Auftragsverarbeitungsvereinbarung (AVV)

Vertragsparteien

Verantwortlicher ist dein Betrieb, mit den Angaben, die bei der Einrichtung hinterlegt wurden (Firmenname und Anschrift). Du findest und änderst sie jederzeit unter Einstellungen.

Auftragsverarbeiter ist:
Sebastian Grüber
Digitalflowsolutions (Einzelunternehmen)
Falkenweg 6
38820 Halberstadt, Deutschland
E-Mail: info@digitalflowsolutions.de

Diese Vereinbarung kommt elektronisch zustande. Art. 28 Abs. 9 DSGVO lässt das ausdrücklich zu — eine Unterschrift ist nicht erforderlich. Wir halten fest, wann, in welcher Fassung und durch wen sie geschlossen wurde.

Warum es diesen Vertrag gibt

Für die Daten deines Kontos und deiner Abrechnung sind wir selbst der Verantwortliche — das regelt die Datenschutzerklärung. Sobald du aber Daten deiner Mitarbeiter, Kunden und Aufträge in Meisterplaner erfasst, bist du für diese Daten der Verantwortliche und wir verarbeiten sie ausschließlich in deinem Auftrag. Für genau diesen Fall verlangt Art. 28 Abs. 3 DSGVO einen Vertrag.

§ 1 Gegenstand, Art, Zweck und Dauer

• Gegenstand: Bereitstellung der Software „Meisterplaner" zur Einsatz- und Personalplanung als Software-as-a-Service.
• Art der Verarbeitung: Erheben, Speichern, Ordnen, Anzeigen, Verändern, Übermitteln und Löschen im Rahmen des Softwarebetriebs.
• Zweck: Planung von Einsätzen, Zeiterfassung, Verwaltung von Mitarbeitern, Kunden und Aufträgen sowie die Kommunikation zwischen Büro und Baustelle.
• Dauer: Laufzeit des Nutzungsvertrags. Die Vereinbarung endet mit diesem; § 9 gilt darüber hinaus fort.

§ 2 Art der Daten und Kategorien betroffener Personen

Datenarten:

• Stammdaten (Name, E-Mail-Adresse, Telefonnummer)
• Beschäftigungsdaten (Arbeitszeiten, Wochenstunden, Urlaub und Abwesenheiten, Qualifikationen, Stundenkonto)
• Einsatz- und Zeiterfassungsdaten (geplante und erfasste Zeiten, Einsatzorte)
• Kunden- und Auftragsdaten einschließlich Auftragsanschriften
• Kommunikationsinhalte aus dem Auftrags-Chat sowie die dort hochgeladenen Fotos und Dateien, einschließlich der Angabe, wer wann gelesen hat
• Push-Abonnements der Endgeräte, sofern Mitarbeiter Benachrichtigungen aktiviert haben
• Zugangsdaten (Anmeldekennungen, Passwörter ausschließlich als Hash)
• Protokoll- und Nachweisdaten (Audit-Ereignisse einschließlich IP-Adresse)

Kategorien betroffener Personen: Mitarbeiter des Verantwortlichen, Administratoren des Verantwortlichen sowie dessen Kunden und Ansprechpartner.

Besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO sind nicht vorgesehen. Freitextfelder — etwa Notizen am Auftrag oder Nachrichten im Chat — sind technisch nicht darauf beschränkt; der Verantwortliche trägt dafür Sorge, dort keine Gesundheits- oder vergleichbaren Daten zu erfassen.

§ 3 Weisungsgebundenheit

(1) Wir verarbeiten die Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen, insbesondere im Rahmen der bestimmungsgemäßen Nutzung der Software.

(2) Weisungen werden in der Regel durch die Konfiguration und Nutzung der Software erteilt; ergänzende Einzelweisungen bedürfen der Textform. Halten wir eine Weisung für rechtswidrig, informieren wir den Verantwortlichen unverzüglich und dürfen ihre Ausführung bis zur Klärung aussetzen.

(3) Abweichend von Absatz 1 dürfen wir aus der Nutzung der Software aggregierte, nicht personenbezogene Auswertungen bilden und für die Absicherung, den Betrieb und die Weiterentwicklung der Software verwenden. Diese Auswertungen bestehen ausschließlich aus Zählwerten, Summen und Zeitstempeln je Betrieb — etwa wie häufig eine Funktion genutzt wurde oder an wie vielen Tagen ein Betrieb aktiv war.

Dabei gilt: Es findet keine Auswertung einzelner betroffener Personen statt — insbesondere keine Leistungs- oder Verhaltenskontrolle von Mitarbeitern. In die Auswertungen fließen keine Inhaltsdaten ein (Auftragsbezeichnungen, Notizen, Nachrichten, Adressen sowie Namen von Kunden oder Beschäftigten). Die Ergebnisse werden nicht an Dritte weitergegeben und nicht zu Werbezwecken verwendet. Ein Personenbezug wird nicht wiederhergestellt.

§ 4 Vertraulichkeit

Zur Verarbeitung setzen wir nur Personen ein, die zur Vertraulichkeit verpflichtet wurden oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen (Art. 28 Abs. 3 lit. b, Art. 29 DSGVO).

§ 5 Technische und organisatorische Maßnahmen

Wir treffen die in Anlage 1 beschriebenen Maßnahmen nach Art. 32 DSGVO und halten sie auf dem Stand der Technik. Maßnahmen dürfen fortentwickelt werden, solange das Schutzniveau nicht unterschritten wird.

§ 6 Sub-Auftragsverarbeiter

(1) Der Verantwortliche erteilt die allgemeine Genehmigung zum Einsatz der in Anlage 2 genannten Sub-Auftragsverarbeiter.

(2) Wir informieren den Verantwortlichen über beabsichtigte Änderungen — Hinzuziehung oder Austausch — bevor sie wirksam werden. Der Verantwortliche kann begründet widersprechen. Praktisch geschieht das so, dass eine geänderte Anlage 2 zu einer neuen Fassung dieser Vereinbarung führt, die beim nächsten Anmelden zur Annahme vorgelegt wird.

(3) Wir erlegen jedem Sub-Auftragsverarbeiter vertraglich dieselben Datenschutzpflichten auf und stellen bei Drittlandbezug die erforderlichen Garantien sicher (Angemessenheitsbeschluss oder Standardvertragsklauseln).

§ 7 Unterstützung des Verantwortlichen

(1) Wir unterstützen den Verantwortlichen — soweit möglich und angemessen — bei der Beantwortung von Betroffenenanfragen nach Art. 12 bis 23 DSGVO. Auf Anfrage stellen wir dafür die Daten eines einzelnen Nutzers oder die Daten des gesamten Betriebs in einem offenen, maschinenlesbaren Format bereit.

(2) Wir unterstützen bei der Einhaltung der Pflichten aus Art. 32 bis 36 DSGVO (Sicherheit der Verarbeitung, Meldung von Verletzungen, Datenschutz-Folgenabschätzung).

(3) Verletzungen des Schutzes personenbezogener Daten melden wir dem Verantwortlichen unverzüglich, spätestens innerhalb von 48 Stunden nach Kenntnis, in Textform an die im Konto hinterlegte E-Mail-Adresse. Die Meldung enthält die nach Art. 33 Abs. 3 DSGVO erforderlichen Angaben, soweit sie uns vorliegen.

§ 8 Nachweise und Kontrollen

Wir stellen dem Verantwortlichen die zum Nachweis der Einhaltung erforderlichen Informationen zur Verfügung und ermöglichen Überprüfungen — auch durch beauftragte Prüfer — nach angemessener Vorankündigung, während üblicher Geschäftszeiten und ohne den Betriebsablauf unverhältnismäßig zu stören.

§ 9 Löschung und Rückgabe

Nach Beendigung der Verarbeitung löschen wir die Daten nach Wahl des Verantwortlichen oder geben sie zurück, spätestens 30 Tage nach Vertragsende. Ausgenommen sind Daten, für die eine gesetzliche Aufbewahrungspflicht besteht; sie werden für die Dauer der Pflicht gesperrt und danach gelöscht. Verschlüsselte Sicherungskopien lassen sich nicht einzeln bereinigen: die täglichen Sicherungen laufen im regulären Zyklus aus, spätestens nach 90 Tagen. Die länger aufbewahrten Monatsstände (Anlage 1) werden im Zuge der Löschung gesondert entfernt; bis dahin bleiben sie ausschließlich verschlüsselt abgelegt und werden nicht verarbeitet.

§ 10 Schlussbestimmungen

Es gilt deutsches Recht. Bei Widersprüchen geht diese Vereinbarung dem Nutzungsvertrag in Datenschutzfragen vor. Sollte eine Bestimmung unwirksam sein, bleibt die Wirksamkeit der übrigen unberührt. Änderungen bedürfen der Textform; eine neue Fassung wird zur Annahme vorgelegt.

Anlage 2 — Genehmigte Sub-Auftragsverarbeiter

Stand: 31. August 2026. Dieselben Empfänger sind in Ziffer 6 der Datenschutzerklärung aufgeführt.

Für das Vereinigte Königreich besteht ein Angemessenheitsbeschluss der EU-Kommission vom 19. Dezember 2025, gültig bis zum 27. Dezember 2031. Die Zahlungsabwicklung über Stripe ist hier nicht aufgeführt: sie betrifft die Stamm- und Zahlungsdaten des zahlenden Betriebs, für die wir selbst Verantwortlicher sind, nicht die im Auftrag verarbeiteten Daten.