Datenverarbeitung im Auftrag (Anlage zu den AGB)

Verantwortlicher ist der Betrieb, der HandwerkManager nutzt (im Folgenden „Betrieb“). Auftragsverarbeiter ist die Prime Edge GmbH, Imbisbühlstrasse 148, 8049 Zürich, Schweiz, E-Mail [email protected] (im Folgenden „Anbieter“).

Diese Anlage ist Bestandteil der Allgemeinen Geschäftsbedingungen (AGB) von HandwerkManager und gilt mit der Registrierung, ohne dass sie gesondert unterschrieben werden muss. Sie regelt die datenschutzrechtlichen Pflichten der Parteien nach Art. 28 der Datenschutz-Grundverordnung (DSGVO) und, soweit Schweizer Recht anwendbar ist, nach Art. 9 des Bundesgesetzes über den Datenschutz (DSG).

Gegenstand ist die Bereitstellung der Software HandwerkManager (Kunden-, Angebots-, Auftrags- und Rechnungsverwaltung, Zeiterfassung, Einsatzplanung, Dokumente, Nachrichtenversand) als Onlinedienst. Die Anlage gilt für die Laufzeit des Nutzungsvertrags und darüber hinaus, solange der Anbieter Daten des Betriebs verarbeitet.

Art und Zweck: Speichern, Anzeigen, Ändern, Übermitteln (z. B. Versand von Angeboten und Rechnungen per E-Mail, SMS oder WhatsApp), Exportieren und Löschen der Daten, die der Betrieb in HandwerkManager erfasst, ausschließlich zur Erbringung der vereinbarten Leistung.

Arten von Daten: Stamm- und Kontaktdaten (Name, Firma, Anschrift, E-Mail, Telefon), Objekt- und Baustellenadressen, Angebots-, Auftrags- und Rechnungsdaten einschließlich Bankverbindungen, Zeiterfassungs- und Abwesenheitsdaten der Mitarbeitenden einschließlich Standortdaten (wenn der Betrieb die Standorterfassung aktiviert), hochgeladene Fotos und Dokumente, Inhalte versendeter Nachrichten.

Betroffene Personen: Kunden und Interessenten des Betriebs, deren Ansprechpartner, Mitarbeitende des Betriebs, Subunternehmer und Lieferanten.

Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO) sind nicht Gegenstand dieser Anlage. Der Betrieb erfasst solche Daten nicht in HandwerkManager.

Der Anbieter verarbeitet die Daten nur auf dokumentierte Weisung des Betriebs, auch in Bezug auf Übermittlungen in Drittländer, es sei denn, er ist gesetzlich zu einer Verarbeitung verpflichtet. In diesem Fall teilt er dem Betrieb diese Pflicht vorher mit, sofern das Gesetz das nicht verbietet (Art. 28 Abs. 3 lit. a DSGVO).

Weisungen sind die Nutzung der Funktionen von HandwerkManager durch den Betrieb sowie Weisungen in Textform an [email protected]. Hält der Anbieter eine Weisung für rechtswidrig, informiert er den Betrieb unverzüglich.

Der Anbieter stellt sicher, dass alle Personen, die Zugriff auf die Daten haben, zur Vertraulichkeit verpflichtet sind oder einer gesetzlichen Verschwiegenheitspflicht unterliegen (Art. 28 Abs. 3 lit. b DSGVO). Zugriff auf Daten eines Betriebs erfolgt nur, soweit es für Betrieb, Support oder Fehlerbehebung nötig ist.

Der Anbieter setzt mindestens folgende Maßnahmen um:

• Rechenzentrum und Zutritt: Hosting bei Hetzner Online im Rechenzentrum Nürnberg (zertifiziert nach DIN ISO/IEC 27001), Datenbank bei Supabase in Frankfurt am Main.
• Übertragung: alle Verbindungen verschlüsselt (HTTPS mit TLS 1.3, HSTS).
• Speicherung: zusätzliche Verschlüsselung ausgewählter Felder mit AES-256-GCM (Bankverbindung, Steuernummer und USt-IdNr. des Betriebs; Anschrift, E-Mail und Telefon im Kundenstamm). Passwörter nur als bcrypt-Hashwert.
• Zugriffskontrolle: strikte Trennung der Betriebe; rollenbasierte Rechte im Betrieb: Kunden, Angebote und Rechnungen sehen Meister und Büro sowie Mitarbeitende, denen der Meister den jeweiligen Bereich ausdrücklich freigegeben hat; Eingangsrechnungen nur Meister und Büro. Gesellen sehen nur die ihnen zugewiesenen Aufträge.
• Schutz vor Missbrauch: Begrenzung von Anmeldeversuchen und Anfragen, Schutz gegen Cross-Site-Request-Forgery, Prüfung signierter Aufrufe bei Zahlungs- und Nachrichtendiensten.
• KI-Funktionen: erfasste Namen, Adressen, E-Mail-Adressen, Telefonnummern und IBANs werden vor der Übermittlung an den KI-Dienst durch Platzhalter ersetzt.
• Protokolle: Änderungen an Rechnungen und anderen Geschäftsdaten werden protokolliert; Server-Protokolle werden nach 14 Tagen gelöscht.

Der Anbieter darf die Maßnahmen an den technischen Fortschritt anpassen, sofern das Schutzniveau nicht unterschritten wird.

Der Betrieb erteilt die allgemeine Genehmigung, die folgenden Unterauftragsverarbeiter einzusetzen (Art. 28 Abs. 2 und 4 DSGVO, Art. 9 Abs. 3 DSG). Der Anbieter verpflichtet sie vertraglich auf ein gleichwertiges Datenschutzniveau.

Über jede beabsichtigte Hinzuziehung oder Ersetzung informiert der Anbieter den Betrieb vorab per E-Mail. Der Betrieb kann innerhalb von 14 Tagen aus wichtigem datenschutzrechtlichem Grund widersprechen. Ist eine Lösung nicht möglich, kann er den Nutzungsvertrag außerordentlich kündigen.

Soweit Unterauftragsverarbeiter Daten in Drittländern verarbeiten oder von dort darauf zugreifen können (insbesondere USA), stützt der Anbieter die Übermittlung auf einen Angemessenheitsbeschluss (EU-US Data Privacy Framework und dessen Schweizer Erweiterung) oder auf die Standardvertragsklauseln der EU-Kommission (Art. 46 Abs. 2 lit. c DSGVO, Art. 16 Abs. 2 lit. d DSG).

• Betroffenenrechte (Art. 28 Abs. 3 lit. e DSGVO): Der Betrieb kann Daten in HandwerkManager selbst einsehen, berichtigen, exportieren und, soweit keine Aufbewahrungspflicht entgegensteht, löschen. Darüber hinaus unterstützt der Anbieter auf Anfrage.
• Sicherheit, Meldepflichten, Folgenabschätzung (lit. f, Art. 32 bis 36 DSGVO): Der Anbieter meldet dem Betrieb eine Verletzung des Schutzes personenbezogener Daten unverzüglich, sobald sie ihm bekannt wird, und stellt die für eine Meldung an die Aufsichtsbehörde nötigen Informationen bereit.

Vor Vertragsende kann der Betrieb seine Daten exportieren. Nach Vertragsende löscht der Anbieter die Daten des Betriebs auf dessen Anfrage, soweit keine gesetzliche Aufbewahrungspflicht besteht (Art. 28 Abs. 3 lit. g DSGVO). Daten, die aufbewahrt werden müssen, insbesondere finalisierte Rechnungen, werden bis zum Ende der Frist gesperrt und danach gelöscht.

Der Anbieter stellt dem Betrieb alle Informationen zur Verfügung, die zum Nachweis der Einhaltung dieser Anlage erforderlich sind, und ermöglicht Überprüfungen durch den Betrieb oder einen von ihm beauftragten, zur Verschwiegenheit verpflichteten Prüfer nach vorheriger Abstimmung (Art. 28 Abs. 3 lit. h DSGVO).

Diese Anlage wird als Teil der AGB in elektronischer Form vereinbart (Art. 28 Abs. 9 DSGVO). Sie ist jederzeit unter handwerkmanager.com/avv abrufbar und als PDF herunterladbar. Über eine neue Fassung informiert der Anbieter den Betrieb vorab per E-Mail; es gelten die Regeln der AGB zu Änderungen (§ 10). Im Übrigen gelten die AGB (handwerkmanager.com/agb) und die Datenschutzerklärung (handwerkmanager.com/datenschutz).