AUFTRAGSVERARBEITUNGSVERTRAG (AVV)
gemäß Art. 28 DSGVO

zwischen

Auftraggeber:  https://fuenfseen.portal.sb-code-solutions.de
(Tenant des SB-Portal-SaaS)

und

Auftragnehmer: SB Code Solutions
              Inhaber: Bekir Ciftci
              info@sb-code-solutions.de

Stand: 2026-11-13

──────────────────────────────────────────────────────────────────────
§ 1 — Gegenstand
──────────────────────────────────────────────────────────────────────
Der Auftragnehmer verarbeitet personenbezogene Daten im Auftrag des
Auftraggebers im Rahmen der Bereitstellung der SaaS-Plattform
"SB Portal" (Auftrags- + Kundenverwaltung, Buchhaltung, Mitarbeiter-
Disposition).

──────────────────────────────────────────────────────────────────────
§ 2 — Art und Zweck der Verarbeitung
──────────────────────────────────────────────────────────────────────
Erhebung, Speicherung, Veränderung, Auslesen, Übermittlung an
Subprozessoren (siehe § 6), Löschung. Zweck: Erbringung der vertraglich
geschuldeten Software-Leistung.

──────────────────────────────────────────────────────────────────────
§ 3 — Art der personenbezogenen Daten
──────────────────────────────────────────────────────────────────────
- Stammdaten Mitarbeiter (Name, E-Mail, Telefon, Rolle, Stundensatz)
- Stammdaten Kunden (Name, Anschrift, E-Mail, Telefon, ggf. IBAN/BIC)
- Auftragsdaten (Ort, Datum, beteiligte Mitarbeiter, Fotos, Unterschrift)
- Zeiterfassung, Schichten, Abwesenheiten (bei Krankheit nur Zeitraum)
- Standort beim Ein-/Ausstempeln (nur mit Freigabe des Mitarbeiters,
  Speicherdauer 90 Tage)
- Kundenbewertungen von Einsätzen, Schlüsselquittungen
- Rechnungsdaten (Beträge, Zahlungsstatus, SEPA-Mandate)
- Fotos / Dokumente, soweit vom Auftraggeber hochgeladen

──────────────────────────────────────────────────────────────────────
§ 4 — Kategorien betroffener Personen
──────────────────────────────────────────────────────────────────────
- Mitarbeiter des Auftraggebers
- Kunden des Auftraggebers
- Kontaktpersonen / Ansprechpartner der Kunden
- Nutzer des Kundenportals, Empfänger von Schlüsseln

──────────────────────────────────────────────────────────────────────
§ 5 — Pflichten des Auftragnehmers
──────────────────────────────────────────────────────────────────────
(1) Verarbeitung ausschließlich auf dokumentierte Weisung des
    Auftraggebers (Art. 28 Abs. 3 lit. a).
(2) Vertraulichkeitsverpflichtung aller mit der Verarbeitung
    befassten Personen (Art. 28 Abs. 3 lit. b).
(3) Technische + organisatorische Maßnahmen siehe § 7.
(4) Unterstützung bei Betroffenenrechten (Art. 12-23) — der
    Auftraggeber kann via /api/v1/customers/{id}/gdpr-export einen
    Export der gespeicherten Datensätze (JSON-Dateien im ZIP) ziehen;
    hochgeladene Dateien sind darin nicht enthalten.
(5) Meldung Datenpannen binnen 72 h nach Kenntnis (Art. 33).
(6) Nach Vertragsende: Rückgabe oder Löschung aller Daten nach Wahl
    des Auftraggebers.

──────────────────────────────────────────────────────────────────────
§ 6 — Subprozessoren
──────────────────────────────────────────────────────────────────────
Der Auftragnehmer setzt folgende Subprozessoren ein (Stand: 2026-11-13):

- Hetzner Online GmbH, Gunzenhausen — Hosting (Server, Datenbanken,
  Dateien, Backups) im Rechenzentrum Nürnberg, Deutschland
- IONOS SE, Montabaur — E-Mail-Versand von SB Code Solutions
  (Willkommens-, Reset- und Abrechnungsmails), Deutschland
- Stripe Payments Europe Ltd., Irland — Zahlungsabwicklung des
  Abonnements (Konzern USA; SCC + DPF). DPA: https://stripe.com/legal/dpa
- OpenStreetMap Foundation, Vereinigtes Königreich — Kartenkacheln
  der Tourenkarte (IP-Adresse des Browsers) und Geocoding über
  Nominatim (Objekt- bzw. Kundenanschrift); Angemessenheitsbeschluss
- OSRM (router.project-osrm.org) — Routenberechnung für die
  Tourreihenfolge (Koordinaten der Einsatzorte)
- Bright Sky — Wetterdaten auf Basis von Daten des Deutschen
  Wetterdienstes (Koordinaten der Objekte, gerundet)
- Web-Push-Dienste der Browserhersteller (Google, Apple, Mozilla,
  Microsoft) — Zustellung von Benachrichtigungen; Inhalte sind
  Ende-zu-Ende verschlüsselt, der Dienst sieht nur Endpunkt, Zeitpunkt
  und Größe
- hCaptcha (Intuition Machines Inc., USA) — Bot-Schutz nur bei der
  Registrierung eines Betriebs (Token, IP-Adresse), SCC nach Art. 46.
  DPA: https://www.hcaptcha.com/privacy
- Vercel Inc., USA — nur Hosting der Marketing-Website einschließlich
  des Registrierungsformulars; keine Daten aus dem Portal der Betriebe

Optional, nur bei Nutzung durch den Auftraggeber: SMTP-Server des
Auftraggebers für Rechnungen, Angebote und Berichte (vom Auftraggeber
selbst gewählt).

Änderungen werden mindestens 30 Tage im Voraus angekündigt; der
Auftraggeber hat ein Widerspruchsrecht (Art. 28 Abs. 2).

──────────────────────────────────────────────────────────────────────
§ 7 — Technische + organisatorische Maßnahmen (TOM)
──────────────────────────────────────────────────────────────────────
- Transport-Verschlüsselung TLS 1.2+, HSTS
- Verschlüsselt gespeichert (AES-256-GCM): Kunden-Telefon und -Mobil-
  nummer, Adressfeld, Notizen, Schlüssel- und Zugangshinweise,
  Sonderkonditionen, IBAN/BIC/SEPA-Mandat, 2FA-Geheimnis, SMTP-Passwort.
  Straße, PLZ und Ort bleiben für Suche und Routenplanung unverschlüsselt.
- Passwörter bcrypt cost 13
- Sitzung per HttpOnly-Cookie (JWT), 8 Stunden gültig, bei Aktivität
  verlängerbar; Sperrliste für abgemeldete Tokens
- Multi-Tenant-Isolation: separate DB + separater Prozess pro Tenant
- Backup täglich, verschlüsselt, 7 Tage Aufbewahrung
- Audit-Log für administrative Aktionen: 90 Tage, buchhaltungsrelevante
  Einträge 10 Jahre
- Server-Logs: 30 Tage
- Standortdaten der Zeiterfassung: Löschung nach 90 Tagen
- Per-IP Rate-Limit auf Auth-Endpunkten

──────────────────────────────────────────────────────────────────────
§ 8 — Rechte des Auftraggebers (Kontrollrechte)
──────────────────────────────────────────────────────────────────────
Der Auftraggeber kann nach Anmeldung mit angemessener Frist die
Einhaltung der TOM prüfen — Vor-Ort-Audit nach Voranmeldung.

──────────────────────────────────────────────────────────────────────
§ 9 — Haftung
──────────────────────────────────────────────────────────────────────
Es gilt Art. 82 DSGVO. Im Innenverhältnis haftet der Auftragnehmer
für eigenes Verschulden uneingeschränkt; sonstige Haftung ist nach
den Allgemeinen Geschäftsbedingungen begrenzt.

──────────────────────────────────────────────────────────────────────
§ 10 — Inkrafttreten + Schlussbestimmungen
──────────────────────────────────────────────────────────────────────
Dieser Vertrag wird mit Abschluss des Hauptvertrags (SaaS-Nutzung)
automatisch wirksam und endet mit dessen Beendigung. Für vor diesem
Stand bereits aktive Tenants gilt er rückwirkend ab Vertragsbeginn.

Bei Fragen oder zur schriftlichen Gegenzeichnung:
info@sb-code-solutions.de