Auftragsverarbeitung

Kurz-AVV nach Art. 28 DSGVO: Vertrag über die Auftragsverarbeitung zwischen dem Betrieb und der Betreiberin von Sollmaß. Stand: 30. Oktober 2026.

Abschluss

Der Betrieb schließt diese Vereinbarung in der App unter Einstellungen → Verträge & Datenschutz ab: elektronisch durch eine Person, die für ihn unterzeichnen darf, oder schriftlich mit einem unterschriebenen Ausdruck, den er dort hochlädt. Das elektronische Format genügt (Art. 28 Abs. 9 DSGVO). Die Auftragsverarbeiterin hat die Vereinbarung elektronisch unterzeichnet.

Die Vereinbarung tritt mit dem Abschluss in Kraft. Sie gilt, solange der Nutzungsvertrag über Sollmaß nach den AGB besteht, einschließlich des Tests, und endet mit ihm. Was danach mit den Daten geschieht, regelt der Abschnitt „Laufzeit, Löschen, Nachweis“.

Parteien

Auftraggeber (Verantwortlicher): der Handwerksbetrieb, der Sollmaß nutzt, mit Firma und Anschrift, wie er sie beim Abschluss angibt.

Auftragnehmerin (Auftragsverarbeiterin): High5Manufaktur GmbH, Am Buchenhain 2, 76359 Marxzell, Deutschland — Produkt Sollmaß, Domain sollmass.de. Kontakt: [email protected], Telefon +49 7248 25592-70.

Der Betrieb bleibt Herr der Betriebsdaten. Sollmaß verarbeitet sie nur zur Bereitstellung der App.

Nicht Auftragsverarbeitung, sondern eigene Verarbeitung der Betreiberin: Anfragen über diese Website, Testanträge und die Rechnungen über die Lizenzen. Dafür gilt die Datenschutzerklärung.

Gegenstand und Zwecke

Hosting und Betrieb der Software. Weisung: nur, was der Betrieb in Sollmaß erfasst oder auslöst. Zweck: Vertragserfüllung, keine eigene Verwendung der Mandantendaten.

Betriebssystem für Handwerk: Stammdaten (Betrieb, Team, Kunden, Objekte), Vorgänge, Belege (Angebot bis Rechnung/Mahnung), Zahlungsbuch, Zeit, Lager, Audit, optionale KI-Aktionen, Versand der Mails aus der App. DATEV-CSV ist Export an den Betrieb, keine Übermittlung durch uns.

Daten

Mandanten- und Endkundendaten: Kontakte, Objekte, Vorgänge, Belege, Zahlungen, Zeiten und Abwesenheiten, Lager, Dateien und Fotos von Baustellen, Unterschriften, Audit. Dazu Nachrichten, die in die App laufen: Mails aus dem Postfach des Betriebs samt Anhängen, WhatsApp-Nachrichten und Notdienst-Anrufe mit den Angaben des Anrufers.

Kontodaten der Nutzer, Anmeldung per Magic Link (nur als Hash gespeichert), Sitzungen, Protokoll.

Standortdaten der Beschäftigten nur, wenn der Betrieb GPS bei Kommen und Gehen einschaltet.

Besondere Kategorien (Art. 9 DSGVO) sind nicht Zweck der Software. Trägt der Betrieb eine Abwesenheit als „krank“ ein, entsteht trotzdem ein Gesundheitsdatum. Der Betrieb entscheidet, ob er diese Angabe führt; eine Abwesenheit lässt sich auch ohne Grund eintragen.

Weisung und Ort

Verarbeitung nur im Rahmen der App und nach dokumentierter Weisung des Betriebs. Ort der Verarbeitung: Server der Hetzner Online GmbH im Rechenzentrum Falkenstein/Vogtland, Deutschland. Daten verlassen die EU nur über die unten genannten Unterauftragsverarbeiter und über die Dienste, die der Betrieb selbst einrichtet.

Unterauftragsverarbeiter

  • Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen: Server, Datenbank (Postgres), Dateien und Sicherungen der Anwendung, Rechenzentrum Falkenstein/Vogtland.
  • Cloudflare, Inc., San Francisco, USA: DNS, Netz und Schutz vor Angriffen für app.sollmass.de, Versand aller Mails aus der App ([email protected]) sowie, sofern eingerichtet, der Objektspeicher R2 für hochgeladene Dateien. Übermittlung in die USA auf Grundlage des EU-US Data Privacy Framework, ergänzend EU-Standardvertragsklauseln.
  • IONOS SE, Elgendorfer Str. 57, 56410 Montabaur: KI-Funktionen über den IONOS AI Model Hub in einem Rechenzentrum in Deutschland, nur wenn der Betrieb KI-Funktionen nutzt, für die jeweilige Anfrage — Text und Fotos. Ist IONOS eingerichtet, gehen Text und Fotos nur dorthin.
  • OpenAI, Google (Gemini) oder xAI: nur wenn der Betrieb KI-Funktionen nutzt, für die jeweilige Anfrage — Text und Fotos, solange IONOS nicht eingerichtet ist, sowie hochgeladene Tondateien zur Umschrift (OpenAI oder Google). Übermittlung in die USA auf Grundlage des EU-US Data Privacy Framework, soweit der Anbieter zertifiziert ist, im Übrigen der EU-Standardvertragsklauseln.
  • Kartendienst von OpenStreetMap (staticmap.openstreetmap.de, openstreetmap.org): nur beim Aufruf der Karte in der Plantafel, mit IP-Adresse des Geräts und den Koordinaten der heutigen Einsätze.

Über neue Unterauftragsverarbeiter informieren wir vorab; der Betrieb kann aus wichtigem Grund widersprechen.

Dienste des Betriebs

Richtet der Betrieb eigene Zugangsdaten ein, übermitteln wir auf seine Weisung an den von ihm gewählten Anbieter. Diese Anbieter sind nicht unsere Unterauftragsverarbeiter; der Betrieb schließt die nötigen Verträge selbst.

  • Sein E-Mail-Postfach (IMAP), aus dem die App Nachrichten und Anhänge holt.
  • Meta (WhatsApp Business Cloud API) für eingehende Nachrichten.
  • Sein SMS-Dienst für den Notdienst-Alarm an die Bereitschaft. Die SMS enthält Name, Telefonnummer und Anschrift aus dem Vorgang und geht nur an die eingeteilte Bereitschaft, nie an den Anrufer.
  • Weitere Schnittstellen, die er einträgt, etwa Buchhaltung oder Bankzugang.

Zugangsdaten für diese Dienste speichern wir verschlüsselt (AES-256-GCM) und zeigen sie nicht wieder an.

Pflichten und TOMs

Mandantentrennung in jeder Abfrage und in der Datenbank, Rollen mit Sichtbereich (Inhaber, Büro, Feld, Nachunternehmer), weisungsgebundene Verarbeitung, Unterstützung bei Betroffenenrechten, Meldung von Verletzungen des Schutzes.

Zugang per Magic Link, Token und Sitzungen nur als Hash. Übertragung mit TLS, von Cloudflare zum Server durch einen verschlüsselten Tunnel, HSTS. Zugangsdaten Dritter verschlüsselt. Ausgestellte Belege inhaltlich gesperrt und mit Prüfsumme, Zahlungsbuch ohne nachträgliche Änderung, Protokoll aller wesentlichen Aktionen.

Offen gesagt: Datenbank und Dateien liegen auf dem Server unverschlüsselt; eine Verschlüsselung der Festplatte ist nicht eingerichtet. Die tägliche Sicherung liegt auf demselben Server. Eine verschlüsselte Kopie außer Haus richten wir ein, sobald der dafür nötige Speicher feststeht — er kommt dann vorab in die Liste der Unterauftragsverarbeiter.

Laufzeit, Löschen, Nachweis

Die Vereinbarung gilt, solange der Betrieb Sollmaß nutzt. Nach dem Vertragsende kann der Betrieb seine Daten 30 Tage lang lesen und exportieren, nach einem Test ohne Bestellung 90 Tage ab dem Testende. Danach legen wir den Betrieb still: Personenbezogene Daten ohne gesetzliche Aufbewahrungspflicht löschen wir, aufbewahrungspflichtige Unterlagen bleiben gesperrt bis zum Ende der Frist und werden dann gelöscht (Art. 28 Abs. 3 lit. g DSGVO). Einzelheiten: AGB, Abschnitt 3. Nachweis: Journal der Audit-Ereignisse, Beleg-Hash, Zahlungsbuch.

Vor der Stilllegung exportiert der Betrieb seine Daten (GoBD-Export, DATEV, CSV). Was er nicht exportiert und was wir nicht aufbewahren müssen — Zeiten, Bestellungen, Lagerbuch, Bautagebuch —, ist danach weg.

Aufbewahrt bleiben die Unterlagen, die Handels- und Steuerrecht verlangen: ausgestellte Belege mit Belegkopie, Zahlungsbuch, Eingangsrechnungen, Protokoll. Frist: bis zum 31.12. des Jahres der Stilllegung plus acht Jahre, danach löschen wir sie. Beispiel: Stilllegung im Jahr 2026, Löschung ab 01.01.2035.

Weitere Fristen: Eingangsnachrichten ohne Vorgang 2 Jahre, Sicherungen 14 Tage (Plattensicherungen 7 Tage).

Betroffenenrechte: Kontakte lassen sich in der App anonymisieren; ausgestellte Belege behalten ihre Belegkopie, weil das Steuerrecht das verlangt (Art. 17 Abs. 3 lit. b DSGVO). Nachweis: Journal der Audit-Ereignisse, Beleg-Hash, Zahlungsbuch.

Fragen: [email protected].