Auftragsverarbeitung

Worum es hier geht

Wenn ein Nachunternehmer über einen von Nachwerk erzeugten Link Dokumente hochlädt oder eine automatische Erinnerungs-E-Mail erhält, verarbeitet Nachwerk dabei personenbezogene Daten des Nachunternehmer-Ansprechpartners (Name, E-Mail, hochgeladene Dokumente) im Auftrag der Generalunternehmer-Organisation. In dieser Konstellation ist die Generalunternehmer-Organisation Verantwortlicher im Sinne der DSGVO, Nachwerk Auftragsverarbeiter (Art. 28 DSGVO). Ein AVV zwischen beiden ist Voraussetzung für diese Verarbeitung.

1. Gegenstand und Dauer der Verarbeitung

Gegenstand ist die Bereitstellung der Nachwerk-Anwendung zur Verwaltung, Fristüberwachung und Dokumentation von Nachunternehmer-Nachweisen nach § 28e SGB IV. Die Verarbeitung dauert für die Laufzeit des Nutzungsvertrags zwischen Nachwerk und der Organisation an; nach Kündigung erfolgt ein Datenexport, anschließend die kaskadierte Löschung aller Daten der Organisation (siehe Datenschutzerklärung, Abschnitt „Speicherdauer“).

2. Art und Zweck der Verarbeitung

Speicherung und Anzeige hochgeladener Nachweis-Dokumente, Versand von Upload-Links und optionalen Erinnerungs-E-Mails an Nachunternehmer, Führung eines unveränderlichen Ereignis-Protokolls über Einreichung und Prüfung dieser Nachweise.

3. Kategorien betroffener Personen

Ansprechpartner bei Nachunternehmer-Firmen der Organisation; ergänzend Nutzerkonten der Organisation selbst (Admin/Mitarbeiter/Bearbeiter), soweit sie im Rahmen der Vertragsdurchführung betroffen sind.

4. Kategorien personenbezogener Daten

Name und E-Mail-Adresse des Nachunternehmer-Ansprechpartners; Inhalt der hochgeladenen Nachweis-Dokumente (z. B. Unbedenklichkeitsbescheinigungen, Versicherungsnachweise) inklusive darin enthaltener personenbezogener Daten; Metadaten zum Nachweis (Typ, Ablaufdatum, Prüfstatus).

5. Technische und organisatorische Maßnahmen (TOM)

Die folgenden Maßnahmen sind aus der tatsächlichen Architektur der Anwendung abgeleitet. Nachwerk hält aktuell keine Zertifizierung nach ISO 27001 oder vergleichbaren Standards. Das Hosting erfolgt nicht ausschließlich in Deutschland oder der EU: Convex, Clerk und Vercel sind US-Anbieter, die Datenübermittlung in Drittländer erfolgt auf Basis von Standardvertragsklauseln der EU-Kommission (siehe Tabelle unten und Datenschutzerklärung).

Mandantentrennung: Jede Serverfunktion prüft vor jedem Datenzugriff explizit die Zugehörigkeit zur anfragenden Organisation und die Eigentümerschaft am angefragten Datensatz, statt sich auf datenbankseitige Row-Level-Security zu verlassen.
Verschlüsselung in Transit: Kommunikation zwischen Client, Anwendungs-Frontend, Backend und allen eingesetzten Auftragsverarbeitern läuft ausschließlich über TLS.
Rollenbasierte Zugriffskontrolle: Getrennte Rollen Admin/Mitarbeiter/ Bearbeiter mit unterschiedlichen Rechten, u. a. ist das endgültige Löschen von Nachunternehmern und Nachweisen ausschließlich Admins vorbehalten.
Kurzlebige, zufällige Upload-Links: Nachunternehmer erhalten keinen dauerhaften Zugang, sondern einen kryptografisch zufälligen, zeitlich auf maximal 14 Tage begrenzten Token-Link.
Zweistufige menschliche Prüfung: Neu hochgeladene Dokumente gelten erst nach ausdrücklicher Bestätigung durch einen Bearbeiter oder Admin als gültiger Nachweis; bis dahin sind sie als „zu prüfen“ gekennzeichnet.
Unveränderliches Protokoll: Ereignisse rund um einen Nachweis (hochgeladen, geprüft, abgelehnt, erinnert) werden append-only protokolliert und nachträglich nicht verändert oder gelöscht.
Rate-Limiting: Aufrufe der öffentlichen Upload-Route sind pro Token und pro IP-Adresse begrenzt, um automatisiertes Durchprobieren zu erschweren.

6. Unterauftragsverarbeiter

Nachwerk setzt seinerseits die folgenden Unterauftragsverarbeiter ein (identisch mit der Liste in der Datenschutzerklärung):

Anbieter	Zweck	Datenkategorien	Sitz / Drittlandtransfer
Convex	Datenbank, Dateispeicher für hochgeladene Nachweis-Dokumente, Serverfunktionen und Cron-Jobs, die Kernplattform der Anwendung.	Alle in der Anwendung gespeicherten Daten: Nachweis-Dokumente, Stammdaten der Nachunternehmer, Ereignis-Protokoll, Konto-Metadaten der GU-Nutzer.	USA (Convex, Inc., Drittland): Auftragsverarbeitungsvertrag mit Standardvertragsklauseln der EU-Kommission (Art. 46 DSGVO).
Clerk	Anmeldung, Sitzungsverwaltung und Organisationsverwaltung der GU-Nutzerkonten.	Name, E-Mail-Adresse, Login-/Sitzungsdaten und Organisationszugehörigkeit der GU-Mitarbeiter (Admin/Mitarbeiter/Bearbeiter).	USA (Clerk, Inc., Drittland): Auftragsverarbeitungsvertrag mit Standardvertragsklauseln der EU-Kommission; zusätzlich zertifiziert unter dem EU-US Data Privacy Framework.
Polar	Abwicklung von Checkout, Abonnement und Zahlungsstatus für die kostenpflichtige Nutzung.	Rechnungs- und Abo-Daten der Organisation (z. B. Rechnungsanschrift, Zahlungsstatus); Zahlungsmitteldaten selbst verarbeitet Polar bzw. dessen eigene Zahlungsdienstleister.	USA (Polar Software, Inc., San Francisco, Drittland): Auftragsverarbeitungsvertrag mit Standardvertragsklauseln der EU-Kommission (Modul 2). Bei der Zahlungsabwicklung tritt Polar als Merchant of Record auf und ist insoweit eigenständiger Verantwortlicher.
Resend	Versand automatischer Erinnerungs-E-Mails an Nachunternehmer vor Ablauf eines Nachweises (nur sofern von der Organisation aktiviert, Standard: aus). Seit dem Rechnungs-Postfach (Wachstum-Plan, ebenfalls Standard: aus) zusätzlich Empfang eingehender Nachunternehmer-Rechnungen an eine organisationseigene Empfangsadresse sowie Versand der Rückmeldung an die weiterleitende Person.	Name und E-Mail-Adresse des Ansprechpartners beim Nachunternehmer, Nachweistyp, Ablaufdatum, Upload-Link. Beim Rechnungs-Postfach zusätzlich: Absenderadresse und -inhalt der weitergeleiteten Rechnungs-E-Mail (inkl. Anhang, nur zur Verarbeitung gelesen, siehe Abschnitt zum Rechnungs-Postfach, keine dauerhafte Speicherung der Rechnung).	USA (Drittland): Auftragsverarbeitungsvertrag mit Standardvertragsklauseln der EU-Kommission; zusätzlich zertifiziert unter dem EU-US Data Privacy Framework.
Vercel	Hosting und Auslieferung des Frontends (Next.js-Anwendung).	Zugriffs-/Server-Logs beim Aufruf der Anwendung, z. B. IP-Adresse, Zeitstempel, aufgerufene URL.	USA (Vercel Inc., Drittland): Auftragsverarbeitungsvertrag mit Standardvertragsklauseln der EU-Kommission; zusätzlich zertifiziert unter dem EU-US Data Privacy Framework und nach ISO 27001.
Anthropic (Claude API)	Automatisches Auslesen von Ablaufdatum und Dokumenttyp aus neu hochgeladenen Nachweis-Dokumenten als unverbindlicher Vorschlag, nur sofern für das Deployment ein ANTHROPIC_API_KEY hinterlegt ist (siehe SETUP.md), sonst wird nichts an Anthropic übermittelt. Der Vorschlag wird stets von einem Bearbeiter oder Admin bestätigt bzw. explizit übernommen, bevor er verbindlich wird. Seit dem Rechnungs-Postfach (Wachstum-Plan) zusätzlich: Auslesen von Firmenname, USt-IdNr., IBAN und Betrag aus eingegangenen PDF-Rechnungen ohne lesbares ZUGFeRD-/XRechnung-XML, ebenfalls nur als unverbindlicher Vorschlag. Das führt nie automatisch zu einer Zuordnung, sondern immer erst nach manueller Bestätigung.	Inhalt des jeweils neu hochgeladenen Nachweis-Dokuments bzw. der jeweiligen PDF-Eingangsrechnung, nur für die Dauer der einzelnen Auslesung, nicht dauerhaft bei Anthropic gespeichert.	USA (Anthropic, PBC, Drittland): Data Processing Addendum mit Standardvertragsklauseln der EU-Kommission (Modul 2/3); API-Eingaben werden nicht zum Modell-Training verwendet.

7. Rechte und Pflichten des Verantwortlichen

Die Organisation bleibt als Verantwortlicher dafür zuständig, eine Rechtsgrundlage für die Weitergabe der Kontaktdaten ihrer Nachunternehmer an Nachwerk zu haben und Betroffenenanfragen der Nachunternehmer-Ansprechpartner selbst zu beantworten. Nachwerk unterstützt dabei über die in der Anwendung verfügbaren Export- und Löschfunktionen.

Abschluss eines AVV

Diese Seite beschreibt den Inhalt der Auftragsverarbeitung; der Vertrag selbst kommt in Textform zustande. Zum Abschluss genügt eine formlose E-Mail an philipp.weller@nachwerk-app.de. Der Kunde erhält daraufhin eine unterschriftsfähige Fassung dieses Textes zur beidseitigen Bestätigung.