Datenschutzerklärung – Auftragslink

Stand: 27. Oktober 2026 – technische Fassung v3.16

1. Verantwortlicher

Fabian Wernet
Auftragslink – Einzelunternehmen
Am Schloss 9
79263 Simonswald
Deutschland

Telefon: +49 170 1711100
E-Mail: kontakt@auftragslink.de
Website: https://auftragslink.de

Diese Datenschutzerklärung informiert über die Datenverarbeitung bei der Nutzung der Website und der webbasierten Software Auftragslink.

2. Datenschutzrechtliche Rollen

Auftragslink ist eine Softwareplattform für Unternehmer, insbesondere Handwerksbetriebe.

Für die Registrierung, Vertragsverwaltung, Abonnementabrechnung, technische Sicherheit sowie eigene Website- und Geschäftsvorgänge ist Fabian Wernet datenschutzrechtlich Verantwortlicher.

Soweit Handwerksbetriebe über Auftragslink personenbezogene Daten ihrer Endkunden, Mitarbeiter oder Geschäftspartner verarbeiten, handeln diese grundsätzlich als Verantwortliche. Auftragslink verarbeitet diese Daten im Rahmen einer Vereinbarung zur Auftragsverarbeitung gemäß Art. 28 DSGVO.

Für personenbezogene Daten innerhalb eines konkreten Angebots oder Auftrags ist der jeweilige Handwerksbetrieb grundsätzlich der erste Ansprechpartner. Dessen Kontaktdaten ergeben sich aus dem Angebot beziehungsweise den zugehörigen Unternehmensangaben.

3. Bereitstellung, Hosting und technische Infrastruktur

Auftragslink wird bei folgendem Hostinganbieter betrieben:

ALL-INKL.COM – Neue Medien Münnich
Inhaber: René Münnich
Hauptstraße 68
02742 Friedersdorf
Deutschland

Nach Angaben des Betreibers befinden sich die verwendeten Server in Deutschland.

Die Anwendungsdaten werden in einer SQLite-Datenbank gespeichert. Hochgeladene Dateien, insbesondere Fotos, Dokumente, Rechnungen, PDFs und elektronische Unterschriften, werden auf derselben Hostinginfrastruktur gespeichert.

Die Übertragung zwischen Browser und Anwendung erfolgt verschlüsselt über HTTPS/TLS.

Der Versand regulärer System- und Transaktions-E-Mails erfolgt über den SMTP-Dienst von ALL-INKL.

Beim Aufruf der Website und Anwendung können technisch notwendige Verbindungsdaten anfallen. Dazu gehören insbesondere IP-Adresse, Zugriffszeitpunkt, aufgerufene Ressource, Browser- und technische Verbindungsinformationen.

Diese Daten werden verarbeitet, soweit dies für die Bereitstellung, Sicherheit und Fehlerbehebung erforderlich ist. Rechtsgrundlagen sind – je nach Verarbeitung – Art. 6 Abs. 1 lit. b beziehungsweise lit. f DSGVO.

Die konkreten Speicherfristen etwaiger zusätzlicher Webserver-Protokolle des Hostinganbieters richten sich nach der eingesetzten Serverkonfiguration.

4. Registrierung und Benutzerkonten

Auftragslink steht ausschließlich Unternehmern gemäß § 14 BGB zur Verfügung.

Bei der Registrierung werden insbesondere Unternehmensname, Kontaktdaten, Anmeldedaten und erforderliche Vertragsinformationen verarbeitet.

Der Registrierende bestätigt seine Unternehmereigenschaft und stimmt den Nutzungsbedingungen sowie der Vereinbarung zur Auftragsverarbeitung zu.

Auftragslink speichert zu dieser Zustimmung den Zeitpunkt und einen Versionsnachweis in Form einer Prüfsumme. Der vollständige Wortlaut der jeweils vereinbarten Fassung wird archiviert.

Bei einer neuen Fassung der Nutzungsbedingungen oder der Vereinbarung zur Auftragsverarbeitung werden eine erteilte Zustimmung beziehungsweise ein erklärter Widerspruch ebenfalls mit Zeitpunkt und Fassung dokumentiert.

Die Verarbeitung dient dem Abschluss und der Durchführung des Nutzungsvertrags sowie dem Nachweis der vertraglichen Vereinbarungen.

Rechtsgrundlagen sind insbesondere Art. 6 Abs. 1 lit. b, lit. c und lit. f DSGVO, abhängig vom konkreten Verarbeitungszweck.

Anfrage eines Testzugangs: Ist die Selbstregistrierung geschlossen, kann über ein Formular ein Testzugang angefragt werden. Die Angaben (Firmenname, Name, E-Mail, optional Telefon, Gewerk und Nachricht) werden per E-Mail an uns übermittelt und ausschließlich zur Bearbeitung der Anfrage und zur Kontaktaufnahme verwendet. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (vorvertragliche Maßnahmen). Die E-Mails werden gelöscht, sobald die Anfrage erledigt ist und keine Aufbewahrungspflicht besteht.

5. Mitarbeiterzugänge

Handwerksbetriebe können für ihre Mitarbeiter gesonderte Zugänge anlegen.

Dabei werden insbesondere Name, Benutzerkennung, Berechtigungen, Auftragszuweisungen und gegebenenfalls vom Mitarbeiter eingegebene Inhalte verarbeitet.

Die Mitarbeiterberechtigungen werden technisch eingeschränkt. Mitarbeiter können gemäß ihrem Rollenprofil freigegebene, angenommene Aufträge bearbeiten, ohne auf die für sie gesperrten Preisangaben zugreifen zu können.

Die Verwaltung der Mitarbeiterdaten erfolgt grundsätzlich im Verantwortungsbereich des jeweiligen Handwerksbetriebs.

6. Kunden-, Angebots- und Projektdaten

Die Handwerksbetriebe können insbesondere folgende Informationen speichern:

• Namen und Kontaktdaten ihrer Endkunden
• Projekt- und Rechnungsanschriften
• Angebote, Positionen, Mengen und Preise
• Aufmaße und Projektbeschreibungen
• Fotos und KI-generierte Visualisierungen
• Nachrichten, Notizen und Dokumente
• elektronische Annahmen und Unterschriften
• Rechnungen, E-Rechnungen und Mahnungen
• Eingangsbelege und Buchhaltungsdaten
• Abnahmeprotokolle und Auftragsdokumentationen

Diese Daten werden im Auftrag des jeweiligen Handwerksbetriebs gespeichert und verarbeitet.

7. Individuelle Angebotslinks

Endkunden können Angebote über einen individuellen, schwer erratbaren Link ohne eigenes Benutzerkonto öffnen.

Über diesen Link können sie die freigegebenen Angebotsinformationen ansehen, Varianten auswählen, Fragen stellen und Angebote digital annehmen.

Im Rahmen der vom Handwerksbetrieb freigegebenen Funktionen können Endkunden außerdem ausgewählte Projektdokumente und Abnahmeprotokolle einsehen.

Der Besitz eines gültigen Links ermöglicht den Zugriff auf die hierfür freigegebenen Inhalte. Angebotslinks sollten deshalb nicht unbefugt weitergegeben werden.

Am Ende des jeweiligen Angebots stehen die Datenschutzhinweise des verantwortlichen Handwerksbetriebs sowie das Impressum und die Datenschutzerklärung von Auftragslink zur Verfügung.

8. Messung von Angebotsöffnungen und Kaufinteresse

Auftragslink ermöglicht eine optional aktivierbare Messung des Interesses an digitalen Angeboten.

8.1 Einwilligungsbasierte Messung

Die Kaufinteresse-Messung ist standardmäßig ohne Zustimmung des Endkunden deaktiviert.

Vor der Messung wird im Angebot ein Hinweis mit einer Ja-/Nein-Auswahl angezeigt.

Nur wenn der Endkunde zustimmt, werden die dafür vorgesehenen Nutzungsdaten erfasst. Hierzu gehören insbesondere:

• Angebotsöffnungen
• Verweildauer in einzelnen Angebotsabschnitten
• zugehörige Interaktionen, soweit sie Bestandteil der jeweils angezeigten Einwilligung sind

Die erfassten Informationen werden dem jeweiligen Handwerksbetrieb zur Einschätzung des Angebotsinteresses bereitgestellt.

Rechtsgrundlage für die einwilligungsbedürftige Datenverarbeitung ist Art. 6 Abs. 1 lit. a DSGVO. Soweit ein Zugriff auf Informationen im Endgerät erfolgt, ist zusätzlich § 25 TDDDG zu beachten.

Eine erteilte Einwilligung muss für die Zukunft widerrufen werden können.

Die Frage zur Kaufinteresse-Messung erscheint erst, wenn der Endkunde im Angebot scrollt oder wenn zwölf Sekunden seit dem Öffnen des Angebots vergangen sind. Dabei werden die gleichwertigen Schaltflächen „Ja, gerne“ und „Nein, danke“ angezeigt.

Der Endkunde kann seine Entscheidung jederzeit über den Link „Auswertung: … ändern“ am Ende des Angebots ändern oder seine Einwilligung widerrufen.

Bei einem Widerruf werden die bis dahin erfassten Verweildauer- und Interaktionsdaten gelöscht.

Ohne Zustimmung werden auch keine Angebotsöffnungen gezählt, es sei denn, der Handwerksbetrieb hat die in Ziffer 8.2 beschriebene optionale Erfassung aktiviert.

8.2 Optionale Erfassung reiner Öffnungszeitpunkte

Ein Handwerksbetrieb kann gesondert einstellen, dass Angebotsöffnungen auch ohne Einwilligung gezählt werden.

Diese Funktion ist standardmäßig ausgeschaltet.

In diesem Modus wird nach der technischen Beschreibung ausschließlich der Zeitpunkt einer Angebotsöffnung erfasst. Es werden dafür keine zusätzlichen Gerätekennungen oder Verhaltensdaten gespeichert.

Die Zulässigkeit dieser Verarbeitung hängt von ihrer konkreten technischen Umsetzung und der Rechtsgrundlage des jeweiligen Handwerksbetriebs ab. Die Funktion darf nur aktiviert werden, wenn die gesetzlichen Voraussetzungen erfüllt sind.

8.3 Aufbewahrung

Die eigens für die Trackingfunktion gespeicherten Daten werden nach der vorgesehenen Löschregel zwölf Monate nach der letzten zugehörigen Aktivität gelöscht.

Soweit Öffnungszeitpunkte zusätzlich Bestandteil eines vertraglich erforderlichen Angebots- oder Annahmenachweises sind, ist dieser eigenständige Dokumentationszweck getrennt zu bewerten.

9. Elektronische Angebotsannahme

Endkunden können Angebote mit einer einfachen elektronischen Signatur annehmen.

Für den Annahmenachweis werden folgende Informationen gespeichert:

• Name der annehmenden Person
• Ort
• E-Mail-Adresse, soweit freiwillig angegeben
• ausgewählte Angebotsoptionen
• Netto- und Bruttobeträge
• Angabe zum gewünschten vorzeitigen Beginn, soweit ausgewählt
• Unterschrift als Bilddatei
• SHA-256-Prüfsumme zur Integritätsprüfung
• Browserkennung in Form des User-Agent
• Zeitpunkt der Annahme

Eine IP-Adresse wird im Annahmenachweis nicht gespeichert.

Die Verarbeitung dient der Dokumentation einer elektronischen Erklärung und der Vertragsabwicklung zwischen dem jeweiligen Handwerksbetrieb und seinem Endkunden.

Der Annahmenachweis wird zusammen mit dem betreffenden Angebot gespeichert.

10. KI-gestützte Funktionen

Auftragslink verwendet KI-Dienste für bestimmte Funktionen.

10.1 Anthropic – Claude API

Die Claude API wird insbesondere eingesetzt für:

• Angebotserstellung aus Notizen und Fotos
• Import und Analyse von Preislisten
• KI-gestützte Beantwortung von Kundenfragen innerhalb eines Angebots
• Auslesen von Eingangsbelegen (KI-gestützte Belegerfassung)
• weitere vereinbarte Text- und Analysefunktionen

Hierzu können die für die konkrete Funktion erforderlichen Eingaben und Inhalte an Anthropic übermittelt werden.

Der Frage-Assistent ist für Endkunden als KI-gestützt gekennzeichnet. Er kann vom Handwerksbetrieb deaktiviert werden.

Technische Begrenzungen dienen dazu, Missbrauch und themenfremde Anfragen einzuschränken.

10.2 Google – Gemini API

Gemini wird zur Erstellung von Bildvisualisierungen verwendet.

Hierbei können insbesondere Raumfotos und die zur gewünschten Visualisierung erforderlichen Angaben an Google übermittelt werden.

10.3 Datenminimierung und Speicherung

An die KI-Dienste werden nach der technischen Konfiguration nur diejenigen Inhalte übertragen, die für die angeforderte Funktion benötigt werden.

KI-generierte Inhalte sowie Kundenfragen und Antworten können beim betreffenden Angebot gespeichert werden.

KI-generierte Bilder sind Visualisierungen und ersetzen keine verbindliche technische Planung.

Bei der KI-gestützten Belegerfassung werden die ausgelesenen Informationen gemeinsam mit den zugehörigen Belegen im Betriebskonto gespeichert.

Die Speicherung bei den externen KI-Dienstleistern kann von der Speicherung bei Auftragslink abweichen und richtet sich nach den tatsächlich eingesetzten API-Produkten und deren vertraglichen Bedingungen.

10.4 Drittlandübermittlungen

Bei der Nutzung von Anthropic und Google können personenbezogene Daten in die USA übermittelt werden.

Für derartige Übermittlungen müssen geeignete rechtliche Grundlagen gemäß Art. 44 ff. DSGVO bestehen.

Anthropic (Claude API)

Vertragspartner ist Anthropic Ireland, Limited mit Sitz in Irland.

Im Rahmen der Leistungserbringung können personenbezogene Daten an Anthropic PBC in den USA sowie an deren Unterauftragsverarbeiter weitergegeben werden.

Diese Weitergaben erfolgen auf Grundlage der im Data Processing Addendum (DPA) enthaltenen EU-Standardvertragsklauseln, insbesondere der Module 2 und 3, soweit diese für die jeweilige Übermittlung einschlägig sind.

Eine Liste der Unterauftragsverarbeiter ist unter https://www.anthropic.com/subprocessors abrufbar.

Google (Gemini API)

Auftragslink verwendet ausschließlich die kostenpflichtige Stufe der Gemini API.

Für diese Verarbeitung gilt das „Data Processing Addendum for Products where Google is a Data Processor“.

Eine Übermittlung personenbezogener Daten in die USA erfolgt auf Grundlage des EU-US Data Privacy Framework, soweit dessen Voraussetzungen für den betreffenden Empfänger und die jeweilige Verarbeitung erfüllt sind, beziehungsweise auf Grundlage der in den anwendbaren Vertragsbedingungen enthaltenen Standardvertragsklauseln.

Google LLC ist nach dem öffentlich zugänglichen Teilnehmerverzeichnis für das EU-US Data Privacy Framework zertifiziert. Die konkrete Anwendbarkeit dieser Zertifizierung auf die eingesetzte Verarbeitung und die vertragliche Ausgestaltung sind zu überprüfen.

11. Spracheingabe

Auftragslink ermöglicht die Spracheingabe über die Web Speech API des jeweiligen Browsers.

Die Verarbeitung der gesprochenen Sprache kann abhängig vom eingesetzten Browser durch dessen Anbieter erfolgen, beispielsweise durch Google bei bestimmten Chrome-Konfigurationen oder durch Apple bei entsprechenden Safari-Konfigurationen.

Auftragslink erhält über diese Funktion nach der beschriebenen Umsetzung ausschließlich den fertigen erkannten Text.

Die Verarbeitung von Sprachdaten durch den Browseranbieter richtet sich nach dessen technischen Einstellungen und Datenschutzbestimmungen.

Beim ersten Diktieren erscheint ein Hinweis, dass die Spracherkennung durch den jeweiligen Browseranbieter erfolgt.

12. Push-Benachrichtigungen

Handwerksbetriebe können Browser-Push-Benachrichtigungen aktivieren.

Die Zustellung erfolgt über den jeweiligen Browser-Push-Dienst, beispielsweise von Google, Apple oder Mozilla.

Auftragslink übermittelt über den Push-Dienst ausschließlich ein inhaltsloses Benachrichtigungssignal.

Kunden-, Angebots- und Auftragsinformationen werden nicht als Inhalt der Push-Nachricht übermittelt.

Nach Empfang des Signals lädt der Browser den benötigten Inhalt direkt und geschützt vom Auftragslink-Server.

Für die technische Zustellung werden erforderliche Push-Endpunkte und sonstige technische Zustellinformationen verarbeitet.

Push-Benachrichtigungen können über die Browserberechtigungen deaktiviert werden.

13. Zahlung und Abrechnung mit Stripe

Für die Abrechnung kostenpflichtiger Abonnements von Handwerksbetrieben wird Stripe eingesetzt.

Die Zahlungsabwicklung erfolgt über Stripe Checkout. Die Verwaltung und Kündigung von Abonnements ist über das Stripe-Kundenportal möglich.

Die Testphase beträgt sieben Tage. Eine Kündigung wird entsprechend der vertraglich vereinbarten Regelung zum Ende der laufenden Vertragsperiode wirksam.

Stripe kann die für die Zahlungsabwicklung erforderlichen Zahlungs-, Kontakt- und Transaktionsdaten verarbeiten.

Endkunden zahlen handwerkliche Leistungen nicht über das Stripe-Konto von Auftragslink. Anzahlungen oder sonstige Zahlungen erfolgen unmittelbar an den jeweiligen Handwerksbetrieb.

14. Automatisierte E-Mails

Über Auftragslink können Handwerksbetriebe automatische Angebots-Erinnerungen und Bewertungsanfragen veranlassen.

Angebots-Erinnerungen sind standardmäßig deaktiviert und müssen vom jeweiligen Handwerksbetrieb aktiviert werden.

Bewertungsanfragen werden nur versendet, wenn der Endkunde beim jeweiligen Auftrag aktiv zugestimmt hat.

Automatische Nachrichten enthalten einen zweistufigen Abmeldelink.

Die rechtliche Zulässigkeit insbesondere werblicher Nachrichten ist vom jeweiligen Handwerksbetrieb sicherzustellen. Die technische Bereitstellung des Abmeldelinks ersetzt keine erforderliche vorherige Einwilligung.

Auftragslink verschickt nach der beschriebenen Konfiguration keine eigenen Newsletter.

15. Rechnungen, Belege und Buchhaltungsexporte

Die Software ermöglicht die Verwaltung von Rechnungen, E-Rechnungen, Eingangsbelegen und weiteren Abrechnungsunterlagen.

Der Handwerksbetrieb kann jederzeit einen vollständigen Datenexport als ZIP-Datei durchführen.

Dieser Export enthält nach der beschriebenen Funktion:

• Kunden als CSV-Datei
• sämtliche Angebote einschließlich Annahmenachweisen und Verlauf
• Rechnungen und Belege
• sämtliche gespeicherten Dateien
• eine Teamliste

Die rechtliche Verantwortung für die Einhaltung steuerlicher und handelsrechtlicher Aufbewahrungspflichten des Betriebs verbleibt beim jeweiligen Handwerksbetrieb.

16. Sicherheitsprotokollierung

Zur Gewährleistung der IT-Sicherheit werden sicherheitsrelevante Aktionen protokolliert.

Dazu gehören:

• erfolgreiche Anmeldungen
• fehlgeschlagene Anmeldeversuche
• Datenexporte
• Löschvorgänge
• administrative Supportzugriffe

Die IP-Adresse wird innerhalb dieser Protokolle gekürzt, indem der letzte Adressblock genullt wird.

Die Sicherheitsprotokolle werden zwölf Monate gespeichert und anschließend gelöscht.

Die Verarbeitung dient dem Schutz der Konten, der Untersuchung von Sicherheitsvorfällen und der Nachvollziehbarkeit administrativer Zugriffe.

Rechtsgrundlage ist insbesondere Art. 6 Abs. 1 lit. f DSGVO, gegebenenfalls in Verbindung mit vertraglichen und gesetzlichen Sicherheitsanforderungen.

17. Technische Sicherheitsmaßnahmen

Auftragslink verwendet nach der technischen Beschreibung insbesondere:

• HTTPS/TLS-Übertragung
• technische Mandantentrennung
• rollenbezogene Berechtigungen
• Zwei-Faktor-Anmeldung auf TOTP-Basis für Kontoinhaber
• Begrenzung wiederholter fehlgeschlagener Anmeldungen
• gehashte Zähler für Anmelde-Fehlversuche
• Protokollierung relevanter Sicherheitsereignisse
• protokollierte Supportzugriffe
• automatische Datensicherungen

Die Wirksamkeit dieser Maßnahmen wird anhand der tatsächlichen technischen Konfiguration bewertet.

18. Datensicherung

Die SQLite-Datenbank wird täglich automatisch gesichert.

Die Datenbank-Sicherungskopien werden für 14 Tage in einem geschützten, nicht öffentlich erreichbaren Verzeichnis auf demselben Server gespeichert. Anschließend werden sie automatisch gelöscht.

Diese Datenbank-Backups sind derzeit nicht zusätzlich verschlüsselt.

Für hochgeladene Dateien kommen die Server-Backups von ALL-INKL zum Einsatz. Deren konkrete Speicherfristen und Wiederherstellungsverfahren richten sich nach den eingesetzten Hosting- und Backup-Leistungen.

19. Löschung nach Vertragsende

Nach Kündigung beziehungsweise dem Ende einer nicht fortgesetzten Testphase werden die dem Betrieb zugeordneten Daten grundsätzlich nach 90 Tagen gelöscht.

Vor der Löschung erhält der Betrieb eine Warn-E-Mail mit Hinweis auf den verfügbaren Vollexport.

Nach Vertragsende kann der Betrieb die sofortige endgültige Löschung seines Kontos und aller Daten auch selbst in den Einstellungen veranlassen und erhält eine Löschbestätigung per E-Mail.

Gelöschte Daten werden nach der beschriebenen Datenbank-Backup-Rotation spätestens nach weiteren 14 Tagen aus den Datenbank-Sicherungskopien entfernt.

Die Behandlung der von ALL-INKL gesicherten Dateien ist gesondert nach dem konkreten Sicherungs- und Löschverfahren zu beurteilen.

Auftragslink ist nicht für die dauerhafte gesetzliche Archivierung sämtlicher geschäftlicher Unterlagen nach Vertragsende vorgesehen. Der Handwerksbetrieb ist verpflichtet, seine aufbewahrungspflichtigen Dokumente rechtzeitig zu exportieren und selbst ordnungsgemäß aufzubewahren.

Eigene Abrechnungsunterlagen von Auftragslink können unabhängig davon im gesetzlich erforderlichen Umfang weiter gespeichert werden.

20. Website-Statistik und externe Ressourcen

Die öffentliche Website setzt nach der technischen Beschreibung keine externen Webanalyse-Dienste ein.

Die Besucherzählung erfolgt ohne Cookies und ohne dauerhafte Speicherung vollständiger IP-Adressen unter Verwendung eines täglich wechselnden Hashwerts.

Schriftarten und Programmbibliotheken werden lokal vom eigenen Server bereitgestellt. Ein automatischer Abruf von Google Fonts oder externen CDNs findet nicht statt.

21. Rechte betroffener Personen

Betroffene Personen haben im Rahmen der gesetzlichen Voraussetzungen insbesondere das Recht auf:

• Auskunft gemäß Art. 15 DSGVO
• Berichtigung gemäß Art. 16 DSGVO
• Löschung gemäß Art. 17 DSGVO
• Einschränkung der Verarbeitung gemäß Art. 18 DSGVO
• Datenübertragbarkeit gemäß Art. 20 DSGVO
• Widerspruch gemäß Art. 21 DSGVO
• Widerruf erteilter Einwilligungen gemäß Art. 7 Abs. 3 DSGVO

Für Verarbeitungsvorgänge in eigener Verantwortung ist Auftragslink unter kontakt@auftragslink.de erreichbar.

Bei Daten im Verantwortungsbereich eines Handwerksbetriebs sollten sich betroffene Personen an den jeweiligen Betrieb wenden.

22. Beschwerderecht

Betroffene Personen können sich bei einer zuständigen Datenschutzaufsichtsbehörde beschweren.

Für den Betreiber kommt insbesondere der Landesbeauftragte für den Datenschutz und die Informationsfreiheit Baden-Württemberg in Betracht.

Website: https://www.baden-wuerttemberg.datenschutz.de/

23. Aktualisierungen

Diese Datenschutzerklärung wird angepasst, wenn sich rechtliche Anforderungen, eingesetzte Dienstleister oder die tatsächliche Datenverarbeitung ändern.

Es gilt die jeweils veröffentlichte Fassung.