Auftragsverarbeitungsvertrag (AVV) gemäß Art. 28 DSGVO

Verantwortlicher im Sinne des Art. 4 Nr. 7 DSGVO ist der jeweilige Handwerksbetrieb bzw. das Unternehmen, das DRH.wise nutzt (nachfolgend „Kunde“). Der Kunde bestimmt Zwecke und Mittel der Verarbeitung der von ihm eingegebenen personenbezogenen Daten.

Auftragsverarbeiterin im Sinne des Art. 4 Nr. 8 DSGVO ist:
Christin Dörfer, DRH.wise, Sophienstr. 22, 08451 Crimmitschau, Deutschland
E-Mail: hallo@drhwise.de

Dieser AVV konkretisiert die datenschutzrechtlichen Pflichten der Parteien im Rahmen des Nutzungsvertrags über DRH.wise (AGB). Er gilt ergänzend zu den AGB und der Datenschutzerklärung.

Gegenstand ist die Bereitstellung und der Betrieb der SaaS-Anwendung DRH.wise (Projekt-, Kalkulations-, Angebots- und Rechnungssoftware für Handwerksbetriebe) einschließlich der Speicherung und Verarbeitung der vom Kunden eingegebenen oder hochgeladenen personenbezogenen Daten.

Die Verarbeitung erfolgt für die Dauer des Nutzungsverhältnisses (einschließlich Testphase). Nach Vertragsende werden die Daten nach § 12 dieses AVV behandelt.

Zweck ist ausschließlich die vertragsgemäße Bereitstellung der Anwendung. Die Verarbeitung umfasst insbesondere:

• Erheben, Speichern, Strukturieren und Ordnen der eingegebenen Daten,
• Abrufen, Anzeigen und Auswerten innerhalb der Anwendung,
• Ändern, Berichtigen und Löschen im Auftrag des Kunden,
• Anlegen und Fortschreiben von Kunden- und Ansprechpartnerdaten, Projekten, Aufmaßen, Leistungen, Material- und Zeitdaten, Kalkulationen, Angeboten, Aufträgen, Rechnungen (einschließlich E-Rechnung/ZUGFeRD) sowie hochgeladenen Dokumenten und Bildern,
• technische Bereitstellung, Datensicherung, Protokollierung sicherheitsrelevanter Vorgänge sowie Fehleranalyse und Support,
• Bereitstellung und Verwaltung der Benutzerkonten des Kunden.

Eine Nutzung der Kundendaten zu eigenen Zwecken der Auftragsverarbeiterin, insbesondere zu Werbe-, Analyse- oder Trainingszwecken, findet nicht statt.

• Namen und Bezeichnungen von Kunden, Interessenten und Ansprechpartnern,
• Anschriften, Baustellen- und Lieferadressen,
• Kontaktdaten (E-Mail-Adressen, Telefon-, Mobilnummern),
• Unternehmensdaten mit Personenbezug, insbesondere bei Einzelunternehmern (Firmenname, Steuer- bzw. USt-IdNr., Bankdaten, soweit eingegeben),
• Projekt- und Vorgangsdaten mit Personenbezug, Notizen, Dokumente und Bilder,
• Angebots-, Auftrags- und Rechnungsdaten einschließlich Positionen und Beträge,
• Zahlungs- und Statusinformationen zu Vorgängen des Kunden,
• Benutzer- und Mitarbeiterdaten des Kunden (Name, E-Mail-Adresse, Rolle, Status, erfasste Zeiten, Anmeldezeitpunkte),
• Daten von Lieferanten, Subunternehmern und sonstigen Geschäftspartnern, soweit erfasst.

Besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO sind nicht Gegenstand dieses Vertrags und sollen nicht in DRH.wise verarbeitet werden.

• Kunden und Auftraggeber des Kunden,
• Interessenten,
• Ansprechpartner bei Kunden, Auftraggebern und Geschäftspartnern,
• Mitarbeiter und Benutzer des Kunden,
• Lieferanten, Subunternehmer und sonstige Geschäftspartner, soweit gespeichert.

Die Auftragsverarbeiterin verarbeitet personenbezogene Daten ausschließlich im Rahmen dieses Vertrags und auf dokumentierte Weisung des Kunden. Die Nutzung der in DRH.wise bereitgestellten Funktionen durch den Kunden und seine Benutzer stellt eine dokumentierte Weisung dar. Weitere Weisungen erfolgen in Textform, insbesondere per E-Mail an hallo@drhwise.de.

Hält die Auftragsverarbeiterin eine Weisung für datenschutzrechtlich unzulässig, teilt sie dies dem Kunden unverzüglich mit und kann die Ausführung bis zur Bestätigung oder Änderung der Weisung aussetzen. Verstößt eine Weisung offensichtlich gegen die DSGVO oder andere Datenschutzvorschriften, darf die Ausführung verweigert werden (Art. 28 Abs. 3 Satz 3 DSGVO).

Zugriff auf personenbezogene Daten des Kunden erhalten nur Personen, die zur Vertraulichkeit verpflichtet und über die datenschutzrechtlichen Pflichten unterrichtet sind. Der Zugriff erfolgt nur im tatsächlich erforderlichen Umfang, insbesondere zur technischen Bereitstellung, Fehlerbehebung und Unterstützung auf Anfrage des Kunden.

DRH.wise wird derzeit von der Anbieterin als Einzelunternehmen betrieben; weitere zugriffsberechtigte Personen bestehen nicht. Werden künftig Beschäftigte oder Dienstleister eingesetzt, werden diese vor Aufnahme der Tätigkeit zur Vertraulichkeit verpflichtet.

Die Auftragsverarbeiterin trifft die in Anhang 1 (TOM) beschriebenen technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO und hält diese während der Vertragslaufzeit auf einem angemessenen Stand. Maßnahmen dürfen angepasst werden, sofern das Schutzniveau nicht unterschritten wird.

Der Kunde erteilt eine allgemeine Genehmigung zum Einsatz der in Anhang 2 genannten Unterauftragsverarbeiter. Mit diesen bestehen bzw. werden Verträge geschlossen, die den Anforderungen des Art. 28 DSGVO entsprechen.

Die Auftragsverarbeiterin darf weitere Unterauftragsverarbeiter hinzuziehen oder bestehende austauschen. Über wesentliche Änderungen informiert sie den Kunden vorab in Textform (z. B. per E-Mail oder Hinweis in der Anwendung). Der Kunde kann einer wesentlichen Änderung innerhalb von 14 Tagen aus datenschutzrechtlich berechtigten Gründen widersprechen. Kann der Widerspruch nicht ausgeräumt werden, ist der Kunde berechtigt, den Nutzungsvertrag zum Wirksamwerden der Änderung zu kündigen.

Eine Verarbeitung außerhalb der EU/des EWR ist möglich, soweit Unterauftragsverarbeiter Infrastruktur oder Support außerhalb des EWR einsetzen. In diesen Fällen erfolgt die Übermittlung auf Grundlage der von dem jeweiligen Anbieter bereitgestellten Transfermechanismen, insbesondere der EU-Standardvertragsklauseln und – soweit anwendbar – des EU-US Data Privacy Framework, ergänzt um Verschlüsselung der Übertragung und Zugriffsbeschränkungen. Die konkrete Grundlage je Anbieter ist in Anhang 2 ausgewiesen; wo sie nicht abschließend belegt ist, ist sie dort als offen gekennzeichnet.

Die Auftragsverarbeiterin unterstützt den Kunden im angemessenen Rahmen und entsprechend den technischen Möglichkeiten bei der Erfüllung von Anfragen betroffener Personen (Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit, Widerspruch) sowie bei Datenschutz-Folgenabschätzungen und Abstimmungen mit Aufsichtsbehörden, soweit erforderlich. Anfragen betroffener Personen, die unmittelbar an DRH.wise gerichtet werden, werden nicht eigenständig beantwortet, sondern an den Kunden weitergeleitet.

Wird der Auftragsverarbeiterin eine Verletzung des Schutzes personenbezogener Daten des Kunden bekannt, informiert sie den Kunden unverzüglich nach Bekanntwerden in Textform und stellt die ihr vorliegenden Informationen zur Verfügung, die der Kunde für seine Meldepflichten nach Art. 33, 34 DSGVO benötigt.

Der Betriebsinhaber kann den Kontoabschluss in der Anwendung im Bereich „Konto“ selbst beantragen. Der Abschluss wird nach Ablauf von 30 Tagen wirksam; innerhalb dieser Frist kann der Antrag in der Anwendung widerrufen werden. Danach werden die personenbezogenen Daten des Betriebs gelöscht oder gesperrt.

Daten, die gesetzlichen Aufbewahrungspflichten unterliegen (insbesondere Rechnungs- und Abrechnungsdaten nach § 147 AO, § 257 HGB), werden bis zum Ablauf der jeweiligen Frist geschützt gespeichert und für andere Zwecke gesperrt.

Vor dem endgültigen Abschluss kann der Kunde die in der Anwendung erzeugten Dokumente (insbesondere Angebots- und Rechnungs-PDFs sowie E-Rechnungsdateien) herunterladen. Eine vollständige automatisierte Gesamtausleitung aller Datenbankinhalte in einem maschinenlesbaren Format steht derzeit nicht als Selbstbedienungsfunktion zur Verfügung; eine Datenkopie kann auf Anfrage im technisch zumutbaren Umfang bereitgestellt werden.

Die Auftragsverarbeiterin stellt dem Kunden auf Anfrage die zum Nachweis der Einhaltung von Art. 28 DSGVO erforderlichen Informationen zur Verfügung, insbesondere diesen AVV, die TOM-Dokumentation und die Liste der Unterauftragsverarbeiter.

Weitergehende Prüfungen erfolgen nach angemessener Vorankündigung (in der Regel 14 Tage) zu den üblichen Geschäftszeiten, in einem angemessenen Umfang und ohne Störung des laufenden Betriebs. Ein Zugriff auf Systeme, Daten oder Mandanten anderer Kunden ist ausgeschlossen; die Sicherheit und Vertraulichkeit der Multi-Mandanten-Umgebung bleibt gewahrt. Prüfungen bei Unterauftragsverarbeitern erfolgen über die von diesen bereitgestellten Nachweise und Berichte.

Dieser AVV wird elektronisch abgeschlossen: Mit der Bestätigung bei der Registrierung (bzw. einer späteren Bestätigung in der Anwendung) kommt er zwischen dem Kunden und der Auftragsverarbeiterin zustande. Der Abschluss wird mit Benutzer, Betrieb, Zeitpunkt und AVV-Version dokumentiert.

Bei Widersprüchen gehen die Regelungen dieses AVV den AGB in datenschutzrechtlichen Fragen vor. Es gilt deutsches Recht. Sollten einzelne Bestimmungen unwirksam sein, bleibt der übrige Vertrag wirksam.

• Anmeldung ausschließlich über ein Benutzerkonto mit E-Mail-Adresse und Passwort; optional Anmeldung über Google-Konto.
• Passwörter werden nicht im Klartext gespeichert, sondern als Hash im Authentifizierungsdienst der Plattform verwaltet; Mindestlänge 8 Zeichen.
• Pflicht zur Bestätigung der E-Mail-Adresse; Selbstbedienungs-Passwortreset.
• Rollen- und Berechtigungssystem (Administrator, Betriebsinhaber, Mitarbeiter, Monteur) mit serverseitiger Prüfung der Rolle über Datenbankfunktionen; Rollen werden in einer separaten Tabelle geführt und sind vom Benutzer nicht selbst änderbar.
• Zugang zur Anwendung wird serverseitig geprüft: nur aktive Benutzer mit gültiger Testphase bzw. gültigem Abonnement erhalten Datenzugriff.
• Automatische Sitzungsverwaltung mit ablaufenden Zugangstoken.

• Strikte Mandantentrennung: jeder Betrieb (Tenant) hat eigene Datensätze; jede relevante Tabelle führt eine Betriebszuordnung.
• Row Level Security (RLS) ist auf allen fachlichen Tabellen aktiviert; Zugriff nur auf Datensätze des eigenen Betriebs.
• Zusätzliche restriktive Schreib-Policies verhindern Schreibzugriffe durch nicht berechtigte Rollen (z. B. Monteur) und auf zentrale Stammdatenbibliotheken.
• Schutz sicherheitsrelevanter Profilfelder (Betriebszuordnung, Aktivstatus, Rolle, E-Mail) durch Datenbank-Trigger gegen nachträgliche Manipulation durch Benutzer.
• Nachweise zu AGB-Zustimmung und AVV-Abschluss sind nur lesbar, nicht änderbar.

• Ausschließlich verschlüsselte Übertragung über HTTPS/TLS.
• Dokumente und Bilder liegen in privaten Speicher-Buckets; Zugriff nur über zeitlich begrenzte, betriebsbezogene Freigaben; Dateipfade sind an den Betrieb gebunden.
• Zugangsdaten zu externen Diensten (z. B. Zahlungsdienstleister) werden ausschließlich in einem serverseitigen Secret-Store gehalten und nicht im Quellcode gespeichert.
• Datenbank- und Dateispeicher werden vom Plattformbetreiber verschlüsselt betrieben (Verschlüsselung im Ruhezustand nach Angaben des Anbieters).

• Festgeschriebene Rechnungen und deren Positionen sind ab Vergabe der Rechnungsnummer durch Datenbank-Trigger unveränderbar; Korrekturen erfolgen ausschließlich über Storno bzw. Rechnungskorrektur.
• Fortlaufende Nummernkreise für Angebote, Rechnungen und Storni werden serverseitig vergeben.
• Eingehende Webhooks des Zahlungsdienstleisters werden per Signaturprüfung (HMAC-SHA256) validiert; Mehrfachverarbeitung wird über eine Ereignis-Kennung verhindert (Idempotenz).
• Änderungsprotokolle (Historie) zu Projekten, Leistungen, Material, Angeboten und Rechnungen werden betriebsbezogen geführt.

• Betrieb auf verwalteter Cloud-Infrastruktur mit Plattform-Monitoring und Fehlerprotokollierung.
• Selbstbedienungs-Kontoabschluss mit 30-Tage-Frist und Widerrufsmöglichkeit; anschließende Löschung bzw. Sperrung.
• Sicherheitsupdates: Abhängigkeiten und Plattformkomponenten werden laufend aktualisiert; Sicherheitsprüfungen der Datenbank-Policies erfolgen regelmäßig.
• Offen: Es besteht keine Zwei-Faktor-Authentifizierung für Benutzerkonten der Anwendung.
• Umgesetzt / interne Dokumentation vorhanden: Verzeichnis von Verarbeitungstätigkeiten (VVT), Lösch- und Aufbewahrungskonzept mit Fristen sowie ein schriftliches Notfall-/Incident-Response-Verfahren liegen intern vor.

Technisch umgesetzte Maßnahmen:

• DRH.wise verfügt über eine Betreiberfunktion zur manuellen Sicherung der geschäftskritischen Anwendungsdaten. Ein Datenbank- und ein Dateisicherungslauf wurden praktisch erprobt.
• Die Sicherung umfasst die fachlichen Datenbanktabellen einschließlich betriebsbezogener Daten, Belegdaten (Angebote, Rechnungen, Positionen), fortlaufender Nummernkreise, Vertragsnachweise (AGB-Zustimmung, AVV-Abschluss), Abrechnungsmerkmale zur Zuordnung beim Zahlungsdienstleister sowie zentraler Stammdaten.
• Die Sicherungsdatei enthält strukturierte JSON-Daten als Wiederherstellungsgrundlage, zusätzliche Tabellen-Auszüge im CSV-Format, ein Manifest sowie SHA-256-Prüfsummen je Datendatei und kann außerhalb der Produktivplattform gespeichert werden.
• Dateien der privaten Speicher-Bereiche (Projektdokumente, Betriebslogos, Leistungsbilder) werden über einen getrennten Sicherungslauf exportiert.
• Authentifizierungsgeheimnisse (Passwörter, Passwort-Hashes, Sitzungs- und Zugriffstoken), Secrets sowie Zahlungsdaten des Zahlungsdienstleisters sind nicht Bestandteil der Sicherung.
• Das Erstellen von Sicherungen ist ausschließlich für den globalen DRH.wise-Systemadministrator freigegeben; die Berechtigung wird serverseitig geprüft. Benutzer, Betriebsinhaber und Betriebs-Administratoren haben keinen Zugriff.
• Sicherungsdateien werden im Arbeitsspeicher erzeugt und unmittelbar an den Browser des Systemadministrators ausgeliefert; sie werden nicht in der Anwendung abgelegt und sind nicht öffentlich abrufbar.
• Erfolgreiche und fehlgeschlagene Sicherungsvorgänge werden technisch protokolliert (Zeitpunkt, Art, Ergebnis, Umfang) – ohne Inhalte der gesicherten Daten.

Organisatorische Betriebsregeln:

• Mindestens wöchentlich wird eine manuelle Sicherung erstellt.
• Zusätzlich wird vor datenverändernden Datenbankmigrationen und vor größeren Änderungen am Datenmodell gesichert.
• Sicherungen werden außerhalb der Produktivplattform geschützt aufbewahrt und nicht weitergegeben.
• Ein technisches Restore-Runbook dokumentiert die grundsätzliche Vorgehensweise zur Wiederherstellung (Reihenfolge, Abhängigkeiten, Nacharbeiten).

Offene Punkte:

• Offen: Die Sicherung erfolgt manuell durch die Betreiberin; ein automatisierter täglicher Export an einen externen Speicherort besteht nicht.
• Offen: Ein vollständiger produktiver Wiederherstellungstest wurde bislang nicht durchgeführt.
• Offen: Eine Zeitpunkt-Wiederherstellung (Point-in-Time-Recovery) ist nicht bestätigt; Sicherungen der Plattform- bzw. Datenbankinfrastruktur werden durch den jeweiligen Betreiber erbracht und sind nicht Gegenstand dieser Maßnahmen.
• Offen: Benutzerkonten und Anmeldegeheimnisse lassen sich aus der DRH.wise-Sicherung nicht wiederherstellen; nach einer Wiederherstellung ist eine erneute Verknüpfung der Anmeldekonten erforderlich.