Auftragsverarbeitungsvertrag (AVV)

AVV-Version 1.0 · gültig ab 26.08.2026.

nach Art. 28 DSGVO zwischen dem Kunden (nachfolgend „Verantwortlicher") und dem Anbieter von HandwerkDock (nachfolgend „Auftragsverarbeiter"). Dieser AVV wird mit der Registrierung eines Betriebskontos und der Nutzung von HandwerkDock Bestandteil des Vertrags und geht bei Widersprüchen den AGB in datenschutzrechtlichen Fragen vor.

Vertragsparteien

Verantwortlicher: der Betrieb, der das Nutzerkonto bei HandwerkDock angelegt hat, mit den bei der Registrierung angegebenen Daten.
Auftragsverarbeiter: Mario Domnjak (HandwerkDock), Leobenerstr. 20A, 70469 Stuttgart, E-Mail: info@handwerkdock.app.

§ 1 Gegenstand, Art und Zweck, Dauer

1. Der Auftragsverarbeiter verarbeitet personenbezogene Daten im Auftrag des Verantwortlichen ausschließlich zur Bereitstellung der Software HandwerkDock (Verwaltung von Anfragen, Kunden, Angeboten, Terminen, Kommunikation und – auf ausdrückliche Aktion – KI-gestützten Textentwürfen).
2. Art der Verarbeitung: Erheben, Erfassen, Speichern, Anzeigen, Verändern, Übermitteln an beauftragte Unterauftragsverarbeiter und Löschen im Rahmen der Softwarenutzung.
3. Die Dauer entspricht der Laufzeit des Nutzungsvertrags. Der AVV endet mit dessen Beendigung; die Pflichten zur Löschung/Rückgabe (§ 8) bestehen fort.

§ 2 Kategorien betroffener Personen und Daten

1. Betroffene Personen: Endkunden und Interessenten des Verantwortlichen sowie dessen Mitarbeitende, soweit deren Daten im System erfasst werden.
2. Kategorien personenbezogener Daten: Stammdaten (z. B. Name, Anschrift, Ort), Kontaktdaten (z. B. Telefon, E-Mail), Vorgangsdaten (Anfragen, Anliegen, Angebote, Beträge, Termine, Notizen, Kommunikationsverlauf) sowie Konto-/Nutzerdaten der Mitarbeitenden.
3. Der Verantwortliche gibt keine besonderen Kategorien personenbezogener Daten (Art. 9 DSGVO) in das System ein, sofern dies nicht ausdrücklich vereinbart und abgesichert ist.

§ 3 Weisungsrecht

1. Der Auftragsverarbeiter verarbeitet die Daten ausschließlich im Rahmen des Vertrags und nach den dokumentierten Weisungen des Verantwortlichen. Die Nutzung der Software durch den Verantwortlichen gilt als Weisung.
2. Hält der Auftragsverarbeiter eine Weisung für rechtswidrig, informiert er den Verantwortlichen; er ist berechtigt, die Ausführung auszusetzen, bis sie bestätigt oder geändert wird.

§ 4 Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

Der Auftragsverarbeiter trifft geeignete Maßnahmen zum Schutz der Daten, insbesondere:

• Verschlüsselte Übertragung (HTTPS/TLS); Passwörter werden nur als Hash gespeichert.
• Strikte Mandantentrennung auf Datenbankebene (Row-Level-Security): jeder Betrieb sieht ausschließlich seine eigenen Daten.
• Rollen- und Rechtekonzept mit abgestuften Zugriffsrechten je Mitarbeiterrolle.
• Zugriff auf produktive Systeme nur für befugte Personen; serverseitige Verarbeitung geschützter Endpunkte nur nach Authentifizierung.
• Primäre Datenhaltung in einem Rechenzentrum in der EU (Frankfurt, Supabase); konfigurierte Ausführungsregion der Serverfunktionen: Frankfurt. Einzelne Unterauftragsverarbeiter (§ 6) verarbeiten Daten außerhalb Deutschlands bzw. der EU, abgesichert durch Standardvertragsklauseln; eine ausschließliche Verarbeitung in Deutschland wird nicht zugesichert.
• Backups auf Infrastrukturebene sowie Maßnahmen zur Verfügbarkeit und Wiederherstellbarkeit.
• Regelmäßige Überprüfung und Aktualisierung der Maßnahmen nach Stand der Technik.

§ 5 Vertraulichkeit

1. Der Auftragsverarbeiter setzt zur Verarbeitung nur Personen ein, die zur Vertraulichkeit verpflichtet sind bzw. einer angemessenen gesetzlichen Verschwiegenheit unterliegen.

§ 6 Unterauftragsverarbeiter

1. Der Verantwortliche stimmt dem Einsatz der nachfolgenden Unterauftragsverarbeiter zu. Deren Einsatz ist zur Bereitstellung des Dienstes erforderlich.

2. Der Auftragsverarbeiter verpflichtet die Unterauftragsverarbeiter auf ein den gesetzlichen Anforderungen entsprechendes Datenschutzniveau.
3. Über den Wechsel oder die Hinzunahme weiterer Unterauftragsverarbeiter informiert der Auftragsverarbeiter vorab in Textform; der Verantwortliche kann aus wichtigem datenschutzrechtlichem Grund widersprechen.

§ 7 Unterstützung des Verantwortlichen

1. Der Auftragsverarbeiter unterstützt den Verantwortlichen im Rahmen des Zumutbaren bei der Erfüllung von Betroffenenrechten (Art. 15–22 DSGVO), z. B. durch Auskunft, Berichtigung, Löschung oder Export.
2. Er unterstützt den Verantwortlichen bei der Einhaltung der Pflichten aus Art. 32–36 DSGVO (Sicherheit, Meldung von Verletzungen, ggf. Datenschutz-Folgenabschätzung) im erforderlichen Umfang.
3. Wird dem Auftragsverarbeiter eine Verletzung des Schutzes personenbezogener Daten bekannt, informiert er den Verantwortlichen unverzüglich in Textform.

§ 8 Löschung und Rückgabe

1. Nach Beendigung des Vertrags kann der Verantwortliche seine Daten für einen angemessenen Zeitraum exportieren, soweit eine Exportfunktion bereitsteht.
2. Danach löscht der Auftragsverarbeiter die personenbezogenen Daten, sofern keine gesetzliche Aufbewahrungspflicht entgegensteht.

§ 9 Nachweise und Kontrollen

1. Der Auftragsverarbeiter stellt dem Verantwortlichen die zum Nachweis der Einhaltung dieses AVV erforderlichen Informationen auf Anfrage zur Verfügung und ermöglicht angemessene Überprüfungen, die den laufenden Betrieb nicht unverhältnismäßig beeinträchtigen.

§ 10 Drittlandübermittlung

1. Soweit einzelne Unterauftragsverarbeiter Daten außerhalb der EU/des EWR verarbeiten (siehe § 6), erfolgt dies auf Grundlage geeigneter Garantien, insbesondere der EU-Standardvertragsklauseln.

§ 11 Dokumentation der Zustimmung

1. Bei der Registrierung eines Betriebskontos wird die vom Verantwortlichen akzeptierte Version dieses AVV zusammen mit dem Zeitpunkt der Zustimmung technisch dokumentiert und dem jeweiligen Betrieb zugeordnet.
2. Die jeweils gültige Fassung ist mit Versionsnummer und Gültigkeitsdatum am Kopf dieses Dokuments gekennzeichnet. Bei einer künftigen Aktualisierung des AVV wird der Verantwortliche informiert; die zum Zeitpunkt der Registrierung akzeptierte Fassung bleibt dokumentiert.

§ 12 Schlussbestimmungen

1. Bei Widersprüchen zwischen diesem AVV und den AGB gehen in datenschutzrechtlichen Fragen die Regelungen dieses AVV vor.
2. Es gilt deutsches Recht. Sollten einzelne Bestimmungen unwirksam sein, bleibt die Wirksamkeit der übrigen unberührt.

Stand: 26.08.2026.