Rechtliches

Auftragsverarbeitungsvertrag (AVV)

Vereinbarung über die Verarbeitung personenbezogener Daten im Auftrag gemäß Art. 28 DSGVO · Stand: 06.07.2026

§ 1 Gegenstand und Vertragsparteien

(1) Dieser Auftragsverarbeitungsvertrag (AVV) konkretisiert die datenschutzrechtlichen Pflichten der Parteien aus dem Nutzungsvertrag über die Software „CraftX" gemäß den Allgemeinen Geschäftsbedingungen (Hauptvertrag).

(2) Parteien sind der Nutzer der Software (nachfolgend „Verantwortlicher") und Dmitri Petri, Borsigstraße 18, 27574 Bremerhaven (nachfolgend „Auftragsverarbeiter" oder „Anbieter").

(3) Dieser AVV ist Bestandteil des Hauptvertrags und wird mit der Registrierung wirksam. Er gilt für die gesamte Dauer des Hauptvertrags.

§ 2 Art, Zweck und Umfang der Verarbeitung

Der Auftragsverarbeiter verarbeitet personenbezogene Daten im Auftrag des Verantwortlichen zum Zweck der Bereitstellung und des Betriebs der CraftX-Software (ERP für Handwerksbetriebe), insbesondere: Auftrags-, Angebots- und Rechnungsverwaltung, Kundenverwaltung, Terminplanung, Personalverwaltung, Zeiterfassung (einschließlich optionaler standortgestützter Zeiterfassung per Geofencing), Dokumentenverwaltung und KI-gestützte Assistenzfunktionen.

§ 3 Kategorien betroffener Personen und Datenarten

(1) Betroffene Personen: Beschäftigte des Verantwortlichen, Kunden des Verantwortlichen, Lieferanten und sonstige Geschäftspartner, Kontaktpersonen.

(2) Datenarten:

§ 4 Pflichten des Auftragsverarbeiters

(1) Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen; die Nutzung der Software und ihrer Funktionen durch den Verantwortlichen gilt als Weisung. Weisungen, die gegen geltendes Datenschutzrecht verstoßen, wird der Auftragsverarbeiter dem Verantwortlichen unverzüglich mitteilen.

(2) Der Auftragsverarbeiter stellt sicher, dass sich die zur Verarbeitung befugten Personen zur Vertraulichkeit verpflichtet haben.

(3) Der Auftragsverarbeiter ergreift alle gemäß Art. 32 DSGVO erforderlichen technischen und organisatorischen Maßnahmen (§ 7).

(4) Der Auftragsverarbeiter unterstützt den Verantwortlichen mit geeigneten Mitteln bei der Erfüllung von Betroffenenrechten (Art. 12–23 DSGVO), insbesondere durch Auskunfts-, Berichtigungs-, Export- und Löschfunktionen der Software.

(5) Der Auftragsverarbeiter unterstützt den Verantwortlichen bei der Einhaltung der Pflichten aus Art. 32–36 DSGVO (Datensicherheit, Meldung von Verletzungen, Datenschutz-Folgenabschätzung).

(6) Verletzungen des Schutzes personenbezogener Daten meldet der Auftragsverarbeiter dem Verantwortlichen unverzüglich, spätestens innerhalb von 48 Stunden nach Kenntniserlangung.

§ 5 Pflichten des Verantwortlichen

(1) Der Verantwortliche ist für die Rechtmäßigkeit der Verarbeitung und die Wahrung der Rechte der betroffenen Personen verantwortlich.

(2) Setzt der Verantwortliche die standortgestützte Zeiterfassung gegenüber seinen Beschäftigten ein, stellt er insbesondere sicher, dass hierfür eine tragfähige Rechtsgrundlage besteht (insbesondere § 26 BDSG), die Beschäftigten gemäß Art. 13 DSGVO informiert werden und ggf. bestehende Mitbestimmungsrechte (z. B. § 87 Abs. 1 Nr. 6 BetrVG) gewahrt sind.

§ 6 Unterauftragsverarbeiter

(1) Der Verantwortliche erteilt die allgemeine Genehmigung zum Einsatz der nachfolgend genannten Unterauftragsverarbeiter. Über beabsichtigte Änderungen informiert der Auftragsverarbeiter den Verantwortlichen vorab per E-Mail; der Verantwortliche kann der Änderung innerhalb von 14 Tagen aus wichtigem Grund widersprechen.

(2) Derzeit eingesetzte Unterauftragsverarbeiter:

(3) Bei Übermittlungen in Drittländer stellt der Auftragsverarbeiter geeignete Garantien gemäß Kapitel V DSGVO sicher (EU-U.S. Data Privacy Framework bzw. EU-Standardvertragsklauseln).

(4) Der Auftragsverarbeiter verpflichtet Unterauftragsverarbeiter durch Verträge, die den Anforderungen des Art. 28 DSGVO entsprechen.

§ 7 Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

Die Maßnahmen werden dem Stand der Technik entsprechend fortlaufend weiterentwickelt.

§ 8 Nachweise und Kontrollrechte

Der Auftragsverarbeiter stellt dem Verantwortlichen alle erforderlichen Informationen zum Nachweis der Einhaltung der Pflichten aus Art. 28 DSGVO zur Verfügung und ermöglicht angemessene Überprüfungen. Kontrollen erfolgen in der Regel durch schriftliche Auskünfte und Selbstauskünfte; Vor-Ort-Kontrollen werden mit angemessener Frist angekündigt.

§ 9 Löschung und Rückgabe

Nach Beendigung des Hauptvertrags kann der Verantwortliche seine Daten innerhalb von 30 Tagen über die Exportfunktionen der Software abrufen. Anschließend löscht der Auftragsverarbeiter sämtliche personenbezogenen Daten, soweit keine gesetzlichen Aufbewahrungspflichten (z. B. § 147 AO, § 257 HGB) entgegenstehen; in diesem Fall werden die Daten für die Dauer der Aufbewahrungspflicht gesperrt und danach gelöscht.

§ 10 Schlussbestimmungen

(1) Im Fall von Widersprüchen zwischen diesem AVV und dem Hauptvertrag gehen die Regelungen dieses AVV in datenschutzrechtlicher Hinsicht vor.

(2) Es gilt das Recht der Bundesrepublik Deutschland. Im Übrigen gelten die Schlussbestimmungen des Hauptvertrags.

Kontakt

Dmitri Petri
Borsigstraße 18, 27574 Bremerhaven
E-Mail: kontakt@craftx-software.de