Vertrag zur Auftragsverarbeitung (AVV) nach Art. 28 DSGVO

Präambel

Dieser Vertrag konkretisiert die datenschutzrechtlichen Pflichten zwischen dem Nutzer (Verantwortlicher) und dem Betreiber von Worklano (Auftragsverarbeiter) im Rahmen der Nutzung des Dienstes. Er gilt für alle personenbezogenen Daten, die der Nutzer über seine Endkunden in den Dienst eingibt, und ist Bestandteil des Nutzungsvertrags.

1. Gegenstand und Dauer

Gegenstand ist die Verarbeitung von Endkundendaten zum Zweck der Erstellung und Verwaltung von Angeboten, Verträgen und Rechnungen durch den Verantwortlichen. Die Dauer entspricht der Laufzeit des Nutzungsvertrags.

2. Art der Daten und Kategorien betroffener Personen

• Datenarten: Name, Anschrift, Kontaktdaten (E-Mail, Telefon) und Vertrags-/Auftragsdaten der Endkunden des Nutzers; ggf. elektronische Unterschriften.

• Kategorien betroffener Personen: Kunden und Interessenten des Nutzers.

3. Pflichten des Auftragsverarbeiters

• Verarbeitung ausschließlich auf dokumentierte Weisung des Verantwortlichen (die Nutzung des Dienstes gemäß seiner Funktionen gilt als Weisung).

• Verpflichtung der mit der Verarbeitung befassten Personen zur Vertraulichkeit.

• Umsetzung angemessener technischer und organisatorischer Maßnahmen (Art. 32 DSGVO, siehe Ziffer 5).

• Unterstützung des Verantwortlichen bei der Wahrnehmung von Betroffenenrechten sowie bei Meldepflichten nach Art. 33/34 DSGVO.

• Unterrichtung des Verantwortlichen, falls eine Weisung gegen Datenschutzrecht verstößt.

• Löschung oder Rückgabe der Daten nach Vertragsende (Export-/Löschfunktion im Konto).

4. Unterauftragsverarbeiter

Der Verantwortliche genehmigt den Einsatz folgender Unterauftragsverarbeiter:

• Convex, Inc. (USA) — Datenbank/Backend, Datenhaltung in der EU (Region eu-west-1).

• Vercel, Inc. (USA) — Anwendungs-Hosting und Auslieferung.

• Resend, Inc. (USA) — Versand transaktionaler E-Mails (z. B. Angebots-/Rechnungsversand).

• Stripe Payments Europe, Ltd. (Irland) / Stripe, Inc. (USA) — Zahlungsabwicklung des Abonnements.

• Google Ireland Ltd. (Irland) / Google LLC (USA) — KI-gestützte Beleg-Texterkennung (Google Gemini); nur bei aktiver Nutzung der optionalen Scan-Funktion durch den Nutzer.

• OpenStreetMap Foundation (Vereinigtes Königreich) / komoot GmbH (Deutschland) — Geokodierung und Routenberechnung für den Anfahrtsrechner (Nominatim, Photon, OSRM); nur bei aktiver Nutzung durch den Nutzer.

Über beabsichtigte Änderungen dieser Liste wird der Verantwortliche rechtzeitig informiert und kann diesen aus wichtigem Grund widersprechen.

5. Technische und organisatorische Maßnahmen (TOM)

• Zugangs-/Zugriffskontrolle: Authentifizierung über Better Auth, Passwörter ausschließlich als kryptografische Hashes gespeichert; rollenbasierter Zugriff je Konto.

• Mandantentrennung: strikte Trennung der Daten je Mandant auf Anwendungsebene; jede Datenbankabfrage wird serverseitig auf den jeweiligen Mandanten eingegrenzt.

• Übertragungssicherheit: verschlüsselte Übertragung ausschließlich über TLS/HTTPS.

• Speichersicherheit: verschlüsselte Speicherung der Daten beim Backend-Dienstleister (Verschlüsselung at-rest).

• Verfügbarkeit/Wiederherstellbarkeit: regelmäßige Backups durch den Backend-Dienstleister.

• Löschkonzept: Self-Service-Löschung des Kontos samt zugehöriger Daten; Löschung/Rückgabe bei Vertragsende.

6. Drittlandübermittlung

Soweit Unterauftragsverarbeiter personenbezogene Daten außerhalb der EU/des EWR (insbesondere in den USA) verarbeiten, erfolgt dies auf Grundlage der EU-Standardvertragsklauseln (Art. 46 DSGVO) nebst ergänzender Schutzmaßnahmen.

7. Kontrollrechte und Nachweise

Der Auftragsverarbeiter stellt dem Verantwortlichen die zur Einhaltung von Art. 28 DSGVO erforderlichen Informationen zur Verfügung und ermöglicht angemessene Überprüfungen. Bestehende Zertifizierungen/Berichte der eingesetzten Dienstleister können hierfür herangezogen werden.