Vertrag zur Auftragsverarbeitung

Wer hier mit wem

Verantwortlicher ist Ihr Betrieb. Die Daten Ihrer Kunden sind Ihre Daten; Sie entscheiden, was damit geschieht.

Auftragsverarbeiter ist Daniel von Lühmann, Hauptstraße 154, 01833 Dürrröhrsdorf-Dittersbach, mail@feif.space. Wir verarbeiten diese Daten ausschließlich für Sie und nach Ihren Weisungen.

Dieser Vertrag gilt nur für den von uns betriebenen Abgleich. Betreiben Sie den Server selbst, brauchen Sie ihn nicht: Dann verlässt kein Datensatz Ihren eigenen Bereich, und wir sind an nichts beteiligt. Nutzen Sie Montix ohne Abgleich, erst recht nicht — dann bleibt ohnehin alles auf den Geräten.

1. Gegenstand, Dauer und Zweck

Gegenstand ist der Abgleich der Daten zwischen den Geräten Ihres Betriebs sowie die Vergabe fortlaufender Belegnummern an zentraler Stelle, damit zwei Geräte nie dieselbe Nummer ziehen.

Der von uns betriebene Server ist unter https://feif.space/montix-api erreichbar. Sie können stattdessen einen eigenen Server eintragen; dann sind Sie dessen Betreiber, dieser Vertrag greift insoweit nicht, und wir verarbeiten nichts.

Ein weitergehender Zweck besteht nicht. Wir werten Ihre Daten nicht aus, nutzen sie nicht für eigene Zwecke, geben sie nicht weiter und bilden daraus keine Statistiken.

Der Vertrag läuft, solange Sie den zentralen Abgleich nutzen, und endet mit dessen Abschaltung oder mit Ihrer Kündigung in Textform. Eine Frist gibt es nicht.

2. Art der Daten

Auf dem Server liegt je Betrieb eine eigene Datenbankdatei. Darin stehen:

• Kunden: Name, Anschrift, Ansprechpartner, Telefon, E-Mail, Kundennummer, Umsatzsteuer-Identifikationsnummer
• Artikel mit Bezeichnung, Einheit, Preis und Bild
• Termine und ihre Zuordnung
• Lagepläne samt Zeichnung und hinterlegtem Planbild
• Arbeitsberichte mit Tätigkeiten, Material, Arbeitszeit, Notiz, Fotos und der Unterschrift des Kunden
• Belege — Angebote, Lieferscheine, Rechnungen — samt Nummernständen
• Sprachnotizen: die Aufnahme selbst und, wenn jemand sie in Text hat umwandeln lassen, dieser Text. Rechnen Sie damit, dass das Gesprochene aus einem Kundengespräch dadurch in lesbarer Form auf dem Server liegt
• Nachrichten zwischen Ihren Beschäftigten, als Text oder als Sprachnachricht, mit Absender, Empfänger und Zeitpunkt
• Schrittzahlen je Tag, aber nur von Beschäftigten, die unter Bewegung selbst „Mitmachen“ eingeschaltet haben: je Person und Tag eine Zahl, dazu Kennung, Name und Datum. Dies sind Daten, die Rückschlüsse auf den körperlichen Zustand zulassen; wie Sie damit umzugehen haben, steht unten unter 2a
• Alleinarbeit, solange sie läuft oder ein Alarm besteht: Kennung und Name, Beginn, Ablauf der Frist, das gewählte Zeitfenster, der Stand, bei einem Alarm dessen Anlass und Zeitpunkt sowie der Name dessen, der sich kümmert. Dazu der zuletzt bekannte Ort, falls die betreffende Person das nicht abgeschaltet hat. Beendete Einträge löscht der Server nach sieben Tagen
• Daten Ihres Betriebs: Firmenname, Anschrift, Inhaber, Bankverbindung, Steuernummer, Firmenfarben und Logo

Dazu kommt, was der Abgleich selbst braucht:

• Angaben zu Ihren Beschäftigten, im Klartext: Name, Rolle (Verwalter oder Monteur), Kürzel, Telefonnummer, E-Mail-Adresse, eine Farbe zur Unterscheidung und die freigegebenen Bereiche
• je angemeldetem Gerät dessen Name, der Zeitpunkt der Anmeldung und der Zeitpunkt der letzten Nutzung
• bei jeder Änderung, von welchem Gerät sie kam, und wann
• Geräte-Token und Einladungscodes nur als Prüfsumme — die Codes selbst liegen nicht vor und lassen sich daraus nicht zurückrechnen

2a. Schrittzahlen: was Sie als Arbeitgeber beachten müssen

Diese Kategorie steht hier gesondert, weil sie sich von den anderen unterscheidet. Pläne und Belege entstehen bei der Arbeit; Schrittzahlen entstehen an einem Menschen. Sie lassen Rückschlüsse auf dessen körperliche Verfassung zu und können damit besondere Daten im Sinne des Art. 9 DSGVO sein.

Technisch haben wir das so gebaut, dass Sie es gar nicht erst falsch machen können: Der Schalter steht beim Beschäftigten, nicht bei Ihnen, er ist ab Werk aus, und der Server nimmt Schrittzahlen nur für die Person entgegen, von deren Gerät sie kommen. Sie können niemanden anmelden und niemandes Werte eintragen. Schaltet jemand ab, löscht die App seine Werte und meldet die Löschung an Server und Geräte.

Neben den Tageszahlen liegt je teilnehmender Person ein Vermerk über die Einwilligung auf dem Server: Kennung, Name, Zeitpunkt, die Fassung des Hinweistextes und ob der Schalter an oder aus steht. Er enthält keine Schrittzahl und bleibt beim Widerruf mit dem Vermerk „aus“ stehen — gerade weil Sie als Verantwortlicher nachweisen können müssen, dass eine Einwilligung vorlag und wann sie widerrufen wurde (Art. 7 Abs. 1 DSGVO). Gelöscht wird er mit den Daten Ihres Betriebs.

Getragen wird die Verarbeitung von der ausdrücklichen Einwilligung der betroffenen Person (Art. 9 Abs. 2 Buchst. a DSGVO) — das Einschalten des Schalters ist sie, das Ausschalten der Widerruf. Zwei Dinge bleiben dabei Ihre Aufgabe:

• Aus einer Verweigerung darf kein Nachteil folgen, sonst ist die Einwilligung nicht freiwillig (§ 26 Abs. 2 BDSG). Eine Belohnung darf ein Ansporn sein; sie darf nicht an die Stelle von etwas treten, das allen ohnehin zusteht.
• Eine namentliche Rangliste ist geeignet, Verhalten zu überwachen. Gibt es bei Ihnen einen Betriebsrat, ist dessen Mitbestimmung nach § 87 Abs. 1 Nr. 6 BetrVG zu beachten, bevor die Aktion startet. Das lässt sich nicht dadurch ersetzen, dass alle einzeln zustimmen: Das Recht steht dem Gremium zu, nicht den Einzelnen.

2b. Alleinarbeit: warum sie auch ohne Ihre Zustimmung läuft

Der Totmannschalter ist eine Schutzfunktion. Deshalb haben wir ihn bewusst nicht an die Zustimmung zu diesem Vertrag gekoppelt: Ein Alarm darf nicht daran scheitern, dass jemand ein Häkchen vergessen hat. Alle übrigen Wege des Abgleichs bleiben bis zu Ihrer Zustimmung gesperrt, dieser eine nicht.

Dadurch entsteht ein Zustand, den wir benennen statt ihn zu verschweigen: Zwischen dem Anmelden des ersten Geräts und Ihrer Zustimmung könnten Daten zur Alleinarbeit auf unserem Server liegen, ohne dass dieser Vertrag geschlossen wäre. Art. 28 DSGVO verlangt ihn aber vor der Verarbeitung. Deshalb gilt: Sie holen die Zustimmung unverzüglich nach, bevor Sie die Alleinarbeit im Betrieb einsetzen. Dieser Vertrag deckt die Verarbeitung ab dem Zeitpunkt ab, zu dem die Funktion erstmals benutzt wird, auch wenn die Zustimmung erst danach erfolgt.

Rechtsgrundlage ist hier nicht die Einwilligung des Beschäftigten, sondern Ihre Pflicht, für dessen Sicherheit zu sorgen (§ 26 Abs. 1 BDSG mit dem Arbeitsschutzgesetz). Ein Beschäftigter kann die Funktion also nicht einfach ablehnen — dafür erhebt sie nur, was für den Zweck nötig ist, und nichts davon fließt in die Teamwertung ein.

Zum Umfang des Schutzes sagen wir dasselbe wie in der Datenschutzerklärung: Es gibt keine Push-Nachrichten und keine SMS. Die Kollegen erfahren vom Alarm, wenn ihre App ihn abruft. Montix ist keine Personen-Notsignal-Anlage und ersetzt keine. Wenn Ihre Gefährdungsbeurteilung eine solche verlangt, bleibt sie verlangt.

3. Kategorien betroffener Personen

• Ihre Kunden und deren Ansprechpartner
• Ihre Beschäftigten, soweit sie Montix nutzen
• Personen, die auf Fotos eines Arbeitsberichts zu sehen sind oder eine Abnahme unterschrieben haben

Ein Hinweis in Ihrem eigenen Interesse. Weil der Server festhält, welches Gerät wann welche Änderung gesendet hat und wann es zuletzt in Gebrauch war, lässt sich daraus das Verhalten Ihrer Beschäftigten ablesen. Gibt es in Ihrem Betrieb einen Betriebsrat, ist dessen Mitbestimmung nach § 87 Abs. 1 Nr. 6 BetrVG zu beachten, bevor Sie den Abgleich einschalten. Das ist Ihre Pflicht als Arbeitgeber, nicht unsere.

Ihr Schlüssel für die Kartenzahlung

Kassieren Sie mit dem Handy, hinterlegt Ihr Verwalter in der App den geheimen Schlüssel Ihres eigenen Zahlungsanbieter-Kontos. Er wird auf dem Server verschlüsselt abgelegt (AES-256-GCM) und an das Gerät nie zurückgegeben; auch der Export Ihrer Daten enthält ihn nicht.

Wir sagen dazu, was diese Verschlüsselung leistet und was nicht. Der Schlüssel, mit dem entschlüsselt wird, liegt als eigene Datei auf demselben Server, nur für den Dienst lesbar. Das schützt zuverlässig davor, dass jemand mit einer Kopie Ihrer Datenbankdatei etwas damit anfangen kann — etwa aus einer Sicherung. Es schützt nicht gegen jemanden, der Zugriff auf den Server selbst erlangt, denn dort liegen beide Teile. Wer das nicht tragen will, zahlt nicht über die App oder betreibt einen eigenen Server.

4. Weisungen

Wir verarbeiten die Daten ausschließlich auf Ihre dokumentierte Weisung. Dieser Vertrag ist Ihre erste Weisung; weitere richten Sie in Textform an mail@feif.space.

Halten wir eine Weisung für rechtswidrig, sagen wir das und dürfen ihre Ausführung aussetzen, bis Sie sie bestätigen oder ändern.

Eine Ausnahme nennt Art. 28 Abs. 3 lit. a DSGVO: Verpflichtet uns deutsches Recht oder Unionsrecht zu einer Verarbeitung, teilen wir Ihnen das vorher mit, sofern das Gesetz es nicht verbietet.

5. Vertraulichkeit

Der Auftragsverarbeiter arbeitet allein; weitere Personen haben keinen Zugriff. Käme jemand hinzu, würde diese Person vorher zur Vertraulichkeit verpflichtet (Art. 28 Abs. 3 lit. b DSGVO).

6. Sicherheit der Verarbeitung

Die getroffenen Maßnahmen nach Art. 32 DSGVO stehen in der Anlage. Sie sind Vertragsbestandteil. Verbesserungen sind zulässig; das Schutzniveau darf dabei nicht sinken.

7. Unterauftragsverarbeiter

Für den Betrieb des Servers setzen wir einen einzigen Unterauftragnehmer ein:

• Uberspace (jonas kress & christopher hirschmann GbR, Bahnhofstraße 1, 65185 Wiesbaden) — Hosting. Die Server stehen in Deutschland.

Sie stimmen diesem Unterauftragnehmer hiermit zu. Weitere setzen wir nur ein, nachdem wir Ihnen das mindestens vier Wochen vorher in Textform mitgeteilt haben. Widersprechen Sie innerhalb dieser Frist, dürfen Sie den Abgleich fristlos kündigen; wir löschen dann wie unter 10 beschrieben.

Eine Verarbeitung außerhalb der Europäischen Union findet nicht statt.

8. Unterstützung

Wir unterstützen Sie, soweit uns das möglich ist:

• bei Anfragen betroffener Personen auf Auskunft, Berichtigung, Löschung, Einschränkung oder Datenübertragbarkeit (Art. 12 bis 23 DSGVO). Beantworten müssen Sie diese Anfragen selbst — wenden sich Betroffene an uns, verweisen wir sie an Sie und sagen Ihnen Bescheid.
• bei Ihren eigenen Pflichten nach Art. 32 bis 36 DSGVO, einschließlich einer Datenschutz-Folgenabschätzung.

9. Verletzungen des Schutzes personenbezogener Daten

Fällt uns eine Verletzung auf, melden wir sie Ihnen unverzüglich, spätestens innerhalb von 24 Stunden nach Kenntnis, in Textform an die von Ihnen hinterlegte Adresse — mit dem, was wir wissen: was geschehen ist, wann, welche Daten und welche Personen betroffen sind, was wir dagegen tun.

Die Meldung an die Aufsichtsbehörde nach Art. 33 DSGVO und gegebenenfalls an die Betroffenen nach Art. 34 DSGVO nehmen Sie vor. Die 72-Stunden-Frist läuft für Sie, deshalb melden wir schnell.

10. Rückgabe und Löschung

Dieser Abschnitt ist der wichtigste, deshalb steht hier genau, was geschieht.

Einzelne Datensätze

Löschen Sie einen Kunden, einen Bericht oder einen Beleg in der App, wird beim nächsten Abgleich auch auf dem Server der Inhalt entfernt. Stehen bleibt ein Vermerk aus Sammlung, Kennung und Zeitpunkt — ohne Inhalt. Dieser Vermerk ist technisch nötig, damit die anderen Geräte dieselbe Löschung übernehmen und der Datensatz nicht von einem Gerät wieder auftaucht, das länger ohne Verbindung war. Personenbezogene Angaben enthält er nicht mehr.

Alle Daten Ihres Betriebs

Auf Ihr Verlangen in Textform an mail@feif.space — und künftig auch über einen Schalter in der App — geschieht Folgendes:

• Innerhalb von 14 Tagen wird die Datenbankdatei Ihres Betriebs gelöscht, dazu ihre Begleitdateien, der Eintrag im Verzeichnis der Betriebe und sämtliche Geräte-Token. Damit sind auch alle angemeldeten Geräte abgemeldet.
• Sicherungskopien werden spätestens 30 Tage nach der Löschung überschrieben. Eine frühere gezielte Entfernung aus einer Sicherung ist nicht möglich; so lange ist die Löschung dort also noch nicht vollzogen.
• Sie erhalten eine Bestätigung in Textform, sobald beides erledigt ist.

Bei Vertragsende

Endet dieser Vertrag, haben Sie 30 Tage Zeit, Ihre Daten herauszuholen. Danach löschen wir wie eben beschrieben. Sie müssen das nicht noch einmal verlangen — die Pflicht liegt bei uns.

Rückgabe

Eine Rückgabe ist in aller Regel entbehrlich: Jedes angemeldete Gerät trägt den vollständigen Bestand ohnehin bei sich — das ist der Sinn einer App, die ohne Netz arbeitet. Wünschen Sie trotzdem eine Herausgabe, erhalten Sie den Bestand Ihres Betriebs als Datei.

11. Nachweise und Kontrollen

Wir weisen Ihnen die Einhaltung dieser Pflichten auf Anfrage nach. Sie dürfen sich davon überzeugen — durch Auskunft, durch Einsicht in die Beschreibung der Maßnahmen oder, nach Ankündigung mit angemessener Frist und während der üblichen Geschäftszeiten, durch eine Prüfung vor Ort. Prüfungen dürfen den Betrieb nicht unangemessen stören.

Der Quelltext des Abgleichservers wird offengelegt. Wer prüfen will, was dort geschieht, kann ihn lesen; das ersetzt keine Kontrolle, erleichtert sie aber erheblich.

12. Haftung und Schlussbestimmungen

Es gilt Art. 82 DSGVO.

Änderungen dieses Vertrags bedürfen der Textform. Ist eine Bestimmung unwirksam, bleibt der übrige Vertrag wirksam.

Es gilt deutsches Recht.

13. Wie dieser Vertrag zustande kommt

Art. 28 Abs. 9 DSGVO lässt die elektronische Form ausdrücklich zu. Der Vertrag kommt zustande, indem Sie den zentralen Abgleich in der App einschalten und dort bestätigen, dass Sie diese Fassung gelesen haben und ihr zustimmen. Festgehalten werden die Fassung, das Datum und wer zugestimmt hat; Sie erhalten das auf Wunsch als Datei. Solange niemand zugestimmt hat, verweigert der von uns betriebene Server den Abgleich — unterschriftslos lassen wir keine Kundendaten herein.

Diese Fassung trägt die Kennung 2026-11-13.3. Ändert sich der Vertrag inhaltlich, bekommt er ein neues Fassungsdatum, und die Zustimmung wird erneut eingeholt. Eine stillschweigende Änderung gibt es nicht: Was Sie einmal gelesen haben, bleibt die Fassung, der Sie zugestimmt haben, bis Sie einer neuen zustimmen. Solange dieser Vertrag oben als Vorlage gekennzeichnet ist und noch kein Betrieb zugestimmt hat, kann sich sein Text ohne neue Kennung ändern; mit der ersten Zustimmung ist die Fassung festgeschrieben, und von da an gilt der vorstehende Satz ohne Einschränkung.

Wollen Sie lieber unterschreiben, schicken wir Ihnen den Text zum Gegenzeichnen.

Anlage: Technische und organisatorische Maßnahmen

Nach Art. 32 DSGVO, bezogen auf den tatsächlichen Aufbau des Abgleichservers.

Vertraulichkeit

• Trennung: Jeder Betrieb hat eine eigene Datenbankdatei. Es gibt keine gemeinsame Tabelle, in der Daten mehrerer Betriebe nebeneinander lägen.
• Zugangskontrolle: Jeder Zugriff außer dem Lebenszeichen und der Anmeldung verlangt ein Geräte-Token. Im Speicher liegt davon nur eine Prüfsumme; aus dem Bestand lässt sich kein gültiges Token gewinnen.
• Einladungscodes gelten sieben Tage und lassen sich genau einmal einlösen. Auch sie liegen nur als Prüfsumme vor.
• Übertragung ausschließlich über HTTPS.
• Zugang zum Server nur über SSH mit Schlüssel, ohne Passwort.

Integrität

• Jede Änderung wird mit Zeitpunkt und Herkunftsgerät geführt. Bei gleichzeitigen Änderungen gewinnt die jüngere.
• Schreibvorgänge laufen in Transaktionen; ein Abbruch hinterlässt keinen halben Stand.
• Belegnummern vergibt allein der Server, je Beleg dauerhaft dieselbe. Eine Nummer kann nicht zweimal herausgehen.

Verfügbarkeit

• Jedes Gerät arbeitet ohne Verbindung weiter. Fällt der Server aus, steht die Arbeit nicht still; die Änderungen gehen beim nächsten Kontakt nach.
• Sicherungen durch den Hoster.

Belastbarkeit und Überprüfung

• Der Dienst läuft unter systemd und startet nach einem Fehler neu.
• Der Server kommt ohne fremde Pakete aus — es gibt keine Abhängigkeiten, über die Schadcode hereinkäme.
• Automatische Prüfungen laufen gegen den Server und gegen das Zusammenspiel zweier Geräte.