Vertrag zur Auftragsverarbeitung (AVV)

Dieses Muster zeigt den Vertrag zur Auftragsverarbeitung zwischen dem Kunden als Verantwortlichem und Wigandt Technology, Inhaber Johannes Wigandt, St. Georgenstr. 17, 56751 Polch, Deutschland als Auftragsverarbeiter. Verbindlich ist die Fassung, die Kunden in der Anwendung im Datenschutz-Center elektronisch annehmen; dort werden Zeitpunkt, Person und Prüfsumme der Fassung gespeichert.

Vertragstext

1. Gegenstand und Dauer. Der Auftragsverarbeiter (Betreiber von werkkern) stellt dem Verantwortlichen (Mandant) die Handwerkersoftware werkkern als Software as a Service bereit und verarbeitet personenbezogene Daten ausschließlich im Auftrag und nach Weisung. Der Vertrag gilt für die Dauer des Nutzungsvertrags und endet mit der vollständigen Rückgabe oder Löschung der Daten nach Ziffer 11.
2. Art und Zweck. Speichern, Ordnen, Abfragen, Übermitteln an vom Verantwortlichen bestimmte Empfänger, Archivieren und Löschen von Daten zur Abwicklung von Angeboten, Aufträgen, Einsätzen, Wartung, Zeiterfassung, Rechnungen, Zahlungen und Buchhaltung.
3. Daten und Betroffene. Stamm- und Kontaktdaten, Vertrags- und Abrechnungsdaten, Objekt- und Anlagendaten, Zugangsinformationen zu Objekten, Fotos und Unterschriften, Arbeitszeiten und Einsatzdaten der Beschäftigten, Bankverbindungen und Mandate, Kommunikationsinhalte. Betroffen sind Kunden und deren Ansprechpartner, Mieter und Hausmeister, Beschäftigte und Nachunternehmer, Lieferanten.
4. Weisungen. Weisungen ergeben sich aus dem Vertrag, der Leistungsbeschreibung und den Einstellungen in der Software. Rechtswidrige Weisungen meldet der Auftragsverarbeiter unverzüglich.
5. Vertraulichkeit. Nur verpflichtete und eingewiesene Personen.
6. Technische und organisatorische Maßnahmen nach Art. 32 DSGVO, beschrieben in der Anlage Technische und organisatorische Maßnahmen. Gleichwertiger Ersatz ist zulässig.
7. Unterauftragsverarbeiter. Die in werkkern veröffentlichte Liste gilt als genehmigt. Änderungen kündigt der Auftragsverarbeiter mindestens vier Wochen vor Wirksamkeit in der Software an; Widerspruch aus wichtigem datenschutzrechtlichem Grund über die Kenntnisnahme. Übermittlungen außerhalb des EWR nur mit Garantien nach Art. 44 ff. DSGVO.
8. Rechte der Betroffenen. Unterstützung bei Art. 15 bis 22 DSGVO; die Software bietet Auskunft als Export, Einschränkung, Pseudonymisierung und Löschung unter Beachtung der Aufbewahrungspflichten.
9. Meldung von Verletzungen unverzüglich, spätestens 24 Stunden nach Kenntnis, mit den Angaben nach Art. 33 Abs. 3 DSGVO, soweit bekannt; in der Software und per E-Mail.
10. Nachweise und Kontrollen. Beschreibung der Maßnahmen, Verzeichnis der Verarbeitungstätigkeiten, Überprüfungen nach angemessener Vorankündigung.
11. Löschung und Rückgabe. Vollständiger Export nach Vertragsende, Löschung nach 30 Tagen, soweit keine Aufbewahrungspflicht besteht; Unterlagen mit laufender Frist werden gesperrt aufbewahrt und danach gelöscht.
12. Schlussbestimmungen. Deutsches Recht; Änderungen als neue Fassung, wirksam mit der elektronischen Annahme.

Anlagen

• Technische und organisatorische Maßnahmen nach Art. 32 DSGVO: Anlage 1 unten (Stand 1. Oktober 2026).
• Unterauftragsverarbeiter: die aktuelle Liste steht auf der Seite Sicherheit und Datenschutz und in der Anwendung.

Anlage 1: Technische und organisatorische Maßnahmen

Vertraulichkeit. Mandantentrennung auf Datenbankebene (Row Level Security auf allen mandantenbezogenen Tabellen einschließlich der Änderungshistorie); Anmeldung mit Passwort und Prüfung gegen bekannte Datenlecks, Zwei-Faktor-Anmeldung mit Einmalcode oder Passkey, Pflicht für Inhaber und Betreiber; Sitzungen mit Ablauf und Geräteübersicht; Rollen und Rechte je Person, Datenschutzfunktionen und Archivpflege nur mit eigenem Recht, befristete Leserolle für Prüfungen; getrennter Zugang des Betreibers mit eigener Datenbankrolle; Verschlüsselung aller Verbindungen (TLS), der Datenträger beim Hoster und des Objektspeichers; Pseudonymisierung nach Ablauf der Pflichten aus Löschanfragen.

Integrität. Buchungsjournal mit Hashkette, Sperren gegen Änderung und Löschung festgeschriebener Belege, Exporte, Annahmen und Protokolle; revisionssichere Ablage im Objektspeicher mit Schreibschutz je Aufbewahrungsfrist, Prüfsumme je Datei und wöchentlicher Integritätsprüfung mit Benachrichtigung; Änderungshistorie mit Person, Zeit und Stand vorher und nachher; geprüfte Arbeitsabläufe und Prüfung aller Eingaben im Backend.

Verfügbarkeit und Belastbarkeit. Tägliche Datensicherung mit zeitpunktgenauer Wiederherstellung, verschlüsselt, 30 Tage, an getrenntem Ort; vierteljährliche Wiederherstellungsprobe; Überwachung über Zustandsprüfungen, fehlgeschlagene Nachrichten und Integritätsmeldungen; Betrieb in Rechenzentren in Deutschland (IONOS SE, ISO 27001 zertifiziert).

Regelmäßige Überprüfung. Informationssicherheitsleitlinie und Risikoregister nach ISO 27001; jährliche Überprüfung dieser Anlage und anlassbezogen nach Datenpannen (Meldung innerhalb von 24 Stunden, siehe Ziffer 9); automatische Prüfungen in der Auslieferung (statische Analyse, Prüfung der Mandantentrennung, Tests der Sperren).

Stand: 1. Oktober 2026