Auftragsverarbeitungsvertrag (AVV)
Vereinbarung über die Verarbeitung personenbezogener Daten im Auftrag gemäß Art. 28 DSGVO – zwischen dem nutzenden Betrieb („Verantwortlicher") und Yvan Raulin, handelnd unter „Polier", Willbecker Straße 2, 40699 Erkrath („Auftragsverarbeiter"). Dieser AVV ist Bestandteil der AGB und kommt mit der Registrierung zustande.
1. Gegenstand und Dauer
Der Auftragsverarbeiter verarbeitet personenbezogene Daten im Auftrag des Verantwortlichen zur Bereitstellung der Plattform „Polier". Die Dauer entspricht der Laufzeit des Nutzungsvertrags.
2. Art, Zweck, Datenarten, betroffene Personen
Zweck: Verwaltung von Kunden, Aufträgen, Angeboten, Rechnungen, Berichten, Zeiten und Material des Betriebs inkl. KI-gestützter Textverarbeitung.
Datenarten: Stammdaten der Endkunden (Name, Anschrift, Kontaktdaten), Auftrags- und Abrechnungsdaten, Berichtsinhalte, Mitarbeiterdaten (Name, E-Mail, Zeiten).
Betroffene Personen: Endkunden des Betriebs, Mitarbeiter des Betriebs, Kontaktpersonen.
3. Weisungsrecht
Die Verarbeitung erfolgt ausschließlich auf dokumentierte Weisung des Verantwortlichen; die Nutzung der Plattformfunktionen gilt als Weisung. Der Auftragsverarbeiter informiert den Verantwortlichen unverzüglich, wenn er der Auffassung ist, dass eine Weisung gegen Datenschutzrecht verstößt.
4. Vertraulichkeit und technisch-organisatorische Maßnahmen
Zur Verarbeitung befugte Personen sind zur Vertraulichkeit verpflichtet. Der Auftragsverarbeiter trifft angemessene technische und organisatorische Maßnahmen gemäß Art. 32 DSGVO, insbesondere: TLS-Verschlüsselung sämtlicher Übertragungen, Passwort-Speicherung ausschließlich als bcrypt-Hash, strikte Mandantentrennung auf Datenbankebene, Zugriffsschutz durch rollenbasierte Berechtigungen, Protokollierung sicherheitsrelevanter Ereignisse, regelmäßige Datensicherungen.
5. Unterauftragsverarbeiter
Der Verantwortliche genehmigt den Einsatz folgender Unterauftragsverarbeiter:
- Cloudflare, Inc. (USA) – Netzwerk/Auslieferung (EU-Standardvertragsklauseln, EU-US DPF)
- Stripe Payments Europe, Ltd. (Irland) – Zahlungsabwicklung
- Anthropic, PBC (USA) – KI-Textverarbeitung (EU-Standardvertragsklauseln; kein Training mit Kundendaten)
Über beabsichtigte Änderungen informiert der Auftragsverarbeiter in Textform; der Verantwortliche kann aus wichtigem Grund widersprechen.
6. Unterstützungspflichten
Der Auftragsverarbeiter unterstützt den Verantwortlichen bei der Beantwortung von Betroffenenanfragen (Art. 12–23 DSGVO) sowie bei den Pflichten aus Art. 32–36 DSGVO. Verletzungen des Schutzes personenbezogener Daten werden dem Verantwortlichen unverzüglich gemeldet.
7. Löschung und Rückgabe
Nach Vertragsende werden alle personenbezogenen Daten des Verantwortlichen nach Wahl des Verantwortlichen zurückgegeben (Export) und anschließend gelöscht, soweit keine gesetzliche Aufbewahrungspflicht besteht.
8. Nachweise und Kontrollen
Der Auftragsverarbeiter stellt dem Verantwortlichen alle erforderlichen Informationen zum Nachweis der Einhaltung dieses Vertrags zur Verfügung und ermöglicht angemessene Überprüfungen.