Vertrag zur Auftragsverarbeitung
nach Art. 28 DSGVO
Fassung: Oktober 2026
Vertragsparteien
Der Betrieb, der sich registriert mit den Angaben aus der Registrierung bzw. den Einstellungen (Verantwortlicher, im Folgenden Auftraggeber)
und
The Vegan Goodlife GmbH C4 6 vertreten durch Melina Bucher, Dominik Bucher E-Mail: hello@growthestudio.com (Auftragsverarbeiter, im Folgenden Auftragnehmer)
§ 1 Gegenstand und Dauer
Der Auftragnehmer stellt dem Auftraggeber die Software Buma Portal als Onlinedienst bereit (Hauptvertrag, Allgemeine Geschäftsbedingungen). Dabei verarbeitet er personenbezogene Daten im Auftrag des Auftraggebers. Dieser Vertrag konkretisiert die Pflichten nach Art. 28 DSGVO.
Der Vertrag gilt, solange der Auftragnehmer im Rahmen des Hauptvertrags personenbezogene Daten für den Auftraggeber verarbeitet, einschließlich der Zeit für Rückgabe und Löschung nach Vertragsende.
§ 2 Art und Zweck der Verarbeitung
Speichern, Ordnen, Anzeigen, Auswerten, Übermitteln (E-Mail, Push, Export) und Löschen von Daten, die der Auftraggeber in der Software erfasst. Zweck ist die Organisation des Handwerksbetriebs: Zeiterfassung, Aufträge, Planung, Lager, Angebote und Rechnungen, Wartung und je nach Freischaltung die Auswertung von Sprachrapporten und Lieferscheinen.
§ 3 Art der Daten und Kreis der Betroffenen
| Betroffene | Daten |
|---|---|
| Beschäftigte des Auftraggebers | Name, E-Mail, Telefon, Rolle, Personalnummer, Arbeitszeiten und Arbeitszeitkonto, Abwesenheiten einschließlich Krankheitstagen ohne Diagnose (Art. 9 DSGVO), auf Wunsch Standort beim Arbeitsbeginn, interne Kostensätze, Anmelde- und Gerätedaten |
| Kunden und Ansprechpartner des Auftraggebers | Name, Anschrift, Kontaktdaten, Objekte und Anlagen, Aufträge, Notizen, Fotos, Unterschriften, Angebote, Rechnungen, Zahlungen, Bankverbindung |
| Lieferanten und Geschäftspartner | Name, Kontaktdaten, Bestellungen, Lieferscheine |
§ 4 Weisungen
Der Auftragnehmer verarbeitet die Daten nur auf dokumentierte Weisung des Auftraggebers. Weisungen sind die Nutzung der Software durch den Auftraggeber sowie Weisungen in Textform. Hält der Auftragnehmer eine Weisung für rechtswidrig, weist er unverzüglich darauf hin.
Eine Verarbeitung für eigene Zwecke des Auftragnehmers findet nicht statt. Ausgenommen sind die technisch nötige Verarbeitung zum Betrieb und zur Sicherheit des Dienstes und anonymisierte Nutzungsstatistiken ohne Personenbezug.
§ 5 Vertraulichkeit
Personen, die beim Auftragnehmer Zugang zu den Daten haben, sind zur Vertraulichkeit verpflichtet. Zugriff auf Daten eines Betriebs erfolgt nur, soweit es für Betrieb, Fehlerbehebung oder Unterstützung auf Wunsch des Auftraggebers nötig ist.
§ 6 Technische und organisatorische Maßnahmen
Der Auftragnehmer trifft die Maßnahmen nach Art. 32 DSGVO, die in Anlage 1 beschrieben sind. Er darf sie weiterentwickeln, wenn das Schutzniveau nicht sinkt. Wesentliche Änderungen dokumentiert er.
§ 7 Unterauftragsverarbeiter
Der Auftraggeber genehmigt die in Anlage 2 genannten Unterauftragsverarbeiter. Der Auftragnehmer verpflichtet sie vertraglich auf ein gleichwertiges Schutzniveau.
Über beabsichtigte Änderungen informiert der Auftragnehmer mindestens vier Wochen vorher in Textform oder in der Software. Der Auftraggeber kann aus wichtigem datenschutzrechtlichem Grund widersprechen. Kommt keine Einigung zustande, kann er den betroffenen Baustein oder den Vertrag fristlos kündigen.
Werden Daten außerhalb der EU oder des EWR verarbeitet, stellt der Auftragnehmer die Voraussetzungen der Art. 44 ff. DSGVO sicher (z. B. Angemessenheitsbeschluss oder Standardvertragsklauseln).
§ 8 Rechte der Betroffenen
Der Auftragnehmer unterstützt den Auftraggeber bei Anfragen von Betroffenen (Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit). Die Software bietet dafür Bearbeitung, Löschung und einen vollständigen Datenexport. Anfragen, die direkt beim Auftragnehmer eingehen, leitet er unverzüglich weiter.
§ 9 Unterstützung und Meldung von Verletzungen
Der Auftragnehmer unterstützt den Auftraggeber bei den Pflichten nach Art. 32 bis 36 DSGVO, soweit es ihm möglich ist.
Verletzungen des Schutzes personenbezogener Daten meldet er dem Auftraggeber unverzüglich, nachdem sie ihm bekannt geworden sind, mit den Angaben nach Art. 33 Abs. 3 DSGVO, soweit verfügbar.
§ 10 Löschung und Rückgabe
Der Auftraggeber kann jederzeit einen vollständigen Export herunterladen. Nach Vertragsende stehen die Daten noch 30 Tage zum Export bereit, danach löscht der Auftragnehmer sie. Sicherungskopien werden mit Ablauf ihrer Aufbewahrung beim Datenbankanbieter überschrieben.
Die Pflicht, Buchungsbelege und Bücher aufzubewahren (§ 147 AO, § 14b UStG), liegt beim Auftraggeber. Er sichert dafür vor Vertragsende seinen Export.
§ 11 Nachweise und Kontrollen
Der Auftragnehmer weist die Einhaltung seiner Pflichten durch diesen Vertrag mit Anlagen, durch Nachweise seiner Unterauftragsverarbeiter und auf Anfrage durch Auskünfte nach. Vor-Ort-Kontrollen sind nach rechtzeitiger Anmeldung zu üblichen Geschäftszeiten möglich, soweit sie verhältnismäßig sind.
§ 12 Haftung und Schlussbestimmungen
Für die Haftung gilt Art. 82 DSGVO. Im Übrigen gelten die Regelungen des Hauptvertrags.
Bei Widersprüchen geht dieser Vertrag dem Hauptvertrag vor, soweit es um den Schutz personenbezogener Daten geht. Änderungen bedürfen der Textform. Der Abschluss erfolgt elektronisch in der Software; Zeitpunkt, Person und Fassung werden gespeichert.
Anlage 1: Technische und organisatorische Maßnahmen
1. Vertraulichkeit
1.1 Zutrittskontrolle
Es gibt keine eigenen Serverräume. Die Anwendung läuft bei Vercel (Region Frankfurt), die Datenbank bei Neon (AWS-Region Frankfurt). Den physischen Zutritt zu den Rechenzentren regeln diese Dienstleister mit eigenen, nach anerkannten Standards geprüften Maßnahmen (z. B. SOC 2, ISO 27001).
1.2 Zugangskontrolle
- Anmeldung ohne Passwörter: Passkeys (WebAuthn, gespeichert wird nur der öffentliche Schlüssel) oder ein einmaliger Anmeldelink mit sechsstelligem Code per E-Mail, gültig 15 Minuten und nur einmal nutzbar.
- Codes und Links werden nur als Hash gespeichert. Nach 5 falschen Codes ist der Link gesperrt.
- Firmen-Tablets: Ein Gerät muss erst vom Büro freigegeben werden. Danach meldet sich jede Person mit eigener PIN an. PINs liegen nur als scrypt-Hash vor, triviale PINs werden abgelehnt. Nach 5 Fehlversuchen ist die PIN 15 Minuten gesperrt, zusätzlich höchstens 30 Versuche je Gerät und Stunde.
- Sitzungen: zufälliges Token im Cookie (httpOnly, SameSite=Lax, bei HTTPS mit __Host-Präfix), in der Datenbank nur als SHA-256-Hash. Eigene Geräte 30 Tage gleitend, Tablet-Sitzungen fest 12 Stunden. Sitzungen lassen sich einzeln oder alle abmelden.
- Zählbremsen gegen massenhafte Anmelde- und Registrierungsversuche.
1.3 Zugriffskontrolle
- Rollen je Person: Inhaber, Büro, Monteur. Monteure sehen nur ihre eigene Arbeit und keine Einkaufspreise oder internen Kundendaten.
- Auf dem Firmen-Tablet gilt immer die Monteur-Sicht, auch für Inhaber und Büro.
- Freischaltung der Plattform-Verwaltung nur über die Kommandozeile mit Datenbankzugang, nie über die Oberfläche.
- Jede Anfrage prüft serverseitig Anmeldung, Rolle und freigeschaltete Bausteine.
1.4 Trennungskontrolle
Mehrere Betriebe teilen sich eine Datenbank. Jede fachliche Tabelle trägt die Kennung des Betriebs, und jede Abfrage filtert darauf. Fremde Kennungen aus Anfragen werden vor der Nutzung gegen den eigenen Betrieb geprüft. Automatische Tests prüfen die Trennung.
1.5 Pseudonymisierung und Verschlüsselung
- Alle Verbindungen laufen verschlüsselt über HTTPS (TLS), auch zwischen Anwendung und Datenbank.
- Die Datenbank ist beim Anbieter im Ruhezustand verschlüsselt.
- Besonders schutzwürdige Zugangsdaten (z. B. Zugänge zum Großhandel) verschlüsselt die Anwendung zusätzlich selbst mit AES-256-GCM. Der Schlüssel liegt nur in der Serverumgebung, nicht in der Datenbank.
- Bei Zustimmungen speichern wir nur einen gesalzenen Hash der IP-Adresse.
- Inhalte von Push-Benachrichtigungen sind Ende-zu-Ende verschlüsselt.
2. Integrität
2.1 Weitergabekontrolle
- Übertragung nur verschlüsselt. Schutz gegen Einbettung in fremde Seiten (X-Frame-Options), Content-Security-Policy, Prüfung der Herkunft jeder ändernden Anfrage.
- Datenexporte kann nur der Inhaber auslösen. Jeder Export wird protokolliert. Anmeldedaten (PINs, Passkeys) sind nie enthalten, Links in protokollierten Anmeldemails werden geschwärzt.
- CSV-Exporte werden gegen eingeschleuste Tabellenformeln abgesichert.
2.2 Eingabekontrolle
Ein Prüfprotokoll hält fest, wer wann was geändert hat, insbesondere bei Geld, Rechten, Freigaben, Festschreibung von Belegen und Exporten. Zeitbuchungen tragen Herkunft (App, Tablet, manuell, Korrektur) und Status der Freigabe.
3. Verfügbarkeit und Belastbarkeit
- Die Datenbank wird beim Anbieter fortlaufend gesichert und lässt sich auf einen früheren Zeitpunkt zurücksetzen.
- Die Anwendung läuft ohne eigenen Server auf mehrfach vorhandener Infrastruktur und skaliert automatisch.
- Der Inhaber kann jederzeit einen vollständigen Export aller Daten als CSV und JSON herunterladen, unabhängig vom Betreiber.
- Die Zeiterfassung am Handy funktioniert auch ohne Netz und überträgt später. Doppelte Übertragungen werden erkannt.
4. Regelmäßige Überprüfung
- Automatisierte Tests gegen eine echte Datenbank vor jeder Auslieferung, darunter Tests zu Mandantentrennung, Rechten und Abrechnung.
- Sicherheitsprüfung neuer Funktionen vor der Freigabe, gefundene Schwachstellen werden mit Regressionstests abgesichert.
- Regelmäßige Aktualisierung der eingesetzten Bibliotheken.
- Auftragskontrolle: Unterauftragsverarbeiter nur mit Vertrag nach Art. 28 DSGVO, Liste in Anlage 2.
5. Datenschutzfreundliche Voreinstellungen
- Standort beim Stempeln ist standardmäßig aus. Wenn der Betrieb ihn einschaltet, wird er nur einmal beim Start gespeichert, keine laufende Ortung.
- Keine Werbe- oder Analysewerkzeuge, keine Tracking-Cookies.
- Krankheitstage werden ohne Diagnose erfasst.
- Die KI-Erfassung ist ein eigener Baustein und ohne Freischaltung abgeschaltet. Vorschläge werden erst nach Bestätigung durch eine Person gebucht.
Anlage 2: Unterauftragsverarbeiter
| Dienstleister | Zweck | Ort der Verarbeitung | Grundlage Drittland |
|---|---|---|---|
| Vercel Inc., San Francisco, USA | Betrieb der Webanwendung (Server, Auslieferung, täglicher Hintergrundlauf) | Serverregion Frankfurt am Main (fra1) | EU-US Data Privacy Framework und EU-Standardvertragsklauseln |
| Neon (Postgres-Datenbankdienst) | Speicherung aller Betriebsdaten in der Datenbank, Sicherungen | AWS-Region Frankfurt am Main (eu-central-1) | EU-US Data Privacy Framework und EU-Standardvertragsklauseln |
| Resend, Inc., San Francisco, USA | Versand von E-Mails (Anmeldelinks, Einladungen, Terminbestätigungen, Belege) | EU-Region Irland (eu-west-1), wenn die Absenderdomain dort eingerichtet ist | EU-US Data Privacy Framework und EU-Standardvertragsklauseln |
| Push-Dienste der Browser- und Geräte-Hersteller (Apple, Google, Mozilla, Microsoft) | Zustellung von Push-Benachrichtigungen an Geräte, die das ausdrücklich erlaubt haben (nur wenn Push-Benachrichtigungen auf einem Gerät eingeschaltet sind) | je nach Hersteller, auch außerhalb der EU | nur verschlüsselte Inhalte; Hersteller nach eigenen Bedingungen |
| Anthropic PBC, San Francisco, USA | Auswertung von Sprachrapporten (als Text) und Fotos von Lieferscheinen (nur wenn der Baustein Sprachrapport & Belegerkennung freigeschaltet ist und genutzt wird) | USA | EU-Standardvertragsklauseln laut Datenverarbeitungszusatz von Anthropic |