Auftragsverarbeitungs-Vertrag

Art. 28 DSGVO · Stand: 02.08.2026 · Vorlage — bei Bedarf anwaltlich nachschärfen

Dieser Text gilt zwischen dem Kunden (Verantwortlicher) und dem Anbieter von Craft One (Auftragsverarbeiter, siehe Impressum), sobald der Kunde die Software produktiv nutzt und personenbezogene Daten Dritter (z. B. Endkunden) speichert. Elektronische Zustimmung / Account-Nutzung kann den Vertragsschluss darstellen; eine unterschriebene PDF-Variante stellen wir auf Anfrage bereit.

§ 1 Gegenstand und Dauer

Gegenstand ist die Verarbeitung personenbezogener Daten im Rahmen der SaaS-Nutzung von Craft One / Craft Desk (Hosting, Speicherung, Support). Dauer: Vertragslaufzeit des Nutzungsvertrags; danach Löschung oder Rückgabe gemäß § 8.

§ 2 Art und Zweck der Verarbeitung

Zweck: Bereitstellung der Funktionen (Kunden, Angebote, Projekte, Zeiten, Dateien, Kommunikation, Abrechnung). Art: Erheben, Speichern, Auslesen, Übermitteln (an Unterauftragsverarbeiter), Löschen.

§ 3 Art der Daten und betroffene Personen

Kategorien	Beispiele
Stammdaten Endkunden	Name, Adresse, Telefon, E-Mail
Vertrags-/Projektinhalte	Angebote, LV, Notizen, Fotos, Zeiten
Nutzer des Kunden	Mitarbeiter-Accounts, Rollen

Besondere Kategorien (Art. 9) sind nicht vorgesehen und sollen nicht hochgeladen werden.

§ 4 Pflichten des Auftragsverarbeiters

Verarbeitung nur auf dokumentierte Weisung des Kunden
Vertraulichkeit und angemessene TOMs (siehe § 6)
Unterstützung bei Betroffenenrechten und Behördenanfragen im zumutbaren Umfang
Information bei Verletzung des Schutzes personenbezogener Daten ohne unangemessene Verzögerung
Keine Verarbeitung zu eigenen Zwecken außerhalb des Vertrags

§ 5 Unterauftragsverarbeiter

Der Kunde stimmt dem Einsatz von Unterauftragsverarbeitern zu, die für Hosting, E-Mail, Zahlung und KI-Hilfsfunktionen erforderlich sind. Wesentliche Wechsel teilen wir mit; der Kunde kann aus wichtigem datenschutzrechtlichem Grund widersprechen (dann ggf. Vertragskündigung).

Typische Kategorien: Cloud-Hosting/DB, Object Storage, Transaktions-E-Mail, Stripe (Zahlung), KI-API-Anbieter (nur bei Nutzung entsprechender Features).

§ 6 Technische und organisatorische Maßnahmen

HTTPS, Zugriffskontrolle, Mandantentrennung, Backups, Logging, Least Privilege — technische und organisatorische Maßnahmen nach dem Stand der Technik.

§ 7 Weisungen und Kontrollrechte

Weisungen in Textform (z. B. E-Mail). Kontrollen nach Ankündigung und in zumutbarem Umfang; Geheimhaltung bleibt gewahrt. Audits durch den Kunden oder Beauftragte nach Vereinbarung.

§ 8 Löschung und Rückgabe

Nach Vertragsende löschen oder anonymisieren wir personenbezogene Daten des Kunden innerhalb angemessener Frist, sofern keine gesetzliche Aufbewahrungspflicht besteht. Export auf Anfrage während der Laufzeit über die Produktfunktionen bzw. Support.

§ 9 Haftung

Haftung nach den gesetzlichen Vorgaben der DSGVO und dem Hauptvertrag (AGB), soweit anwendbar.

§ 10 Schlussbestimmungen

Es gilt deutsches Recht. Sollten einzelne Klauseln unwirksam sein, bleibt der Rest wirksam. Kontakt: hello@craft-one.de · Support: support@craft-one.de

Datenschutzerklärung · AGB · Impressum