Stand: 09.11.2026. Zusammenfassung des Musters. Es ist ein Entwurf des Entwicklers, kein anwaltlich geprüfter Vertrag.
Den vollständigen Vertrag nach Art. 28 Abs. 3 DSGVO sende ich Ihnen auf Anfrage unterschrieben zu: kontakt@moersbergerit.de. Lassen Sie ihn vor dem Einsatz mit echten Kräfte-Daten prüfen.
Gegenstand und Zweck
Bereitstellung von NachweisHeld zur Planung und Dokumentation von Reinigungsarbeiten. Verarbeitet werden Daten im Auftrag des Betriebs (Verantwortlicher). Ich (Auftragsverarbeiter) handle ausschließlich auf dokumentierte Weisung und verarbeite nichts zu eigenen Zwecken.
Datenkategorien und Betroffene
| Kategorie | Felder |
|---|---|
| Stammdaten der Kräfte | Name |
| Nachweisdaten | Zeitstempel einer Erledigung, Aufgabe, Objekt, Bereich, Name der Kraft, Messwert und Korrekturmaßnahme |
| Freitext | Bemerkungen und Mängelmeldungen |
| Kontodaten des Inhabers | E-Mail-Adresse, Passwort-Hash, Betriebsname |
| Zugangsdaten | PIN-Hash je Objekt, Sitzungs-Token als Hash, Gerätecookies |
Betroffen sind Reinigungskräfte des Betriebs und Personen mit Zugang zum Konto. Gesundheitsdaten, Löhne und Standortdaten werden nicht erhoben. Der Betrieb trägt in Freitextfeldern keine Gesundheitsdaten ein.
Technische und organisatorische Maßnahmen
- Passwörter und PINs nur als Hash (PBKDF2), Sitzungstoken nur als SHA-256-Hash gespeichert.
- Cookies mit HttpOnly, Secure und SameSite. Scan-Geräte sind an ein Objekt gebunden und laufen nach zwölf Stunden ab.
- Begrenzung von Fehlversuchen bei Anmeldung und PIN, Sperre je Objekt mit Aufhebung durch den Betrieb.
- Mandantentrennung: Jeder Datensatz gehört zu einem Betrieb, jeder Zugriff filtert serverseitig darauf.
- Transportverschlüsselung per TLS. Sicherung der Datenbank über die zentrale Sicherung des Betreibers; die Aufnahme von NachweisHeld ist vor dem Produktivstart zu bestätigen.
- Konto löschen entfernt alle Daten des Betriebs. Auf Sicherungen wirkt die Rotation.
Offene Punkte, die vor dem Einsatz mit Fremdkunden zu klären sind: Festplattenverschlüsselung des Servers, Verschlüsselung der Datenbankdatei im Ruhezustand, Verzeichnis der Verarbeitungstätigkeiten.
Unterauftragsverarbeiter
| Unternehmen | Leistung | Daten |
|---|---|---|
| Cloudflare (USA, Deutschland) | Auslieferung und Absicherung | Verbindungsdaten, IP-Adresse |
| Mailjet / Sinch Email (Frankreich) | Versand von System-E-Mails | E-Mail-Adresse, Betriebsname |
Änderungen kündige ich mindestens vier Wochen vorher in Textform an. Meldungen über Datenschutzverletzungen erfolgen unverzüglich, spätestens innerhalb von 24 Stunden nach Kenntnis.