Auftragsverarbeitungsvertrag

Vertragsparteien

§ 1 — Gegenstand und Dauer

Dieser Vertrag regelt die Verarbeitung personenbezogener Daten durch FS Crafted (Auftragsverarbeiter) im Auftrag des Auftraggebers im Rahmen der Nutzung der Software CraftFlow.

Der Vertrag gilt für die gesamte Dauer der Nutzung von CraftFlow. Er endet automatisch mit der Kündigung des Nutzerkontos, wobei die Regelungen zur Datenlöschung (§ 7) weiterhin gelten.

§ 2 — Art und Zweck der Verarbeitung

Der Auftragsverarbeiter verarbeitet im Auftrag des Auftraggebers folgende Datenkategorien zum folgenden Zweck:

Eine Verarbeitung der Daten zu anderen als den genannten Zwecken erfolgt nicht, es sei denn, der Auftraggeber erteilt eine ausdrückliche schriftliche Weisung.

§ 3 — Pflichten des Auftragsverarbeiters

Der Auftragsverarbeiter verpflichtet sich:

a) Personenbezogene Daten ausschließlich auf dokumentierte Weisung des Auftraggebers zu verarbeiten (Art. 28 Abs. 3 lit. a DSGVO).

b) Sicherzustellen, dass alle zur Verarbeitung befugten Personen zur Vertraulichkeit verpflichtet sind (Art. 28 Abs. 3 lit. b DSGVO).

c) Geeignete technische und organisatorische Maßnahmen (TOMs) gemäß Art. 32 DSGVO zu implementieren und aufrechtzuerhalten (§ 5 dieses Vertrags).

d) Den Auftraggeber unverzüglich zu informieren, sofern eine Weisung gegen datenschutzrechtliche Vorschriften verstößt (Art. 28 Abs. 3 DSGVO).

e) Den Auftraggeber bei der Erfüllung von Betroffenenrechten (Auskunft, Berichtigung, Löschung) zu unterstützen (Art. 28 Abs. 3 lit. e DSGVO).

f) Datenschutzverletzungen dem Auftraggeber unverzüglich, spätestens innerhalb von 72 Stunden nach Bekanntwerden, zu melden (Art. 33 DSGVO).

§ 4 — Unterauftragsverarbeiter

Der Auftraggeber erteilt mit Abschluss dieses Vertrags eine allgemeine Genehmigung zum Einsatz folgender Unterauftragsverarbeiter. Der Auftragsverarbeiter stellt sicher, dass alle Unterauftragsverarbeiter gleichwertige Datenschutzpflichten erfüllen:

Über den Einsatz neuer oder den Wechsel von Unterauftragsverarbeitern informiert der Auftragsverarbeiter den Auftraggeber mit einer Vorlaufzeit von mindestens 14 Tagen per E-Mail. Der Auftraggeber kann Änderungen innerhalb dieser Frist schriftlich widersprechen.

§ 5 — Technische und organisatorische Maßnahmen (TOMs)

Der Auftragsverarbeiter trifft folgende Maßnahmen zur Datensicherheit gemäß Art. 32 DSGVO:

— Verschlüsselung: Alle Datenübertragungen erfolgen ausschließlich via HTTPS/TLS. Passwörter werden ausschließlich als bcrypt-Hash gespeichert.
— Zugriffskontrolle: Datenbankzugriff ist durch Row Level Security (RLS) pro Nutzer isoliert — kein Nutzer kann Daten eines anderen Nutzers einsehen.
— Verfügbarkeit: Betrieb auf hochverfügbarer Cloud-Infrastruktur mit automatischen Backups (Supabase, Vercel).
— Pseudonymisierung: Nutzungsdaten werden, soweit technisch möglich, pseudonymisiert oder anonymisiert gespeichert.
— Zugriffsbeschränkung: Datenbankzugriff für den Auftragsverarbeiter beschränkt auf das technisch notwendige Minimum für Betrieb und Support.

§ 6 — Pflichten des Auftraggebers

Der Auftraggeber ist für Folgendes verantwortlich:

a) Die Rechtmäßigkeit der Erhebung und Eingabe von Endkundendaten in CraftFlow sicherzustellen (eigene Rechtsgrundlage gegenüber seinen Kunden).

b) Seine eigenen Kunden über die Verarbeitung ihrer Daten durch CraftFlow zu informieren, soweit gesetzlich erforderlich.

c) Weisungen zur Datenverarbeitung ausschließlich schriftlich (per E-Mail an anfrage@fscrafted.de) zu erteilen.

d) Den Auftragsverarbeiter unverzüglich zu informieren, sofern er Fehler oder Unregelmäßigkeiten bei der Datenverarbeitung feststellt.

§ 7 — Löschung und Rückgabe nach Vertragsende

Nach Beendigung der Nutzung (Konto-Löschung) werden alle personenbezogenen Daten des Auftraggebers und seiner Endkunden innerhalb von 30 Tagenunwiderruflich gelöscht, sofern keine gesetzlichen Aufbewahrungspflichten entgegenstehen (z.B. steuerrechtliche Aufbewahrungsfristen für Rechnungsdaten: 10 Jahre).

Der Auftraggeber kann vor der Konto-Löschung alle Projektdaten über die Export-Funktion (CSV, Excel, JSON) herunterladen. Eine Rückgabe der Daten in einem anderen Format ist auf Anfrage möglich (anfrage@fscrafted.de).

Anonyme oder aggregierte Benchmark-Daten (sofern der Auftraggeber dem Benchmarking zugestimmt hat) enthalten keinen Personenbezug und unterliegen keiner Löschpflicht.

§ 8 — Audit und Nachweis

Der Auftraggeber hat das Recht, die Einhaltung dieses Vertrags durch den Auftragsverarbeiter zu überprüfen. Anfragen sind schriftlich an anfrage@fscrafted.de zu richten. Der Auftragsverarbeiter beantwortet solche Anfragen innerhalb von 30 Tagen.

Als Nachweis der Compliance gilt insbesondere die Vorlage dieser veröffentlichten TOMs sowie der abgeschlossenen Auftragsverarbeitungsverträge mit den Unterauftragsverarbeitern (auf Anfrage).

§ 9 — Vertragsabschluss und Gültigkeit

Dieser AVV wird mit der Registrierung bei CraftFlow durch Setzen des entsprechenden Hakens verbindlich vereinbart. Der Zeitstempel der Zustimmung wird im System protokolliert und dient als Nachweis gemäß Art. 28 Abs. 3 DSGVO.

Es gilt das Recht der Bundesrepublik Deutschland. Gerichtsstand ist Hanau, soweit gesetzlich zulässig.

FS Crafted behält sich vor, diesen AVV bei wesentlichen Änderungen des Dienstes oder der Rechtslage anzupassen. Nutzer werden per E-Mail informiert und haben das Recht, der Änderung innerhalb von 14 Tagen zu widersprechen. Bei Widerspruch ist die Konto-Löschung kostenfrei möglich.

Fragen zu diesem AVV: anfrage@fscrafted.de · Version 2026-07 · Änderungen werden mit 14 Tagen Vorlauf kommuniziert.