Auftrags­verarbeitungs­vertrag (AVV)

Dieser AVV gilt auch für die kostenlose Einsatzplanung nach § 5a der AGB. Sie umfasst Team- und Baustellendaten, Termine, Arbeitszeiten, Abwesenheiten, Freigaben und Unterschriften in Stundenzettel-PDFs. Das separat bestellte kostenpflichtige Speicherpaket ergänzt den Gratis-Planer um Fotos, Lieferscheine und PDFs. Für die kostenlose Kernnutzung sind keine Zahlungsdaten erforderlich; die Zahlungsabwicklung eines gesondert bestellten Pakets ist davon getrennt. KI-Verarbeitung und AU-Dateianhänge sind auch mit Speicherpaket nicht Teil des Gratis-Planers. Öffentliche Anfrage-Links werden derzeit nicht angeboten.

gemäß Art. 28 DSGVO · QuickQuote - quickquote.tech · Stand: 20. September 2026

Präambel

Dieser Auftragsverarbeitungsvertrag (nachfolgend „AVV“) wird zwischen dem Anbieter der Software QuickQuote als Auftragsverarbeiter und dem Kunden als Verantwortlichem geschlossen und ergänzt die Allgemeinen Geschäftsbedingungen (AGB) von QuickQuote.

Dieser AVV gilt für alle Verarbeitungstätigkeiten, bei denen der Auftragsverarbeiter im Auftrag des Verantwortlichen personenbezogene Daten verarbeitet, die im Rahmen der Nutzung der Software QuickQuote anfallen.

§ 1 Parteien

Auftragsverarbeiter:

Lukas Keßler / QuickQuote
Bürgermeister-Fuchs-Str. 70, 68169 Mannheim
E-Mail: privacy@quickquote.tech

Verantwortlicher:

Der Kunde, wie in den AGB und im Kundenkonto hinterlegt (nachfolgend „Verantwortlicher“ oder „Kunde“).

§ 2 Gegenstand und Dauer der Verarbeitung

(1) Gegenstand der Auftragsverarbeitung ist die Bereitstellung der cloudbasierten Software QuickQuote für Projektverwaltung, Einsatzplanung, Arbeitszeit- und Abwesenheitsverwaltung sowie, abhängig vom gebuchten Plan, Besichtigungen, Baustellendokumentation, KI-Funktionen, Angebote und Rechnungen. Der AVV gilt auch für die kostenlose Einsatzplanung, das persönliche Kalender-Abo und die Speicherung und Bereitstellung von Fotos, Lieferscheinen und PDFs bei gebuchtem Speicherpaket. Öffentliche Anfrage-Formulare sind derzeit inaktiv.

(2) Die Dauer der Auftragsverarbeitung entspricht der Dauer des zwischen den Parteien bestehenden Nutzungsvertrags (§ 15). Nach Beendigung des Nutzungsvertrags gelten die Regelungen zur Datenlöschung gemäß § 9 dieses AVV. Die Kündigung eines Speicherpakets allein beendet weder die kostenlose Kernnutzung noch diesen AVV. Vorhandene Dateien bleiben nach der Paketkündigung lesbar; die weitere Verarbeitung unterliegt diesem AVV und den Weisungen des Verantwortlichen.

§ 3 Art und Zweck der Verarbeitung

(1) Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich im Auftrag und nach dokumentierter Weisung des Verantwortlichen, es sei denn, eine rechtliche Verpflichtung schreibt eine anderweitige Verarbeitung vor.

(2) Die Verarbeitung umfasst, abhängig von den aktiv genutzten Funktionen, Erhebung, Speicherung, Strukturierung, Bearbeitung und Löschung von Daten, Transkription von Sprachaufnahmen, KI-Analyse und Übersetzung, Prüfung von Angebots- und Rechnungsentwürfen sowie Übermittlung an die in § 7 genannten Unterauftragsverarbeiter. In QuickQuote Pro werden bei der Übergabe eines Projekts an das Büro von Hand erfasste Material-, Maß- und Notizeinträge ohne gesonderte Auslösung an den KI-Unterauftragsverarbeiter übermittelt, um fremdsprachige Einträge in die Firmensprache zu übersetzen. Öffentliche Anfrage-Formulare stehen derzeit nicht zur Verfügung. Soweit historische Anfragedaten vorhanden sind, unterliegen sie weiterhin diesem AVV.

(3) Quey ist derzeit nicht freigeschaltet. Bei Verwendung von Quey können die aktuelle Nutzerfrage, ein begrenzter Verlauf der aktuellen Unterhaltung und ein rollenbezogen begrenzter Workspace-Kontext zur Antworterzeugung verarbeitet und an den KI-Unterauftragsverarbeiter übermittelt werden. Bei bewusst aktivierter Spracheingabe können Aufnahmen zur Cloud-Transkription vorübergehend gespeichert und an OpenAI übermittelt werden; nach Abschluss oder Fehlschlagen wird ihre Löschung veranlasst. Technische Fehler können die Bereinigung verzögern. Je nach Sprachmodus kommen auch Sprachdienste des Geräts oder Browsers zum Einsatz. Bei Queys Cloud-Sprachausgabe wird Antworttext zur Erzeugung einer Audiodatei an OpenAI übermittelt. Unterstützte interne Änderungen erfolgen erst nach sichtbarer Vorschau und ausdrücklicher Bestätigung durch einen berechtigten Nutzer. Prüf- und Operationsprotokolle werden nach § 9 Abs. 5 behandelt. KI-Funktionen sind im kostenlosen Plan nicht enthalten.

(4) Zum Kalender-Abo im Gratis-Planer und in Pro gehört die Bereitstellung von Einsatz- und Abwesenheitsdaten zum lesenden Abruf durch einen externen Kalenderdienst über einen persönlichen Abo-Link. Dabei werden auch Anliegen, Planer-Notizen im eingegebenen Wortlaut und Abwesenheitsarten wie „Krank“ bereitgestellt. Der Link wirkt wie ein Passwort und ermöglicht den Abruf ohne Anmeldung bei QuickQuote. Er kann neu erzeugt oder widerrufen werden. Der Widerruf beendet künftige Abrufe über diesen Link, löscht aber keine bereits in externe Kalender übernommenen Daten. Die Auswahl und Verwendung des externen Kalenderdienstes erfolgen im Rahmen der dokumentierten Weisungen des Verantwortlichen.

§ 4 Art der Daten und Kategorien betroffener Personen

Im Rahmen der Auftragsverarbeitung können folgende Datenkategorien verarbeitet werden:

Bereits Krankheitsangaben können Gesundheitsdaten im Sinne des Art. 9 DSGVO sein. Der Verantwortliche stellt eine geeignete Rechtsgrundlage sicher, informiert Beschäftigte und bestimmt erforderliche Zugriffe und angemessene Aufbewahrungsfristen. Der AVV ersetzt diese Rechtsgrundlage nicht. Diagnosen und andere für die Abwesenheitsverwaltung nicht erforderliche Gesundheitsangaben sollen nicht eingetragen werden. AU-Dateianhänge sind nur in QuickQuote Pro verfügbar; das Speicherpaket schaltet sie im Gratis-Planer nicht frei. Diese Verantwortung gilt auch für die Bereitstellung von Krankheitsangaben über das Kalender-Abo.

§ 5 Pflichten des Auftragsverarbeiters

(1) Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich gemäß den dokumentierten Weisungen des Verantwortlichen und den Bestimmungen dieses AVV.

(2) Der Auftragsverarbeiter stellt sicher, dass sich die zur Verarbeitung personenbezogener Daten befugten Personen zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen.

(3) Der Auftragsverarbeiter ergreift alle erforderlichen technischen und organisatorischen Maßnahmen gemäß Art. 32 DSGVO, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten.

(4) Der Auftragsverarbeiter unterstützt den Verantwortlichen bei der Einhaltung der Pflichten gemäß Art. 32 bis 36 DSGVO, soweit dies in seinem Einflussbereich liegt.

(5) Der Auftragsverarbeiter stellt dem Verantwortlichen alle erforderlichen Informationen zum Nachweis der Einhaltung der in Art. 28 DSGVO niedergelegten Pflichten zur Verfügung.

§ 6 Pflichten des Verantwortlichen

(1) Der Verantwortliche ist allein verantwortlich für die Rechtmäßigkeit der Erhebung und Verarbeitung personenbezogener Daten im Rahmen der Nutzung von QuickQuote.

(2) Der Verantwortliche stellt sicher, dass für alle personenbezogenen Daten, die in QuickQuote eingegeben werden, eine geeignete Rechtsgrundlage gemäß Art. 6 DSGVO vorliegt.

(3) Der Verantwortliche informiert den Auftragsverarbeiter unverzüglich, wenn er Fehler oder Unregelmäßigkeiten bei der Verarbeitung personenbezogener Daten feststellt.

(4) Der Verantwortliche gibt Weisungen zur Datenverarbeitung ausschließlich in schriftlicher oder elektronischer Form.

(5) Bei der Nutzung des Kalender-Abos bestimmen die Weisungen des Verantwortlichen, ob und gegenüber welchem Kalenderdienst betriebliche Daten bereitgestellt werden. Die Nutzung der Funktion ersetzt keine erforderliche Rechtsgrundlage und keine erforderliche Information der betroffenen Personen. Der persönliche Abo-Link ist wegen seiner Zugriffsfunktion wie ein Passwort zu behandeln.

§ 7 Einsatz von Unterauftragsverarbeitern

(1) Der Verantwortliche erteilt dem Auftragsverarbeiter hiermit eine allgemeine Genehmigung zur Beauftragung der folgenden Unterauftragsverarbeiter:

OpenAI verwendet API-Inhalte standardmäßig nicht zum Modelltraining; QuickQuote hat die freiwillige Datenfreigabe hierfür nicht aktiviert. Quey verwendet die Responses API mit store: false, sodass keine Speicherung des Antwortzustands für einen späteren API-Abruf angefordert wird. Bei anderen Aufrufen ohne diese Einstellung kann OpenAI den Anwendungszustand standardmäßig mindestens 30 Tage speichern. Davon getrennte Missbrauchskontrollprotokolle können Inhalte regelmäßig bis zu 30 Tage enthalten; gesetzlich erforderliche Ausnahmen bleiben möglich. Eine vollständige Nullspeicherung bei OpenAI wird nicht zugesagt. Es werden nur die für die aktiv genutzte Funktion oder die automatische Übersetzung bei der Übergabe (§ 3 Abs. 2) erforderlichen Daten übermittelt.

Netlify, Inc. hostet ausschließlich die Marketing-Website quickquote.tech und verarbeitet keine Daten im Auftrag des Verantwortlichen; Netlify ist daher kein Unterauftragsverarbeiter im Sinne dieses AVV. Stripe, Inc. wird vorsorglich genannt, soweit Zahlungsdaten im Zusammenhang mit dem Nutzungsvertrag verarbeitet werden.

(2) Der Auftragsverarbeiter informiert den Verantwortlichen über beabsichtigte Änderungen hinsichtlich der Hinzuziehung oder des Austauschs von Unterauftragsverarbeitern. Der Verantwortliche hat das Recht, gegen solche Änderungen innerhalb von vier Wochen nach Mitteilung Einspruch zu erheben. Erhebt der Verantwortliche fristgerecht Einspruch und kommt keine einvernehmliche Lösung zustande, sind beide Parteien berechtigt, den Nutzungsvertrag mit einer Frist von einem Monat zu kündigen.

(3) Der Auftragsverarbeiter stellt sicher, dass Unterauftragsverarbeiter denselben datenschutzrechtlichen Pflichten unterliegen wie er selbst.

(4) Der Auftragsverarbeiter strebt an, personenbezogene Daten primär innerhalb der Europäischen Union oder des Europäischen Wirtschaftsraums zu verarbeiten. Soweit eine Verarbeitung in Drittländern erfolgt, wird diese ausschließlich auf Grundlage geeigneter Garantien gemäß Art. 46 DSGVO oder eines Angemessenheitsbeschlusses der EU-Kommission durchgeführt.

§ 8 Unterstützung bei Betroffenenrechten

(1) Der Auftragsverarbeiter unterstützt den Verantwortlichen bei der Erfüllung von Anfragen betroffener Personen (Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit, Widerspruch) im Rahmen des technisch Möglichen.

(2) Eingehende Anfragen betroffener Personen, die sich direkt an den Auftragsverarbeiter wenden, werden unverzüglich an den Verantwortlichen weitergeleitet.

§ 9 Löschung und Rückgabe von Daten

(1) Nach Abschluss der Verarbeitungsleistungen gibt der Auftragsverarbeiter die im Auftrag verarbeiteten personenbezogenen Daten nach Wahl und dokumentierter Weisung des Verantwortlichen zurück oder löscht sie und löscht vorhandene Kopien, soweit keine gesetzliche Speicherungspflicht entgegensteht. Eine automatische Löschung allein wegen Inaktivität oder nach einer festen Frist seit Vertragsende ist derzeit nicht eingerichtet. Die technischen Selbstservice-Exporte ersetzen weder die Weisung noch gesetzliche Herausgabe- und Löschungspflichten. Der Inhaber kann über die Profilansicht einen JSON-Export mit persönlichen Profildaten, Betriebsprofil, Teamdaten und Projekten einschließlich der erfassten Projektstunden sowie vorhandener Besichtigungsdaten, Material- und Notizeinträge und Angebotsentwürfe erstellen. Der jeweilige Inhalt hängt von den genutzten Funktionen ab. Der Export bildet nicht sämtliche Workspace-Daten ab: insbesondere separate Planer-Termine, Abwesenheiten, Arbeitszeitmodelle und individuelle Urlaubsangaben, interne Stunden und zusätzliche Projektunterlagen sind darin nicht enthalten. Medien und PDF-Dateien werden nicht eingebettet; enthaltene Dateiverweise müssen gesondert abgerufen werden. Stundenzettel-PDFs können über die Stundenzettel-Funktion heruntergeladen werden. Die App lässt den Export auf demselben Gerät und für dasselbe Konto nach 30 Tagen erneut zu. Gesetzliche Auskunfts- und Herausgabeansprüche bleiben davon unberührt; weitergehende Anfragen können an privacy@quickquote.tech gerichtet werden.

(2) Der Verantwortliche richtet Rückgabe- oder Löschweisungen an privacy@quickquote.tech. Der Auftragsverarbeiter setzt sie unter Beachtung gesetzlicher Pflichten um und informiert über den Umfang der Umsetzung sowie etwaige rechtliche Hindernisse. Soweit Daten aufgrund einer gesetzlichen Pflicht weiter gespeichert werden müssen, werden Zweck und Dauer dieser Aufbewahrung mitgeteilt. Ist der Inhaber die einzige aktive Person im Workspace und enthält der Workspace keine Geschäftsunterlagen wie versendete oder angenommene Angebote, Rechnungen oder Eingangsrechnungen, kann er den Workspace auch in den Kontoeinstellungen selbst löschen. Diese Selbstlöschung gilt als Löschweisung des Verantwortlichen. Sie löscht die Daten des Workspaces, die gespeicherten Dateien, die Mitgliedschaften und das Login des Inhabers endgültig und ohne vorherige Rückgabe. Eine gewünschte Rückgabe muss vorher über den Export nach Absatz 1 oder eine Weisung nach Satz 1 erfolgen. Anfragen zur Beendigung kostenpflichtiger Abonnements können mit dem Löschauftrag an den Anbieter gerichtet werden (§ 7 der AGB).

(3) Auf Wunsch bestätigt der Auftragsverarbeiter die durchgeführte Löschung in Textform und bezeichnet gegebenenfalls verbleibende, gesetzlich aufzubewahrende Daten.

(4) Öffentliche Anfrage-Formulare sind derzeit nicht verfügbar. Für gegebenenfalls vorhandene historische Anfragen gelten die Weisungen des Verantwortlichen und die vorstehenden Regeln zur Rückgabe und Löschung.

(5) Die reguläre Quey-Protokollierung speichert Nutzerkennung, Namen, Rolle, Zeitpunkt sowie Nutzungs- und Vorgangsmetadaten, jedoch keinen Fragetext, keine Antwort und keinen vollständigen Gesprächskontext. Bestätigte interne Änderungen können zusätzliche Prüf- und Operationsbelege erzeugen. Für diese betrieblichen Protokolle gilt keine einheitliche automatische Löschung nach 30 Tagen; ihre Rückgabe und Löschung richten sich nach den Absätzen 1 bis 3. Gesonderte Diagnoseeinträge freigeschalteter Beta-Nutzer können einen auf 400 Zeichen begrenzten Fragetext enthalten. Diese Einträge werden nach 30 Tagen zur Löschung fällig und durch einen täglichen, mengenbegrenzten Bereinigungslauf entfernt; ein Rückstau kann die tatsächliche Löschung verzögern.

§ 10 Meldung von Datenschutzverletzungen

(1) Der Auftragsverarbeiter informiert den Verantwortlichen unverzüglich, in der Regel innerhalb von 24 Stunden, spätestens jedoch innerhalb von 48 Stunden nach Bekanntwerden, über Verletzungen des Schutzes personenbezogener Daten gemäß Art. 33 DSGVO.

(2) Die Meldung enthält soweit möglich: eine Beschreibung der Art der Verletzung, die Kategorien und die ungefähre Anzahl der betroffenen Personen und Datensätze, die wahrscheinlichen Folgen sowie die ergriffenen oder vorgeschlagenen Maßnahmen.

(3) Die Pflicht zur Meldung der Datenschutzverletzung gegenüber der zuständigen Aufsichtsbehörde liegt beim Verantwortlichen.

§ 11 Technische und organisatorische Maßnahmen (TOM)

Der Auftragsverarbeiter hat folgende technische und organisatorische Maßnahmen zum Schutz personenbezogener Daten getroffen:

Der Auftragsverarbeiter darf die technischen und organisatorischen Maßnahmen dem Stand der Technik anpassen, sofern das vereinbarte Schutzniveau dabei nicht unterschritten wird.

§ 12 Weisungsrecht

(1) Der Verantwortliche kann dem Auftragsverarbeiter jederzeit Weisungen zur Verarbeitung personenbezogener Daten erteilen. Weisungen sind schriftlich oder per E-Mail an privacy@quickquote.tech zu übermitteln.

(2) Hält der Auftragsverarbeiter eine Weisung für datenschutzrechtlich unzulässig, unterrichtet er den Verantwortlichen unverzüglich. Der Auftragsverarbeiter ist berechtigt, die Ausführung der Weisung bis zur Klärung auszusetzen.

§ 13 Kontrollrecht des Verantwortlichen

(1) Der Verantwortliche hat das Recht, die Einhaltung der datenschutzrechtlichen Vorschriften und der Bestimmungen dieses AVV durch den Auftragsverarbeiter zu überprüfen.

(2) Kontrollen werden mit angemessener Vorankündigung (mindestens 5 Werktage) und auf Kosten des Verantwortlichen durchgeführt. Der Auftragsverarbeiter stellt die erforderlichen Informationen und Nachweise zur Verfügung.

(3) Der Auftragsverarbeiter kann anstelle einer Vor-Ort-Prüfung die Vorlage eines aktuellen Prüfberichts eines unabhängigen Dritten anbieten.

§ 14 Schlussbestimmungen

(1) Dieser AVV ist Bestandteil der vertraglichen Vereinbarung zwischen den Parteien und ergänzt die AGB von QuickQuote.

(2) Im Falle von Widersprüchen zwischen diesem AVV und den AGB gehen die Bestimmungen dieses AVV in Bezug auf datenschutzrechtliche Fragen vor.

(3) Dieser AVV unterliegt dem Recht der Bundesrepublik Deutschland. Gerichtsstand ist Mannheim.

(4) Änderungen und Ergänzungen dieses AVV bedürfen der Textform. Der Auftragsverarbeiter kann diesen AVV mit Wirkung für die Zukunft anpassen, insbesondere bei Änderungen der Rechtslage oder des Leistungsumfangs; er informiert den Verantwortlichen mindestens vier Wochen vor Wirksamwerden in Textform. Widerspricht der Verantwortliche nicht innerhalb dieser Frist, gilt die geänderte Fassung als angenommen; auf diese Rechtsfolge wird in der Mitteilung hingewiesen.

(5) Sollten einzelne Bestimmungen dieses AVV unwirksam sein, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt.

§ 15 Inkrafttreten

Dieser AVV tritt mit der Registrierung des Kunden und der Akzeptanz der AGB von QuickQuote in Kraft. Er gilt für jede Nutzung der Software, unabhängig davon, ob sie entgeltlich (Abonnement) oder unentgeltlich (kostenlose Einsatzplanung gemäß den AGB) erfolgt; Abonnement und kostenlose Einsatzplanung werden in diesem AVV zusammen als „Nutzungsvertrag“ bezeichnet. Durch die Akzeptanz der AGB stimmt der Kunde gleichzeitig den Bedingungen dieses AVV zu.

Lukas Keßler · Bürgermeister-Fuchs-Str. 70 · 68169 Mannheim · quickquote.tech