Auftragsverarbeitungsvertrag (AVV)

Vertragsparteien

Dieser Vertrag wird geschlossen zwischen dem Kunden, der Rappo für seine Organisation einsetzt (nachfolgend „Verantwortlicher“), und

Moritz Knape
Einzelunternehmen
In den Gehren 2
38173 Sickte, Deutschland
E-Mail: datenschutz@rappo.app

(nachfolgend „Auftragsverarbeiter“ oder „Rappo“) — gemeinsam die „Parteien“.

§ 1 Gegenstand, Art und Zweck der Verarbeitung

(1) Rappo stellt dem Verantwortlichen die SaaS-Anwendung Rappo zur digitalen Erfassung von Arbeitsberichten, Arbeitszeiten und Baustellendokumentation bereit. Diese Bereitstellung bringt es mit sich, dass Rappo personenbezogene Daten verarbeitet, für die der Verantwortliche verantwortlich ist.

(2) Gegenstand der Verarbeitung ist die Speicherung, Organisation, Auswertung, Bereitstellung und Löschung der vom Verantwortlichen und seinen Beschäftigten in die Anwendung eingegebenen Daten.

(3) Art der Verarbeitung: Erheben, Erfassen, Speichern, Anpassen, Auslesen, Abfragen, Verwenden, Übermitteln innerhalb der Organisation, Einschränken, Löschen und Vernichten.

(4) Zweck der Verarbeitung ist ausschließlich die vertragsgemäße Erbringung des SaaS-Dienstes. Eine Verarbeitung zu eigenen Zwecken von Rappo — insbesondere zu Werbezwecken, zum Profiling oder zum Training von Modellen — findet nicht statt.

(5) Dauer: Der Vertrag läuft, solange der zugrunde liegende Hauptvertrag über die Nutzung von Rappo besteht. Er endet mit dessen Beendigung; § 10 (Rückgabe und Löschung) bleibt davon unberührt.

§ 2 Kategorien betroffener Personen und Daten

(1) Betroffene Personen sind:

• Beschäftigte des Verantwortlichen (Monteure, Bauleitung, Verwaltung)
• Beschäftigte von Nachunternehmern, soweit sie in Berichten erfasst werden
• Ansprechpartner von Auftraggebern, soweit ihnen ein Zugang zum Partnerportal eingerichtet wird

(2) Verarbeitet werden folgende Datenkategorien:

• Stammdaten: Vor- und Nachname, E-Mail-Adresse, Telefonnummer, Rolle, Organisations- und Projektzuordnung
• Zugangsdaten: Passwort-Hashes, Sitzungsmerkmale, PIN für den Kiosk-Betrieb
• Arbeitsdaten: Arbeitszeiten, Pausen, Abwesenheiten, Arbeitszeitkonten, Tätigkeiten, Projektzuordnung, Wetter, Anmerkungen
• Bilddaten: hochgeladene Nachweis- und Mängelfotos einschließlich Dateimetadaten
• Standortdaten: Koordinaten bei der Erstellung eines Berichts, soweit das Gerät sie freigibt
• Protokolldaten: Freigabe- und Ablehnungsvermerke, Zeitstempel von Statusänderungen, Änderungsprotokoll

(3) Besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO sind nicht Gegenstand dieses Vertrages. Der Verantwortliche stellt sicher, dass solche Daten nicht in Freitextfelder eingegeben werden; Krankheit wird ausschließlich als Abwesenheitsart ohne Angabe einer Diagnose erfasst.

§ 3 Weisungsbindung

(1) Rappo verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen, es sei denn, Rappo ist nach Unionsrecht oder nationalem Recht zur Verarbeitung verpflichtet. In einem solchen Fall teilt Rappo dem Verantwortlichen die rechtlichen Anforderungen vor der Verarbeitung mit, sofern das Recht dies nicht wegen eines wichtigen öffentlichen Interesses verbietet.

(2) Der Hauptvertrag, dieser AVV und die Bedienung der Anwendung durch den Verantwortlichen und seine Nutzer stellen die Erstweisung dar. Weitere Weisungen erteilt der Verantwortliche in Textform an datenschutz@rappo.app.

(3) Hält Rappo eine Weisung für rechtswidrig, teilt Rappo dies dem Verantwortlichen unverzüglich mit (Art. 28 Abs. 3 Satz 3 DSGVO) und darf die Ausführung bis zur Bestätigung oder Änderung aussetzen.

§ 4 Pflichten von Rappo

• Vertraulichkeit: Alle mit der Verarbeitung befassten Personen sind zur Vertraulichkeit verpflichtet (Art. 28 Abs. 3 lit. b DSGVO). Rappo wird derzeit ohne Beschäftigte betrieben; die Verpflichtung trifft den Inhaber persönlich und wird bei jeder Erweiterung vor Aufnahme der Tätigkeit schriftlich erteilt.
• Sicherheit der Verarbeitung: Rappo trifft die in Anlage 1 beschriebenen technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO und hält sie auf dem Stand der Technik.
• Unterstützung: Rappo unterstützt den Verantwortlichen bei der Beantwortung von Betroffenenanfragen (§ 7), bei Datenschutz-Folgenabschätzungen, bei der vorherigen Konsultation der Aufsichtsbehörde und bei der Einhaltung von Art. 32 bis 36 DSGVO.
• Verzeichnis: Rappo führt ein Verzeichnis aller Verarbeitungstätigkeiten im Auftrag nach Art. 30 Abs. 2 DSGVO und legt es dem Verantwortlichen oder der Aufsichtsbehörde auf Verlangen vor.
• Kontaktstelle: Ansprechpartner für den Datenschutz ist datenschutz@rappo.app. Ein Datenschutzbeauftragter ist nach Art. 37 DSGVO und § 38 BDSG nicht zu benennen; ändert sich das, wird der Verantwortliche unterrichtet.
• Berichtigung und Löschung: Rappo berichtigt, löscht oder schränkt Daten nur auf Weisung des Verantwortlichen ein — oder wenn dieser Vertrag es vorsieht.

§ 5 Unterauftragsverarbeiter

(1) Der Verantwortliche erteilt die allgemeine Genehmigung zur Hinzuziehung der in Anlage 2 genannten Unterauftragsverarbeiter (Art. 28 Abs. 2 Satz 2 DSGVO).

(2) Rappo verpflichtet jeden Unterauftragsverarbeiter auf Datenschutzpflichten, die denen dieses Vertrages entsprechen, und haftet für dessen Verhalten wie für eigenes (Art. 28 Abs. 4 DSGVO).

(3) Beabsichtigte Änderungen der Anlage 2 — Hinzunahme oder Austausch — teilt Rappo dem Verantwortlichen mindestens 30 Tage vorher in Textform mit. Der Verantwortliche kann innerhalb dieser Frist aus einem wichtigen datenschutzrechtlichen Grund widersprechen. Bleibt der Widerspruch bestehen und lässt sich die Leistung ohne den Unterauftragsverarbeiter nicht erbringen, kann jede Partei den Hauptvertrag zum Zeitpunkt der Umstellung kündigen.

(4) Nebenleistungen, die Rappo bei Dritten bezieht, ohne dass diese Zugriff auf die Daten des Verantwortlichen erhalten (etwa Telekommunikation, Reinigung oder Wartung ohne Datenzugang), gelten nicht als Unterauftragsverarbeitung.

§ 6 Drittlandübermittlung

(1) Die produktive Datenhaltung — Datenbank, Dateispeicher und Authentifizierung — erfolgt in einem Rechenzentrum in Frankfurt am Main.

(2) Soweit einzelne Unterauftragsverarbeiter Daten in Drittländern verarbeiten oder von dort aus darauf zugreifen können, geschieht dies auf Grundlage eines Angemessenheitsbeschlusses (EU-US Data Privacy Framework) oder der Standardvertragsklauseln nach Art. 46 Abs. 2 lit. c DSGVO. Die jeweilige Grundlage ist in Anlage 2 je Dienst angegeben.

§ 7 Rechte betroffener Personen

(1) Die Wahrung der Betroffenenrechte obliegt dem Verantwortlichen. Wendet sich eine betroffene Person unmittelbar an Rappo, leitet Rappo die Anfrage unverzüglich an den Verantwortlichen weiter und beantwortet sie nicht selbst.

(2) Rappo unterstützt den Verantwortlichen mit geeigneten technischen und organisatorischen Maßnahmen bei Auskunft, Berichtigung, Löschung, Einschränkung und Datenübertragbarkeit. Die Anwendung stellt dafür Export- und Löschfunktionen bereit; darüber hinausgehende Unterstützung erfolgt auf Anforderung.

§ 8 Verletzung des Schutzes personenbezogener Daten

(1) Rappo meldet dem Verantwortlichen jede Verletzung des Schutzes personenbezogener Daten unverzüglich, spätestens innerhalb von 24 Stunden nach Kenntniserlangung (Art. 33 Abs. 2 DSGVO).

(2) Die Meldung enthält, soweit bekannt:

• eine Beschreibung der Art der Verletzung
• die Kategorien und die ungefähre Zahl betroffener Personen und Datensätze
• die wahrscheinlichen Folgen
• die ergriffenen und vorgeschlagenen Gegenmaßnahmen

(3) Die Meldung an die Aufsichtsbehörde und gegebenenfalls an die betroffenen Personen nimmt der Verantwortliche vor. Rappo unterstützt ihn dabei.

§ 9 Nachweise und Kontrollen

(1) Rappo weist die Einhaltung der Pflichten aus diesem Vertrag auf Anforderung nach — in der Regel durch die Dokumentation der technischen und organisatorischen Maßnahmen (Anlage 1), die Nachweise der Unterauftragsverarbeiter und schriftliche Auskünfte.

(2) Genügen diese Nachweise nicht, kann der Verantwortliche nach vorheriger Ankündigung mit einer Frist von 14 Tagen und während der üblichen Geschäftszeiten Überprüfungen durchführen oder durch einen zur Verschwiegenheit verpflichteten Prüfer durchführen lassen, der kein Wettbewerber von Rappo sein darf. Die Überprüfung darf den Betrieb nicht unangemessen beeinträchtigen.

§ 10 Rückgabe und Löschung nach Vertragsende

(1) Nach Beendigung des Hauptvertrages stellt Rappo dem Verantwortlichen die Daten für 30 Tage zum Export in einem gängigen Format (PDF, Excel, CSV) bereit.

(2) Nach Ablauf dieser Frist löscht Rappo die Daten innerhalb von 90 Tagen vollständig, einschließlich der Kopien in den Sicherungen, sobald diese planmäßig überschrieben werden.

(3) Von der Löschung ausgenommen sind Daten, für die eine gesetzliche Aufbewahrungspflicht besteht. Sie werden bis zum Ablauf der Frist in der Verarbeitung eingeschränkt und danach gelöscht.

§ 11 Haftung und Schlussbestimmungen

(1) Für die Haftung gilt Art. 82 DSGVO. Im Verhältnis der Parteien untereinander gelten ergänzend die Haftungsregelungen des Hauptvertrages.

(2) Bei Widersprüchen zwischen diesem Vertrag und dem Hauptvertrag geht dieser Vertrag in Fragen des Datenschutzes vor.

(3) Änderungen und Ergänzungen bedürfen der Textform (§ 126b BGB). Sollten einzelne Bestimmungen unwirksam sein, bleibt der Vertrag im Übrigen wirksam.

(4) Es gilt deutsches Recht. Gerichtsstand ist der Sitz von Rappo, soweit der Verantwortliche Kaufmann, juristische Person des öffentlichen Rechts oder öffentlich-rechtliches Sondervermögen ist.