1. Vertragspartner und Rollen
Dieser Auftragsverarbeitungsvertrag (AVV) ergänzt den Firmen-Nutzungsvertrag über HandwerkerPilot. Der jeweilige Handwerksbetrieb ist Verantwortlicher im Sinne der DSGVO, soweit er personenbezogene Daten seiner Kunden, Beschäftigten, Bewerber, Lieferanten, Ansprechpartner oder sonstigen Projektbeteiligten in der Betriebssoftware verarbeitet. Auftragsverarbeiter ist Marc Bollue, handelnd unter HandwerkerPilot.
Datenschutzkontakt des Auftragsverarbeiters: info@handwerkerpilot.eu
2. Gegenstand und Dauer der Verarbeitung
Gegenstand ist die technische Bereitstellung, Wartung, Sicherung und vertragsgemäße Unterstützung der HandwerkerPilot-Betriebssoftware einschließlich der vom Betrieb aktiv genutzten Module. Die Auftragsverarbeitung beginnt mit Aktivierung des Firmenkontos bzw. sobald der Betrieb entsprechende personenbezogene Daten in HandwerkerPilot verarbeitet und endet grundsätzlich mit Beendigung des Firmen-Nutzungsvertrags und der vertrags- bzw. weisungsgemäßen Löschung oder Rückgabe der Auftragsdaten. Gesetzliche Aufbewahrungspflichten bleiben unberührt.
3. Art und Zweck der Verarbeitung
- Speichern, Strukturieren, Anzeigen, Ändern, Übermitteln innerhalb der vom Betrieb ausgelösten Arbeitsabläufe und Löschen von Daten.
- Erstellung und Verwaltung von Kunden-, Baustellen-, Angebots-, Auftrags-, Rechnungs-, Termin-, Personal-, Zeit-, Material- und Dokumentationsvorgängen entsprechend den aktivierten Funktionen.
- Technische Sicherung, Backup/Wiederherstellung, Fehleranalyse, Support und Abwehr von Missbrauch, soweit dies für den vertragsgemäßen Betrieb erforderlich ist.
4. Datenarten und Kategorien betroffener Personen
Je nach Nutzung können insbesondere Stamm- und Kontaktdaten, Adress- und Projektdaten, Kommunikationsinhalte, Vertrags-/Angebots-/Auftragsdaten, Rechnungs- und Zahlungsinformationen, Termin- und Einsatzdaten, Arbeitszeitdaten, Mitarbeiter-/Bewerberdaten, Fotos, Dokumente, Unterschriften und sonstige vom Betrieb eingegebene Inhalte verarbeitet werden.
Betroffene Personen können insbesondere Kunden und Interessenten des Betriebs, Beschäftigte und Bewerber, Ansprechpartner bei Lieferanten/Nachunternehmern, Projektbeteiligte sowie sonstige Personen sein, deren Daten der Betrieb rechtmäßig in der Software verarbeitet.
5. Weisungsbindung und Verantwortlichkeit
HandwerkerPilot verarbeitet Auftragsdaten ausschließlich auf dokumentierte Weisung des Betriebs, soweit keine gesetzliche Verpflichtung zu einer Verarbeitung besteht. Die Nutzung der Softwarefunktionen und die im Firmenkonto vorgenommenen Einstellungen gelten als dokumentierte Weisungen im Rahmen des Vertrags. Hält HandwerkerPilot eine Weisung für datenschutzrechtlich unzulässig, wird der Betrieb hierauf hingewiesen, soweit dies rechtlich zulässig ist.
Der Betrieb bleibt insbesondere für Rechtsgrundlage, Informationspflichten, Zulässigkeit der Datenerhebung, Datenminimierung, Richtigkeit und seine Lösch-/Aufbewahrungsentscheidungen verantwortlich.
6. Vertraulichkeit
Personen, die bei HandwerkerPilot Zugriff auf Auftragsdaten erhalten können, werden auf Vertraulichkeit verpflichtet oder unterliegen einer angemessenen gesetzlichen Verschwiegenheitspflicht. Zugriffe dürfen nur im erforderlichen Umfang für Betrieb, Wartung, Support, Sicherheit oder auf Weisung erfolgen.
7. Technische und organisatorische Maßnahmen (TOM)
- Mandanten- und rollenbezogene Zugriffskontrollen sowie Berechtigungsprüfungen in den Anwendungsfunktionen.
- Passwörter werden nicht im Klartext gespeichert; Sitzungen und Formulare werden mit den vorgesehenen Sicherheitsmechanismen wie CSRF-Schutz abgesichert.
- Zugriff auf Uploads und sensible Dokumente wird über Berechtigungsprüfungen bzw. geschützte Speicherbereiche begrenzt.
- Backup- und Wiederherstellungsfunktionen, Protokollierung sicherheitsrelevanter Vorgänge und technische Maßnahmen zur Verfügbarkeit und Fehlerbehebung.
- Die Maßnahmen werden entsprechend Risiko, Stand der Technik, Implementierungskosten und Art/Umfang der Verarbeitung angemessen weiterentwickelt.
8. Unterauftragsverarbeiter
Der Betrieb erteilt eine allgemeine Genehmigung zum Einsatz erforderlicher Unterauftragsverarbeiter. HandwerkerPilot verpflichtet diese vertraglich zu Datenschutzpflichten, die den Anforderungen dieses AVV entsprechen. Über beabsichtigte Änderungen bei Unterauftragsverarbeitern wird der Betrieb vorab in geeigneter Form informiert, sodass er aus wichtigem datenschutzrechtlichem Grund widersprechen kann.
Dienste, die Daten für eigene Zwecke in eigener Verantwortlichkeit verarbeiten (zum Beispiel ein vom Betrieb selbst ausgewählter Zahlungsdienst), sind für diese Verarbeitung keine Unterauftragsverarbeiter dieses AVV.
9. Drittlandübermittlungen
Auftragsdaten werden nicht ohne zulässige datenschutzrechtliche Grundlage in ein Drittland übermittelt. Soweit ein eingesetzter Unterauftragsverarbeiter außerhalb EU/EWR verarbeitet und die DSGVO anwendbar ist, wird eine erforderliche Übermittlungsgrundlage nach Kapitel V DSGVO sichergestellt.
10. Unterstützung des Verantwortlichen
HandwerkerPilot unterstützt den Betrieb unter Berücksichtigung von Art und verfügbaren Informationen in angemessenem Umfang bei der Erfüllung von Betroffenenrechten sowie – soweit einschlägig – bei Sicherheit der Verarbeitung, Meldung von Datenschutzverletzungen, Datenschutz-Folgenabschätzungen und Konsultationen mit Aufsichtsbehörden. Anfragen zu Betriebsdaten werden grundsätzlich an den verantwortlichen Betrieb verwiesen.
11. Datenschutzverletzungen
Wird eine Verletzung des Schutzes von Auftragsdaten bekannt, informiert HandwerkerPilot den betroffenen Betrieb ohne unangemessene Verzögerung und stellt die verfügbaren Informationen bereit, die der Betrieb zur Erfüllung seiner gesetzlichen Pflichten benötigt.
12. Rückgabe und Löschung
Nach Ende der Auftragsverarbeitung werden Auftragsdaten nach Wahl bzw. dokumentierter Weisung des Betriebs gelöscht oder, soweit technisch vorgesehen, zur Rückgabe/Export bereitgestellt. Sicherungskopien werden im Rahmen der technischen Backup-Zyklen überschrieben bzw. gelöscht. Eine weitere Speicherung erfolgt nur, soweit gesetzliche Pflichten oder zwingende Sicherheits-/Nachweisanforderungen dies verlangen; die Daten bleiben dann für andere Zwecke gesperrt.
13. Nachweise und Prüfungen
HandwerkerPilot stellt dem Betrieb die zur Nachweisführung nach Art. 28 DSGVO erforderlichen Informationen in angemessenem Umfang zur Verfügung und ermöglicht erforderliche Prüfungen. Prüfungen sind unter Wahrung der Sicherheit, Vertraulichkeit anderer Mandanten und eines angemessenen organisatorischen Aufwands rechtzeitig abzustimmen; vorrangig können geeignete Unterlagen, Protokolle oder Selbstauskünfte bereitgestellt werden.
14. Eigene Verantwortlichkeit von HandwerkerPilot
Dieser AVV erfasst nur Verarbeitungen im Auftrag des Betriebs. Für eigene Zwecke von HandwerkerPilot – insbesondere Firmenkonto- und Vertragsverwaltung, Abrechnung, Missbrauchs-/Sicherheitsprävention, gesetzliche Nachweise sowie eigene Plattformkommunikation – verarbeitet HandwerkerPilot Daten als eigener Verantwortlicher nach der Datenschutzerklärung.
15. Geltung, Änderungen und Vorrang
Der AVV gilt für Firmenkonten zusammen mit dem Firmen-Nutzungsvertrag. Die Annahme wird mit Versionsstand und Zeitpunkt im Firmenbenutzerkonto dokumentiert. Änderungen werden entsprechend den vertraglichen und gesetzlichen Anforderungen bekanntgegeben. Bei Widersprüchen zu Regelungen über die Verarbeitung von Auftragsdaten geht dieser AVV insoweit vor.