Auftragsverarbeitungsvertrag

1. Parteien und Gegenstand

Dieser Vertrag gilt zwischen dem Kunden (Verantwortlicher, „Auftraggeber“) und Timo Scholz-Fritsch, Kaiserallee 12, 58511 Lüdenscheid („Auftragnehmer“). Der Auftragnehmer verarbeitet personenbezogene Daten im Auftrag des Auftraggebers, um den Dienst EBV-Lieferschein bereitzustellen: Erstellung, Unterzeichnung, Weitergabe und Archivierung von Lieferscheinen und Deckblättern nach der Ersatzbaustoffverordnung.

2. Dauer

Die Verarbeitung läuft für die Dauer des Nutzungsvertrags und darüber hinaus, solange unterschriebene Dokumente nach § 25 Abs. 4 EBV aufzubewahren sind (5 Jahre ab Ausstellung).

3. Art der Daten und betroffene Personen

• Kontaktdaten (Name, Anschrift, Telefon, E-Mail) von Ansprechpartnern bei Kunden, Beförderern, Bauherren und Güteüberwachungsstellen
• Namen und Kontodaten der Nutzer des Auftraggebers, Zeitpunkte von Unterschriften und Aktionen
• Angaben zu Baumaßnahmen, Lieferungen und Lageskizzen

4. Pflichten des Auftragnehmers

• Verarbeitung nur auf dokumentierte Weisung des Auftraggebers, die durch die Nutzung des Dienstes erteilt wird.
• Vertraulichkeit aller zur Verarbeitung befugten Personen.
• Technische und organisatorische Maßnahmen nach Art. 32 DSGVO (siehe Nr. 6).
• Unterstützung des Auftraggebers bei Anfragen Betroffener und bei Pflichten nach Art. 32 bis 36 DSGVO.
• Meldung von Verletzungen des Schutzes personenbezogener Daten unverzüglich, spätestens innerhalb von 48 Stunden nach Kenntnis.
• Nachweis der Einhaltung dieses Vertrags und Ermöglichung von Überprüfungen nach angemessener Vorankündigung.

5. Unterauftragsverarbeiter

Der Auftraggeber stimmt dem Einsatz folgender Unterauftragsverarbeiter zu:

• Supabase Inc.: Datenbank, Login, Dateispeicher. Standort: Frankfurt am Main (AWS eu-central-1)
• Vercel Inc.: Hosting, Serverfunktionen. Standort: Frankfurt am Main; Unternehmen in den USA (EU-US Data Privacy Framework)

Für E-Mail-Versand kann ein weiterer Dienst mit Sitz in der EU hinzukommen. Neue oder geänderte Unterauftragsverarbeiter kündigt der Auftragnehmer mindestens 4 Wochen vorher in Textform an; der Auftraggeber kann aus wichtigem datenschutzrechtlichem Grund widersprechen. Die Zahlungsabwicklung über Stripe erfolgt in eigener Verantwortung von Stripe und ist keine Auftragsverarbeitung.

6. Technische und organisatorische Maßnahmen

• Verschlüsselte Übertragung (TLS) und verschlüsselte Speicherung beim Rechenzentrumsbetreiber
• Mandantentrennung über Row Level Security in der Datenbank; jede Abfrage ist auf die Organisation beschränkt
• Rollen Admin und Mitglied; Passwörter nur als Hash gespeichert
• Unterschriebene Dokumente sind unveränderlich; Prüfsumme SHA-256; Protokoll von Unterschriften, Stornos und Exporten
• Teilen-Links mit 256 Bit Zufall, jederzeit widerrufbar
• Tägliche Datenbanksicherungen beim Rechenzentrumsbetreiber

7. Rückgabe und Löschung

Nach Vertragsende stellt der Auftragnehmer die Daten im Nur-Lesen-Modus zum Export bereit und löscht sie nach Ablauf der Aufbewahrungsfrist. Auf Weisung des Auftraggebers löscht er nicht aufbewahrungspflichtige Daten früher.

8. Schlussbestimmungen

Im Übrigen gelten die AGB. Bei Widersprüchen geht dieser Vertrag in Fragen des Datenschutzes vor.

Stand: 19.10.2026