Vertrag zur Auftragsverarbeitung (AVV)
Fassung 0.2 · Stand 28.10.2026
Nach Art. 28 DSGVO. Abschluss mit dem Pflicht-Häkchen bei der Registrierung bzw. beim Einrichten des Betriebs (Inhaber), also vor der ersten Verarbeitung; für Konten, die vor dem 30.10.2026 angelegt wurden, im Inhaber-Konto (Hinweis auf der Startseite oder spätestens bei der Buchung). Gespeichert werden Zeitpunkt, Konto, Name des Inhabers mit Firma und Fassung. Diese Seite lässt sich jederzeit drucken oder als PDF speichern. Neue Fassungen werden erneut bestätigt; bis dahin gilt die alte weiter.
Parteien: Verantwortlicher ist der Betrieb, der Lager Klaus nutzt („Auftraggeber“; Daten aus dem Kundenkonto). Auftragsverarbeiter ist RBR Gastro – Raphael Braun, Neuhauser Str. 47, 78532 Tuttlingen, info@rbr-gastro.de („Auftragnehmer“).
§ 1 Gegenstand und Dauer
- Der Auftragnehmer stellt dem Auftraggeber Lager Klaus als Software-Dienst bereit und verarbeitet dabei personenbezogene Daten, für die der Auftraggeber verantwortlich ist. Einzelheiten stehen in Anlage 1.
- Der AVV gilt, solange der Nutzungsvertrag besteht, und endet mit ihm. Pflichten nach § 10 bestehen fort.
§ 2 Weisungen
- Der Auftragnehmer verarbeitet Daten nur auf dokumentierte Weisung des Auftraggebers, auch bei Übermittlungen in Drittländer. Weisungen sind dieser Vertrag, der Nutzungsvertrag und die Einstellungen, die der Auftraggeber in der App vornimmt (Rechte, KI ein/aus, Löschungen, Löschfristen). Weitere Weisungen erteilt er in Textform an info@rbr-gastro.de.
- Muss der Auftragnehmer nach Unionsrecht oder deutschem Recht anders verarbeiten, teilt er das vorher mit, soweit das Gesetz es nicht verbietet.
- Hält der Auftragnehmer eine Weisung für rechtswidrig, sagt er das unverzüglich und darf sie aussetzen, bis der Auftraggeber sie bestätigt oder ändert.
§ 3 Vertraulichkeit
Zugriff auf Daten des Auftraggebers haben nur Personen, die zur Vertraulichkeit verpflichtet sind und ihn für Betrieb, Fehlerbehebung oder Support brauchen. Derzeit ist das allein Raphael Braun. Künftige Mitarbeiter werden vor dem ersten Zugriff schriftlich verpflichtet.
§ 4 Sicherheit
Der Auftragnehmer trifft die Maßnahmen nach Art. 32 DSGVO aus Anlage 2. Er darf sie weiterentwickeln, solange das Schutzniveau nicht sinkt, und überprüft sie mindestens jährlich.
§ 5 Unterauftragsverarbeiter
- Der Auftraggeber genehmigt die Unterauftragsverarbeiter aus Anlage 3 (allgemeine Genehmigung nach Art. 28 Abs. 2 DSGVO).
- Neue oder ersetzte Unterauftragsverarbeiter kündigt der Auftragnehmer mindestens 30 Tage vorher per E-Mail an die Inhaber-Adresse und in der App an. Der Auftraggeber kann innerhalb von 14 Tagen nach der Ankündigung aus wichtigem datenschutzrechtlichem Grund widersprechen. Finden beide keine Lösung, kann der Auftraggeber den Nutzungsvertrag zum Wirksamwerden der Änderung fristlos kündigen; im Voraus gezahlte Entgelte werden anteilig erstattet.
- Der Auftragnehmer legt jedem Unterauftragsverarbeiter dieselben Datenschutzpflichten auf und haftet für ihn wie für sich selbst (Art. 28 Abs. 4 DSGVO).
- Daten gehen nur in Drittländer, wenn Art. 44 ff. DSGVO erfüllt ist, etwa durch das EU-US Data Privacy Framework oder Standardvertragsklauseln. Grundlage je Dienst: Anlage 3.
§ 6 Rechte betroffener Personen
Der Auftragnehmer unterstützt den Auftraggeber bei Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit und Widerspruch. In der App stehen bereit: Daten ansehen und ändern, Personen und Einträge löschen, Export als Datei, Konto und Daten löschen. Anfragen, die direkt beim Auftragnehmer eingehen, leitet er unverzüglich weiter.
§ 7 Unterstützung
Der Auftragnehmer unterstützt den Auftraggeber mit den ihm verfügbaren Informationen bei den Pflichten nach Art. 32–36 DSGVO. Diese Unterstützung ist im Preis enthalten. Nur außergewöhnlichen Aufwand (z. B. Mitarbeit an einer Datenschutz-Folgenabschätzung oder an einem Behördenverfahren) darf er nach vorheriger Ankündigung nach Aufwand berechnen, nicht aber, wenn er den Anlass selbst verschuldet hat.
§ 8 Datenschutzverletzungen
Erfährt der Auftragnehmer von einer Verletzung des Schutzes personenbezogener Daten des Auftraggebers, meldet er sie unverzüglich, spätestens innerhalb von 48 Stunden, in Textform an die Inhaber-Adresse. Die erste Meldung darf vorläufig sein. Sie enthält, soweit bekannt: Art und Umfang, betroffene Datenarten und Personengruppen, wahrscheinliche Folgen, ergriffene und vorgeschlagene Maßnahmen sowie einen Ansprechpartner. Der Auftragnehmer ergänzt die Meldung, sobald er mehr weiß.
§ 9 Nachweise und Kontrollen
- Der Auftragnehmer stellt die Nachweise bereit, die für Art. 28 DSGVO nötig sind: diesen Vertrag mit Anlagen, die TOM mit Datum der letzten Überprüfung und die Prüfberichte bzw. Zertifikate der Unterauftragsverarbeiter.
- Reichen diese nicht, sind Kontrollen durch den Auftraggeber oder einen zur Verschwiegenheit verpflichteten Prüfer möglich: höchstens einmal im Jahr, mit mindestens 14 Tagen Ankündigung, zu Geschäftszeiten, ohne unverhältnismäßige Störung. Der Auftragnehmer kann dafür seinen Aufwand berechnen. Nach einer Datenschutzverletzung im Verantwortungsbereich des Auftragnehmers ist eine Kontrolle jederzeit und kostenlos möglich.
§ 10 Ende: Export und Löschung
- Nach Ende des Nutzungsvertrags kann der Auftraggeber seine Daten 30 Tage lang lesen und kostenlos exportieren (JSON, CSV, PDF). Danach löscht der Auftragnehmer sie innerhalb weiterer 30 Tage und bestätigt die Löschung auf Wunsch in Textform.
- Sicherungskopien beim Datenbankdienst werden nach höchstens 7 Tagen überschrieben. Die zusätzliche verschlüsselte Sicherung beim Speicherdienst (Hetzner, Anlage 3) hält 30 Tages- und 12 Monatsstände; nach Löschung des Kontos wird sie spätestens nach 35 Tagen entfernt, in den Speicher-Schnappschüssen spätestens nach weiteren 8 Wochen.
- Gesetzliche Aufbewahrungspflichten des Auftraggebers (z. B. für Arbeitszeitnachweise 2 Jahre) erfüllt dieser selbst, etwa durch den Export vor Vertragsende. Der Auftragnehmer weist vor Vertragsende darauf hin.
§ 11 Haftung
Gegenüber betroffenen Personen gilt Art. 82 DSGVO. Im Verhältnis der Parteien gilt die Haftungsregel der AGB (§ 12): unbeschränkt bei Vorsatz, grober Fahrlässigkeit und Verletzung von Leben, Körper oder Gesundheit, im Übrigen wie dort begrenzt.
§ 12 Schlussbestimmungen
- In Datenschutzfragen geht dieser Vertrag dem Nutzungsvertrag vor.
- Änderungen bedürfen der Textform.
- Ist eine Bestimmung unwirksam, bleibt der Rest wirksam.
- Es gilt deutsches Recht; Gerichtsstand ist, soweit zulässig, Tuttlingen.
- Der Auftragnehmer bewahrt die Vertragsunterlagen bis 3 Jahre nach Vertragsende auf.
Anlagen zum AVV
Anlage 1 – Verarbeitung, Datenarten, Betroffene
Zweck: Bereitstellung von Lager Klaus für den Betrieb des Auftraggebers: Bestand, Wareneingang, Inventur, Bestellung, Geräte und Prüftermine, Hygiene (HACCP), Rezepte und Allergene, Personal (Dienstplan, Zeiterfassung, Urlaub), Vermietung, Aufgaben, Auswertungen, Datensicherung, Support.
Art: Erheben, Speichern, Ordnen, Anpassen, Auslesen, Abfragen, Verwenden, Übermitteln an vom Auftraggeber gewählte Empfänger (z. B. Export an Steuer- oder Lohnbüro, Bestellung an Lieferanten, Datei an eine Warenwirtschaft), Einschränken, Löschen.
| Betroffene | Datenarten |
|---|---|
| Inhaber, Leitung, Mitarbeiter (auch Minijobber, Aushilfen) | Name, Kürzel, Rolle, Rechte, E-Mail (freiwillig), Telefon des Betriebs (für Rückruf beim zweiten Faktor), PIN nur als gesalzener Prüfwert, freiwillige Profilangaben, Buchungs- und Änderungsprotokoll (wer, wann, was), ausgegebenes Betriebseigentum, Unterweisungen, Aufgaben |
| Mitarbeiter (nur wenn Personal-Funktionen genutzt) | Dienstplan, Arbeits- und Stempelzeiten, Urlaub, Personalnummer, Minijob-Kennzeichen, Stundenlohn (nur Inhaber) |
| Mitarbeiter – Gesundheitsdaten (Art. 9 DSGVO) | nur der Status „arbeitsunfähig“ mit Zeitraum, ohne Diagnose oder Freitext; sichtbar nur für Inhaber und Leitung, Kollegen sehen „abwesend“; nie an KI-Funktionen; eigene Löschfrist (Standard 12 Monate nach Ende des Kalenderjahres, einstellbar) |
| Kunden des Auftraggebers (Vermietung, Aufträge) | Name, Firma, Anschrift, Telefon, E-Mail, Angebote, Mietverträge, Kaution, Unterschrift auf dem Übergabeprotokoll; Ausweis nur als Vermerk „vorgelegt“ |
| Lieferanten und Ansprechpartner | Firmenname, Ansprechpartner, Kontaktdaten, Rechnungen und Lieferscheine (auch Bild/PDF) |
| Personen auf Fotos (nicht beabsichtigt) | Fotos von Lagerplätzen und Geräten; die App bittet, keine Menschen zu fotografieren |
| Alle Nutzer | technische Daten (Gerät, Version, Fehlerereignisse); Standort nur bei eingeschalteter Funktion; Support-Anfragen mit Gerät, Version und letzten Schritten |
KI-Funktionen (nur nach Einschalten durch den Inhaber und mit Einwilligung): Fotos, gesprochener oder getippter Text, Belege, Import-Tabellen und die dazu nötigen Lagerangaben gehen zur Auswertung an Anthropic (Anlage 3). Kein Training mit Kundendaten.
Arbeitszeitnachweise: Standard-Aufbewahrung 2 Jahre ab Ende des Kalenderjahres (§ 17 MiLoG, § 16 Abs. 2 ArbZG), danach Löschvorschlag an den Inhaber. Der Auftraggeber kann längere Fristen einstellen.
Anlage 2 – Technische und organisatorische Maßnahmen (Art. 32 DSGVO)
Stand Lager Klaus 4.9.9.9, geprüft am Code und am Server am 27.10.2026. [live] = in Betrieb · [geplant] = beschlossen, Termin genannt.
1. Vertraulichkeit
- Rechenzentren: physischer Schutz über die Unterauftragsverarbeiter (Supabase auf AWS eu-west-1 Irland, SOC 2 Typ 2 und ISO 27001; Netlify, ISO 27001). [live]
- Trennung der Betriebe: Row-Level-Security in der Datenbank; jeder Betrieb sieht nur eigene Daten, der Server prüft die Rechte. [live]
- Anmeldung: Inhaber per E-Mail und Passwort; zweiter Faktor (TOTP) für Inhaber und Leitung, serverseitig erzwungen über 12 Sicherheitsregeln. Mitarbeiter per persönlichem Einladungslink (einmal nutzbar, höchstens 48 h) und eigener PIN, gespeichert nur als gesalzener PBKDF2-Prüfwert, Sperre nach 5 Fehlversuchen mit wachsender Wartezeit. [live]
- Ablauf bei verlorenem zweiten Faktor: Rückruf nur an vorher bekannte Nummer, 2 von 3 Betriebsfragen, Protokoll. [live, beschlossen 26.10.2026]
- Rollen und Rechte: Inhaber, Leitung, Mitarbeiter, Nur ansehen; Einzelrechte, Sparten und Rechte je Lagerort; Löhne nur für den Inhaber. [live]
- Geheimnisse: KI-Schlüssel und Datenbank-Dienstschlüssel nur auf dem Server; automatische Geheimnis-Prüfung vor jeder Auslieferung. [live]
- Arbeitsplatz des Anbieters: Mac mit Festplattenverschlüsselung, Bildschirmsperre, Passwortmanager; zweiter Faktor für alle Verwaltungszugänge (Supabase, Netlify, GitHub, E-Mail, Stripe). [geplant: Nachweis bis 15.11.2026]
2. Integrität
- Übertragung nur verschlüsselt (HTTPS/TLS); Datenbank im Ruhezustand verschlüsselt (Dienstleister). [live]
- Sicherheits-Kopfzeilen inkl. scharfer Content-Security-Policy seit 26.10.2026; Programmbibliotheken selbst gehostet, keine Einbindung von CDNs für Kernfunktionen. [live]
- Eingaben: Schutz gegen eingeschleusten Code und Formeln in Exporten (CSV-Formelschutz). [live]
- Nachvollziehbarkeit: Protokoll, wer wann was gebucht oder geändert hat; Papierkorb statt sofortiger Löschung; Rückgängig. [live] Unveränderliches Änderungsprotokoll für Zeiterfassung und HACCP-Einträge. [geplant: vor öffentlichem Start]
3. Verfügbarkeit, Belastbarkeit, Wiederherstellung
- Tägliche automatische Sicherung beim Datenbankdienst, Aufbewahrung 7 Tage; zusätzlich jede Nacht eine verschlüsselte Sicherung je Betrieb bei Hetzner in Deutschland (30 Tages- und 12 Monatsstände, Anlage 3). [live; Hetzner-Sicherung mit Version 5.1]
- Die App arbeitet bei Netzausfall weiter und gleicht nach (alle 2 Minuten und bei Rückkehr). [live]
- Kunde kann jederzeit eine eigene Sicherung herunterladen; Hinweis „Datensicherung fällig“ nach 7 Tagen, „Sicherung prüfen“ ohne Einspielen. [mit Version 5.0]
- Statusseite und Störungshinweis in der App. [mit Version 5.0]
- Wiederherstellung einmal jährlich geprobt und dokumentiert. [erste Probe am 27.10.2026 durchgeführt, Protokoll liegt vor]
4. Regelmäßige Überprüfung
- Jede Änderung durchläuft automatische Tests (Rechte, böse Eingaben, ohne Netz, Massendaten) und eine unabhängige Prüfung (Vier-Augen-Prinzip); ausgeliefert wird nur nach ausdrücklicher Freigabe. [live]
- Sicherheitshinweise des Datenbankdienstes werden regelmäßig ausgewertet. [live]
- Ablauf bei Datenschutzverletzungen mit Meldebogen und 48-Stunden-Frist. [live mit diesem AVV]
- Diese TOM werden jährlich überprüft; nächste Überprüfung Oktober 2027.
- Externer Sicherheitstest. [geplant, Termin offen]
5. Löschung
- Löschen von Einträgen, Personen, Bereichen und „Konto und Daten löschen“ durch den Inhaber in der App. [live]
- Löschfristen: Gesundheitsstatus 12 Monate, Arbeitszeit 2 Jahre (jeweils ab Ende des Kalenderjahres, einstellbar), alles andere nach Vertragsende gemäß § 10. [geplant: Einstellungen vor öffentlichem Start]
6. Datenschutz durch Technik und Voreinstellungen
- KI, Standort, Sprache und Fehleranalyse nur nach Einschalten; KI nur mit Einwilligung, Tagesdeckel je Betrieb. [live]
- KI-Ausgaben sind gekennzeichnet (Art. 50 KI-VO). [mit Version 5.1: Hinweis vor der ersten KI-Nutzung je Person, 🤖 an Ergebnissen]
- Fotos: Hinweis, keine Personen zu fotografieren; Ausweise nur als Vermerk. [live]
Anlage 3 – Unterauftragsverarbeiter
Stand 27.10.2026. Die Liste steht dauerhaft mit Versionsdatum auf lagerklaus.com/unterauftragsverarbeiter.
| Dienstleister (Vertragspartner) | Aufgabe | Ort der Verarbeitung | Drittlandgrundlage | Nachweise |
|---|---|---|---|---|
| Supabase Pte. Ltd., 65 Chulia Street #38-02/03, Singapur 049513; Unter-Dienstleister u. a. Supabase Inc. (USA, Betrieb und Support) und AWS | Datenbank, Anmeldung, Dateispeicher, Server-Funktionen, Bestätigungs-Mails | AWS eu-west-1 (Irland, EU); Support und Abrechnung weltweit | Standardvertragsklauseln Modul 2/3 und veröffentlichte Transfer-Folgenabschätzung | SOC 2 Typ 2, ISO 27001; Backups 7 Tage; Meldung von Vorfällen möglichst binnen 48 h |
| Netlify, Inc., San Francisco, USA | Auslieferung der App-Dateien, Server-Protokolle mit IP-Adresse | USA (CDN weltweit) | EU-US Data Privacy Framework, ersatzweise Standardvertragsklauseln | ISO 27001/27018, SOC 2; Protokolle laut DPA bis 90 Tage |
| Anthropic Ireland, Limited, Dublin; Verarbeitung durch Anthropic PBC, USA | KI-Auswertung (Fotos, Text, Belege) – nur, wenn der Inhaber sie einschaltet | USA (eine Verarbeitung in der EU bietet die API derzeit nicht an) | Standardvertragsklauseln Modul 2/3 | ISO 27001, ISO/IEC 42001, SOC 2 Typ II; kein Training mit Kundendaten; Speicherung bis zu 30 Tage, bei Richtlinienverstößen bis zu 2 Jahre |
| Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen (Storage Box) | Zweite, nächtliche Sicherung außerhalb des Datenbankdienstes – nur verschlüsselt (AES-256-GCM, Schlüssel nur beim Auftragnehmer); Hetzner sieht keine lesbaren Daten | Deutschland (Rechenzentrum Falkenstein) | keine (EU) | AVV nach Art. 28 DSGVO über die Hetzner-Konsole; ISO 27001; Aufbewahrung 30 Tagesstände + 12 Monatsstände; nach Kontolöschung gelöscht spätestens nach 35 Tagen, in Snapshots der Box spätestens nach weiteren 8 Wochen [mit Version 5.1] |
| IONOS SE, Elgendorfer Str. 57, 56410 Montabaur | E-Mail-Postfach und Versand (Support-Anfragen, Fehlermeldungen) | Deutschland | – | AVV als Teil der IONOS-AGB |
Nicht in dieser Liste, weil keine Auftragsverarbeitung für den Kunden (stehen in der Datenschutzerklärung): Stripe (Abrechnung mit dem Kunden selbst), GitHub (nur Programmcode, keine Kundendaten), Apple und Google (Bezug der Store-Apps), komoot Photon (Adressvorschläge), OpenStreetMap (Kartenbilder), Open Food Facts (Produktdaten zu Barcodes), Spracherkennung des Browsers bzw. Betriebssystems.