Vertrag zur Auftragsverarbeitung

(1) Gegenstand dieses Vertrags ist die Verarbeitung personenbezogener Daten durch den Auftragnehmer im Auftrag des Auftraggebers bei der Bereitstellung der Software MeisterLEICHT nach den Allgemeinen Geschäftsbedingungen (nachfolgend „Hauptvertrag“), einschließlich Betrieb, Speicherung, Datensicherung, Wartung, Fehlerbehebung und Unterstützung.

(2) Die Dauer dieses Vertrags entspricht der Laufzeit des Hauptvertrags einschließlich der Testphase. Er endet nicht vor Abschluss der Rückgabe und Löschung der Daten nach Nummer 14. Regelungen, die ihrer Natur nach fortgelten, insbesondere zur Vertraulichkeit, gelten über das Vertragsende hinaus.

(1) Art der Verarbeitung: Erheben, Erfassen, Ordnen, Speichern, Anpassen, Auslesen, Abfragen, Verwenden, Übermitteln an die vom Auftraggeber bestimmten Empfänger (z. B. E-Mail-Versand nach Freigabe – über das Postfach des Auftraggebers oder, wenn er keines zum Versand verbunden hat, über den E-Mail-Versanddienst des Auftragnehmers), Abgleichen, Einschränken, Löschen und Vernichten (Art. 4 Nr. 2 DSGVO), jeweils automatisiert in MeisterLEICHT.

(2) Zweck der Verarbeitung ist die Bereitstellung der Funktionen von MeisterLEICHT für den Betrieb des Auftraggebers, insbesondere die Verwaltung von Kunden, Anfragen und E-Mails, Angeboten, Aufträgen, Einsatzplanung, Arbeitsscheinen und Zeiten, Material und Lager, Rechnungen und Zahlungen sowie Dokumenten, die Spracherkennung und, soweit eingeschaltet, die KI-Funktionen; außerdem Datensicherung, Fehlerbehebung und Unterstützung des Auftraggebers.

(3) Der Auftragnehmer verarbeitet die Daten nicht für eigene Zwecke. Er verwendet sie insbesondere nicht zum Training von KI-Modellen und nicht für Leistungen an andere Kunden. Für den Anbieter des KI-Modells gilt Nummer 10; ob dieser übermittelte Inhalte zum Training verwendet, richtet sich nach seinen aktuellen kommerziellen Bedingungen. Ausdrücklich ausgenommen und eng begrenzt sind: (a) pseudonyme Nutzungsereignisse je Betrieb ohne Inhalte (Ereignisname, Zeitpunkt, Kennung des Betriebs und Angaben wie Tarif oder Gewerk), die der Auftragnehmer als eigener Verantwortlicher zur Betreuung der Vertragsbeziehung und zur Verbesserung von MeisterLEICHT erfasst (AGB § 8 Abs. 4), und (b) die Nachweise über Vertragsschluss und die Annahme der Vertragsunterlagen, die der Auftragnehmer als eigener Verantwortlicher führt. Andere Daten aus der Auftragsverarbeitung verwendet er dafür nicht; Einzelheiten nennt die Datenschutzerklärung.

(1) Je nach Nutzung durch den Auftraggeber werden insbesondere folgende Arten personenbezogener Daten verarbeitet:

• Stamm- und Kontaktdaten von Kunden, Ansprechpartnern, Lieferanten und Objekten (z. B. Name, Firma, Anschrift, E-Mail-Adresse, Telefonnummer, USt-IdNr., Zugangshinweise zu Objekten),
• Kommunikationsinhalte, insbesondere E-Mails samt Anhängen, Notizen und Nachrichten,
• Angebots-, Auftrags-, Rechnungs- und Zahlungsdaten,
• Beschäftigtendaten: Name, Kontaktdaten, Rolle, Qualifikationen, Einsatzplanung, Arbeitszeiten und Arbeitsscheine, Stundenkostensätze und Abwesenheiten; die Abwesenheitsart „krank“ ist ein Gesundheitsdatum im Sinne von Art. 9 DSGVO, Diagnosen oder Krankheitsgründe werden nicht erfasst,
• Sprachaufnahmen beim Diktat: Sie werden zur Umwandlung in Text verarbeitet und danach verworfen; nur wenn der Auftraggeber dies einstellt, werden sie als Audio-Dokument in der Dokumentenablage des Betriebs gespeichert, bis er sie dort löscht,
• Fotos, Dokumente und andere Dateien, die der Auftraggeber oder seine Nutzer hochladen (z. B. Baustellenfotos, Lieferscheine, Eingangsrechnungen),
• bei eingeschalteten KI-Funktionen: Chatverläufe, an die KI übermittelte Inhalte, KI-Notizen (gespeicherte Hinweise zum Betrieb, zu Nutzern und zu Kunden) und Zusammenfassungen,
• Protokoll- und Nutzungsdaten: Name und Rolle der handelnden Nutzer in Änderungs-, Zugriffs- und Freigabeprotokollen sowie Nachweise von Kenntnisnahmen, mit denen der Auftraggeber eigene Pflichten belegt (Lerneinheit zur KI-Kompetenz, Hinweis zum Diktat).

(2) Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO) verarbeitet der Auftragnehmer nur, soweit der Auftraggeber sie erfasst (z. B. die Abwesenheitsart „krank“). Der Auftraggeber stellt sicher, dass dafür eine Rechtsgrundlage besteht.

• Kunden und Interessenten des Auftraggebers sowie deren Ansprechpartner,
• Lieferanten und sonstige Geschäftspartner des Auftraggebers,
• Beschäftigte des Auftraggebers einschließlich Auszubildender und Aushilfen,
• Nutzer von MeisterLEICHT beim Auftraggeber,
• sonstige Personen, deren Daten in Kommunikationsinhalten, Dokumenten oder Fotos enthalten sind.

(1) Der Auftragnehmer verarbeitet die Daten nur auf dokumentierte Weisung des Auftraggebers, auch in Bezug auf die Übermittlung in Drittländer, es sei denn, er ist durch das Recht der Union oder eines Mitgliedstaats zur Verarbeitung verpflichtet. In diesem Fall teilt er dem Auftraggeber diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht dies nicht verbietet (Art. 28 Abs. 3 Buchst. a DSGVO).

(2) Die Weisungen sind durch den Hauptvertrag, diesen Vertrag sowie durch Einstellungen und Handlungen des Auftraggebers in MeisterLEICHT dokumentiert (z. B. Einschalten der KI-Funktionen, Freigaben, Verbinden eines Postfachs, Löschen oder Anonymisieren). Weitere Weisungen erteilt der Auftraggeber in Textform.

(3) Ist der Auftragnehmer der Ansicht, dass eine Weisung gegen datenschutzrechtliche Vorschriften verstößt, weist er den Auftraggeber unverzüglich darauf hin. Er darf die Ausführung der Weisung aussetzen, bis der Auftraggeber sie bestätigt oder ändert.

(4) Weisungsberechtigt sind die Inhaber und Administratoren des Auftraggebers in MeisterLEICHT.

(1) Der Auftraggeber ist für die Rechtmäßigkeit der Verarbeitung verantwortlich, einschließlich der Zulässigkeit der Übermittlung an Unterauftragsverarbeiter, die nur für von ihm eingeschaltete Funktionen tätig werden, und für die Wahrung der Rechte der betroffenen Personen.

(2) Der Auftraggeber informiert den Auftragnehmer unverzüglich, wenn er Fehler oder Unregelmäßigkeiten bei der Verarbeitung feststellt.

(3) Dem Auftraggeber stehen die in diesem Vertrag geregelten Weisungs- und Kontrollrechte zu.

(1) Der Auftragnehmer setzt bei der Verarbeitung nur Personen ein, die zur Vertraulichkeit verpflichtet wurden oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen und die mit den maßgeblichen Datenschutzbestimmungen vertraut gemacht wurden (Art. 28 Abs. 3 Buchst. b, Art. 29, Art. 32 Abs. 4 DSGVO).

(2) Auf Daten des Auftraggebers greift der Auftragnehmer nur zu, soweit es für Betrieb, Datensicherung, Fehlerbehebung oder die Unterstützung des Auftraggebers erforderlich ist.

(1) Der Auftragnehmer trifft die Maßnahmen nach Art. 32 DSGVO, die in der Anlage Technische und organisatorische Maßnahmen beschrieben sind. Die Anlage ist Bestandteil dieses Vertrags.

(2) Die Maßnahmen unterliegen dem technischen Fortschritt. Der Auftragnehmer darf sie anpassen, sofern das Schutzniveau nicht unterschritten wird. Wesentliche Änderungen dokumentiert er in einer neuen Fassung der Anlage und teilt sie dem Auftraggeber in MeisterLEICHT mit.

(1) Der Auftraggeber genehmigt die Unterauftragsverarbeiter, die bei Vertragsschluss in der Anlage Unterauftragsverarbeiter genannt sind (allgemeine Genehmigung nach Art. 28 Abs. 2 DSGVO).

(2) Der Auftragnehmer informiert den Auftraggeber mindestens vier Wochen vor dem Hinzuziehen oder Ersetzen eines Unterauftragsverarbeiters in Textform und in MeisterLEICHT; die Information nennt den Zeitpunkt des Wirksamwerdens. Der Auftraggeber kann der Änderung bis zu diesem Zeitpunkt aus einem wichtigen datenschutzrechtlichen Grund in Textform widersprechen, z. B. per E-Mail an [email protected].

(3) Widerspricht der Auftraggeber und finden die Parteien keine einvernehmliche Lösung (z. B. Verzicht auf die betroffene Funktion), kann der Auftraggeber den Hauptvertrag zum Zeitpunkt des Wirksamwerdens der Änderung außerordentlich kündigen; im Voraus gezahlte Entgelte erstattet der Auftragnehmer anteilig. Unterauftragsverarbeiter für optionale Funktionen (z. B. KI-Funktionen) werden nur tätig, wenn der Auftraggeber die Funktion nutzt.

(4) Der Auftragnehmer erlegt jedem Unterauftragsverarbeiter vertraglich dieselben Datenschutzpflichten auf, die in diesem Vertrag festgelegt sind, insbesondere hinreichende Garantien für geeignete technische und organisatorische Maßnahmen (Art. 28 Abs. 4 DSGVO). Kommt ein Unterauftragsverarbeiter seinen Datenschutzpflichten nicht nach, haftet der Auftragnehmer gegenüber dem Auftraggeber für die Einhaltung der Pflichten des Unterauftragsverarbeiters.

(5) Keine Unterauftragsverarbeitung sind Dienste, die der Auftraggeber selbst bei Dritten nutzt und in MeisterLEICHT anbindet (z. B. sein E-Mail-Postfach, Microsoft 365, Lexware Office, sein LagerNOW-Konto), sowie reine Nebenleistungen wie Telekommunikationsdienste. Die Anlage nennt diese Dienste zur Klarstellung.

(1) Eine Verarbeitung außerhalb der Europäischen Union und des Europäischen Wirtschaftsraums findet nur statt, wenn die Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind.

(2) Bei eingeschalteten KI-Funktionen verarbeitet Anthropic Ireland, Limited, Dublin, Irland die erforderlichen Inhalte. Verarbeitungsorte: USA. Grundlage der Übermittlung: EU-Standardvertragsklauseln (Modul 2 bzw. 3) als Bestandteil des Data Processing Addendum.

(3) Cloudflare, Inc. leitet den Datenverkehr zwischen Browser und Server weiter und verarbeitet dabei Verbindungsdaten und übertragene Inhalte in seinem weltweiten Netz, auch in den USA. Vertragsgrundlage: Cloudflare Customer DPA (Fassung 6.4 vom 03.04.2026) als Bestandteil der Self-Serve Subscription Agreement; Übermittlung in die USA auf Grundlage der EU-Standardvertragsklauseln.

(4) Den Versand von Systemnachrichten und von E-Mails des Auftraggebers, der kein eigenes Postfach zum Versand verbunden hat, übernimmt Resend (Plus Five Five, Inc.), USA. Ort und Grundlage: USA; Übermittlung auf Grundlage der EU-Standardvertragsklauseln im Data Processing Addendum von Resend.

(5) Vor dem Einsatz eines Unterauftragsverarbeiters in einem Drittland prüft der Auftragnehmer die Übermittlungsgrundlage und dokumentiert, soweit erforderlich, eine Bewertung der Rechtslage und Praxis im Empfängerland (Transfer Impact Assessment). Er stellt dem Auftraggeber die Unterlagen auf Anfrage zur Verfügung, soweit Geheimhaltungspflichten nicht entgegenstehen.

(1) Der Auftragnehmer unterstützt den Auftraggeber mit geeigneten technischen und organisatorischen Maßnahmen bei der Erfüllung der Rechte betroffener Personen (Art. 12 bis 22 DSGVO). Dafür stehen in MeisterLEICHT insbesondere zur Verfügung: der Export der Daten des Betriebs, das Berichtigen und Löschen von Datensätzen, das Anonymisieren von Kunden und ausgeschiedenen Beschäftigten sowie das Protokoll.

(2) Wendet sich eine betroffene Person unmittelbar an den Auftragnehmer, leitet er die Anfrage unverzüglich an den Auftraggeber weiter und beantwortet sie nicht ohne dessen Weisung.

(3) Der Auftragnehmer unterstützt den Auftraggeber unter Berücksichtigung der Art der Verarbeitung und der ihm zur Verfügung stehenden Informationen bei der Einhaltung der Pflichten aus Art. 32 bis 36 DSGVO (Sicherheit der Verarbeitung, Meldung und Benachrichtigung bei Datenschutzverletzungen, Datenschutz-Folgenabschätzung, vorherige Konsultation).

(4) Für Unterstützungsleistungen, die über die in MeisterLEICHT bereitgestellten Funktionen hinausgehen und nicht auf einem Verstoß des Auftragnehmers beruhen, kann der Auftragnehmer eine angemessene Vergütung verlangen.

(1) Der Auftragnehmer meldet dem Auftraggeber eine Verletzung des Schutzes personenbezogener Daten, die Daten des Auftraggebers betrifft, unverzüglich, nachdem sie ihm bekannt geworden ist (Art. 33 Abs. 2 DSGVO), per E-Mail an die Inhaber des Betriebs.

(2) Die Meldung enthält, soweit bekannt, mindestens die Angaben nach Art. 33 Abs. 3 DSGVO:

• eine Beschreibung der Art der Verletzung, soweit möglich mit den Kategorien und der ungefähren Zahl der betroffenen Personen und Datensätze,
• Name und Kontaktdaten einer Anlaufstelle beim Auftragnehmer,
• eine Beschreibung der wahrscheinlichen Folgen der Verletzung,
• eine Beschreibung der ergriffenen oder vorgeschlagenen Maßnahmen zur Behebung der Verletzung und zur Abmilderung ihrer möglichen nachteiligen Folgen.

(3) Soweit nicht alle Angaben zur selben Zeit vorliegen, reicht der Auftragnehmer sie unverzüglich nach. Er ergreift die erforderlichen Maßnahmen zur Sicherung der Daten und zur Minderung möglicher Folgen und stimmt sich dazu mit dem Auftraggeber ab. Meldungen an die Aufsichtsbehörde und Benachrichtigungen betroffener Personen nimmt der Auftraggeber vor; der Auftragnehmer unterstützt ihn dabei.

(1) Der Auftragnehmer stellt dem Auftraggeber alle erforderlichen Informationen zum Nachweis der Einhaltung der Pflichten nach Art. 28 DSGVO zur Verfügung, insbesondere diesen Vertrag mit seinen Anlagen und auf Anfrage weitere Unterlagen, z. B. Auszüge aus der Sicherheits- und Betriebsdokumentation.

(2) Der Auftraggeber oder ein von ihm beauftragter, zur Verschwiegenheit verpflichteter Prüfer, der nicht in einem Wettbewerbsverhältnis zum Auftragnehmer steht, kann die Einhaltung dieses Vertrags nach rechtzeitiger Anmeldung, in der Regel mindestens vier Wochen vorher, während der üblichen Geschäftszeiten und ohne vermeidbare Störung des Betriebsablaufs überprüfen, auch durch Inspektionen. Der Auftragnehmer wirkt daran mit.

(3) Kontrollen finden in der Regel höchstens einmal im Kalenderjahr statt, es sei denn, ein konkreter Anlass wie eine Datenschutzverletzung rechtfertigt eine weitere Kontrolle. Der Auftraggeber trägt seine eigenen Kosten; für den Aufwand des Auftragnehmers kann dieser eine angemessene Vergütung verlangen, es sei denn, die Kontrolle deckt einen erheblichen Verstoß des Auftragnehmers auf.

(4) Die Befugnisse der Aufsichtsbehörden bleiben unberührt.

(1) Nach Ende des Hauptvertrags kann der Auftraggeber seine Daten binnen 30 Tagen über die Exportfunktion exportieren und Dokumente herunterladen (Rückgabe). Danach löscht der Auftragnehmer alle personenbezogenen Daten des Auftraggebers einschließlich der Rechnungen, sofern der Auftraggeber nicht nach Absatz 3 die Archivierung gewählt hat oder eine Pflicht des Auftragnehmers zur Speicherung nach dem Recht der Union oder eines Mitgliedstaats besteht (Art. 28 Abs. 3 Buchst. g DSGVO), und bestätigt die Löschung auf Anfrage in Textform.

(2) Sicherungskopien werden nicht einzeln bereinigt. Gelöschte Daten sind spätestens nach 14 täglichen Sicherungsläufen auch aus den laufenden Sicherungskopien entfernt; zusätzliche Sicherungen außerhalb dieser Rotation (z. B. vor einem Umzug des Servers) löscht der Auftragnehmer spätestens nach 30 Tagen. Bis dahin sind die Sicherungskopien durch die Maßnahmen der Anlage geschützt und werden nur zur Wiederherstellung verwendet.

(3) Gesetzliche Aufbewahrungspflichten für Rechnungen und andere Unterlagen (z. B. § 147 AO, § 14b UStG) treffen den Auftraggeber, nicht den Auftragnehmer. Vor Ablauf der Frist nach Absatz 1 wählt der Auftraggeber in Textform oder mit dem Löschantrag in MeisterLEICHT: (a) Löschung aller Daten einschließlich der Rechnungen, nachdem er sie exportiert hat, oder (b) Archivierung der Rechnungen und Belege durch den Auftragnehmer bis zum Ende der Aufbewahrungsfrist als gesondert vereinbarte, dokumentierte Weisung mit Dauer, Entgelt und Zugriff; der Zugang zum Betrieb wird dann gesperrt und die archivierten Daten bleiben unverändert. Trifft der Auftraggeber keine Wahl, gilt (a).

(1) Für die Haftung gegenüber betroffenen Personen gilt Art. 82 DSGVO. Im Verhältnis der Parteien zueinander richtet sich der Ausgleich nach dem jeweiligen Anteil an der Verantwortung für den Schaden (Art. 82 Abs. 5 DSGVO); die Haftungsbeschränkungen des Hauptvertrags gelten dafür nicht, soweit der Auftragnehmer gegen Pflichten aus diesem Vertrag oder aus der DSGVO verstoßen hat (AGB § 15 Abs. 7).

(2) Im Übrigen gelten die Haftungsregelungen des Hauptvertrags. Die Beschränkung der Haftung während der unentgeltlichen Testphase (AGB § 15 Abs. 4 Satz 1) gilt nicht für die Verletzung von Pflichten aus diesem Vertrag.

(1) Bei Widersprüchen gehen die Regelungen dieses Vertrags den Regelungen des Hauptvertrags zum Datenschutz vor.

(2) Änderungen dieses Vertrags richten sich nach dem Änderungsverfahren des Hauptvertrags; Änderungen der Anlagen richten sich nach Nummer 8 und Nummer 9.

(3) Werden Daten des Auftraggebers beim Auftragnehmer durch Pfändung, Beschlagnahme, ein Insolvenzverfahren oder sonstige Maßnahmen Dritter gefährdet, informiert der Auftragnehmer den Auftraggeber unverzüglich, soweit dies rechtlich zulässig ist.

(4) Es gilt das Recht der Bundesrepublik Deutschland; der Gerichtsstand richtet sich nach dem Hauptvertrag. Sollte eine Bestimmung unwirksam sein, bleibt der Vertrag im Übrigen wirksam.