Vertrag zur Auftragsverarbeitung (Art. 28 DSGVO)

Version: 2026-10-entwurf-2

zwischen dem Betrieb, der Werkio nutzt (Verantwortlicher, im Folgenden „Auftraggeber“), und [bitte ergänzen], [bitte ergänzen], [bitte ergänzen] (Auftragsverarbeiter, im Folgenden „Auftragnehmer“).

Der Vertrag kommt zustande, wenn ein Admin des Auftraggebers ihn in der App unter „Betrieb“ bestätigt. Version und Zeitpunkt der Bestätigung werden festgehalten. Er ergänzt den Nutzungsvertrag über die App Werkio.

1. Gegenstand und Dauer

Der Auftragnehmer betreibt für den Auftraggeber die App Werkio und verarbeitet dabei personenbezogene Daten im Auftrag des Auftraggebers. Der Vertrag gilt, solange der Auftraggeber die App nutzt, und endet mit dem Nutzungsvertrag. Die Pflichten zur Löschung und Rückgabe nach Abschnitt 11 bleiben bis zu ihrer Erfüllung bestehen.

2. Art und Zweck der Verarbeitung

Speichern und Verarbeiten der vom Auftraggeber erfassten Inhalte, um Angebote, Rechnungen und Arbeitsberichte zu erstellen, zu verwalten und an Kunden zu senden. Dazu gehören: Umwandlung von Sprache in Text, Gliederung des Textes zu Angebotspositionen durch eine KI, Speicherung von Angeboten, Rechnungen, Kunden, Preisliste, Fotos und PDFs, der Angebotslink für Kunden des Auftraggebers sowie die Bereitstellung von Zugängen für Mitarbeiter des Auftraggebers.

3. Art der Daten und betroffene Personen

• Daten: Name, Anschrift, E-Mail-Adresse und Telefonnummer von Kunden und Interessenten, Angebots- und Rechnungsinhalte, Notizen, Sprachaufnahmen und deren Texte, Fotos, Antworten und Fragen von Kunden über den Angebotslink, Kontodaten der Mitarbeiter des Auftraggebers (Name, E-Mail, Telefon, Rolle).
• Betroffene Personen: Kunden und Interessenten des Auftraggebers sowie dessen Mitarbeiter. Sprachaufnahmen und Fotos können zufällig weitere Personen enthalten. Der Auftraggeber nimmt keine Gespräche mit anderen Personen ohne deren Wissen auf.
• Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO) sind nicht vorgesehen. Der Auftraggeber trägt solche Daten nicht ein.

4. Pflichten und Weisungen des Auftraggebers

Der Auftraggeber ist für die Rechtmäßigkeit der Verarbeitung und für die Wahrung der Rechte der betroffenen Personen verantwortlich. Dazu gehören die Rechtsgrundlage und die Information seiner Kunden über die Datenverarbeitung. Der Auftragnehmer verarbeitet Daten nur auf dokumentierte Weisung des Auftraggebers. Die Nutzung der App durch den Auftraggeber und seine Mitarbeiter und die Einstellungen in der App gelten als Weisung. Hält der Auftragnehmer eine Weisung für rechtswidrig, weist er unverzüglich darauf hin und darf die Ausführung bis zur Klärung aussetzen.

5. Vertraulichkeit

Personen, die für den Auftragnehmer Daten verarbeiten, sind zur Vertraulichkeit verpflichtet oder unterliegen einer angemessenen gesetzlichen Verschwiegenheitspflicht.

6. Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

• Verschlüsselte Übertragung. Speicherung in Rechenzentren in der EU (Frankfurt). Verschlüsselung der gespeicherten Daten bei den Dienstleistern.
• Mandantentrennung: Die Daten jedes Betriebs sind durch Zugriffsregeln in der Datenbank von denen anderer Betriebe getrennt. Dateien liegen in getrennten Ordnern je Betrieb. Die Trennung wird geprüft.
• Zugangskontrolle: Anmeldung mit E-Mail und Passwort, Rollen (Admin, Mitarbeiter), Sperren von Zugängen durch den Admin, Zugriff nur für angemeldete Mitglieder des Betriebs.
• Begrenzung der KI-Aufrufe je Betrieb und Tag. Keine Protokollierung von Inhalten der Angebote in Server-Protokollen.
• Gestellte Rechnungen sind nach dem Stellen gegen Änderung gesperrt (Datenbankregel).
• Zugriff des Auftragnehmers auf Inhalte nur, soweit zur Fehlerbehebung oder auf Weisung nötig. Der Zugang des Auftragnehmers zu den Systemen ist auf Berechtigte beschränkt.
• Sicherungskopien der Datenbank [Umfang und Aufbewahrung nach gebuchtem Tarif eintragen].
• Meldewege für Störungen und Datenschutzvorfälle.
• [Weitere Maßnahmen und Prüfungen bitte ergänzen.]

7. Unterauftragsverarbeiter

Der Auftraggeber stimmt dem Einsatz der folgenden Unterauftragsverarbeiter zu. Der Auftragnehmer schließt mit ihnen Verträge, die ein dem Art. 28 DSGVO entsprechendes Schutzniveau sicherstellen. [Bitte bestätigen: Auftragsverarbeitungsverträge mit allen aufgeführten Diensten sind abgeschlossen.]

• Supabase: Datenbank, Anmeldung und Dateispeicher. Daten: alle Inhalte des Betriebs: Konto, Angebote, Rechnungen, Kunden, Preisliste, Fotos, PDFs, Logos. Ort: Frankfurt (Deutschland), EU. Anbieter mit Sitz in den USA. Aufbewahrung: bis zur Löschung durch den Betrieb; Sicherungskopien [Dauer laut gebuchtem Tarif eintragen].
• Vercel: Betrieb der Anwendung (Hosting, Server-Funktionen). Daten: Anfragen an die App einschließlich der Inhalte, die gerade verarbeitet werden (zum Beispiel Diktattexte), technische Protokolle. Ort: Server-Funktionen in Frankfurt (Region fra1), EU. Auslieferung statischer Dateien über ein weltweites Netz. Anbieter mit Sitz in den USA. Aufbewahrung: Protokolle nach den Einstellungen des Anbieters [bitte eintragen].
• OpenAI: Umwandlung von Sprachaufnahmen in Text (Spracherkennung, Modell Whisper). Daten: Sprachaufnahme des Diktats, gesprochene Inhalte (zum Beispiel Namen, Anschriften, Leistungen, Preise). Ort: USA. Aufbewahrung: nach den Bedingungen des Anbieters bis zu 30 Tage zur Missbrauchsprüfung [bitte gegen die aktuellen Bedingungen prüfen]; das Teilen von Eingaben und Ausgaben zum Training ist ausgeschaltet.
• Anthropic: Gliederung des Diktattextes in Angebotspositionen und Auswertung von Antworten (KI, Modell Claude). Daten: Text des Diktats (zum Beispiel Namen, Anschriften, Leistungen, Mengen, Preise), bestehende Positionen bei Ergänzungen. Ort: USA. Aufbewahrung: 30 Tage (Einstellung der Organisation); keine Nutzung zum Modelltraining, das Entwicklungspartner-Programm ist nicht aktiviert.
• Apple und Google (Push-Dienste der Geräte): Zustellung von Mitteilungen aufs Handy, wenn Mitteilungen eingeschaltet sind. Daten: Kurztext der Mitteilung (zum Beispiel „Angebot angenommen“) und Kennung des Geräts, keine Kundendaten. Ort: je nach Gerät Apple oder Google, weltweit. Aufbewahrung: nach den Regeln des Anbieters.

Nur bei Einschalten der jeweiligen Funktion (zum Beispiel Bezahlung, E-Mail-Versand) kommen hinzu:

• Stripe: Abwicklung der Zahlung des Abonnements. Daten: Name, E-Mail, Zahlungsangaben des zahlenden Betriebs, keine Kundendaten des Betriebs.
• Resend: Versand von E-Mails aus der App (zum Beispiel Wochenübersicht, Rückmeldungen), nur wenn eingerichtet. Daten: E-Mail-Adresse des Empfängers, Inhalt der Nachricht.

Der Auftragnehmer informiert den Auftraggeber über beabsichtigte Änderungen (Hinzufügen oder Ersetzen) mindestens [14] Tage vorher in der App oder per E-Mail. Der Auftraggeber kann aus wichtigem Grund in dieser Frist widersprechen. Bleibt es beim Widerspruch und ist keine andere Lösung möglich, können beide Seiten den Nutzungsvertrag zum Zeitpunkt der Änderung beenden. Der Auftragnehmer verpflichtet Unterauftragsverarbeiter vertraglich zu denselben Datenschutzpflichten wie in diesem Vertrag.

8. Übermittlung in Drittländer

Die Spracherkennung und die KI-Auswertung werden von Dienstleistern in den USA erbracht. Der Auftraggeber stimmt dieser Übermittlung zu. Sie wird durch Standardvertragsklauseln der EU-Kommission und, soweit der Anbieter dafür zertifiziert ist, durch den Angemessenheitsbeschluss zum EU-US Data Privacy Framework abgesichert. [Bitte je Anbieter bestätigen.] Der Auftraggeber kann die Sprach- und KI-Funktionen unbenutzt lassen und Angebote von Hand eintragen. Dann findet diese Übermittlung für seine Daten nicht statt.

9. Unterstützung des Auftraggebers

• Betroffenenrechte: Der Auftragnehmer unterstützt den Auftraggeber mit technischen Mitteln bei Anfragen betroffener Personen (Auskunft, Berichtigung, Löschung, Einschränkung, Übertragbarkeit). Der Admin kann Daten in der App exportieren und löschen. Anfragen, die den Auftragnehmer direkt erreichen, leitet er an den Auftraggeber weiter.
• Verletzung des Schutzes personenbezogener Daten: Der Auftragnehmer meldet dem Auftraggeber eine Verletzung unverzüglich, möglichst innerhalb von [48] Stunden nach Kenntnis, mit den ihm bekannten Angaben, damit der Auftraggeber seine Meldepflichten erfüllen kann.
• Der Auftragnehmer unterstützt bei einer Datenschutz-Folgenabschätzung und der Konsultation der Aufsichtsbehörde, soweit es ihm möglich und zumutbar ist.

10. Verzeichnis und Nachweise

Der Auftragnehmer führt ein Verzeichnis seiner Verarbeitungstätigkeiten als Auftragsverarbeiter. Er stellt dem Auftraggeber die Informationen bereit, die zum Nachweis der Einhaltung dieses Vertrags nötig sind, und ermöglicht Überprüfungen einschließlich Inspektionen. Sie werden rechtzeitig angekündigt und finden in den üblichen Geschäftszeiten ohne Störung des Betriebs statt. [Ablauf und Kosten bitte festlegen.]

11. Löschung und Rückgabe

Nach Ende der Nutzung gibt der Auftragnehmer die Daten des Auftraggebers heraus (Export) und löscht sie danach oder löscht sie auf Wunsch sofort, soweit keine gesetzliche Pflicht zur Speicherung besteht. Löscht der Auftraggeber den Betrieb selbst in der App, werden alle Daten des Betriebs einschließlich der Dateien und der Zugänge gelöscht. Sicherungskopien werden nach der in Abschnitt 6 genannten Frist überschrieben.

12. Vergütung, Haftung und Schluss

[Vergütung für Unterstützungsleistungen, Haftung und Rangfolge zum Nutzungsvertrag bitte rechtlich festlegen.] Änderungen und Ergänzungen bedürfen der Textform. Es gilt deutsches Recht. Gerichtsstand ist, soweit zulässig, [Ort bitte eintragen]. Sollte eine Bestimmung unwirksam sein, bleibt der Vertrag im Übrigen wirksam.