Vereinbarung zur Auftragsverarbeitung (AVV)

zwischen dem im Kundenvertrag benannten Kunden — nachfolgend „Verantwortlicher“ — und der idoneo GmbH, Am Wüstenknapp 19, 44534 Lünen — nachfolgend „Auftragsverarbeiter“.

Diese Vereinbarung konkretisiert die datenschutzrechtlichen Pflichten der Parteien aus dem Kundenvertrag über die Nutzung der Software CleanTicket („Hauptvertrag“) nach Art. 28 DSGVO. Sie ist Bestandteil des Hauptvertrags und geht im Datenschutz den AGB vor. Die unterzeichnete Fassung ist Anlage B des Kundenvertrags; diese Seite dient dem Nachlesen.

§ 1 Gegenstand und Dauer

1. Der Auftragsverarbeiter betreibt für den Verantwortlichen einen Mandanten der Software CleanTicket zur Erfassung, Weiterleitung und Bearbeitung von Meldungen zu Reinigungsleistungen (Beschwerden, Lob, Hinweise) einschließlich Anhängen, Benachrichtigungen und Stammdatenverwaltung. Einzelheiten in Anlage 1.
2. Die Dauer richtet sich nach dem Hauptvertrag. Nach dessen Ende gilt § 10.

§ 2 Rollen

1. Der Verantwortliche entscheidet über Zwecke und Mittel der Verarbeitung aller Mandanteninhalte: Tickets, Kommentare, Anhänge, Angaben von Meldern, Kunden- und Objektstammdaten sowie die Nutzerkonten seiner Mitarbeiter und Ansprechpartner.
2. Für Daten, die der Auftragsverarbeiter zur Durchführung des Hauptvertrags im eigenen Interesse verarbeitet (Vertragspartner-, Ansprechpartner- und Rechnungsdaten, Support-Korrespondenz, Sicherheits- und Betriebsprotokolle), ist er selbst Verantwortlicher; hierüber informiert seine Datenschutzerklärung.
3. Gegenüber Meldern, die per QR-Code ohne Anmeldung Meldungen abgeben, ist der Verantwortliche zur Information nach Art. 13 DSGVO verpflichtet (z. B. Aushang am QR-Code). Der Auftragsverarbeiter stellt dafür einen Textbaustein bereit.

§ 3 Weisungen

1. Der Auftragsverarbeiter verarbeitet personenbezogene Daten nur auf dokumentierte Weisung des Verantwortlichen. Der Hauptvertrag, diese Vereinbarung und die Bedienung der Software durch Nutzer des Verantwortlichen (Anlegen, Ändern, Löschen, Exportieren, Freigeben) gelten als Weisung.
2. Weitere Weisungen erfolgen in Textform an info@idoneo.de durch die im Kundenvertrag benannten weisungsberechtigten Personen.
3. Hält der Auftragsverarbeiter eine Weisung für rechtswidrig, teilt er dies unverzüglich mit und darf die Ausführung bis zur Bestätigung aussetzen.
4. Der Auftragsverarbeiter unterliegt keiner Verpflichtung nach dem Recht eines Drittlands, die der Weisungsbindung entgegensteht. Sollte sich das ändern, informiert er den Verantwortlichen vorab.

§ 4 Vertraulichkeit

Der Auftragsverarbeiter setzt für die Verarbeitung nur Personen ein, die zur Vertraulichkeit verpflichtet sind. Die Software ist so gebaut, dass Mitarbeiter des Auftragsverarbeiters keinen stehenden Lesezugriff auf Mandanteninhalte haben; ein Zugriff ist nur nach befristeter Freigabe gemäß § 5 Abs. 3 möglich.

§ 5 Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

1. Der Auftragsverarbeiter trifft die in Anlage 2 beschriebenen Maßnahmen. Er darf sie weiterentwickeln, solange das Schutzniveau nicht unterschritten wird; wesentliche Änderungen werden in Anlage 2 fortgeschrieben und dem Verantwortlichen mitgeteilt.
2. Mandanteninhalte werden mit einem mandantenindividuellen Schlüssel (AWS KMS) verschlüsselt gespeichert. Es handelt sich um serviceseitige Verschlüsselung: Die Software entschlüsselt zur Leistungserbringung (Anzeige, Suche, Benachrichtigung, Vorschaubilder). Eine Ende-zu-Ende-Verschlüsselung besteht nicht.
3. Support-Zugriff: Ein Zugriff von Mitarbeitern des Auftragsverarbeiters auf Mandanteninhalte setzt eine befristete Freigabe durch einen Administrator des Verantwortlichen in der Software voraus (Einstellungen → Support-Zugriff). Jeder Zugriff wird protokolliert; Freigaben und ihr Verlauf sind für den Verantwortlichen in der Software einsehbar. Ein Widerruf wirkt technisch binnen weniger Minuten.
4. Löschung eines Mandanten erfolgt durch Vernichtung des Mandantenschlüssels (Crypto-Shredding) nach einer Rücknahmefrist von 30 Tagen; danach sind die Inhalte einschließlich Sicherungskopien nicht mehr lesbar.

§ 6 Unterauftragsverarbeiter

1. Der Verantwortliche genehmigt die in Anlage 3 genannten Unterauftragsverarbeiter.
2. Beabsichtigte Änderungen (Hinzufügen, Ersetzen) teilt der Auftragsverarbeiter mindestens vier Wochen vorher in Textform mit. Der Verantwortliche kann binnen zwei Wochen aus wichtigem datenschutzrechtlichem Grund widersprechen; führt eine Einigung nicht zum Ziel, kann jede Partei den Hauptvertrag mit Wirkung zum Zeitpunkt der Änderung kündigen.
3. Mit jedem Unterauftragsverarbeiter bestehen vertragliche Pflichten, die denen dieser Vereinbarung entsprechen.

§ 7 Unterstützung des Verantwortlichen

1. Betroffenenrechte (Art. 15–22): Anfragen, die den Auftragsverarbeiter erreichen, leitet er unverzüglich an den Verantwortlichen weiter. Auskunft, Berichtigung und Löschung kann der Verantwortliche über die Software selbst erledigen; darüber hinaus unterstützt der Auftragsverarbeiter auf Anfrage.
2. Datenschutzverletzungen (Art. 33/34): Der Auftragsverarbeiter meldet ihm bekannt gewordene Verletzungen des Schutzes personenbezogener Daten, die den Verantwortlichen betreffen, ohne unangemessene Verzögerung, spätestens 48 Stunden nach Kenntnis an die im Kundenvertrag benannte Kontaktadresse — mit den ihm vorliegenden Angaben nach Art. 33 Abs. 3, Nachreichung folgt.
3. Datenschutz-Folgenabschätzung und Konsultation der Aufsichtsbehörde (Art. 35/36): Unterstützung durch die Bereitstellung der Dokumentation nach Anlage 2 sowie Auskünfte zur Architektur.
4. Aufwand für Unterstützung, der über die Bereitstellung vorhandener Dokumentation hinausgeht, kann nach dem im Kundenvertrag vereinbarten Stundensatz berechnet werden.

§ 8 Nachweise und Kontrollen

1. Der Auftragsverarbeiter weist die Einhaltung dieser Vereinbarung durch Dokumentation (Anlage 2, Architekturbeschreibung, Protokolle der Support-Zugriffe, Compliance-Nachweise der Unterauftragsverarbeiter, insbesondere AWS SOC 2 / ISO 27001) nach.
2. Der Verantwortliche kann nach Ankündigung von mindestens 14 Tagen einmal jährlich, bei konkretem Anlass auch häufiger, Kontrollen durchführen oder durch einen zur Vertraulichkeit verpflichteten Dritten durchführen lassen. Vor-Ort-Kontrollen bei Unterauftragsverarbeitern sind ausgeschlossen; hierfür gelten deren Nachweise.

§ 9 Verarbeitung außerhalb der EU / des EWR

1. Speicherung und Verarbeitung erfolgen in Rechenzentren von AWS in der EU (Region Frankfurt; KI-Inferenz in EU-Regionen gemäß Anlage 3).
2. Push-Benachrichtigungen: Aktiviert ein Nutzer Browser-Benachrichtigungen, wird die Nachricht über den Push-Dienst des jeweiligen Browserherstellers zugestellt (Google, Apple, Mozilla — teilweise USA). Der Inhalt ist für den Push-Dienst verschlüsselt (RFC 8291); sichtbar sind Zustelladresse und Metadaten. Die Aktivierung ist freiwillig und je Nutzer widerruflich.
3. KI-Assistenten (MCP): Verbindet ein vom Verantwortlichen freigeschalteter Nutzer die Software mit einem KI-Assistenten eines Drittanbieters, übermittelt dieser Nutzer Mandanteninhalte an den Drittanbieter. Das geschieht außerhalb dieses Auftrags in Verantwortung des Verantwortlichen; der Auftragsverarbeiter stellt nur die Schnittstelle und die Freischaltung durch den Administrator bereit.

§ 10 Löschung und Rückgabe nach Vertragsende

1. Nach Ende des Hauptvertrags stellt der Auftragsverarbeiter auf Anfrage binnen 14 Tagen einen vollständigen Export der Mandanteninhalte in einem gängigen maschinenlesbaren Format (JSON/CSV, Anhänge als Originaldateien) bereit. Sobald die Software einen Selbstbedienungs-Export enthält, tritt dieser an die Stelle der Anfrage.
2. Sechs Wochen nach Vertragsende, spätestens jedoch auf Weisung, löscht der Auftragsverarbeiter den Mandanten gemäß § 5 Abs. 4. Der Verantwortliche kann die Löschung binnen der 30-tägigen Rücknahmefrist stoppen.
3. Ausgenommen sind Daten, die der Auftragsverarbeiter aufgrund gesetzlicher Aufbewahrungspflichten (z. B. Rechnungsdaten) behalten muss.

§ 11 Haftung, Schlussbestimmungen

1. Für die Haftung gilt Art. 82 DSGVO; im Übrigen die Haftungsregeln des Hauptvertrags.
2. Änderungen dieser Vereinbarung bedürfen der Textform. Bei Widersprüchen zum Hauptvertrag gehen im Datenschutz die Regelungen dieser Vereinbarung vor.
3. Es gilt deutsches Recht; Gerichtsstand wie im Hauptvertrag.

Anlage 1 — Beschreibung der Verarbeitung

Anlage 2 — Technische und organisatorische Maßnahmen (Stand 2. September 2026)

Vertraulichkeit

• Mandantentrennung auf Datenebene (Partitionierung je Mandant) und auf Schlüsselebene: ein KMS-Schlüssel je Mandant; die Dienstrollen dürfen nur über mandantenbezogene Grants entschlüsseln.
• Feldverschlüsselung AES-256-GCM für personenbezogene und Inhaltsfelder in der Datenbank (Tickets, Kommentare, Anhangnamen, Kunden, Objekte, Kostenstellen, Bewertungen, Maßnahmen); Anhänge im Objektspeicher mit demselben Mandantenschlüssel (SSE-KMS, erzwungen per Bucket-Richtlinie).
• Kein stehender Zugriffspfad für Menschen. Support-Zugriff nur nach Freigabe durch einen Administrator des Verantwortlichen: zeitlich befristet, mandantenbezogen, jeder Lesezugriff protokolliert, Widerruf binnen Minuten wirksam; die Support-Rolle selbst besitzt keine Entschlüsselungsrechte.
• Authentifizierung über Amazon Cognito; Passwörter nur als Hash beim Identitätsdienst; rollenbasierte Zugriffskontrolle (Plattform-, Mandanten- und Fachrollen) mit serverseitiger Prüfung an jeder Route.
• Transportverschlüsselung TLS; HSTS (2 Jahre, inkl. Subdomains, preload).
• Ausgabefilter am gemeinsamen API-Ausgang gegen das Herausreichen interner Felder (Schlüsselmaterial).
• Verschlüsselte Push-Nutzlasten (RFC 8291); Nutzlast auf Ticketnummer und Titel beschränkt.

Integrität

• Änderungs-Protokoll (Audit-Log) je Mandant: Wer hat wann welche Aktion ausgeführt.
• Manipulationswächter auf Schlüsselrichtlinien (CloudTrail-basiert, Alarmierung des Betreibers) in production.
• Rate-Limits auf öffentlichen Endpunkten (QR-Meldung, Anhang-Upload) und auf API-Ebene (50 Anfragen/s, Burst 100).

Verfügbarkeit und Belastbarkeit

• Point-in-Time-Recovery aller Datenbanktabellen (35 Tage) und nächtliche Sicherungen (35 Tage) in der EU-Region; serverlose Infrastruktur mit automatischer Skalierung; Alarmierung bei Fehlern, Drosselung und ausgefallenen Zeitplänen.

Verfahren zur Überprüfung

• Automatisierte Tests als Wächter gegen Rückschritte (Tripwire-Tests für Verschlüsselungsregistry, KMS-Grants und API-Ausgang) bei jeder Änderung; Code-Review vor jeder Auslieferung; separater Test-Betrieb (dev) vor production.

Löschung

• Mandantenlöschung durch Vernichtung des Mandantenschlüssels nach 30 Tagen Rücknahmefrist; Betriebsprotokolle 30 Tage; Sicherungen 35 Tage (danach ohne Schlüssel unlesbar).

Anlage 3 — Unterauftragsverarbeiter

Kein Unterauftragsverarbeiter, aber Empfänger auf Veranlassung des Nutzers: Push-Dienste der Browserhersteller (Google LLC, Apple Inc., Mozilla Corporation — USA) für Browser-Benachrichtigungen (§ 9 Abs. 2); vom Nutzer gewählte KI-Assistenten über die MCP-Schnittstelle (§ 9 Abs. 3).