Vertrag zur Auftragsverarbeitung

Präambel

1. Der Auftraggeber nutzt Rovado, um seinen Betrieb zu organisieren – von der Begehung über den Kostenvoranschlag und die Ausführung bis zur Rechnung. Dabei trägt er personenbezogene Daten Dritter in Rovado ein, insbesondere Daten seiner Kunden und Bauherren sowie seiner Beschäftigten.
2. Der Auftragnehmer stellt Rovado bereit und speichert diese Daten für den Auftraggeber. Er verarbeitet sie ausschließlich im Auftrag und nach Weisung des Auftraggebers. Es handelt sich um eine Auftragsverarbeitung im Sinne des Art. 28 DSGVO.
3. Dieser Vertrag konkretisiert die Pflichten beider Seiten und ist Anlage zum Hauptvertrag (den Allgemeinen Geschäftsbedingungen für die Nutzung von Rovado). Er wird ohne gesonderte Vergütung geschlossen.
4. Datenbank, Anmeldung und Dateiablage liegen im Rechenzentrum Frankfurt am Main, also in der Europäischen Union. Daneben bestehen Bezüge zu Drittländern (Singapur, USA); sie sind in § 13 und Anlage 3 im Einzelnen benannt und durch die Standardvertragsklauseln der EU-Kommission abgesichert. Eine Zusage „ausschließlich EU“ wird hier bewusst nicht gegeben – sie wäre unrichtig.

§ 1 Begriffe und Auslegung

1. Die Begriffe dieses Vertrags entsprechen den Begriffsbestimmungen der DSGVO, insbesondere Art. 4 DSGVO. „Verordnung“ ist die Verordnung (EU) 2016/679 (DSGVO); „BDSG“ ist das Bundesdatenschutzgesetz.
2. Dieser Vertrag ist so auszulegen, dass er den Anforderungen der Verordnung genügt. Keine Bestimmung darf so verstanden werden, dass sie den Rechten betroffener Personen entgegensteht.
3. Wo dieser Vertrag von „Rovado“ spricht, ist die Web-Anwendung samt der zugehörigen Datenbank, Anmeldung und Dateiablage gemeint.

§ 2 Gegenstand, Art, Zweck und Dauer der Verarbeitung

1. Gegenstand der Verarbeitung ist die Bereitstellung und der Betrieb der Web-Anwendung Rovado einschließlich Datenbank, Benutzerverwaltung und Dateiablage sowie die damit verbundene Speicherung, Anzeige, Veränderung, Übermittlung an den vom Auftraggeber bestimmten Empfängerkreis und Löschung der vom Auftraggeber eingegebenen Daten.
2. Art der Verarbeitung: Erheben, Erfassen, Organisieren, Ordnen, Speichern, Anpassen, Auslesen, Abfragen, Verwenden, Bereitstellen durch Übermittlung (namentlich beim Kundenfreigabe-Link), Abgleichen, Einschränken, Löschen und Vernichten – ausschließlich in automatisierter Form.
3. Zweck der Verarbeitung ist allein die Erbringung der im Hauptvertrag beschriebenen Leistung, also die Unterstützung des Auftraggebers bei Begehung, Aufmaß, Kalkulation, Kundenfreigabe, Ausführungsdokumentation, Bautagebuch, Lieferschein, Rechnungsstellung, Mahnwesen, Einsatzplanung und Nachkalkulation. Die einzelnen Zwecke sind in Anlage 1, Abschnitt 4 aufgeführt.
4. Eine Verarbeitung zu eigenen Zwecken des Auftragnehmers findet nicht statt (siehe § 14).
5. Dauer: Die Verarbeitung beginnt mit der Freischaltung des Kontos und läuft auf unbestimmte Zeit, längstens bis zur Beendigung des Hauptvertrags. Die Dauer der Speicherung einzelner Daten bestimmt der Auftraggeber; sie endet spätestens mit der Löschung nach § 11. Läuft die 30-tägige Testphase oder ein bezahlter Zeitraum ab, ohne dass verlängert wird, wechselt das Konto in den Lesemodus nach Ziffer 6.2 des Hauptvertrags: Die Daten bleiben unverändert gespeichert und abrufbar, neue Einträge und Änderungen sind gesperrt. Das Löschen bleibt auch im Lesemodus möglich – bewusst, damit der Löschanspruch nach Art. 17 DSGVO nicht an einer Sperre scheitert. Der Lesemodus ist keine Beendigung der Verarbeitung im Sinne des § 11.
6. Der Ort der Verarbeitung ist das Rechenzentrum des Unterauftragsverarbeiters Supabase in der Region eu-central-1 (Frankfurt am Main). Abweichungen und Drittlandbezüge sind in § 13 und Anlage 3 beschrieben.

§ 3 Art der Daten und Kreis der betroffenen Personen

1. Die Arten der verarbeiteten personenbezogenen Daten und die Kategorien betroffener Personen ergeben sich abschließend aus Anlage 1. Anlage 1 ist Bestandteil dieses Vertrags.
2. Der Auftraggeber entscheidet allein darüber, welche Daten er in Rovado eingibt. Er stellt sicher, dass er dafür eine Rechtsgrundlage hat – insbesondere für die Verarbeitung von Arbeitszeit- und Einsatzdaten seiner Beschäftigten und für die Daten seiner Kunden und Bauherren.
3. Besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO und Daten nach Art. 10 DSGVO sind nicht Gegenstand dieses Vertrags. Rovado sieht für solche Daten kein Feld vor. Der Auftraggeber verpflichtet sich, solche Daten nicht in die Freitextfelder einzugeben – insbesondere nicht in die Felder „Notiz“ im Wochenplan, „Tätigkeit“ bei den Stunden, „Bemerkungen“ im Bautagebuch und „Notizen“ bei Kunden und Begehungen.
4. Gibt der Auftraggeber entgegen Absatz 3 dennoch solche Daten ein, verarbeitet der Auftragnehmer sie mit den in Anlage 2 beschriebenen Maßnahmen. Ob diese für Daten nach Art. 9 DSGVO ein angemessenes Schutzniveau im Sinne des Art. 32 DSGVO bieten, hat der Auftraggeber als Verantwortlicher zu bewerten; besondere zusätzliche Maßnahmen sind nicht vereinbart. Klarstellung: Die Pflichten aus Art. 32 DSGVO für Daten, die tatsächlich verarbeitet werden, lassen sich nicht abbedingen – Absatz 3 beschreibt, was nicht eingegeben werden soll, und schließt keine gesetzliche Pflicht aus. Anlage 1, Abschnitt 6 benennt offen, auf welchen Wegen solche Daten in der Praxis trotzdem entstehen.

§ 4 Weisungsbindung und Hinweispflicht

1. Der Auftragnehmer verarbeitet die personenbezogenen Daten ausschließlich auf dokumentierte Weisung des Auftraggebers – auch, was eine etwaige Übermittlung in ein Drittland oder an eine internationale Organisation angeht.
2. Dieser Vertrag und der Hauptvertrag einschließlich der Leistungsbeschreibung sind die Grundweisung. Jede Bedienung von Rovado durch den Auftraggeber oder durch von ihm berechtigte Personen – etwa das Anlegen eines Kunden, das Versenden eines Freigabe-Links oder das Löschen einer Baustelle – gilt als Einzelweisung im Rahmen dieser Grundweisung.
3. Weitere Weisungen erteilt der Auftraggeber in Textform, insbesondere per E-Mail an [email protected]. Mündlich oder telefonisch erteilte Weisungen bestätigt der Auftraggeber unverzüglich in Textform. Weisungsberechtigt sind die in Anlage 4 genannten Personen.
4. Der Auftragnehmer dokumentiert die ihm erteilten Weisungen und bewahrt sie für die Dauer dieses Vertrags sowie drei Jahre darüber hinaus auf.
5. Ist der Auftragnehmer der Auffassung, dass eine Weisung gegen datenschutzrechtliche Vorschriften verstößt, teilt er dies dem Auftraggeber unverzüglich mit. Er ist berechtigt, die Ausführung der betreffenden Weisung auszusetzen, bis sie vom Auftraggeber bestätigt oder geändert wird.
6. Ist der Auftragnehmer aufgrund des Rechts der Union oder der Mitgliedstaaten zur Verarbeitung verpflichtet, unterrichtet er den Auftraggeber vor der Verarbeitung über diese rechtlichen Anforderungen – es sei denn, das Recht verbietet eine solche Mitteilung wegen eines wichtigen öffentlichen Interesses.
7. Erhält der Auftragnehmer eine Anfrage einer Behörde zu Daten des Auftraggebers, unterrichtet er den Auftraggeber unverzüglich, soweit dies rechtlich zulässig ist, und gibt Daten nur heraus, soweit er dazu rechtlich verpflichtet ist.

§ 5 Vertraulichkeit der eingesetzten Personen

1. Der Auftragnehmer verarbeitet die Daten derzeit ausschließlich persönlich. Er beschäftigt keine Mitarbeiter und setzt keine weiteren Personen ein. Er verpflichtet sich hiermit zur Vertraulichkeit und wahrt diese auch nach Beendigung dieses Vertrags. Eine gesonderte schriftliche Selbstverpflichtung legt er zusätzlich ab, damit sie einem prüfenden Auftraggeber nach § 12 Abs. 2 Stufe 1 vorgelegt werden kann.
2. Setzt der Auftragnehmer künftig Beschäftigte oder Beauftragte ein, verpflichtet er diese vor Aufnahme der Tätigkeit schriftlich zur Vertraulichkeit und weist sie in die für sie maßgeblichen Datenschutzbestimmungen ein. Die Verpflichtung wird dokumentiert und dem Auftraggeber auf Verlangen nachgewiesen.
3. Der Auftragnehmer greift auf Inhalte des Auftraggebers nur zu, soweit dies zur Erbringung der Leistung, zur Fehlersuche oder zur Beantwortung einer Support-Anfrage erforderlich ist, und soweit möglich nur auf Anforderung oder mit Kenntnis des Auftraggebers.

§ 6 Technische und organisatorische Maßnahmen

1. Der Auftragnehmer trifft die in Anlage 2 beschriebenen technischen und organisatorischen Maßnahmen. Anlage 2 ist Bestandteil dieses Vertrags und beschreibt den Stand vom 30.08.2026.
2. Anlage 2 benennt ausdrücklich auch, was derzeit nicht umgesetzt ist. Der Auftraggeber nimmt diesen Stand zur Kenntnis und prüft in eigener Verantwortung, ob er für seine Verarbeitung ausreicht.
3. Die Maßnahmen unterliegen dem technischen Fortschritt. Der Auftragnehmer darf sie weiterentwickeln, darf das Schutzniveau dabei aber nicht unterschreiten. Wesentliche Änderungen dokumentiert er und teilt sie dem Auftraggeber mit; die jeweils geltende Fassung der Anlage 2 ist unter rovado.de/av-vertrag dauerhaft abrufbar.
4. Der Auftragnehmer wird die Wirksamkeit der Maßnahmen erstmals bis zum 30.09.2026 und danach anlassbezogen, mindestens jedoch einmal jährlich, überprüfen und das Ergebnis schriftlich festhalten.

§ 7 Unterauftragsverarbeiter

1. Der Auftraggeber erteilt hiermit die allgemeine schriftliche Genehmigung zum Einsatz weiterer Auftragsverarbeiter. Die bei Vertragsschluss eingesetzten Unterauftragsverarbeiter sind in Anlage 3 namentlich aufgeführt und damit ausdrücklich genehmigt.
2. Der Auftragnehmer unterrichtet den Auftraggeber über die beabsichtigte Hinzuziehung oder Ersetzung eines Unterauftragsverarbeiters mindestens 30 Tage im Voraus in Textform oder durch einen Hinweis in der Anwendung. Die jeweils gültige Liste ist Anlage 3 dieses Vertrags und unter rovado.de/av-vertrag dauerhaft abrufbar.
3. Der Auftraggeber kann einer Änderung binnen 14 Tagen nach der Unterrichtung – und damit innerhalb der Vorlauffrist aus Absatz 2 – aus einem datenschutzrechtlichen Grund in Textform widersprechen. Widerspricht er, verhandeln die Parteien über eine Lösung. Kommt keine zustande und kann der Auftragnehmer die Leistung ohne den Unterauftragsverarbeiter nicht erbringen, ist jede Partei berechtigt, den Hauptvertrag zum Zeitpunkt der Umstellung außerordentlich zu kündigen. Dem Auftraggeber entstehen dadurch keine Kosten; § 11 (Rückgabe und Löschung) gilt.
4. Der Auftragnehmer schließt mit jedem Unterauftragsverarbeiter einen Vertrag, der im Wesentlichen dieselben Datenschutzpflichten vorsieht wie dieser Vertrag, und prüft vor Beauftragung, ob die Maßnahmen des Unterauftragsverarbeiters ausreichen. Erfüllt der Unterauftragsverarbeiter seine Pflichten nicht, haftet der Auftragnehmer dem Auftraggeber gegenüber für dessen Verhalten (Art. 28 Abs. 4 Satz 2 DSGVO).
5. Keine Unterauftragsverarbeitung im Sinne dieses Paragrafen sind Nebenleistungen, bei denen kein Zugriff auf Daten des Auftraggebers erfolgt – etwa Telekommunikationsdienste, Domainregistrierung oder die Wartung von Geräten des Auftragnehmers.

§ 8 Unterstützung bei den Rechten betroffener Personen

1. Der Auftragnehmer unterstützt den Auftraggeber mit geeigneten technischen und organisatorischen Maßnahmen dabei, seiner Pflicht zur Beantwortung von Anträgen betroffener Personen nachzukommen – Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch (Art. 21).
2. Die Unterstützung erfolgt in erster Linie durch die Anwendung selbst. Der Auftraggeber kann in Rovado eigenständig:
   1. Kunden, Baustellen, Fotos, Stunden, Maschinenstunden, Materialverbrauch, Nachträge, Einsätze, Lieferscheine, Rechnungen und Stammdaten einsehen, berichtigen und löschen;
   2. eine Baustelle löschen – dabei werden alle daran hängenden Daten und die zugehörigen Bilddateien mitgelöscht;
   3. die Freigabedaten eines Kostenvoranschlags (Name, Zeitpunkt und IP-Adresse des Zustimmenden) über „Zur Bearbeitung entsperren“ löschen;
   4. eine Rechnungsliste eines Zeitraums als CSV-Datei exportieren (Steuerberater-Export).
3. Reicht das nicht aus, unterstützt der Auftragnehmer auf Anforderung manuell innerhalb von 20 Werktagen. Das gilt insbesondere für eine vollständige Datenkopie eines Betriebs und für Löschungen, die über die Anwendung nicht möglich sind. Dieselbe Frist nennt Ziffer 12.2 des Hauptvertrags; welche Datenkategorien die Kopie umfasst und welche nicht, steht in der Anlage „Welche Daten sich exportieren lassen“ der Allgemeinen Geschäftsbedingungen.
4. Wendet sich eine betroffene Person unmittelbar an den Auftragnehmer, leitet er die Anfrage unverzüglich an den Auftraggeber weiter und beantwortet sie nicht selbst. Er weist die betroffene Person darauf hin, dass der Auftraggeber der Verantwortliche ist.
5. Berichtigt, löscht oder schränkt der Auftraggeber Daten ein, führt der Auftragnehmer dies auf Weisung auch dort aus, wo der Auftraggeber selbst keinen Zugriff hat.

§ 9 Unterstützung bei Sicherheit, Folgenabschätzung und Meldepflichten

1. Der Auftragnehmer unterstützt den Auftraggeber – unter Berücksichtigung der Art der Verarbeitung und der ihm zur Verfügung stehenden Informationen – bei der Einhaltung der Pflichten aus Art. 32 bis 36 DSGVO.
2. Benötigt der Auftraggeber für eine Datenschutz-Folgenabschätzung nach Art. 35 DSGVO oder für eine vorherige Konsultation der Aufsichtsbehörde nach Art. 36 DSGVO Angaben über die Verarbeitung in Rovado, stellt der Auftragnehmer diese innerhalb von 20 Werktagen bereit – insbesondere die Anlagen 1 bis 3 dieses Vertrags sowie Angaben zu Speicherorten, Schnittstellen und Löschmöglichkeiten.
3. Der Auftragnehmer liefert die Informationen, die er hat. Die Meldung an die Aufsichtsbehörde (Art. 33) und die Benachrichtigung betroffener Personen (Art. 34) obliegen dem Auftraggeber; der Auftragnehmer nimmt sie nicht vor.
4. Der Auftragnehmer unterstützt den Auftraggeber ferner bei der Erfüllung von dessen Pflicht nach Art. 30 Abs. 1 DSGVO, soweit sich die erforderlichen Angaben aus dem Betrieb von Rovado ergeben.

§ 10 Meldung von Verletzungen des Schutzes personenbezogener Daten

1. Der Auftragnehmer meldet dem Auftraggeber jede Verletzung des Schutzes personenbezogener Daten unverzüglich, spätestens jedoch innerhalb von 24 Stunden nachdem er davon Kenntnis erlangt hat. Das gilt auch für Verletzungen bei einem Unterauftragsverarbeiter, sobald der Auftragnehmer davon erfährt.
2. Die Meldung erfolgt in Textform per E-Mail an die vom Auftraggeber in Anlage 4 hinterlegte Adresse, ersatzweise an die im Konto hinterlegte E-Mail-Adresse. Bei Gefahr im Verzug zusätzlich telefonisch, soweit eine Nummer hinterlegt ist.
3. Die Meldung enthält, soweit bekannt: eine Beschreibung der Art der Verletzung, die Kategorien und die ungefähre Zahl der betroffenen Personen und Datensätze, den Zeitpunkt und die vermutete Ursache, die wahrscheinlichen Folgen sowie die ergriffenen oder vorgeschlagenen Gegenmaßnahmen. Fehlende Angaben reicht der Auftragnehmer unverzüglich nach.
4. Der Auftragnehmer ergreift unverzüglich die erforderlichen Maßnahmen zur Sicherung der Daten und zur Minderung möglicher nachteiliger Folgen und stimmt sich dazu mit dem Auftraggeber ab.
5. Die Frist von 72 Stunden nach Art. 33 Abs. 1 DSGVO gegenüber der Aufsichtsbehörde läuft für den Auftraggeber. Die 24-Stunden-Frist nach Absatz 1 ist so bemessen, dass der Auftraggeber seine Frist halten kann.

§ 11 Löschung und Rückgabe nach Beendigung

1. Nach Beendigung der Verarbeitung löscht der Auftragnehmer alle personenbezogenen Daten des Auftraggebers oder gibt sie zurück – die Wahl trifft der Auftraggeber. Bestehende Kopien werden gelöscht, soweit keine gesetzliche Aufbewahrungspflicht des Auftragnehmers entgegensteht.
2. Nach Beendigung des Hauptvertrags laufen zwei Zeiträume nacheinander, gleichlautend mit Ziffer 13.6 des Hauptvertrags: zuerst ein Übergangszeitraum von 30 Kalendertagen, in dem der Dienst unverändert weiterläuft, danach ein Abrufzeitraum von mindestens weiteren 30 Kalendertagen, in dem die Daten zum Abruf und Export bereitstehen. Seine Wahl nach Absatz 1 teilt der Auftraggeber spätestens bis zum Ende des Abrufzeitraums mit. Trifft er keine Wahl, wird gelöscht.
3. Die Löschung erfolgt innerhalb von 30 Tagen nach Ablauf des Abrufzeitraums oder – bei früherer Aufforderung – innerhalb von 30 Tagen nach Zugang dieser Aufforderung. Der Auftragnehmer bestätigt die Löschung auf Verlangen in Textform. Er bestätigt sie erst, nachdem er Datenbank und Dateispeicher geprüft hat – eine unrichtige Löschbestätigung wäre ein eigener Haftungsgrund.
4. Die Rückgabe erfolgt in einem gängigen, maschinell auswertbaren Format. Umfang und Format stimmen die Parteien ab; ein bestimmtes Format wird nicht geschuldet.
5. Der Auftragnehmer löscht auch während der Vertragslaufzeit auf Weisung des Auftraggebers. Ohne Weisung löscht er nicht; es gibt in Rovado keine automatische Löschung nach Fristen.
6. Gesetzliche Aufbewahrungspflichten treffen den Auftraggeber, nicht den Auftragnehmer. Der Auftragnehmer entscheidet nicht darüber, ob eine Rechnung aufbewahrt werden muss, und er löscht nicht eigenmächtig, was der Auftraggeber aufbewahren muss. Der Auftraggeber prüft vor jeder Löschanweisung selbst, ob Aufbewahrungspflichten entgegenstehen.
7. Rovado ist kein Archivsystem im Sinne der GoBD. Der Auftraggeber ist verpflichtet, seine steuerlich und handelsrechtlich aufbewahrungspflichtigen Unterlagen rechtzeitig vor Vertragsende zu exportieren und anschließend selbst aufzubewahren.

§ 12 Nachweise und Kontrollrechte

1. Der Auftragnehmer stellt dem Auftraggeber alle Informationen zur Verfügung, die zum Nachweis der Einhaltung dieses Vertrags erforderlich sind, und ermöglicht Überprüfungen einschließlich Inspektionen durch den Auftraggeber oder einen von diesem beauftragten Prüfer. Er trägt zu diesen Überprüfungen bei.
2. Die Überprüfung erfolgt in drei Stufen, um den Aufwand für beide Seiten in Grenzen zu halten:
   1. Erste Stufe – Selbstauskunft. Der Auftragnehmer beantwortet schriftliche Fragen zum Datenschutz und zu den Maßnahmen dieses Vertrags innerhalb von 20 Werktagen und stellt die jeweils aktuelle Fassung der Anlagen 1 bis 3 zur Verfügung.
   2. Zweite Stufe – Nachweise Dritter. Soweit vorhanden, legt der Auftragnehmer Prüfberichte, Zertifikate oder Verhaltensregeln seiner Unterauftragsverarbeiter vor oder verweist auf deren öffentlich abrufbare Quellen (siehe Anlage 3).
   3. Dritte Stufe – Prüfung vor Ort oder als Fernprüfung. Reichen die Stufen 1 und 2 nicht aus, kann der Auftraggeber eine Prüfung in den Geschäftsräumen des Auftragnehmers verlangen. Sie erfolgt nach Ankündigung mit einer Frist von 30 Tagen, zu den üblichen Geschäftszeiten, höchstens einmal je Kalenderjahr und ohne Störung des Betriebsablaufs. Bei einem konkreten Anlass – etwa nach einer Datenschutzverletzung oder auf Verlangen einer Aufsichtsbehörde – entfallen die Beschränkungen auf einmal jährlich und auf 30 Tage Ankündigung. Die Prüfung erfolgt nach Wahl des Auftragnehmers per Videokonferenz mit Bildschirmfreigabe oder vor Ort; eine Prüfung vor Ort in Wohnräumen kann der Auftragnehmer durch eine gleichwertige Fernprüfung ersetzen.
3. Der beauftragte Prüfer darf kein Wettbewerber des Auftragnehmers sein und ist zur Verschwiegenheit zu verpflichten. Der Auftragnehmer kann einem konkreten Prüfer aus wichtigem Grund widersprechen; in diesem Fall benennt der Auftraggeber einen anderen.
4. Kosten: Die Kosten der Prüfung trägt der Auftraggeber. Der eigene Aufwand des Auftragnehmers für Stufe 1 und 2 ist mit dem Hauptvertrag abgegolten. Für Prüfungen nach Stufe 3 kann der Auftragnehmer eine angemessene Aufwandsentschädigung verlangen – es sei denn, die Prüfung deckt einen Verstoß des Auftragnehmers auf.
5. Das Kontrollrecht wird durch diesen Paragrafen kanalisiert, aber nicht ausgeschlossen. Prüfungen durch eine Aufsichtsbehörde bleiben in vollem Umfang unberührt.
6. Der Auftragnehmer weist auf Verlangen nach, dass er ein Verzeichnis der Verarbeitungstätigkeiten nach Art. 30 Abs. 2 DSGVO führt.

§ 13 Übermittlung in Drittländer

1. Die Daten des Auftraggebers werden primär in der Europäischen Union verarbeitet – Datenbank, Anmeldung und Dateiablage liegen im Rechenzentrum in Frankfurt am Main.
2. Gleichwohl bestehen Bezüge zu Drittländern, die hier offen benannt werden:
   1. Vertragspartner des Dienstes Supabase ist die Supabase Pte. Ltd. mit Sitz in Singapur. Für Singapur besteht kein Angemessenheitsbeschluss der EU-Kommission. Der Support wird durch die Supabase, Inc. in den USA erbracht; diese ist als Unterauftragsverarbeiter gelistet.
   2. Protokolldaten (Logs) von Supabase werden nach den Angaben des Anbieters unter anderem über Google BigQuery verarbeitet, wobei als Standardregion die USA angegeben ist. Solche Protokolle enthalten typischerweise IP-Adressen und Metadaten von Abfragen. Eine öffentliche Zusage, dass Protokolldaten die EU nicht verlassen, gibt es nicht.
   3. Vertragspartner für die Auslieferung der Programmdateien ist die Cloudflare, Inc. mit Sitz in den USA. Cloudflare verarbeitet dabei Verbindungsdaten, insbesondere die IP-Adressen der Abrufenden.
3. Diese Übermittlungen sind abgesichert durch die in Anlage 3 im Einzelnen benannten Garantien, insbesondere durch die Standardvertragsklauseln der EU-Kommission (Durchführungsbeschluss (EU) 2021/914), die in die Datenschutzverträge beider Anbieter einbezogen sind, sowie ergänzend – bei Cloudflare – durch das EU-US Data Privacy Framework.
4. Der Auftragnehmer stützt die Übermittlungen nicht allein auf das Data Privacy Framework. Fällt der Angemessenheitsbeschluss weg, tragen die Standardvertragsklauseln die Übermittlung weiter.
5. Eine darüber hinausgehende Übermittlung in ein Drittland nimmt der Auftragnehmer nur auf dokumentierte Weisung des Auftraggebers oder aufgrund einer gesetzlichen Verpflichtung vor; im letzteren Fall gilt § 4 Abs. 6.

§ 14 Keine Nutzung für eigene Zwecke

1. Der Auftragnehmer nutzt die Daten des Auftraggebers nicht für eigene Zwecke. Insbesondere findet keine Auswertung zu Statistik-, Werbe- oder Produktverbesserungszwecken statt.
2. Der Auftragnehmer gibt die Daten nicht an Dritte weiter, außer an die in Anlage 3 genannten Unterauftragsverarbeiter und außer aufgrund einer gesetzlichen Verpflichtung.
3. Der Auftragnehmer verwendet die Daten nicht zum Training von Modellen künstlicher Intelligenz und übermittelt sie zu diesem Zweck auch nicht an Dritte.
4. In Rovado sind keine Analyse-, Tracking- oder Werbedienste eingebunden. Es werden keine Cookies gesetzt. Auf dem Endgerät gespeichert werden nur die Anmelde-Sitzung, die Spracheinstellung, die zuletzt geöffnete Baustelle, die Offline-Warteschlange und der Programm-Zwischenspeicher. Diese Speicherungen sind für den vom Nutzer ausdrücklich gewünschten Dienst unbedingt erforderlich und deshalb nach § 25 Abs. 2 Nr. 2 TDDDG einwilligungsfrei. Maßgeblich ist dabei nicht, dass keine Cookies gesetzt werden – § 25 TDDDG erfasst jede Speicherung auf dem Endgerät –, sondern allein die Erforderlichkeit. Einzelheiten stehen in Abschnitt 10 der Datenschutzerklärung.
5. Den Parteien ist bekannt, dass der Auftragnehmer nach Art. 28 Abs. 10 DSGVO als Verantwortlicher gilt, soweit er über Zwecke und Mittel einer Verarbeitung mitentscheidet. Sollte der Auftragnehmer künftig Daten zu eigenen Zwecken auswerten wollen, bedarf dies einer gesonderten Vereinbarung und einer eigenen Rechtsgrundlage.

§ 15 Haftung

1. Für die Haftung der Parteien untereinander gelten die Regelungen des Hauptvertrags (Allgemeine Geschäftsbedingungen), soweit dieser Vertrag nichts anderes bestimmt.
2. Im Außenverhältnis gegenüber betroffenen Personen gilt Art. 82 DSGVO. Den Parteien ist bekannt, dass sie danach für den gesamten Schaden gesamtschuldnerisch haften können und dass der Auftragnehmer nach Art. 82 Abs. 2 DSGVO nur für die speziell ihm auferlegten Pflichten haftet oder wenn er außerhalb oder entgegen rechtmäßiger Weisungen gehandelt hat.
3. Der Auftraggeber ist für die Rechtmäßigkeit der Verarbeitung und für die Wahrung der Rechte betroffener Personen verantwortlich. Er stellt den Auftragnehmer von Ansprüchen Dritter frei, die darauf beruhen, dass der Auftraggeber Daten ohne Rechtsgrundlage in Rovado eingegeben oder rechtswidrige Weisungen erteilt hat – es sei denn, der Auftragnehmer hat die Rechtswidrigkeit erkannt und den Hinweis nach § 4 Abs. 5 unterlassen.
4. Für Verstöße eines Unterauftragsverarbeiters haftet der Auftragnehmer nach § 7 Abs. 4.

§ 16 Laufzeit und Kündigung

1. Dieser Vertrag beginnt mit dem Hauptvertrag und endet mit ihm, ohne dass es einer gesonderten Kündigung bedarf. Die Pflichten aus § 5 (Vertraulichkeit) und § 11 (Löschung und Rückgabe) bestehen über das Vertragsende hinaus.
2. Der Auftraggeber kann diesen Vertrag aus wichtigem Grund fristlos kündigen, insbesondere bei einem schwerwiegenden Verstoß des Auftragnehmers gegen datenschutzrechtliche Vorschriften oder gegen diesen Vertrag, bei Nichtausführung einer berechtigten Weisung oder bei Verweigerung einer Kontrolle nach § 12. Die Kündigung dieses Vertrags berechtigt beide Parteien auch zur Kündigung des Hauptvertrags.
3. Ein Kündigungsrecht wegen des Widerspruchs gegen einen Unterauftragsverarbeiter ergibt sich aus § 7 Abs. 3.
4. Kündigungen bedürfen der Textform; eine E-Mail genügt.

§ 17 Schlussbestimmungen

1. Änderungen und Ergänzungen dieses Vertrags bedürfen der Textform. Das gilt auch für die Aufhebung dieser Klausel. Vorrangige Individualabreden bleiben unberührt.
2. Bei Widersprüchen zwischen diesem Vertrag und dem Hauptvertrag geht dieser Vertrag vor, soweit es um die Verarbeitung personenbezogener Daten geht. Bei Widersprüchen zwischen diesem Vertrag und den Standardvertragsklauseln der EU-Kommission gehen die Standardvertragsklauseln vor.
3. Die Anlagen 1 bis 4 sind Bestandteil dieses Vertrags. Anlage 3 (Unterauftragsverarbeiter) wird nach dem Verfahren des § 7 aktualisiert; maßgeblich ist die jeweils zuletzt mitgeteilte Fassung.
4. Sollte eine Bestimmung dieses Vertrags unwirksam sein oder werden, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt. Die Parteien ersetzen die unwirksame Bestimmung durch eine wirksame, die dem wirtschaftlichen Zweck am nächsten kommt.
5. Es gilt das Recht der Bundesrepublik Deutschland unter Ausschluss des UN-Kaufrechts.
6. Zuständige Aufsichtsbehörde für den Auftragnehmer ist der Hessische Beauftragte für Datenschutz und Informationsfreiheit. Ein Datenschutzbeauftragter ist beim Auftragnehmer nicht zu benennen; die Voraussetzungen des § 38 BDSG und des Art. 37 DSGVO liegen nicht vor. Ein Vertreter nach Art. 27 DSGVO ist nicht erforderlich, da der Auftragnehmer in Deutschland niedergelassen ist.

Unterschriften sind nicht erforderlich, wenn der Vertrag nach dem in Teil A, Abschnitt 4 beschriebenen Verfahren elektronisch geschlossen und die Zustimmung protokolliert wird (Art. 28 Abs. 9 DSGVO). Die Felder stehen für Auftraggeber bereit, die den Papierweg bevorzugen.

1. Zugangs- und Zugriffskontrolle, Mandantentrennung

1. Die Trennung der Betriebe erfolgt in der Datenbank, nicht im Programm. Jede Tabelle trägt eine Mandantenkennung, die die Datenbank vorbelegt. Wo die App sie ausnahmsweise mitschickt (beim Anlegen und Ändern des Briefkopfs), prüft die Zugriffsregel, dass es der eigene Betrieb ist – ein fremder Betrieb lässt sich nicht eintragen. Ein manipulierter Browser kann sich damit keinen fremden Betrieb zuschreiben.
2. Zeilenbasierte Zugriffsregeln (Row Level Security) sind auf ausnahmslos allen Fachtabellen eingeschaltet (derzeit 24). Es gibt keine Tabelle ohne Zugriffsregeln.
3. Zwei Rollen mit unterschiedlicher Sicht, ebenfalls in der Datenbank durchgesetzt: „chef“ sieht und ändert alles im eigenen Betrieb; „mitarbeiter“ sieht nur die ihm ausdrücklich zugewiesenen Baustellen und darf Stammdaten, Angebote, Rechnungen, Nachträge und Briefkopf weder lesen noch ändern. Bei den Kunden gilt seit dem 30.08.2026: Ein Mitarbeiter sieht nur die Kunden, zu denen er eine zugewiesene Baustelle hat – Name und Telefonnummer für den Knopf „Kunde anrufen“ –, nicht mehr die gesamte Kundenliste des Betriebs. Ändern darf er Kunden ohnehin nicht.
4. Preise sind für Mitarbeiter technisch unsichtbar. Der Stundensatz und der interne Lohnkostensatz liegen in einer Tabelle, die nur der Chef lesen darf. Für Mitarbeiter-Bildschirme gibt es preisfreie Auswahl- und Anzeigefunktionen.
5. Beide Dateiablagen sind nicht öffentlich. Ohne gültige Anmeldung lässt sich kein Zugriffsverweis erzeugen; ein einmal erzeugter Verweis ist allerdings eine Stunde lang auch ohne Anmeldung gültig – wer ihn weiterleitet, gibt für diese Zeit die Datei weiter.
6. Fotos werden nur über zeitlich begrenzte Links ausgeliefert, die eine Stunde gültig sind. Es gibt an keiner Stelle des Programms einen dauerhaft öffentlichen Bildlink.
7. Die Zugriffsregeln greifen auch unmittelbar an der Speicher-Schnittstelle, nicht nur in der App: Ein Mitarbeiter kommt selbst mit einem selbst gebauten Aufruf nur an Fotos der ihm zugewiesenen Baustellen. Logo und Unterschrift des Betriebs sind ausschließlich für den Chef zugänglich.
8. Begrenzung von Dateigröße und Dateiart auf Serverseite: höchstens 10 MB je Datei, nur JPEG und PNG. Ausführbare Dateien lassen sich nicht ablegen.
9. Zugang nur auf Einladung. Eine Registrierung ohne gültigen Einladungscode ist nicht möglich; die Sperre sitzt in der Datenbank und ist über die Oberfläche nicht umgehbar. Die Code-Tabelle ist für Clients unsichtbar.
10. Der Kundenfreigabe-Link ist eng gefasst: Er zeigt nur die für das Kundendokument nötigen Felder, Entwürfe sind gar nicht abrufbar, der Link erlischt 90 Tage nach der Kundenantwort, und das Merkmal im Link ist eine Zufallskennung, die praktisch nicht erratbar ist.
11. Quittierte Lieferscheine sind per Zugriffsregel eingefroren – eine nachträgliche Änderung ist technisch gesperrt.

2. Verschlüsselung auf dem Übertragungsweg

1. Alle Verbindungen laufen verschlüsselt über HTTPS/TLS. Ein Aufruf über unverschlüsseltes http:// wird auf die verschlüsselte Adresse umgeleitet (am 29.08.2026 selbst geprüft).
2. Die Verbindung zur Datenbank läuft ebenfalls ausschließlich verschlüsselt.
3. Die ausgelieferten Seiten setzen die Kopfzeilen X-Content-Type-Options und Referrer-Policy; letztere verhindert, dass ein Freigabe-Link samt Merkmal beim Weiterklicken an fremde Seiten weitergegeben wird.
4. Wo die Verschlüsselung endet – ehrlich gesagt: Es gibt keine Ende-zu-Ende-Verschlüsselung. Innerhalb der Datenbank liegen die Daten lesbar; der Betreiber und sein Anbieter können sie technisch lesen.

3. Passwörter

1. Passwörter werden nicht von Rovado gespeichert, sondern vom Anmeldedienst Supabase – und zwar ausschließlich als bcrypt-Hash mit zufälligem Zusatzwert. Das Passwort selbst ist danach nicht mehr rekonstruierbar.
2. Der Auftragnehmer hat keinen Zugriff auf Passwörter im Klartext, auch nicht über das Verwaltungsfenster.

4. Verschlüsselung im Ruhezustand

1. Supabase verschlüsselt nach eigenen Angaben sämtliche Daten auf der Festplatte mit AES-256; das gilt für Datenbankdateien, Indizes, Transaktionsprotokolle und die täglichen Sicherungen der Datenbank, ist immer aktiv und nicht abschaltbar.
2. Was das nicht heißt: Es schützt gegen den physischen Diebstahl einer Festplatte im Rechenzentrum. Es schützt nicht vor jemandem, der ein gültiges Verwaltungspasswort hat – für den sind die Daten normal lesbar.

5. Keine Weitergabe, keine Auswertung (Datenminimierung)

1. Die App bindet keine fremden Dienste in die Seite ein. Sie verwendet genau vier Programmbibliotheken – kein Analyse-Werkzeug, keinen Fehler-Meldedienst, keine Werbung, keine Karten oder Schriftarten von fremden Servern. Ausnahme, offen benannt: Der Knopf „Route zur Baustelle“ ist ein gewöhnlicher Link; tippt der Nutzer ihn an, öffnet sein Gerät Google Maps und übergibt dabei die Baustellenanschrift (siehe Anlage 1, Abschnitt 1).
2. Es werden keine Cookies gesetzt. Auf dem Endgerät gespeichert werden nur die Anmelde-Sitzung, die Spracheinstellung, die zuletzt geöffnete Baustelle, die Offline-Warteschlange und der Programm-Zwischenspeicher. Diese Speicherungen sind für den vom Nutzer ausdrücklich gewünschten Dienst unbedingt erforderlich und deshalb nach § 25 Abs. 2 Nr. 2 TDDDG einwilligungsfrei. Dass keine Cookies gesetzt werden, ist dafür nicht der Grund: § 25 TDDDG erfasst jede Speicherung auf dem Endgerät, nicht nur Cookies.
3. Der Offline-Zwischenspeicher der App legt nur Programmdateien ab, keine Kunden- oder Baustellendaten.

6. Protokollierung und Nachweisführung

1. Ersterfassung: Praktisch alle Tabellen halten den Zeitpunkt der Anlage fest; Fotos, Stunden, Maschinenstunden, Materialverbrauch und Lieferscheine zusätzlich das Benutzerkonto des Erfassers. Bei Angebotspositionen und beim Bautagebuch wird nur der Zeitpunkt festgehalten, nicht der Erfasser.
   Wie belastbar diese Felder sind – ehrlich: Sie werden von der Datenbank vorbelegt (Anmeldekonto und Serverzeit). Eine technische Sperre gegen abweichende Werte besteht nicht; wo ein Client die Spalte selbst mitschickt, wird sein Wert genommen. Bei Stunden, Maschinenstunden und Materialverbrauch fangen die Zugriffsregeln immerhin ab, dass ein Mitarbeiter einen fremden Erfasser einträgt. Ein Änderungsprotokoll gibt es nicht (Teil II Nr. 5).
2. Fachliche Nachweise an drei Stellen: Kundenfreigabe mit Name, Zeitpunkt, IP-Adresse und eingefrorenem Angebotsstand; Nachträge und Lieferscheine mit Unterschrift auf dem Display; quittierte Lieferscheine sind per Zugriffsregel gesperrt.
3. Es gibt kein Änderungsprotokoll – siehe Teil II, Nummer 5.

7. Belastbarkeit und Offline-Betrieb

1. Offline-Warteschlange: Bei Netzausfall auf der Baustelle landen Einträge und Fotos in einer lokalen Warteschlange auf dem Gerät und werden später nachgereicht – an Benutzerkonto und eine eindeutige Kennung gebunden, damit nichts doppelt oder im falschen Konto landet. Das schützt vor Datenverlust am Handy, nicht vor Datenverlust auf dem Server.
2. Auslieferungs-Historie: Die Programmdateien lassen sich auf eine frühere Fassung zurücksetzen. Das betrifft nur das Programm, nicht die Daten.

8. Organisatorisch

1. Ein-Personen-Betrieb ohne Angestellte. Der Kreis der Zugriffsberechtigten ist auf eine Person begrenzt – datenschutzrechtlich ein Vorteil.
2. Die Zugangsdaten zum Backend liegen in einer Datei, die von der Veröffentlichung ausgeschlossen ist. Der in der App enthaltene Schlüssel ist der öffentliche Schlüssel; er ist bauartbedingt öffentlich und für sich genommen wertlos, weil jeder Zugriff durch die Zugriffsregeln aus Nummer 1 beschränkt wird.
3. Der Auftragnehmer hat als Verwalter des Projekts technisch vollen Lesezugriff auf alle Daten. Das ist in § 5 Abs. 3 dieses Vertrags begrenzt.

1. Supabase – Datenbank, Anmeldung und Dateispeicher

2. Cloudflare – Auslieferung der Programmdateien

3. Keine weiteren Unterauftragsverarbeiter

Über die genannten hinaus setzt der Auftragnehmer keine weiteren Unterauftragsverarbeiter ein. Insbesondere gibt es keinen Mailversanddienst, keinen Zahlungsdienstleister, keinen Analyse- oder Fehlermeldedienst und keinen KI-Dienst. Google ist kein Unterauftragsverarbeiter: Der Knopf „Route zur Baustelle“ ruft Google Maps erst auf Tastendruck des Nutzers auf (Anlage 1, Abschnitt 1); das ist ein vom Nutzer ausgelöster Aufruf einer fremden Seite, keine Verarbeitung im Auftrag.

Die Domainverwaltung (rovado.de, rovado.app) betrifft ausschließlich Daten des Auftragnehmers selbst und ist deshalb keine Auftragsverarbeitung für den Auftraggeber.

1. Auf Seiten des Auftraggebers

1. Weisungsberechtigt ist die Person, die das Konto des Betriebs mit der Rolle „chef“ führt, sowie jede weitere Person, die der Auftraggeber dem Auftragnehmer in Textform benennt.
2. Meldungen nach § 10 (Datenschutzverletzungen) richtet der Auftragnehmer an die E-Mail-Adresse des Chef-Kontos, sofern der Auftraggeber keine andere Adresse benannt hat.
3. Der Auftraggeber kann eine abweichende Adresse für Datenschutzangelegenheiten benennen – etwa die seines eigenen Datenschutzbeauftragten:

Bleiben die Felder leer, gelten die Angaben aus Absatz 1 und 2. Beim elektronischen Vertragsschluss werden die Angaben aus dem Konto übernommen.

2. Auf Seiten des Auftragnehmers

Weisungen, Anfragen, Meldungen und Kündigungen können jederzeit an [email protected] gerichtet werden. Der Auftragnehmer bestätigt den Eingang.