Auftragsverarbeitungsvertrag (AVV)
Vereinbarung über die Datenverarbeitung im Auftrag gemäß Art. 28 Datenschutz-Grundverordnung (DSGVO)
1. Gegenstand und Dauer
(1) Der Auftragsverarbeiter (Yasin Izmir – CraftFlow, Bischofstraße 41, 52223 Stolberg, Deutschland) verarbeitet im Auftrag des Handwerksbetriebs (Verantwortlicher) personenbezogene Daten zur Bereitstellung der CraftFlow SaaS-Funktionen (Auftragsverwaltung, mobile Monteur-Dokumentation, Rechnungsentwurf-Erstellung, Audio-Transkription).
(2) Die Dauer dieser Vereinbarung entspricht der Laufzeit des Hauptvertrages über die SaaS-Nutzung.
2. Kategorien betroffener Personen und Datenarten
Kategorien betroffener Personen:
- Endkunden und Auftraggeber des Handwerksbetriebs
- Mitarbeiter und Monteure des Handwerksbetriebs
Arten der verarbeiteten Daten:
- Kundenstammdaten (Name, Anschrift / Einsatzort, Telefonnummer, E-Mail-Adresse)
- Objekt- und Auftragsdaten (Schadensbeschreibungen, Fotos von Anlagen, Arbeitszeitnachweise)
- Rechnungs- und Positionsdaten (Leistungstexte, Beträge, Materiallisten)
- Flüchtige Audiodaten (Sprachdiktate von Monteuren zur Umwandlung in Text)
3. Pflichten des Auftragsverarbeiters
(1) Die Verarbeitung erfolgt ausschließlich auf dokumentierte Weisung des Kunden (Art. 28 Abs. 3 lit. a DSGVO).
(2) Der Auftragsverarbeiter verpflichtet alle mit der Verarbeitung betrauten Personen zur Vertraulichkeit.
(3) Der Auftragsverarbeiter unterstützt den Kunden bei Anfragen betroffener Personen sowie bei Sicherheits- und Meldepflichten gemäß Art. 32 bis 36 DSGVO.
4. Genehmigte Unterauftragsverarbeiter
Folgende Unterauftragsverarbeiter sind für den Betrieb der Plattform beauftragt:
| Dienstleister | Standort | Zweck | Garantie |
|---|---|---|---|
| Hetzner Online GmbH | Deutschland (EU) | Serverinfrastruktur & Datenbanken | ISO 27001, AVV in DE |
| Stripe Payments Europe Ltd. | Irland (EU) | Abonnement-Zahlungen | Art. 28 DSGVO / SCC |
| KI-API-Provider (OpenAI / Azure EU) | EU / Ir. / US | Flüchtige Transkription & Notizstrukturierung | Zero-Retention, kein Modelltraining, DPF/SCC |
5. Technische und organisatorische Maßnahmen (TOMs)
Der Auftragsverarbeiter setzt folgende Schutzmaßnahmen gemäß Art. 32 DSGVO um:
- Verschlüsselung: Durchgehende Transportverschlüsselung via TLS 1.3 / HTTPS und Verschlüsselung ruhender Daten (Encryption at Rest).
- Mandantentrennung: Strikte logische Trennung aller Mandantendatenbanken und Nutzerberechtigungen.
- Zugangskontrolle: Strenge Authentifizierungsmechanismen, gehashte Passwörter und rollenbasierte Zugriffskontrollen.
- Verfügbarkeit & Wiederherstellbarkeit: Tägliche automatisierte Backups und kontinuierliches Monitoring der Systemkomponenten.
6. Löschung von Daten nach Vertragsende
Nach Beendigung des Hauptvertrages werden sämtliche auftragsbezogene Daten nach Ablauf einer 30-tägigen Exportfrist unwiderruflich gelöscht, soweit keine gesetzlichen Aufbewahrungspflichten entgegenstehen.