Laufzettel

Auftrags­verarbeitungs­vertrag (AVV)

gemäß Art. 28 DSGVO · Stand: November 2026

§ 1 Vertragspartner

Auftragsverarbeiter: Alexander Pfalz, Einzelunternehmen, Hofsatz 29, 7082 Donnerskirchen, Österreich, E-Mail: support@dexware.app („Anbieter“).
Verantwortlicher: der Betrieb bzw. die Organisation, die Laufzettel nutzt („Nutzer“).

§ 2 Gegenstand, Dauer, Art und Zweck

Gegenstand ist die Bereitstellung von Laufzettel zur Planung und Dokumentation von Aufträgen im Betrieb des Nutzers. Der Anbieter verarbeitet die Daten ausschließlich zur Erbringung dieses Dienstes (Speichern, Synchronisieren, Anzeigen, Berechnen der Arbeitszeit je Auftrag, Zustellen von Mitteilungen auf Veranlassung des Nutzers). Die Dauer entspricht der Laufzeit der Nutzung; die Kündigung richtet sich nach den AGB.

§ 3 Art der Daten und Kreis der Betroffenen

Datenarten:

• Namen, Rollen und E-Mail-Adressen der Team-Mitglieder (Chef, Büro, Monteure), Push-Kennungen ihrer Geräte
• Auftragsdaten (Titel, Termin, Adresse, Notizen, Fotos, Zuweisung) und Statusmeldungen mit Zeitpunkten
• Arbeitszeiten je Auftrag und deren Korrekturen
• Standortdaten (einmalig beim Starten, Weiter und Fertig, nur wenn der Nutzer das eingeschaltet hat)
• Kundendaten (Name, Telefon, Adresse, Notiz)
• Fotos (können Personen oder Kennzeichen zeigen)

Betroffene Personen:

• Beschäftigte und Beauftragte des Verantwortlichen (Monteure, Büro, Chef)
• Kunden des Verantwortlichen und deren Ansprechpartner
• Personen, die zufällig auf Fotos abgebildet sind

§ 4 Weisungen

Der Anbieter verarbeitet die Daten nur auf dokumentierte Weisung des Nutzers. Die Weisungen ergeben sich aus diesem Vertrag und der Nutzung der App-Funktionen durch den Nutzer (z. B. Anlegen, Zuweisen oder Löschen eines Auftrags); weitere Weisungen erfolgen in Textform. Hält der Anbieter eine Weisung für rechtswidrig, informiert er den Nutzer unverzüglich.

§ 5 Pflichten des Anbieters

• Vertraulichkeit: Zugriff auf die Daten haben nur Personen, die zur Vertraulichkeit verpflichtet sind.
• Unterstützung des Nutzers bei Anfragen Betroffener (Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit) sowie bei den Pflichten nach Art. 32 bis 36 DSGVO, soweit zumutbar.
• Meldung von Verletzungen des Schutzes personenbezogener Daten an den Nutzer unverzüglich, möglichst innerhalb von 48 Stunden nach Kenntnis.
• Nachweise: Der Anbieter stellt die zum Nachweis der Pflichten erforderlichen Informationen zur Verfügung und ermöglicht Überprüfungen nach angemessener Vorankündigung (in der Regel durch schriftliche Auskunft).

§ 6 Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

• Speicherung in Rechenzentren der EU-Region (Frankfurt am Main); Verschlüsselung der Übertragung (TLS) und der gespeicherten Daten beim Hosting-Anbieter.
• Strikte Trennung der Betriebe auf Datenbank-Ebene (Zeilen-Sicherheitsregeln je Organisation); Rollen (Chef/Büro/Monteur) mit abgestuften Rechten — Monteure sehen nur ihre Aufträge und keine Kundenliste; Anmeldung mit Passwort bzw. Google/Apple-Konto.
• Fotos in einem privaten Speicher; Zugriff nur über zeitlich begrenzte, signierte Links.
• Statuswechsel nur über geprüfte Server-Funktionen; unveränderlicher Verlauf je Auftrag; Arbeitszeit-Korrekturen nur mit Vermerk.
• Push-Kennungen sind für andere Nutzer nicht lesbar.
• Datensicherung des Anbieters; Datenminimierung (z. B. keine Dauer- oder Hintergrund-Ortung).

§ 7 Unterauftragsverarbeiter

Der Nutzer genehmigt den Einsatz folgender Unterauftragsverarbeiter:

• Supabase Inc. (Datenbank, Anmeldung, Dateispeicher) — Hosting in der EU-Region (Frankfurt am Main)
• RevenueCat, Inc., USA (Kaufstatus) — nur pseudonyme Kauf-Kennung, keine Auftragsdaten, EU-Standardvertragsklauseln
• Expo / 650 Industries, Inc., USA (Zustellung von Push-Mitteilungen) — nur Push-Kennung und Mitteilungstext, EU-Standardvertragsklauseln

Über beabsichtigte Änderungen informiert der Anbieter vorab in geeigneter Weise (z. B. auf dieser Seite und per E-Mail an den Inhaber); der Nutzer kann aus wichtigem datenschutzrechtlichem Grund widersprechen.

§ 8 Löschung und Rückgabe

Nach Ende der Nutzung bzw. bei Löschung des Kontos durch den Chef werden die Daten des Betriebs einschließlich der Fotos gelöscht, soweit keine gesetzliche Aufbewahrungspflicht des Anbieters besteht. Der Nutzer ist für die Einhaltung eigener Aufbewahrungspflichten verantwortlich und überträgt benötigte Angaben vorher in eigene Unterlagen.

§ 9 Schlussbestimmungen

Im Übrigen gelten die AGB. Bei Widersprüchen zu anderen Vereinbarungen gehen die Regelungen dieses Vertrags zum Datenschutz vor. Es gilt das Recht der Republik Österreich.