Auftragsverarbeitungsvertrag
Anlage 1 zu den Nutzungsbedingungen · Art. 28 DSGVO · Fassung 1.0 · Stand 31.07.2026
§ 1 Gegenstand und Dauer
(1) Die Anbieterin verarbeitet personenbezogene Daten im Auftrag des Betriebs, soweit dies zur Erbringung der Leistungen nach den Nutzungsbedingungen erforderlich ist.
(2) Die Laufzeit entspricht der des Nutzungsvertrags.
§ 2 Art, Zweck und Umfang der Verarbeitung
Zweck: Bereitstellung einer Software zur Terminplanung mit Routenoptimierung.
Art der Verarbeitung: Erheben, Speichern, Ordnen, Auslesen, Verändern, Übermitteln (an die in § 6 genannten Dienstleister), Löschen — sowie die Berechnung von Fahrzeiten und Terminvorschlägen aus Adress- und Zeitangaben.
| Kategorie betroffener Personen | Erhoben durch |
|---|---|
| Endkunden des Betriebs | den Endkunden selbst über den Buchungslink, oder den Betrieb bei telefonischer Annahme |
| Mitarbeitende des Betriebs | den Betrieb |
| Nutzende des Betriebs (Konteninhaber) | den Betrieb selbst |
| Gruppe | Kategorien personenbezogener Daten |
|---|---|
| Endkunden | Anrede, Name, Anschrift, Geokoordinaten, E-Mail, Telefon, Freitext-Anmerkung, Terminart, Termin |
| Mitarbeitende | Name, Kontaktdaten, Startadresse (häufig die Privatanschrift), Arbeitszeiten, Abwesenheiten mit optionalem Grund, zugeordnete Terminarten, geplante Tagesrouten |
| Nutzende | Name, E-Mail, Anmeldedaten |
Zwei Angaben sind freiwillig
Die Startadresse einer mitarbeitenden Person ist regelmäßig ihre Privatanschrift. Ohne sie plant Craftbeat ab dem Betriebsstandort — das ist eine vollwertige Betriebsart.
Der Abwesenheitsgrund kann ein Gesundheitsdatum sein (Art. 9 DSGVO). Er wird von Craftbeat nicht ausgewertet: Jede Abwesenheit wird gleich behandelt, nämlich als belegte Zeit. Für die Funktion ist er entbehrlich.
§ 3 Weisungen
(1) Die Anbieterin verarbeitet die Daten ausschließlich nach dokumentierten Weisungen des Betriebs. Die Nutzung des Dienstes gemäß seiner Funktion gilt als Weisung; darüber hinausgehende Weisungen bedürfen der Textform.
(2) Hält die Anbieterin eine Weisung für rechtswidrig, teilt sie dies mit und darf ihre Ausführung aussetzen.
§ 4 Vertraulichkeit
Zur Verarbeitung befugte Personen sind zur Vertraulichkeit verpflichtet. Bei der Anbieterin sind das derzeit ausschließlich die beiden Gesellschafter.
§ 5 Technische und organisatorische Maßnahmen (Art. 32 DSGVO)
Die Anbieterin trifft insbesondere folgende Maßnahmen:
Zugangs- und Zugriffskontrolle
- Verschlüsselte Übertragung durchgehend (TLS), erzwungenes HTTPS mit HSTS
- Mandantentrennung auf Datenbankebene (zeilenbasierte Zugriffskontrolle): Ein Konto kann technisch nur Daten des eigenen Betriebs lesen. Die Trennung liegt nicht allein in der Anwendungslogik
- Passwortrichtlinie; Zugangsdaten nur als Hash gespeichert
- Der Geo-Server ist nur mit gültigem Zugangsschlüssel erreichbar
Trennung und Änderungskontrolle
- Getrennte Umgebungen für Entwicklung und Produktion; Zugangsdaten der Produktion liegen nicht auf Arbeitsrechnern
- Schema-Änderungen laufen automatisiert und nachvollziehbar über die Auslieferungskette; Eingriffe von Hand sind ausgeschlossen
- Geschützter Hauptzweig, automatische Prüfungen vor jeder Auslieferung, Geheimnisprüfung vor jedem Commit
Verfügbarkeit und Belastbarkeit
- Automatische tägliche Sicherungen mit Wiederherstellung auf einen Zeitpunkt
- Erreichbarkeitsprüfung und dokumentierte Notfallpläne
- Mengenbegrenzung und Honigtopf auf allen öffentlichen Endpunkten
Datenminimierung
- IP-Adressen der Mengenbegrenzung nur als Hashwert mit Server-Salt
- Reichweitenmessung cookielos und ohne Wiedererkennung
- Beim Weitergeben eines Tagesplans entsteht kein zusätzlicher Datenweg über unsere Infrastruktur
Eine ausführliche Fassung ist im Verzeichnis der Verarbeitungstätigkeiten dokumentiert und wird auf Anfrage zur Verfügung gestellt.
§ 6 Unterauftragsverarbeiter
(1) Der Betrieb stimmt dem Einsatz folgender Unterauftragsverarbeiter zu:
| Dienstleister | Aufgabe | Ort der Verarbeitung |
|---|---|---|
| Supabase Inc. | Datenbank, Anmeldung, Dateiablage | EU (Frankfurt) |
| Vercel Inc. | Hosting der Anwendung | EU (Frankfurt) |
| Hetzner Online GmbH | Adresssuche und Fahrzeitberechnung | Deutschland (Falkenstein) |
| Resend Inc. | E-Mail-Versand (Bestätigungen, Benachrichtigungen) | EU/USA |
| Functional Software Inc. (Sentry) | Fehlerüberwachung | EU-Region |
| Stadia Maps, Inc. | Kartenkacheln | EU (eigene EU-Endpunkte) |
(2) Mit allen genannten Dienstleistern bestehen Verträge nach Art. 28 DSGVO. Bei Übermittlungen in Drittländer sind Standardvertragsklauseln vereinbart.
(3) Die Anbieterin unterrichtet den Betrieb mindestens 30 Tage vorher in Textform über beabsichtigte Änderungen. Der Betrieb kann widersprechen; im Fall eines Widerspruchs, der die Leistungserbringung unmöglich macht, kann jede Seite kündigen.
§ 7 Unterstützungspflichten
(1) Die Anbieterin unterstützt den Betrieb mit geeigneten Maßnahmen bei der Beantwortung von Betroffenenanfragen (Auskunft, Berichtigung, Löschung, Übertragbarkeit). Wendet sich eine betroffene Person direkt an die Anbieterin, verweist sie an den Betrieb und unterrichtet diesen.
(2) Sie unterstützt bei der Einhaltung der Art. 32 bis 36 DSGVO, insbesondere bei einer Datenschutz-Folgenabschätzung.
(3) Sie meldet dem Betrieb eine Verletzung des Schutzes personenbezogener Daten unverzüglich, spätestens innerhalb von 24 Stunden nach Kenntnis, mit allen ihr vorliegenden Angaben.
§ 8 Kontrollrechte
(1) Der Betrieb hat das Recht, die Einhaltung dieses Vertrags zu überprüfen.
(2) Die Anbieterin weist die Einhaltung vorrangig durch Auskünfte und die Vorlage der Dokumentation nach. Eine Prüfung vor Ort ist nur bei konkretem Anlass, nach angemessener Vorankündigung und während der üblichen Geschäftszeiten zulässig; der damit verbundene Aufwand kann in Rechnung gestellt werden.
§ 9 Löschung und Rückgabe
(1) Nach Ende des Nutzungsvertrags löscht die Anbieterin die Daten oder gibt sie zurück — nach Wahl des Betriebs.
(2) Vor der Löschung wird ein Export in einem gängigen, maschinenlesbaren Format bereitgestellt, abrufbar für mindestens 30 Tage.
(3) Gesetzliche Aufbewahrungspflichten bleiben unberührt. Für die Dauer der Aufbewahrung wird die Verarbeitung eingeschränkt.
§ 10 Haftung
Es gilt Art. 82 DSGVO. Im Innenverhältnis gilt die Haftungsregelung der Nutzungsbedingungen entsprechend.