onlinefirma24.de
Startseite

onlinefirma24.de · Rechtliche Informationen

Vereinbarung zur Auftragsverarbeitung

Stand: 9. Oktober 2026 · Entwurf zur rechtlichen Prüfung

Noch nicht abschließbarer AVV-Entwurf: Kundenangaben, Unterauftragnehmer, Verarbeitungsorte, Drittlandgarantien, konkrete technische Maßnahmen sowie Lösch- und Sicherungsfristen müssen geprüft und in den Anlagen vervollständigt werden. Diese Seite ersetzt keine abgeschlossene Vereinbarung.

Vorlage nach Art. 28 DSGVO zwischen der jeweiligen Kundenfirma als Verantwortlichem und HVS Steffen, Inhaber Sascha Steffen, Am Rothenberg 11, 31061 Alfeld, Deutschland als Auftragsverarbeiter.

1. Gegenstand, Dauer und Zwecke

Gegenstand ist die Bereitstellung des Online-Büros einschließlich Speicherung, Organisation, Bereitstellung und Übermittlung von Kundendaten für Zeiterfassung, Personalplanung, Kunden- und Auftragsverwaltung sowie Dokumenten- und Kommunikationsverwaltung. Die Dauer richtet sich nach dem Hauptvertrag zuzüglich vereinbarter Rückgabe- und Löschfristen.

Der Kunde bestimmt die Zwecke und erteilt dokumentierte Weisungen. Der Anbieter verarbeitet Daten nur auf diese Weisungen, einschließlich bei Übermittlungen in Drittländer, sofern ihn nicht gesetzliche Pflichten zur Verarbeitung verpflichten. In diesem Fall informiert er den Kunden vorab, soweit gesetzlich zulässig. Bei mutmaßlich rechtswidrigen Weisungen informiert er den Kunden unverzüglich.

2. Daten und betroffene Personen (Anlage 1)

  • Betroffene: Inhaber, Mitarbeiter, Kunden, Ansprechpartner und Unterzeichner von Baustellenberichten.
  • Datenarten: Namen, Kontaktdaten, Firmen- und Baustellenadressen, Arbeitszeiten, Einsatz- und Abwesenheitsdaten, Angebots- und Rechnungsinformationen, Kommunikationsinhalte, Fotos und Unterschriften.
  • Abwesenheitsangaben können Gesundheitsbezug haben. Gesundheitsdetails sind zu minimieren; Erforderlichkeit und Rechtsgrundlage legt der Kunde fest.
  • Kundenfirma, Anschrift, vertretungsberechtigte Person und Datenschutzkontakt: im konkreten Vertrag zu ergänzen.

3. Vertraulichkeit und Sicherheit

Der Anbieter verpflichtet die zur Verarbeitung befugten Personen auf Vertraulichkeit und beschränkt Berechtigungen auf das erforderliche Maß. Er trifft angemessene technische und organisatorische Maßnahmen gemäß Art. 32 DSGVO und dokumentiert sie in Anlage 2.

Änderungen der Maßnahmen dürfen das vereinbarte Schutzniveau nicht unterschreiten. Die konkret zugesicherten Maßnahmen, Sicherungsintervalle und Wiederherstellungsziele sind vor Vertragsschluss zu bestätigen.

4. Unterauftragsverhältnisse (Anlage 3)

Unterauftragsverarbeiter dürfen nur auf Grundlage einer vorherigen besonderen oder allgemeinen schriftlichen Genehmigung des Kunden eingesetzt werden. Bei allgemeiner Genehmigung informiert der Anbieter vor Änderungen und ermöglicht einen begründeten datenschutzrechtlichen Widerspruch vor dem Einsatz.

Der Anbieter verpflichtet Unterauftragsverarbeiter auf gleichwertige Datenschutzpflichten und bleibt für deren Pflichterfüllung gegenüber dem Kunden verantwortlich. Anlage 3 muss für jeden Dienst die juristische Person, Tätigkeit, Standorte und gegebenenfalls Drittlandgarantien aufführen. Technisch eingesetzte Dienste umfassen Lovable Cloud sowie optional KI- und E-Mail-Verarbeitung; die vollständigen Vertragspartner und Unterauftragnehmerketten sind noch zu bestätigen. Stripe ist je nach Verarbeitung gesondert als eigenständig Verantwortlicher zu beurteilen.

5. Unterstützung und Datenschutzvorfälle

Der Anbieter unterstützt den Kunden unter Berücksichtigung von Art und verfügbaren Informationen bei Betroffenenrechten, Sicherheitsmaßnahmen, Datenschutz-Folgenabschätzungen und Konsultationen gemäß Art. 32 bis 36 DSGVO. Anfragen betroffener Personen werden an den Kunden weitergeleitet, soweit sie dessen Verarbeitung betreffen.

Verletzungen des Schutzes personenbezogener Daten meldet der Anbieter dem Kunden unverzüglich nach Bekanntwerden und stellt verfügbare Informationen zu Art, Betroffenen, Folgen und Abhilfemaßnahmen bereit. Ergänzende Informationen können stufenweise folgen. Die gesetzliche Meldeentscheidung des Kunden bleibt dessen Aufgabe.

6. Nachweise und Kontrollen

Der Anbieter stellt erforderliche Informationen zum Nachweis der Pflichten bereit und ermöglicht angemessene Überprüfungen einschließlich Inspektionen durch den Kunden oder beauftragte Prüfer. Dabei sind die Rechte anderer Kunden, Vertraulichkeit und Systemsicherheit zu wahren. Einzelheiten des Verfahrens werden dokumentiert.

7. Rückgabe und Löschung

Nach Ende der Leistung löscht oder gibt der Anbieter die personenbezogenen Daten nach Wahl des Kunden zurück und löscht vorhandene Kopien, soweit keine gesetzlichen Aufbewahrungspflichten entgegenstehen. Herausgabeformat, Fristen, Sicherungskopien und Löschbestätigung sind vor Abschluss in Anlage 4 zu konkretisieren. Eine Sperrung des Zugangs ersetzt die Datenrückgabe nicht.

8. Technische Maßnahmen (Anlage 2 – zu bestätigen)

  • Vorhandene Funktionen: Firmenbezogene Zugriffsregeln, rollenabhängige Berechtigungen, Anmeldung und verschlüsselte HTTPS-Übertragung.
  • Befristete Download-Links für versendete Dokumente; bei Weitergabe kann jeder Inhaber des Links innerhalb der Gültigkeit zugreifen.
  • Noch verbindlich zu dokumentieren: Mitarbeiterzugriffe des Anbieters, Protokollierung, Verschlüsselung gespeicherter Daten, Sicherungs- und Wiederherstellungsverfahren, Vorfallmanagement, regelmäßige Sicherheitsprüfungen und Löschkonzept.

9. Abschluss und Anlagen

Die Vereinbarung ist erst nach Vervollständigung der Anlagen und dokumentiertem Abschluss mit der konkreten Kundenfirma für den Einsatz vorgesehen. Eine Unterschrift beziehungsweise ein nachvollziehbarer elektronischer Abschluss ist gesondert zu organisieren. Eine automatische AVV-Annahme oder versionsbezogene Zustimmungserfassung ist derzeit nicht eingerichtet.