Vertrag zur Auftragsverarbeitung

Fassung: November 2026

Kurz gesagt: Nutzt ein Betrieb den Arbeitsbericht oder das Lager, verarbeiten wir die Daten darin in seinem Auftrag. Dieser Vertrag regelt, was wir dabei dürfen und was wir müssen (Art. 28 DSGVO). Er gilt mit der Buchung, auch für die kostenlose Testzeit.

Vertragspartner

Auftraggeber (Verantwortlicher): der Betrieb, der den Arbeitsbericht, das Lager oder beides von neufeld.digital nutzt.

Auftragnehmer (Auftragsverarbeiter): Olga Neufeld, neufeld.digital (Einzelunternehmen), Heinrich-Heine-Straße 10, 46282 Dorsten, Deutschland, kontakt@neufeld.digital.

1. Gegenstand und Laufzeit

1. Der Auftragnehmer stellt dem Auftraggeber je nach Buchung die Web-Anwendungen Arbeitsbericht und Lager bereit (Hauptvertrag). Dabei verarbeitet er personenbezogene Daten im Auftrag des Auftraggebers.
2. Dieser Vertrag gilt ab der ersten Nutzung, auch in der Testzeit. Er gilt, solange der Hauptvertrag läuft, und darüber hinaus, bis alle Daten nach Abschnitt 11 gelöscht sind.
3. Widerspricht der Hauptvertrag diesem Vertrag, geht in Fragen des Datenschutzes dieser Vertrag vor.

2. Art und Zweck der Verarbeitung

1. Zweck ist der Betrieb der Anwendungen für den Auftraggeber:
   • Arbeitsberichte per Sprachaufnahme oder von Hand erstellen, mit Fotos und Unterschriften, als PDF ausgeben, drucken und auf Wunsch per E-Mail an Kunden des Auftraggebers schicken,
   • Notizen anlegen und per E-Mail verschicken,
   • Material im Lager per QR-Code buchen, Bestände führen, Nachbestellungen vorbereiten und an Lieferanten schicken,
   • beide Anwendungen verbinden, damit Entnahmen aus dem Lager in den Berichten erscheinen,
   • Zugänge verwalten, Daten sichern, Fehler beheben und Support leisten.
2. Die Verarbeitung umfasst insbesondere Erheben, Speichern, Ordnen, Anzeigen, Abfragen, Übermitteln per E-Mail, Umwandeln von Sprache in Text und Strukturieren mit KI, Erzeugen von PDF-Dateien, Sichern und Löschen.

3. Daten und betroffene Personen

1. Arten von Daten:
   • Zugänge: Name, E-Mail-Adresse, Rolle, Status, Passwort als nicht umkehrbarer Fingerabdruck, Anmeldungen mit Gerätebezeichnung und Zeitpunkten.
   • Berichte: Name, Telefonnummer, E-Mail-Adresse und Kundennummer von Kunden, Einsatzort, Datum, Monteur, Auftrag, ausgeführte Arbeiten, Material mit Preisen, Arbeits-, Pausen- und Fahrtzeiten, Kilometer, Baustelle oder Projekt, Hinweise, Fotos, Unterschriften mit Datum und Uhrzeit.
   • Notizen: Titel, Text, Skizzen, Fotos, Empfänger-Adressen.
   • Sprachaufnahmen: nur kurz zur Umwandlung in Text; auf dem Server werden sie nicht gespeichert. Ohne Netz bleiben sie bis zum Versand auf dem Handy und werden danach dort gelöscht.
   • Lager: Buchungen mit Person, Zeitpunkt, Artikel, Menge, Baustelle und Preisen; Artikel; Lieferanten mit Name, E-Mail-Adresse und Bestell-Link; Bestellungen.
   • Technische Daten: IP-Adressen, Verbindungsdaten, Server- und Sicherheitsprotokolle.
2. Betroffene Personen: Inhaber, Beschäftigte und andere Nutzer des Auftraggebers; Kunden des Auftraggebers und deren Ansprechpartner; Lieferanten und deren Ansprechpartner; Personen, die in Berichten, Fotos oder Notizen vorkommen.
3. Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO) sind nicht vorgesehen. Der Auftraggeber hält seine Nutzer an, solche Daten nicht einzutragen oder zu diktieren.

4. Ort der Verarbeitung

Die Anwendungen und ihre Daten liegen auf Servern der Hetzner Online GmbH in Deutschland: in Nürnberg, die Sicherungen in Falkenstein. Einzelne Unterauftragsverarbeiter (Anlage 2) verarbeiten Daten auch in den USA. Diese Übermittlungen sind nach Art. 44 ff. DSGVO abgesichert, durch das EU-US Data Privacy Framework oder EU-Standardvertragsklauseln.

5. Weisungen

1. Der Auftragnehmer verarbeitet die Daten nur auf dokumentierte Weisung des Auftraggebers, auch bei Übermittlungen in Drittländer. Das gilt nicht, wenn ihn Unionsrecht oder deutsches Recht zu einer Verarbeitung verpflichtet; dann teilt er dem Auftraggeber das vorher mit, sofern das Recht es nicht verbietet (Art. 28 Abs. 3 lit. a DSGVO).
2. Die Weisungen ergeben sich aus diesem Vertrag, dem Hauptvertrag und den Funktionen und Einstellungen der Anwendungen, die der Auftraggeber nutzt, etwa Zugänge anlegen oder löschen, Berichte löschen oder die Mail an Kunden ausschalten. Weitere Weisungen erteilt der Auftraggeber in Textform an kontakt@neufeld.digital.
3. Hält der Auftragnehmer eine Weisung für rechtswidrig, sagt er das dem Auftraggeber unverzüglich. Bis der Auftraggeber sie bestätigt oder ändert, darf er die Ausführung aussetzen.
4. Der Auftragnehmer nutzt die Daten nicht für eigene Zwecke, verkauft sie nicht und nutzt sie nicht für Werbung.

6. Vertraulichkeit

Der Auftragnehmer lässt nur Personen an die Daten, die zur Vertraulichkeit verpflichtet sind oder einer gesetzlichen Verschwiegenheitspflicht unterliegen (Art. 28 Abs. 3 lit. b DSGVO). Auf Daten des Auftraggebers greift er nur zu, soweit es für Betrieb, Wartung, Fehlerbehebung oder Support nötig ist oder der Auftraggeber darum bittet.

7. Sicherheit

1. Der Auftragnehmer trifft die technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO, die Anlage 1 beschreibt.
2. Er darf die Maßnahmen weiterentwickeln, solange das Schutzniveau nicht sinkt. Wesentliche Änderungen hält er schriftlich fest.

8. Unterauftragsverarbeiter

1. Der Auftraggeber genehmigt die Unterauftragsverarbeiter in Anlage 2 (allgemeine schriftliche Genehmigung nach Art. 28 Abs. 2 DSGVO).
2. Will der Auftragnehmer einen weiteren Unterauftragsverarbeiter einsetzen oder einen ersetzen, kündigt er das mindestens vier Wochen vorher per E-Mail an. Der Auftraggeber kann innerhalb von 14 Tagen nach Zugang aus wichtigem datenschutzrechtlichem Grund widersprechen. Finden die Parteien keine Lösung, kann der Auftraggeber den Hauptvertrag zum Zeitpunkt des Wechsels kündigen. Muss ein Anbieter kurzfristig ersetzt werden, etwa nach einem Sicherheitsvorfall, informiert der Auftragnehmer unverzüglich.
3. Der Auftragnehmer verpflichtet jeden Unterauftragsverarbeiter vertraglich auf dieselben Datenschutzpflichten wie in diesem Vertrag (Art. 28 Abs. 4 DSGVO). Für dessen Arbeit bleibt er dem Auftraggeber verantwortlich.

9. Unterstützung des Auftraggebers

1. Rechte betroffener Personen. Der Auftragnehmer unterstützt den Auftraggeber bei Anträgen auf Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit und Widerspruch (Art. 12 bis 22 DSGVO). Vieles kann der Auftraggeber selbst in den Anwendungen erledigen. Wendet sich eine betroffene Person direkt an den Auftragnehmer, leitet er die Anfrage unverzüglich an den Auftraggeber weiter.
2. Pflichten nach Art. 32 bis 36 DSGVO. Der Auftragnehmer unterstützt den Auftraggeber bei der Sicherheit der Verarbeitung, bei Meldungen von Datenpannen, bei einer Datenschutz-Folgenabschätzung und bei einer vorherigen Konsultation, soweit es die Art der Verarbeitung und die ihm vorliegenden Informationen erlauben.
3. Datenpannen. Eine Verletzung des Schutzes personenbezogener Daten meldet der Auftragnehmer dem Auftraggeber unverzüglich, möglichst innerhalb von 24 Stunden, nachdem er davon erfahren hat, per E-Mail an den Chef-Zugang. Die Meldung enthält, soweit bekannt, die Angaben nach Art. 33 Abs. 3 DSGVO; was noch fehlt, reicht er nach. Er ergreift sofort Maßnahmen, um die Verletzung zu beheben und ihre Folgen zu mindern.

10. Pflichten des Auftraggebers

1. Der Auftraggeber ist für die Rechtmäßigkeit der Verarbeitung verantwortlich. Er informiert seine Beschäftigten und Kunden nach Art. 13 und 14 DSGVO, etwa darüber, dass für das Diktat KI eingesetzt wird und dass Kunden den fertigen Bericht per E-Mail bekommen, wenn ihre Adresse eingetragen ist.
2. Er legt fest, wie lange Berichte und Buchungen bleiben, und sichert Unterlagen, die er aufbewahren muss, rechtzeitig selbst, etwa als PDF.
3. Bemerkt er Fehler oder Unregelmäßigkeiten, sagt er dem Auftragnehmer unverzüglich Bescheid.

11. Löschung nach Vertragsende

1. Während der Laufzeit kann der Auftraggeber seine Daten jederzeit selbst sichern: Berichte als PDF, Materialübersichten je Baustelle als PDF oder Ausdruck. Der Auftragnehmer erinnert den Chef per E-Mail daran, sobald das Vertragsende feststeht, und noch einmal sieben Tage vorher.
2. Mit dem Ende des Hauptvertrags löscht der Auftragnehmer alle personenbezogenen Daten des Auftraggebers, soweit keine gesetzliche Pflicht zur Speicherung besteht. Der Auftraggeber wählt mit diesem Vertrag die Löschung (Art. 28 Abs. 3 lit. g DSGVO); eine Herausgabe der Daten nach Vertragsende gibt es nicht.
3. In den verschlüsselten Sicherungen bleiben die Daten danach noch bis zu 30 Tage enthalten und werden dann automatisch gelöscht. Bis dahin nutzt der Auftragnehmer sie nicht.
4. Auf Wunsch bestätigt der Auftragnehmer die Löschung in Textform.

12. Nachweise und Kontrollen

1. Der Auftragnehmer stellt dem Auftraggeber auf Anfrage alle Informationen zur Verfügung, die nötig sind, um die Einhaltung dieses Vertrags nachzuweisen (Art. 28 Abs. 3 lit. h DSGVO), insbesondere eine aktuelle Beschreibung der Maßnahmen in Anlage 1.
2. Der Auftraggeber kann die Einhaltung kontrollieren, selbst oder durch einen zur Verschwiegenheit verpflichteten Prüfer. In der Regel genügt eine Prüfung anhand von Unterlagen. Eine Prüfung vor Ort ist nach Absprache mit mindestens 14 Tagen Vorlauf zu den üblichen Geschäftszeiten möglich, ohne den Betrieb zu stören. Für die Rechenzentren der Unterauftragsverarbeiter gelten deren Nachweise, etwa Zertifikate nach ISO/IEC 27001.
3. Die Kosten einer Prüfung vor Ort trägt der Auftraggeber, es sei denn, sie deckt einen erheblichen Verstoß des Auftragnehmers auf.

13. Haftung

Gegenüber betroffenen Personen haften die Parteien nach Art. 82 DSGVO. Im Verhältnis zueinander gilt die Haftungsregelung des Hauptvertrags, soweit dieser Vertrag nichts anderes bestimmt.

14. Schlussbestimmungen

1. Dieser Vertrag wird elektronisch geschlossen (Art. 28 Abs. 9 DSGVO): bei der Registrierung, indem der Auftraggeber ihm zustimmt, sonst mit der Buchung in Textform, etwa per E-Mail, die auf diesen Vertrag verweist. Der Auftragnehmer bewahrt dazu die Fassung und den Zeitpunkt der Zustimmung auf.
2. Änderungen und Ergänzungen bedürfen der Textform. Eine neue Fassung dieses Vertrags teilt der Auftragnehmer dem Auftraggeber per E-Mail mit; sie gilt, wenn der Auftraggeber zustimmt. Für neue Unterauftragsverarbeiter gilt Abschnitt 8.
3. Ist eine Bestimmung unwirksam, bleibt der übrige Vertrag wirksam.
4. Es gilt deutsches Recht. Gerichtsstand ist, soweit gesetzlich zulässig, der Sitz des Auftragnehmers.

Anlage 1: Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

Vertraulichkeit

• Zutritt: Die Server stehen in Rechenzentren der Hetzner Online GmbH in Deutschland, die nach ISO/IEC 27001 zertifiziert sind; Zutritt hat nur deren Personal. Der Auftragnehmer betreibt keinen eigenen Serverraum.
• Zugang zu den Anwendungen: nur mit persönlichem Zugang. Passwörter liegen nur als nicht umkehrbarer Fingerabdruck vor (scrypt). Nach 5 falschen Passwörtern ist ein Zugang 15 Minuten gesperrt; viele Fehlversuche von einer Adresse werden gebremst. Höchstens 2 Geräte je Zugang. Anmeldungen laufen nach 90 Tagen ohne Nutzung ab.
• Zugang zu den Servern: nur mit SSH-Schlüssel, die Anmeldung mit Passwort ist abgeschaltet; wiederholte Anmeldeversuche werden automatisch gesperrt. Der Betreiber-Bereich ist zusätzlich durch Cloudflare Access geschützt.
• Zugriff: Rollen Chef und Mitarbeiter. Mitarbeiter sehen im Arbeitsbericht nur ihre eigenen Berichte und buchen im Lager nur auf der Seite eines Artikels; Notizen sieht nur, wer sie angelegt hat. Der Auftragnehmer greift nur zu, soweit es für Betrieb, Wartung, Fehlerbehebung oder Support nötig ist.
• Trennung: Jeder Betrieb hat eine eigene, abgeschottete Instanz mit eigenem Datenordner.
• Verschlüsselung: Alle Verbindungen laufen nur verschlüsselt. Sicherungen sind mit RSA-4096 und AES-256-GCM verschlüsselt; der Schlüssel zum Öffnen liegt nicht auf dem Server.

Integrität

• Weitergabe: Alle Verbindungen laufen über Cloudflare; direkte Zugriffe auf die Anwendungen sind gesperrt. E-Mails verschickt Resend.
• Eingabe: Server-Protokolle (7 Tage) und ein Sicherheitsprotokoll mit Anmeldungen, Fehlversuchen, Einladungen, Passwort-Änderungen und gelöschten Zugängen (12 Monate).

Verfügbarkeit und Belastbarkeit

• Tägliche verschlüsselte Sicherung, 30 Tage aufbewahrt, in einem zweiten Rechenzentrum (Falkenstein); wöchentlich eine weitere verschlüsselte Kopie auf einem Rechner von neufeld.digital, nicht in einer Cloud.
• Sicherung vor jedem Update; automatische Sicherheitsupdates des Betriebssystems.
• Überwachung der Erreichbarkeit mit Benachrichtigung bei einem Ausfall.

Regelmäßige Überprüfung

• Neue Versionen werden vor dem Einspielen automatisiert getestet.
• Datenschutzfreundliche Voreinstellungen: kein Tracking und keine Werbung; Sprachaufnahmen speichert der Server nicht, ohne Netz bleiben sie nur bis zum Versand auf dem Handy; Fotos gehen nicht an die KI; die Mail an Kunden lässt sich abschalten.
• Unterauftragsverarbeiter nur mit Vertrag nach Art. 28 DSGVO; Weisungen werden in Textform festgehalten.

Anlage 2: Unterauftragsverarbeiter