Auftragsverarbeitungsvertrag (AVV)

Dieser Auftragsverarbeitungsvertrag (nachfolgend „AVV") konkretisiert die datenschutzrechtlichen Verpflichtungen zwischen dem Nutzer (Verantwortlicher) und Angebotsbuddy (Auftragsverarbeiter) gemäß Art. 28 DSGVO.

1. Gegenstand und Dauer der Verarbeitung

Gegenstand ist die Verarbeitung personenbezogener Daten im Rahmen der Nutzung der Angebotsbuddy-Plattform zur Erstellung von Angeboten, Rechnungen und weiteren Geschäftsdokumenten. Die Verarbeitung erfolgt für die Laufzeit des Hauptvertrags.

2. Art und Zweck der Verarbeitung

Speicherung und Verarbeitung von Kundendaten, Angeboten, Rechnungen, Terminen, Sprachaufnahmen sowie Fotos der Handwerksbetriebe zur Bereitstellung der vertraglich vereinbarten Funktionen.

3. Kategorien betroffener Personen

• Endkunden der Handwerksbetriebe (Auftraggeber)
• Mitarbeitende des Handwerksbetriebs
• Ansprechpartner bei Lieferanten

4. Weisungsgebundenheit

Angebotsbuddy verarbeitet personenbezogene Daten ausschließlich im Rahmen der getroffenen Vereinbarungen und nach dokumentierter Weisung des Verantwortlichen.

5. Vertraulichkeit

Alle mit der Datenverarbeitung befassten Personen werden zur Vertraulichkeit verpflichtet (Art. 28 Abs. 3 lit. b DSGVO).

6. Technische und organisatorische Maßnahmen (TOM)

• Verschlüsselte Datenübertragung (TLS 1.2+)
• Verschlüsselte Datenspeicherung (AES-256)
• Zugriffskontrollen per rollenbasiertem Berechtigungssystem (RLS)
• Regelmäßige automatisierte Backups (Point-in-Time-Recovery)
• Protokollierung sicherheitsrelevanter Zugriffe
• Rechenzentren innerhalb der EU

7. Unterauftragsverarbeiter

• Supabase (Hosting, Datenbank, Auth) – EU-Region
• Lovable AI Gateway (KI-Verarbeitung für Transkription und Textgenerierung)
• Resend / E-Mail-Versanddienst (transaktionale E-Mails)

8. Meldung von Datenpannen

Angebotsbuddy informiert den Verantwortlichen unverzüglich, spätestens jedoch innerhalb von 72 Stunden nach Kenntnisnahme, über eine Verletzung des Schutzes personenbezogener Daten.

9. Datenlöschung nach Vertragsende

Nach Beendigung des Hauptvertrags werden alle personenbezogenen Daten nach Wahl des Verantwortlichen gelöscht oder zurückgegeben. Eine 30-tägige Exportfrist wird gewährt.

Stand: Juli 2026. Dieser AVV ist ein Muster und vor Live-Gang anwaltlich prüfen zu lassen.