Auftragsverarbeitungsvertrag (AVV)

Zuletzt aktualisiert: 2026-10-15

Diese deutsche Fassung ist eine Übersetzung. Bei Abweichungen gilt die niederländische Fassung.

Dieser AVV ist integraler Bestandteil des Vertrags zwischen Cleaniro („Auftragsverarbeiter“) und dem Kunden („Verantwortlicher“). Er regelt die Verarbeitung personenbezogener Daten im Auftrag des Verantwortlichen im Zusammenhang mit den Diensten.

1. Gegenstand und Dauer

Dieser AVV gilt für die Dauer des Vertrags und umfasst die Verarbeitung personenbezogener Daten der Endbenutzer des Verantwortlichen (Reinigungskräfte, Manager, Admins) innerhalb der Cleaniro-Plattform.

2. Art und Zweck der Verarbeitung

Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich zur Erbringung der im Vertrag beschriebenen Dienste: Planung, Zeiterfassung, Qualitätskontrolle, Berichterstattung und damit verbundene Funktionen des operativen Managements.

3. Kategorien betroffener Personen und personenbezogener Daten

Betroffene Personen:

• Reinigungskräfte (Mitarbeitende oder Auftragnehmer des Verantwortlichen)
• Manager, Teamleiter, Admins (Personal des Verantwortlichen)
• Optional: Endkunden des Verantwortlichen (Ansprechpersonen an den Einsatzorten)

Kategorien personenbezogener Daten:

• Identität: Name, Kontaktdaten, Funktion
• Beschäftigung: Planung, geleistete Stunden, Einsatzorte
• Zeiterfassung: Ein-/Ausstempeln, Pausen
• Standort: GPS-Koordinaten beim Ein-/Ausstempeln (sofern aktiviert)
• Qualität: Inspektionsergebnisse, Vorfallberichte, Fotos
• Authentifizierung: gehashte Passwörter

Besondere Kategorien: werden von Cleaniro standardmäßig nicht verarbeitet. Der Verantwortliche verpflichtet sich, keine Daten besonderer Kategorien (Gesundheit, Weltanschauung usw.) einzugeben, sofern dies nicht schriftlich vereinbart wurde.

4. Pflichten des Auftragsverarbeiters

Der Auftragsverarbeiter wird:

1. Personenbezogene Daten nur auf dokumentierte Weisung des Verantwortlichen verarbeiten, auch in Bezug auf internationale Übermittlungen, sofern er nicht gesetzlich dazu verpflichtet ist.
2. Sicherstellen, dass die zur Verarbeitung befugten Personen zur Vertraulichkeit verpflichtet sind.
3. Geeignete technische und organisatorische Maßnahmen umsetzen (siehe Anlage 1).
4. Unterauftragsverarbeiter nur unter den Bedingungen von Artikel 7 einsetzen.
5. Den Verantwortlichen bei der Erfüllung seiner Pflichten in Bezug auf Betroffenenrechte, Sicherheit, Meldung von Datenschutzverletzungen, Datenschutz-Folgenabschätzungen und Konsultationen mit Aufsichtsbehörden unterstützen.
6. Den Verantwortlichen unverzüglich (innerhalb von 72 Stunden) über jede Verletzung des Schutzes personenbezogener Daten informieren.
7. Nach Wahl des Verantwortlichen nach Beendigung der Dienste alle personenbezogenen Daten löschen oder zurückgeben und vorhandene Kopien löschen, sofern keine gesetzliche Aufbewahrungspflicht besteht.
8. Dem Verantwortlichen alle erforderlichen Informationen zum Nachweis der Einhaltung zur Verfügung stellen und Audits ermöglichen.

5. Pflichten des Verantwortlichen

Der Verantwortliche wird:

1. Sicherstellen, dass er über eine Rechtsgrundlage für die Verarbeitung personenbezogener Daten verfügt.
2. Die Endbenutzer (Reinigungskräfte, Manager) über die Verarbeitung informieren, gegebenenfalls einschließlich der Nutzung von GPS.
3. Die Einhaltung des Arbeitsrechts in Bezug auf Zeiterfassung und Standortüberwachung von Mitarbeitenden sicherstellen.
4. Nur personenbezogene Daten bereitstellen, die für die Dienste erforderlich sind.
5. Keine Daten besonderer Kategorien ohne schriftliche Vereinbarung eingeben.

6. Rechte der betroffenen Personen

Der Auftragsverarbeiter unterstützt den Verantwortlichen mit geeigneten technischen und organisatorischen Maßnahmen bei der Beantwortung von Anfragen betroffener Personen. Der Auftragsverarbeiter leitet solche Anfragen, die direkt bei ihm eingehen, unverzüglich an den Verantwortlichen weiter.

7. Unterauftragsverarbeiter

Der Verantwortliche ermächtigt den Auftragsverarbeiter, die unter cleaniro.com/subprocessors aufgeführten Unterauftragsverarbeiter einzusetzen.

Der Auftragsverarbeiter wird:

• Eine aktuelle Liste öffentlich zugänglich halten
• Den Verantwortlichen mindestens 30 Tage im Voraus über beabsichtigte Hinzufügungen oder Ersetzungen informieren
• Unterauftragsverarbeitern Datenschutzpflichten auferlegen, die denen dieses AVV gleichwertig sind
• Für die Leistung der Unterauftragsverarbeiter in vollem Umfang haftbar bleiben

Der Verantwortliche kann Änderungen innerhalb von 30 Tagen widersprechen; kann der Widerspruch nicht ausgeräumt werden, kann der Verantwortliche den betroffenen Dienst kündigen.

8. Internationale Übermittlungen

Die primäre Verarbeitung findet innerhalb des Europäischen Wirtschaftsraums statt. Soweit Unterauftragsverarbeiter Daten außerhalb des EWR verarbeiten, stützt sich der Auftragsverarbeiter auf:

• Von der Europäischen Kommission genehmigte Standardvertragsklauseln (SCC)
• Das EU-US Data Privacy Framework, soweit anwendbar
• Erforderlichenfalls zusätzliche technische und organisatorische Maßnahmen

9. Sicherheitsmaßnahmen

Siehe Anlage 1.

10. Audits

Der Verantwortliche kann auf eigene Kosten und mit einer schriftlichen Vorankündigung von mindestens 30 Tagen die Einhaltung dieses AVV durch den Auftragsverarbeiter prüfen, höchstens einmal pro Kalenderjahr, außer nach einer Verletzung des Schutzes personenbezogener Daten. Audits müssen die Vertraulichkeit und die betriebliche Kontinuität des Auftragsverarbeiters respektieren. Auditberichte Dritter (z. B. ISO 27001, SOC 2, sobald erlangt) können nach Ermessen des Auftragsverarbeiters Vor-Ort-Audits ersetzen.

11. Haftung

Die Haftung richtet sich nach dem Vertrag. Die Haftungsobergrenze gilt kumulativ für den Vertrag und diesen AVV.

12. Laufzeit und Beendigung

Dieser AVV endet automatisch mit Beendigung des Vertrags. Artikel 4 Nr. 7 (Löschung/Rückgabe) gilt über die Beendigung hinaus fort.

13. Anwendbares Recht

Dieser AVV unterliegt belgischem Recht. Für Streitigkeiten sind die Gerichte des Gerichtsbezirks Antwerpen zuständig.

Anlage 1 — Technische und organisatorische Maßnahmen

Verschlüsselung

• TLS (verschlüsselte Verbindung) bei der Übertragung
• AES-256 im Ruhezustand (von Supabase verwaltet)

Zugriffskontrolle

• Daten jedes Unternehmens auf Datenbankebene getrennt (Row-Level-Security pro Unternehmen)
• Rollenbasierte Zugriffskontrolle (RBAC) innerhalb eines Unternehmens
• Least-Privilege-Prinzip
• Protokoll von Änderungen (u. a. Stunden, Zugriffe und Rollen, Unternehmensdaten), das Benutzer in der App weder ändern noch löschen können

Infrastruktur

• Datenbank und primäre Verarbeitung: Supabase EU (Frankfurt)
• Hosting der Website und der App: Vercel (EU-Region Frankfurt, soweit verfügbar)
• Tägliche automatische Backups (durch Supabase)

Betrieb

• Überwachung und Behebung von Schwachstellen
• Verfahren zur Reaktion auf Sicherheitsvorfälle
• Vertraulichkeitspflichten für das gesamte Personal und alle Unterauftragsverarbeiter
• Jährliche Überprüfung der Maßnahmen

Datenlebenszyklus

• Datentrennung pro Mandant (Kunde)
• 30-tägiges Exportfenster nach Beendigung
• Vollständige Löschung innerhalb von 90 Tagen (vorbehaltlich gesetzlicher Aufbewahrungspflichten)

Anlage 2 — Liste der Unterauftragsverarbeiter

Siehe die aktuelle Liste unter cleaniro.com/subprocessors (nachstehend auch mit Stand zum Unterzeichnungsdatum wiedergegeben):