Zurück

Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO Fassung 2026-08-01 · gültig ab 1. August 2026 Dieser Vertrag zur Auftragsverarbeitung (nachfolgend "Vertrag") konkretisiert die datenschutzrechtlichen Pflichten der Parteien aus dem zwischen ihnen bestehenden Vertrag über die Nutzung der Software HeWo (nachfolgend "Hauptvertrag"). Zwischen dem Kunden, der die Software HeWo nutzt und dessen Betriebsdaten in der Anwendung hinterlegt sind (nachfolgend "Verantwortlicher"), und HeWo Systems GbR, vertreten durch Bo Herzog und Lios Wolters, Elbchaussee 17, 22765 Hamburg, Deutschland, E-Mail kontakt@hewosystems.com (nachfolgend "Auftragsverarbeiter"). 1. Gegenstand, Art und Zweck der Verarbeitung 1.1 Der Auftragsverarbeiter stellt dem Verantwortlichen die Software HeWo als über das Internet nutzbare Anwendung (Software as a Service) einschließlich der zugehörigen mobilen Anwendung bereit. Die Software unterstützt Handwerksbetriebe bei Planung, Disposition, Durchführung, Dokumentation und Abrechnung ihrer Aufträge. 1.2 Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich zu dem Zweck, diese Leistung zu erbringen. Eine Verarbeitung zu eigenen Zwecken des Auftragsverarbeiters findet nicht statt. Insbesondere werden die Daten nicht zu Werbezwecken genutzt, nicht an Dritte verkauft und nicht zum Training von Systemen künstlicher Intelligenz verwendet. 1.3 Art der Verarbeitung sind das Erheben, Erfassen, Organisieren, Ordnen, Speichern, Anpassen, Auslesen, Abfragen, Verwenden, Übermitteln, Einschränken, Löschen und Vernichten der in Anlage 1 genannten Daten mittels automatisierter Verfahren. 1.4 Die Verarbeitung findet innerhalb der Europäischen Union statt. Ausnahmen und die dafür geltenden Garantien sind in Ziffer 9 und in der als Anlage 3 beigefügten Liste der Unterauftragsverarbeiter geregelt. 2. Dauer Der Vertrag beginnt mit seiner Annahme durch den Verantwortlichen und läuft auf unbestimmte Zeit. Er endet automatisch mit der Beendigung des Hauptvertrags. Die Pflichten aus Ziffer 11 (Löschung und Rückgabe) sowie aus Ziffer 5 (Vertraulichkeit) bestehen über das Vertragsende hinaus fort. 3. Weisungsrecht 3.1 Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen. Als dokumentierte Weisung gelten dieser Vertrag, der Hauptvertrag sowie die Nutzung der Funktionen der Software durch den Verantwortlichen und die von ihm berechtigten Personen. Einzelweisungen sind in Textform an kontakt@hewosystems.com zu richten. 3.2 Eine Übermittlung personenbezogener Daten an ein Drittland oder eine internationale Organisation erfolgt nur, wenn der Auftragsverarbeiter hierzu nach dem Unionsrecht oder dem Recht der Mitgliedstaaten verpflichtet ist. In diesem Fall teilt der Auftragsverarbeiter dem Verantwortlichen die rechtlichen Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht eine solche Mitteilung nicht wegen eines wichtigen öffentlichen Interesses verbietet. 3.3 Ist der Auftragsverarbeiter der Auffassung, dass eine Weisung gegen die Datenschutz-Grundverordnung oder andere Datenschutzbestimmungen verstößt, teilt er dies dem Verantwortlichen unverzüglich mit. Der Auftragsverarbeiter ist berechtigt, die Durchführung der betreffenden Weisung auszusetzen, bis der Verantwortliche sie bestätigt oder ändert. 3.4 Der Verantwortliche ist für die Rechtmäßigkeit der Verarbeitung sowie für die Wahrung der Rechte betroffener Personen verantwortlich. Er stellt insbesondere sicher, dass für den Einsatz der Software eine Rechtsgrundlage besteht und dass etwaige Beteiligungsrechte betrieblicher Interessenvertretungen gewahrt sind. 4. Datenschutz-Hinweis zu besonderen Funktionen 4.1 Die Software enthält Funktionen, die Daten von Beschäftigten des Verantwortlichen verarbeiten, insbesondere die Erfassung von Arbeits- und Fahrtzeiten sowie eine auf ausdrückliche Nutzerhandlung ausgelöste Prüfung des Standorts am Einsatzort. Eine Hintergrundortung findet nicht statt. 4.2 Der Verantwortliche entscheidet als Arbeitgeber eigenständig über den Einsatz dieser Funktionen, über die dafür maßgebliche Rechtsgrundlage und über die Einhaltung der Vorschriften des Beschäftigtendatenschutzes einschließlich etwaiger Mitbestimmungsrechte. Der Auftragsverarbeiter stellt hierzu die technische Beschreibung der verarbeiteten Daten in Anlage 1 zur Verfügung. 4.3 Die Sprachfunktion ist optional. Wird sie genutzt, werden die Sprachaufnahme, das daraus erzeugte Transkript und der zur Zuordnung erforderliche Ausschnitt des Materialkatalogs an den in Anlage 3 genannten Unterauftragsverarbeiter für die Sprach- und Textauswertung übermittelt. Sämtliche Angaben lassen sich alternativ manuell erfassen. 5. Vertraulichkeit 5.1 Der Auftragsverarbeiter setzt zur Verarbeitung nur Personen ein, die zur Vertraulichkeit verpflichtet wurden oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen. Die Verpflichtung wirkt über die Beendigung der Tätigkeit hinaus fort. 5.2 Der Auftragsverarbeiter macht die eingesetzten Personen vor Aufnahme der Tätigkeit mit den für sie geltenden Datenschutzbestimmungen vertraut und unterweist sie in angemessenen Abständen. 5.3 Der Zugriff auf Produktivdaten des Verantwortlichen ist auf die Fälle beschränkt, in denen dies zur Störungsbeseitigung, zur Erfüllung einer Support-Anfrage des Verantwortlichen oder zur Abwehr eines Sicherheitsvorfalls erforderlich ist. 6. Technische und organisatorische Maßnahmen 6.1 Der Auftragsverarbeiter trifft die nach Art. 32 DSGVO erforderlichen technischen und organisatorischen Maßnahmen. Der zum Zeitpunkt des Vertragsschlusses geltende Stand ist in Anlage 2 beschrieben. 6.2 Die Maßnahmen unterliegen dem technischen Fortschritt. Der Auftragsverarbeiter darf sie anpassen, solange das vereinbarte Schutzniveau nicht unterschritten wird. Wesentliche Änderungen werden dem Verantwortlichen in Textform mitgeteilt. 6.3 Der Auftragsverarbeiter überprüft die Wirksamkeit der Maßnahmen regelmäßig und dokumentiert die Überprüfung. 7. Unterstützung des Verantwortlichen 7.1 Der Auftragsverarbeiter unterstützt den Verantwortlichen mit angemessenen Maßnahmen bei der Erfüllung von Anträgen betroffener Personen auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Datenübertragbarkeit und Widerspruch. Soweit die Software dem Verantwortlichen entsprechende Funktionen bereitstellt, nutzt dieser vorrangig diese Funktionen. 7.2 Wendet sich eine betroffene Person unmittelbar an den Auftragsverarbeiter, leitet dieser das Anliegen unverzüglich an den Verantwortlichen weiter und beantwortet es nicht eigenständig. 7.3 Der Auftragsverarbeiter unterstützt den Verantwortlichen bei der Einhaltung der Pflichten aus Art. 32 bis 36 DSGVO, insbesondere bei der Sicherheit der Verarbeitung, der Meldung von Verletzungen des Schutzes personenbezogener Daten, der Datenschutz-Folgenabschätzung und der vorherigen Konsultation. Dabei werden die Art der Verarbeitung und die dem Auftragsverarbeiter zur Verfügung stehenden Informationen berücksichtigt. 7.4 Unterstützungsleistungen, die über den vertraglich geschuldeten Umfang hinausgehen und nicht auf einem vom Auftragsverarbeiter zu vertretenden Umstand beruhen, kann der Auftragsverarbeiter nach Ankündigung nach Aufwand abrechnen. 8. Verletzungen des Schutzes personenbezogener Daten 8.1 Der Auftragsverarbeiter meldet dem Verantwortlichen jede ihm bekannt gewordene Verletzung des Schutzes personenbezogener Daten, die dessen Daten betrifft, unverzüglich, spätestens jedoch innerhalb von 24 Stunden nach Kenntniserlangung, in Textform an die vom Verantwortlichen hinterlegte Kontaktadresse. 8.2 Die Meldung enthält, soweit verfügbar, eine Beschreibung der Art der Verletzung, die Kategorien und die ungefähre Zahl der betroffenen Personen und Datensätze, die wahrscheinlichen Folgen, die ergriffenen oder vorgeschlagenen Abhilfemaßnahmen sowie eine Kontaktstelle für Rückfragen. Sind die Informationen noch nicht vollständig verfügbar, werden sie unverzüglich nachgereicht. 8.3 Die Meldung an die Aufsichtsbehörde und gegebenenfalls an die betroffenen Personen obliegt dem Verantwortlichen. Der Auftragsverarbeiter unterstützt ihn dabei mit den ihm vorliegenden Informationen. 9. Unterauftragsverarbeiter 9.1 Der Verantwortliche erteilt dem Auftragsverarbeiter die allgemeine schriftliche Genehmigung zur Hinzuziehung weiterer Auftragsverarbeiter im Sinne des Art. 28 Abs. 4 DSGVO. Die zum Zeitpunkt des Vertragsschlusses eingesetzten Unterauftragsverarbeiter ergeben sich aus Anlage 3. 9.2 Beabsichtigt der Auftragsverarbeiter, einen weiteren Unterauftragsverarbeiter hinzuzuziehen oder einen bestehenden zu ersetzen, informiert er den Verantwortlichen mindestens 30 Tage vorher in Textform. Der Verantwortliche kann der Änderung innerhalb von 14 Tagen nach Zugang der Information aus einem wichtigen datenschutzrechtlichen Grund widersprechen. 9.3 Widerspricht der Verantwortliche, bemühen sich die Parteien um eine einvernehmliche Lösung. Kommt eine solche nicht zustande und kann der Auftragsverarbeiter die Leistung ohne den betreffenden Unterauftragsverarbeiter nicht mit zumutbarem Aufwand erbringen, ist jede Partei berechtigt, den Hauptvertrag mit einer Frist von einem Monat zu kündigen. 9.4 Der Auftragsverarbeiter verpflichtet jeden Unterauftragsverarbeiter vertraglich auf Datenschutzpflichten, die den Pflichten aus diesem Vertrag im Wesentlichen entsprechen. Er haftet dem Verantwortlichen gegenüber für die Einhaltung dieser Pflichten durch den Unterauftragsverarbeiter. 9.5 Nicht als Unterauftragsverarbeitung im Sinne dieser Ziffer gelten Nebenleistungen, die der Auftragsverarbeiter bei Dritten in Anspruch nimmt, ohne dass diese bestimmungsgemäß auf personenbezogene Daten des Verantwortlichen zugreifen, etwa Telekommunikations- oder Reinigungsleistungen. 9.6 Soweit ein Unterauftragsverarbeiter personenbezogene Daten außerhalb der Europäischen Union verarbeitet, stellt der Auftragsverarbeiter sicher, dass ein zulässiges Übermittlungsinstrument nach Kapitel V DSGVO besteht, insbesondere ein Angemessenheitsbeschluss oder die Standardvertragsklauseln der Europäischen Kommission nebst erforderlichen ergänzenden Maßnahmen. Anlage 3 weist für jeden Unterauftragsverarbeiter den Verarbeitungsort und das jeweils genutzte Instrument aus. 10. Nachweise und Überprüfung 10.1 Der Auftragsverarbeiter stellt dem Verantwortlichen auf Anforderung alle Informationen zur Verfügung, die zum Nachweis der Einhaltung der Pflichten aus Art. 28 DSGVO erforderlich sind. 10.2 Der Nachweis kann durch aktuelle Selbstauskünfte, durch die Beschreibung der Maßnahmen nach Anlage 2 oder durch Testate, Berichte oder Zertifikate unabhängiger Stellen erfolgen, auch soweit diese die eingesetzten Unterauftragsverarbeiter betreffen. 10.3 Genügen diese Nachweise im Einzelfall nicht, ermöglicht der Auftragsverarbeiter dem Verantwortlichen oder einem von diesem beauftragten, zur Verschwiegenheit verpflichteten und nicht mit dem Auftragsverarbeiter im Wettbewerb stehenden Prüfer Überprüfungen. Diese sind mit angemessener Vorlauf- frist von mindestens 30 Tagen, während der üblichen Geschäftszeiten, ohne Störung des Betriebsablaufs und in der Regel höchstens einmal jährlich durchzuführen. Bei einem konkreten Anlass, insbesondere nach einer Verletzung des Schutzes personenbezogener Daten, entfällt die Beschränkung auf eine jährliche Prüfung. 10.4 Der Auftragsverarbeiter kann den durch eine Überprüfung nach Ziffer 10.3 entstehenden Aufwand nach Ankündigung angemessen vergüten lassen, sofern die Überprüfung keinen vom Auftragsverarbeiter zu vertretenden Mangel aufdeckt. 11. Löschung und Rückgabe 11.1 Der Verantwortliche kann während der Vertragslaufzeit jederzeit die von ihm eingestellten Daten über die dafür vorgesehenen Exportfunktionen der Software abrufen. 11.2 Nach Beendigung des Hauptvertrags löscht der Auftragsverarbeiter die personenbezogenen Daten des Verantwortlichen nach dessen Wahl oder gibt sie zurück. Die Löschung erfolgt innerhalb von 90 Tagen nach Vertragsende, sofern der Verantwortliche nicht zuvor eine Rückgabe verlangt. Ein Export in einem gängigen, maschinenlesbaren Format wird auf Anforderung innerhalb von 30 Tagen nach Vertragsende bereitgestellt. 11.3 Bestehen gesetzliche Aufbewahrungspflichten, die einer Löschung entgegenstehen, werden die betroffenen Daten stattdessen für die weitere Verarbeitung gesperrt und nach Ablauf der Frist gelöscht. 11.4 Sicherungskopien werden nach den regulären Aufbewahrungszyklen der Sicherungssysteme überschrieben. Bis dahin bleiben sie gegen weitere Verarbeitung gesperrt. 11.5 Die Löschung wird auf Anforderung in Textform bestätigt. 12. Haftung 12.1 Für das Verhältnis der Parteien untereinander gelten die Haftungsregelungen des Hauptvertrags, soweit dieser Vertrag nichts Abweichendes bestimmt. 12.2 Art. 82 DSGVO bleibt unberührt. 13. Schlussbestimmungen 13.1 Änderungen und Ergänzungen dieses Vertrags bedürfen der Textform. Das gilt auch für die Abbedingung dieses Formerfordernisses. 13.2 Bei Widersprüchen zwischen diesem Vertrag und dem Hauptvertrag gehen die Regelungen dieses Vertrags vor, soweit es um die Verarbeitung personenbezogener Daten geht. 13.3 Sollte eine Bestimmung dieses Vertrags unwirksam sein oder werden, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt. 13.4 Es gilt das Recht der Bundesrepublik Deutschland. Anlagen Anlage 1 — Gegenstand der Verarbeitung Anlage 2 — Technische und organisatorische Maßnahmen (abrufbar unter /tom) Anlage 3 — Unterauftragsverarbeiter (abrufbar unter /subprozessoren) ANLAGE 1 — GEGENSTAND DER VERARBEITUNG A. Kategorien betroffener Personen - Beschäftigte des Verantwortlichen sowie für ihn tätige Personen, die die Software nutzen oder in ihr erfasst sind - Kunden und Auftraggeber des Verantwortlichen sowie deren Ansprechpartner - Interessenten und Anfragende des Verantwortlichen - Sonstige Dritte, die auf Baustellenfotos abgebildet oder in Notizen, Aufträgen oder Sprachaufnahmen erwähnt sind B. Kategorien personenbezogener Daten - Konto- und Zugangsdaten: Name, E-Mail-Adresse, Rolle, Mitarbeiterkennung, Zeitpunkt der letzten Anmeldung, Angaben zur Zwei-Faktor-Authentifizierung - Stammdaten der Kunden des Verantwortlichen: Anrede, Name, Firmierung, Anschriften, Telefonnummern, E-Mail-Adressen - Auftrags- und Projektdaten: Beschreibungen, Termine, Zuweisungen, Status, Notizen, Aufgaben - Arbeitszeitdaten: Beginn und Ende von Einsätzen, Pausen, Fahrtzeiten, Korrekturen - Standortdaten: einzelne, durch ausdrückliche Nutzerhandlung ausgelöste Koordinaten nebst Genauigkeitsangabe zur Präsenzprüfung am Einsatzort; keine fortlaufende Bewegungshistorie und keine Hintergrundortung - Dokumentationsdaten: Fotos vom Einsatzort, Unterschriften auf Arbeitsnachweisen, Materialverbrauch - Sprachdaten: bei aktiver Nutzung der Sprachfunktion die Aufnahme sowie das daraus erzeugte Transkript und die daraus abgeleiteten Vorschläge - Abrechnungsdaten: Angebote, Rechnungen, Positionen, Zahlungsstatus - Geräte- und Zustelldaten: Gerätekennung, Plattform, App-Version, Push-Token - Sicherheits- und Protokolldaten: Anmeldungen und fehlgeschlagene Anmeldeversuche mit Zeitpunkt, Konto, IP-Adresse und Browser- beziehungsweise Gerätekennung C. Besondere Kategorien personenbezogener Daten Eine Verarbeitung besonderer Kategorien personenbezogener Daten im Sinne des Art. 9 DSGVO ist nicht Gegenstand dieses Vertrags und von der Software nicht vorgesehen. Der Verantwortliche stellt sicher, dass solche Daten nicht in Freitextfeldern, Fotos oder Sprachaufnahmen erfasst werden. D. Ort der Verarbeitung Datenbank, Dateispeicher und Authentifizierung werden in der Europäischen Union betrieben. Der Ort der Verarbeitung je Unterauftragsverarbeiter ergibt sich aus Anlage 3.