Auftragsverarbeitungsvertrag

Vereinbarung nach Art. 28 DSGVO  ·  Stand: August 2026  ·  Version 1.0

Verantwortlicher (Auftraggeber)

Der Betrieb, der Rapido nutzt – vertreten durch die Person, die den Betrieb registriert hat. Die bei der Registrierung angegebenen Daten (Betriebsname, Name und Mobilnummer des Inhabers) identifizieren den Auftraggeber und sind Bestandteil dieses Vertrags.

Auftragsverarbeiter (Anbieter)

Erik Bremer · Rapido
Christophorusstraße 41, 51469 Bergisch Gladbach, Deutschland
[email protected]

Zustandekommen

Dieser Vertrag kommt mit der Zustimmung im Registrierungsdialog zustande. Rapido speichert Zeitpunkt und Fassung der Zustimmung als Nachweis für beide Seiten.

§ 1 Gegenstand und Dauer

Der Anbieter verarbeitet personenbezogene Daten im Auftrag des Verantwortlichen, um die in den Nutzungsbedingungen beschriebene Leistung zu erbringen: digitale Arbeitszeiterfassung über WhatsApp einschließlich Auswertung, Abwesenheitsverwaltung, Baustellenzuordnung und Export für die Lohnvorbereitung.

Die Verarbeitung erfolgt ausschließlich innerhalb der Union oder unter den in § 7 genannten Bedingungen. Der Vertrag läuft, solange der Verantwortliche Rapido nutzt, und endet mit dem Nutzungsverhältnis. § 9 (Löschung und Rückgabe) gilt darüber hinaus.

§ 2 Art der Daten und Kreis der Betroffenen

Betroffene Personen: Mitarbeiter des Verantwortlichen sowie der Inhaber selbst.

Datenarten:

• Name und Mobilfunknummer
• Beschäftigungsart (Vollzeit, Teilzeit, Minijob), vereinbarte Wochenarbeitszeit
• Stundenlohn und Verdienstgrenze, soweit vom Verantwortlichen hinterlegt
• Zeitbuchungen: Beginn, Ende, Pausen, Dauer, Baustelle bzw. Einsatzort
• Abwesenheiten: Urlaub, Krankheit, Zeitausgleich, Sonderurlaub – jeweils mit Zeitraum
• Inhalte der WhatsApp-Nachrichten, die für die Erfassung übermittelt werden
• Fotos, die Mitarbeiter oder Inhaber übermitteln (z. B. Baustellenfotos, abfotografierte Stundenzettel; letztere können Namen und Arbeitszeiten enthalten)

Besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO sind nicht Gegenstand dieses Vertrags. Der Verantwortliche stellt sicher, dass solche Daten nicht über Rapido übermittelt werden; insbesondere sind bei Krankmeldungen keine Diagnosen anzugeben – Rapido erfasst ausschließlich, dass eine Abwesenheit vorliegt.

§ 3 Weisungsrecht des Verantwortlichen

Der Anbieter verarbeitet die Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen. Die Nutzungsbedingungen, die Einstellungen im Betriebs-Dashboard und dieser Vertrag gelten als solche Weisungen. Weitergehende Weisungen sind in Textform an [email protected] zu richten; der Anbieter bestätigt den Eingang.

Hält der Anbieter eine Weisung für rechtswidrig, teilt er dies unverzüglich mit und darf die Ausführung bis zur Klärung aussetzen. Ist der Anbieter der Auffassung, eine Weisung verstoße gegen Datenschutzrecht, kann er die Ausführung verweigern (Art. 28 Abs. 3 Satz 3 DSGVO).

§ 4 Vertraulichkeit

Der Anbieter verarbeitet die Daten nur durch Personen, die zur Vertraulichkeit verpflichtet und über die einschlägigen Datenschutzvorschriften unterrichtet sind. Der Anbieter wird derzeit als Einzelunternehmen ohne weitere Beschäftigte betrieben; werden Beschäftigte oder Beauftragte eingesetzt, erfolgt die Verpflichtung vor Aufnahme der Tätigkeit.

§ 5 Technische und organisatorische Maßnahmen

Der Anbieter trifft die in Anlage 1 beschriebenen Maßnahmen nach Art. 32 DSGVO und hält sie während der Vertragsdauer aufrecht. Änderungen sind zulässig, solange das Schutzniveau nicht unterschritten wird. Wesentliche Änderungen teilt der Anbieter mit.

§ 6 Unterauftragsverarbeiter

Der Verantwortliche erteilt dem Anbieter eine allgemeine Genehmigung zum Einsatz von Unterauftragsverarbeitern (Art. 28 Abs. 2 Satz 1 DSGVO). Die zum Zeitpunkt der Zustimmung eingesetzten Stellen sind in Anlage 2 benannt. Der Anbieter schließt mit jedem von ihnen Verträge, die den Anforderungen des Art. 28 DSGVO entsprechen, und wählt sie nach ihrer Eignung und Zuverlässigkeit aus.

Einen Wechsel oder die Hinzunahme weiterer Unterauftragsverarbeiter teilt der Anbieter mindestens vier Wochen vorher in Textform mit. Der Verantwortliche kann innerhalb dieser Frist aus einem wichtigen datenschutzrechtlichen Grund widersprechen. Wird widersprochen und lässt sich keine Einigung erzielen, kann der Verantwortliche das Nutzungsverhältnis mit Wirkung zum geplanten Wechsel beenden.

Die Aktualisierung der Anlage 2 im Rahmen dieses Verfahrens ändert die Bestimmungen dieses Vertrags nicht und macht keine erneute Zustimmung erforderlich. Der Anbieter hält die jeweils gültige Fassung unter rapido-handwerk.net/avv abrufbar und dokumentiert die Änderungen in der Historie am Ende der Anlage. Damit bleibt für den Verantwortlichen jederzeit nachvollziehbar, wer seine Daten verarbeitet – nur so ist das Widerspruchsrecht nach Art. 28 Abs. 2 Satz 2 DSGVO überhaupt ausübbar, und nur so kann der Verantwortliche eine Anfrage nach Art. 15 Abs. 1 lit. c DSGVO beantworten.

§ 7 Übermittlung in Drittländer

Eine Übermittlung in Länder außerhalb des Europäischen Wirtschaftsraums findet ausschließlich gegenüber den in Anlage 2 genannten Stellen statt und nur auf Grundlage eines Angemessenheitsbeschlusses (Art. 45 DSGVO) oder von Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO) samt der jeweils erforderlichen zusätzlichen Maßnahmen.

§ 8 Unterstützung des Verantwortlichen

Der Anbieter unterstützt den Verantwortlichen in angemessenem Umfang bei:

• der Beantwortung von Anfragen betroffener Personen (Art. 15 bis 22 DSGVO). Wenden sich Betroffene direkt an den Anbieter, verweist er sie an den Verantwortlichen und informiert ihn unverzüglich;
• der Meldung von Datenschutzverletzungen nach Art. 33 und 34 DSGVO. Der Anbieter informiert den Verantwortlichen unverzüglich, spätestens innerhalb von 24 Stunden nach Kenntnis, damit dessen 72-Stunden-Frist gewahrt bleiben kann;
• der Führung des Verzeichnisses von Verarbeitungstätigkeiten (Art. 30 DSGVO) durch Bereitstellung der notwendigen Angaben;
• einer Datenschutz-Folgenabschätzung (Art. 35 DSGVO), soweit sie die durch Rapido erfolgende Verarbeitung betrifft.

§ 9 Löschung und Rückgabe

Nach Beendigung des Nutzungsverhältnisses löscht der Anbieter die Daten oder gibt sie zurück, sobald sie für die Zwecke der Verarbeitung nicht mehr benötigt werden – es sei denn, das Recht der Union oder eines Mitgliedstaats verpflichtet zur Aufbewahrung.

Für Arbeitszeit- und Lohnunterlagen bestehen solche Pflichten: sie werden nach § 147 AO und § 257 HGB für sechs Jahre aufbewahrt, gerechnet ab Ende des Geschäftsjahres der letzten Buchung, und danach automatisiert und unwiderruflich gelöscht. Bis dahin sind sie für die weitere Nutzung gesperrt.

Der Verantwortliche kann die Daten jederzeit selbst als CSV aus dem Dashboard exportieren; darüber hinaus stellt der Anbieter auf Anfrage eine Kopie bereit.

§ 10 Nachweise und Kontrollrechte

Der Anbieter weist die Einhaltung der Pflichten aus diesem Vertrag auf Anfrage nach, insbesondere durch Auskunft über die Maßnahmen nach Anlage 1. Der Verantwortliche kann nach angemessener Vorankündigung Überprüfungen durchführen oder durch einen zur Vertraulichkeit verpflichteten Dritten durchführen lassen. Der Anbieter wirkt daran mit. Überprüfungen erfolgen so, dass der Betrieb anderer Kunden nicht beeinträchtigt wird.

§ 11 Haftung

Es gilt Art. 82 DSGVO. Im Verhältnis der Parteien untereinander gelten ergänzend die Haftungsregelungen der Nutzungsbedingungen.

§ 12 Schlussbestimmungen

Bei Widersprüchen zwischen diesem Vertrag und den Nutzungsbedingungen gehen die Regelungen dieses Vertrags vor, soweit die Verarbeitung personenbezogener Daten im Auftrag betroffen ist. Es gilt deutsches Recht. Ist eine Bestimmung unwirksam, bleibt der übrige Vertrag wirksam.

Anlage 1 – Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

Vertraulichkeit

• Zugangskontrolle: Der Zugang zur Betriebsübersicht erfolgt über einen nicht erratbaren Link (Zufallswert). Der Link kann jederzeit erneuert werden; der bisherige verliert damit sofort seine Gültigkeit. Der Verwaltungsbereich des Anbieters ist durch ein Zugangstoken und ein signiertes, nur serverseitig lesbares Sitzungscookie geschützt, mit Sperre nach mehreren Fehlversuchen.
• Mandantentrennung: Alle Datenzugriffe sind auf den jeweiligen Betrieb eingeschränkt. Die Trennung wird durch automatisierte Tests laufend überprüft.
• Verschlüsselung: Übertragung ausschließlich über TLS. Die Datenbank wird verschlüsselt gespeichert (Verschlüsselung im Ruhezustand durch den Datenbankanbieter).
• Datenminimierung: Telefonnummern werden im Verwaltungsbereich maskiert dargestellt. Nachrichteninhalte werden nach 90 Tagen automatisch anonymisiert.

Integrität

• Eingabekontrolle: Korrekturen an Zeitbuchungen werden protokolliert (wer, wann, vorher/nachher). Der ursprüngliche Wert bleibt nachvollziehbar.
• Übertragungskontrolle: Keine Weitergabe an Dritte außer an die in Anlage 2 genannten Unterauftragsverarbeiter.

Verfügbarkeit und Belastbarkeit

• Betrieb auf verwalteter Cloud-Infrastruktur mit automatischer Datenbank-Sicherung durch den Anbieter der Datenbank.
• Automatische Überwachung auf nicht verarbeitete Nachrichten und technische Störungen; Auffälligkeiten werden dem Anbieter gemeldet.
• Automatisierte Testreihen vor jeder Auslieferung, einschließlich einer Prüfung der Mandantentrennung.

Verfahren zur regelmäßigen Überprüfung

• Automatisierte Löschung nach Fristen (Nachrichteninhalte 90 Tage, abgebrochene Registrierungen 30 Tage ohne Aktivität, endgültige Löschung nach Ablauf der gesetzlichen Aufbewahrungsfrist).
• Auftrags- und Weisungskontrolle über diesen Vertrag.

Anlage 2 – Unterauftragsverarbeiter

Änderungen dieser Liste werden nach § 6 vier Wochen vorher mitgeteilt und hier dokumentiert. Die jeweils gültige Fassung ist unter rapido-handwerk.net/avv abrufbar. Eine erneute Zustimmung zum Vertrag ist dafür nicht erforderlich.

Historie der Anlage 2