# Vertrag zur Auftragsverarbeitung (Art. 28 DSGVO)

> **Vorlage. Vor Nutzung anwaltlich prüfen.**

zwischen **[Betrieb, Anschrift]** (Verantwortlicher) und **[Anbieter von Mein Handwerker, Anschrift]** (Auftragsverarbeiter)

## 1. Gegenstand und Dauer

Der Auftragsverarbeiter betreibt für den Verantwortlichen die Software „Mein Handwerker“ zur Terminbenachrichtigung von Kunden. Der Vertrag gilt für die Dauer des Nutzungsvertrags.

## 2. Art der Daten und betroffene Personen

- **Kunden des Verantwortlichen:** Name, Telefonnummer, E-Mail-Adresse (freiwillig), Adresse, Termin, Bewertung, Nachrichten an das Büro.
- **Beschäftigte des Verantwortlichen:** Name, Telefonnummer, Foto (freiwillig), Standort während der Anfahrt zu einem Kunden, Zeitstempel der Auftragsschritte.

## 3. Zweck

Berechnung von Zeitfenstern, Versand von SMS an Kunden, Anzeige der Anfahrt, Auftragsverwaltung.

## 4. Technische und organisatorische Maßnahmen

- Datenbank, Dateien und Anwendung in Frankfurt am Main. Für SMS, Adresssuche und Karten werden die unter 5. genannten Dienste genutzt.
- Fahrzeiten schätzt die Software ohne eingerichteten Routing-Dienst selbst; Standorte gehen dafür an keinen Dritten.
- Standortdaten werden bei Ankunft gelöscht.
- Verschlüsselte Übertragung (TLS), Zugriff nur nach Anmeldung, Begrenzung von Anmeldeversuchen.
- [Weitere Maßnahmen, Anlage TOM]

## 5. Unterauftragsverarbeiter

Der Verantwortliche stimmt dem Einsatz der folgenden Unterauftragsverarbeiter zu. Über neue oder geänderte Unterauftragsverarbeiter informiert der Auftragsverarbeiter vorab; der Verantwortliche kann widersprechen.

| Anbieter | Zweck | Daten | Standort | Drittland |
| --- | --- | --- | --- | --- |
| Supabase (Supabase Inc., USA) | Datenbank, Dateien | alle Daten der Software | Frankfurt am Main (AWS eu-central-1) | Zugriff des US-Anbieters nur auf Grundlage von Standardvertragsklauseln [prüfen] |
| Vercel (Vercel Inc., USA) | Betrieb der Anwendung | alle Anfragen einschließlich IP-Adresse | Funktionen in Frankfurt am Main (fra1), Auslieferung über weltweites Netz | EU-US Data Privacy Framework bzw. Standardvertragsklauseln [prüfen] |
| seven.io (sms77 io GmbH, Kiel) | SMS-Versand an Kunden | Telefonnummer, SMS-Text | Deutschland | – |
| Resend (Resend Inc., USA) | E-Mail-Benachrichtigung von Kunden statt SMS | E-Mail-Adresse des Kunden, Nachrichtentext (Betrieb, Zeitfenster, Link) | USA [EU-Region prüfen] | Standardvertragsklauseln (Auftragsverarbeitungsvertrag von Resend) [prüfen]; nur für Kunden mit hinterlegter E-Mail-Adresse |
| Nominatim (OpenStreetMap Foundation) | Adresssuche (Adresse in Koordinaten) | Adresse des Kunden, ohne Name und Telefon | Vereinigtes Königreich | Angemessenheitsbeschluss; ersetzbar durch eigenen Server in der EU |
| OpenFreeMap ([Betreiber prüfen]) | Kartenkacheln auf Kunden-Seite und im Büro | IP-Adresse der Person, die die Karte öffnet | [prüfen] | [prüfen] |
| Mapbox (Mapbox Inc., USA), nur wenn eingerichtet | Fahrzeiten mit aktuellem Verkehr | Koordinaten des Monteurs während der Anfahrt und des Kunden | USA | Drittlandübermittlung, Standardvertragsklauseln; derzeit nicht im Einsatz |
| Anthropic ([Anthropic Ireland, Limited / Anthropic PBC, USA – prüfen]), nur beim Foto-Import | Auslesen von Terminen aus einem hochgeladenen Kalenderfoto | Inhalt des Fotos (z. B. Namen, Adressen, Telefonnummern von Kunden); keine Speicherung beim Auftragsverarbeiter | USA | Standardvertragsklauseln [prüfen]; nur wenn der Verantwortliche die Funktion nutzt |

Weitere Dienste ohne Auftragsverarbeitung (nur für den Vertrag zwischen Auftragsverarbeiter und Verantwortlichem, keine Daten von Kunden oder Beschäftigten):

| Anbieter | Zweck |
| --- | --- |
| Stripe (Stripe Payments Europe Ltd., Dublin) | Zahlungsabwicklung für das Abo |
| Resend (Resend Inc., USA) | E-Mails an den Betrieb, Weiterleitung von Kontaktanfragen |
| Expo (650 Industries Inc., USA) | nur Erstellen der Handy-App; keine Push-Mitteilungen, keine Updates über Expo, keine personenbezogenen Daten im Betrieb |

## 6. Weisungen, Vertraulichkeit, Unterstützung, Löschung

[Regelungen nach Art. 28 Abs. 3 DSGVO]

Ort, Datum, Unterschriften