Stand: August 2026 · Fassung v1.6
Vertrag zur Auftragsverarbeitung gemäß Art. 28 Abs. 3 Datenschutz-Grundverordnung (DSGVO).
Zwischen dem Nutzer der Software „craftgo" (im Folgenden „Verantwortlicher" genannt)
und
craftgo - PalatinAI Consulting
Inhaber: Kevin Rosenow
Mühlturmstr. 6
67346 Speyer
(im Folgenden „Auftragsverarbeiter" genannt).
Dieser Vertrag wird mit der Akzeptanz der Allgemeinen Geschäftsbedingungen (AGB) des Auftragsverarbeiters automatisch wirksam und ist Bestandteil des Hauptvertrages. Kunden erhalten die auf ihren Betrieb personalisierte Fassung zusätzlich im Rahmen der Einrichtung zur Unterzeichnung.
§ 1 Gegenstand, Art und Zweck der Verarbeitung
(1) Der Auftragsverarbeiter stellt dem Verantwortlichen das Terminbuchungs-, Projekt- und Angebotssystem „craftgo" zur Verfügung. Im Rahmen der Nutzung werden personenbezogene Daten im Auftrag des Verantwortlichen verarbeitet.
(2) Art und Zweck der Verarbeitung umfassen:
- Terminbuchung und -verwaltung
- Kontaktdatenerfassung der Endkunden (Name, E-Mail-Adresse, Telefonnummer)
- Terminbenachrichtigungen und Erinnerungen per E-Mail
- Übermittlung der Termindaten an den vom Verantwortlichen angebundenen Kalender (z. B. Google Calendar oder Microsoft-/Outlook-Kalender des Verantwortlichen)
- Routenberechnung und Distanzermittlung anhand der Einsatzadresse zur Vermeidung von Doppelbuchungen und zur sinnvollen Terminplanung
- Analytische Auswertung der Buchungsaktivitäten in der Buchungsstrecke (anonymisiert und aggregiert)
- Web-Analyse mittels Google Analytics 4 auf Grundlage der Einwilligung des Endkunden (siehe § 4b)
- Conversion-Messung mittels „Enhanced Conversions" auf Grundlage der Einwilligung des Endkunden (siehe § 4a)
- Soweit für den Verantwortlichen das Angebotsmodul freigeschaltet ist: Führung einer Kundenakte (Kontakt- und Adressdaten der Endkunden, Projekte und Vorgänge) sowie Erstellung, Versand und Verwaltung von Angeboten, Auftragsbestätigungen und zugehörigen Belegen im Auftrag des Verantwortlichen
- Im Rahmen der elektronischen Angebots-Annahme (Angebotsmodul): Speicherung der Unterschrift des Endkunden als Bilddatei sowie von Name, IP-Adresse, Browser-Kennung (User-Agent) und Zeitstempel als Nachweisdaten des Vertragsschlusses
- Speicherung der im Angebotsmodul hochgeladenen Dokumente und Fotos (z. B. Angebots- und Auftragsbestätigungs-PDFs, Projektunterlagen) auf Servern innerhalb der EU
(3) Die Verarbeitung erfolgt grundsätzlich im Gebiet der Europäischen Union bzw. des Europäischen Wirtschaftsraums. Soweit im Rahmen der Anbindung von Google- oder Microsoft-Diensten eine Übermittlung an deren US-Muttergesellschaft erfolgt, gelten die Garantien aus § 5 Abs. 3.
§ 2 Dauer der Verarbeitung
Die Verarbeitung beginnt mit Wirksamwerden dieses Vertrags und endet mit der Beendigung des Nutzungsvertrags über craftgo. Nach Beendigung werden alle personenbezogenen Daten nach Wahl des Verantwortlichen gelöscht oder zurückgegeben, sofern nicht eine gesetzliche Aufbewahrungspflicht besteht.
§ 3 Kategorien betroffener Personen und Datenarten
(1) Betroffene Personen:
- Endkunden des Verantwortlichen, die die Buchungsstrecke nutzen
- Mitarbeiter und Ansprechpartner des Verantwortlichen
(2) Kategorien personenbezogener Daten:
- Stammdaten: Vorname, Nachname, Firma
- Kontaktdaten: E-Mail-Adresse, Telefonnummer
- Standortdaten: Einsatzadresse (zur Distanz- und Routenberechnung)
- Buchungsdaten: Datum, Uhrzeit, gewählte Leistung
- Projekt- und Angebotsdaten: Vorgänge, Notizen, Positionen, Beträge, hochgeladene Dokumente und Fotos
- Nachweisdaten der elektronischen Angebots-Annahme: Unterschrift als Bilddatei, Name, IP-Adresse, User-Agent, Zeitstempel
- Kommunikationsdaten: E-Mail-Benachrichtigungen, Erinnerungen
- Technische Daten: IP-Adresse, User-Agent (im Rahmen der AVV-Unterzeichnung)
- Conversion-Daten: gehashte E-Mail-Adresse und gehashte Telefonnummer (zur Conversion-Zuordnung im Rahmen von Enhanced Conversions, siehe § 4a)
- Web-Analyse-Daten: Client-ID (GA4) und IP-Adresse des Endkunden (siehe § 4b)
(3) Die unter Abs. 2 genannten Conversion- und Web-Analyse-Daten werden ausschließlich verarbeitet, sofern der Endkunde in der Buchungsstrecke die hierfür vorgesehene Einwilligung („Marketing-Einwilligung") erteilt hat. Ohne diese Einwilligung erfolgt keine Übermittlung an Google; intern wird lediglich ein nicht-personenbezogenes Kennzeichen über die werbliche Herkunft der Buchung gespeichert.
(4) Davon unberührt werden rein anonymisierte bzw. aggregierte Nutzungsdaten (z. B. Aufrufe und Abbruchraten in der Buchungsstrecke) ohne Personenbezug erhoben, um die Nutzerfreundlichkeit zu verbessern und dem Verantwortlichen Statistiken bereitzustellen. Eine Nutzung dieser Daten für Werbezwecke oder durch Drittanbieter ist ausgeschlossen.
§ 4 Pflichten des Auftragsverarbeiters
(1) Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen, es sei denn, er ist nach Unionsrecht oder dem Recht der Mitgliedstaaten zur Verarbeitung verpflichtet.
(2) Der Auftragsverarbeiter gewährleistet, dass sich die zur Verarbeitung der personenbezogenen Daten befugten Personen zur Vertraulichkeit verpflichtet haben.
(3) Der Auftragsverarbeiter trifft alle nach Art. 32 DSGVO erforderlichen technischen und organisatorischen Maßnahmen, insbesondere:
- Verschlüsselung aller Datenübertragungen (Schnittstellen und Web-Frontend) durchgehend per TLS/HTTPS
- Zugangskontrolle zum Dashboard durch moderne Authentifizierungsverfahren (Magic-Link)
- System-Isolierung durch Hosting der Datenbanken und Workflows in gekapselten, abgesicherten Container-Umgebungen (Docker/Coolify)
- Getrennte Datenhaltung pro Mandant (Tenant-Isolation)
- Ausschließliche Datenspeicherung auf Servern innerhalb Deutschlands in ISO-zertifizierten Rechenzentren
- Regelmäßige Sicherheitsupdates der Systeme
(4) Der Auftragsverarbeiter unterstützt den Verantwortlichen bei der Einhaltung der Pflichten aus Art. 32 bis 36 DSGVO.
(5) Der Auftragsverarbeiter meldet Verletzungen des Schutzes personenbezogener Daten (Datenpannen) unverzüglich an den Verantwortlichen.
(6) Ist der Auftragsverarbeiter der Auffassung, dass eine Weisung des Verantwortlichen gegen die DSGVO oder andere Datenschutzbestimmungen der Union oder der Mitgliedstaaten verstößt, so informiert er den Verantwortlichen unverzüglich.
§ 4a Enhanced Conversions (Conversion-Messung)
(1) Sofern der Endkunde in der Buchungsstrecke die hierfür vorgesehene Marketing-Einwilligung erteilt, nutzt der Auftragsverarbeiter zur Messung des Erfolgs von Werbekampagnen des Verantwortlichen die Funktion „Enhanced Conversions" von Google Ads. Dabei werden bei einer abgeschlossenen Buchung die E-Mail-Adresse und die Telefonnummer des Endkunden serverseitig durch den Auftragsverarbeiter mittels eines kryptografischen Hash-Verfahrens (SHA-256) pseudonymisiert und in dieser gehashten Form über einen vom Auftragsverarbeiter selbst betriebenen Server-Container (server-seitiges Tagging, Serverstandort Deutschland) an Google übermittelt.
(2) Die Übermittlung dient ausschließlich der Zuordnung von Buchungen (Conversions) zu vorausgegangenen Werbeanzeigen. Es werden keine Klardaten an Google übermittelt.
(3) Erteilt der Endkunde keine Marketing-Einwilligung, unterbleibt jede Übermittlung an Google vollständig. In diesem Fall wird lediglich intern ein binäres, nicht-personenbezogenes Kennzeichen über die werbliche Herkunft der Buchung sowie der Umstand der fehlenden Einwilligung (Audit-Trail) gespeichert.
(4) Es wird darauf hingewiesen, dass gehashte Identifikatoren datenschutzrechtlich weiterhin als personenbezogene Daten gelten. Die Einholung der Einwilligung der Endkunden obliegt dem Verantwortlichen; der Auftragsverarbeiter verarbeitet die Daten ausschließlich im Auftrag und nach Weisung des Verantwortlichen auf Grundlage dieser Einwilligung.
§ 4b Web-Analyse (Google Analytics 4)
(1) Sofern der Endkunde die Marketing-Einwilligung erteilt, übermittelt der Auftragsverarbeiter buchungsbezogene Ereignisse (z. B. „booking_completed") über den in § 4a genannten eigenen Server-Container an Google Analytics 4 (GA4). Dabei werden die Client-ID (GA4) sowie die IP-Adresse des Endkunden verarbeitet; die IP-Adresse wird ausschließlich auf dem Server des Auftragsverarbeiters verarbeitet und Google nicht im Klartext übermittelt.
(2) Die Verarbeitung dient der Reichweiten- und Nutzungsanalyse zugunsten des Verantwortlichen. Erteilt der Endkunde keine Marketing-Einwilligung, unterbleibt jede Übermittlung an Google Analytics vollständig.
(3) Die Einholung der hierfür erforderlichen Einwilligung der Endkunden obliegt dem Verantwortlichen. Der Auftragsverarbeiter verarbeitet die Daten ausschließlich im Auftrag und nach Weisung des Verantwortlichen auf Grundlage dieser Einwilligung.
§ 5 Unterauftragsverhältnisse
(1) Der Verantwortliche erteilt dem Auftragsverarbeiter die allgemeine Genehmigung, weitere Auftragsverarbeiter (Unterauftragnehmer) hinzuzuziehen. Der Auftragsverarbeiter setzt derzeit folgende Unterauftragsverarbeiter ein:
Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, Deutschland
- Bereitstellung der Server-Infrastruktur und des Rechenzentrums (Serverstandort: Nürnberg, Deutschland)
Baserow (Self-Hosted)
- Datenverwaltung auf eigener Infrastruktur des Auftragsverarbeiters innerhalb Deutschlands
Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland
- Google Calendar API zur Synchronisation der Termine mit dem Kalender des Verantwortlichen (es wird kein Kalender des Endkunden angebunden). Dem Verantwortlichen wird die Nutzung eines Google-Business-/Workspace-Accounts empfohlen.
- Google Maps Platform (Distance Matrix API und Places API) zur Geodaten-, Distanz- und Routenberechnung
- Google Ads (Enhanced Conversions) zur Conversion-Messung gemäß § 4a
- Google Analytics 4 (GA4) zur Web-Analyse gemäß § 4b
Microsoft Ireland Operations Limited, One Microsoft Place, South County Business Park, Leopardstown, Dublin 18, Irland
- Bereitstellung der Microsoft Graph API zur Synchronisation der Termine mit dem Microsoft-/Outlook-Kalender des Verantwortlichen (es wird kein Kalender des Endkunden angebunden; gelesen werden belegte Zeiten, geschrieben, geändert und gelöscht werden gebuchte Termine). Dem Verantwortlichen wird die Nutzung eines Microsoft-365-Business-Accounts empfohlen.
Resend, Inc., 2261 Market Street, San Francisco, CA 94114, USA
- E-Mail-Versand (Standardvertragsklauseln)
(2) Die unter Abs. 1 genannten Dienste Google Ads (Enhanced Conversions) und Google Analytics werden nur bei Vorliegen der Marketing-Einwilligung des Endkunden in Anspruch genommen. Eine darüber hinausgehende, anonyme Reichweitenmessung der Buchungsstrecke erfolgt ohne Personenbezug.
(3) Garantien bei Drittlandtransfer: Die Datenverarbeitung findet primär im Europäischen Wirtschaftsraum statt. Soweit eine Datenübermittlung an die US-Muttergesellschaften (Google LLC bzw. Microsoft Corporation) erfolgt, ist dies datenschutzrechtlich durch den Angemessenheitsbeschluss der EU-Kommission zum EU-US Data Privacy Framework (DPF) legitimiert, unter welchem beide Unternehmen aktiv zertifiziert sind. Microsoft verarbeitet Kalenderdaten zudem vorrangig innerhalb der Microsoft EU Data Boundary.
(4) Der Auftragsverarbeiter informiert den Verantwortlichen über jede beabsichtigte Änderung in Bezug auf die Hinzuziehung oder Ersetzung von Unterauftragsverarbeitern. Der Verantwortliche hat die Möglichkeit, gegen derartige Änderungen Einspruch zu erheben.
§ 6 Rechte der betroffenen Personen
Der Auftragsverarbeiter unterstützt den Verantwortlichen nach Möglichkeit mit geeigneten technischen und organisatorischen Maßnahmen, um seiner Pflicht zur Beantwortung von Anträgen auf Wahrnehmung der in Kapitel III DSGVO genannten Rechte der betroffenen Personen nachzukommen. Der Verantwortliche kann Löschanfragen in der Regel selbst über sein Dashboard umsetzen. Ist dies technisch nicht möglich, führt der Auftragsverarbeiter die Löschung nach dokumentierter Weisung des Verantwortlichen aus.
§ 7 Löschung und Rückgabe von Daten
(1) Die in der Datenbank des Auftragsverarbeiters gespeicherten Endkundendaten werden für die Dauer des Vertrages aufbewahrt, damit der Verantwortliche diese in seinem Dashboard einsehen und verwalten kann.
(2) Soweit personenbezogene Daten temporär in Ausführungsprotokollen (Server-Logs) zur Fehlerbehebung abgelegt werden, werden diese automatisiert nach spätestens 14 Tagen unwiderruflich gelöscht. Rein anonymisierte Statistikdaten bleiben hiervon unberührt.
(3) Nach Abschluss der Verarbeitung, spätestens nach Beendigung des Hauptvertrages, löscht der Auftragsverarbeiter den Account des Verantwortlichen inklusive aller dort hinterlegten Endkundendaten nach Ablauf einer Karenzzeit von 30 Tagen restlos, sofern nicht eine gesetzliche Verpflichtung zur Speicherung besteht.
(4) Die Löschung wird dem Verantwortlichen auf Verlangen schriftlich bestätigt.
§ 8 Nachweispflichten und Kontrollrechte
(1) Der Auftragsverarbeiter stellt dem Verantwortlichen alle erforderlichen Informationen zum Nachweis der Einhaltung der in Art. 28 DSGVO niedergelegten Pflichten zur Verfügung.
(2) Der Auftragsverarbeiter ermöglicht und unterstützt Überprüfungen - einschließlich Inspektionen -, die vom Verantwortlichen oder einem von ihm beauftragten Prüfer durchgeführt werden.
§ 9 Schlussbestimmungen
(1) Dieser Vertrag unterliegt dem Recht der Bundesrepublik Deutschland.
(2) Sollten einzelne Bestimmungen dieses Vertrags unwirksam sein oder werden, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt.
(3) Änderungen und Ergänzungen dieses Vertrags bedürfen der Textform.