Auftragsverarbeitungsvertrag (AVV)

gemäß Art. 28 DSGVO · Stand: November 2026

Dieser Vertrag gilt zwischen dem Nutzer als Verantwortlichem und dem Anbieter als Auftragsverarbeiter, soweit der Nutzer mit InstallateurDex personenbezogene Daten Dritter verarbeitet. Er ist Bestandteil der AGB und gilt mit deren Annahme als vereinbart. Ein gegengezeichnetes Exemplar senden wir auf Anfrage an support@dexware.app.

§ 1 Vertragspartner

Auftragsverarbeiter: Alexander Pfalz, Einzelunternehmen, Hofsatz 29, 7082 Donnerskirchen, Österreich, E-Mail: support@dexware.app („Anbieter“).
Verantwortlicher: der Betrieb, der InstallateurDex nutzt („Nutzer“).

§ 2 Gegenstand, Dauer, Art und Zweck

Gegenstand ist die Bereitstellung von InstallateurDex zur Verwaltung der Anlagen von Kundinnen und Kunden des Nutzers, zur Dokumentation von Einsätzen, zur Fristenverwaltung, zum QR-Anlagenpass mit Anfrage- und Terminfunktion sowie zum Versand von Erinnerungen. Der Anbieter verarbeitet die Daten ausschließlich zur Erbringung dieses Dienstes (Speichern, Abgleichen, Anzeigen, Auswerten auf Anforderung — etwa per Diktat oder Foto —, Erstellen von Berichten, Versenden von Mitteilungen und Erinnerungen). Die Dauer entspricht der Laufzeit der Nutzung.

§ 3 Art der Daten und Kreis der Betroffenen

Datenarten

• Kundendaten: Name, Anschrift des Objekts, Telefon, E-Mail, Zustimmung zu Erinnerungs-Mails, Notizen
• Anlagendaten (Hersteller, Modell, Seriennummer, Kältemittel, Verträge, Garantien) und Einsatzdokumentation (Arbeiten, Messwerte, Checklisten, Mängel, Material, Zeiten)
• Fotos (können Personen, Räume oder Kennzeichen zeigen) und elektronische Unterschriften von Monteuren und Kunden
• Standort- und Zeitstempel (GPS-Stempel der Einsätze)
• Anfragen über den Anlagenpass: Name, Kontakt, Nachricht, Wunschtermine, optional ein Foto
• Sprachaufnahmen beim Diktat (nur zur Umwandlung, ohne Speicherung beim Anbieter)
• Namen und E-Mail-Adressen der Team-Mitglieder des Nutzers

Betroffene

• Kundinnen und Kunden des Nutzers sowie deren Ansprechpartner
• Beschäftigte und Beauftragte des Nutzers (Monteure, Team-Mitglieder)
• Personen, die zufällig auf Fotos abgebildet sind

§ 4 Weisungen

Der Anbieter verarbeitet die Daten nur auf dokumentierte Weisung des Nutzers. Die Weisungen ergeben sich aus diesem Vertrag und der Nutzung der Funktionen durch den Nutzer; weitere Weisungen erfolgen in Textform. Hält der Anbieter eine Weisung für rechtswidrig, informiert er den Nutzer unverzüglich.

§ 5 Pflichten des Nutzers

• Der Nutzer stellt sicher, dass er die Daten seiner Kundinnen und Kunden rechtmäßig verarbeiten darf und sie über die Verarbeitung informiert (z. B. mit Verweis auf Abschnitt 11 der Datenschutzerklärung).
• Erinnerungs-Mails darf der Nutzer nur einschalten, wenn die Kundin bzw. der Kunde zugestimmt hat.
• Der Nutzer entscheidet über den Einsatz der KI-Funktionen in der App (Diktat, Typenschild, Lieferschein). Fügt eine Kundin oder ein Kunde einer Störungsmeldung ein Display-Foto bei, wird es automatisch auf einen Fehlercode ausgelesen.

§ 6 Pflichten des Anbieters

• Vertraulichkeit: Zugriff haben nur Personen, die zur Vertraulichkeit verpflichtet sind.
• Unterstützung bei Anfragen Betroffener (Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit) sowie bei den Pflichten nach Art. 32 bis 36 DSGVO, soweit zumutbar.
• Meldung von Verletzungen des Schutzes personenbezogener Daten an den Nutzer unverzüglich, möglichst innerhalb von 48 Stunden nach Kenntnis.
• Nachweise: Der Anbieter stellt die zum Nachweis erforderlichen Informationen zur Verfügung und ermöglicht Überprüfungen nach angemessener Vorankündigung (in der Regel durch schriftliche Auskunft).

§ 7 Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

• Datenbank und Dateispeicher in der EU-Region (Frankfurt am Main); Verschlüsselung der Übertragung (TLS) und der gespeicherten Daten beim Hosting-Anbieter.
• Strikte Trennung der Betriebe auf Datenbank-Ebene (Zeilen-Sicherheitsregeln je Betrieb, zusätzlich zusammengesetzte Fremdschlüssel); Rollen Inhaber/Monteur mit abgestuften Rechten.
• Fotos und Unterschriften in einem privaten Speicher; Zugriff nur über zeitlich begrenzte, signierte Links.
• Öffentliche Funktionen (Anlagenpass, Anfrage, Terminwahl, Abmeldung) nur über zufällige, nicht erratbare Schlüssel, mit Mengen- und Größenbegrenzung (auch je Absender über einen Hashwert der IP-Adresse); der Pass zeigt keine Namen oder Adressen der Kundschaft.
• Kundenportal nur mit bestätigter E-Mail-Adresse und nach Bestätigung des Betriebs durch die Kundin bzw. den Kunden; keine Unterschriften oder Fotos im Portal.
• Unveränderlichkeit der Einsatznachweise: vom Server berechneter Prüfcode (SHA-256), Änderungen technisch gesperrt, Korrekturen nur als gekennzeichnete Stornierung.
• KI-Funktionen nur auf ausdrückliche Auslösung; Sprachaufnahmen werden beim Anbieter nicht gespeichert; Begrenzung der Nutzung und der Versuche je Betrieb.
• Datensicherung beim Hosting-Anbieter; Datenminimierung (z. B. keine Hintergrund-Ortung).

§ 8 Unterauftragsverarbeiter

Der Nutzer genehmigt den Einsatz folgender Unterauftragsverarbeiter:

Über beabsichtigte Änderungen informiert der Anbieter vorab in geeigneter Weise (z. B. auf dieser Seite und per E-Mail an den Inhaber); der Nutzer kann aus wichtigem datenschutzrechtlichem Grund widersprechen.

§ 9 Löschung und Rückgabe

Nach Ende der Nutzung bzw. bei Löschung des Kontos durch den Inhaber werden die Daten des Betriebs einschließlich der Fotos gelöscht, soweit keine gesetzliche Aufbewahrungspflicht des Anbieters besteht. Vor der Löschung kann der Nutzer seine Nachweise als PDF sichern; für eigene Aufbewahrungspflichten ist der Nutzer verantwortlich.

§ 10 Schlussbestimmungen

Im Übrigen gelten die AGB. Bei Widersprüchen gehen die Regelungen dieses Vertrags zum Datenschutz vor. Es gilt das Recht der Republik Österreich.