Auftragsverarbeitung

Kurz-AVV nach Art. 28 DSGVO. Dieser Text ist die fachliche Vorlage aus dem Ist der Software — kein unterzeichneter Vertrag und kein Anwaltsbrief. Stand: 9. September 2026.

Hinweis

Art. 28 DSGVO verlangt eine wirksame Vereinbarung. Die Zeichnung mit dem Betrieb bleibt ein gesonderter Schritt. Diese Seite ersetzt keinen unterschriebenen AVV.

Parteien

Auftraggeber (Verantwortlicher): der Handwerksbetrieb, der Sollmaß nutzt.

Auftragnehmerin (Auftragsverarbeiterin): High5Manufaktur GmbH, Am Buchenhain 2, 76359 Marxzell, Deutschland — Produkt Sollmaß, Domain sollmass.de. Kontakt: hallo@sollmass.de, Telefon +49 7248 25592-70.

Der Betrieb bleibt Herr der Betriebsdaten. Sollmaß verarbeitet sie nur zur Bereitstellung der App.

Gegenstand und Zwecke

Hosting und Betrieb der Software. Weisung: nur, was der Betrieb in Sollmaß erfasst oder auslöst. Zweck: Vertragserfüllung, keine eigene Verwendung der Mandantendaten.

Betriebssystem für Handwerk: Stammdaten (Betrieb, Team, Kunden, Objekte), Vorgänge, Belege (Angebot bis Rechnung/Mahnung), Zahlungsbuch, Zeit, Lager, Audit, optionale KI-Aktionen, Versand von Magic Links und Beleg-Mails. DATEV-CSV ist Export an den Steuerberater des Betriebs, nicht Verarbeitung „für Sollmaß“.

Daten

Mandanten- und Endkundendaten (Kontakte, Vorgänge, Objekte, Zeiten, Lager, Belege, Dateien, Audit), Kontodaten der Nutzer, Magic-Link-Mail. Technisch: Session, Magic-Link-Hash, Audit. Website-Anfragen an hallo@sollmass.de sind Leads, getrennt vom Mandantenkern.

Besondere Kategorien (Art. 9 DSGVO) sind nicht vorgesehen.

Weisung und Ort

Verarbeitung nur im Rahmen der App und schriftlicher Weisung. Speichermedium heute: Rechner des Betreibers plus die unten genannten Cloudflare-Dienste. Es gibt derzeit kein beauftragtes EU-Rechenzentrum. Ein AVV für Produktion in der EU (Ort, TOMs, Unterauftrags-Liste) wird nach dem Hosting-Vertrag nachgezogen.

Unterauftrag — Ist

  • Postgres für die Anwendungsdaten auf dem Betriebsrechner der App.
  • Cloudflare: DNS, Auslieferung, Tunnel, Versand der Magic-Link- und Beleg-Mails (noreply@sollmass.de).
  • Cloudflare Pages für die öffentliche Site sollmass.de.
  • Dateien derzeit auf dem Betriebsrechner; Objektspeicher ist vorgesehen, noch nicht Unterauftrag.
  • KI-Anbieter OpenAI, Google Gemini oder xAI nur, wenn der Betrieb KI-Funktionen nutzt.

Turnstile prüft Website-Anfragen gegen Bots; das Token wird nicht gespeichert.

Pflichten und TOMs

Mandantentrennung, TLS, weisungsgebundene Verarbeitung, Unterstützung bei Betroffenenrechten, Meldung von Verletzungen. Zugang per Magic Link, Token nur als Hash. Ausgestellte Belege inhaltlich gesperrt; Zahlungsbuch ohne nachträgliche Änderung. Audit-Ereignisse bleiben nachvollziehbar.

Laufzeit, Löschen, Nachweis

Laufzeit = Nutzung des Mandanten. Löschung oder Export nach Ende, soweit keine gesetzliche Aufbewahrung entgegensteht. Nachweis: Journal der Audit-Ereignisse, Beleg-Hash, Zahlungsbuch.

Fragen: hallo@sollmass.de.