Auftrags­verarbeitungs­vertrag

Diese Vereinbarung zur Auftragsverarbeitung (nachfolgend „AVV") ist verbindliche Anlage zu den Allgemeinen Geschäftsbedingungen und gilt zwischen dem Kunden (nachfolgend „Verantwortlicher") und David Berger, Bonner Straße 18, 33647 Bielefeld (nachfolgend „Auftragsverarbeiter"). Sie kommt mit Abschluss des Nutzungsvertrages über Schankbuch.app zustande; einer separaten Unterschrift bedarf es nicht. Sie regelt die Verarbeitung personenbezogener Daten im Auftrag nach Art. 28 DSGVO.

§ 1 Gegenstand und Dauer

Gegenstand der Verarbeitung ist die Bereitstellung des digitalen Reinigungsbuchs Schankbuch.app, insbesondere Speicherung, Anzeige, Export und Nachweissicherung von Reinigungsdokumentationen des Verantwortlichen. Die Verarbeitung erfolgt ausschließlich für die Dauer des Nutzungsvertrages und endet mit dessen Beendigung.

§ 2 Art, Zweck und Umfang der Verarbeitung

Zweck ist die vertragsgemäße Bereitstellung des Dienstes: Verwaltung von Betrieben und Zapfanlagen, Erfassung und Speicherung von Reinigungseinträgen samt Unterschrift, Erfassung der Theken-Eigenkontrolle (Theken-Check, Mängel, technische Prüftermine), Verwaltung von Team-Mitgliedern, Einladungen, Beitritts-Codes und zeitlich begrenzten Zugangslinks sowie Erstellung von PDF-Nachweisen. Die Verarbeitung umfasst Erheben, Speichern, Anzeigen, Übermitteln an den Verantwortlichen (Export), Einschränken und Löschen.

§ 3 Kategorien betroffener Personen und Daten

• Betroffene Personen: Inhaber und Beschäftigte des Verantwortlichen, externe Reinigungsdienstleister sowie sonstige vom Verantwortlichen berechtigte Personen.
• Datenkategorien: Name der reinigenden bzw. dokumentierenden Person, handschriftliche Unterschrift (Bilddatei), Rolle im Betrieb, E-Mail-Adresse bei Konten und Einladungen, Betriebs- und Anlagendaten, Reinigungszeitpunkt, Reinigungsart, Mittel-Typ, Reinigungsmittel, Freitextangaben, Theken-Check-Durchführungen (Zeitpunkt, Kontrollpunkte, Temperaturwerte, Ereignisse), Mängelmeldungen, Termine technischer Prüfungen sowie technische Protokoll- und Prüfsummenwerte.

Besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO werden nicht verarbeitet; der Verantwortliche wird solche Daten nicht in Freitextfelder eingeben.

§ 4 Weisungsrecht

Der Auftragsverarbeiter verarbeitet die Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen. Als Weisung gelten dieser AVV, die AGB sowie die Nutzung der Funktionen des Dienstes durch den Verantwortlichen. Einzelweisungen sind in Textform an info@schankbuch.app zu richten. Hält der Auftragsverarbeiter eine Weisung für rechtswidrig, weist er darauf hin und darf die Ausführung aussetzen.

§ 5 Vertraulichkeit

Der Auftragsverarbeiter setzt zur Verarbeitung nur Personen ein, die auf Vertraulichkeit verpflichtet und über die einschlägigen Datenschutzvorgaben unterrichtet sind. Die Vertraulichkeitspflicht besteht auch nach Vertragsende fort.

§ 6 Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

• Transportverschlüsselung (TLS/HTTPS) für alle Verbindungen zur App.
• Verschlüsselte Speicherung der Datenbank- und Backup-Datenträger beim Infrastrukturanbieter.
• Mandantentrennung auf Datenbankebene: Zugriffe sind je Betrieb über Berechtigungsregeln („Row Level Security") technisch getrennt; nur Mitglieder des jeweiligen Betriebs sehen dessen Daten.
• Passwörter werden ausschließlich als kryptografische Hashwerte gespeichert.
• Rollen- und Rechtekonzept (Inhaber, Manager, Mitarbeiter, externer Zugang) mit dem Prinzip der minimalen Berechtigung.
• Manipulationssicherung: Jeder Reinigungseintrag erhält eine SHA-256-Prüfsumme, die den Vorgängereintrag einbezieht (fortlaufende Prüfsummenkette). Einträge sind nicht änderbar und nicht löschbar.
• Zeitlich begrenzte Zugangslinks für externe Reiniger: nur als Hashwert gespeichert, mit Ablaufdatum und optionaler Bindung an eine Anlage, jederzeit widerrufbar.
• Regelmäßige Backups mit Wiederherstellungsmöglichkeit (Verfügbarkeitskontrolle).
• Datenbank-Hosting in einem Rechenzentrum in London (Vereinigtes Königreich); für das Vereinigte Königreich besteht ein Angemessenheitsbeschluss der EU-Kommission nach Art. 45 DSGVO.
• Kein Tracking durch Dritte, keine Weitergabe zu Werbezwecken.

Der Auftragsverarbeiter darf die Maßnahmen weiterentwickeln, solange das Schutzniveau nicht unterschritten wird.

§ 7 Unterauftragsverarbeiter

Der Verantwortliche genehmigt den Einsatz folgender Unterauftragsverarbeiter:

• Cloud-/Datenbank- und Authentifizierungs-Infrastruktur (Supabase): Hosting von Datenbank, Authentifizierung und Storage, Serverstandort London (Vereinigtes Königreich, Drittland mit Angemessenheitsbeschluss nach Art. 45 DSGVO).
• E-Mail-Versand: Versand von Systemnachrichten wie Einladungen, Bestätigungs- und Passwort-E-Mails.
• Zahlungsdienstleister: derzeit nicht eingesetzt. Vor Aufnahme einer kostenpflichtigen Abrechnung wird der Anbieter hier benannt und der Verantwortliche vorab informiert.

Weitere oder wechselnde Unterauftragsverarbeiter werden dem Verantwortlichen mit einer Frist von vier Wochen vorab in Textform oder durch Aktualisierung dieser Seite angezeigt. Der Verantwortliche kann aus wichtigem datenschutzrechtlichem Grund widersprechen; in diesem Fall steht ihm ein Kündigungsrecht zu. Mit allen Unterauftragsverarbeitern bestehen Verträge nach Art. 28 DSGVO mit gleichwertigen Pflichten.

§ 8 Drittlandübermittlung

Die Datenbank wird in London (Vereinigtes Königreich) gehostet. Das Vereinigte Königreich ist ein Drittland, für das ein Angemessenheitsbeschluss der EU-Kommission nach Art. 45 DSGVO besteht; die Übermittlung erfolgt auf dieser Grundlage. Weitere Übermittlungen in Drittländer erfolgen nur auf Grundlage eines Angemessenheitsbeschlusses oder geeigneter Garantien nach Art. 46 DSGVO und werden vorab angezeigt.

§ 9 Unterstützung des Verantwortlichen

Der Auftragsverarbeiter unterstützt den Verantwortlichen im erforderlichen Umfang bei der Wahrung von Betroffenenrechten (Art. 15 bis 22 DSGVO), bei Datenschutz-Folgenabschätzungen und bei Anfragen von Aufsichtsbehörden. Anfragen betroffener Personen, die beim Auftragsverarbeiter eingehen, werden nicht selbst beantwortet, sondern unverzüglich an den Verantwortlichen weitergeleitet.

§ 10 Meldung von Datenschutzverletzungen

Der Auftragsverarbeiter meldet Verletzungen des Schutzes personenbezogener Daten unverzüglich, in der Regel innerhalb von 24 Stunden nach Kenntnis, in Textform an die beim Kunden hinterlegte E-Mail-Adresse und stellt die zur Meldung nach Art. 33 DSGVO erforderlichen Informationen bereit.

§ 11 Löschung und Rückgabe

Der Verantwortliche kann seine Reinigungsnachweise jederzeit selbst als PDF exportieren. Nach Beendigung des Vertrages werden die im Auftrag verarbeiteten Daten auf Weisung des Verantwortlichen gelöscht oder zurückgegeben, spätestens 90 Tage nach Vertragsende, soweit keine gesetzliche Aufbewahrungspflicht entgegensteht. Backups werden im Rahmen der üblichen Backup-Zyklen überschrieben.

§ 12 Nachweise und Kontrollen

Der Auftragsverarbeiter weist die Einhaltung dieses AVV auf Anfrage in geeigneter Form nach, insbesondere durch Auskunft über die getroffenen technischen und organisatorischen Maßnahmen und die Nachweise seiner Unterauftragsverarbeiter. Kontrollen vor Ort erfolgen nach Vorankündigung, während der üblichen Geschäftszeiten und ohne Störung des Betriebsablaufs.

§ 13 Pflichten des Verantwortlichen

Der Verantwortliche ist für die Rechtmäßigkeit der Verarbeitung und der von ihm eingegebenen Daten zuständig. Er informiert seine Beschäftigten und beauftragten externen Dienstleister über die Dokumentation im Schankbuch, insbesondere über die Speicherung von Name und Unterschrift, und gibt Zugangslinks sowie Beitritts-Codes nur an berechtigte Personen weiter.

§ 14 Haftung und Schlussbestimmungen

Für die Haftung gelten die Regelungen der AGB sowie Art. 82 DSGVO. Bei Widersprüchen zwischen diesem AVV und den AGB gehen die Regelungen dieses AVV in datenschutzrechtlichen Fragen vor. Es gilt deutsches Recht. Wird eine Bestimmung unwirksam, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt.

Stand: Oktober 2026