Vereinbarung zur Auftragsverarbeitung (AVV)

Gemäß Art. 28 Abs. 3 Datenschutz-Grundverordnung (DSGVO)

Stand: 27. Oktober 2026 – technische Fassung v3.16

Vertragsparteien

Verantwortlicher / Auftraggeber

Der Unternehmer beziehungsweise Handwerksbetrieb, der Auftragslink unter seinem Betriebskonto nutzt. Die vollständigen Unternehmensangaben ergeben sich aus dem Nutzungsvertrag und dem Kundenkonto.

Auftragsverarbeiter / Auftragnehmer

Fabian Wernet
Auftragslink
Am Schloss 9
79263 Simonswald
Deutschland

E-Mail: kontakt@auftragslink.de

§ 1 Gegenstand, Dauer, Art und Zweck

(1) Gegenstand dieser Vereinbarung ist die Verarbeitung personenbezogener Daten durch Auftragslink im Auftrag des Verantwortlichen im Rahmen der webbasierten Angebots-, Auftrags- und Rechnungssoftware.

(2) Die Verarbeitung umfasst insbesondere Erheben, Erfassen, Speichern, Organisieren, Anzeigen, Übermitteln, Auslesen, Ändern, Exportieren, Sichern und Löschen personenbezogener Daten.

(3) Die Verarbeitung dient insbesondere der digitalen Erstellung und Verwaltung von Angeboten, Aufträgen, Endkundenkommunikation, elektronischen Annahmen, Projektdokumentationen, Rechnungen und Belegen einschließlich der vereinbarten KI-Funktionen.

(4) Die Vereinbarung gilt für die Dauer des Nutzungsvertrags einschließlich der anschließenden Datenrückgabe und Löschung.

(5) Die Kategorien betroffener Personen, die Datenarten und die einzelnen Verarbeitungszwecke ergeben sich aus Anlage 1.

§ 2 Dokumentierte Weisungen

(1) Der Auftragnehmer verarbeitet personenbezogene Daten grundsätzlich nur auf dokumentierte Weisung des Verantwortlichen. Dies umfasst auch Weisungen zu Übermittlungen personenbezogener Daten in Drittländer.

(2) Die vertragsgemäße Konfiguration und Nutzung der bereitgestellten Funktionen gilt im jeweils dokumentierten Umfang als Weisung.

(3) Ergänzende Weisungen können in Textform an kontakt@auftragslink.de gerichtet werden.

(4) Der Auftragnehmer informiert den Verantwortlichen unverzüglich, falls er der Auffassung ist, dass eine Weisung gegen datenschutzrechtliche Bestimmungen verstößt.

(5) Gesetzlich vorgeschriebene abweichende Verarbeitungen bleiben im gesetzlich zulässigen Rahmen möglich. Der Verantwortliche wird hierüber vorab informiert, soweit dies rechtlich zulässig ist.

§ 3 Pflichten des Verantwortlichen

(1) Der Verantwortliche ist für die Rechtmäßigkeit der Verarbeitung seiner Endkunden-, Mitarbeiter- und Projektdaten zuständig.

(2) Er stellt die erforderlichen Datenschutzinformationen bereit und holt gesetzlich erforderliche Einwilligungen ein.

(3) Dies gilt insbesondere für die Verarbeitung von Angebotsinteraktionen, den Einsatz personenbezogener Daten in KI-Funktionen sowie werbliche Kundenkommunikation, soweit diese Vorgänge in seinem Verantwortungsbereich erfolgen.

(4) Er vergibt und verwaltet Mitarbeiterberechtigungen und veranlasst die Entfernung nicht mehr benötigter Zugänge.

(5) Er sorgt für die gesetzeskonforme Aufbewahrung seiner Rechnungen, Belege und Geschäftsunterlagen einschließlich der erforderlichen rechtzeitigen Datenexporte.

§ 4 Vertraulichkeit

(1) Der Auftragnehmer stellt sicher, dass zur Verarbeitung befugte Personen zur Vertraulichkeit verpflichtet sind oder einer entsprechenden gesetzlichen Verpflichtung unterliegen.

(2) Administrative Zugriffe erfolgen nur für erforderliche technische, Sicherheits- oder Supportzwecke.

(3) Zugriffe auf Betriebsdaten zu Supportzwecken werden protokolliert.

(4) Die Vertraulichkeitspflicht besteht auch nach Vertragsende fort.

§ 5 Sicherheit der Verarbeitung

(1) Der Auftragnehmer setzt angemessene technische und organisatorische Maßnahmen gemäß Art. 32 DSGVO ein.

(2) Die tatsächlich eingesetzten Maßnahmen sowie noch durchzuführende Prüfungen und Verbesserungen sind in Anlage 2 beschrieben.

(3) Der Auftragnehmer kann Sicherheitsmaßnahmen fortentwickeln, sofern das erforderliche Schutzniveau nicht unterschritten wird.

(4) Die Angemessenheit und Wirksamkeit der technischen und organisatorischen Maßnahmen werden regelmäßig überprüft.

(5) Maßnahmen, die in Anlage 2 als geplant oder noch durchzuführen bezeichnet werden, gelten nicht allein durch diese Vereinbarung als bereits umgesetzt.

§ 6 Unterauftragsverarbeitung und Genehmigung

(1) Der Verantwortliche erteilt dem Auftragnehmer eine allgemeine Genehmigung zum Einsatz der in Anlage 3 benannten Unterauftragsverarbeiter für die dort beschriebenen Verarbeitungsvorgänge.

(2) Der Auftragnehmer stellt sicher, dass erforderliche Vereinbarungen nach Art. 28 DSGVO mit den jeweiligen Unterauftragsverarbeitern bestehen und ihnen die gesetzlich erforderlichen Datenschutzpflichten auferlegt werden.

(3) Der Auftragnehmer bleibt gegenüber dem Verantwortlichen für die Erfüllung der Datenschutzpflichten seiner Unterauftragsverarbeiter nach Maßgabe der DSGVO verantwortlich.

(4) Die datenschutzrechtliche Rolle jedes Dienstleisters wird anhand des konkret eingesetzten Dienstes und der tatsächlichen Datenverarbeitung bestimmt.

(5) Die bloße Benennung eines Dienstleisters in Anlage 3 ersetzt weder die erforderliche Vereinbarung zur Auftragsverarbeitung noch eine gegebenenfalls erforderliche Grundlage für die Übermittlung personenbezogener Daten in ein Drittland.

§ 7 Änderungen bei Unterauftragsverarbeitern

(1) Der Auftragnehmer darf im Rahmen der allgemeinen Genehmigung neue Unterauftragsverarbeiter einsetzen oder bestehende Unterauftragsverarbeiter ersetzen, sofern die Voraussetzungen des Art. 28 DSGVO erfüllt sind.

(2) Die jeweils aktuelle Liste der eingesetzten Unterauftragsverarbeiter wird in Anlage 3 beziehungsweise einer dem Verantwortlichen zugänglich gemachten aktualisierten Fassung dokumentiert.

(3) Über beabsichtigte Änderungen informiert der Auftragnehmer den Verantwortlichen per E-Mail an die hinterlegte Kontaktadresse und durch einen Hinweis im Kundenkonto mit angemessener Vorlaufzeit, in der Regel mindestens vier Wochen vor dem vorgesehenen Einsatz beziehungsweise Wechsel.

Erhält der Auftragnehmer selbst von einem bestehenden Unterauftragsverarbeiter eine entsprechende Information mit kürzerer Vorlaufzeit, leitet er diese Information unverzüglich an den Verantwortlichen weiter und teilt die ihm bekannten Einzelheiten sowie den vorgesehenen Zeitpunkt der Änderung mit.

(4) Der Verantwortliche kann innerhalb der mitgeteilten Frist aus datenschutzrechtlich begründeten Gründen gegen die Änderung Widerspruch erheben.

(5) Im Fall eines begründeten Widerspruchs prüfen die Parteien, ob eine datenschutzrechtlich geeignete Lösung möglich ist, insbesondere durch Anpassung der betroffenen Verarbeitung oder eine geeignete Alternative.

(6) Kann eine solche Lösung nicht gefunden werden, bleiben die gesetzlichen und vertraglichen Rechte der Parteien unberührt. Die bloße Information über einen Wechsel ersetzt keine gegebenenfalls erforderliche gesonderte Vereinbarung oder sonstige rechtliche Voraussetzung.

(7) Der Auftragnehmer dokumentiert die Änderung, den Zeitpunkt der Information und etwaige Widersprüche.

§ 8 Drittlandübermittlungen

(1) Übermittlungen personenbezogener Daten außerhalb des Europäischen Wirtschaftsraums erfolgen ausschließlich unter Beachtung der Art. 44 ff. DSGVO.

(2) Bei KI-gestützten Funktionen können personenbezogene Daten durch Anbieter beziehungsweise Unterauftragsverarbeiter mit Bezug zu den USA verarbeitet werden.

(3) Der Auftragnehmer dokumentiert die eingesetzten Vertragsgesellschaften, API-Produkte, vertraglichen Datenschutzgrundlagen und erforderlichen Übermittlungsmechanismen.

(4) Für die Claude API wird nach den zugrunde gelegten Vertragsangaben Anthropic Ireland, Limited eingesetzt. Übermittlungen an Anthropic PBC in den USA und weitere Unterauftragsverarbeiter erfolgen auf Grundlage der einschlägigen EU-Standardvertragsklauseln, insbesondere der vertraglich vorgesehenen Module 2 beziehungsweise 3, soweit deren Voraussetzungen erfüllt sind.

(5) Für die Gemini API wird ausschließlich die kostenpflichtige Stufe verwendet. Es gelten die einschlägigen Datenschutzbedingungen für Produkte, bei denen Google als Auftragsverarbeiter handelt.

(6) Soweit Übermittlungen an Google in den USA erfolgen, werden diese auf eine einschlägige und gültige Grundlage gemäß Kapitel V DSGVO gestützt. Hierzu kommen das EU-US Data Privacy Framework für tatsächlich erfasste und zertifizierte Empfänger beziehungsweise die anwendbaren Standardvertragsklauseln in Betracht.

(7) Die Einzelheiten der verwendeten Dienstleister ergeben sich aus Anlage 3.

§ 9 Unterstützung bei Betroffenenrechten und Datenschutz-Folgenabschätzungen

(1) Der Auftragnehmer unterstützt den Verantwortlichen unter Berücksichtigung der Art der Verarbeitung und der ihm verfügbaren Informationen bei der Bearbeitung von Auskunfts-, Berichtigungs-, Löschungs-, Einschränkungs- und weiteren Betroffenenanfragen.

(2) Hierzu stellt der Auftragnehmer insbesondere die vereinbarten Such-, Berichtigungs-, Export- und Löschfunktionen bereit.

(3) Unmittelbar beim Auftragnehmer eingehende Anfragen zu Daten im Verantwortungsbereich eines Handwerksbetriebs werden im rechtlich zulässigen Umfang an diesen weitergeleitet.

(4) Soweit der Auftragnehmer ausschließlich im Auftrag handelt, entscheidet er nicht eigenständig über die materielle Berechtigung der Ansprüche betroffener Personen.

(5) Der Auftragnehmer unterstützt den Verantwortlichen im gesetzlich erforderlichen und technisch möglichen Umfang bei Datenschutz-Folgenabschätzungen und gegebenenfalls erforderlichen Konsultationen der Aufsichtsbehörde.

§ 10 Datenschutzverletzungen und Sicherheitsvorfälle

(1) Der Auftragnehmer informiert den Verantwortlichen über eine Verletzung des Schutzes personenbezogener Daten in dessen Verantwortungsbereich unverzüglich, in der Regel innerhalb von 24 Stunden nach Kenntniserlangung.

(2) Betrifft der Vorfall einen Unterauftragsverarbeiter, erfolgt die Information an den Verantwortlichen unverzüglich, nachdem der Auftragnehmer die entsprechende Mitteilung des Unterauftragsverarbeiters erhalten hat und den betroffenen Verarbeitungsvorgang zuordnen kann. Noch nicht verfügbare Informationen werden nachgereicht.

(3) Die Benachrichtigung enthält, soweit zum jeweiligen Zeitpunkt bekannt:

• Art und Beschreibung des Vorfalls
• Zeitpunkt der Entdeckung und gegebenenfalls Zeitraum des Vorfalls
• betroffene Datenkategorien
• betroffene Betriebe beziehungsweise Personengruppen
• Anzahl betroffener Personen oder Datensätze, soweit feststellbar
• mögliche Auswirkungen und Risiken
• bereits eingeleitete oder vorgesehene Gegenmaßnahmen
• Ansprechpartner für Rückfragen

(4) Der Auftragnehmer informiert den Verantwortlichen auch dann unverzüglich, wenn noch nicht sämtliche Einzelheiten geklärt sind. Fehlende Informationen werden ohne unangemessene Verzögerung nachgereicht.

(5) Der Auftragnehmer unterstützt den Verantwortlichen bei der Erfüllung seiner Pflichten nach Art. 33 und 34 DSGVO.

(6) Der Anbieter unterhält einen dokumentierten Notfallplan für Datenschutzverletzungen und Sicherheitsvorfälle, Stand 27. Oktober 2026. Dieser regelt insbesondere Erkennung, Eindämmung, Beweissicherung, Risikobewertung, Benachrichtigung, Dokumentation und Nachbearbeitung.

(7) Bei akuter Gefahr für personenbezogene Daten, Benutzerkonten oder die Sicherheit der Plattform darf der Auftragnehmer betroffene Funktionen beziehungsweise erforderlichenfalls den gesamten Dienst unverzüglich vorübergehend deaktivieren, soweit dies zur Gefahrenabwehr erforderlich und verhältnismäßig ist.

(8) Nach Beseitigung der akuten Gefahr stellt der Auftragnehmer die betroffenen Funktionen wieder bereit, sobald dies sicher und technisch möglich ist. Betroffene Verantwortliche werden über wesentliche Auswirkungen informiert.

(9) Die gesetzliche Verantwortlichkeit für gegebenenfalls erforderliche Meldungen an Aufsichtsbehörden und Benachrichtigungen betroffener Personen verbleibt beim jeweiligen Verantwortlichen. Die unverzügliche Benachrichtigungspflicht des Auftragnehmers bleibt hiervon unberührt.

§ 11 Datenrückgabe, Export und Löschung

(1) Der Verantwortliche kann während der Vertragslaufzeit jederzeit einen vollständigen Datenexport als ZIP-Datei erstellen.

(2) Der Vollexport umfasst nach der aktuellen technischen Umsetzung insbesondere:

• Kundenstammdaten als CSV-Datei
• sämtliche Angebote einschließlich Annahmenachweisen und Verlauf
• Rechnungen und Eingangsbelege
• zugehörige Dateien und Dokumente
• Teamliste

(3) Nach Vertragsende beziehungsweise nach dem Ende einer nicht fortgesetzten Testphase beginnt grundsätzlich ein 90-tägiger Abwicklungszeitraum.

(4) Während dieses Zeitraums stehen die vorgesehenen Lese- und Exportfunktionen weiterhin zur Verfügung. Insbesondere bleiben Rechnungen und Belege lesbar und exportierbar.

(5) Vor der endgültigen Löschung erhält der Verantwortliche eine Warn-E-Mail mit einem Hinweis auf die verbleibende Exportmöglichkeit.

(6) Die dem Verantwortlichen zugeordneten Produktivdaten werden grundsätzlich spätestens 90 Tage nach Vertragsende gelöscht, soweit keine gesetzlichen Aufbewahrungspflichten oder rechtlich vorrangigen Weisungen entgegenstehen.

(7) Gelöschte Datenbankinhalte werden aufgrund der 14-tägigen Backup-Rotation spätestens nach weiteren 14 Tagen aus den Datenbank-Sicherungskopien entfernt.

(8) Für Dateisicherungen, die über die Server-Backup-Infrastruktur von ALL-INKL erstellt werden, gelten deren tatsächliche Aufbewahrungs- und Löschzyklen. Diese sind gesondert zu dokumentieren.

(9) Der Verantwortliche hat seine gesetzlichen Aufbewahrungspflichten eigenständig zu erfüllen und erforderliche Daten rechtzeitig vor deren Löschung zu exportieren.

(10) Der Auftragnehmer darf personenbezogene Daten nach Vertragsende nur im gesetzlich zulässigen Umfang und für einen dokumentierten Zweck weiterverarbeiten.

(11) Der Verantwortliche wählt zwischen Rückgabe (Vollexport) und Löschung gemäß Art. 28 Abs. 3 lit. g DSGVO. Nach Vertragsende kann er die sofortige endgültige Löschung aller Daten selbst in den Einstellungen veranlassen (Bestätigung mit Passwort); er erhält unmittelbar eine Löschbestätigung per E-Mail. Ohne diese Weisung erfolgt die Löschung nach Absatz 6. Auf dokumentierte Weisung in Textform führt der Auftragnehmer die Rückgabe oder Löschung ebenfalls durch.

§ 12 Kontrollen und Nachweise

(1) Der Auftragnehmer stellt dem Verantwortlichen die erforderlichen Informationen zum Nachweis der Einhaltung seiner Pflichten nach Art. 28 DSGVO zur Verfügung.

(2) Der Auftragnehmer ermöglicht rechtlich erforderliche Überprüfungen und Inspektionen durch den Verantwortlichen oder einen von ihm beauftragten Prüfer.

(3) Kontrollen werden, soweit rechtlich zulässig, mit angemessener Vorankündigung und unter Berücksichtigung der Sicherheit und Vertraulichkeit anderer Mandanten abgestimmt.

(4) Geeignete Dokumentationen und Prüfberichte können zur Erfüllung der Nachweispflichten herangezogen werden.

(5) Gesetzliche Kontrollrechte werden hierdurch nicht ausgeschlossen.

§ 13 Rangfolge, Vertragsschluss und Änderungen

(1) Diese AVV ergänzt den Nutzungsvertrag für Auftragslink. Bei Widersprüchen in Fragen der Auftragsverarbeitung geht diese AVV den allgemeinen Nutzungsbedingungen vor.

(2) Im Registrierungsprozess bestätigt der Kunde seine Unternehmereigenschaft gemäß § 14 BGB und stimmt dieser AVV ausdrücklich zu.

(3) Der Zeitpunkt des Vertragsschlusses und die vereinbarte Dokumentfassung werden durch einen Versionsnachweis in Form einer Prüfsumme dokumentiert. Der vollständige Wortlaut der jeweiligen Fassung wird archiviert.

(4) Änderungen dieser AVV richten sich nach den gesetzlichen Anforderungen, insbesondere Art. 28 DSGVO, sowie den einschlägigen Regelungen der Nutzungsbedingungen.

(5) Wesentliche Änderungen der Verarbeitung, neue Datenkategorien, erheblich veränderte Weisungen oder eine Verringerung des Datenschutzniveaus bedürfen einer gesonderten wirksamen vertraglichen Grundlage.

(6) Für Änderungen von Unterauftragsverarbeitern gelten ergänzend die speziellen Informations- und Widerspruchsregelungen des § 7.

(7) Änderungen und deren Wirksamwerden werden mit Zeitpunkt und Vertragsfassung dokumentiert.

Anlage 1 – Beschreibung der Datenverarbeitung

A. Kategorien betroffener Personen

• Endkunden und Interessenten des Verantwortlichen
• Mitarbeiter des Verantwortlichen
• Ansprechpartner von Auftraggebern, Lieferanten und Geschäftspartnern
• weitere natürliche Personen, die in bereitgestellten Dokumenten, Fotos oder Projektdaten enthalten sein können

B. Kategorien personenbezogener Daten

• Namen, Anschriften und Kontaktangaben
• Projekt- und Rechnungsanschriften
• Kunden- und Mitarbeiterstammdaten
• Angebotspositionen, Preise, Mengen und ausgewählte Varianten
• Fotos, Aufmaße, Notizen, PDF-Dateien und weitere Projektdokumente
• Rechnungen, elektronische Rechnungen, Belege und Buchhaltungsunterlagen
• Kundenfragen und KI-generierte Antworten
• Raumfotos und KI-generierte Visualisierungen
• Angebotsöffnungen und – nach Einwilligung – Nutzungs- und Verweildauerdaten
• elektronische Annahmen und Signaturen einschließlich Name, Ort, optionaler E-Mail-Adresse, gewählter Optionen, Netto-/Bruttopreise, Erklärung zum vorzeitigen Beginn, Unterschriftsbild, SHA-256-Prüfsumme, User-Agent und Zeitpunkt
• Mitarbeiterzuweisungen und Berechtigungsdaten

Der elektronische Annahmenachweis enthält nach der beschriebenen Implementierung keine IP-Adresse.

C. Zwecke der Verarbeitung

• digitale Angebots- und Auftragsabwicklung
• Verwaltung von Kunden und Projekten
• Kundenkommunikation und KI-gestützte Beantwortung von Kundenfragen
• elektronische Angebotsannahme und Vertragsdokumentation
• Projektbearbeitung, Dokumentation und Abnahme
• Erstellung von Rechnungen und E-Rechnungen
• KI-gestützte Belegerfassung
• Preislistenimport und Angebotsgenerierung
• vom Verantwortlichen konfigurierte Angebotsinteressemessung
• vereinbarte Erinnerungen und Bewertungsanfragen
• Datensicherung, Wiederherstellung, Export und Löschung

D. Besondere Kategorien personenbezogener Daten

Eine gezielte Verarbeitung besonderer Kategorien personenbezogener Daten nach Art. 9 DSGVO ist nicht Bestandteil des gewöhnlichen Leistungszwecks.

Da Freitexte, Fotos und Dokumente verarbeitet werden können, ist ein unbeabsichtigtes Auftreten solcher Informationen nicht vollständig ausgeschlossen.

Der Verantwortliche hat entsprechende Eingaben auf das rechtlich zulässige und notwendige Maß zu beschränken.

Anlage 2 – Technische und organisatorische Maßnahmen (TOM)

Technischer Stand: Auftragslink v3.16 vom 27. Oktober 2026

Die nachfolgenden Angaben beschreiben die derzeit umgesetzten Maßnahmen sowie ausdrücklich bezeichnete, noch durchzuführende Prüfungen.

A. Hosting und physischer Schutz

• Hosting bei ALL-INKL.COM – Neue Medien Münnich.
• Standort der eingesetzten Hostinginfrastruktur: Deutschland.
• Speicherung der Anwendungsdaten in einer SQLite-Datenbank.
• Speicherung von Fotos, PDFs, Unterschriften und weiteren Dateien auf dem Hostingserver.
• Versand systembezogener E-Mails über ALL-INKL SMTP.
• Keine Einbindung externer Schriftarten, Content Delivery Networks oder Webanalysedienste.

Die physischen Schutzmaßnahmen des Rechenzentrums werden durch den Hostinganbieter erbracht.

B. Übertragungsschutz

• Verschlüsselte Verbindung zwischen Browser und Anwendung über HTTPS/TLS.
• Aktivierte HTTP Strict Transport Security (HSTS).
• Geschützte Kommunikation mit den verwendeten KI- und Zahlungsdiensten gemäß deren Schnittstellen.
• Bei Browser-Push-Benachrichtigungen werden keine Kunden- oder Angebotsinhalte als Nachrichtentext an Push-Dienste übermittelt.

C. Authentifizierung und Zugangsschutz

• Individuelle Benutzerkonten.
• Passwörter werden ausschließlich in Form sicherer Passwort-Hashes gespeichert.
• Für Kontoinhaber steht eine Zwei-Faktor-Authentifizierung mittels TOTP zur Verfügung.
• Nach wiederholten fehlgeschlagenen Anmeldeversuchen erfolgt eine Sperre beziehungsweise Schutzbegrenzung.
• Für die Zählung fehlgeschlagener Anmeldeversuche werden nur gehashte Zähler verwendet.
• Zugangsdaten und Berechtigungen werden nach den jeweils vorgesehenen Schutzmechanismen verwaltet.

Die Zwei-Faktor-Authentifizierung ist verfügbar; eine verpflichtende Aktivierung für sämtliche Kontoinhaber wird damit nicht behauptet.

D. Zugriffskontrolle und Mandantentrennung

• Technische Trennung der Daten einzelner Handwerksbetriebe.
• Jeder Betrieb hat ausschließlich Zugriff auf die ihm zugeordneten Daten.
• Rollenbasierte Mitarbeiterberechtigungen.
• Mitarbeiter sehen entsprechend ihrer Rolle nur freigegebene, angenommene Aufträge und keine gesperrten Preisangaben.
• Administrative Zugriffsmöglichkeiten sind auf erforderliche Aufgaben begrenzt.
• Supportzugriffe durch den Betreiber erfolgen zweckgebunden und werden protokolliert.

E. Sicherheitsprotokollierung

Folgende sicherheitsrelevante Ereignisse werden protokolliert:

• erfolgreiche Anmeldungen
• fehlgeschlagene Anmeldeversuche
• Datenexporte
• Löschvorgänge
• administrative Supportzugriffe

Die IP-Adresse wird innerhalb der Sicherheitsprotokolle gekürzt, indem der letzte Adressblock genullt wird.

Speicherfrist: zwölf Monate.

Nach Ablauf erfolgt die vorgesehene Löschung der Sicherheitsprotokolle.

F. Datensicherung und Wiederherstellung

Datenbank

• Die SQLite-Datenbank wird täglich automatisch gesichert.
• Sicherungen werden 14 Tage aufbewahrt.
• Nach Ablauf der Aufbewahrungsfrist werden sie automatisch gelöscht.
• Die Ablage erfolgt in einem geschützten, nicht öffentlich erreichbaren Verzeichnis auf demselben Server.
• Die Datenbank-Sicherungskopien sind derzeit nicht zusätzlich verschlüsselt.

Dateien

Fotos, PDFs, Unterschriften und weitere hochgeladene Dateien werden durch die Server-Backup-Infrastruktur von ALL-INKL gesichert.

Die konkreten Aufbewahrungs-, Wiederherstellungs- und Löschzyklen dieser Dateisicherungen richten sich nach der eingesetzten Hosting-Leistung und sind gesondert zu dokumentieren.

Wiederherstellung

Die Wiederherstellung erfolgt durch Einspielen einer vorhandenen Sicherung.

Ein dokumentierter Wiederherstellungstest wird vor dem öffentlichen Start durchgeführt und anschließend regelmäßig wiederholt.

Status: Der erste dokumentierte Wiederherstellungstest ist nach den vorliegenden Angaben noch durchzuführen.

Verbleibende technische Risiken

Die Datenbank und ihre Sicherungen liegen derzeit auf demselben Server. Die Datenbank-Sicherungen sind nicht zusätzlich verschlüsselt.

Bei einem vollständigen Serververlust oder einer entsprechenden Kompromittierung können daher Produktivdaten und Datenbank-Sicherungen gleichzeitig betroffen sein.

Die Angemessenheit dieser Maßnahmen ist unter Berücksichtigung der verarbeiteten Daten und Risiken regelmäßig zu überprüfen.

G. Datenlöschung und Speicherbegrenzung

• Die dem Betrieb zugeordneten Produktivdaten werden grundsätzlich 90 Tage nach Vertragsende beziehungsweise dem Ende einer nicht fortgesetzten Testphase gelöscht.
• Vor der Löschung wird eine Warn-E-Mail mit Hinweis auf die Exportmöglichkeit versendet.
• Gelöschte Datenbankinhalte verschwinden spätestens nach weiteren 14 Tagen aus den rotierenden Datenbank-Sicherungen.
• Für Dateibackups des Hostinganbieters gelten dessen tatsächliche, noch zu dokumentierende Löschzyklen.
• Gesonderte Trackingdaten werden nach zwölf Monaten ohne weitere Aktivität gelöscht.
• Sicherheitsprotokolle werden nach zwölf Monaten gelöscht.
• KI-Ergebnisse und Kundenfragen werden entsprechend den Löschregeln der zugehörigen Angebots- beziehungsweise Betriebsdaten entfernt.

Gesetzliche Aufbewahrungspflichten und rechtlich vorrangige Weisungen bleiben zu berücksichtigen.

H. Datenexport und Wiederverfügbarkeit

Ein Vollexport ist während der Vertragslaufzeit jederzeit als ZIP-Datei möglich.

Der Export umfasst:

• Kundenstammdaten als CSV-Datei
• sämtliche Angebote
• Annahmenachweise und Angebotsverläufe
• Rechnungen und Eingangsbelege
• sämtliche gespeicherten Dateien
• Teamliste

Im 90-tägigen Abwicklungszeitraum nach Vertragsende bleiben die vorgesehenen Lese- und Exportfunktionen verfügbar.

I. KI-Datenminimierung und Funktionskontrolle

• Anthropic Claude API für Angebotsgenerierung, Preislistenimport, KI-gestützte Belegerfassung und Kundenfragen.
• Google Gemini API für Bildvisualisierungen aus Raumfotos.
• Übermittlung nur der für die jeweilige Funktion benötigten Inhalte.
• Kennzeichnung KI-gestützter Kundenkommunikation.
• Der Endkunden-Frage-Assistent kann durch den jeweiligen Betrieb deaktiviert werden.
• Technische Begrenzungen gegen missbräuchliche beziehungsweise themenfremde Anfragen.

J. Einwilligungen und Angebotsmessung

• Einwilligungsbasierte Messung von Angebotsinteraktionen.
• Vor Beginn der entsprechenden Messung wird eine Ja-/Nein-Auswahl angezeigt.
• Ohne Zustimmung keine Verweildauer- oder Verhaltensmessung.
• Einwilligungen können über die hierfür bereitgestellte Funktion geändert oder widerrufen werden.
• Bei Widerruf werden die bis dahin erfassten Verweildauer- und Interaktionsdaten gelöscht.
• Eine gesonderte reine Öffnungszählung ohne Einwilligung ist technisch optional und standardmäßig deaktiviert.
• Die rechtliche Zulässigkeit dieser optionalen Erfassung muss im jeweiligen Anwendungsfall sichergestellt sein.

K. Automatisierte Kommunikation

• Automatische Angebots-Erinnerungen sind standardmäßig deaktiviert.
• Bewertungsanfragen werden nur bei aktiv erteilter Zustimmung des Endkunden ausgelöst.
• Automatische Nachrichten enthalten einen zweistufigen Abmeldelink.
• System- und Transaktions-E-Mails werden über ALL-INKL SMTP versendet.

L. Privacy by Design und Datenminimierung

• Keine externen Fonts oder CDNs.
• Keine externen Webanalyse-Dienste.
• Keine IP-Adresse im elektronischen Annahmenachweis.
• Gekürzte IP-Adresse in Sicherheitsprotokollen.
• Keine Kunden- oder Angebotsinhalte innerhalb der über Browser-Push-Dienste versendeten Signale.
• Auftragslink erhält bei der Browser-Spracherkennung ausschließlich den erkannten Text.

M. Datenschutzvorfälle und Notfallmaßnahmen

Der Auftragnehmer unterhält einen dokumentierten Notfallplan für Datenschutzverletzungen, Stand 27. Oktober 2026.

Dieser regelt insbesondere:

• Erkennung und Dokumentation von Sicherheitsereignissen
• Eindämmung möglicher Datenpannen
• Beweissicherung
• Bestimmung betroffener Daten und Betriebe
• Risikobewertung
• Benachrichtigung betroffener Verantwortlicher
• gegebenenfalls Unterstützung bei behördlichen Meldungen
• Fehlerbehebung und Nachkontrolle

Bei akuter Gefahr kann der Dienst erforderlichenfalls unverzüglich vorübergehend deaktiviert werden.

N. Regelmäßige Wirksamkeitskontrolle

Die Sicherheitsmaßnahmen werden regelmäßig sowie bei wesentlichen technischen Änderungen überprüft.

Hierzu gehören insbesondere:

• Prüfung der Benutzer- und Rollenberechtigungen
• Prüfung der Mandantentrennung
• Kontrolle der Protokollierung und Löschregeln
• Durchführung dokumentierter Wiederherstellungstests
• Überprüfung der Backup-Sicherheit
• Überprüfung der Datenflüsse zu Unterauftragsverarbeitern

Anlage 3 – Unterauftragsverarbeiter

Stand: 27. Oktober 2026 – technische Fassung v3.16

Der Auftragnehmer setzt für die in dieser AVV beschriebenen Verarbeitungen die folgenden drei Unterauftragsverarbeiter ein.

1. ALL-INKL.COM – Neue Medien Münnich

Anbieter

ALL-INKL.COM – Neue Medien Münnich
Hauptstraße 68
02742 Friedersdorf
Deutschland

Leistung

• Hosting der Auftragslink-Anwendung
• Speicherung und Bereitstellung der SQLite-Datenbank
• Speicherung von Fotos, Dokumenten und sonstigen Dateien
• E-Mail-Versand über SMTP
• Server-Backup-Infrastruktur

Verarbeitungsort

Deutschland.

Vertragliche Grundlage

Vereinbarung zur Auftragsverarbeitung vom 25. Dezember 2025 auf Grundlage der EU-Standardvertragsklauseln gemäß Durchführungsbeschluss (EU) 2021/915.

Die genannten Klauseln regeln datenschutzrechtliche Pflichten zwischen Verantwortlichen und Auftragsverarbeitern. Sie sind von den gesonderten Standardvertragsklauseln für internationale Drittlandübermittlungen zu unterscheiden.

2. Anthropic Ireland, Limited

Anbieter

Anthropic Ireland, Limited
Irland

Leistung

Einsatz der Claude API insbesondere für:

• Angebotserstellung aus Notizen und Fotos
• Preislistenimport und Analyse
• KI-gestützte Auslesung von Eingangsbelegen
• KI-Frage-Assistent innerhalb digitaler Angebote

Verarbeitungsort und Drittlandbezug

Vertragspartner ist Anthropic Ireland, Limited in Irland.

Im Rahmen der Leistungserbringung können personenbezogene Daten an Anthropic PBC in den USA sowie an weitere Unterauftragsverarbeiter weitergegeben werden.

Vertragliche Grundlage

Data Processing Addendum von Anthropic einschließlich der einschlägigen EU-Standardvertragsklauseln für internationale Datenübermittlungen, insbesondere der Module 2 und 3, soweit diese für den jeweiligen Datenfluss anwendbar sind.

Unterauftragsverarbeiter von Anthropic

Die von Anthropic veröffentlichte Liste ist unter folgender Adresse abrufbar:

https://www.anthropic.com/subprocessors

Sicherheitsvorfälle

Nach den vom Auftragnehmer zugrunde gelegten vertraglichen Angaben informiert Anthropic über relevante Sicherheitsvorfälle innerhalb von 48 Stunden nach dem vertraglich maßgeblichen Zeitpunkt.

Diese Frist ist eine Angabe zur Benachrichtigung durch Anthropic. Sie ersetzt nicht die eigene Pflicht von Auftragslink, betroffene Handwerksbetriebe nach Bekanntwerden einer Datenschutzverletzung unverzüglich zu informieren.

3. Google – Gemini API

Anbieter

Google – konkrete vertraglich zuständige Google-Gesellschaft gemäß den geltenden Gemini-API-Vertragsbedingungen.

Leistung

Erstellung KI-gestützter Bildvisualisierungen aus Raumfotos.

Eingesetztes Produkt

Ausschließlich die kostenpflichtige Stufe der Gemini API.

Vertragliche Grundlage

„Data Processing Addendum for Products where Google is a Data Processor“.

Verarbeitungsort und Drittlandbezug

Bei der Verarbeitung können personenbezogene Daten in die USA übermittelt werden.

Als Übermittlungsgrundlage kommt das EU-US Data Privacy Framework für tatsächlich erfasste und zertifizierte Empfänger beziehungsweise die vertraglich anwendbaren EU-Standardvertragsklauseln in Betracht.

Die konkrete Vertragsgesellschaft und die auf den eingesetzten API-Dienst anwendbare Übermittlungsgrundlage sind anhand der aktuellen Vertragsunterlagen zu bestimmen.

Nicht als Unterauftragsverarbeiter für Endkunden- und Projektdaten aufgeführt

Stripe

Stripe verarbeitet Zahlungs- und Abrechnungsdaten im Zusammenhang mit den SaaS-Abonnements zwischen Auftragslink und den Handwerksbetrieben.

Über Stripe werden keine Zahlungen von Endkunden an Handwerksbetriebe abgewickelt. Stripe ist deshalb nicht als Unterauftragsverarbeiter für die Kunden- und Projektdaten der Handwerksbetriebe in dieser Anlage aufgeführt.

Browser-Push-Dienste

Die verwendeten Browser-Push-Dienste erhalten lediglich ein inhaltsloses technisches Signal. Kunden- oder Angebotsinhalte werden nicht über die Push-Nachricht versendet, sondern anschließend direkt vom Auftragslink-Server abgerufen.

Aus diesem Grund werden diese Dienste nicht als durch Auftragslink beauftragte Unterauftragsverarbeiter für die inhaltliche Verarbeitung von Kunden- und Projektdaten aufgeführt.

Erforderliche technische Zustellinformationen können unabhängig davon personenbezogene Daten darstellen und sind gegebenenfalls gesondert datenschutzrechtlich zu bewerten.

Browser-Spracherkennung

Die Spracheingabe erfolgt durch die Web Speech API des vom Nutzer verwendeten Browsers. Die Verarbeitung gesprochener Inhalte kann durch den jeweiligen Browseranbieter erfolgen.

Auftragslink empfängt ausschließlich den fertig erkannten Text und beauftragt für die browserseitige Spracherkennung keinen eigenen Dienstleister.

Daher werden Browser-Spracherkennungsdienste nicht in das Unterauftragsverarbeiterverzeichnis aufgenommen.

Anlage 4 – Weisungen und Ansprechpartner

1. Dokumentierte Weisungen

Weisungen zur vertragsgemäßen Datenverarbeitung können über die bereitgestellten Funktionen der Anwendung sowie ergänzend in Textform erteilt werden.

Kontakt: kontakt@auftragslink.de

2. Ansprechpartner des Verantwortlichen

Maßgeblich sind die im jeweiligen Betriebskonto hinterlegten Ansprechpartner und Kontaktdaten.

3. Meldung von Datenschutzverletzungen

Datenschutzvorfälle und Sicherheitsereignisse können an folgende Adresse gemeldet werden:

kontakt@auftragslink.de

Der Auftragnehmer benachrichtigt betroffene Verantwortliche gemäß § 10 dieser Vereinbarung.

4. Vertragsschluss und Versionsnachweis

Die AVV wird im Rahmen der Registrierung beziehungsweise des Nutzungsvertrags elektronisch vereinbart.

Der Zeitpunkt der Zustimmung und die jeweilige Dokumentfassung werden mittels Versionsnachweis und Prüfsumme dokumentiert.

Der vollständige Wortlaut der vereinbarten Fassung wird zur Nachweisführung archiviert.