Vertrag nach Art. 28 DSGVO inkl. TOM · Stand: 02.10.2026
Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO zwischen dem Kunden (Verantwortlicher) und JC GmbH (Auftragsverarbeiter). Er wird mit Abschluss des Nutzungsvertrages Vertragsbestandteil.
Gegenstand ist die Verarbeitung personenbezogener Daten durch den Auftragsverarbeiter im Rahmen der Bereitstellung der Software MEISTERHILFE. Die Dauer entspricht der Laufzeit des Nutzungsvertrages.
| Zweck | Bereitstellung einer Betriebssoftware fuer Handwerksbetriebe: Kunden- und Auftragsverwaltung, Angebote und Rechnungen, Zeiterfassung, Disposition, Material, Dokumente, Buchhaltungsvorbereitung. |
|---|---|
| Art der Verarbeitung | Erheben, Speichern, Veraendern, Auslesen, Uebermitteln (an vom Kunden bestimmte Empfaenger), Einschraenken und Loeschen. |
| Kategorien betroffener Personen | Kunden und Interessenten des Verantwortlichen, deren Ansprechpartner, Mitarbeiter des Verantwortlichen, Lieferanten und Nachunternehmer. |
| Kategorien von Daten | Stammdaten (Name, Anschrift, Kontaktdaten), Vertrags- und Auftragsdaten, Abrechnungs- und Zahlungsdaten, Arbeitszeitdaten, Objekt- und Baustellendaten, hochgeladene Dokumente und Fotos, Unterschriften auf Abnahme- und Arbeitsberichten. |
Der Auftragsverarbeiter verarbeitet die Daten ausschliesslich auf dokumentierte Weisung des Verantwortlichen. Als Weisung gilt auch die Bedienung der Software durch den Verantwortlichen. Ist der Auftragsverarbeiter der Auffassung, dass eine Weisung gegen Datenschutzrecht verstoesst, weist er darauf hin und darf die Ausfuehrung aussetzen.
Zur Verarbeitung eingesetzte Personen sind zur Vertraulichkeit verpflichtet und mit den einschlaegigen Datenschutzvorschriften vertraut gemacht.
Der Auftragsverarbeiter trifft die in der Anlage beschriebenen Massnahmen und haelt sie waehrend der Vertragslaufzeit aufrecht. Aenderungen duerfen das Schutzniveau nicht unterschreiten.
Der Verantwortliche stimmt dem Einsatz der nachfolgend genannten Unterauftragsverarbeiter zu. Weitere oder andere Unterauftragsverarbeiter teilt der Auftragsverarbeiter mindestens vier Wochen vorher mit; der Verantwortliche kann aus wichtigem Grund widersprechen.
| Hosting / Rechenzentrum | Host Europe GmbH (GoDaddy), Gertrudenstraße 30–36, 50667 Köln — Serverbetrieb, Standort Deutschland |
|---|---|
| Zahlungsabwicklung | Stripe Payments Europe, Ltd., Dublin, Irland — nur Abrechnungsdaten des Kunden, keine Daten der Endkunden des Betriebs |
Vom Verantwortlichen selbst eingerichtete Verbindungen (eigener Postausgangsserver, Microsoft 365, optionaler KI-Zugang) sind keine Unterauftragsverhaeltnisse des Auftragsverarbeiters; hierfuer ist der Verantwortliche selbst zustaendig.
Der Auftragsverarbeiter unterstuetzt den Verantwortlichen im Rahmen des Moeglichen bei der Beantwortung von Betroffenenanfragen (Art. 12 bis 23 DSGVO) sowie bei Datenschutz-Folgenabschaetzungen und Meldepflichten (Art. 32 bis 36 DSGVO). Anfragen betroffener Personen, die den Auftragsverarbeiter erreichen, werden unverzueglich an den Verantwortlichen weitergeleitet und nicht selbst beantwortet.
Der Auftragsverarbeiter meldet dem Verantwortlichen jede Verletzung des Schutzes personenbezogener Daten unverzueglich, spaetestens innerhalb von 48 Stunden nach Kenntnis, mit den zur Meldung nach Art. 33 DSGVO erforderlichen Angaben.
Nach Beendigung des Vertrages stellt der Auftragsverarbeiter dem Verantwortlichen die Daten fuer 30 Tage zum Export bereit und loescht sie anschliessend einschliesslich vorhandener Kopien, soweit keine gesetzliche Aufbewahrungspflicht entgegensteht. Sicherungskopien werden im Rahmen des regulaeren Sicherungszyklus ueberschrieben.
Der Auftragsverarbeiter weist die Einhaltung der Pflichten auf Anfrage nach, insbesondere durch diese Dokumentation der technischen und organisatorischen Massnahmen. Der Verantwortliche kann nach vorheriger Ankuendigung mit angemessener Frist Kontrollen durchfuehren oder durchfuehren lassen; der Betrieb darf dadurch nicht unangemessen gestoert werden.
