Auftragsverarbeitungs­vertrag

Dieser Auftragsverarbeitungsvertrag (nachfolgend „AVV”) gilt zwischen Tom Trögler, Schutterstr. 36/5, 77743 Neuried, Deutschland (nachfolgend „Auftragnehmer”) und jedem Kunden der Fieldo-Plattform, der über die Plattform personenbezogene Daten Dritter verarbeitet (nachfolgend „Auftraggeber”). Der AVV wird durch die Nutzung der Plattform unter den Voraussetzungen von § 10 der AGB akzeptiert.

§ 1 Gegenstand und Dauer der Verarbeitung

1.1 Gegenstand dieses AVV ist die Verarbeitung personenbezogener Daten durch den Auftragnehmer im Auftrag des Auftraggebers im Rahmen der Nutzung der Fieldo-Plattform (fieldo.de).

1.2 Die Laufzeit dieses AVV entspricht der Laufzeit des Nutzungsvertrags. Der AVV endet automatisch mit Beendigung des Nutzungsvertrags.

§ 2 Art und Zweck der Verarbeitung

Art der Verarbeitung: Erhebung, Speicherung, Abruf, Übermittlung, Darstellung, Änderung, Löschung.

Zweck der Verarbeitung: Bereitstellung der Fieldo-Plattform für den Auftraggeber, insbesondere:

• Speicherung und Verwaltung von Kundenstammdaten (Endkunden des Auftraggebers)
• Erstellung, Speicherung und Verwaltung von Serviceberichten einschließlich Fotos, Unterschriften und Tätigkeitsbeschreibungen
• Versand von Berichten als PDF an Endkunden per E-Mail
• Speicherung und Verwaltung von Berichtsvorlagen
• Verwaltung von Mitarbeitern und Teammitgliedern

§ 3 Kategorien betroffener Personen

• Endkunden des Auftraggebers (Personen, über die Serviceberichte erstellt werden)
• Mitarbeiter und Techniker des Auftraggebers (Nutzer der Plattform)

§ 4 Kategorien personenbezogener Daten

• Endkundendaten: Name, Vorname, Firmenname, Adresse, E-Mail-Adresse, Telefonnummer
• Berichtsdaten: Einsatzdaten, Tätigkeitsbeschreibungen, Fotos, handschriftliche Unterschriften, Status- und Terminangaben
• Mitarbeiterdaten: Name, E-Mail-Adresse, Rolle im Team

§ 5 Weisungsgebundenheit

5.1 Der Auftragnehmer verarbeitet personenbezogene Daten ausschließlich gemäß den dokumentierten Weisungen des Auftraggebers. Die Nutzung der Plattform durch den Auftraggeber stellt eine fortlaufende Weisung dar.

5.2 Sofern der Auftragnehmer nach dem Unionsrecht oder dem Recht eines Mitgliedstaats zur Verarbeitung verpflichtet ist, teilt er dem Auftraggeber diese Anforderungen vor der Verarbeitung mit, es sei denn, das betreffende Recht verbietet eine solche Mitteilung.

5.3 Ist der Auftragnehmer der Auffassung, dass eine Weisung des Auftraggebers gegen die DSGVO oder sonstige datenschutzrechtliche Bestimmungen verstößt, informiert er den Auftraggeber unverzüglich.

§ 6 Vertraulichkeit

Der Auftragnehmer stellt sicher, dass alle mit der Verarbeitung personenbezogener Daten befassten Personen zur Vertraulichkeit verpflichtet sind oder einer gesetzlichen Verschwiegenheitspflicht unterliegen.

§ 7 Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

Der Auftragnehmer trifft geeignete technische und organisatorische Maßnahmen zum Schutz der personenbezogenen Daten, insbesondere:

• Transportverschlüsselung: Alle Datenübertragungen erfolgen ausschließlich über HTTPS/TLS.
• Zugangskontrolle: Authentifizierung über Clerk mit Passwort und optionaler Zwei-Faktor-Authentifizierung.
• Zugriffskontrolle: Mandantentrennung durch Clerk Organizations; rollenbasierte Berechtigungen (Admin / Techniker). Techniker sehen ausschließlich eigene Berichte.
• Datenisolation: Alle Datenbankabfragen sind auf den Mandanten (Tenant) des Auftraggebers beschränkt.
• Dateizugriff: Hochgeladene Dateien (Fotos, Unterschriften) werden über signierte, zeitlich begrenzte URLs ausgeliefert.
• Verfügbarkeit: Betrieb auf Cloudflare-Infrastruktur mit hoher Redundanz und automatischem Failover.
• Eingabevalidierung: Serverseitige Validierung aller Eingaben zur Verhinderung unberechtigter Datenmanipulation.

Die Maßnahmen werden regelmäßig überprüft und bei Bedarf angepasst.

§ 8 Unterauftragsverarbeiter

8.1 Der Auftragnehmer setzt für die Bereitstellung der Plattform folgende Unterauftragsverarbeiter ein:

8.2 Neue oder veränderte Unterauftragsverarbeiter werden dem Auftraggeber über die Datenschutzerklärung auf fieldo.de/datenschutz und auf Wunsch per E-Mail mitgeteilt. Der Auftraggeber hat das Recht, innerhalb von 14 Tagen nach Mitteilung berechtigte Einwände zu erheben. Kommt keine Einigung zustande, kann der Auftraggeber den Vertrag aus wichtigem Grund außerordentlich kündigen.

8.3 Der Auftragnehmer schließt mit Unterauftragsverarbeitern seinerseits Auftragsverarbeitungsverträge ab, die mindestens die gleichen Datenschutzpflichten wie dieser AVV auferlegen.

§ 9 Rechte der betroffenen Personen

9.1 Der Auftragnehmer unterstützt den Auftraggeber durch geeignete technische und organisatorische Maßnahmen dabei, seinen Pflichten gegenüber betroffenen Personen nachzukommen (Auskunft nach Art. 15, Berichtigung nach Art. 16, Löschung nach Art. 17, Einschränkung der Verarbeitung nach Art. 18, Datenportabilität nach Art. 20 und Widerspruch nach Art. 21 DSGVO).

9.2 Betroffenenanfragen, die direkt beim Auftragnehmer eingehen, werden unverzüglich an den Auftraggeber weitergeleitet. Der Auftragnehmer beantwortet diese Anfragen selbst nur nach ausdrücklicher Weisung des Auftraggebers.

§ 10 Meldung von Datenschutzverletzungen

10.1 Der Auftragnehmer benachrichtigt den Auftraggeber unverzüglich, spätestens innerhalb von 48 Stunden nach Bekanntwerden einer Verletzung des Schutzes personenbezogener Daten per E-Mail an die hinterlegte Kontaktadresse des Auftraggebers.

10.2 Die Meldung enthält mindestens: eine Beschreibung der Art der Verletzung, soweit möglich Kategorien und Anzahl betroffener Personen und Datensätze sowie eine Beschreibung der ergriffenen oder vorgeschlagenen Abhilfemaßnahmen.

10.3 Weitergehende Informationen werden dem Auftraggeber schnellstmöglich nachgereicht.

§ 11 Unterstützung bei Datenschutz-Folgenabschätzungen

Der Auftragnehmer unterstützt den Auftraggeber bei der Durchführung von Datenschutz-Folgenabschätzungen gemäß Art. 35 DSGVO sowie bei der vorherigen Konsultation der Aufsichtsbehörde gemäß Art. 36 DSGVO, soweit dies in seinen Möglichkeiten steht und die Verarbeitung den Auftragnehmer betrifft.

§ 12 Löschung und Rückgabe nach Auftragsende

12.1 Nach Beendigung des Nutzungsvertrags löscht der Auftragnehmer auf Anfrage des Auftraggebers alle personenbezogenen Daten, sofern nicht gesetzliche Aufbewahrungspflichten einer sofortigen Löschung entgegenstehen (insbesondere steuerrechtliche Aufbewahrungspflichten für Abrechnungsdaten).

12.2 Vor Vertragsende kann der Auftraggeber Berichte als PDF exportieren.

12.3 Der Auftragnehmer bestätigt die Löschung auf Anfrage des Auftraggebers in Textform.

§ 13 Kontrollrechte des Auftraggebers

13.1 Der Auftraggeber hat das Recht, die Einhaltung der datenschutzrechtlichen Bestimmungen beim Auftragnehmer zu kontrollieren. Kontrollen sind mit einer angemessenen Frist (in der Regel mindestens 14 Tage) vorab in Textform anzukündigen.

13.2 Der Auftragnehmer stellt dem Auftraggeber alle zur Nachweisführung gemäß Art. 28 Abs. 3 lit. h DSGVO erforderlichen Informationen zur Verfügung und ermöglicht Überprüfungen, einschließlich Inspektionen, soweit diese den laufenden Betrieb der Plattform nicht unzumutbar beeinträchtigen.

13.3 Kontrollen können auch durch einen vom Auftraggeber beauftragten und vom Auftragnehmer genehmigten Dritten durchgeführt werden. Kosten trägt der Auftraggeber.

§ 14 Schlussbestimmungen

14.1 Für diesen AVV gilt das Recht der Bundesrepublik Deutschland. Soweit dieser AVV keine abweichenden Regelungen enthält, gelten ergänzend die AGB des Anbieters.

14.2 Änderungen dieses AVV bedürfen der Textform. Änderungen, die durch Anpassungen der DSGVO oder damit zusammenhängender Rechtsakte erforderlich werden, kann der Auftragnehmer einseitig vornehmen und dem Auftraggeber mitteilen.

14.3 Sollten einzelne Bestimmungen dieses AVV ganz oder teilweise unwirksam sein oder werden, berührt dies nicht die Wirksamkeit der übrigen Bestimmungen.

14.4 Kontakt für Datenschutzanfragen zum AVV: datenschutz@fieldo.de