Vertrag über die Auftragsverarbeitung

nach Art. 28 Datenschutz-Grundverordnung (DSGVO) · Stand: 11.10.2026

Dieser Vertrag gehört zum Vertrag über die Nutzung von CraftSlot (AGB, im Folgenden „Hauptvertrag“). Er regelt, wie der Anbieter personenbezogene Daten im Auftrag des Kunden verarbeitet.

§ 1 Gegenstand und Dauer

(1) Der Anbieter stellt dem Kunden die Software CraftSlot bereit und verarbeitet dabei personenbezogene Daten für den Kunden. Der Kunde entscheidet über Zweck und Mittel der Verarbeitung; er ist Verantwortlicher. Der Anbieter ist Auftragsverarbeiter.

(2) Der Vertrag gilt, solange der Hauptvertrag läuft, und darüber hinaus, bis der Anbieter alle Daten des Kunden gelöscht oder zurückgegeben hat.

(3) Art und Zweck der Verarbeitung, die Art der Daten und die Kreise der betroffenen Personen stehen in Anlage 1.

§ 2 Weisungen des Kunden

(1) Der Anbieter verarbeitet die Daten nur auf dokumentierte Weisung des Kunden — er tut mit den Daten also nur, was der Kunde festgelegt hat. Das gilt auch für die Übermittlung in ein Land außerhalb der EU und des EWR: Sie findet nur statt, soweit Anlage 3 sie nennt oder der Kunde sie anweist. Ist der Anbieter durch das Recht der EU oder eines Mitgliedstaats zu einer anderen Verarbeitung verpflichtet — etwa weil eine Behörde es verlangt —, teilt er das dem Kunden vorher mit, soweit das Recht die Mitteilung nicht verbietet.

(2) Die Weisungen des Kunden sind: der Hauptvertrag, dieser Vertrag und das, was der Kunde und seine Nutzer in CraftSlot einstellen und auslösen. Weitere Weisungen erteilt der Kunde in Textform.

(3) Der Anbieter verarbeitet die Daten nicht für eigene Zwecke. Er wertet sie nicht für eigene Zwecke aus, gibt sie nur an die Empfänger aus Anlage 3 und in den Fällen des § 13a Abs. 3 der AGB weiter und verkauft sie nicht; für den Einblick des Anbieters gilt Absatz 5. Echte Daten des Kunden verwendet der Anbieter nicht zum Training von KI-Modellen und gibt sie nicht in KI-Werkzeuge ein. Setzt er bei der Entwicklung und der Fehlersuche KI-Werkzeuge ein, arbeitet er mit künstlichen Musterdaten.

(4) Hält der Anbieter eine Weisung für rechtswidrig, sagt er das dem Kunden unverzüglich. Er darf die Ausführung aussetzen, bis der Kunde die Weisung bestätigt oder ändert.

(5) Meldungen und Einblick des Anbieters. Schickt ein Nutzer des Kunden dem Anbieter aus CraftSlot eine Meldung, ist das die Weisung, die Meldung mit ihrem Bild zu lesen und zu beantworten. Darüber hinaus sieht der Anbieter in die Daten des Kunden nur, soweit es nötig ist, um CraftSlot zu betreiben, eine Störung zu beheben oder die Sicherheit zu wahren — oder wenn der Kunde es verlangt. Einen Einblick über die Oberfläche des Betriebs („Zuschaltung“) gibt es nur, wenn die Geschäftsführung des Kunden ihn im Einzelfall in CraftSlot bestätigt hat; diese Bestätigung ist eine Weisung. Die Zuschaltung ist derzeit nicht eingeschaltet (Anlage 2 Nr. 13).

§ 3 Vertraulichkeit

(1) Zugang zu den Daten des Kunden haben beim Anbieter nur Personen, die ihn für die Leistung brauchen und die zur Vertraulichkeit verpflichtet sind oder einer gesetzlichen Verschwiegenheitspflicht unterliegen.

(2) Die Pflicht zur Vertraulichkeit gilt nach dem Ende des Vertrags weiter.

(3) Für alles, was der Anbieter sonst über den Betrieb des Kunden erfährt, gilt die Verschwiegenheit aus dem Hauptvertrag (AGB § 13a).

§ 4 Sicherheit der Verarbeitung

(1) Der Anbieter trifft die Maßnahmen, die nach Art. 32 DSGVO erforderlich sind. Sie stehen in Anlage 2.

(2) Der Anbieter darf die Maßnahmen ändern, wenn das Schutzniveau dadurch nicht sinkt. Wesentliche Änderungen teilt er dem Kunden mit.

(3) Der Kunde prüft, ob die Maßnahmen für seine Daten ausreichen. Er trifft selbst die Maßnahmen, die in seiner Hand liegen: Rollen vergeben, Zugänge schützen, den zweiten Faktor einschalten, ausgeschiedene Mitarbeiter deaktivieren, die Geräte seiner Mitarbeiter sichern.

§ 5 Weitere Auftragsverarbeiter

(1) Der Kunde genehmigt die weiteren Auftragsverarbeiter, die in Anlage 3 genannt sind.

(2) Will der Anbieter einen weiteren Auftragsverarbeiter hinzuziehen oder einen ersetzen, teilt er das dem Kunden vorher in Textform mit, mindestens 30 Tage vor der Änderung.

(3) Der Kunde kann nur aus einem wichtigen datenschutzrechtlichen Grund und nur innerhalb von 14 Tagen nach der Mitteilung Einspruch erheben. Der Anbieter bietet dann eine Alternative an. Gibt es keine zumutbare Alternative, kann der Kunde den Hauptvertrag zum Zeitpunkt der Änderung außerordentlich kündigen.

(4) Der Anbieter setzt einen weiteren Auftragsverarbeiter für Daten des Kunden erst ein, wenn er ihm durch Vertrag dieselben Datenschutzpflichten auferlegt hat, die in diesem Vertrag stehen; den Stand dieser Verträge nennt Anlage 3. Kommt ein weiterer Auftragsverarbeiter seinen Pflichten nicht nach, haftet der Anbieter dem Kunden dafür.

(5) Eine Verarbeitung außerhalb der EU und des EWR durch weitere Auftragsverarbeiter findet nur statt, wenn die Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind. Der Stand steht in Anlage 3.

§ 6 Rechte der betroffenen Personen

(1) Der Anbieter unterstützt den Kunden mit geeigneten technischen und organisatorischen Maßnahmen dabei, Anträge betroffener Personen zu beantworten (Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit, Widerspruch).

(2) Dafür stehen dem Kunden in CraftSlot insbesondere der Datenexport (Datentresor), die Stammdatenpflege und das Änderungsprotokoll zur Verfügung.

(3) Wendet sich eine betroffene Person direkt an den Anbieter, leitet er die Anfrage unverzüglich an den Kunden weiter und beantwortet sie nicht selbst.

§ 7 Unterstützung des Kunden, Datenpannen

(1) Der Anbieter unterstützt den Kunden bei dessen Pflichten nach Art. 32 bis 36 DSGVO, soweit es die Verarbeitung durch den Anbieter betrifft: Sicherheit der Verarbeitung, Meldung von Datenpannen, Datenschutz-Folgenabschätzung und vorherige Konsultation der Aufsichtsbehörde. Das heißt: Braucht der Kunde für eine dieser Pflichten Auskünfte oder Unterlagen über CraftSlot, bekommt er sie vom Anbieter.

(2) Wird dem Anbieter eine Verletzung des Schutzes personenbezogener Daten des Kunden bekannt, meldet er sie dem Kunden unverzüglich, in der Regel binnen 48 Stunden nach Kenntnis. Die Meldung nennt, soweit bekannt: was geschehen ist, welche Daten und wie viele Personen betroffen sind, welche Folgen zu erwarten sind und was der Anbieter dagegen getan hat.

(3) Die Meldung an die Aufsichtsbehörde und an die betroffenen Personen ist Sache des Kunden.

§ 8 Löschung und Rückgabe

(1) Rückgabe. Der Kunde kann seine Daten während der Vertragslaufzeit jederzeit selbst über den Datentresor in offenen Formaten exportieren. Nach dem Ende des Hauptvertrags stellt der Anbieter dem Kunden noch 30 Tage lang auf Anfrage in Textform einen Export seiner Daten in denselben Formaten bereit (AGB § 16 Abs. 1).

(2) Löschung nach der Testzeit. Folgt auf die kostenlose Testzeit (bis zum 10. des Monats nach dem ersten vollen Kalendermonat, AGB § 8 Abs. 6) kein Vertrag, löscht der Anbieter die Daten des Betriebs 14 Tage nach dem Ende der Testzeit.

Löschung nach dem Ende des Hauptvertrags. Der Anbieter löscht alle personenbezogenen Daten des Kunden, wenn die 30 Tage nach Absatz 1 abgelaufen sind — spätestens innerhalb von weiteren 14 Tagen. Verlangt der Kunde in dieser Zeit die Rückgabe, löscht der Anbieter erst, nachdem er den Export bereitgestellt hat; verlangt der Kunde es in Textform, löscht er früher. Soweit der Dienst, bei dem die Datenbank liegt (Anlage 3 Teil A Nr. 2), Sicherungskopien vorhält, kann der Anbieter sie nicht einzeln löschen; wie lange sie dort liegen, bestimmt dieser Dienst. Der Anbieter spielt sie nach der Löschung nicht wieder ein.

(3) Der Anbieter bestätigt die Löschung auf Wunsch in Textform.

(4) Nicht gelöscht wird, was der Anbieter nach dem Recht der EU oder Deutschlands aufbewahren muss. Für diese Daten gilt die Vertraulichkeit weiter.

(5) Während der Laufzeit löscht der Kunde Daten selbst, soweit CraftSlot das vorsieht. Das Änderungsprotokoll kann der Kunde nicht löschen; es dient dem Nachweis von Korrekturen. Braucht der Kunde eine Löschung, die er nicht selbst vornehmen kann, weist er den Anbieter in Textform an. Meldungen an den Anbieter kann der Kunde in CraftSlot nicht ändern und nicht löschen. Ein mitgeschicktes Bild können Geschäftsführung und Büro in CraftSlot entfernen; es wird dann gelöscht, der Text der Meldung bleibt, und das Änderungsprotokoll hält fest, wer es wann entfernt hat. Im Übrigen bleiben Meldungen gespeichert, bis die Daten des Kunden gelöscht werden; verlangt der Kunde die Löschung vorher, löscht der Anbieter von Hand (zu den Bildern siehe Anlage 2 Nr. 13).

§ 9 Nachweise und Kontrollen

(1) Der Anbieter stellt dem Kunden alle Informationen zur Verfügung, die nötig sind, um die Einhaltung von Art. 28 DSGVO nachzuweisen.

(2) Der Kunde darf die Einhaltung dieses Vertrags prüfen oder durch einen Prüfer prüfen lassen, der zur Verschwiegenheit verpflichtet ist. Der Anbieter ermöglicht die Prüfung und wirkt daran mit.

(3) Prüfungen vor Ort kündigt der Kunde mit angemessener Frist an. Sie finden zu üblichen Geschäftszeiten statt und nehmen Rücksicht auf den Betrieb und auf die Daten anderer Kunden. Den Aufwand, der dem Anbieter durch eine Prüfung nach Absatz 2 entsteht — Bereitstellen von Unterlagen, Beantworten von Fragen, Anwesenheit bei einer Prüfung vor Ort —, berechnet er dem Kunden mit 95 € je Stunde (Nettopreis, AGB § 8 Abs. 4). Nichts berechnet der Anbieter für die Auskünfte nach Absatz 1 und für eine Prüfung, die durch eine Verletzung des Schutzes personenbezogener Daten beim Anbieter veranlasst ist oder bei der sich zeigt, dass der Anbieter gegen diesen Vertrag oder gegen das Datenschutzrecht verstoßen hat.

(4) Prüft eine Aufsichtsbehörde beim Anbieter und betrifft das die Daten des Kunden, sagt der Anbieter es dem Kunden unverzüglich, soweit er das darf.

§ 10 Was nicht zur Auftragsverarbeitung gehört

(1) Programme, die der Kunde anbindet (MCP). Erlaubt der Kunde einem anderen Programm, Daten aus CraftSlot abzurufen, gibt der Anbieter die Daten auf Weisung des Kunden heraus. Der Hersteller dieses Programms ist kein weiterer Auftragsverarbeiter des Anbieters. Für diese Weitergabe und für das, was dort mit den Daten geschieht, ist der Kunde verantwortlich.

(2) Der Steuerberater des Kunden. Gibt der Kunde seinem Steuerberater einen Zugang, handelt der Steuerberater für den Kunden. Er ist kein weiterer Auftragsverarbeiter des Anbieters.

(3) Dienste, die ein Nutzer auf seinem Gerät aufruft. Dazu gehören die Navigation zum Kunden, die Kartenansicht, der Benachrichtigungsdienst des Browsers und das Kalenderprogramm, in dem ein Beschäftigter seine Termine abonniert. Sie stehen mit dem, was dabei übertragen wird, in Anlage 3, Teil B.

(4) Eigene Verarbeitung des Anbieters. In eigener Verantwortung verarbeitet der Anbieter nur, was er für den Hauptvertrag selbst braucht: die Angaben zum Kunden als Vertragspartner, die Zahl der angelegten und aktiven Mitarbeiter für die Abrechnung, seine Rechnungen, den Schriftverkehr, die Antworten auf Umfragen, die er Geschäftsführung und Büro in CraftSlot stellt, und die E-Mail, die ihn auf eine neue Meldung hinweist. Sie nennt den Betrieb, den Zeitpunkt und ob ein Bild dabei ist, und enthält einen Link in den Bereich des Anbieters — nicht den Inhalt der Meldung. Die Meldung selbst verarbeitet der Anbieter im Auftrag (Anlage 1).

(5) Eigene Speicher des Kunden. Der Kunde kann einen eigenen Speicher einrichten, um dort Dateien aus CraftSlot abzulegen und Dateien von dort mit einem Auftrag oder Kunden zu verknüpfen. Das geht auf zwei Wegen: als Ordner auf einem Rechner, den der Browser des Nutzers öffnet — den Ort dieses Ordners erfährt der Server von CraftSlot nicht —, oder als Speicher mit Internetadresse (WebDAV), an den der Server von CraftSlot die Dateien sendet und in dem er liest. Ziel und Zugang bestimmt der Kunde. Wer den Speicher betreibt, ist kein weiterer Auftragsverarbeiter des Anbieters. Einen Speicher mit Internetadresse richtet nur die Geschäftsführung ein; sie bestätigt dabei einen Hinweis, und CraftSlot hält die Bestätigung im Änderungsprotokoll fest. Abgelegt wird nur, wenn ein Nutzer des Kunden es auslöst. In einem Speicher mit Internetadresse liest CraftSlot nur, wenn ein Nutzer es auslöst. Bei einem Ordner auf einem Rechner sieht der Browser des Nutzers beim Öffnen einer Seite mit verknüpften Dateien nach, ob sie noch da sind (Name, Größe, Datum); das bleibt im Browser. Das Einrichten und jedes Ablegen sind Weisungen des Kunden (§ 2 Abs. 2). Für die Weitergabe der Dateien an den Speicher, für ihren Verbleib dort und für den Standort des Speichers ist der Kunde verantwortlich — auch dafür, ob er mit dem Betreiber des Speichers einen Vertrag braucht und was gilt, wenn der Speicher außerhalb der EU und des EWR liegt. Den Standort des Speichers prüft CraftSlot nicht. CraftSlot legt dort neue Dateien ab und ist so gebaut, dass es keine vorhandene Datei ersetzt; bei einem Speicher mit Internetadresse hängt das auch davon ab, dass der Speicher diese Vorgabe beachtet — CraftSlot misst es beim Prüfen der Verbindung und zeigt das Ergebnis an. CraftSlot ändert dort keine vorhandene Datei und löscht dort nur Dateien, die es selbst gerade angelegt hat: unfertige Dateien einer Ablage und die Prüfdateien der Verbindungsprüfung. Die Verweise auf Dateien in einem solchen Speicher und der Zugang zu ihm sind Daten des Kunden, die der Anbieter im Auftrag verarbeitet (Anlage 1); die Datei selbst liegt nicht bei CraftSlot.

§ 11 Haftung

Für die Haftung gegenüber betroffenen Personen gilt Art. 82 DSGVO. Zwischen Anbieter und Kunde gilt die Haftungsregelung des Hauptvertrags.

§ 12 Schluss

(1) In Fragen des Datenschutzes geht dieser Vertrag dem Hauptvertrag vor.

(2) Der Vertrag wird in elektronischer Form geschlossen (Art. 28 Abs. 9 DSGVO): Der Kunde stimmt ihm bei der Registrierung und beim Klick „Kostenpflichtig weiter nutzen“ mit einem Haken zu (AGB § 2 Abs. 2a und 3). Kommt der Hauptvertrag in Textform zustande (AGB § 2 Abs. 2c), wird dieser Vertrag zusammen mit ihm in Textform geschlossen. Der Anbieter hält fest, wer wann welcher Fassung zugestimmt hat.

(3) Änderungen dieses Vertrags brauchen die Zustimmung beider Seiten in Textform. Für Anlage 3 gilt § 5.

Anlage 1 — Gegenstand, Art und Zweck, Daten, Betroffene

1. Zweck der Verarbeitung

• Arbeitszeiten erfassen, prüfen und freigeben
• Zuschläge, Spesen und Pauschalen nach den Regeln des Kunden ermitteln; Zeiten und Mengen je Lohnart für die Lohnabrechnung durch den Steuerberater bereitstellen
• Abwesenheiten und Zeitkonten führen
• Aufträge, Termine und Einsätze planen und dokumentieren
• Angebote erstellen, Tickets von Kunden bearbeiten
• Benachrichtigungen versenden (Einladungen, Passwort-Mails, Erinnerungen)
• Meldungen des Kunden an den Anbieter annehmen und beantworten (Hilfe bei Störungen und Fragen)
• Änderungen nachvollziehbar protokollieren

2. Art der Verarbeitung

Erheben, Speichern, Ordnen, Auslesen, Berechnen, Anzeigen, Übermitteln an die vom Kunden bestimmten Empfänger, Exportieren, Löschen.

3. Betroffene Personen

• Beschäftigte des Kunden (Monteure, Büro, Geschäftsführung)
• Kunden des Kunden und deren Ansprechpartner, auch als Nutzer des Kundenportals
• der Steuerberater des Kunden und dessen Mitarbeiter, soweit sie einen Zugang haben
• Notfallkontakte der Beschäftigten
• Personen, die auf Fotos zu einem Auftrag zu sehen sind
• Personen, die für einen Kunden einen Tätigkeitsbericht unterschreiben

4. Art der Daten

• Stammdaten der Beschäftigten: Personalnummer, Name, Rolle, Eintrittsdatum, Kategorie; freiwillig: Anschrift, Telefon, E-Mail für die Erreichbarkeit, Geburtsdatum, Notfallkontakt (Name, Telefon)
• Zugangsdaten: E-Mail-Adresse für die Anmeldung, Passwort (nicht im Klartext), Angaben zum zweiten Faktor, Einladungen
• Vertragskonditionen: Stundenlohn, Sollstunden, Urlaubsanspruch, Vorschuss, vermögenswirksame Leistungen, Sonderzahlungen
• Zeiten: Buchungen mit Beginn, Ende, Zeitart und Auftrag; Korrekturen und Korrekturanträge mit Begründung; Freigaben
• Abwesenheiten: Urlaub, Freizeitausgleich, unbezahlte Abwesenheit, Berufsschule, Feiertag und Krankheit (nur die Tatsache und der Zeitraum, keine Diagnose)
• Spesen: Verpflegungspauschalen, Übernachtungen, sonstige Positionen, Fotos von Belegen
• Rufbereitschaft und Ferneinsätze
• Abrechnungsgrößen: Zeitkonto, bewertete Zeiten und Mengen je Lohnart, Monatsabschlüsse, Dateien für das Lohnprogramm, Rückfragen des Steuerberaters
• Kunden des Kunden: Name, Anschrift, Koordinaten der Anschrift, Ansprechpartner mit Kontaktdaten, Zugänge zum Kundenportal
• Aufträge und Planung: Aufträge, Termine, Zuteilungen, Tätigkeitsberichte, Checklisten mit Messwerten und Bemerkungen, Aufgaben
• Fotos am Auftrag mit Urheber und Zeitpunkt
• Unterschrift eines Kunden auf dem Tätigkeitsbericht mit Name in Druckschrift und Zeitpunkt
• Angebote und Tickets mit ihren Texten
• Protokolldaten: wer was wann geändert hat, mit altem und neuem Wert und Grund
• Gerätedaten für Erinnerungen: die Adresse, unter der der Benachrichtigungsdienst des Browsers das Gerät erreicht, und die zugehörigen Schlüssel — nur, wenn der Beschäftigte Erinnerungen selbst einschaltet
• Angaben zum Gerät eines Beschäftigten, soweit CraftSlot sie festhält
• Fahrzeuge und Geräte des Betriebs mit Kennzeichen oder Hinweis
• Firmenangaben für das Angebot: Vertretung, Telefon, E-Mail, Steuernummer, Bankverbindung des Betriebs
• Vermerke zu Terminerinnerungen an Kunden: an wen, wann, mit welchem Ergebnis
• Angebundene Programme: welches Programm, von wem verbunden, mit welchen Rechten; Zahl der Abrufe je Tag
• Meldungen an den Anbieter: der Text der Meldung, Name und Rolle der meldenden Person, der Zeitpunkt, die Seite, von der aus gemeldet wurde (nur der Pfad), die Angabe des Browsers über sich selbst (gekürzt), die Fenstergröße und der Stand des Programms im Browser (eine kurze Kennung des Baus); wenn die Person eines mitschickt, ein Bild des Bildschirms (Screenshot); dazu die Antwort des Anbieters mit Name und Zeitpunkt. Text und Bild können alles enthalten, was die Person schreibt oder was auf ihrem Bildschirm steht — auch Namen, Löhne, Abwesenheiten und Daten von Kunden
• Zuschaltungen des Anbieters (derzeit nicht eingeschaltet, Anlage 2 Nr. 13): wer angefragt hat und aus welchem Anlass, wer bestätigt, abgelehnt oder beendet hat, die Zeitpunkte, die Fassung des bestätigten Hinweises, ob Bilder erlaubt wurden und wie viele abgerufen wurden
• Zugang zu einem eigenen Speicher des Betriebs (nur bei einem Speicher mit Internetadresse, WebDAV): Adresse, Benutzer und Passwort — das Passwort verschlüsselt —, dazu wer den Hinweis wann bestätigt hat und das Ergebnis der letzten Verbindungsprüfung. Bei einem Ordner auf einem Rechner speichert CraftSlot für den Speicherort selbst nur den Namen, den der Betrieb ihm gibt, nicht den Ort des Ordners
• Verweise auf Dateien und Ordner in einem eigenen Speicher: Name, Pfad innerhalb des Speichers, Größe und Änderungsdatum, der Auftrag oder Kunde, zu dem der Verweis gehört, und wer ihn angelegt hat; bei einem Ordner auf einem Rechner für Dateien bis 64 MB zusätzlich eine Prüfsumme und der Name des Ordners, der beim Verknüpfen an jenem Rechner gewählt war (nicht sein Ort); bei einem Speicher mit Internetadresse ein Fingerabdruck der Adresse, aus dem sich die Adresse nicht ablesen lässt. Namen und Pfade können Namen von Personen enthalten. Die Datei selbst speichert CraftSlot nicht
• Kalender-Abo (nur, wenn die Geschäftsführung es erlaubt und ein Beschäftigter es einrichtet): eine Prüfsumme der persönlichen Adresse — nicht die Adresse selbst — und grob, wann zuletzt abgerufen wurde
• Importe: Angaben zu jedem Importlauf und die dabei übernommenen Daten
• IP-Adressen: kurzzeitig zur Begrenzung von Einladungsversuchen; in den Protokollen der Server (was sie festhalten und wie lange, steht in der Datenschutzerklärung, Abschnitt 3)

5. Besondere Kategorien (Art. 9 DSGVO)

Die Angabe, dass und wann ein Beschäftigter krank war, ist ein Gesundheitsdatum. Fotos, Berichte und Freitextfelder können weitere solche Angaben enthalten, wenn Nutzer sie eintragen. Auch eine Meldung an den Anbieter oder ihr Bild kann solche Angaben zeigen. Der Kunde sorgt dafür, dass er diese Daten verarbeiten darf.

6. Was CraftSlot nicht verarbeitet

• keine Sozialversicherungsnummer, Steuer-Identifikationsnummer, Bankverbindung der Beschäftigten, Krankenkasse, Konfession und keine Kinderfreibeträge — dafür gibt es keine Felder
• keinen Standortverlauf und keine Bewegungsprofile. Der Buchungsvorschlag am Standort gleicht auf dem Gerät des Beschäftigten ab; die Position wird nicht an CraftSlot übertragen

Anlage 2 — Technische und organisatorische Maßnahmen

Hier steht, was gebaut und eingerichtet ist. Wo der Anbieter etwas nicht zusagt, steht das ausdrücklich da.

1. Trennung der Kunden

• Jede Tabelle mit Daten eines Betriebs trägt die Kennung dieses Betriebs. Lesende Zugriffe begrenzt die Datenbank selbst durch Regeln nach Betrieb und Rolle (Row Level Security) — nicht nur die Oberfläche.
• Diese Regeln werden automatisiert getestet: Eine falsche Rolle und ein fremder Betrieb dürfen keine Daten lesen.
• Auch beim Schreiben achtet die Datenbank auf die Grenze zwischen den Betrieben: Wo ein Datensatz fest mit einem anderen verknüpft ist (zum Beispiel ein Tätigkeitsbericht mit seinem Auftrag oder eine Zeitbuchung mit ihrem Mitarbeiter), nimmt die Datenbank die Verknüpfung nur an, wenn beide zu demselben Betrieb gehören. Ein automatisierter Test prüft, dass diese Regel für jede solche feste Verknüpfung zwischen Daten der Betriebe eingerichtet ist. Für Dateien und für Angaben, die nicht fest verknüpft sind, gelten die Regeln nach Betrieb und Rolle aus dem ersten Punkt.
• Dateien (Belege, Fotos, Exportdateien) liegen in nicht öffentlichen Speicherbereichen, getrennt nach Betrieb. Abgerufen werden sie über Adressen, die nur kurze Zeit gelten.

2. Rollen und Zugriff

• Rollen: Monteur, Büro, Geschäftsführung, Steuerberater, Kunde im Portal. Ein Monteur sieht nur seine eigenen Daten und das, was ihm zugeteilt ist.
• Der Steuerberater sieht nur die Betriebe, die ihn zugeordnet haben, und dort nur die Lohnseite — keine Kunden, Aufträge, Angebote und keine privaten Kontaktdaten der Beschäftigten.
• Empfindliche Vorgänge laufen nur über feste, geprüfte Wege: Zeiten korrigieren, Tage freigeben, den Monat abschließen, Abwesenheiten entscheiden.
• Der Schlüssel mit vollen Datenbankrechten wird nur auf dem Server verwendet, nie in der Anwendung im Browser oder auf dem Telefon.

3. Anmeldung

• Ein Konto entsteht über eine Einladung: Weitere Konten lädt der Betrieb ein; das erste Konto eines Betriebs, der sich selbst registriert, entsteht über die Einladung, die mit der Bestätigung der Registrierung erzeugt wird. Einladungen laufen ab.
• Zweiter Faktor (Authenticator-App): für Steuerberater Pflicht. Jeder Betrieb kann ihn für Büro und Geschäftsführung zur Pflicht machen; für Monteure gilt diese Pflicht nicht.
• Ein deaktivierter Mitarbeiter erhält bei der nächsten Anmeldung keine Rechte mehr. Eine schon laufende Sitzung endet spätestens mit dem Ablauf ihres Zugangs.

4. Nachvollziehbarkeit

• Änderungsprotokoll: Korrekturen an Zeiten, Änderungen an Lohnregeln, Vertragskonditionen und Preisregeln, Exporte und Freigaben für andere Programme werden mit Urheber, Zeitpunkt, altem und neuem Wert festgehalten. Nutzer können das Protokoll weder ändern noch löschen noch selbst hineinschreiben.
• Ein abgeschlossener Monat ist gesperrt, bis die Geschäftsführung den Abschluss zurücknimmt; seine Zahlen und Regeln sind bis dahin eingefroren.

5. Übertragung

• Büro-Anwendung und Monteur-App sind nur verschlüsselt erreichbar (HTTPS, mit der Vorgabe an den Browser, künftig nur noch verschlüsselt zu verbinden).
• Erinnerungen auf das Telefon sind Ende-zu-Ende verschlüsselt und enthalten nur den Anlass, keine Namen, Kunden oder Zeiten.

6. Datensparsamkeit

• Für Daten, die nur die Lohnabrechnung braucht (Bankverbindung, Sozialversicherungsnummer und Ähnliches), gibt es keine Felder.
• Kein Standort wird an CraftSlot übertragen.
• Büro und Geschäftsführung sehen nicht, welcher Beschäftigte Erinnerungen eingeschaltet hat.
• Aus Fotos am Auftrag werden die Aufnahmedaten der Kamera, auch ein Standort, vor dem Speichern entfernt.

7. Angebundene Programme (MCP)

• Nur nach Genehmigung durch die Geschäftsführung; nur durch benannte Personen; Rechte je Programm und Bereich, nichts ist vorausgewählt.
• Ein Programm kann die Daten des Betriebs nur lesen. Die Datenbank setzt das durch. Diese Sperre betrifft die Daten des Betriebs. Das eigene Konto des Nutzers, in dessen Namen das Programm verbunden ist (zum Beispiel sein Passwort), verwaltet der Anmeldedienst; es ist von dieser Sperre nicht erfasst.
• Ein Widerruf wirkt mit der nächsten Anfrage des Programms: Es liest dann keine Daten des Betriebs mehr.
• Abrufe über den MCP-Server werden gezählt und sind je Tag begrenzt; direkte Abrufe an der Daten-API unterliegen denselben Rechten, werden aber nicht gezählt.

8. Verfügbarkeit und Wiederherstellung

• Der Kunde kann jederzeit alle seine Daten selbst exportieren (Datentresor).
• Die Monteur-App speichert Buchungen auf dem Gerät und überträgt sie, sobald eine Verbindung besteht.
• Eine eigene Datensicherung mit erprobter Wiederherstellung sagt der Anbieter derzeit nicht zu (AGB § 11 Abs. 1). Der Kunde sichert, was er braucht, selbst über den Datentresor (AGB § 5 Abs. 7).

9. Verschlüsselung gespeicherter Daten

• Passwörter der Nutzer werden nicht im Klartext gespeichert.
• Das Passwort für einen eigenen Speicher des Kunden wird verschlüsselt gespeichert (Nr. 12).
• Eine Verschlüsselung der übrigen gespeicherten Daten sagt der Anbieter nicht zu. Ob der Dienst, bei dem Datenbank und Dateien liegen (Anlage 3), sie verschlüsselt ablegt, richtet sich nach dessen Angaben.

10. Betrieb der Server

• Die Anwendung und den Webserver betreibt der Anbieter selbst auf den Servern aus Anlage 3; Datenbank, Anmeldung und Dateiablage betreibt der dort genannte Dienst.
• Zusagen zu festen Abständen für Aktualisierungen oder zu einer Überwachung rund um die Uhr macht der Anbieter nicht.

11. Organisation

• Zugang zu den Daten der Kunden hat beim Anbieter nur der Inhaber, sonst niemand. Das gilt auch für den Bereich des Anbieters in CraftSlot (Betriebe, Rechnungen, Meldungen).
• Datenpannen meldet der Anbieter dem Kunden unverzüglich, in der Regel binnen 48 Stunden nach Kenntnis (§ 7 Abs. 2).
• Künftige Mitarbeiter und Dienstleister mit Zugang zu Kundendaten verpflichtet der Anbieter vor dem ersten Zugriff schriftlich zur Vertraulichkeit.
• Der Anbieter überprüft diese Maßnahmen mindestens einmal im Jahr und passt sie an, wenn es nötig ist (§ 4 Abs. 2).

12. Eigene Speicher des Kunden

• Einen Speicher mit Internetadresse (WebDAV) richtet nur die Geschäftsführung ein. Sie bestätigt dabei je Speicher einen Hinweis; welche Fassung sie bestätigt hat, steht im Änderungsprotokoll. Wird später eine Adresse mit einem anderen Rechnernamen eingetragen, verlangt CraftSlot eine neue Bestätigung.
• Das Passwort für einen solchen Speicher wird verschlüsselt gespeichert (AES-256-GCM). Der Schlüssel dazu liegt nicht in der Datenbank. Das verschlüsselte Passwort ist an den Betrieb und den Speicher gebunden: In einen anderen Eintrag kopiert, lässt es sich nicht öffnen. Angezeigt wird das Passwort nirgends wieder. Diese Zusage gilt nur für dieses Passwort; für alle anderen gespeicherten Daten gilt Nr. 9.
• Das Passwort kann kein Nutzer auslesen. Die vollständige Adresse und den Benutzer zeigt CraftSlot nur der Geschäftsführung; der Name des Rechners kann in Fehlermeldungen auch dem Büro erscheinen. Über die Datenschnittstelle sind die Zugangsdaten für keinen Nutzer lesbar, auch nicht für die Geschäftsführung, und für angebundene Programme (MCP) sind sie nicht erreichbar. Im Änderungsprotokoll stehen nur der Name des Rechners und der Port, nicht Benutzer, Passwort oder die vollständige Adresse. Im Datenexport stehen die Zugangsdaten nicht.
• Der Server von CraftSlot verbindet sich nur verschlüsselt (HTTPS) und nur mit Adressen im öffentlichen Internet — nicht mit Adressen im eigenen Netz des Anbieters oder in einem privaten Netz. Das Zertifikat des Speichers muss von einer anerkannten Stelle stammen; Weiterleitungen folgt der Server nicht. Die Anmeldung wird erst gesendet, wenn Adresse und Zertifikat geprüft sind.
• Abgelegt wird nur, wenn ein Nutzer es auslöst; in einem Speicher mit Internetadresse wird auch nur dann gelesen. Bei einem Ordner auf einem Rechner sieht der Browser des Nutzers beim Öffnen einer Seite mit verknüpften Dateien selbst nach, ob sie noch da sind. Ablegen können Büro und Geschäftsführung. Lesen kann das Büro in einem Speicher mit Internetadresse erst, wenn die Geschäftsführung es für diesen Speicher freigegeben hat; die Freigabe endet, wenn Adresse oder Benutzer des Zugangs geändert werden. Angebundene Programme (MCP) und die Monteur-App haben keinen Zugriff auf eigene Speicher.
• Bei einem Speicher mit Internetadresse schreibt CraftSlot eine Datei zuerst unter einem eigenen Zwischennamen, misst ihre Größe nach und benennt sie erst dann um, ohne eine vorhandene Datei zu ersetzen. Ob der Speicher diese Vorgabe beachtet, misst die Verbindungsprüfung; die Oberfläche zeigt das Ergebnis. Bei einem Ordner auf einem Rechner wählt CraftSlot einen freien Namen und schreibt direkt; bricht das Schreiben ab, kann eine unvollständige Datei zurückbleiben — die Meldung nennt sie.
• Eine Datei, die der Server aus einem Speicher liest, reicht er an den Browser des Nutzers weiter und speichert sie nicht. Im Browser wird sie nur als PDF, Bild oder einfacher Text angezeigt; alles andere wird nur zum Herunterladen angeboten.
• Was CraftSlot nicht leistet: Ob eine abgelegte Datei auf dem Speicher erhalten bleibt, wer sie dort liest und wo der Speicher steht, liegt nicht in der Hand des Anbieters. Abgelegt heißt nicht gesichert.

13. Meldungen an den Anbieter und Einblick des Anbieters

• Melden können nur Geschäftsführung und Büro. Monteure, Steuerberater, Kunden im Portal und angebundene Programme (MCP) können es nicht.
• Mit der Meldung geht nur hinaus, was das Formular vor dem Senden zeigt: der Text, Name, Rolle und Betrieb der meldenden Person, die Seite, der Browser, die Fenstergröße und der Stand des Programms. Ein Bild geht nur mit, wenn die Person es selbst einfügt oder auswählt; CraftSlot nimmt kein Bild von sich aus auf.
• Das Bild speichert der Browser vor dem Hochladen neu als JPEG (höchstens 5 MB). Es liegt in einem nicht öffentlichen Speicherbereich, getrennt nach Betrieb. Im Betrieb sehen Geschäftsführung und Büro die Meldungen und ihre Bilder.
• Die E-Mail, die den Anbieter auf eine neue Meldung hinweist, enthält weder den Text noch das Bild noch den Namen der meldenden Person — nur den Betrieb, den Zeitpunkt, die Angabe, ob ein Bild dabei ist, und einen Link in den Bereich des Anbieters.
• Je Meldung gibt es höchstens eine Antwort des Anbieters; er kann eine Meldung auch ohne Antworttext als erledigt vermerken. Danach lässt sich beides nicht mehr ändern. Der Person, die gemeldet hat, wird darüber eine E-Mail an ihre Anmeldeadresse geschickt, solange sie im Betrieb noch Geschäftsführung oder Büro ist; sie enthält weder die Meldung noch die Antwort, nur den Zeitpunkt der Meldung und einen Link in CraftSlot. Die Adresse wird dafür nicht gesondert gespeichert. Eine Antwortzeit ist damit nicht zugesagt. Der Betrieb kann eine Meldung nicht ändern und nicht löschen; ein mitgeschicktes Bild können Geschäftsführung und Büro entfernen (§ 8 Abs. 5). Die Meldung steht im Datenexport (Datentresor), mit ihrem Bild, solange es nicht entfernt ist.
• Aufbewahrung: bis die Daten des Betriebs gelöscht werden, vorher nur auf Weisung (§ 8 Abs. 5). Ist der Zugang des Betriebs eingeschränkt (wegen einer offenen Rechnung oder nach dem Ende der Testzeit, AGB § 2 Abs. 2 und § 10 Abs. 4 und 5), kann der Betrieb ein Bild nicht selbst entfernen; er weist den Anbieter an. Der Anbieter entfernt das Bild dann von Hand; im Änderungsprotokoll des Betriebs steht diese Entfernung nicht.
• Löscht der Anbieter die Daten eines Betriebs (§ 8), entfernt er dessen Dateien — Bilder zu Meldungen, Beleg-Fotos, Fotos an Aufträgen, Logos und Exportdateien — von Hand. Einen Lauf, der das von selbst erledigt, gibt es nicht.
• Wer beim Anbieter Zugang zu seinem Bereich in CraftSlot hat (Betriebe, Rechnungen, Meldungen), steht in Nr. 11.
• Zuschaltung — derzeit nicht eingeschaltet. Schaltet der Anbieter sie ein, gilt: Der Anbieter fragt mit einem Anlass an; nur die Geschäftsführung kann bestätigen oder ablehnen und liest vorher einen Hinweis. Danach kann der Anbieter für eine begrenzte Zeit lesen, was die Geschäftsführung sieht — auch Löhne. Die Dauer nennt der Hinweis vor der Bestätigung. Ändern, Anlegen und Löschen sind über diesen Zugang gesperrt; das setzt die Datenbank durch. Dateien aus dem Speicher und Dokumente zum Herunterladen (Angebot als PDF, Auftragsakte, Abrechnung, Exporte) sind über diesen Zugang nicht abrufbar. Einzige Ausnahme: Beleg-Fotos der Spesen und Fotos an Aufträgen — nur, wenn die Geschäftsführung es bei der Bestätigung eigens ankreuzt (nicht vorausgewählt), nur als Bild ohne die mitgespeicherten Aufnahmedaten wie Ort und Zeit (ein Farbprofil bleibt) und nur, solange die Zuschaltung läuft; darauf können Personen, Räume, Kennzeichen und Adressen zu sehen sein. Geschäftsführung und Büro können jederzeit beenden. Anfrage, Bestätigung, Ablehnung und Ende stehen im Änderungsprotokoll des Betriebs, ebenso, ob Bilder erlaubt wurden; an der Zuschaltung steht, wie viele Bilder abgerufen wurden (nicht, welche). Welche Seiten der Anbieter in dieser Zeit ansieht, wird nicht festgehalten.
• Was die Zuschaltung nicht ist: Sie regelt den Einblick über die Oberfläche des Betriebs. Als Betreiber von CraftSlot hat der Anbieter technisch weiter Zugang zu den gespeicherten Daten; dafür gelten § 2 und § 3.

Anlage 3 — Weitere Auftragsverarbeiter und andere Empfänger

Teil A — Weitere Auftragsverarbeiter

Stand der Verträge. Mit allen vier Dienstleistern dieser Liste besteht ein Vertrag über Auftragsverarbeitung (Stand 09.10.2026); wie er zustande gekommen ist, steht beim jeweiligen Dienst. Was unten zu Gesellschaft, Speicherort, Unterauftragsverarbeitern und Ländern außerhalb der EU steht, stammt aus den veröffentlichten Vertragsunterlagen der Dienstleister (Stand 09.10.2026).

Eine KI-Assistenz von CraftSlot gibt es noch nicht. Wird sie eingeführt, nimmt der Anbieter den Dienst, über den sie läuft, nach § 5 Abs. 2 in diese Liste auf — vorher verarbeitet er über einen solchen Dienst keine Daten.

Teil B — Andere Empfänger (keine Auftragsverarbeiter des Anbieters)

Diese Dienste erhalten Daten nur, wenn ein Nutzer des Kunden die Funktion benutzt. Der Anbieter hat mit ihnen keinen Vertrag über Auftragsverarbeitung.

• Adresssuche für die Kundenkarte (Nominatim, OpenStreetMap Foundation): Klickt ein Nutzer im Büro auf die Koordinatensuche zu einer Anschrift, sendet der Server von CraftSlot diese Anschrift — ohne Namen — an den Dienst und erhält Koordinaten zurück. Es gibt keinen automatischen Abgleich des Kundenstamms. Jeder solche Klick ist eine Weisung des Kunden (§ 2 Abs. 2). Der Anbieter hat mit der OpenStreetMap Foundation keinen Vertrag; wo sie die Anfrage verarbeitet, bestimmt sie — das kann außerhalb der EU und des EWR sein. Der Kunde entscheidet selbst, ob er die Suche für eine Anschrift nutzt.
• Kartenbilder (OpenStreetMap): Öffnet ein Nutzer im Büro die Kundenkarte, lädt sein Browser die Kartenbilder direkt von den Servern von OpenStreetMap. Dabei werden seine IP-Adresse und der Kartenausschnitt übertragen.
• Navigation zum Kunden: Tippt ein Nutzer auf die Navigation, öffnet sein Gerät einen Kartendienst und übergibt die Anschrift des Kunden. Auf Android öffnet sich die Karten-App, die auf dem Gerät eingestellt ist — meist Google Maps. Auf dem iPhone ist es Apple Karten, am Rechner die Suche von OpenStreetMap. An zwei Stellen führt der Link immer zu Google Maps. Der Kartendienst erhält dabei die Anschrift und die IP-Adresse des Geräts; Google und Apple können Daten außerhalb der EU verarbeiten.
• Erinnerungen auf dem Telefon (Web-Push): Schaltet ein Beschäftigter Erinnerungen ein, stellt der Benachrichtigungsdienst des Browserherstellers sie zu (zum Beispiel Google, Apple oder Mozilla). Der Server von CraftSlot sendet dorthin eine verschlüsselte Nachricht. Der Dienst sieht die Geräteadresse, die Größe und den Zeitpunkt, nicht den Inhalt. Diese Dienste können Daten außerhalb der EU verarbeiten.
• Kalender-Abo: Nur wenn die Geschäftsführung es für den Betrieb erlaubt, kann ein Beschäftigter eine persönliche Adresse erzeugen, über die ein Kalenderprogramm seiner Wahl seine eigenen Termine abruft. Übertragen werden je Termin Titel, Zeit, Ort (der eingetragene Ort, sonst die Anschrift des Kunden) und zugeordnete Fahrzeuge und Geräte — keine Notiz, keine Kollegen, kein Kundenname, kein Auftrag. Welches Kalenderprogramm das ist und wo dessen Anbieter die Termine speichert, bestimmt der Beschäftigte; das kann außerhalb der EU sein. Der Abruf ist nur lesend. Stellt die Geschäftsführung das Kalender-Abo ab, werden alle Adressen des Betriebs gelöscht.
• Programme, die der Kunde anbindet (MCP): siehe § 10 Abs. 1.
• Eigene Speicher des Kunden: siehe § 10 Abs. 5. Bei einem Speicher mit Internetadresse (WebDAV) sendet der Server von CraftSlot die Datei, die ein Nutzer ablegt, an die Adresse, die der Kunde eingetragen hat, und meldet sich dort mit dem Zugang des Kunden an. Wer den Speicher betreibt und wo er steht, bestimmt der Kunde; der Anbieter weiß es nicht.