ObjektDex

Auftrags­verarbeitungs­vertrag (AVV)

gemäß Art. 28 DSGVO · Stand: November 2026

§ 1 Vertragspartner

Auftragsverarbeiter: Alexander Pfalz, Einzelunternehmen, Hofsatz 29, 7082 Donnerskirchen, Österreich, E-Mail: support@dexware.app („Anbieter“).
Verantwortlicher: der Betrieb bzw. die Organisation, die ObjektDex nutzt („Nutzer“).

§ 2 Gegenstand, Dauer, Art und Zweck

Gegenstand ist die Bereitstellung von ObjektDex für die Dokumentation von Leistungen in der Hausbetreuung, Reinigung und Grünpflege. Der Anbieter verarbeitet die Daten ausschließlich zur Erbringung dieses Dienstes (Speichern, Synchronisieren, Anzeigen, Erstellen von Berichten, Bereitstellen von Lese-Links auf Veranlassung des Nutzers). Die Dauer entspricht der Laufzeit der Nutzung; die Kündigung richtet sich nach den AGB.

§ 3 Art der Daten und Kreis der Betroffenen

Datenarten:

• Namen der ausführenden Personen und Team-Mitglieder (inkl. E-Mail-Adresse der Team-Mitglieder)
• Einsatzdaten (Zeitpunkte, erledigte Leistungen, Notizen) und Mängelmeldungen
• Standortdaten (einmaliger GPS-Stempel beim Dokumentieren; Wegaufzeichnung nur bei selbst gestarteten Runden)
• Fotos (können Personen oder Kennzeichen zeigen)
• Angaben zu Objekten, Auftraggebern und Ansprechpartnern (Name, Anschrift, Kontakt)

Betroffene Personen:

• Beschäftigte und Beauftragte des Verantwortlichen (Hausbetreuung, Reinigung, Grünpflege, Team-Mitglieder)
• Ansprechpartner von Auftraggebern und vor Ort
• Personen, die zufällig auf Fotos abgebildet sind

§ 4 Weisungen

Der Anbieter verarbeitet die Daten nur auf dokumentierte Weisung des Nutzers. Die Weisungen ergeben sich aus diesem Vertrag und der Nutzung der App-Funktionen durch den Nutzer (z. B. Erstellen oder Widerrufen eines Lese-Links); weitere Weisungen erfolgen in Textform. Hält der Anbieter eine Weisung für rechtswidrig, informiert er den Nutzer unverzüglich.

§ 5 Pflichten des Anbieters

• Vertraulichkeit: Zugriff auf die Daten haben nur Personen, die zur Vertraulichkeit verpflichtet sind.
• Unterstützung des Nutzers bei Anfragen Betroffener (Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit) sowie bei den Pflichten nach Art. 32 bis 36 DSGVO, soweit zumutbar.
• Meldung von Verletzungen des Schutzes personenbezogener Daten an den Nutzer unverzüglich, möglichst innerhalb von 48 Stunden nach Kenntnis.
• Nachweise: Der Anbieter stellt die zum Nachweis der Pflichten erforderlichen Informationen zur Verfügung und ermöglicht Überprüfungen nach angemessener Vorankündigung (in der Regel durch schriftliche Auskunft).

§ 6 Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

• Speicherung in Rechenzentren der EU-Region (Frankfurt am Main); Verschlüsselung der Übertragung (TLS) und der gespeicherten Daten beim Hosting-Anbieter.
• Strikte Trennung der Betriebe auf Datenbank-Ebene (Zeilen-Sicherheitsregeln je Organisation); Rollen (Inhaber/Mitarbeiter) mit abgestuften Rechten; Anmeldung mit Passwort bzw. Google/Apple-Konto.
• Fotos in einem privaten Speicher; Zugriff nur über zeitlich begrenzte, signierte Links.
• Lese-Links: gespeichert wird nur ein Prüfwert (SHA-256) des Links; Anzeige von Personen nur mit Vorname und Anfangsbuchstabe, ohne Koordinaten; jederzeit widerrufbar.
• Unveränderlichkeit von Nachweisen: Korrekturen nur als gekennzeichnete Stornierungen durch den Inhaber; Nachweise erhalten einen vom Server berechneten Prüfcode (SHA-256); spätere Änderungen sind technisch gesperrt.
• Datensicherung des Anbieters; Datenminimierung (z. B. keine Ortung außerhalb des Dokumentierens bzw. einer gestarteten Runde).

§ 7 Unterauftragsverarbeiter

Der Nutzer genehmigt den Einsatz folgender Unterauftragsverarbeiter:

• Supabase Inc. (Datenbank, Anmeldung, Dateispeicher) — Hosting in der EU-Region (Frankfurt am Main)
• RevenueCat, Inc., USA (Kaufstatus) — nur pseudonyme Kauf-Kennung, keine Einsatzdaten, EU-Standardvertragsklauseln

Über beabsichtigte Änderungen informiert der Anbieter vorab in geeigneter Weise (z. B. auf dieser Seite und per E-Mail an den Inhaber); der Nutzer kann aus wichtigem datenschutzrechtlichem Grund widersprechen.

§ 8 Löschung und Rückgabe

Nach Ende der Nutzung bzw. bei Löschung des Kontos durch den Inhaber werden die Daten des Betriebs einschließlich der Fotos und Lese-Links gelöscht, soweit keine gesetzliche Aufbewahrungspflicht des Anbieters besteht. Vor der Löschung kann der Nutzer seine Nachweise als PDF sichern; der Nutzer ist für die Einhaltung eigener Aufbewahrungspflichten verantwortlich.

§ 9 Schlussbestimmungen

Im Übrigen gelten die AGB. Bei Widersprüchen zu anderen Vereinbarungen gehen die Regelungen dieses Vertrags zum Datenschutz vor. Es gilt das Recht der Republik Österreich.