Auftragsverarbeitungsvertrag (AVV)

Dieser Auftragsverarbeitungsvertrag ist gemäß § 12 Abs. 2 der AGB Bestandteil jedes Nutzungsvertrags über BauLedger. Parteien sind der Kunde als Verantwortlicher im Sinne des Art. 4 Nr. 7 DSGVO („Verantwortlicher") und die in-Reach UG (haftungsbeschränkt) & Co. KG, Altstadt 2-4, 95028 Hof als Auftragsverarbeiter („Auftragsverarbeiter", „wir"). Eines gesonderten Abschlusses in Schriftform bedarf es nicht; auf Wunsch stellen wir den AVV zur beidseitigen Zeichnung bereit.

§ 1 Gegenstand und Dauer

Wir verarbeiten personenbezogene Daten im Auftrag des Verantwortlichen im Rahmen des Betriebs der Software BauLedger (Baustellendokumentation, KI-gestützte Erstellung von Bautagesberichten aus Freitext, Fotos und Sprachnotizen, Ausgabe als PDF, Verwaltung von Projekten und Auftraggebern) gemäß dem Nutzungsvertrag.

Die Dauer dieses AVV entspricht der Laufzeit des Nutzungsvertrags. Die Regelungen zur Löschung (§ 10) gelten über das Vertragsende hinaus.

§ 2 Art und Zweck der Verarbeitung; Datenarten; Betroffene

Art und Zweck der Verarbeitung, die Kategorien personenbezogener Daten und die Kategorien betroffener Personen ergeben sich aus Anlage 1. Der Verantwortliche bestimmt durch seine Nutzung und Konfiguration (insbesondere durch die Inhalte der erfassten Einträge, hochgeladenen Fotos und Sprachnotizen sowie durch die angelegten Projekte und Auftraggeber), welche Daten innerhalb dieses Rahmens tatsächlich verarbeitet werden.

§ 3 Weisungen

Wir verarbeiten personenbezogene Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen, sofern wir nicht durch Unionsrecht oder das Recht eines Mitgliedstaats zur Verarbeitung verpflichtet sind; in einem solchen Fall teilen wir dem Verantwortlichen diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht eine solche Mitteilung nicht verbietet.

Die Nutzung der Software durch den Verantwortlichen und seine Nutzer (einschließlich Konfiguration, Datenerfassung, Berichtserstellung und Exporten) gilt als Weisung. Darüber hinausgehende Weisungen bedürfen der Textform.

Halten wir eine Weisung für datenschutzrechtswidrig, informieren wir den Verantwortlichen unverzüglich und dürfen die Ausführung bis zur Bestätigung oder Änderung der Weisung aussetzen.

§ 4 Vertraulichkeit

Wir setzen für die Verarbeitung nur Personen ein, die zur Vertraulichkeit verpflichtet wurden oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen, und die mit den für sie relevanten Datenschutzanforderungen vertraut gemacht wurden.

§ 5 Technische und organisatorische Maßnahmen

Wir treffen die in Anlage 2 beschriebenen technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO und passen sie fortlaufend an den Stand der Technik an.

Die Maßnahmen dürfen weiterentwickelt und durch mindestens gleichwertige ersetzt werden, solange das Schutzniveau insgesamt nicht unterschritten wird. Wesentliche Änderungen dokumentieren wir in der jeweils aktuellen Fassung der Anlage 2 unter dieser Adresse.

§ 6 Unterauftragsverarbeiter; Übermittlung an Drittsysteme

Der Verantwortliche erteilt die allgemeine Genehmigung zur Einschaltung der in Anlage 3 Abschnitt 1 genannten Unterauftragsverarbeiter.

Die Beauftragung weiterer oder der Austausch bestehender Unterauftragsverarbeiter wird dem Verantwortlichen mindestens vier Wochen vor Wirksamwerden in Textform angekündigt (E-Mail oder Hinweis im Portal). Der Verantwortliche kann aus wichtigem datenschutzrechtlichen Grund widersprechen; führt der Widerspruch zu keiner einvernehmlichen Lösung, kann jede Partei den Nutzungsvertrag zum Wirksamwerden der Änderung kündigen.

Mit jedem Unterauftragsverarbeiter schließen wir einen Vertrag, der ihm im Wesentlichen dieselben Datenschutzpflichten auferlegt wie dieser AVV uns.

Die Verarbeitung findet grundsätzlich in der Europäischen Union bzw. im Europäischen Wirtschaftsraum statt. Eine Übermittlung in Drittländer durch uns erfolgt nur über die in Anlage 3 Abschnitt 1 ausgewiesenen Unterauftragsverarbeiter und nur auf Grundlage geeigneter Garantien nach Kapitel V DSGVO (EU-Standardvertragsklauseln bzw. Angemessenheitsbeschluss, etwa das EU-US Data Privacy Framework). Bei welchen Anlässen im laufenden Betrieb weitere Empfänger hinzutreten — beim Auflösen der Baustellenadresse in Koordinaten und bei der Anmeldung über einen externen Anbieter —, steht in Anlage 3 Abschnitt 4.

Aktiviert der Verantwortliche eine Anbindung an ein eigenes Drittsystem — etwa an eine Buchhaltungssoftware oder an einen der für den KI-Zugang freigegebenen Dienste —, übermitteln wir Daten auf seine Weisung an den von ihm gewählten Anbieter. Diese Empfänger sind keine Unterauftragsverarbeiter von uns; Einzelheiten und die Verteilung der Verantwortlichkeiten stehen in Anlage 3 Abschnitte 2 und 3.

§ 7 Unterstützung des Verantwortlichen

Wir unterstützen den Verantwortlichen mit geeigneten technischen und organisatorischen Maßnahmen dabei, Anträge betroffener Personen (Art. 12–23 DSGVO) zu beantworten — in erster Linie durch die Auskunfts-, Export-, Berichtigungs- und Löschfunktionen der Software. Gehen Betroffenenanträge direkt bei uns ein, leiten wir sie unverzüglich an den Verantwortlichen weiter und beantworten sie nicht selbst.

Unter Berücksichtigung der Art der Verarbeitung und der uns zur Verfügung stehenden Informationen unterstützen wir den Verantwortlichen bei der Einhaltung der Pflichten aus Art. 32 bis 36 DSGVO (Sicherheit, Meldungen, Datenschutz-Folgenabschätzung, Konsultation).

Aufwände für Unterstützungsleistungen, die über die Funktionen der Software und gesetzliche Pflichten hinausgehen, dürfen wir nach vorheriger Ankündigung zu angemessenen Sätzen berechnen.

§ 8 Meldung von Verletzungen des Schutzes personenbezogener Daten

Wir melden dem Verantwortlichen unverzüglich, nachdem uns eine Verletzung des Schutzes der im Auftrag verarbeiteten personenbezogenen Daten bekannt geworden ist. Die Meldung enthält, soweit bereits verfügbar, die Angaben nach Art. 33 Abs. 3 DSGVO; nicht sofort verfügbare Informationen reichen wir ohne unangemessene Verzögerung nach. Die Meldung an die Aufsichtsbehörde und an betroffene Personen ist Sache des Verantwortlichen.

§ 9 Nachweise und Kontrollen

Wir stellen dem Verantwortlichen alle erforderlichen Informationen zum Nachweis der Einhaltung der Pflichten aus Art. 28 DSGVO zur Verfügung — in erster Linie durch diese Dokumentation (einschließlich Anlage 2), Ergebnisse interner Prüfungen sowie künftige Prüfberichte oder Zertifizierungen.

Der Verantwortliche kann darüber hinaus Überprüfungen — einschließlich Inspektionen — durchführen oder durch einen zur Vertraulichkeit verpflichteten, nicht mit uns im Wettbewerb stehenden Prüfer durchführen lassen. Kontrollen erfolgen mit angemessener Vorlauffrist (in der Regel vier Wochen), während der üblichen Geschäftszeiten, höchstens einmal je Kalenderjahr — außer bei konkretem Anlass (etwa einer gemeldeten Verletzung) oder behördlicher Anordnung. Jede Partei trägt ihre eigenen Kosten.

§ 10 Löschung und Rückgabe nach Ende der Verarbeitung

Während der Vertragslaufzeit kann der Verantwortliche seine Daten jederzeit über die Export- und Berichtsfunktionen der Software erhalten; hierzu ist er vor Vertragsende gehalten (§ 12 Abs. 3 AGB).

Nach Beendigung des Nutzungsvertrags löschen wir die im Auftrag verarbeiteten personenbezogenen Daten, sofern und soweit keine Rechtspflicht zur Aufbewahrung besteht. Daten, die gesetzlichen Aufbewahrungspflichten unterliegen (insbesondere Rechnungs- und Buchführungsdaten nach GoBD), werden bis zum Ablauf der jeweiligen Frist gesperrt aufbewahrt und anschließend gelöscht.

Innerhalb der Laufzeit gilt das Löschkonzept der Software: Löschungen erfolgen zunächst als Soft-Delete (Kennzeichnung mit Löschzeitpunkt) zur Wahrung der Nachvollziehbarkeit; nach Ablauf der vom Verantwortlichen konfigurierten bzw. gesetzlich gebotenen Aufbewahrungsfristen werden die betroffenen Daten endgültig gelöscht bzw. anonymisiert. Die Läufe werden protokolliert.

§ 11 Schlussbestimmungen

Bei Widersprüchen zwischen diesem AVV und dem Nutzungsvertrag geht in datenschutzrechtlichen Fragen dieser AVV vor.

Im Übrigen gelten die Schlussbestimmungen der AGB (§ 17) entsprechend, insbesondere Rechtswahl und Gerichtsstand.

Anlage 1 — Verarbeitung im Überblick

Gegenstand und Zweck: Betrieb der Software BauLedger für den Verantwortlichen — Erfassung von Baustelleneinträgen (Freitext, Fotos, Sprachnotizen), KI-gestützte Transkription und Strukturierung, Erstellung von Bautagesberichten und deren Ausgabe als PDF, Verwaltung von Projekten und Auftraggebern, Benutzer- und Rechteverwaltung, Benachrichtigungen und Zustellung tokenbasierter Links per E-Mail und SMS sowie Abo-/Rechnungsverwaltung.

Kategorien betroffener Personen: Beschäftigte des Verantwortlichen (einschließlich Bauleiter, Poliere, gewerbliche Mitarbeiter, Auszubildende, Aushilfen), Nutzer mit Verwaltungsrollen, Ansprechpartner beauftragter Subunternehmer, Ansprechpartner der Auftraggeber/Bauherren sowie Personen, die in erfassten Freitexten, Fotos oder Sprachnotizen erscheinen oder genannt werden.

Kategorien personenbezogener Daten:

Stammdaten: Name, Zugehörigkeit zum Unternehmen (Mandant), Rolle/Administrations-Kennzeichen.
Kontodaten: Anmelde-/Login-Daten, Rollenzuordnung; bei Anmeldung über einen externen Anbieter zusätzlich die Anbieter-Art (Google, Microsoft oder Apple) und die dort vergebene stabile Nutzerkennung, weil sie und nicht die E-Mail-Adresse das Konto wiedererkennt.
Kontakt- und Zustelldaten: Mobilfunknummer, E-Mail-Adresse und bevorzugter Zustellweg von Beschäftigten, Ansprechpartnern beauftragter Subunternehmer und Auftraggebern — Grundlage für den Versand von Einladungs-, Erfassungs- und Dokumentlinks per SMS oder E-Mail.
Sitzungsdaten: Angaben zur angemeldeten Sitzung (u. a. Geräte-/Fingerprint-Merkmal, App-Typ).
Inhaltsdaten der Dokumentation: Freitexte, Baustellenfotos (können abgebildete Personen enthalten) sowie Sprachnotizen (Audioaufnahmen) und deren maschinell erzeugte Transkripte. Diese Inhalte werden vom Verantwortlichen bestimmt; er ist für deren Rechtmäßigkeit und Datenminimierung verantwortlich.
Standortdaten der Erfassungen: Gerätestandort (Koordinaten) und dessen Genauigkeit zum Zeitpunkt einer Erfassung, soweit der Erfassende den Standort im Browser freigibt. Sie stammen aus dem Gerät des Erfassenden — auch dem eines Subunternehmer-Ansprechpartners — und dienen der Wetterermittlung des Berichtstags, wenn am Projekt keine Adresse hinterlegt ist, sowie der Standort-Anzeige am Eintrag.
Projekt- und Auftraggeberdaten: Bezeichnungen und Ansprechpartner von Bauprojekten und Auftraggebern (Bauherren).
Berichtsdaten: die aus den Eingaben erzeugten strukturierten Bautagesberichte einschließlich Status.
Arbeitszeitdaten der Beschäftigten: Beginn, Ende, Pausendauer und Tätigkeit je Mitarbeiter und Projekt. Sie werden vom Verantwortlichen bzw. seinen Nutzern von Hand erfasst — ohne KI-Beteiligung, weil sie Grundlage für Nachweis und Abrechnung sind.
Protokoll- und Zugriffsdaten: optionale Protokollierung von Seitenaufrufen (u. a. IP-Adresse, aufgerufene Route, Referrer, User-Agent) sowie technische Server-Protokolle zur Sicherheit und Fehlersuche.
Abrechnungsbezogene Daten des Verantwortlichen: Firmen- und Ansprechpartnerdaten, Abrechnungs-E-Mail, Rechnungs- und Zahlungsstatusdaten (keine Beschäftigtendaten).

Besondere Kategorien (Art. 9 DSGVO): Die Software ist nicht auf die Verarbeitung besonderer Kategorien personenbezogener Daten ausgelegt und führt keine biometrische Identifizierung durch. Da Freitexte, Fotos und Sprachnotizen frei befüllbar sind, kann der Verantwortliche solche Daten dennoch einbringen; hierfür stellt er die erforderliche Rechtsgrundlage sicher und beschränkt die Erfassung auf das Notwendige.

Anlage 2 — Technische und organisatorische Maßnahmen (TOM, Art. 32 DSGVO)

BauLedger wird auf Infrastruktur in Deutschland/EU betrieben. Die nachstehenden Maßnahmen beschreiben den Schutz der im Auftrag verarbeiteten Daten; einzelne, ausdrücklich als „vor Produktivstart vorgesehen" gekennzeichnete Punkte werden im Rahmen der Betriebsreife umgesetzt und in dieser Anlage aktualisiert.

1. Verschlüsselung und Pseudonymisierung (Art. 32 Abs. 1 lit. a)

Transportverschlüsselung mit TLS (HTTPS-Erzwingung samt HSTS) für sämtliche Verbindungen zwischen Nutzern und der Anwendung.
Kryptografische Schlüssel für den Schutz von Sitzungen und Cookies (Data Protection) werden persistent und geschützt vorgehalten.
Datensicherungen werden verschlüsselt und getrennt vom Produktivsystem aufbewahrt.
Pseudonymisierung/Anonymisierung nach Fristablauf: ausgeschiedene bzw. gelöschte Datensätze werden nach Ablauf der Aufbewahrungsfristen endgültig gelöscht oder anonymisiert.

2. Vertraulichkeit (Art. 32 Abs. 1 lit. b)

Zutrittskontrolle: Betrieb in einem professionellen Rechenzentrum in Deutschland/EU mit Zutrittskontrolle (Anbieter siehe Anlage 3); kein Serverbetrieb in Büroräumen.
Zugangskontrolle: Nutzer-Anmeldung über geschützte, cookie-basierte Sitzungen mit begrenzter Lebensdauer; administrativer Zugang zu den Servern nur für berechtigte Personen. Missbräuchliche Zugriffe werden über IP-/Bot-Sperren abgewehrt.
Zugriffskontrolle: Rollenmodell je Mandant (Administrations- und Standardnutzer); Nutzer sehen nur die Daten ihres Unternehmens. Support-Zugriff durch uns nur nach ausdrücklicher Freigabe des Kunden und in erforderlichem Umfang.
Trennungskontrolle (Mandantentrennung): Alle Kernentitäten sind einem Mandanten (Company) zugeordnet; die Anwendung stellt sicher, dass Nutzer ausschließlich auf Daten ihres eigenen Mandanten zugreifen. Datei-Uploads werden je Projekt/Eintrag getrennt abgelegt.

3. Integrität (Art. 32 Abs. 1 lit. b)

Soft-Delete statt physischer Löschung: Kernentitäten werden mit einem Löschzeitpunkt gekennzeichnet statt sofort physisch entfernt; dies sichert die Nachvollziehbarkeit von Änderungen.
Eingabekontrolle: Verarbeitungsschritte (u. a. Transkription, Strukturierung, PDF-Erzeugung) werden über Statuswerte nachvollziehbar geführt; technische Vorgänge werden protokolliert.
Sicherheitsrelevante Antwort-Header (u. a. gegen Framing und MIME-Sniffing) werden gesetzt.

4. Verfügbarkeit und Belastbarkeit (Art. 32 Abs. 1 lit. b und c)

Regelmäßige, verschlüsselte Datensicherung von Datenbank und hochgeladenen Dateien.
Dokumentierte Wiederherstellungs-Prozedur (vor Produktivstart vorgesehen: Wiederherstellungs-Test unter Last).
Gehärtetes Minimal-System mit automatischen Sicherheitsupdates und beschränkter Angriffsfläche.

5. Verfahren zur regelmäßigen Überprüfung und Bewertung (Art. 32 Abs. 1 lit. d)

Regelmäßige Einspielung von Sicherheitsupdates.
Technische Protokolle werden nur kurzfristig aufbewahrt; Protokolle mit Aufbewahrungspflicht nach den gesetzlichen Fristen.
Vor dem Produktivstart verbindlich vorgesehen (Betriebsreife-Programm): externer Penetrationstest sowie Statusseite mit Monitoring/Alarmierung.

6. Organisatorische Maßnahmen

Verpflichtung aller mit der Verarbeitung befassten Personen auf Vertraulichkeit (§ 4 AVV).
Grundsatz der Datenminimierung im Produkt; Demo-Umgebungen ausdrücklich ohne Echtdaten.
Dokumentierte Inbetriebnahme- und Betriebsprozeduren; Trennung von Entwicklungs-, Test- und Produktivumgebung (lokale Entwicklungsumgebung ohne Produktivdaten).

Anlage 3 — Unterauftragsverarbeiter und weitere Empfänger

1. Unterauftragsverarbeiter

Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, Deutschland — Bereitstellung der Server-Infrastruktur (Housing/IaaS) im Rechenzentrum Falkenstein/Vogtland (Deutschland); alle in Anlage 1 genannten Daten (verschlüsselter Transport, Zugriff nur durch uns); Ort: Deutschland/EU.
OpenAI Ireland Ltd., 1st Floor, The Liffey Trust Centre, 117–126 Sheriff Street Upper, Dublin 1, Irland, in Verbindung mit OpenAI OpCo, LLC, 1455 Third Street, San Francisco, CA 94158, USA (KI-Verarbeitung) — Transkription von Sprachnotizen, Auswertung der Baustellenfotos, Strukturierung der Inhalte zur Berichtserstellung sowie Erzeugung von Vektor-Repräsentationen (Embeddings), auf denen die Ähnlichkeitssuche beruht; verarbeitete Daten: Baustellenfotos, Audioaufnahmen, die zur Auswertung und Strukturierung übermittelten Text- und Berichtsinhalte sowie die von Nutzern eingegebenen Suchbegriffe (keine Abrechnungsdaten). Die Auswertung der Fotos lässt sich in den Berichtseinstellungen abschalten; die Berichte entstehen dann allein aus Freitexten und Sprachnotizen, und es werden keine Fotos übermittelt. Ort: EU/USA; etwaige Übermittlung in die USA auf Grundlage des EU-US Data Privacy Framework bzw. EU-Standardvertragsklauseln. Eine Nutzung der übermittelten Inhalte zum Training der Modelle des Anbieters ist vertraglich ausgeschlossen.
seven communications GmbH & Co. KG („seven.io"), Willestr. 4-6, 24103 Kiel, Deutschland — Versand von SMS im Namen des Verantwortlichen: Erfassungslinks an Beschäftigte des Verantwortlichen und Subunternehmer, Erinnerungen bei ausbleibender Erfassung, Einladungs- und Geräte-Aktivierungslinks für Nutzer sowie Links zu Mängelprotokollen. Verarbeitete Daten: Mobilfunknummer des Empfängers, Absenderkennung und der Nachrichtentext einschließlich Projektbezeichnung und tokenbasiertem Link — keine Fotos, Sprachnotizen, Berichtsinhalte oder Abrechnungsdaten. Ort: Deutschland/EU. Der Versand erfolgt nur, soweit der Verantwortliche für den jeweiligen Empfänger SMS als Zustellweg hinterlegt; E-Mail steht für jeden dieser Anlässe als gleichwertiger Weg zur Verfügung.
Stripe Payments Europe, Ltd., Dublin, Irland (nur bei Zahlung per SEPA-Lastschrift oder Karte) — Zahlungsabwicklung; Firmenname, Abrechnungs-E-Mail, Zahlungsreferenzen — keine Beschäftigtendaten; Karten-/Kontodaten werden direkt bei Stripe erfasst und nie in BauLedger gespeichert. Ort: EU; etwaige Übermittlung an Stripe, Inc. (USA) auf Grundlage des EU-US Data Privacy Framework bzw. EU-Standardvertragsklauseln.

Die Datenbank sowie der E-Mail-Versand (SMTP) werden von uns selbst auf der vorgenannten Infrastruktur betrieben und sind keine Unterauftragsverarbeiter.

2. Buchhaltungs-Anbindungen — Übermittlung an ein Drittsystem des Verantwortlichen

BauLedger erstellt selbst keine Rechnungen. Auf Anforderung übergeben wir einen Abrechnungsentwurf an das Buchhaltungssystem, das der Verantwortliche einsetzt. Jede Anbindung ist ausgeschaltet, solange der Verantwortliche sie nicht in den Firmeneinstellungen aktiviert und seinen eigenen Zugang (API-Schlüssel) hinterlegt; wir verwenden ausschließlich diesen firmeneigenen Zugang. Einen übergreifenden Zugang des Betreibers gibt es bewusst nicht. Die Daten fließen damit in das Konto des Verantwortlichen bei einem Anbieter, den er selbst ausgewählt hat.

Datenschutzrechtlich ist dies keine Unterauftragsverarbeitung durch uns, sondern eine Übermittlung an einen Dritten auf dokumentierte Weisung des Verantwortlichen (Aktivierung der Anbindung und Auslösen der jeweiligen Übergabe). Der Empfänger verarbeitet die Daten im Auftrag und im Vertragsverhältnis des Verantwortlichen; für die datenschutzrechtliche Grundlage — insbesondere einen eigenen Vertrag nach Art. 28 DSGVO mit dem jeweiligen Anbieter — ist der Verantwortliche zuständig. Wir weisen die Empfänger hier dennoch aus, damit der Verantwortliche den Datenfluss vollständig übersehen kann.

Empfänger (nur der vom Verantwortlichen aktivierte):

lexoffice / Lexware Office (Haufe-Lexware, Deutschland) — api.lexoffice.io
sevDesk (sevDesk GmbH, Deutschland) — my.sevdesk.de
easybill (easybill GmbH, Deutschland) — api.easybill.de
WISO MeinBüro (Buhl Data Service, Deutschland) — api.meinbuero.de
orgaMAX (Deutschland) — api.orgamax.de

Übermittelte Daten: Name, Anschrift, geschäftliche E-Mail-Adresse und Telefonnummer des Auftraggebers (Bauherrn) des Verantwortlichen sowie die Positionen des Abrechnungsentwurfs einschließlich Projektbezeichnung, Mengen, Einheiten und Beträgen. Nicht übermittelt werden Beschäftigtendaten, Fotos, Sprachnotizen, Transkripte und Berichtsinhalte.

Ort: Die genannten Anbieter sind in Deutschland ansässig und betreiben ihre Dienste in Deutschland bzw. der EU. Maßgeblich ist das Vertragsverhältnis des Verantwortlichen mit dem von ihm gewählten Anbieter.

Jede Übergabe wird im Logbuch protokolliert (wer wann welche Abrechnung an welches System übertragen hat). Mit der Übergabe endet unsere Zuständigkeit: Rechnungs- und Zahlungsstatus leben allein im Zielsystem und werden von uns nicht zurückgeholt.

Der ABACUS-Export ist keine Übermittlung. Der Verantwortliche lädt eine XML-Datei (AbaConnect-Verkaufsauftrag) herunter und importiert sie selbst in seine ABACUS-Installation; eine Verbindung zwischen BauLedger und ABACUS besteht nicht.

3. KI-Zugang — Übermittlung an ein Drittsystem des Verantwortlichen

BauLedger stellt einen lesenden Zugang bereit, über den ein KI-Assistent Projektdaten abrufen kann. Er ist ausgeschaltet, solange kein Benutzer des Verantwortlichen ihn in einem der freigegebenen KI-Dienste als Verbindung einrichtet (dort „Connector" bzw. „Plugin") und die Erteilung anschließend in BauLedger bestätigt. Dabei entscheidet er getrennt über zwei Berechtigungen: die Projektdaten und, davon getrennt, die namentlichen Arbeitszeiten. Einen übergreifenden Zugang des Betreibers gibt es auch hier bewusst nicht. Über diesen Weg werden keine Daten angelegt, geändert oder versendet.

Datenschutzrechtlich gilt dasselbe wie in Abschnitt 2: keine Unterauftragsverarbeitung durch uns, sondern eine Übermittlung an einen Dritten auf dokumentierte Weisung des Verantwortlichen (Einrichten der Verbindung im gewählten Dienst und ausdrückliches Bestätigen der Erteilung in BauLedger). Der Empfänger verarbeitet die Daten im Vertragsverhältnis des Verantwortlichen; für die datenschutzrechtliche Grundlage gegenüber dem KI-Anbieter — einschließlich eines eigenen Vertrags nach Art. 28 DSGVO, soweit erforderlich — ist der Verantwortliche zuständig. Verbinden lassen sich ausschließlich die beiden von uns freigegebenen Dienste Claude (Anthropic) und ChatGPT (OpenAI); ob und welchen davon seine Benutzer einsetzen, entscheidet der Verantwortliche. Weitere Dienste sind erst nach einer Freigabe durch uns möglich — jede zulässige Verbindung muss bei uns fest hinterlegt sein, sonst ließe sich der Rückweg einer Erteilung fälschen; eine solche Freigabe kündigen wir wie jede andere Änderung dieser Anlage an.

Übermittelte Daten: je nach Abfrage Projekt- und Auftraggeberdaten (Projektbezeichnung, Standort sowie Name, Anschrift, E-Mail-Adresse und Telefonnummer des Auftraggebers/Bauherrn), die Inhalte der Tageseinträge einschließlich der erzeugten Berichtstexte und Bildunterschriften, die erfassten Freitexte, Mängel, Aufgaben und Fristen sowie Beschäftigtendaten in Form der namentlichen Arbeitszeiten (Beginn, Ende, Pausen und Tätigkeit je Mitarbeiter). Nicht übermittelt werden die Foto- und Audiodateien selbst, Abrechnungs- und Rechnungsdaten, Material-Stammdaten, Subunternehmer-Einsätze, Lieferungen an Partnerbetriebe und das Logbuch.

Der Umfang unterscheidet sich damit ausdrücklich von Abschnitt 2: Dort sind Beschäftigtendaten und Berichtsinhalte ausgenommen, hier sind sie einbezogen. Der Verantwortliche sollte das bei der Auswahl des KI-Dienstes und bei seinen Informationspflichten gegenüber den Beschäftigten berücksichtigen.

Ort: Maßgeblich ist der genutzte KI-Dienst und dessen Vertragsverhältnis mit dem Verantwortlichen. Beide freigegebenen Dienste gehören zu Anbietergruppen mit Sitz in den USA; ChatGPT wird für Kunden im EWR von der irischen Gesellschaft OpenAI Ireland Ltd. erbracht (siehe Abschnitt 1). Mit einer Übermittlung in die USA ist deshalb zu rechnen. Die Prüfung der geeigneten Garantien nach Kapitel V DSGVO obliegt dem Verantwortlichen.

Widerruf und Protokollierung: Die Verbindung lässt sich jederzeit trennen — vom Benutzer selbst in seinen persönlichen Einstellungen, zusätzlich von jedem Administrator des Verantwortlichen für den ganzen Betrieb und außerdem im KI-Dienst selbst. Sie gilt dann ab dem nächsten Abruf nicht mehr; geprüft wird bei jedem einzelnen. Anders als bei den Übergaben nach Abschnitt 2 wird nicht jeder einzelne Abruf protokolliert: Im Logbuch festgehalten werden das Erteilen einer Verbindung einschließlich der dabei erteilten Berechtigungen, jede spätere Änderung dieser Berechtigungen und das Trennen innerhalb von BauLedger; eine im KI-Dienst ausgelöste Trennung wird nur serverseitig vermerkt. Gespeichert wird daneben — tagesgenau — die letzte Benutzung.

4. Weitere Empfänger im laufenden Betrieb

Zwei Funktionen der Software geben personenbezogene Daten an Empfänger außerhalb der in Abschnitt 1 genannten Infrastruktur, ohne dass der Verantwortliche sie eigens aktiviert. Diese Empfänger sind keine Unterauftragsverarbeiter im Sinne von § 6: Sie verarbeiten die bei ihnen anfallenden Daten in eigener Verantwortung und nicht weisungsgebunden für uns. Wir weisen sie hier aus, damit der Verantwortliche den Datenfluss vollständig übersehen kann. Die Wetterermittlung selbst ruft daneben die amtlichen Wetterdienste ab (Deutscher Wetterdienst, MeteoSchweiz, GeoSphere Austria); dorthin gehen keine personenbezogenen Daten, sondern nur die Kennung der zuvor auf unserem Server bestimmten Wetterstation und das Datum.

Standortauflösung (OpenStreetMap Foundation, Nominatim — nominatim.openstreetmap.org): Hinterlegt der Verantwortliche zu einem Projekt eine Baustellenadresse, lösen wir sie einmalig beim Speichern in Koordinaten auf; ohne Koordinaten lässt sich das Wetter des Berichtstags nicht ermitteln. Übermittelt wird ausschließlich die eingegebene Adresszeile — keine Namen, Berichts-, Beschäftigten- oder Abrechnungsdaten. Die Anfrage stellt unser Server, nicht der Browser des Nutzers; Verbindungsdaten der Nutzer fließen dabei nicht ab. Wer keine Adresse hinterlegt, löst keine Anfrage aus; das Wetter wird dann aus dem Gerätestandort der Erfassungen des Tages bestimmt, und erst wenn auch dieser fehlt, entfällt die automatische Wettererfassung. Betreiber des Dienstes ist die OpenStreetMap Foundation mit Sitz im Vereinigten Königreich.

Anmeldung über einen externen Anbieter (Google, Microsoft, Apple): Soweit diese Anmeldewege eingerichtet sind, laden die Anmelde- und Registrierseiten den Anmeldebaustein des jeweiligen Anbieters nach — bei Google und Apple von deren eigenen Adressen, beim Microsoft-Baustein über ein öffentliches Auslieferungsnetz (jsDelivr). Schon beim Aufruf dieser Seiten fallen dort die üblichen Verbindungsdaten an, insbesondere IP-Adresse und Browserkennung. Meldet sich ein Nutzer auf diesem Weg an, speichern wir zusätzlich dauerhaft die Anbieter-Art und die vom Anbieter vergebene stabile Nutzerkennung (Anlage 1, Kontodaten). Google, Microsoft und Apple entscheiden über diese Verarbeitung selbst und sind dafür eigene Verantwortliche; eine Übermittlung in die USA ist dabei möglich. Die Anmeldung mit E-Mail-Adresse und Passwort steht als gleichwertiger Weg zur Verfügung, sodass niemand einen dieser Anbieter nutzen muss.