Auftragsverarbeitungsvertrag (AVV)

Verantwortlicher („Kunde“): das im Assetriva-Checkout oder Individualangebot bezeichnete Unternehmen.

Auftragsverarbeiter: JOOSN GbR – König Hanzlik Schöniger GbR, Beuerlbacher Hauptstraße 31, 74564 Crailsheim, Deutschland („JOOSN“).

Kunde und JOOSN werden gemeinsam „Parteien“ genannt. Begriffe wie personenbezogene Daten, Verarbeitung, Verantwortlicher, Auftragsverarbeiter und Aufsichtsbehörde haben die Bedeutung der Datenschutz-Grundverordnung (DSGVO).

JOOSN verarbeitet im Rahmen der Bereitstellung von Assetriva personenbezogene Daten im Auftrag des Kunden. Dieser AVV konkretisiert die datenschutzrechtlichen Pflichten aus dem Assetriva-Hauptvertrag. Bei datenschutzrechtlichen Widersprüchen geht dieser AVV dem Hauptvertrag und den AGB vor.

Der AVV beginnt mit dem wirksamen Assetriva-Vertrag oder der ersten auftragsbezogenen Verarbeitung – je nachdem, was früher eintritt – und endet, wenn JOOSN keine personenbezogenen Auftragsdaten mehr für den Kunden verarbeitet. Pflichten zu Löschung, Rückgabe, Vertraulichkeit und Nachweis wirken soweit erforderlich fort.

JOOSN erhebt, erfasst, ordnet, speichert, verändert, liest, strukturiert, übermittelt, stellt bereit, gleicht ab, beschränkt, archiviert und löscht Auftragsdaten nur, soweit dies für Betrieb, Authentifizierung, Mandantentrennung, Fachfunktionen, privaten Dateispeicher, Support, Sicherheit, Wiederherstellung, Export und vertragsgemäßes Offboarding erforderlich ist.

Gegenstand, Datenarten, Betroffenengruppen und Zwecke sind in Anlage 1 beschrieben. Der Kunde darf zusätzliche Datenkategorien nur im vereinbarten Funktionsumfang und unter Beachtung der Datenschutzgesetze verarbeiten.

Besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO und Daten über strafrechtliche Verurteilungen nach Art. 10 DSGVO sind nicht Gegenstand der Standardleistung. Ihre Verarbeitung erfordert eine vorherige gesonderte Vereinbarung, dokumentierte Rechtsgrundlage und gegebenenfalls zusätzliche Schutzmaßnahmen.

JOOSN verarbeitet Auftragsdaten ausschließlich auf dokumentierte Weisung des Kunden, soweit nicht Unionsrecht oder deutsches Recht eine Verarbeitung verlangt. In diesem Fall informiert JOOSN den Kunden vor der Verarbeitung über die gesetzliche Anforderung, sofern das Recht eine solche Mitteilung nicht aus wichtigen Gründen des öffentlichen Interesses verbietet.

Als dokumentierte Weisungen gelten der Hauptvertrag, dieser AVV, die vom Kunden konfigurierte Nutzung der Plattform sowie Weisungen vertretungsberechtigter oder im Firmenbereich berechtigter Personen. Zusätzliche Weisungen sind in Textform an joerg@joosn.de zu richten. Verursachen sie nachweislich zusätzlichen Aufwand außerhalb der Standardleistung, darf JOOSN diesen nach vorheriger Abstimmung berechnen.

Hält JOOSN eine Weisung für datenschutzrechtswidrig, informiert JOOSN den Kunden unverzüglich und darf die betroffene Ausführung bis zur Klärung aussetzen. Die rechtliche Verantwortung für die Weisung verbleibt beim Kunden.

• JOOSN stellt sicher, dass nur zur Vertraulichkeit verpflichtete und angemessen unterwiesene Personen Auftragsdaten verarbeiten.
• JOOSN setzt die technischen und organisatorischen Maßnahmen aus Anlage 2 um und überprüft ihre Angemessenheit risikoorientiert.
• JOOSN unterstützt den Kunden unter Berücksichtigung der Art der Verarbeitung und verfügbaren Informationen bei Pflichten nach Art. 32 bis 36 DSGVO.
• JOOSN führt die gesetzlich erforderlichen Verzeichnisse und stellt auf Anfrage die für den Nachweis nach Art. 28 DSGVO erforderlichen Informationen bereit.
• JOOSN verarbeitet Auftragsdaten nicht zu eigenen Werbe-, Profiling- oder Verkaufszwecken.
• Zugriffe für Support und Fehleranalyse werden auf das Erforderliche begrenzt und nach Möglichkeit protokolliert.

Der Kunde ist für Rechtmäßigkeit, Transparenz, Richtigkeit und Datenminimierung seiner Verarbeitung verantwortlich. Er bestimmt Rechtsgrundlagen, Löschfristen und Zugriffsberechtigungen und erfüllt Informationspflichten gegenüber Betroffenen.

• Der Kunde benennt nur berechtigte Nutzer und entzieht nicht mehr benötigte Zugriffe unverzüglich.
• Er vermeidet unnötige Personen, Kennzeichen oder sensible Inhalte in Fotos, Audiodateien, Dokumenten und Freitextfeldern.
• Er meldet Datenschutzvorfälle, Fehlzuordnungen und unbefugte Zugriffe unverzüglich an JOOSN.
• Er informiert JOOSN über besondere gesetzliche, branchenspezifische oder vertragliche Anforderungen, die nicht aus der üblichen Assetriva-Nutzung erkennbar sind.
• Er stellt sicher, dass öffentliche Mietanfragen und sonstige kundenbezogene Formulare mit seinen eigenen Datenschutzinformationen versehen sind.

JOOSN trifft unter Berücksichtigung des Stands der Technik, Implementierungskosten, Art, Umfang, Umstände und Zwecke der Verarbeitung sowie der Risiken für Betroffene angemessene Maßnahmen nach Art. 32 DSGVO. Die zum Vertragsbeginn geltenden Maßnahmen sind in Anlage 2 beschrieben.

Die Maßnahmen dürfen mit der technischen Entwicklung angepasst werden, sofern das vereinbarte Schutzniveau nicht abgesenkt wird. Spezifische Zertifizierungen, feste Verfügbarkeitswerte, RPO oder RTO sind nur geschuldet, wenn sie ausdrücklich im Hauptvertrag vereinbart sind.

Wendet sich eine betroffene Person unmittelbar mit einer Anfrage zu Auftragsdaten an JOOSN, leitet JOOSN die Anfrage unverzüglich an den Kunden weiter und beantwortet sie nicht eigenständig, sofern der Kunde JOOSN nicht dazu anweist oder eine gesetzliche Pflicht besteht.

JOOSN unterstützt den Kunden durch geeignete technische und organisatorische Maßnahmen bei Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit, Widerspruch und Identitätsprüfung, soweit dies unter Berücksichtigung der Art der Verarbeitung möglich ist. Außergewöhnlicher Aufwand außerhalb der Standardfunktionen darf nach vorheriger Abstimmung berechnet werden, soweit die Unterstützung nicht auf einem von JOOSN zu vertretenden Verstoß beruht.

JOOSN informiert den Kunden unverzüglich, sobald JOOSN eine Verletzung des Schutzes von Auftragsdaten feststellt. Die Mitteilung enthält, soweit verfügbar, Art und Umfang des Vorfalls, betroffene Daten und Personengruppen, wahrscheinliche Folgen, getroffene oder vorgeschlagene Maßnahmen sowie einen Kontakt für Rückfragen.

Fehlende Informationen werden ohne unangemessene Verzögerung nachgereicht. JOOSN dokumentiert Vorfälle, wirkt an Eindämmung, Untersuchung und Behebung mit und unterstützt den Kunden bei Meldungen nach Art. 33 und 34 DSGVO. Die Entscheidung und Verantwortung über Meldungen des Kunden an Behörden oder Betroffene verbleiben beim Kunden.

Der Kunde erteilt JOOSN eine allgemeine Genehmigung, die in Anlage 3 genannten weiteren Auftragsverarbeiter einzusetzen. JOOSN verpflichtet diese vertraglich zu einem Schutzniveau, das den Anforderungen dieses AVV entspricht, und bleibt gegenüber dem Kunden für deren datenschutzrechtliche Pflichten verantwortlich.

JOOSN informiert den Kunden mindestens 14 Tage vor einer beabsichtigten Ergänzung oder Ersetzung eines Unterauftragnehmers über die hinterlegte Administrator-E-Mail oder einen dauerhaft zugänglichen Plattformhinweis. Bei einer dringenden Sicherheits- oder Verfügbarkeitsmaßnahme darf die Information unverzüglich nachgeholt werden.

Der Kunde kann aus einem nachvollziehbaren datenschutzrechtlichen Grund innerhalb der Mitteilungsfrist widersprechen. Die Parteien suchen eine zumutbare Lösung. Ist keine Lösung möglich und ist der neue Anbieter für die Leistung erforderlich, kann der Kunde den betroffenen Vertragsteil zum Einsatzzeitpunkt außerordentlich kündigen.

Eine Übermittlung in ein Drittland oder an eine internationale Organisation erfolgt nur auf dokumentierte Weisung des Kunden und unter Einhaltung der Art. 44 ff. DSGVO. Die Genehmigung der in Anlage 3 genannten Unterauftragnehmer gilt als entsprechende Weisung im vereinbarten Umfang.

JOOSN stützt Übermittlungen insbesondere auf einen Angemessenheitsbeschluss, eine wirksame Zertifizierung unter dem EU-US Data Privacy Framework oder EU-Standardvertragsklauseln und prüft, soweit erforderlich, zusätzliche technische, organisatorische und vertragliche Maßnahmen.

JOOSN stellt dem Kunden auf angemessene Anfrage Informationen zur Verfügung, die zum Nachweis der Pflichten aus Art. 28 DSGVO erforderlich sind. Vorrang haben aktuelle Verträge, Sicherheitsbeschreibungen, Prüfberichte und standardisierte Fragebögen.

Reichen diese Nachweise begründet nicht aus, darf der Kunde höchstens einmal jährlich sowie zusätzlich nach einem erheblichen Datenschutzvorfall ein Audit durch einen unabhängigen, zur Vertraulichkeit verpflichteten Prüfer durchführen lassen. Audits sind mindestens 30 Tage vorher anzukündigen, auf Geschäftszeiten und den erforderlichen Umfang zu begrenzen und dürfen Sicherheit, Betriebsgeheimnisse oder Daten anderer Kunden nicht gefährden. Aufsichtsbehördliche Rechte bleiben unberührt.

Der Kunde trägt die angemessenen Auditkosten, soweit das Audit keinen von JOOSN zu vertretenden wesentlichen Verstoß feststellt.

Nach Ende der Leistung gibt JOOSN personenbezogene Auftragsdaten nach Wahl des Kunden in einem verfügbaren, angemessenen Format zurück oder löscht sie und vorhandene Kopien, sofern nicht Unionsrecht oder deutsches Recht eine weitere Speicherung verlangt. Der Kunde muss seine Wahl und einen etwaigen Exportbedarf rechtzeitig vor Vertragsende mitteilen.

Während einer vereinbarten Übergabe- oder gesetzlichen Aufbewahrungsphase werden Daten für die normale Nutzung gesperrt und nur noch für Rückgabe, Sicherheit, Rechtsansprüche oder gesetzliche Pflichten verarbeitet. Danach erfolgt die kontrollierte Löschung oder Anonymisierung von Datenbank-, Datei-, Cache- und abgeleiteten Beständen.

Sicherungskopien werden mit der jeweiligen Backup-Rotation gelöscht und bis dahin vor normaler Nutzung geschützt. Wird eine ältere Sicherung wiederhergestellt, werden bereits wirksam angeordnete Löschungen erneut angewandt. Auf Wunsch bestätigt JOOSN den Abschluss der kontrollierten Löschung in Textform.

Für die Haftung gelten Art. 82 DSGVO und die Haftungsregelungen des Hauptvertrags, soweit zwingendes Datenschutzrecht nichts anderes bestimmt. Änderungen dieses AVV bedürfen der Textform; eine aktualisierte Unterauftragnehmerliste nach § 9 ist keine Änderung des übrigen Vertrags.

Sollte eine Bestimmung unwirksam sein, bleiben die übrigen Bestimmungen wirksam. Zwingende gesetzliche Vorgaben gehen vor. Im Übrigen gelten Rechtswahl und Gerichtsstand des Hauptvertrags.

Gegenstand und Zwecke

Bereitstellung einer mandantenfähigen Betriebssoftware für Vermietung, Baustellen- und Dienstleistungsaufträge, gemeinsame Stammdaten, Dokumentation, Kommunikation, Abrechnung und dazugehörigen sicheren Plattformbetrieb.

Kategorien personenbezogener Daten

• Stamm-, Identifikations- und Kontaktdaten, Firmen- und Organisationszuordnungen;
• Benutzer-, Rollen-, Berechtigungs-, Einladungs- und Authentifizierungsdaten;
• Kunden-, Lieferanten-, Ansprechpartner-, Mitarbeiter- und Nachunternehmerdaten;
• Baustellen-, Adress-, Standort-, Termin- und Kommunikationsangaben;
• Geräte-, Vermietungs-, Auftrags-, Prüf-, Reparatur-, Schaden-, Übergabe- und Rücknahmedaten;
• Zeit-, Tätigkeits-, Material-, Preis-, Angebots-, Rechnungs- und Zahlungsreferenzen;
• Dokumente, Fotos, Audiodateien, Unterschriften, Nachweise und darin enthaltene Metadaten;
• technische Protokoll-, Audit-, Geräte-, Sitzungs- und Sicherheitsdaten.

Kategorien betroffener Personen

Kunden und Interessenten des Kunden, Ansprechpartner, Beschäftigte, freie Mitarbeiter, Nachunternehmer, Lieferanten, Partner, Fahrer, Bediener, Unterzeichner und sonstige Personen, deren Daten im vereinbarten betrieblichen Vorgang enthalten sind.

Zutritts-, Zugangs- und Zugriffskontrolle

• Betrieb in professionellen Cloud-Rechenzentren der Unterauftragnehmer mit deren physischer Zugangssicherung;
• personenbezogene Konten, bestätigte E-Mail-Adressen, sichere Sitzungen und rollenbasierte Berechtigungen;
• serverseitige Mandanten- und Mitgliedschaftsprüfung, Row-Level-Security und standardmäßig gesperrte Datenzugriffe;
• Prinzip geringster Rechte für Administratoren, Nutzer, Systemschlüssel und technische Dienste;
• private Dateispeicher, mandantenbezogene Pfade und kurzlebige signierte Dateizugriffe.

Übertragungs- und Speicherschutz

• verschlüsselte Übertragung über TLS/HTTPS und sichere Authentifizierungs-Cookies;
• providerseitige Verschlüsselung gespeicherter Daten, soweit vom jeweiligen Cloud-Dienst bereitgestellt;
• lokale Entwürfe nur begrenzt, mandanten- und nutzergebunden sowie mit AES-GCM verschlüsselt; automatische Ablaufzeiten;
• serverseitig verwahrte Geheimnisse, signierte Upload-Nachweise und Begrenzung zulässiger Dateiarten und -größen.

Integrität, Nachvollziehbarkeit und Trennung

• eindeutige Mandantenkennungen, Fremdschlüssel, Datenbank-Constraints, versionierte Migrationen und Cross-Tenant-Negativtests;
• unveränderbare oder kontrolliert versionierte Fachnachweise sowie rollenbasierte Audit- und Systemprotokolle;
• technische Anwendungsprotokolle mit erlaubten Metadaten statt Feldwerten, freien Texten, Tokens oder Dateiinhalten;
• Trennung von Standardmandanten, Individualkonfiguration, Abrechnung und Endkunden-Fachdaten.

Verfügbarkeit, Wiederherstellung und Betrieb

• überwachte Cloud-Dienste, reproduzierbare Deployments, Versionsverwaltung, automatisierte Tests und kontrollierte Releases;
• Datenbank- und Speicherwiederherstellung nach dem jeweils vereinbarten Provider- und Betriebsprofil; feste RPO/RTO nur bei gesonderter Vereinbarung;
• Incident-, Offboarding-, Export- und kontrollierte Löschverfahren;
• 90-Tage-Löschlauf für technische Anwendungsereignisse und getrennte Behandlung langfristiger Fachnachweise.

Organisation und Datenschutz durch Technikgestaltung

• Vertraulichkeitsverpflichtung, Zugriff nach Aufgabenbedarf und sicherheitsbezogene Entwicklungs- und Prüfregeln;
• Datenminimierung, sichere Standardwerte, private Medien, begrenzte Freitext- und Dateigrößen;
• keine echten Kundendaten in automatisierten Tests oder öffentlichen Vorschauen;
• regelmäßige Überprüfung von Berechtigungen, Abhängigkeiten, Sicherheitsregeln, Unterauftragnehmern und dokumentierten Risiken.

Stripe verarbeitet die Vertrags- und Zahlungsdaten des Kunden für das Assetriva-Abonnement, erhält aber im Standardbetrieb keine Mandanten-Fachdaten. Google wird nur auf freiwillige Auswahl des jeweiligen Nutzers für die Anmeldung eingesetzt. Beide Dienste sind deshalb in der Datenschutzerklärung beschrieben und nicht pauschal als Unterauftragnehmer für sämtliche Fachdaten eingeordnet.

Ergänzende aktuelle Anbieterinformationen:

• Vercel-Unterauftragnehmer
• Supabase DPA
• Resend-Unterauftragnehmer