Anhang 1 - Auftragsverarbeitungsvereinbarung nach Art. 28 Abs. 3 DSGVO

Version: AVV_20260106, Stand: 06.01.2026

zwischen

Haiko Gesell
Mathildenstr. 42
90762 Fürth, Deutschland
-nachstehend „Auftragsverarbeiter", „Anbieter" oder „Auftragnehmer" genannt-

und

Handwerksbetrieb als Nutzer von „Werkport"

[Vorname von Nutzer einfügen], [Nachname von Nutzer einfügen], [E-Mail Adresse von Nutzer einfügen]

-nachstehend „Verantwortlicher", „Kunde" oder „Auftraggeber" genannt-

-nachfolgend Auftragsverarbeiter und Verantwortlicher einzeln jeweils „Partei" und gemeinsam „Parteien" genannt-

Präambel

Die Parteien haben einen Vertrag über die Erbringung von IT-Dienstleistungen (u.a. ein SaaS-Vertrag) geschlossen (nachfolgend „Auftragsverhältnis" genannt). In diesem Zusammenhang besteht die Möglichkeit, dass der Auftragnehmer Kenntnis von (besonderen) personenbezogenen Daten erlangt, welche der Auftraggeber verarbeitet.

In Erfüllung der Verpflichtung aus Art. 28 Abs. 3 Datenschutz-Grundverordnung (DSGVO) vereinbaren der Auftraggeber als Verantwortlicher im Sinne des Datenschutzrechts und der Auftragnehmer als Auftragsverarbeiter den nachstehenden Auftragsverarbeitungsvertrag („AVV") als integraler Teil des Auftragsverhältnisses. Der AVV dient insbesondere der Konkretisierung der wechselseitigen, datenschutzrechtlichen Verpflichtungen im Zusammenhang mit dem Auftragsverhältnis, bei dem es zu einer Verarbeitung personenbezogener Daten des Auftraggebers kommt oder kommen kann und die der Auftragnehmer für den Auftraggeber durchführt.

Dies vorausgeschickt, vereinbaren die Parteien folgendes, wobei bereits die Präambel Rechtsbindungswirkung entfällt:

1. Begriffsbestimmungen

Für in dieser AVV benutzten Begriffe, für die Art. 4 DSGVO eine Begriffsbestimmung vorsieht, gilt diese gesetzliche Definition in der im Zeitpunkt des Vertragsschlusses geltenden Fassung auch für diese AVV.

2. Gegenstand und Dauer der Vereinbarung

(1) Der Gegenstand des Auftrags ergibt sich aus dem oben genannten Auftragsverhältnis. Der Auftrag umfasst insbesondere die Bereitstellung einer cloudbasierten Softwarelösung und dem Hosting der erfassten personenbezogenen Daten. Dies umfasst insbesondere

Mitarbeiterverwaltung (u.a. Urlaubsverwaltung)
Asset-Management (Werkzeugverwaltung und Inventarisierung)
Kundenstamm-Datenverwaltung
Projektdaten- und Auftragsabwicklung
Datenverwaltung mittels mobile WERKPORT-App

(2) Die vertraglich vereinbarte Dienstleistung wird ausschließlich in einem Mitgliedsstaat der Europäischen Union oder in einem Vertragsstaat des Abkommens über den Europäischen Wirtschaftsraum erbracht. Jede Verlagerung der Dienstleistung oder von Teilarbeiten dazu in ein Drittland bedarf der vorherigen Zustimmung des Auftraggebers und darf nur erfolgen, wenn die besonderen Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind (z. B. Angemessenheitsbeschluss der Kommission, Standarddatenschutzklauseln, genehmigte Verhaltensregeln).

(3) Die Laufzeit dieser AVV entspricht der Laufzeit des Auftragsverhältnisses, sofern sich aus dieser AVV nichts anderes ergibt. Sollte eine Auftragsverarbeitung noch nach Beendigung dieses Vertrages stattfinden, gelten die Regelungen dieser Vereinbarungen bis zum tatsächlichen Ende der Verarbeitung.

(4) Der Auftraggeber kann den Vertrag jederzeit ohne Einhaltung einer Frist kündigen, wenn ein schwerwiegender Verstoß des Auftragnehmers gegen Datenschutzvorschriften oder die Bestimmungen dieses Vertrages vorliegt, der Auftragnehmer eine Weisung des Auftraggebers nicht ausführen kann oder will oder der Auftragnehmer Kontrollrechte des Auftraggebers vertragswidrig verweigert. Das Recht zur außerordentlichen Kündigung aus wichtigem Grund für beide Parteien bleibt unberührt. Jede Kündigung bedarf mindestens der Textform.

3. Art und Zweck der Verarbeitung, Art der personenbezogenen Daten sowie Kategorien betroffener Personen:

(1) Art und Zweck der Verarbeitung (Art. 4 Nr. 2 DSGVO) ergibt sich aus dem Auftragsverhältnis und umfasst insbesondere die Bereitstellung einer Anwendung und einer Datenbank zur Erfassung, Verknüpfung und Speicherung von Mitarbeiter- und Kundendaten des Auftraggebers sowie die entsprechende Auslese- und Abrufmöglichkeit dieser Daten für den Auftraggeber zum Zwecke der effizienten Abwicklung der geschäftlichen Tätigkeit des Auftraggebers.

(2) Art der personenbezogenen Daten (Art. 4 Nr. 1, 13, 14 und 15 DSGVO) sind insbesondere:

Kundendaten (z. B. Name, Vorname, Anschrift)
Personenstammdaten (z. B. Name, Vorname, Geburtsdatum, Anschrift)
Kommunikationsdaten (z. B. Telefon, E-Mail)
Kundenkommunikation
Abrechnungsdaten
Asset-Management (z. B. Werkzeugnutzer)
Sonstige Identifizierungsmerkmale (z. B. Kundennummer, Personalnummer, Steuernummer, Umsatzsteueridentifikationsnummer)
Mitarbeiter und Kundentermine
Baustellendokumentation (Fotos, Berichte ggf. mit Inhalt von personenbezogenen Daten z. B. Mitarbeiterunterschrift zur Bauabnahme)

(3) Kategorien betroffener Personen (Art. 4 Nr. 1 DSGVO) sind insbesondere:

Kunden
Bauherren
Inhaber von Handwerksbetrieben
Abonnenten
Interessenten von Handwerksbetrieben
Beschäftigte/Mitarbeiter des Kunden
Vertreter
Lieferanten
Bevollmächtigte / Ansprechpartner

4. Rechte und Pflichten sowie Weisungsbefugnisse des Auftraggebers

(1) Für die Beurteilung der Zulässigkeit der Verarbeitung gemäß Art. 6 Abs. 1 DSGVO sowie für die Wahrung der Rechte der betroffenen Personen nach den Art. 12 bis 22 DSGVO ist allein der Auftraggeber verantwortlich. Der Auftragnehmer wird alle solche Anfragen, sofern sie erkennbar ausschließlich an den Auftraggeber gerichtet sind, unverzüglich an diesen weiterzuleiten.

(2) Änderungen des Verarbeitungsgegenstandes und Verfahrensänderungen sind, sofern wesentlich von der ursprünglichen Vereinbarung abweichend, gemeinsam zwischen Auftraggeber und Auftragnehmer abzustimmen und schriftlich oder in einem dokumentierten elektronischen Format festzulegen.

(3) Der Auftraggeber erteilt alle Aufträge, Teilaufträge und Weisungen in der Regel schriftlich oder in einem dokumentierten elektronischen Format. Mündliche Weisungen sind unverzüglich schriftlich oder in einem dokumentierten elektronischen Format zu bestätigen. Alle erteilten Weisungen sind vom Auftraggeber zu dokumentieren.

(4) Der Auftraggeber ist berechtigt, sich wie unter Ziffer 6 festgelegt vor Beginn der Verarbeitung und sodann regelmäßig in angemessener Weise von der Einhaltung der beim Auftragnehmer getroffenen technischen und organisatorischen Maßnahmen sowie der in diesem Vertrag festgelegten Verpflichtungen zu überzeugen.

(5) Der Auftraggeber informiert den Auftragnehmer unverzüglich, wenn er Fehler oder Unregelmäßigkeiten bei der Prüfung der Auftragsergebnisse feststellt. Werden (insbesondere bei einer Kontrolle Sachverhalte festgestellt), deren zukünftige Vermeidung Änderungen des angeordneten Verfahrensablaufs erfordern, teilte der Auftraggeber dem Auftragnehmer die notwendigen Verfahrensänderungen unverzüglich mit.

(6) Der Auftraggeber ist verpflichtet, alle im Rahmen des Vertragsverhältnisses erlangten Kenntnisse von Geschäftsgeheimnissen und Datensicherheitsmaßnahmen des Auftragnehmers vertraulich zu behandeln. Diese Verpflichtung zur Vertraulichkeit gilt auch nach Beendigung des Auftragsverhältnisses für eine Dauer von 30 Jahren. Unberührt bleiben im Übrigen die sonstigen zwischen den Parteien geschlossenen Geheimhaltungsverpflichtungen sowie die auf das Auftragsverhältnis anwendbaren gesetzlichen Geheimhaltungspflichten. Diese Verpflichtung bleibt auch nach Beendigung dieses Vertrages bestehen.

5. Weisungsberechtigte des Auftraggebers, Weisungsempfänger des Auftragnehmers

(1) Die Weisungsberechtigten beim Auftraggeber und Weisungsempfänger beim Auftragsverarbeiter sowie die Kommunikationskanäle ergeben sich aus der Anlage 1 „Ansprechpartner".

(2) Bei einem Wechsel oder einer längerfristigen Verhinderung der Ansprechpartner ist der jeweils anderen Partei unverzüglich mindestens in Textform die Nachfolger bzw. die Vertreter mitzuteilen.

(3) Die Weisungen sind für ihre Geltungsdauer und darüber hinaus im Rahmen der gesetzlichen Fristen vom Auftraggeber aufzubewahren.

6. Pflichten des Auftragnehmers

(1) Der Auftragnehmer verarbeitet personenbezogene Daten ausschließlich im Rahmen der getroffenen Vereinbarungen und nach Weisungen des Auftraggebers, sofern er nicht zu einer anderen Verarbeitung durch das Recht der Union oder der Mitgliedstaaten, dem der Auftragsverarbeiter unterliegt, hierzu verpflichtet ist (z. B. Ermittlungen von Strafverfolgungs- oder Staatsschutzbehörden); in einem solchen Fall teilt der Auftragsverarbeiter dem Verantwortlichen diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht eine solche Mitteilung nicht wegen eines wichtigen öffentlichen Interesses verbietet (Art. 28 Abs. 3 Satz 2 lit. a DSGVO).

(2) Der Auftragnehmer verwendet die zur Verarbeitung überlassenen personenbezogenen Daten für keine anderen, insbesondere nicht für eigene Zwecke. Kopien oder Duplikate der personenbezogenen Daten werden ohne Wissen des Auftraggebers nicht erstellt.

(3) Der Auftragnehmer sichert im Bereich der auftragsgemäßen Verarbeitung von personenbezogenen Daten die vertragsgemäße Abwicklung aller vereinbarten Maßnahmen zu. Er sichert zu, dass die für den Auftraggeber verarbeiteten Daten von sonstigen Datenbeständen strikt getrennt bzw. abgrenzbar gespeichert werden.

(4) Bei der Erfüllung der Rechte der betroffenen Personen nach Art. 12 bis 22 DSGVO durch den Auftraggeber, an der Erstellung der Verzeichnisse von Verarbeitungstätigkeiten sowie bei erforderlichen Datenschutz-Folgeabschätzungen des Auftraggebers hat der Auftragnehmer im notwendigen Umfang mitzuwirken und den Auftraggeber soweit möglich angemessen zu unterstützen (Art. 28 Abs. 3 Satz 2 lit. e und f DSGVO). Er hat die dazu erforderlichen Informationen jeweils an die unter Ziffer 4 benannte Ansprechpartner zu senden.

(5) Der Auftragnehmer wird den Auftraggeber unverzüglich darauf aufmerksam machen, wenn eine vom Auftraggeber erteilte Weisung seiner Meinung nach gegen gesetzliche Vorschriften verstößt (Art. 28 Abs. 3 Satz 3 DSGVO). Der Auftragnehmer ist berechtigt, die Durchführung der entsprechenden Weisung solange auszusetzen, bis sie durch den Verantwortlichen beim Auftraggeber nach Überprüfung bestätigt oder geändert wird.

(6) Der Auftragnehmer hat personenbezogene Daten aus dem Auftragsverhältnis zu berichtigen, zu löschen oder deren Verarbeitung einzuschränken, wenn der Auftraggeber dies mittels einer Weisung verlangt und berechtigte Interessen des Auftragnehmers dem nicht entgegenstehen. Auskünfte über personenbezogene Daten aus dem Auftragsverhältnis an Dritte oder den Betroffenen darf der Auftragnehmer nur nach vorheriger Weisung oder Zustimmung durch den Auftraggeber erteilen.

(7) Der Auftragnehmer erklärt sich damit einverstanden, dass der Auftraggeber - grundsätzlich nach Terminvereinbarung mit angemessener Vorankündigung - berechtigt ist, zu den üblichen Geschäftszeiten die Einhaltung der Vorschriften über Datenschutz und Datensicherheit sowie der vertraglichen Vereinbarungen im angemessenen und erforderlichen Umfang selbst oder durch vom Auftraggeber beauftragte Dritte kontrollieren, insbesondere durch die Einholung von Auskünften und die Einsichtnahme in die gespeicherten Daten und die Datenverarbeitungsprogramme sowie durch Überprüfungen und Inspektionen vor Ort (Art. 28 Abs. 3 Satz 2 lit. h DSGVO) und er hierzu, soweit erforderlich, beiträgt. Der vom Auftraggeber bestimmter Dritte darf nicht in unmittelbarem Wettbewerbsverhältnis mit dem Auftragnehmer stehen und Kontrollen dürfen nicht zu übermäßigen Beeinträchtigungen des Geschäftsablaufs führen. Bei der Entscheidung über eine Überprüfung oder Prüfung kann der Auftraggeber einschlägige Zertifizierungen des Auftragnehmers oder der Subunternehmer berücksichtigen. Der Auftraggeber dokumentiert das Ergebnis der von ihm durchgeführten Kontrollen und teilte es dem Auftragnehmer mit.

(8) Die Verarbeitung von Daten in Privatwohnungen (u.a. Tele- bzw. Heimarbeit von Beschäftigten des Auftragnehmers) ist nur mit Zustimmung des Auftraggebers gestattet. Die Zustimmung wird hiermit erteilt. Die Maßnahmen nach Art. 32 DSGVO sind auch in diesem Fall sicherzustellen.

(9) Der Auftragnehmer verpflichtet sich, bei der auftragsgemäßen Verarbeitung der personenbezogenen Daten des Auftraggebers die Vertraulichkeit zu wahren. Diese besteht auch nach Beendigung des Vertrages fort.

(10) Der Auftragnehmer sichert zu, dass er die bei der Durchführung der Arbeiten beschäftigten Mitarbeiter vor Aufnahme der Tätigkeit mit den für sie maßgebenden Bestimmungen des Datenschutzes vertraut macht und für die Zeit ihrer Tätigkeit wie auch nach Beendigung des Beschäftigungsverhältnisses in geeigneter Weise zur Verschwiegenheit verpflichtet (Art. 28 Abs. 3 Satz 2 lit. b und Art. 29 DSGVO), es sei denn, dass diese ohnehin schon eine angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen. Der Auftragnehmer überwacht die Einhaltung der datenschutzrechtlichen Vorschriften in seinem Betrieb.

(11) Ein betrieblicher Datenschutzbeauftragter ist beim Auftragnehmer nicht bestellt, da die gesetzliche Notwendigkeit für eine Bestellung nicht vorliegt.

(12) Der Auftragnehmer veröffentlicht die Kontaktdaten des Datenschutzbeauftragten auf seiner Internetseite und teilt sie der für ihn zuständigen Aufsichtsbehörde für den Datenschutz mit.

7. Mitteilungspflichten des Auftragnehmers bei Störungen der Verarbeitung und bei Verletzungen des Schutzes personenbezogener Daten

(1) Der Auftragnehmer teilt dem Auftraggeber unverzüglich Störungen, Verstöße des Auftragnehmers oder der bei ihm beschäftigten Personen sowie gegen datenschutzrechtliche Bestimmungen oder die im Auftrag getroffenen Festlegungen sowie den Verdacht auf Datenschutzverletzungen oder Unregelmäßigkeiten bei der Verarbeitung personenbezogener Daten mit. Dies gilt vor allem auch im Hinblick auf eventuelle Melde- und Benachrichtigungspflichten des Auftraggebers nach Art. 33 und Art. 34 DSGVO.

(2) Der Auftragnehmer sichert zu, den Auftraggeber erforderlichenfalls bei seinen Pflichten nach Art. 33 und 34 DSGVO angemessen zu unterstützen (Art. 28 Abs. 3 Satz 2 lit. f DSGVO). Meldungen nach Art. 33 oder 34 DSGVO für den Auftraggeber darf der Auftragnehmer nur nach vorheriger Weisung gem. Ziffer 4 dieses Vertrages durchführen.

8. Unterauftragsverhältnisse mit Subunternehmern (Art. 28 Abs. 3 Satz 2 lit. d DSGVO)

(1) Ein Unterauftragsverhältnis im Sinne dieser AVV liegt nicht vor, wenn der Auftragnehmer Dritte mit Dienstleistungen beauftragt, die als reine Nebenleistungen anzusehen sind. Dazu gehören z. B. Post-, Transport- und Versandleistungen, Reinigungsleistungen, Telekommunikationsleistungen ohne konkreten Bezug zu Leistungen, die der Auftragnehmer für den Auftraggeber erbringt und Bewachungsdienste. Wartungs- und Prüfleistungen stellen zustimmungspflichtige Unterauftragsverhältnisse dar, soweit diese für IT-Systeme erbracht werden, die auch im Zusammenhang mit der Erbringung von Leistungen für den Auftraggeber genutzt werden.

(2) Die Beauftragung von Subunternehmern zur Verarbeitung von Daten des Auftraggebers ist dem Auftragnehmer nur mit Zustimmung des Auftraggebers gestattet. Die Zustimmung zu den in Anlage 2 „Subunternehmer" benannten Subunternehmern wird hiermit erteilt. Einen beabsichtigten Wechsel bzw. eine Neubeauftragung eines Subunternehmens, hat der Auftragnehmer dem Auftraggeber spätestens drei Wochen vor dem Wechsel bzw. der Neubeauftragung mitzuteilen. Der Auftraggeber kann dem Wechsel beziehungsweise Neubeauftragung binnen zwei Wochen ab Erhalt der Informationen durch den Auftragnehmer nur aus sachlichen Gründen widersprechen („Einspruch"), wobei er die sachlichen Gründe ausdrücklich zu benennen hat. Dies ist insbesondere der Fall, wenn zu befürchten ist, dass das Subunternehmer die Pflichten des Auftragnehmers aus der AVV oder der DSGVO nicht erfüllen kann. Widerspricht der Auftraggeber nicht oder nicht fristgerecht oder gibt er keine eindeutige Klärung ab, gilt der Wechsel bzw. die Neubeauftragung als genehmigt.

(3) Der Auftragnehmer teilt dem Auftraggeber Namen und Anschrift sowie die vorgesehene Tätigkeit des (vorgesehenen) Subunternehmers mit. Außerdem muss der Auftragnehmer dafür Sorge tragen, dass er den Subunternehmer unter besonderer Berücksichtigung der Eignung der von diesem getroffenen technischen und organisatorischen Maßnahmen im Sinne von Art. 32 DSGVO sorgfältig auswählt. Die relevanten Prüfunterlagen dazu sind dem Auftraggeber auf Anfrage zur Verfügung zu stellen.

(4) Eine Beauftragung von Subunternehmern in Drittstaaten darf nur erfolgen, wenn die besonderen Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind (z. B. Angemessenheitsbeschluss der Kommission, Standarddatenschutzklauseln, genehmigte Verhaltensregeln).

(5) Der Auftragnehmer hat vertraglich sicherzustellen, dass im Wesentlichen dieselben Regelungen, die für den Auftragsverarbeiter gemäß diesen Klauseln auch gegenüber Subunternehmern gelten. In dem Vertrag mit dem Subunternehmer sind die Angaben so konkret festzulegen, dass die Verantwortlichkeiten des Auftragnehmers und des Subunternehmers deutlich voneinander abgegrenzt werden. Werden mehrere Subunternehmer eingesetzt, so gilt dies auch für die Verantwortlichkeiten zwischen diesen Subunternehmern. Insbesondere muss der Auftraggeber berechtigt sein, im Bedarfsfall angemessene Überprüfungen und Inspektionen, auch vor Ort, bei Subunternehmern durchzuführen oder durch von ihm beauftragte Dritte durchführen zu lassen.

(6) Der Vertrag mit dem Subunternehmer muss schriftlich abgefasst werden, was auch in einem elektronischen Format erfolgen kann (Art. 28 Abs. 4 und Abs. 9 DSGVO).

(7) Die Weiterleitung von Daten an den Subunternehmer ist erst zulässig, wenn der Subunternehmer die Verpflichtungen nach Art. 29 und Art. 32 Abs. 4 DSGVO bezüglich seiner Beschäftigten erfüllt hat.

(8) Erhebt der Auftraggeber frist- und formgerecht Einspruch und können sich die Parteien auf die geplante Vertragsänderung bzw. den Austausch des Unterauftragnehmers nicht einigen, kann sowohl der Auftraggeber als auch der Auftragnehmer das Vertragsverhältnis ganz oder teilweise außerordentlich zum Zeitpunkt des geplanten Einsatzes des Unterauftragnehmers bzw. zum Zeitpunkt der Änderung kündigen.

9. Technische und organisatorische Maßnahmen nach Art. 32 DSGVO (Art. 28 Abs. 3 Satz 2 lit. c DSGVO)

(1) Es wird für die konkrete Auftragsverarbeitung ein dem Risiko für die Rechte und Freiheiten der von der Verarbeitung betroffenen natürlichen Personen angemessenes Schutzniveau gewährleistet. Dazu werden die Schutzziele von Art. 32 Abs. 1 DSGVO, wie Vertraulichkeit, Integrität und Verfügbarkeit der Systeme und Dienste sowie deren Belastbarkeit in Bezug auf Art, Umfang, Umstände und Zweck der Verarbeitungen derart berücksichtigt, dass durch geeignete technische und organisatorische Abhilfemaßnahmen das Risiko auf Dauer eingedämmt wird.

(2) Das im Anhang 3 „technische und organisatorische Maßnahmen - TOMs" beschriebene Datenschutzkonzept stellt die Auswahl der technischen und organisatorischen Maßnahmen passend zum ermittelten Risiko unter Berücksichtigung der Schutzziele nach Stand der Technik detailliert und unter besonderer Berücksichtigung der eingesetzten IT-Systeme und Verarbeitungsprozesse beim Auftragnehmer dar. Der Auftraggeber bestätigt diese geprüft und für angemessen befunden zu haben. Der Auftraggeber hatte keine spezifischen, abweichenden Anforderungen, welche vor Aufnahme der Auftragsverarbeitung beim Auftragnehmer hätten umgesetzt werden müssen. Darüberhinausgehende Sicherungsmaßnahmen können vom Auftraggeber kostenpflichtig angefragt werden.

(3) Der Auftragnehmer hat bei gegebenem Anlass, mindestens aber jährlich, eine Überprüfung, Bewertung und Evaluation der Wirksamkeit der technischen und organisatorischen Maßnahmen zur Gewährleistung der Sicherheit der Verarbeitung durchzuführen (Art. 32 Abs. 1 lit. d DSGVO). Das Ergebnis ist dem Auftraggeber auf Anforderung mitzuteilen.

(4) Soweit die beim Auftragnehmer getroffenen Maßnahmen den Anforderungen des Auftraggebers nicht genügen, benachrichtigt er den Auftraggeber unverzüglich.

(5) Die Maßnahmen beim Auftragnehmer können im Laufe des Auftragsverhältnisses der technischen und organisatorischen Weiterentwicklung angepasst werden, dürfen aber die vereinbarten Standards nicht unterschreiten.

(6) Wesentliche Änderungen muss der Auftragnehmer mit dem Auftraggeber in dokumentierter Form (schriftlich, elektronisch) abstimmen. Solche Abstimmungen sind für die Dauer dieses Vertrages vom Auftraggeber aufzubewahren.

10. Verpflichtungen des Auftragnehmers nach Beendigung des Auftrags, Art. 28 Abs. 3 Satz 2 lit. g DSGVO

(1) Nach Abschluss der vertraglichen Arbeiten hat der Auftragnehmer sämtliche in seinen Besitz sowie an Subunternehmen gelangte personenbezogene Daten nach Wahl des Auftraggebers entweder zu löschen oder zurückzugeben und die vorhandenen Kopien zu löschen, sofern nicht nach dem Unionsrecht oder dem Recht der Mitgliedstaaten eine Verpflichtung zur Speicherung der personenbezogenen Daten besteht (z. B. gesetzliche Aufbewahrung- und Archivierungspflichten). Die Parteien vereinbaren, dass der Auftraggeber selbst verantwortlich ist, die entsprechenden personenbezogenen Daten vor der Beendigung des Auftragsverhältnisses zu sichern und vom Server des Auftragnehmers zu löschen.

(2) Unterlagen, mit denen die auftrags- und ordnungsgemäße Datenverarbeitung durch den Auftragnehmer dokumentiert wird, hat der Auftragnehmer gemäß den jeweiligen Aufbewahrungsfristen auch über das Ende der AVV hinaus aufzubewahren.

11. Vergütung

(1) Weisungen, die über die hauptvertraglich vereinbarte Leistung des Auftragsverhältnisses hinausgehen, werden als Antrag auf Leistungsänderung behandelt und sind gesondert vergütungspflichtig. Regelungen über eine etwaige Vergütung für Weisungen werden in einer gesonderten Anlage zu dieser AVV genommen.

(2) Der Auftraggeber vergütet dem Auftragnehmer den angemessenen Aufwand, der ihm im Rahmen der Kontrollen (u.a. Ziffer 6) nach dieser AVV entsteht, sofern die Kontrolle nicht wegen Gesetzes- oder Vertragsverstoß durch den Auftragnehmer erforderlich wurde.

12. Haftung

(1) Auftraggeber und Auftragnehmer haften gegenüber betroffenen Personen entsprechend der in Art. 82 DSGVO getroffenen Regelung.

(2) Der Auftraggeber stellt den Auftragnehmer von der Haftung frei, wenn/soweit der Auftragnehmer nachweist, dass er in keinerlei Hinsicht für den Umstand, durch den der Schaden bei einer betroffenen Person eingetreten ist, verantwortlich ist. Im Übrigen gilt Art. 82 Abs. 5 DSGVO.

(3) Die Haftungsregelungen des Auftragsverhältnisses gelten für das Innenverhältnis im Rahmen dieser AVV entsprechend.

13. Schlussbestimmungen, Anwendbares Recht, Gerichtsstand

(1) Soweit nichts anderes geregelt ist, bedürfen vertragliche Mitteilungen und Erklärungen mindestens der Textform.

(2) Sollten einzelne Bestimmungen dieser AVV ganz oder teilweise nicht rechtswirksam oder nicht durchführbar sein oder werden, so wird hierdurch die Gültigkeit der jeweils übrigen Bestimmungen nicht berührt.

(3) Es gilt das Recht der Bundesrepublik Deutschland unter Ausschluss der Normen, die in eine andere Rechtsordnung verweisen, und unter Ausschluss des Übereinkommens der Vereinten Nationen über Verträge über den internationalen Warenkauf (CISG).

(4) Liegen die Voraussetzungen für eine Gerichtsstandsvereinbarung nach §§ 38, 40 ZPO vor, richtet sich der Gerichtsstand für alle Streitigkeiten über die Gültigkeit des Vertrages und aus dem Vertragsverhältnis ausschließlich nach dem Sitz des Aufragnehmers.

14. Anlagen:

Anlage 1 „Ansprechpartner" (Stand 01/2026)

Anlage 2 „Subunternehmer“ (Stand 01/2026)

Anlage 3 „technische und organisatorische Maßnahmen – TOMs“ (Stand 12/2025)

Anlage 1

„Ansprechpartner"

zur Auftragsverarbeitungsvertrag nach Art. 28 Abs. 3 DSGVO

1. Weisungsberechtigte Personen des Auftraggebers sind:

[Vorname von Nutzer einfügen], [Nachname von Nutzer einfügen], [E-Mail Adresse von Nutzer einfügen]
Hauptnutzer des Handwerksbetriebes als Nutzer von Werkport
Weiterhin siehe Berechtigungszuweisung im Rahmen des Auftragsverhältnisses

2. Weisungsempfänger beim Auftragnehmer sind:

Haiko Gesell, Geschäftsführung

3. Für Weisung zu nutzende Kommunikationskanäle:

Mathildenstr. 42, 90762 Fürth, E-Mail: info@werkport.com

Bei einem Wechsel oder einer längerfristigen Verhinderung der Ansprechpartner ist der jeweils anderen Partei unverzüglich mindestens in Textform die Nachfolger bzw. die Vertreter mitzuteilen. Die Weisungen sind für ihre Geltungsdauer und darüber hinaus im Rahmen der gesetzlichen Fristen vom Auftraggeber aufzubewahren.

Stand: 02.01.2026

Anlage 2

„Subunternehmer“

zur Auftragsverarbeitungsvertrag nach Art. 28 Abs. 3 DSGVO

Es werden nachfolgende Unternehmen im Rahmen der Leistungserbringung als Subunternehmer eingesetzt:

IONOS SE
Elgendorfer Str. 57, 56410 Montabaur, Deutschland
Hosting-Anbieter, der Server und E-Mail-Server bereitstellt
Acronis International GmbH
Rheinweg 9, 8200 Schaffhausen, Schweiz
Backup-Anbieter für Backups von Server samt Datenbanken
Stripe Technology Company Limited (STC)
One Wilton Park, Wilton Place, Dublin 2, D02 FX04, Ireland
Zahlungsdienstleister für Abonnenten
Haufe Service Center GmbH (Lexware Office)
Munzinger Straße 9, 79111 Freiburg, Deutschland
Buchhaltungssoftware
Google Ireland Limited
Gordon House, Barrow Street, Dublin 4, Irland
Website-Analyse-Tools
Hiscox SA
Niederlassung für Deutschland, Bernhard-Wicki-Str. 3, 80636 München, Deutschland
Berufshaftpflichtversicherung

Stand: 06.01.2026

Anlage 3

„technische und organisatorische Maßnahmen – TOMs"

zur Auftragsverarbeitungsvertrag nach Art. 28 Abs. 3 DSGVO

Derzeit wurden vom Auftragnehmer folgende technische und organisatorische Maßnahmen – TOMs etabliert worden: