Auftrags­verarbeitungs­vertrag

Stand: 29. September 2026 · Version 1

Vertrag über die Verarbeitung personenbezogener Daten im Auftrag nach Art. 28 der Datenschutz-Grundverordnung (DSGVO)

zwischen dem Betrieb, der Baumelder nutzt, als Verantwortlichem (im Folgenden „Kunde“)

und OAKMIND, Inhaber Steffen Göttle, Josef-Klarl-Allee 6, 89601 Schelklingen, Deutschland, E-Mail: [email protected], als Auftragsverarbeiter (im Folgenden „OAKMIND“).

Der Kunde schließt diesen Vertrag bei der Registrierung ab. Er gilt für den dabei angelegten Betrieb und ergänzt die Allgemeinen Geschäftsbedingungen (Hauptvertrag).

§ 1 Gegenstand und Dauer

1. OAKMIND verarbeitet personenbezogene Daten im Auftrag des Kunden, um Baumelder nach dem Hauptvertrag bereitzustellen.
2. Der Vertrag beginnt mit der Registrierung und gilt, solange OAKMIND personenbezogene Daten des Kunden verarbeitet, also bis zu ihrer vollständigen Löschung nach § 10, auch über das Ende des Hauptvertrags hinaus.
3. Nicht Gegenstand dieses Vertrags sind Verarbeitungen, für die OAKMIND selbst verantwortlich ist, insbesondere Registrierung, Vertragsverwaltung und Abrechnung gegenüber dem Kunden, Anfragen an den Support, die Website und die Abwehr von Missbrauch. Dafür gilt die Datenschutzerklärung.
4. Der Kunde ist für die Rechtmäßigkeit der Verarbeitung verantwortlich. Er sorgt insbesondere für eine Rechtsgrundlage, informiert seine Beschäftigten und seine Kunden nach Art. 13 und 14 DSGVO, beteiligt einen vorhandenen Betriebsrat vor der Einführung, führt bei Bedarf eine Datenschutz-Folgenabschätzung durch und legt die Aufbewahrungsfristen für seine Daten fest. Er hat die Rechte aus diesem Vertrag, insbesondere Weisungen zu erteilen (§ 4) und Kontrollen durchzuführen (§ 11).

§ 2 Art und Zweck der Verarbeitung

1. Zweck ist der Betrieb von Baumelder als Software für Handwerksbetriebe: Arbeitszeiterfassung, Urlaub und Abwesenheiten, Baustellenmeldungen mit Foto und Sprache, Rapporte, Aufträge und Aufgaben, Einsatzplanung und Kalender, Aufmaß, Angebote, Nachträge, Rechnungen, Zahlungen und Mahnungen, Wartung und Prüfprotokolle, Kundenverwaltung, Artikelstamm, Freigaben durch Kunden des Kunden, Exporte für Lohnbüro und Steuerberatung, Benachrichtigungen und der Versand von E-Mails im Namen des Kunden.
2. Art der Verarbeitung: Speichern, Übertragen zwischen Geräten und Server, Anzeigen, automatisches Auswerten, Verknüpfen, Erzeugen von Dokumenten (etwa PDF, XRechnung, ZUGFeRD), Versenden, Exportieren, Sichern, Wiederherstellen und Löschen sowie Fehlersuche im Rahmen des Supports.
3. Die Verarbeitung findet auf einem von OAKMIND selbst betriebenen Server in Deutschland statt. Auf den Geräten der Nutzer (iPhone, Browser) werden Daten zwischengespeichert, damit Baumelder ohne Netz arbeitet. Sprache zu Text und Text auf Fotos erkennt die iPhone-App auf dem Gerät selbst. Serverseitige Auswertungen, etwa Beschreibungen von Fotos oder Textvorschläge, laufen mit einem Sprachmodell auf dem Server von OAKMIND; dabei werden keine Daten an Dritte übermittelt, sofern der Kunde nicht selbst einen Dienst verbindet (Anlage 2, Teil B).
4. OAKMIND verwendet die Daten nicht für eigene Zwecke und nicht zum Training von KI-Modellen.

§ 3 Daten und betroffene Personen

Kategorien betroffener Personen

• Beschäftigte des Kunden und andere für ihn tätige Personen, auch ohne eigenen Zugang (etwa Monteure, Büro, Vorarbeiter, Inhaber, Auszubildende, Aushilfen)
• Kunden des Kunden und deren Ansprechpartner
• Empfänger von Angeboten, Rechnungen, Rapporten und Freigabelinks sowie Personen, die vor Ort unterschreiben
• Personen, die auf Fotos, in Sprachaufnahmen, Dokumenten oder Notizen vorkommen
• Ansprechpartner bei Lieferanten und Großhändlern, soweit in Artikel- oder Angebotsdaten enthalten

Arten personenbezogener Daten

Nicht verarbeitet werden Standortdaten der Beschäftigten (Baumelder fragt kein GPS ab), Diagnosen, Leistungs- oder Verhaltensauswertungen und heimliche oder dauernde Tonaufnahmen. Die App nimmt nur auf, wenn jemand bewusst auf „Sprechen“ tippt.

§ 4 Weisungen

1. OAKMIND verarbeitet die Daten nur auf dokumentierte Weisung des Kunden, auch soweit Daten in ein Land außerhalb der EU oder des EWR übermittelt werden (Anlage 2), es sei denn, OAKMIND ist nach dem Recht der Union oder eines Mitgliedstaats zur Verarbeitung verpflichtet; dann teilt OAKMIND dem Kunden diese Pflicht vorher mit, soweit das Gesetz das nicht verbietet.
2. Weisungen sind der Hauptvertrag, dieser Vertrag sowie die Einstellungen und Handlungen des Kunden und seiner Nutzer in Baumelder, etwa das Anlegen, Übernehmen, Versenden, Exportieren oder Löschen von Daten und das Verbinden eines Kalenders oder eines OpenAI-Kontos. Weitere Weisungen erteilt der Inhaber-Zugang des Kunden in Textform an [email protected]; OAKMIND bewahrt sie für die Dauer dieses Vertrags auf.
3. Hält OAKMIND eine Weisung für rechtswidrig, weist OAKMIND den Kunden unverzüglich darauf hin und darf die Ausführung aussetzen, bis der Kunde sie bestätigt oder ändert.

§ 5 Vertraulichkeit

1. OAKMIND gewährt Zugang zu den Daten nur Personen, die zur Vertraulichkeit verpflichtet sind oder einer gesetzlichen Verschwiegenheitspflicht unterliegen. Derzeit hat ausschließlich der Inhaber von OAKMIND administrativen Zugriff auf Server und Datenbank.
2. OAKMIND greift auf Inhalte des Kunden nur zu, soweit es für den Betrieb, die Datensicherung oder die Bearbeitung einer Störung oder Anfrage des Kunden nötig ist.
3. Ansprechpartner für den Datenschutz ist Steffen Göttle, [email protected]. Ein Datenschutzbeauftragter ist nicht benannt.

§ 6 Sicherheit der Verarbeitung

1. OAKMIND trifft die technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO, die in Anlage 1 beschrieben sind.
2. OAKMIND darf die Maßnahmen an den Stand der Technik anpassen, solange das Schutzniveau nicht sinkt. Wesentliche Änderungen dokumentiert OAKMIND und teilt sie dem Kunden auf Anfrage mit.

§ 7 Unterauftragsverarbeiter

1. Der Kunde genehmigt die in Anlage 2, Teil A genannten Unterauftragsverarbeiter.
2. Will OAKMIND einen weiteren Unterauftragsverarbeiter einsetzen oder einen bestehenden ersetzen, informiert OAKMIND den Kunden mindestens vier Wochen vorher per E-Mail an die hinterlegte Adresse des Betriebs, mit Name, Anschrift, Zweck, Ort der Verarbeitung und Garantie für Übermittlungen. Der Kunde kann bis zum Ablauf dieser Frist in Textform aus wichtigem datenschutzrechtlichem Grund widersprechen; ohne Widerspruch gilt die Änderung als genehmigt. Einigen sich die Parteien nach einem Widerspruch nicht, kann der Kunde den Hauptvertrag zum Zeitpunkt des Wechsels kündigen.
3. OAKMIND verpflichtet jeden Unterauftragsverarbeiter vertraglich auf Datenschutzpflichten, die denen dieses Vertrags entsprechen, und haftet gegenüber dem Kunden dafür, dass der Unterauftragsverarbeiter sie einhält. Die Listen der weiteren Unterauftragsverarbeiter dieser Anbieter sind in Anlage 2 verlinkt.
4. Übermittlungen in Länder außerhalb der Europäischen Union oder des Europäischen Wirtschaftsraums erfolgen nur, wenn die Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind, etwa auf Grundlage eines Angemessenheitsbeschlusses oder von Standardvertragsklauseln.
5. Keine Unterauftragsverarbeitung sind Dienste, die der Kunde selbst mit Baumelder verbindet (Anlage 2, Teil B), Dienste, die als eigene Verantwortliche handeln (Anlage 2, Teil C), sowie reine Transportleistungen ohne Zugriff auf die Daten.

§ 8 Unterstützung des Kunden

1. OAKMIND unterstützt den Kunden mit geeigneten Maßnahmen bei der Beantwortung von Anfragen betroffener Personen (Art. 12 bis 22 DSGVO). Baumelder bietet dafür insbesondere den vollständigen Export der Daten des Betriebs, die Anzeige des eigenen Arbeitszeitkontos für jede beschäftigte Person, das Berichtigen von Stammdaten und das Löschen des eigenen Zugangs.
2. Wendet sich eine betroffene Person direkt an OAKMIND, leitet OAKMIND die Anfrage unverzüglich an den Kunden weiter und beantwortet sie nicht selbst, es sei denn, der Kunde weist das an.
3. OAKMIND unterstützt den Kunden unter Berücksichtigung der verfügbaren Informationen bei den Pflichten nach Art. 32 bis 36 DSGVO, insbesondere bei einer Datenschutz-Folgenabschätzung.

§ 9 Meldung von Verletzungen

1. OAKMIND meldet dem Kunden eine Verletzung des Schutzes personenbezogener Daten unverzüglich, nachdem sie OAKMIND bekannt geworden ist, möglichst innerhalb von 24 Stunden, per E-Mail an die hinterlegte Adresse des Betriebs.
2. Die Meldung enthält, soweit bekannt, die Angaben nach Art. 33 Abs. 3 DSGVO. Fehlende Angaben reicht OAKMIND unverzüglich nach.
3. OAKMIND ergreift unverzüglich Maßnahmen zur Eindämmung und Aufklärung und stimmt sich dazu mit dem Kunden ab. Die Meldung an die Aufsichtsbehörde und die Benachrichtigung betroffener Personen obliegen dem Kunden.

§ 10 Löschung und Rückgabe

1. Nach Wahl des Kunden gibt OAKMIND die Daten zurück oder löscht sie. Die Rückgabe erfolgt, indem der Kunde seine Daten jederzeit selbst als ZIP-Archiv exportiert, mit allen Tabellen in einem maschinell auswertbaren Format (CSV und JSON) und allen gespeicherten Dateien. Zugangsdaten, Geräte-Kennungen und Schlüssel sind nicht enthalten.
2. Nach Ende des Hauptvertrags bleibt der Zugang auf Lesen und Export beschränkt, damit der Kunde seine Daten sichern kann.
3. Die Inhaberin oder der Inhaber kann die Löschung des Betriebs jederzeit im Büro beantragen. Nach einer Wartezeit von 30 Tagen, in der der Antrag zurückgenommen werden kann, löscht OAKMIND alle Daten des Betriebs: alle Datenbankeinträge, alle gespeicherten Dateien, die Zugänge der Nutzer, Push-Kennungen und gespeicherte Zugangsschlüssel zu verbundenen Diensten. Auch Einträge, die im laufenden Betrieb unveränderlich sind (etwa Stempelzeiten, Änderungsprotokoll, festgeschriebene Rechnungen), werden gelöscht. Der Kunde erhält eine Bestätigung per E-Mail.
4. Beantragt der Kunde keine Löschung, löscht OAKMIND die Daten spätestens drei Monate nach Ende des Hauptvertrags, nach vorheriger Ankündigung per E-Mail.
5. In Datensicherungen bleiben gelöschte Daten bis zum Ablauf der Aufbewahrungsfrist der jeweiligen Sicherung erhalten, höchstens 90 Tage, und werden in dieser Zeit nicht weiter verwendet.
6. Nach der Löschung behält OAKMIND nur einen Nachweis ohne Personendaten: Zeitpunkte, Zählerstände und einen nicht zurückrechenbaren Schlüssel des Firmennamens. Daten auf den Geräten der Nutzer entfernt der Kunde, indem die Nutzer sich abmelden oder die App löschen.

§ 11 Nachweise und Kontrollen

1. OAKMIND stellt dem Kunden auf Anfrage die Informationen zur Verfügung, die zum Nachweis der Einhaltung dieses Vertrags nötig sind, insbesondere eine aktuelle Beschreibung der Maßnahmen nach Anlage 1.
2. Der Kunde kann die Einhaltung selbst oder durch einen zur Verschwiegenheit verpflichteten Prüfer, der kein Wettbewerber von OAKMIND ist, überprüfen, schriftlich, aus der Ferne oder vor Ort. Kontrollen vor Ort sind nach Anmeldung mit mindestens 14 Tagen Vorlauf zu den üblichen Geschäftszeiten und ohne Störung des Betriebs möglich, ohne besonderen Anlass höchstens einmal im Kalenderjahr. Jede Seite trägt ihre eigenen Kosten.
3. Bei jeder Kontrolle bleibt die Vertraulichkeit der Daten anderer Kunden gewahrt. OAKMIND informiert den Kunden unverzüglich über Kontrollen und Maßnahmen einer Aufsichtsbehörde, soweit sie diesen Vertrag betreffen.

§ 12 Haftung und Schlussbestimmungen

1. Für die Haftung gilt Art. 82 DSGVO. Im Übrigen gelten die Haftungsregeln der AGB, soweit Art. 82 DSGVO nicht entgegensteht.
2. Bei Widersprüchen geht dieser Vertrag in Fragen des Datenschutzes den AGB vor.
3. Änderungen dieses Vertrags teilt OAKMIND mindestens sechs Wochen vor ihrem Wirksamwerden in Textform mit. Der Kunde kann bis dahin widersprechen und den Hauptvertrag zu diesem Zeitpunkt kündigen; widerspricht er nicht, gelten die Änderungen, worauf OAKMIND in der Mitteilung hinweist. Änderungen, die das Schutzniveau senken, gelten nur mit ausdrücklicher Zustimmung des Kunden. Für Unterauftragsverarbeiter gilt § 7.
4. Es gilt deutsches Recht. Gerichtsstand ist der in den AGB vereinbarte. Sollte eine Bestimmung unwirksam sein, bleibt der Vertrag im Übrigen wirksam.

Anlage 1: Technische und organisatorische Maßnahmen

Beschreibung nach Art. 32 DSGVO, Stand 29. September 2026.

Vertraulichkeit

• Server und Zugang aus dem Internet: Die Daten liegen auf einem Server, den OAKMIND in Deutschland selbst betreibt; er wird nicht mit anderen Anbietern geteilt. Aus dem Internet ist Baumelder über einen Cloudflare-Tunnel erreichbar. Datenbank und Zwischenspeicher (Redis) haben keinen nach außen freigegebenen Port.
• Administrativer Zugang: nur der Inhaber von OAKMIND, per SSH mit Schlüssel; die Anmeldung mit Kennwort ist abgeschaltet.
• Anmeldung der Nutzer: Firmen-Code, Personalnummer und PIN mit 6 bis 12 Ziffern. PINs werden nur als Hash gespeichert. Sitzungen laufen ab und lassen sich abmelden. Registrierungen und das Einlösen von Zugangslinks sind je IP-Adresse begrenzt. Startzugangsdaten erreichen die Person über einen einmal nutzbaren Link, der höchstens 72 Stunden gilt; das Büro sieht die PIN nicht.
• Rechte: Rollen (Inhaber, Büro, Vorarbeiter, Monteur) und Rechte je Bereich, bei jeder Anfrage auf dem Server geprüft, auch bei direkten Links und Dateikennungen. Monteure sehen in der Grundeinstellung ihre eigenen Zeiten und Abwesenheiten und nur aktive Aufträge, für die sie eingeteilt sind oder die keinem Einsatzteam zugeordnet sind; der Kunde kann die Rechte je Bereich anpassen. In verbundenen Kalendern und Push-Mitteilungen erscheinen Abwesenheiten ohne Art und Grund.
• Trennung der Betriebe: In der Datenbank (PostgreSQL) sind die Betriebe mit erzwungener Row-Level-Security getrennt. Die Anwendung greift auf Betriebsdaten mit einer Datenbankrolle ohne Administratorrechte zu, jede Abfrage im Kontext genau eines Betriebs. Dateien liegen je Betrieb in eigenen Verzeichnissen und sind nur über die Anwendung erreichbar.
• Verschlüsselung: Übertragung zwischen Geräten und Cloudflare per TLS (HTTPS erzwungen), zwischen Cloudflare und dem Server über den verschlüsselten Tunnel. Cloudflare entschlüsselt den Verkehr an seinen Servern (Anlage 2). Zugangsschlüssel verbundener Kalender sind mit AES-256-GCM verschlüsselt gespeichert, Zugangsdaten hinter Zugangslinks ebenfalls verschlüsselt mit einem Schlüssel, der nur im Link steht.
• Protokolle: Serverfehler werden ohne Inhalte der Anfrage protokolliert; Adressen, Kennungen und Werte in Fehlermeldungen werden geschwärzt.

Besonderer Schutz von Krankmeldungen

• Gespeichert werden nur Tatsache und Zeitraum einer Krankmeldung und ob eine Bescheinigung vorliegt, keine Diagnose und keine Bescheinigung.
• Abwesenheiten anderer Personen sehen nur Personen mit dem Recht, das Team zu bearbeiten, im Lohnexport zusätzlich Personen, die Zeiten freigeben dürfen. Wer diese Rechte nicht hat, etwa Monteure in der Grundeinstellung, sieht nur die eigenen.
• Push-Mitteilungen, verbundene Kalender und Kalender-Abonnements nennen Krankmeldungen nie als solche; eingetragene Abwesenheiten erscheinen dort ohne Art und Grund.
• Jede Änderung an einer Abwesenheit wird unveränderlich mit Person und Zeitpunkt protokolliert.

Integrität

• Eingabekontrolle: Ein Änderungsprotokoll hält schreibende Aktionen mit handelnder Person und Zeitpunkt fest. Änderungsprotokoll und Stempelzeiten sind in der Datenbank nur anfügbar; Korrekturen entstehen als eigene Einträge mit Begründung, das Original bleibt erhalten.
• Unveränderliche Belege: Festgeschriebene Rechnungen, entschiedene Freigaben und Unterschriften lassen sich nicht mehr ändern. Automatische Auswertungen werden getrennt von Originalen und menschlichen Korrekturen gespeichert.
• Weitergabe: nur verschlüsselt und nur an die Empfänger nach Anlage 2. Exporte laufen über kurzlebige, signierte Download-Links; Zugangsdaten, Geräte-Kennungen und Zahlungskennungen sind vom Export ausgeschlossen.

Verfügbarkeit und Belastbarkeit

• Datensicherung: täglich eine vollständige Sicherung der Datenbank mit Prüfsumme und Lesetest sowie ein Spiegel aller gespeicherten Dateien auf einem vom Betriebsspeicher getrennten Speicherbereich des Servers, Aufbewahrung 30 Tage. Vor jeder Aktualisierung von Baumelder wird die Datenbank zusätzlich auf einem getrennten Datenträger desselben Servers gesichert, Aufbewahrung 90 Tage. Ein externer Sicherungsdienst wird derzeit nicht genutzt.
• Aktualisierungen: mit vorheriger Sicherung und Rückweg auf den vorherigen Stand.
• Ohne Netz: Die iPhone-App speichert Erfassungen auf dem Gerät und überträgt sie später; doppelte Übertragungen werden erkannt.
• Schutz vor Überlastung und Angriffen aus dem Internet durch Cloudflare.
• Überwachung: Auslastung, Speicherplatz und Dienste des Servers werden laufend erfasst.

Regelmäßige Überprüfung

• Automatische Tests und dokumentierte Prüfprotokolle zu jeder Auslieferung.
• Überprüfung dieser Maßnahmen mindestens einmal im Jahr und bei wesentlichen Änderungen.
• Datenschutzfreundliche Voreinstellungen: kein GPS, keine Leistungsauswertung, Aufnahme nur auf bewussten Tipp, Erkennung von Sprache und Text auf dem iPhone, Anbindungen an Dritte nur nach aktiver Einrichtung durch den Kunden, keine Analyse-, Werbe- oder Absturzberichts-Werkzeuge von Drittanbietern.

Anlage 2: Unterauftragsverarbeiter und weitere Empfänger

Teil A: Genehmigte Unterauftragsverarbeiter

Teil B: Vom Kunden selbst verbundene Dienste

Diese Dienste nutzt der Kunde auf eigene Entscheidung und auf Grundlage eigener Verträge mit dem Anbieter. OAKMIND übermittelt Daten an sie nur auf Weisung des Kunden (§ 4).

Teil C: Eigene Verantwortliche