Vertrag zur Auftragsverarbeitung
Vertrag nach Art. 28 DSGVO zwischen der Firma, die Crewtender nutzt („Verantwortlicher“), und Benjamin Schiffer, WP Digital Ranger („Auftragsverarbeiter“). Er gilt mit der Nutzung von Crewtender. Stand: 03.11.2026.
1. Gegenstand
Der Auftragsverarbeiter betreibt für den Verantwortlichen die Software Crewtender gemäß den Nutzungsbedingungen: Ausschreibungssuche und -auswertung, Angebote, Personalverwaltung, Einsatzplanung, Zeiterfassung, Abrechnung, Bewerbermanagement, Kundenverwaltung mit Kundenportal, Rundgänge und Wachbuch sowie Team-Chat. Dauer: solange Crewtender genutzt wird.
2. Art der Daten und Betroffene
- Daten: Namen, Kontaktdaten und Rollen der Nutzer; Firmen- und Standortdaten, Notizen und Bearbeitungsstände; hochgeladene Vergabeunterlagen (darin ggf. Kontaktdaten von Ansprechpartnern der Vergabestellen); Personaldaten (Stammdaten, Berufe, Qualifikationen und Nachweise mit Ablaufdatum, Entgeltgruppe und Stundenlohn, Abwesenheiten ohne Grund, Schichten, Stundenzettel, Stempelzeiten mit „am Einsatzort ja/nein“, Spesen, Unterweisungen, Schutzausrüstung, Bewertungen durch Kunden, Unterschriften, Überlassungen nach dem AÜG); Bewerberdaten; Kunden und Einsatzorte; Rechnungen und Belege; Rundgang-Scans und Wachbucheinträge; Chat-Nachrichten. Besondere Kategorien (Art. 9 DSGVO) und Strafregisterdaten (Art. 10 DSGVO) sollen nicht eingetragen werden; für Führungs- und Gesundheitszeugnisse speichert Crewtender nur das Datum der Einsicht.
- Betroffene: Beschäftigte, Leiharbeitskräfte und Bewerber des Verantwortlichen, Nutzer, Kunden und deren Ansprechpartner, Ansprechpartner von Vergabestellen und Partnerbetrieben.
- Zweck: Suchen, Bewerten und Auswerten von Ausschreibungen, Angebotserstellung, Personal- und Einsatzplanung, Zeiterfassung, Abrechnung und Zusammenarbeit im Team.
3. Pflichten des Auftragsverarbeiters
- Er verarbeitet die Daten nur auf dokumentierte Weisung des Verantwortlichen; die Nutzung der Funktionen von Crewtender gilt als Weisung. Hält er eine Weisung für rechtswidrig, weist er den Verantwortlichen unverzüglich darauf hin (Art. 28 Abs. 3 Unterabsatz 2 DSGVO).
- Personen mit Zugriff sind zur Vertraulichkeit verpflichtet.
- Er trifft die technischen und organisatorischen Maßnahmen nach Nummer 6.
- Er unterstützt den Verantwortlichen bei Anfragen Betroffener und bei Pflichten nach Art. 32 bis 36 DSGVO.
- Er meldet Verletzungen des Schutzes personenbezogener Daten unverzüglich, möglichst innerhalb von 24 Stunden.
- Nach Ende des Auftrags löscht er die Daten innerhalb von 30 Tagen oder gibt sie auf Wunsch vorher in gängigen Formaten (CSV, Excel, Word, XRechnung, Originaldateien) heraus; aus den verschlüsselten Sicherungen verschwinden sie spätestens nach einem Jahr.
- Er stellt alle nötigen Informationen zum Nachweis dieser Pflichten bereit und ermöglicht Überprüfungen nach vorheriger Anmeldung.
4. Unterauftragsverarbeiter
Der Verantwortliche genehmigt diese Unterauftragsverarbeiter. Der Auftragsverarbeiter verpflichtet sie vertraglich auf dieselben Datenschutzpflichten (Art. 28 Abs. 4 DSGVO). Über neue informiert er vorher per E-Mail; der Verantwortliche kann aus wichtigem Grund innerhalb von 14 Tagen widersprechen.
| Dienstleister | Wofür | Grundlage für die Übermittlung |
|---|---|---|
| Cloudflare, Inc., San Francisco (USA) | Betrieb der Webseite, Speicher für hochgeladene Unterlagen (Rechenzentren in der EU), Umwandlung der Dateien in Text | EU-US Data Privacy Framework, Standardvertragsklauseln |
| Supabase, Inc., San Francisco (USA) | Anmeldung und Datenbank (Firmen, Mitglieder, Ausschreibungen); Server in Frankfurt am Main | Standardvertragsklauseln |
| Anthropic, PBC, San Francisco (USA) | KI-Modell Claude: liest Bekanntmachungen und hochgeladene Vergabeunterlagen, erstellt Firmen-Suchprofile mit einer begrenzten Websuche (Firmenname, Website-Text, Firmensitz), liest Belegfotos (Betrag, Datum, Lieferant), Ablaufdaten auf Firmennachweisen und Lose aus Steckbriefen und schreibt Bewertungen und Steckbriefe. Keine Daten aus der Personalakte. Laut Anbieter werden API-Daten nicht zum Training verwendet und nur für eine begrenzte Zeit gespeichert | Standardvertragsklauseln |
| Namecheap, Inc., Phoenix (USA) | E-Mail-Postfach kontakt@wpdigitalranger.com: Anmelde-Links, Einladungen und Nachrichten | Standardvertragsklauseln |
| GitHub, Inc. (Microsoft), San Francisco (USA) | Tägliche Auswertung der öffentlichen Ausschreibungen mit den Suchprofilen der Firmen; nächtliche verschlüsselte Datensicherung | EU-US Data Privacy Framework, Standardvertragsklauseln |
5. Drittländer
Übermittlungen in die USA erfolgen nur auf Grundlage der in der Tabelle genannten Garantien (Art. 44 ff. DSGVO).
6. Technische und organisatorische Maßnahmen
- Verschlüsselte Übertragung (HTTPS), Speicherung der Unterlagen in Rechenzentren in der EU.
- Anmeldung mit Passwort (nur verschlüsselt gespeichert, mindestens 8 Zeichen) oder per E-Mail-Link; Sitzungs-Cookies nur über HTTPS und nicht für Skripte lesbar.
- Rechte auf Datenbank-Ebene: Jeder sieht nur die Daten seiner Firma und seiner Bereiche.
- Hochgeladene Unterlagen werden automatisch nach 30 Tagen gelöscht.
- Änderungsprotokoll: Änderungen an Personal, Standorten, Zugängen und Ausschreibungen werden mit Person und Zeit festgehalten, sind nur für Inhaber sichtbar und werden nach 12 Monaten gelöscht.
- Zugänge zu den Dienstleistern sind auf den Auftragsverarbeiter beschränkt und mit starker Anmeldung geschützt.
- Nächtliche verschlüsselte Sicherung der Datenbank (AES-256) im Cloudflare-Speicher mit Rechenzentren in der EU; Tagessicherungen 14 Tage, Monatssicherungen ein Jahr.
7. Schluss
Bei Widersprüchen geht dieser Vertrag den Nutzungsbedingungen vor, soweit es um Datenschutz geht. Wer einen unterschriebenen Vertrag braucht, schreibt an kontakt@wpdigitalranger.com.
WP Digital Ranger · 🌐 English · Français · Polski · Español · Italiano · Impressum · Hilfe · Kontakt · Datenschutz · Nutzungsbedingungen · Auftragsverarbeitung