprechpartner, Dokumente, Aufgaben)
• Angebote, Rechnungen, Zahlungseingänge und Mahnungen an Kunden des Auftraggebers (Name, Anschrift, Kundennummer, USt-IdNr., Leistungen, Beträge, E-Mail-Empfänger)
• Arbeitsnachweise: Leistungsbeschreibung, Arbeitszeiten, Material, Fotos von Einsatzorten, Name und Unterschrift der unterschreibenden Person des Kunden, Anmerkungen, Zeitpunkt, IP-Adresse des erfassenden Geräts und E-Mail-Empfänger
• Eingangsrechnungen von Lieferanten und Subunternehmern des Auftraggebers (Name, Anschrift, Kontaktdaten, USt-IdNr., Bankverbindung, Rechnungsinhalte) sowie daraus abgeleitete Kostenauswertungen je Auftrag (Nachkalkulation)
• Kontoumsätze aus vom Auftraggeber eingelesenen Kontoauszügen (Datum, Betrag, Name und IBAN des Zahlungspartners, Verwendungszweck) für den Zahlungsabgleich
• Baustellendokumentation: Aufmaße, Bautagesberichte (Wetter, anwesendes Personal mit Stunden, Leistungen, Vorkommnisse), Abnahmeprotokolle mit Mängeln, Checklisten, Fotos, Nachrichten im Projektchat, Namen und Unterschriften der beteiligten Personen
• Ausbildungsnachweise von Auszubildenden (Tätigkeiten, Unterweisungen, Berufsschulthemen, Stunden, Abzeichnung durch die Ausbildung) sowie Fahrzeiten und witterungsbedingte Ausfallstunden von Beschäftigten
• Kundenportal: Namen, Nachrichten und Terminwünsche von Kunden des Auftraggebers, Aufrufzeitpunkte der persönlichen Links; die Links selbst werden nur als Prüfwert gespeichert
• Standortdaten, soweit der Auftraggeber das automatische Stempeln per GPS für einzelne Beschäftigte einschaltet
• Zugangs- und Protokolldaten (Benutzername, Passwort-Hash, Zwei-Faktor-Daten, Zeitpunkte, IP-Adressen, Geräteangaben)

Betroffene: Beschäftigte (einschließlich Auszubildender) und Geschäftsführung des Auftraggebers, Kunden und Ansprechpartner des Auftraggebers, weitere an Bauvorhaben Beteiligte, Lieferanten und Subunternehmer des Auftraggebers.

§ 4 Weisungen

1. Der Auftragnehmer verarbeitet die Daten nur auf dokumentierte Weisung des Auftraggebers, es sei denn, er ist gesetzlich zu einer Verarbeitung verpflichtet; in diesem Fall teilt er dies vorher mit, soweit das Gesetz es nicht verbietet. Weisungen ergeben sich aus diesem Vertrag, der Nutzung der Funktionen von Tagwerkstatt und Einzelweisungen in Textform.
2. Hält der Auftragnehmer eine Weisung für rechtswidrig, weist er den Auftraggeber unverzüglich darauf hin.
3. Schaltet der Auftraggeber die Schnittstelle zu seinem Buchhaltungsprogramm (z. B. Lexware Office, sevDesk) ein, überträgt der Auftragnehmer Belegdaten, Kunden- und Lieferantenangaben sowie Belegdateien auf dessen Weisung an diesen Anbieter. Der Anbieter ist kein Unterauftragsverarbeiter des Auftragnehmers, sondern ein vom Auftraggeber selbst gewählter Empfänger; die Verarbeitung dort richtet sich nach dem Vertrag des Auftraggebers mit diesem Anbieter.

§ 5 Pflichten des Auftragnehmers

1. Der Auftragnehmer setzt nur Personen ein, die zur Vertraulichkeit verpflichtet sind.
2. Er trifft die technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO gemäß Anlage 1 und passt sie dem Stand der Technik an, ohne das Schutzniveau zu senken.
3. Er unterstützt den Auftraggeber bei der Erfüllung der Rechte Betroffener (Art. 12–23 DSGVO) sowie bei den Pflichten nach Art. 32–36 DSGVO. Anfragen Betroffener leitet er an den Auftraggeber weiter.
4. Er meldet dem Auftraggeber Verletzungen des Schutzes personenbezogener Daten unverzüglich nach Kenntnis mit den ihm vorliegenden Angaben nach Art. 33 Abs. 3 DSGVO.
5. Ansprechpartner für den Datenschutz beim Auftragnehmer: Marco Strothmann, marco.strothmann@strothmann.online.
6. Die Verarbeitung findet in der Europäischen Union statt. Eine Übermittlung in Drittländer erfolgt nur nach Anlage 2 und unter den Voraussetzungen der Art. 44 ff. DSGVO.

§ 6 Unterauftragsverarbeiter

Der Auftraggeber stimmt dem Einsatz der in Anlage 2 genannten Unterauftragsverarbeiter zu. Über beabsichtigte Änderungen informiert der Auftragnehmer vorab in Textform; der Auftraggeber kann aus wichtigem datenschutzrechtlichem Grund innerhalb von vier Wochen widersprechen. Im Fall eines Widerspruchs kann jede Seite den Hauptvertrag zum Zeitpunkt der Änderung kündigen. Unterauftragsverarbeiter werden denselben Datenschutzpflichten unterworfen.

§ 7 Nachweise und Kontrollen

Der Auftragnehmer stellt dem Auftraggeber die zum Nachweis der Einhaltung dieses Vertrags erforderlichen Informationen zur Verfügung und ermöglicht Überprüfungen durch den Auftraggeber oder einen von ihm beauftragten, zur Verschwiegenheit verpflichteten Prüfer nach angemessener Vorankündigung zu den üblichen Geschäftszeiten.

§ 8 Löschung und Rückgabe

Nach Ende des Hauptvertrags stellt der Auftragnehmer die Daten auf Wunsch als Export bereit und löscht sie anschließend gemäß § 9 der AGB, soweit keine gesetzliche Pflicht zur Speicherung besteht. Die Löschung wird auf Anforderung in Textform bestätigt.

§ 9 Haftung

Für die Haftung gilt Art. 82 DSGVO; im Übrigen gelten die Regelungen des Hauptvertrags.

Anlage 1 – Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

• Zutrittskontrolle: Zutritt zu den Servern ausschließlich durch den Auftragnehmer bzw. den Hosting-Dienstleister nach Anlage 2.
• Zugangskontrolle: persönliche Benutzerkonten; Passwörter nur als Argon2id-Hash, Mindestlänge 10 Zeichen, Prüfung gegen leicht zu erratende Passwörter; Zwei-Faktor-Anmeldung (für Administratoren Pflicht, für die Geschäftsführung je Firma einschaltbar) und Passkeys; Sperre nach wiederholten Fehlversuchen und Blockade auf Netzwerkebene; Firewall; Beenden aller Sitzungen bei Passwortänderung.
• Zugriffskontrolle: Rollen- und Rechtekonzept (Mitarbeiter, Geschäftsführung, Administrator) mit einzeln freischaltbaren Bereichen; strikte Trennung der Kunden, jede Kennung wird serverseitig gegen die Firma des Nutzers geprüft.
• Trennungskontrolle: getrennte Datenbereiche je Kunde; Anmeldung nur über die Adresse der eigenen Firma.
• Weitergabekontrolle: Übertragung ausschließlich über TLS 1.2/1.3 mit HSTS; Anhänge verschlüsselt gespeichert (libsodium); Datenbank verschlüsselt (MariaDB-Verschlüsselung ruhender Daten); Datensicherungen verschlüsselt (AES-256).
• Eingabekontrolle: Protokoll aller Anmeldungen und Änderungen mit Zeitpunkt, handelnder und betroffener Person.
• Verfügbarkeitskontrolle: regelmäßige verschlüsselte Datensicherungen, automatische Sicherheitsaktualisierungen des Betriebssystems, Sicherung vor jeder Aktualisierung; Daten werden bei Aktualisierungen nie gelöscht.
• Schutz der Anwendung: strenge Content-Security-Policy, Schutz vor Cross-Site-Request-Forgery, ausschließlich vorbereitete Datenbankabfragen, keine Einbindung fremder Skripte oder Schriften.
• Überprüfung: automatisierte Sicherheits- und Mandantentrennungstests vor jeder Auslieferung neuer Versionen.

Anlage 2 – Unterauftragsverarbeiter und Empfänger

• Hosting: kein externer Dienstleister – Betrieb auf Infrastruktur von strothmann.online
• Nur bei Nutzung der jeweiligen Funktion: OpenStreetMap Foundation, Vereinigtes Königreich (Adresssuche, übermittelt wird die gesuchte Adresse; Angemessenheitsbeschluss); Routing-Dienst des Projekts OSRM (Fahrzeiten, übermittelt werden nur Koordinaten); Google Ireland Limited (Fahrzeiten mit Verkehrslage, nur wenn der Auftraggeber dies mit eigenem Schlüssel einschaltet; übermittelt werden nur Koordinaten; EU-US Data Privacy Framework).