Vereinbarung zur Auftragsverarbeitung

Diese Vereinbarung gilt zwischen dem Kunden als Verantwortlichem und Leon Duve (Einzelunternehmer), Ahornring 3, 37589 Kalefeld, als Auftragsverarbeiter (nachfolgend „Anbieter“). Sie ist Bestandteil der AGB und gilt mit Abschluss des Vertrags über MalerGo, einschließlich eines Testzugangs, als vereinbart. Sie konkretisiert die Pflichten der Parteien nach Art. 28 DSGVO.

Die Vereinbarung gilt nicht für Daten, die der Anbieter als eigener Verantwortlicher verarbeitet (z. B. Vertrags-, Abrechnungs- und Kontaktdaten des Kunden selbst). Dafür gilt die Datenschutzerklärung.

Der Anbieter stellt dem Kunden die Software MalerGo (App und Web-Dashboard) bereit. Dabei speichert und verarbeitet er die personenbezogenen Daten, die der Kunde eingibt, ausschließlich zur Bereitstellung der vertraglich vereinbarten Funktionen: Speicherung und Synchronisation, Erstellung von Angeboten, Rechnungen, Mahnungen und weiteren Dokumenten, Versand von E-Mails im Auftrag des Kunden, Teamverwaltung und Zeiterfassung.

Die Dauer der Verarbeitung entspricht der Laufzeit des Vertrags zuzüglich der in § 10 geregelten Löschung.

Kunden und Auftraggeber des Kunden: Name, Firma, Anschrift, Telefonnummer, E-Mail-Adresse, Notizen, Projekt- und Aufmaßdaten, Fotos der Baustelle, handschriftliche Unterschriften, Angebots-, Rechnungs- und Mahnungsdaten.

Mitarbeiter des Kunden: Name, E-Mail-Adresse, Rolle und Berechtigungen, Projektzuweisungen, erfasste Arbeitszeiten samt Pausen, Projekt- und Tätigkeitsbezug sowie das Protokoll von Änderungen an Zeiten, Rollen und Berechtigungen. Es werden keine Standortdaten erhoben.

Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO) sind nicht Gegenstand der Verarbeitung. Der Kunde gibt solche Daten nicht in MalerGo ein.

Der Anbieter verarbeitet die Daten nur auf dokumentierte Weisung des Kunden, es sei denn, er ist gesetzlich zu einer anderen Verarbeitung verpflichtet; in diesem Fall teilt er dies dem Kunden vorab mit, soweit das Gesetz es nicht verbietet. Die Weisungen ergeben sich aus den AGB und aus der Nutzung der Funktionen von MalerGo durch den Kunden. Weitere Weisungen erteilt der Kunde in Textform an info@malergo.de.

Hält der Anbieter eine Weisung für rechtswidrig, weist er den Kunden unverzüglich darauf hin.

Der Anbieter gewährleistet, dass alle Personen, die Zugang zu den Daten haben, zur Vertraulichkeit verpflichtet sind oder einer gesetzlichen Verschwiegenheitspflicht unterliegen.

Der Anbieter trifft nach Art. 32 DSGVO insbesondere folgende Maßnahmen:

• Betrieb der Datenbank und des Dateispeichers in einem Rechenzentrum in Frankfurt am Main (AWS eu-central-1)
• Verschlüsselte Übertragung aller Daten (TLS) und verschlüsselte Speicherung beim Hosting-Anbieter
• Zugriffsschutz auf Datenbankebene: Jeder Nutzer kann nur Daten seines eigenen Betriebs lesen und ändern; Rollen und Berechtigungen im Team werden serverseitig geprüft
• Fotos und archivierte Belege in nicht öffentlichen Speichern; Zugriff nur über zeitlich begrenzte, signierte Links
• Anmeldung per Passwort (gehasht gespeichert), Einmalcode oder „Sign in with Apple“
• Protokollierung von Änderungen an Rollen, Berechtigungen, Arbeitszeiten und Rechnungen
• Ausgestellte Rechnungen werden unveränderlich archiviert und täglich anhand von Prüfsummen auf Unversehrtheit geprüft
• Administrativer Zugang zu den Produktivsystemen ausschließlich durch den Anbieter selbst

Der Anbieter darf die Maßnahmen weiterentwickeln, sofern das Schutzniveau nicht unterschritten wird.

Der Kunde genehmigt den Einsatz der folgenden Unterauftragsverarbeiter:

• Supabase Inc., Oakland (USA): Datenbank, Anmeldung, Dateispeicher. Verarbeitungsort: Frankfurt am Main (AWS eu-central-1).
• Vercel Inc., San Francisco (USA): Betrieb des Web-Dashboards und Erzeugung von PDF-Dokumenten. Verarbeitungsort der Serverfunktionen: Frankfurt am Main.
• Resend Inc., San Francisco (USA): Versand von E-Mails, die der Kunde über MalerGo auslöst, insbesondere Team-Einladungen und Mahnungen an seine Auftraggeber.
• IONOS SE, Montabaur (Deutschland): E-Mail-Postfach des Anbieters, soweit Support-Anfragen personenbezogene Daten enthalten.

Mit jedem Unterauftragsverarbeiter besteht ein Vertrag, der ihm Pflichten auferlegt, die dieser Vereinbarung entsprechen. Soweit Daten in die USA übermittelt werden oder ein Zugriff von dort möglich ist, erfolgt dies auf Grundlage des EU-US Data Privacy Framework bzw. der EU-Standardvertragsklauseln.

Der Anbieter informiert den Kunden mindestens 4 Wochen vor dem Hinzuziehen oder Ersetzen eines Unterauftragsverarbeiters per E-Mail. Der Kunde kann aus wichtigem datenschutzrechtlichem Grund innerhalb dieser Frist widersprechen. Kann keine Einigung erzielt werden, ist jede Partei berechtigt, den Vertrag zum Zeitpunkt des Wechsels zu kündigen.

Der Anbieter unterstützt den Kunden im Rahmen des Zumutbaren bei der Erfüllung der Rechte betroffener Personen (Art. 12 bis 23 DSGVO) sowie bei den Pflichten nach Art. 32 bis 36 DSGVO. Wendet sich eine betroffene Person direkt an den Anbieter, leitet er die Anfrage unverzüglich an den Kunden weiter.

Viele Rechte kann der Kunde selbst in MalerGo erfüllen, etwa durch Bearbeiten oder Löschen von Kunden- und Projektdaten oder über den Datenexport im Dashboard.

Der Anbieter meldet dem Kunden eine Verletzung des Schutzes personenbezogener Daten unverzüglich nach Kenntnis per E-Mail. Die Meldung enthält, soweit bekannt, die Art der Verletzung, die betroffenen Daten und Personen, die wahrscheinlichen Folgen und die ergriffenen Gegenmaßnahmen.

Während der Laufzeit kann der Kunde seine Daten jederzeit selbst löschen oder über den Datenexport herunterladen. Nach Vertragsende bleibt der Datenexport für den Inhaber im Dashboard verfügbar.

Speicherdauer und Zweck nach Vertragsende: Der Anbieter speichert die Daten nach Vertragsende 24 Monate, damit der Kunde sie exportieren, seine Aufbewahrungspflichten für Arbeitszeitnachweise (§ 17 MiLoG, § 19 AEntG) erfüllen und den Dienst bei erneutem Abschluss weiternutzen kann. In dieser Zeit verarbeitet er die Daten zu keinem anderen Zweck. Danach löscht er sie, ebenso die Konten von Mitarbeitern, die keiner anderen Firma angehören; Sicherungskopien werden spätestens 90 Tage nach der Löschung entfernt. Der Inhaber wird zwei Monate und zwei Wochen vorher per E-Mail erinnert. Ausgestellte Rechnungen löscht der Anbieter nur nach bestätigter Übernahme der Aufbewahrung durch den Kunden (§ 9 der AGB) oder nach Abstimmung mit ihm.

Auf Verlangen des Kunden löscht der Anbieter die Daten früher, mit der Löschung des Kontos nach § 9 der AGB.

Der Anbieter stellt dem Kunden auf Anfrage die Informationen zur Verfügung, die zum Nachweis der Einhaltung dieser Vereinbarung erforderlich sind. Kontrollen vor Ort sind nach rechtzeitiger Ankündigung zu den üblichen Geschäftszeiten möglich, sofern die Nachweise im Einzelfall nicht ausreichen; sie dürfen den Geschäftsbetrieb nicht unverhältnismäßig stören.

Für die Haftung gilt Art. 82 DSGVO; im Übrigen gelten die Regelungen der AGB. Bei Widersprüchen zwischen dieser Vereinbarung und den AGB geht diese Vereinbarung in Fragen des Datenschutzes vor.