Vertrag zur Auftragsverarbeitung

nach Art. 28 DSGVO — zwischen dem registrierten Betrieb („Verantwortlicher") und Mustafa Say, SAYKI Solutions („Auftragsverarbeiter")

1. Abschluss, Gegenstand und Dauer

Der Verantwortliche akzeptiert diesen Vertrag bei der Registrierung ausdrücklich; der Zeitpunkt wird gespeichert. Der Auftragsverarbeiter betreibt die Software „SAYKI Gebäudereinigung" und stellt sie dem Verantwortlichen als Software as a Service bereit. Der Vertrag gilt für die Dauer der Nutzung und endet mit deren Beendigung, spätestens mit der vollständigen Löschung der Daten (Ziffer 9).

2. Art und Zweck der Verarbeitung

Speichern und Bereitstellen der vom Verantwortlichen erfassten Daten zur Verwaltung seines Betriebs: Kunden und Objekte, Einsatzplanung, Zeiterfassung, Personal, Urlaub und Abwesenheiten, Angebote, Rechnungen und Mahnungen, Qualitätskontrollen sowie Benutzerkonten und Rechte; auf Anforderung Erzeugen von Exporten (z. B. DATEV, Lohn, XRechnung), auf Anforderung Versand von Rechnungen per E-Mail an die Kunden des Verantwortlichen über den in Ziffer 6 genannten Versanddienst und — nur wenn eingeschaltet — Textvorschlägen des KI-Assistenten, der Übertragung von Rechnungen an Lexware Office (Ziffer 6) sowie dem Standortabgleich beim Einchecken (Ziffer 4); auf Anforderung außerdem Ermitteln der Koordinaten eines Objekts aus seiner Adresse über einen Kartendienst (Ziffer 6).

3. Art der Daten und betroffene Personen

• Kunden des Verantwortlichen: Name, Anschrift, Kontakt, Ansprechpartner, Objektangaben, Beleg- und Zahlungsdaten.
• Beschäftigte: Name, Kontakt, Sprache, Beschäftigungsdaten (Eintritt, Austritt, Wochenstunden, Stundenlohn), Arbeitszeiten mit Objektbezug, Urlaubsansprüche. Hat der Verantwortliche die Standortprüfung beim Einchecken eingeschaltet: das Ergebnis des Abgleichs („vor Ort" oder Entfernung zum Objekt in Metern, gerundet); die Position des Geräts wird dafür nur im Moment des Eincheckens verarbeitet und nicht gespeichert.
• Schlüssel und Material: welcher Beschäftigte welchen Objektschlüssel seit wann hat, mit Verlauf der Übergaben; Materialwünsche aus den Objekten mit der meldenden Person.
• Besondere Kategorien (Art. 9 DSGVO): Abwesenheitsgründe wie Krankheit oder Kind krank, Angaben zur Schwerbehinderung. Diese Daten sehen in der Software nur Rollen mit Personalzugriff (Inhaber, Büro).
• Nutzer der Software: Name, E-Mail-Adresse oder Benutzername, Rolle, Passwort-Hash, Anmeldezeitpunkte.
• Fotos: Aufnahmen zu Mängeln und Qualitätskontrollen aus den Objekten der Kunden. Sie sollen Räume und Flächen zeigen, keine Personen; der Verantwortliche weist seine Beschäftigten entsprechend an.
• Meldende Personen (nur wenn der Verantwortliche Melde- oder Kundenlinks erzeugt): Beschreibung, Ort und Fotos einer Reklamation, freiwillig Name und E-Mail-Adresse von Mietern, Hausmeistern oder Ansprechpartnern der Kunden.

4. Weisungen

Der Verantwortliche weist den Auftragsverarbeiter durch die bestimmungsgemäße Nutzung der Software an (Erfassen, Ändern, Löschen, Exportieren). Darüber hinausgehende Weisungen erteilt er in Textform. Hält der Auftragsverarbeiter eine Weisung für rechtswidrig, weist er darauf hin.

Das Einschalten der Standortprüfung beim Einchecken ist eine Weisung des Verantwortlichen. Er stellt sicher, dass sie gegenüber seinen Beschäftigten zulässig ist (Information nach Art. 13 DSGVO, soweit vorhanden Zustimmung des Betriebsrats). Der Auftragsverarbeiter verarbeitet die vom Gerät übermittelte Position ausschließlich für den Abgleich im Moment des Eincheckens, speichert sie nicht, gibt sie an niemanden weiter — auch an keinen Kartendienst — und führt keine fortlaufende Ortung durch. Gespeichert wird nur das Ergebnis des Abgleichs (Ziffer 3). Davon getrennt kann der Verantwortliche die Koordinaten eines Objekts aus dessen Adresse ermitteln lassen; dafür wird nur die Objektadresse (Straße, PLZ, Ort) an den in Ziffer 6 genannten Kartendienst übermittelt — keine Position eines Geräts und keine Daten von Beschäftigten.

5. Pflichten des Auftragsverarbeiters

Der Auftragsverarbeiter verarbeitet die Daten ausschließlich nach diesem Vertrag und den Weisungen des Verantwortlichen, verpflichtet alle zugriffsberechtigten Personen zur Vertraulichkeit und trifft die in der Anlage beschriebenen technischen und organisatorischen Maßnahmen. Er unterstützt den Verantwortlichen bei Anfragen betroffener Personen und bei den Pflichten nach Art. 32–36 DSGVO; Auskunft, Export und Löschung stehen dem Verantwortlichen in der Software selbst zur Verfügung. Verletzungen des Schutzes personenbezogener Daten meldet er unverzüglich, spätestens innerhalb von 48 Stunden nach Bekanntwerden.

Auf die Daten eines Betriebs greift der Auftragsverarbeiter nur zu, wenn der Betrieb den Support-Zugang in der Software freigegeben hat — für die dort gewählte Dauer, höchstens 72 Stunden; der Betrieb kann die Freigabe jederzeit beenden. Ohne Freigabe greift er nur im Notfall zu, also bei einer Störung oder einem Sicherheitsvorfall, die sich anders nicht beheben lassen — höchstens 4 Stunden, und der Betrieb erhält sofort eine E-Mail. Jeder Zugriff ist an einen Grund gebunden, in der Software sichtbar gekennzeichnet und protokolliert.

6. Unterauftragsverarbeiter

Der Verantwortliche stimmt dem Einsatz dieser Unterauftragsverarbeiter zu. Der Auftragsverarbeiter verpflichtet sie vertraglich auf ein gleichwertiges Schutzniveau. Über beabsichtigte Änderungen informiert er vorab in Textform; der Verantwortliche kann innerhalb von 14 Tagen widersprechen und den Vertrag in diesem Fall kündigen.

Schaltet der Verantwortliche den KI-Assistenten ein, nutzt er dafür einen eigenen Zugang bei einem KI-Anbieter seiner Wahl, mit dem er selbst einen Vertrag schließt. Der Auftragsverarbeiter übermittelt die jeweilige Anfrage auf Weisung des Verantwortlichen an diesen Anbieter. Der KI-Anbieter ist in diesem Fall Auftragsverarbeiter des Verantwortlichen, nicht Unterauftragsverarbeiter des Auftragsverarbeiters.

Verbindet der Verantwortliche die Software mit seinem eigenen Konto bei Lexware Office, übermittelt der Auftragsverarbeiter auf Weisung des Verantwortlichen festgeschriebene Rechnungen samt Kundenangaben an Lexware und liest den Zahlstatus zurück. Lexware (Haufe Service Center GmbH) ist dabei Auftragsverarbeiter des Verantwortlichen aufgrund dessen eigenen Vertrags, nicht Unterauftragsverarbeiter des Auftragsverarbeiters. Der Auftragsverarbeiter speichert den API-Schlüssel verschlüsselt und löscht ihn, sobald der Verantwortliche die Verbindung trennt.

7. Übermittlung in Drittländer

Die Daten werden in der EU gespeichert. Soweit ein Unterauftragsverarbeiter seinen Sitz außerhalb der EU/des EWR hat oder dort Zugriff haben kann, erfolgt dies nur auf Grundlage geeigneter Garantien nach Art. 44 ff. DSGVO, insbesondere der EU-Standardvertragsklauseln oder eines Angemessenheitsbeschlusses.

8. Kontrollrechte

Der Verantwortliche kann sich von der Einhaltung dieses Vertrags überzeugen. Der Auftragsverarbeiter weist dies in erster Linie durch diesen Vertrag samt Anlage und aussagekräftige Auskünfte nach; Überprüfungen vor Ort erfolgen nach vorheriger Abstimmung während der üblichen Geschäftszeiten.

9. Löschung und Rückgabe

Der Verantwortliche kann jederzeit einen vollständigen Export seiner Daten herunterladen. Nach Ende der Testphase oder des Nutzungsvertrags bleiben die Daten 90 Tage lesbar und exportierbar; der Auftragsverarbeiter kündigt die Löschung bei Beginn der Frist und sieben Tage vor ihrem Ablauf per E-Mail an und löscht die Daten danach. Verlangt der Verantwortliche in Textform eine vorzeitige Löschung, entfernt der Auftragsverarbeiter die Daten unverzüglich aus dem laufenden Bestand. In den eigenen täglichen Sicherungen sind sie danach noch bis zu 30 Tage enthalten; die Serversicherung des Hosting-Anbieters hält die letzten 30 Sicherungen vor und überschreibt danach jeweils die älteste. Gesetzliche Aufbewahrungspflichten (z. B. für Rechnungen) erfüllt der Verantwortliche selbst, etwa über den Export.

10. Haftung und Schlussbestimmungen

Für die Haftung gilt Art. 82 DSGVO, ergänzend die Haftungsregelung der AGB. Bei Widersprüchen zwischen diesem Vertrag und den AGB geht dieser Vertrag vor. Es gilt deutsches Recht. Sollten einzelne Bestimmungen unwirksam sein, bleibt die Wirksamkeit der übrigen unberührt.

Anlage: Technische und organisatorische Maßnahmen
Stand: 10.11.2026 · Impressum · Datenschutz · AGB · Preise und Leistungen · TOM