craftgo Logo

Rechtliches

Auftragsverarbeitungsvertrag (AVV)

Inhalt12 Abschnitte

Stand: Oktober 2026 · Fassung v1.7

Vertrag zur Auftragsverarbeitung gemäß Art. 28 Abs. 3 Datenschutz-Grundverordnung (DSGVO).

Zwischen dem Nutzer der Software „craftgo“ (im Folgenden „Verantwortlicher“ genannt)

und

craftgo - PalatinAI Consulting
Inhaber: Kevin Rosenow
Mühlturmstr. 6
67346 Speyer
(im Folgenden „Auftragsverarbeiter“ genannt).

Der Vertrag wird vor Beginn der Auftragsverarbeitung im Dashboard von craftgo elektronisch abgeschlossen. Diese Seite gibt den Wortlaut der aktuellen Fassung wieder; maßgeblich ist die vom Verantwortlichen angenommene Fassung, die im Dashboard mit Zeitpunkt und Prüfsumme abrufbar bleibt.

§ 1 Gegenstand, Art und Zweck der Verarbeitung

(1) Der Auftragsverarbeiter stellt dem Verantwortlichen die Handwerkersoftware „craftgo“ zur Verfügung (Online-Terminbuchung, Einsatzplanung, Zeiterfassung, Kundenakte, Angebote, Aufmaß, Rechnungen, Baustellen-Logbuch). Welche Module der Verantwortliche nutzt, ergibt sich aus seiner Freischaltung; die Absätze zu einzelnen Modulen gelten nur, soweit das Modul für den Verantwortlichen freigeschaltet ist. Im Rahmen der Nutzung werden personenbezogene Daten im Auftrag des Verantwortlichen verarbeitet.

(2) Art und Zweck der Verarbeitung umfassen:

  • a) Terminbuchung und -verwaltung einschließlich Umbuchung und Stornierung durch den Endkunden über einen personalisierten Link
  • b) Entgegennahme von Rückruf- und Kontaktanfragen des Endkunden (Name, Telefonnummer, E-Mail-Adresse, Thema, Freitext) über die Buchungsstrecke sowie, soweit freigeschaltet, Entgegennahme von Vorqualifizierungen (Antworten, Kontakt- und Adressdaten) von der Website des Verantwortlichen über eine vom Verantwortlichen autorisierte Schnittstelle
  • c) Speicherung von Fotos, die der Endkunde bei der Buchung hochlädt, zur Vorbereitung des Einsatzes; automatische Löschung spätestens 90 Tage nach dem Hochladen (§ 7 Abs. 3)
  • d) Terminbenachrichtigungen und Erinnerungen per E-Mail
  • e) Übermittlung der Termindaten an den vom Verantwortlichen angebundenen Kalender (z. B. Google Calendar oder Microsoft-/Outlook-Kalender des Verantwortlichen). Soweit freigeschaltet, werden Termine aus dem angebundenen Kalender zur Belegungsprüfung als Zeitblöcke ohne Inhalt (Beginn, Ende, zugeordnete Ressource, Kennung des Kalendereintrags, Koordinaten des Ortes) gespeichert und bis sieben Tage nach Terminende aufbewahrt; Titel, Beschreibung, Teilnehmer und Ortstext werden nicht gespeichert
  • f) Routen- und Fahrzeitberechnung anhand der Einsatzadresse zur Vermeidung von Doppelbuchungen und zur effizienten Terminplanung. Fahrzeiten berechnet der Auftragsverarbeiter auf eigener Infrastruktur (eigener Routing-Dienst); an den Routing-Dienst werden ausschließlich Koordinatenpaare übermittelt. Adressen werden zur Umwandlung in Koordinaten und zur Adresseingabe an die Google Maps Platform übermittelt (§ 5 Abs. 1 lit. b); die Google Distance Matrix API wird nur als Rückfall genutzt, wenn der eigene Routing-Dienst nicht antwortet
  • g) Analytische Auswertung der Buchungsaktivitäten in der Buchungsstrecke (anonymisiert und aggregiert)
  • h) Web-Analyse mittels Google Analytics 4 auf Grundlage der Einwilligung des Endkunden (§ 4b)
  • i) Conversion-Messung mittels „Enhanced Conversions“ auf Grundlage der Einwilligung des Endkunden (§ 4a)
  • j) Soweit das Angebotsmodul freigeschaltet ist: Führung einer Kundenakte (Kontakt- und Adressdaten der Endkunden, Projekte, Vorgänge, Notizen, Dokumente), Erstellung, Versand und Verwaltung von Angeboten, Auftragsbestätigungen, Aufträgen und Nachträgen sowie Aufmaßen (Räume, Messwerte, Fotos, Aufmaß-PDF) im Auftrag des Verantwortlichen
  • k) Im Rahmen der elektronischen Angebots-Annahme und der Unterzeichnung von Arbeitsscheinen: Speicherung der Unterschrift des Endkunden als Bilddatei sowie von Name, IP-Adresse, Browser-Kennung (User-Agent) und Zeitstempel als Nachweisdaten
  • l) Speicherung der im Angebotsmodul hochgeladenen oder erzeugten Dokumente und Fotos (z. B. Angebots- und Auftragsbestätigungs-PDFs, Projektunterlagen, Aufmaß- und Baustellenfotos, Belegfotos) auf Servern in Deutschland; Texterkennung hochgeladener Preislisten über den in § 4c genannten KI-Dienst
  • m) Soweit freigeschaltet: Zeiterfassung der Beschäftigten des Verantwortlichen (Arbeits-, Fahrt- und Pausenzeiten, Tätigkeitsbeschreibung, Zuordnung zu Aufträgen, Korrekturen mit Grund, Freigabe, Änderungsprotokoll, Export für die Lohnabrechnung) zur Erfüllung der arbeitszeitrechtlichen Aufzeichnungspflichten des Verantwortlichen (insbesondere nach dem Arbeitsschutzgesetz und dem Arbeitszeitgesetz), zur Lohnabrechnung und zur Nachkalkulation. Standortdaten, Gerätekennungen und biometrische Merkmale werden dabei nicht erhoben
  • n) Soweit freigeschaltet: Einsatzplanung der Beschäftigten (geplante Termine, Zuweisungen, Abwesenheiten, Änderungsverlauf, Mitteilungen an die zugewiesenen Beschäftigten)
  • o) Soweit freigeschaltet: Rechnungsstellung, Zahlungs- und Mahnverwaltung sowie revisionssichere Archivierung der Belege (Rechnungen, Storno- und Korrekturbelege, Mahnungen, Anlagen) mit technischer Unveränderbarkeit nach Festschreibung, Erzeugung von Exportdateien für die Buchführung (DATEV-Format, Datenüberlassung nach § 147 Abs. 6 AO) und Bereitstellung eines Nur-Lese-Zugangs für Betriebsprüfungen am Gerät des Verantwortlichen
  • p) Soweit freigeschaltet: Baustellen-Logbuch (Notizen, Fotos, Materialeinträge) und Arbeitsscheine je Einsatz, auf Wunsch des Verantwortlichen Versand des Arbeitsscheins per E-Mail an den Endkunden
  • q) Soweit freigeschaltet: Transkription von Sprachnotizen der Beschäftigten über den in § 4c genannten KI-Dienst; die Tonaufnahme wird nach erfolgreicher Transkription, spätestens nach sieben Tagen, gelöscht
  • r) Soweit freigeschaltet: Nachkalkulation je Auftrag (Soll- und Ist-Kosten aus Zeiterfassung, Kostensätzen je Beschäftigtem und Materialverbrauch)

(3) Die eigenen Anwendungssysteme, Datenbanken und Objektspeicher des Auftragsverarbeiters werden in Deutschland betrieben. Für die Verarbeitung durch externe Dienste, einschließlich Mistral AI, und etwaige Drittlandübermittlungen gelten § 5 und die dort geregelten Garantien.

§ 2 Dauer der Verarbeitung

(1) Die Verarbeitung beginnt mit Unterzeichnung dieses Vertrags und endet mit der Beendigung des Nutzungsvertrags über craftgo. Die Rückgabe- und Löschphase nach § 7 Abs. 1 sowie eine Aufbewahrung nach § 7 Abs. 4 und ein Archiv-Abo nach § 7 Abs. 5 gehören noch zur Verarbeitung nach diesem Vertrag.

(2) Hat der Verantwortliche das Rechnungsmodul genutzt oder ein Archiv-Abo vereinbart, setzt sich dieser Vertrag für die in § 7 Abs. 4 und 5 beschriebene Aufbewahrung, den Archiv-Lesezugang, die Herausgabe und die Datenüberlassung bis zum Ende der dort genannten Fristen fort, auch wenn der Nutzungsvertrag im Übrigen beendet ist.

§ 3 Kategorien betroffener Personen und Datenarten

(1) Betroffene Personen:

  • a) Endkunden des Verantwortlichen sowie deren Ansprechpartner (z. B. abweichende Rechnungsempfänger, Hausverwaltungen)
  • b) Beschäftigte und Ansprechpartner des Verantwortlichen (Inhaber, Büro, Monteure)
  • c) Ansprechpartner von Lieferanten und Großhändlern des Verantwortlichen, soweit deren Angaben in hochgeladenen Unterlagen (z. B. Preislisten) enthalten sind

(2) Kategorien personenbezogener Daten:

  • a) Stammdaten: Vorname, Nachname, Firma
  • b) Kontaktdaten: E-Mail-Adresse, Telefonnummer
  • c) Standortdaten: Einsatzadresse (zur Distanz- und Routenberechnung)
  • d) Buchungsdaten: Datum, Uhrzeit, gewählte Dienstleistung
  • e) Kommunikationsdaten: E-Mail-Benachrichtigungen, Erinnerungen
  • f) Technische Daten: IP-Adresse, User-Agent (im Rahmen der AVV-Unterzeichnung und der Unterschrift von Angeboten und Arbeitsscheinen)
  • g) Conversion-Daten: gehashte E-Mail-Adresse und gehashte Telefonnummer (zur Conversion-Zuordnung im Rahmen von Enhanced Conversions, siehe § 4a)
  • h) Web-Analyse-Daten: Client-ID (GA4) und IP-Adresse des Endkunden (siehe § 4b)
  • i) Zugangs- und Stammdaten der Beschäftigten: Name, E-Mail-Adresse, Rolle, Passwort (nur als Hash), Zeitpunkt der Anmeldung, Arbeitszeiten je Tag, Zuständigkeiten, Abwesenheiten
  • j) Zeiterfassungsdaten der Beschäftigten (§ 1 Abs. 2 lit. m) und Daten der Einsatzplanung (§ 1 Abs. 2 lit. n)
  • k) Rechnungs- und Zahlungsdaten: Rechnungsempfänger, Positionen, Beträge, Zahlungseingänge (Referenz, Notiz), Mahnungen, Nachweise zur Steuerschuldnerschaft des Leistungsempfängers (§ 13b UStG, einschließlich Steuernummer des Endkunden), Bankverbindung des Verantwortlichen auf Belegen
  • l) Logbuch-Daten: Notizen, Transkripte, Baustellenfotos, Materialeinträge, Arbeitsscheine mit Unterschrift; Tonaufnahmen der Beschäftigten (kurzlebig, § 1 Abs. 2 lit. q)
  • m) Kostensätze je Beschäftigtem (Rückschluss auf die Vergütung möglich; nur für den Inhaber des Verantwortlichen sichtbar)
  • n) Buchungsfotos des Endkunden (§ 1 Abs. 2 lit. c)

(3) Die unter Abs. 2 lit. g) und h) genannten Daten (Conversion- und Web-Analyse-Daten) werden ausschließlich verarbeitet, sofern der Endkunde im Buchungs-Widget die hierfür vorgesehene Einwilligung („Marketing-Einwilligung“) erteilt hat. Ohne diese Einwilligung erfolgt keine Übermittlung an Google Ads oder Google Analytics; intern wird lediglich ein nicht-personenbezogenes Kennzeichen über die werbliche Herkunft der Buchung gespeichert.

(4) Davon unberührt werden rein anonymisierte bzw. aggregierte Nutzungsdaten (z. B. Aufrufe und Abbruchraten im Buchungs-Widget) ohne Personenbezug erhoben, um die Nutzerfreundlichkeit zu verbessern und dem Verantwortlichen Statistiken bereitzustellen. Eine Nutzung dieser Daten für Werbezwecke oder durch Drittanbieter ist ausgeschlossen.

(5) Besondere Kategorien (Art. 9 DSGVO): Trägt der Verantwortliche eine Abwesenheit eines Beschäftigten mit dem Grund „krank“ ein, verarbeitet der Auftragsverarbeiter damit ein Gesundheitsdatum. Der Grund ist nur für den Inhaber und das Büro des Verantwortlichen sowie für die betroffene Person selbst sichtbar; andere Beschäftigte sehen nur „nicht verfügbar“, Endkunden erfahren den Grund nicht. Der Verantwortliche vergibt die Rolle „Büro“ nur an Personen, die diese Angaben für ihre Aufgaben benötigen. Die Rechtsgrundlage (§ 26 Abs. 3 BDSG) stellt der Verantwortliche sicher. Weitere besondere Kategorien sind nicht Gegenstand der Verarbeitung; der Verantwortliche weist seine Beschäftigten an, in Freitexten, Sprachnotizen und Fotos keine Gesundheitsdaten oder andere besondere Kategorien zu erfassen.

§ 4 Pflichten des Auftragsverarbeiters

(1) Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen, es sei denn, er ist nach Unionsrecht oder dem Recht der Mitgliedstaaten zur Verarbeitung verpflichtet. In einem solchen Fall teilt er dem Verantwortlichen diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht eine solche Mitteilung nicht wegen eines wichtigen öffentlichen Interesses verbietet.

(2) Der Auftragsverarbeiter gewährleistet, dass sich die zur Verarbeitung der personenbezogenen Daten befugten Personen zur Vertraulichkeit verpflichtet haben.

(3) Der Auftragsverarbeiter trifft alle nach Art. 32 DSGVO erforderlichen technischen und organisatorischen Maßnahmen, insbesondere:

  • a) Verschlüsselung aller Datenübertragungen (Schnittstellen und Web-Frontend) durchgehend per TLS/HTTPS; Zugriffs- und Aktualisierungs-Token für Kalenderanbindungen werden verschlüsselt gespeichert
  • b) Zugangskontrolle zum Dashboard und zur Mitarbeiter-App durch Magic-Link oder Passwort (gehasht, mit Begrenzung der Anmeldeversuche) sowie ein Rollenmodell (Inhaber, Büro, Monteur) mit serverseitiger Prüfung jeder Aktion; Beschäftigte sehen nur die ihnen zugewiesenen Einsätze und ihre eigenen Zeiten
  • c) System-Isolierung durch Hosting der Datenbanken und Workflows in gekapselten, abgesicherten Container-Umgebungen
  • d) Getrennte Datenhaltung pro Mandant (Tenant-Isolation) mit mandantengebundener Prüfung jeder Datenbankabfrage
  • e) Betrieb der vom Auftragsverarbeiter selbst betriebenen Anwendungssysteme, Datenbanken und Objektspeicher ausschließlich auf Servern in Deutschland in ISO-zertifizierten Rechenzentren; für die Verarbeitung durch die in § 5 genannten externen Dienste, einschließlich einer Speicherung dort, gelten die in § 5 genannten Orte und Garantien
  • f) Regelmäßige Sicherheitsupdates der Systeme, Absicherung der Lieferkette (gepinnte Abhängigkeiten, deaktivierte Installationsskripte)
  • g) Unveränderbarkeit festgeschriebener Belege durch Datenbanksperren, eine Prüfsummenkette und eine technisch nicht verkürzbare Sperrfrist im Objektspeicher (§ 7 Abs. 4)
  • h) Protokollierung sicherheitsrelevanter Vorgänge (Anmeldungen, Änderungen an Zeiterfassung und Belegen, Unterzeichnungen) ohne Speicherung personenbezogener Inhalte in Logdateien
  • i) Dokumentierte Datensicherung mit erprobtem Wiederherstellungsverfahren zur Sicherung der Verfügbarkeit und Belastbarkeit der Systeme
  • j) Regelmäßige Überprüfung, Bewertung und Evaluierung der Wirksamkeit der technischen und organisatorischen Maßnahmen

(4) Der Auftragsverarbeiter unterstützt den Verantwortlichen bei der Einhaltung der Pflichten aus Art. 32 bis 36 DSGVO.

(5) Der Auftragsverarbeiter meldet Verletzungen des Schutzes personenbezogener Daten (Datenpannen) unverzüglich an den Verantwortlichen.

(6) Ist der Auftragsverarbeiter der Auffassung, dass eine Weisung des Verantwortlichen gegen die DSGVO oder andere Datenschutzbestimmungen der Union oder der Mitgliedstaaten verstößt, so informiert er den Verantwortlichen unverzüglich.

§ 4a Enhanced Conversions (Conversion-Messung)

(1) Sofern der Endkunde im Buchungs-Widget die hierfür vorgesehene Marketing-Einwilligung erteilt, nutzt der Auftragsverarbeiter zur Messung des Erfolgs von Werbekampagnen des Verantwortlichen die Funktion „Enhanced Conversions“ von Google Ads. Dabei werden bei einer abgeschlossenen Buchung die E-Mail-Adresse und die Telefonnummer des Endkunden serverseitig durch den Auftragsverarbeiter mittels eines kryptografischen Hash-Verfahrens (SHA-256) pseudonymisiert und in dieser gehashten Form über einen serverseitigen Tag-Manager (server-side Google Tag Manager), der auf Infrastruktur des Auftragsverarbeiters in Deutschland betrieben wird, an Google übermittelt.

(2) Die Übermittlung dient ausschließlich der Zuordnung von Buchungen (Conversions) zu vorausgegangenen Werbeanzeigen. Es werden keine Klardaten an Google übermittelt.

(3) Erteilt der Endkunde keine Marketing-Einwilligung, erfolgt keine Übermittlung an Google Ads oder Google Analytics; funktionsbezogene Übermittlungen an die Google Maps Platform (§ 5 Abs. 1a) bleiben hiervon unberührt. In diesem Fall wird lediglich intern ein binäres, nicht-personenbezogenes Kennzeichen über die werbliche Herkunft der Buchung sowie der Umstand der fehlenden Einwilligung (Audit-Trail) gespeichert.

(4) Es wird darauf hingewiesen, dass gehashte Identifikatoren datenschutzrechtlich weiterhin als personenbezogene Daten gelten. Die Einholung der Einwilligung der Endkunden obliegt dem Verantwortlichen; der Auftragsverarbeiter verarbeitet die Daten ausschließlich im Auftrag und nach Weisung des Verantwortlichen auf Grundlage dieser Einwilligung.

§ 4b Web-Analyse (Google Analytics 4)

(1) Sofern der Endkunde die Marketing-Einwilligung erteilt, übermittelt der Auftragsverarbeiter buchungsbezogene Ereignisse (z. B. „booking_completed“) serverseitig über einen serverseitigen Tag-Manager (server-side Google Tag Manager), der auf Infrastruktur des Auftragsverarbeiters in Deutschland betrieben wird, an Google Analytics 4 (GA4). Dabei werden die Client-ID (GA4) sowie die IP-Adresse des Endkunden verarbeitet.

(2) Die Verarbeitung dient der Reichweiten- und Nutzungsanalyse zugunsten des Verantwortlichen. Erteilt der Endkunde keine Marketing-Einwilligung, unterbleibt jede Übermittlung an Google Analytics vollständig.

(3) Die Einholung der hierfür erforderlichen Einwilligung der Endkunden obliegt dem Verantwortlichen. Der Auftragsverarbeiter verarbeitet die Daten ausschließlich im Auftrag und nach Weisung des Verantwortlichen auf Grundlage dieser Einwilligung.

§ 4c Verarbeitung durch KI-Dienste

(1) Der Auftragsverarbeiter nutzt für zwei Funktionen einen externen Dienst für maschinelles Lernen (§ 5 Abs. 1 lit. e): die Texterkennung und Strukturierung von Preislisten, die der Verantwortliche hochlädt, und, soweit freigeschaltet, die Transkription von Sprachnotizen der Beschäftigten des Verantwortlichen.

(2) An den Dienst werden die vom Verantwortlichen ausgewählte Datei (Preislisten-PDF bzw. Tonaufnahme) einschließlich der darin enthaltenen Angaben sowie die für den Aufruf nötigen Parameter (z. B. die Sprache) übermittelt. Der Auftragsverarbeiter fügt keine Namen, Kunden- oder Beschäftigtenkennungen als zusätzliche Angaben hinzu. Eine Tonaufnahme enthält die Stimme der sprechenden Person und ist damit ein personenbezogenes Datum. Für die Organisation des Auftragsverarbeiters ist beim Anbieter die Null-Datenspeicherung (Zero Data Retention) aktiviert: Die übermittelten Inhalte werden über die Verarbeitung hinaus nicht gespeichert und nicht zum Training von Modellen verwendet. Es werden keine Vorschau- oder Experimentalmodelle eingesetzt.

(3) Ergebnisse (Transkript, erkannte Tabellen) sind Entwürfe, die der Verantwortliche prüft und korrigiert. Der Auftragsverarbeiter trifft auf dieser Grundlage keine automatisierten Entscheidungen im Sinne von Art. 22 DSGVO.

(4) Der Verantwortliche weist seine Beschäftigten an, in Sprachnotizen nur eigene Notizen aufzunehmen, keine Gespräche mit Dritten mitzuschneiden und keine Gesundheitsdaten oder anderen besonderen Kategorien einzusprechen.

§ 5 Unterauftragsverhältnisse

(1) Der Verantwortliche erteilt dem Auftragsverarbeiter die allgemeine Genehmigung, weitere Auftragsverarbeiter (Unterauftragnehmer) hinzuzuziehen. Der Auftragsverarbeiter setzt derzeit folgende Unterauftragsverarbeiter ein:

  • a) Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, Deutschland

- Bereitstellung der Server-Infrastruktur (Anwendungs-Container, Datenbanken, Warteschlangen, eigener Routing-Dienst, serverseitiger Tag-Manager) und des Objektspeichers (Buchungsfotos, Dokumente und Fotos der Kundenakte, Beleg-Archiv mit Sperrfrist) - Standorte: Rechenzentren in Nürnberg und Falkenstein, Deutschland

  • b) Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland - Bereitstellung folgender Schnittstellen:

- Google Calendar API zur Synchronisation der Termine mit dem Kalender des Verantwortlichen (Tenant-Kalender, einschließlich der Zeitblöcke nach § 1 Abs. 2 lit. e; es wird kein Kalender des Endkunden angebunden). Dem Verantwortlichen wird die Nutzung eines Google-Business-/Workspace-Accounts empfohlen. Die Kalenderdaten speichert der Anbieter zusätzlich im Konto des Verantwortlichen nach dessen eigenem Vertrag mit dem Anbieter. - Google Maps Platform (Geocoding API, Places API, Distance Matrix API nur als Rückfall); für diese Dienste gilt Abs. 1a - Google Ads (Enhanced Conversions) zur Conversion-Messung gemäß § 4a - Google Analytics 4 (GA4) zur Web-Analyse gemäß § 4b

  • c) Microsoft Ireland Operations Limited, One Microsoft Place, South County Business Park, Leopardstown, Dublin 18, Irland - Bereitstellung der Microsoft Graph API zur Synchronisation der Termine mit dem Microsoft-/Outlook-Kalender des Verantwortlichen (Tenant-Kalender; es wird kein Kalender des Endkunden angebunden; gelesen werden belegte Zeiten, geschrieben/geändert/gelöscht werden gebuchte Termine). Dem Verantwortlichen wird die Nutzung eines Microsoft-365-Business-Accounts empfohlen. Die Kalenderdaten speichert der Anbieter zusätzlich im Konto des Verantwortlichen nach dessen eigenem Vertrag mit dem Anbieter.
  • d) Plus Five Five, Inc. (Resend), 2261 Market Street #5039, San Francisco, CA 94114, USA - E-Mail-Versand (Buchungsbestätigungen, Erinnerungen, Angebots-, Rechnungs- und Arbeitsschein-Mails, Anmelde-Mails, Bestätigung der AVV-Unterzeichnung)
  • e) Mistral AI SAS, 15 rue des Halles, 75001 Paris, Frankreich - KI-Dienst nach § 4c: Texterkennung und Strukturierung hochgeladener Preislisten sowie, soweit freigeschaltet, Transkription von Sprachnotizen der Beschäftigten; Null-Datenspeicherung aktiviert, kein Training mit den übermittelten Daten
  • f) IONOS SE, Elgendorfer Str. 57, 56410 Montabaur, Deutschland

- Speicherung einer zweiten, gegen Veränderung gesperrten Kopie festgeschriebener Belege (Rechnungen, Mahnungen, Verfahrensdokumentation) zur Datensicherung (Serverstandort: Deutschland)

(1a) Eigenständig Verantwortliche: Für die Google Maps Platform (Geocoding, Places, Distance Matrix) handelt Google nach den Google Maps Controller-Controller Data Protection Terms als eigenständig Verantwortlicher und ist insoweit kein Unterauftragsverarbeiter. Der Auftragsverarbeiter übermittelt dorthin Adressen und Ortsangaben, soweit dies für die vereinbarten Funktionen nötig ist. Die Information der Endkunden über diese Übermittlung (Datenschutzerklärung) stellt der Verantwortliche sicher.

(2) Die unter Abs. 1 lit. b) genannten Dienste Google Ads (Enhanced Conversions) und Google Analytics werden nur bei Vorliegen der Marketing-Einwilligung des Endkunden in Anspruch genommen. Eine darüber hinausgehende, anonyme Reichweitenmessung der Widget-Nutzung erfolgt ohne Personenbezug.

(3) Garantien bei Drittlandtransfer: Übermittlungen in Drittländer erfolgen nur auf einer Grundlage nach Kapitel V DSGVO. Google LLC, Microsoft Corporation und Plus Five Five, Inc. (Resend) sind unter dem EU-US Data Privacy Framework zertifiziert (Angemessenheitsbeschluss der EU-Kommission vom 10. Juli 2023); ergänzend gelten Standardvertragsklauseln nach Art. 46 Abs. 2 lit. c DSGVO. Microsoft verarbeitet Kalenderdaten zudem vorrangig innerhalb der Microsoft EU Data Boundary. Setzt Mistral AI Unterauftragsverarbeiter außerhalb des EWR ein, gelten die Standardvertragsklauseln aus dessen Vertrag. Bei Standardvertragsklauseln berücksichtigt der Auftragsverarbeiter die erforderliche Bewertung des Schutzniveaus im Drittland. Entfällt eine tragfähige Grundlage, setzt er die betroffene Übermittlung aus, bis eine zulässige Grundlage besteht, und informiert den Verantwortlichen.

(4) Der Auftragsverarbeiter informiert den Verantwortlichen in Textform (E-Mail an die hinterlegte Adresse des Inhabers und Hinweis im Dashboard) über jede beabsichtigte Hinzuziehung oder Ersetzung eines Unterauftragsverarbeiters, mindestens 30 Tage bevor dieser personenbezogene Daten des Verantwortlichen verarbeitet. Der Verantwortliche kann innerhalb dieser Frist aus wichtigem datenschutzrechtlichen Grund in Textform widersprechen. Im Fall eines Widerspruchs bieten die Parteien einander eine Lösung an (z. B. Verzicht auf das betroffene Modul); kommt keine zustande, kann jede Partei den Nutzungsvertrag mit Wirkung zum Beginn der Verarbeitung durch den neuen Unterauftragsverarbeiter kündigen. Die Information umfasst auch Änderungen bei weiteren Unterauftragsverarbeitern in der Verarbeitungskette, soweit der Auftragsverarbeiter davon Kenntnis erhält. Ein neuer Unterauftragsverarbeiter erhält Daten des Verantwortlichen erst nach Ablauf der Frist oder nach dessen ausdrücklicher Zustimmung; solange über einen fristgerechten Widerspruch nicht entschieden ist, werden ihm die Daten des Verantwortlichen nicht zugänglich gemacht.

(5) Der Auftragsverarbeiter verpflichtet jeden Unterauftragsverarbeiter vertraglich zu denselben Datenschutzpflichten, die in diesem Vertrag festgelegt sind, insbesondere zu hinreichenden Garantien für geeignete technische und organisatorische Maßnahmen. Kommt ein Unterauftragsverarbeiter seinen Datenschutzpflichten nicht nach, haftet der Auftragsverarbeiter gegenüber dem Verantwortlichen für die Einhaltung der Pflichten jenes Unterauftragsverarbeiters.

§ 6 Rechte der betroffenen Personen

Der Auftragsverarbeiter unterstützt den Verantwortlichen nach Möglichkeit mit geeigneten technischen und organisatorischen Maßnahmen, um seiner Pflicht zur Beantwortung von Anträgen auf Wahrnehmung der in Kapitel III DSGVO genannten Rechte der betroffenen Personen nachzukommen. Der Verantwortliche kann Löschanfragen in der Regel selbst über sein Admin-Dashboard umsetzen. Ist dies technisch nicht möglich, führt der Auftragsverarbeiter die Löschung nach dokumentierter Weisung des Verantwortlichen aus. Soweit festgeschriebene Belege oder unterzeichnete Arbeitsscheine einer betroffenen Person gesetzlichen Aufbewahrungspflichten unterliegen (Art. 17 Abs. 3 lit. b DSGVO), entfernt die Software die nicht mehr benötigten Stammdaten der Person aus der Kundenakte. Die Belege behalten die erforderlichen Angaben und bleiben personenbezogene Daten; ihre weitere Verarbeitung beschränkt sich auf Aufbewahrung, Anzeige, Export sowie die Erfassung von Zahlungen und Stornos zu diesen Belegen.

§ 7 Löschung und Rückgabe von Daten

(1) Nach jeder Beendigung des Nutzungsvertrags erhält ausschließlich der Inhaber des Verantwortlichen für 30 Tage einen Nur-Lese-Zugang zu den vorhandenen Rechnungsdaten einschließlich der Exportfunktionen, insbesondere des Exportpakets mit Belegen und Buchungsdaten in maschinell auswertbarer Form; das gilt unabhängig davon, ob Rechnungen erstellt wurden. Andere Datenbereiche sind in diesem Zugang nicht einsehbar. Die übrigen im Auftrag verarbeiteten Daten (insbesondere Kundenakte, Dokumente, Zeiterfassung und Terminbuchungen) gibt der Auftragsverarbeiter auf Anforderung in Textform, die innerhalb dieser Frist eingeht, in einem gängigen maschinenlesbaren Format heraus. Der Auftragsverarbeiter erinnert den Inhaber am letzten Vertragstag und sieben Tage vor Fristende per E-Mail. Nach Ablauf der 30 Tage löscht der Auftragsverarbeiter die personenbezogenen Daten, soweit keine rechtzeitig angeforderte Herausgabe mehr aussteht und keine weitere Aufbewahrung nach Absatz 3 lit. f und g, Absatz 4 oder Absatz 5 vorgesehen ist. Der Verantwortliche kann die Löschung schon vorher in Textform verlangen. Für einen Wechsel zu einem anderen Anbieter gilt zusätzlich § 5b der AGB.

(2) Die Löschung wird dem Verantwortlichen auf Verlangen schriftlich bestätigt.

(3) Während der Vertragslaufzeit gelten folgende Löschfristen:

  • a) Fotos aus der Buchungsstrecke: spätestens 90 Tage nach dem Hochladen
  • b) Zeitblöcke aus angebundenen Kalendern (§ 1 Abs. 2 lit. e): sieben Tage nach Terminende, spätestens beim Trennen der Kalenderverbindung
  • c) Tonaufnahmen von Sprachnotizen: nach erfolgreicher Transkription, spätestens nach sieben Tagen
  • d) Kundenakte, Angebote, Aufmaße und Logbuch: bis zur Löschung auf Weisung des Verantwortlichen; erforderliche personenbezogene Angaben in weiter aufzubewahrenden Unterlagen bleiben nach Maßgabe von § 6 und Absatz 4 erhalten
  • e) Zeiterfassungsdaten: keine automatische Löschung; der Verantwortliche löscht nach seinen arbeits-, steuer- und sozialversicherungsrechtlichen Fristen
  • f) Nachweisdaten der AVV-Unterzeichnung: für die Dauer des Vertrags und danach bis zum Ablauf der regelmäßigen Verjährungsfrist (§§ 195, 199 BGB)
  • g) Sicherungskopien der Datenbanken: werden im festgelegten Sicherungszyklus überschrieben, spätestens nach 30 Tagen

(4) Gesperrte Belegobjekte: Rechnungsbelege (PDF) und ihre Anlagen werden mit einer technisch nicht verkürzbaren Sperrfrist (Object Lock, Modus COMPLIANCE) bis zum 31. Dezember des zehnten Jahres nach Ausstellung gespeichert. Die Frist liegt bewusst über der gesetzlichen Mindestfrist von acht Jahren (§ 147 Abs. 3 AO, § 14b UStG), um Ablaufhemmungen (§ 147 Abs. 3 Satz 5 AO) und längere Fristen für einzelne Unterlagen abzudecken; mit der Nutzung des Rechnungsmoduls weist der Verantwortliche diese Aufbewahrung an. Der Auftragsverarbeiter kann diese Objekte vor Fristablauf weder ändern noch löschen. Nach dem Ende der Zugänge nach Absatz 1 bzw. 5 bestehen für sie keine Benutzerzugänge mehr; der Auftragsverarbeiter gibt sie dem Verantwortlichen bis zum Fristablauf auf Anforderung in Textform heraus (z. B. für eine Außenprüfung) und greift sonst nur für technische Prüfungen und die Löschung darauf zu. Der Ablauf der Sperrfrist allein löst keine Löschung aus: Die Objekte werden automatisch gelöscht, sobald die Sperrfrist abgelaufen ist und der Nutzungsvertrag, ein Archiv-Abo und die anschließende Rückgabephase beendet sind. Die übrigen Datensätze zu den Belegen werden mit den übrigen Daten nach Absatz 1 gelöscht; ihre weitere Aufbewahrung über das Exportpaket stellt der Verantwortliche sicher.

(5) Archiv-Abo: Der Verantwortliche kann für die Zeit nach Vertragsende ein Archiv-Abo vereinbaren. Dann hat ausschließlich sein Inhaber bis zum 31. Dezember des fünften Kalenderjahres nach Vertragsende einen Nur-Lese-Zugang zu den Rechnungsdaten (Rechnungen, Anlagen, Zahlungen, Mahnungen und zugehörige Nachweisdaten) einschließlich Export und Prüfermodus. Bei einer laufenden Außenprüfung verlängert der Auftragsverarbeiter das Archiv auf Antrag in Textform bis zu deren Abschluss, längstens bis zum 31. Dezember des elften Kalenderjahres nach Vertragsende. Während des Archiv-Abos beschränkt sich die Verarbeitung auf Aufbewahrung, Anzeige, Export, Integritätsprüfung und den Prüfermodus; es werden keine Buchungen angenommen und keine E-Mails an Endkunden versandt. Neben den Rechnungsdaten bleiben nur die weiteren Daten gespeichert, die für deren Verständnis, Nachweis oder Nutzung im Archiv erforderlich sind (insbesondere Kunden- und Auftragsdaten, auf die sich Rechnungen beziehen). Die übrigen Daten werden nach Absatz 1 herausgegeben und gelöscht. Nach dem Ende des Archiv-Abos gilt Absatz 1 entsprechend.

§ 8 Nachweispflichten und Kontrollrechte

(1) Der Auftragsverarbeiter stellt dem Verantwortlichen alle erforderlichen Informationen zum Nachweis der Einhaltung der in Art. 28 DSGVO niedergelegten Pflichten zur Verfügung.

(2) Der Auftragsverarbeiter ermöglicht und unterstützt Überprüfungen, einschließlich Inspektionen, die vom Verantwortlichen oder einem von ihm beauftragten Prüfer durchgeführt werden.

(3) Verlangt eine Finanzbehörde Zugriff auf aufzeichnungs- oder aufbewahrungspflichtige Daten, die sich beim Auftragsverarbeiter befinden (§ 147 Abs. 6 AO), wirkt der Auftragsverarbeiter auf Anforderung des Verantwortlichen mit: Er stellt den Nur-Lese-Zugang am Gerät des Verantwortlichen (Prüfermodus), die maschinelle Auswertung über die vorhandenen Filter und Exporte und die Datenüberlassung im Exportpaket bereit und unterstützt mit Personen, die mit dem System vertraut sind. Eigene gesetzliche Pflichten des Auftragsverarbeiters gegenüber der Finanzbehörde bleiben unberührt; erhält er eine Anforderung unmittelbar, informiert er den Verantwortlichen unverzüglich, soweit dies rechtlich zulässig ist. Er hält verbindliche Fristen der Behörde ein und stimmt sich bei absehbaren Hindernissen unverzüglich mit dem Verantwortlichen ab. Ein Fernzugriff der Finanzbehörde auf die Systeme des Auftragsverarbeiters findet nicht statt. Die Kosten der Mitwirkung regelt der Nutzungsvertrag (AGB).

§ 9 Schlussbestimmungen

(1) Dieser Vertrag unterliegt dem Recht der Bundesrepublik Deutschland.

(2) Sollten einzelne Bestimmungen dieses Vertrags unwirksam sein oder werden, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt.

(3) Änderungen und Ergänzungen dieses Vertrags bedürfen der Textform.

(4) Dieser Vertrag wird in Versionen geführt (Versionsbezeichnung im Kopf der jeweiligen Fassung). Der Auftragsverarbeiter stellt dem Verantwortlichen jede neue Fassung mit einer Übersicht der Änderungen im Dashboard und per E-Mail zur Verfügung. Neue oder wesentlich geänderte Verarbeitungen gelten für den Verantwortlichen erst, wenn er die neue Fassung ausdrücklich angenommen hat; Module, die solche Verarbeitungen betreffen, werden erst danach freigeschaltet. Rein redaktionelle Klarstellungen und Berichtigungen, die keine Rechte, Pflichten oder Verarbeitungsbedingungen ändern, werden mit der Information nach § 5 Abs. 4 wirksam. Die jeweils vom Verantwortlichen angenommene Fassung bleibt mit Unterzeichner, Zeitpunkt und Prüfsumme dokumentiert und abrufbar.

(5) Mit der Annahme dieser Fassung bestätigt der Verantwortliche zugleich die Allgemeinen Geschäftsbedingungen von craftgo in der Fassung „Stand: Oktober 2026“ (abrufbar unter craftgo.de/agb).