Vertrag zur Auftragsverarbeitung

1. Gegenstand

Betrieb der Software „Mein Handwerker“ zur Terminbenachrichtigung Ihrer Kunden.

2. Daten und Betroffene

Kunden des Betriebs: Name, Telefonnummer, E-Mail-Adresse (freiwillig), Adresse, Termine, Bewertungen, Nachrichten.

Beschäftigte des Betriebs: Name, Telefon, Foto (freiwillig), Standort nur während der Anfahrt, Zeitstempel der Auftragsschritte.

3. Maßnahmen

Datenbank, Dateien und Anwendung in Frankfurt am Main. Für SMS, Adresssuche und Karten nutzen wir die unter 4. genannten Dienste.

Löschung der Standorte bei Ankunft, verschlüsselte Übertragung, Zugriff nur nach Anmeldung. Fahrzeiten schätzt die App ohne eingerichteten Routing-Dienst selbst, Standorte gehen dafür an keinen Dritten.

4. Unterauftragsverarbeiter

Sie stimmen dem Einsatz dieser Unterauftragsverarbeiter zu. Über neue oder geänderte Unterauftragsverarbeiter informieren wir Sie vorab; Sie können widersprechen.

Supabase (Supabase Inc., USA; Rechenzentrum in Frankfurt am Main (AWS eu-central-1)): Datenbank und Dateien (Fotos, Logos). Daten: alle Daten der App: Kunden, Aufträge, Beschäftigte, Standorte während der Anfahrt. Daten liegen in Frankfurt; Zugriff des US-Anbieters nur auf Grundlage von Standardvertragsklauseln (Auftragsverarbeitungsvertrag von Supabase).

Vercel (Vercel Inc., USA; Funktionen in Frankfurt am Main (Region fra1); Auslieferung der Seiten über das weltweite Netz von Vercel): Betrieb der Anwendung. Daten: alle Anfragen an die App einschließlich IP-Adresse. US-Muttergesellschaft: EU-US Data Privacy Framework bzw. Standardvertragsklauseln (Auftragsverarbeitungsvertrag von Vercel).

seven.io (sms77 io GmbH, Kiel; Deutschland): SMS-Versand an Kunden. Daten: Telefonnummer des Kunden und SMS-Text (Betrieb, Zeitfenster, Link).

Resend (Kunden-E-Mails) (Resend Inc., USA; USA [Versand über die EU-Region prüfen]): E-Mail an Kunden statt SMS (Zeitfenster, Änderungen, Absage), nur wenn der Betrieb eine E-Mail-Adresse hinterlegt hat. Daten: E-Mail-Adresse des Kunden und Nachrichtentext (Betrieb, Zeitfenster, Link). Standardvertragsklauseln (Auftragsverarbeitungsvertrag von Resend) [prüfen].

Nominatim (OpenStreetMap) (OpenStreetMap Foundation, Vereinigtes Königreich; Vereinigtes Königreich (Angemessenheitsbeschluss der EU)): Adresssuche: Adresse in Koordinaten umwandeln. Daten: Adresse des Kunden, ohne Name und Telefonnummer. kann durch einen eigenen Server in der EU ersetzt werden (NOMINATIM_URL).

OpenFreeMap (Hyperknot Software Kft., Ungarn; EU; Auslieferung gegebenenfalls über das Netz von Cloudflare): Kartenkacheln für die Karte auf der Kunden-Seite und im Büro. Daten: IP-Adresse und Browserangaben der Person, die die Karte öffnet (der Browser lädt die Kacheln direkt); Fehlerprotokolle mit IP-Adresse löscht der Betreiber nach 7 Tagen.

Mapbox (nur wenn eingerichtet) (Mapbox Inc., USA; USA): Fahrzeiten mit aktuellem Verkehr. Daten: Koordinaten des Monteurs während der Anfahrt und des Kunden. Drittlandübermittlung auf Grundlage von Standardvertragsklauseln. Derzeit nicht im Einsatz: ohne eingerichteten Dienst schätzt die App die Fahrzeit selbst, Standorte gehen dann an keinen Dritten.

Anthropic (nur beim Foto-Import) ([Anthropic Ireland, Limited, Dublin; Muttergesellschaft Anthropic PBC, USA – prüfen]; USA): Auslesen von Terminen aus einem Foto des Papierkalenders, das das Büro oder ein Monteur hochlädt. Daten: Inhalt des Fotos, typischerweise Namen, Adressen und Telefonnummern von Kunden sowie Namen von Monteuren; das Foto wird bei uns nicht gespeichert und vom Anbieter nicht zum Training verwendet [Speicherdauer beim Anbieter laut Vertrag prüfen]. Drittlandübermittlung auf Grundlage von Standardvertragsklauseln (Auftragsverarbeitungsvertrag von Anthropic) [prüfen]. Nur wenn der Betrieb die Funktion nutzt.

5. Weitere Dienste ohne Auftragsverarbeitung

Diese Dienste nutzen wir für unseren eigenen Vertrag mit Ihnen, nicht für die Daten Ihrer Kunden oder Monteure:

Stripe (Stripe Payments Europe Ltd., Dublin; EU, mit Übermittlung an Stripe Inc. (USA)): Zahlungsabwicklung für das Abo. Daten: Name, E-Mail und Zahlungsdaten des Betriebs, keine Daten von Kunden oder Monteuren. EU-US Data Privacy Framework bzw. Standardvertragsklauseln.

Resend (Resend Inc., USA; USA): E-Mails an Betriebe (z. B. Ende der Testphase) und Weiterleitung von Kontaktanfragen an uns. Daten: E-Mail-Adresse, Name, Inhalt der E-Mail. Standardvertragsklauseln (Auftragsverarbeitungsvertrag von Resend).

Expo (EAS) (650 Industries Inc. (Expo), USA; USA): nur zum Erstellen der Handy-App für Monteure. Daten: keine personenbezogenen Daten im Betrieb: die App nutzt keine Push-Mitteilungen und keine Updates über Expo, Standorte gehen direkt an unsere Server.

6. Weisungen, Löschung, Unterstützung

[Regelungen nach Art. 28 Abs. 3 DSGVO]