Vereinbarung zur Auftragsverarbeitung (AVV)

Fassung 1.0 · Stand 8. Juli 2026

Diese Vereinbarung zur Auftragsverarbeitung (nachfolgend „AVV") konkretisiert die datenschutzrechtlichen Pflichten der Parteien im Rahmen der Nutzung der Software „Team Rocko" und ist Bestandteil der Allgemeinen Geschäftsbedingungen. Sie wird mit Beginn der Nutzung (Registrierung) automatisch einbezogen; einer gesonderten Unterzeichnung bedarf es nach Art. 28 Abs. 9 DSGVO nicht (Textform, auch elektronisch).

Parteien

Verantwortlicher im Sinne des Art. 4 Nr. 7 DSGVO ist der Kunde (der die Software nutzende Betrieb), nachfolgend „Auftraggeber".
Auftragsverarbeiter im Sinne des Art. 4 Nr. 8 DSGVO ist:
1M GmbH, Königsberger Str. 1, 42277 Wuppertal
E-Mail: hello@rocko.app
nachfolgend „Auftragnehmer".

§ 1 Gegenstand und Dauer

(1) Gegenstand dieses AVV ist die Verarbeitung personenbezogener Daten durch den Auftragnehmer im Auftrag des Auftraggebers zur Erbringung der in den AGB beschriebenen Leistungen (Bereitstellung der Software als Cloud-Dienst zur Verwaltung von Angeboten, Rechnungen, Zeiterfassung, Kontakten, Einsatzplanung und weiteren Funktionen).
(2) Die Dauer dieses AVV entspricht der Laufzeit des zugrunde liegenden Hauptvertrags (Nutzungsvertrag/AGB). Er endet automatisch mit dessen Beendigung.

§ 2 Art, Zweck und Umfang der Verarbeitung

(1) Art und Zweck: Speicherung, Organisation, Anpassung, Auslesen, Verwendung und Löschung personenbezogener Daten zum Zweck des Betriebs der Software und der Erbringung der vertraglich vereinbarten Leistungen. Die Verarbeitung findet ausschließlich auf Servern in Deutschland statt.

(2) Art der Daten: insbesondere Stammdaten (Name, Anschrift, Kontaktdaten), Vertrags- und Abrechnungsdaten, Termin- und Projektdaten, Zeiterfassungs- und Mitarbeiterdaten, Kommunikations- und Belegdaten sowie vom Auftraggeber eingegebene Freitextinhalte.

(3) Kategorien betroffener Personen: Kunden und Interessenten des Auftraggebers, Lieferanten, Mitarbeiter des Auftraggebers sowie sonstige vom Auftraggeber erfasste Kontaktpersonen.

§ 3 Weisungsrecht des Auftraggebers

(1) Der Auftragnehmer verarbeitet die Daten ausschließlich im Rahmen der vertraglichen Vereinbarungen und nach dokumentierten Weisungen des Auftraggebers, es sei denn, er ist gesetzlich zu einer Verarbeitung verpflichtet. Die Nutzung der Software durch den Auftraggeber gilt als dokumentierte Weisung.
(2) Der Auftragnehmer informiert den Auftraggeber unverzüglich, wenn er der Auffassung ist, dass eine Weisung gegen datenschutzrechtliche Vorschriften verstößt (Art. 28 Abs. 3 S. 3 DSGVO).

§ 4 Pflichten des Auftragnehmers

Der Auftragnehmer verpflichtet sich, gemäß Art. 28 Abs. 3 DSGVO:

  • Daten nur auf dokumentierte Weisung zu verarbeiten, auch bei Drittlandübermittlungen;
  • zur Vertraulichkeit verpflichtete Personen einzusetzen bzw. eine entsprechende gesetzliche Verschwiegenheit sicherzustellen;
  • die technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO zu treffen (Anlage 1);
  • die Bedingungen für die Inanspruchnahme von Unterauftragsverarbeitern nach § 6 einzuhalten;
  • den Auftraggeber mit geeigneten Maßnahmen bei der Erfüllung von Betroffenenrechten (Art. 12–23 DSGVO) zu unterstützen;
  • den Auftraggeber bei der Einhaltung der Pflichten aus Art. 32–36 DSGVO zu unterstützen (Datensicherheit, Meldung von Verletzungen, Datenschutz-Folgenabschätzung);
  • nach Wahl des Auftraggebers alle personenbezogenen Daten nach Abschluss der Leistung zu löschen oder zurückzugeben (§ 9);
  • dem Auftraggeber alle erforderlichen Informationen zum Nachweis der Einhaltung dieser Pflichten zur Verfügung zu stellen und Überprüfungen zu ermöglichen (§ 8).

§ 5 Meldung von Datenschutzverletzungen

Der Auftragnehmer meldet dem Auftraggeber Verletzungen des Schutzes personenbezogener Daten unverzüglich nach Bekanntwerden und unterstützt ihn bei dessen Melde- und Benachrichtigungspflichten nach Art. 33, 34 DSGVO.

§ 6 Unterauftragsverarbeiter

(1) Der Auftraggeber erteilt dem Auftragnehmer die allgemeine Genehmigung, weitere Auftragsverarbeiter (Unterauftragnehmer) einzusetzen. Die zum Zeitpunkt dieser Fassung eingesetzten Unterauftragnehmer sind in Anlage 2 aufgeführt.
(2) Der Auftragnehmer verpflichtet Unterauftragnehmer auf ein Datenschutzniveau, das den Anforderungen dieses AVV entspricht.
(3) Beabsichtigt der Auftragnehmer, einen Unterauftragnehmer hinzuzuziehen oder zu ersetzen, informiert er den Auftraggeber vorab. Der Auftraggeber kann einer Änderung aus wichtigem datenschutzrechtlichem Grund innerhalb von 14 Tagen widersprechen.

§ 7 Technisch-organisatorische Maßnahmen

Der Auftragnehmer trifft die in Anlage 1 beschriebenen technischen und organisatorischen Maßnahmen (Art. 32 DSGVO) und passt sie an den Stand der Technik an, ohne das vereinbarte Schutzniveau zu unterschreiten.

§ 8 Kontrollrechte

Der Auftraggeber ist berechtigt, sich von der Einhaltung dieses AVV zu überzeugen. Der Auftragnehmer stellt hierfür die erforderlichen Nachweise (z. B. aktuelle TOM-Dokumentation, Zertifikate, Testate) bereit. Prüfungen vor Ort sind mit angemessener Vorankündigung während der üblichen Geschäftszeiten und ohne Störung des Betriebsablaufs möglich.

§ 9 Löschung und Rückgabe

Nach Beendigung des Vertrags löscht der Auftragnehmer die verarbeiteten Daten nach Wahl des Auftraggebers oder gibt sie in einem gängigen Format zurück, sofern nicht eine gesetzliche Aufbewahrungspflicht der Löschung entgegensteht. Ein Datenexport ist während der Vertragslaufzeit über die Software möglich.

§ 10 Haftung

Für die Haftung gelten die Bestimmungen der DSGVO (insb. Art. 82) sowie die Haftungsregelungen des Hauptvertrags (AGB) entsprechend.

§ 11 Schlussbestimmungen

(1) Bei Widersprüchen zwischen diesem AVV und dem Hauptvertrag gehen in datenschutzrechtlichen Fragen die Regelungen dieses AVV vor.
(2) Sollten einzelne Bestimmungen unwirksam sein, bleibt die Wirksamkeit der übrigen unberührt.
(3) Es gilt das Recht der Bundesrepublik Deutschland.

Anlage 1 – Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

  • Vertraulichkeit – Zutritt/Zugang/Zugriff: Hosting in Rechenzentren mit Zutrittskontrolle (Hetzner, Deutschland); rollenbasierte Zugriffsrechte; Authentifizierung mit individuellen Zugangsdaten; Passwort-Hashing.
  • Mandantentrennung: Strikte logische Trennung der Daten je Betrieb über eine Mandanten-Kennung und durchgesetzte Zeilen-Sicherheit (Row Level Security) in der Datenbank.
  • Verschlüsselung: Transportverschlüsselung (TLS) für alle Verbindungen; verschlüsselte Speicherung der Datenbank- und Backup-Datenträger.
  • Verfügbarkeit und Wiederherstellbarkeit: Regelmäßige, verschlüsselte Backups; Wiederherstellungsverfahren; Monitoring der Systemverfügbarkeit.
  • Integrität und Belastbarkeit: Protokollierung sicherheitsrelevanter Ereignisse; Trennung von Entwicklungs- und Produktivsystemen; regelmäßige Aktualisierung eingesetzter Komponenten.
  • Überprüfung: Regelmäßige Überprüfung, Bewertung und Anpassung der Maßnahmen an den Stand der Technik.

Anlage 2 – Unterauftragsverarbeiter

Der Auftragnehmer setzt zum Stand dieser Fassung folgende Unterauftragsverarbeiter ein:

  • Hetzner Online GmbH (Gunzenhausen, Deutschland) – Hosting und Datenspeicherung, Rechenzentrum in Deutschland (EU).
  • Mailjet (Sinch) – Versand von Transaktions-E-Mails (z. B. Angebote, Rechnungen, Benachrichtigungen), Verarbeitung in der EU.
  • Google Ireland Ltd. / Google LLC (Google Maps Platform) – Darstellung von Standorten (z. B. der Baustellen- oder Kundenadresse) auf einer Karte innerhalb der Software. Dabei werden die IP-Adresse des aufrufenden Nutzers sowie die angezeigte Adresse an Google übermittelt, wobei eine Verarbeitung auch in den USA erfolgt. Google ist unter dem EU-U.S. Data Privacy Framework zertifiziert; ergänzend gelten die EU-Standardvertragsklauseln (Art. 46 DSGVO).
  • OpenStreetMap Foundation (Vereinigtes Königreich) – Umwandlung von Adressen in Kartenkoordinaten (Geocoding) zur Positionierung auf der Karte. Für das Vereinigte Königreich besteht ein Angemessenheitsbeschluss der EU-Kommission (Art. 45 DSGVO).

Im Rahmen der Kartenfunktion werden personenbezogene Daten (IP-Adresse, angezeigte Adresse) an Google übermittelt; die damit verbundene Übermittlung in die USA wird auf das EU-U.S. Data Privacy Framework und ergänzend auf die EU-Standardvertragsklauseln (Art. 44 ff. DSGVO) gestützt. Darüber hinaus findet keine Übermittlung personenbezogener Daten in ein Drittland statt. KI-gestützte Funktionen sind aktuell nicht aktiv; ein KI-Sprachmodell wird nicht eingesetzt.

Vor Aktivierung KI-gestützter Funktionen, des TelefonAgenten oder der Bankanbindung werden die dafür erforderlichen Unterauftragsverarbeiter – gegebenenfalls mit Drittlandtransfer auf Grundlage der EU-Standard­vertrags­klauseln (Art. 44 ff. DSGVO) – nach vorheriger Information gemäß § 6 in diese Anlage aufgenommen. Bis dahin erfolgt keine solche Verarbeitung.

Versionshistorie

  • Fassung 1.0 – Stand 8. Juli 2026 (aktuelle Fassung)