Auftragsverarbeitungsvertrag (AVV)

Dieser Auftragsverarbeitungsvertrag ist gemäß § 12 Abs. 2 der AGB Bestandteil jedes Nutzungsvertrags über BauLedger. Parteien sind der Kunde als Verantwortlicher im Sinne des Art. 4 Nr. 7 DSGVO („Verantwortlicher") und die in-Reach UG (haftungsbeschränkt) & Co. KG, Altstadt 2-4, 95028 Hof als Auftragsverarbeiter („Auftragsverarbeiter", „wir"). Eines gesonderten Abschlusses in Schriftform bedarf es nicht; auf Wunsch stellen wir den AVV zur beidseitigen Zeichnung bereit.

§ 1 Gegenstand und Dauer

Wir verarbeiten personenbezogene Daten im Auftrag des Verantwortlichen im Rahmen des Betriebs der Software BauLedger (Baustellendokumentation, KI-gestützte Erstellung von Bautagesberichten aus Freitext, Fotos und Sprachnotizen, Ausgabe als PDF, Verwaltung von Projekten und Auftraggebern) gemäß dem Nutzungsvertrag.

Die Dauer dieses AVV entspricht der Laufzeit des Nutzungsvertrags. Die Regelungen zur Löschung (§ 10) gelten über das Vertragsende hinaus.

§ 2 Art und Zweck der Verarbeitung; Datenarten; Betroffene

Art und Zweck der Verarbeitung, die Kategorien personenbezogener Daten und die Kategorien betroffener Personen ergeben sich aus Anlage 1. Der Verantwortliche bestimmt durch seine Nutzung und Konfiguration (insbesondere durch die Inhalte der erfassten Einträge, hochgeladenen Fotos und Sprachnotizen sowie durch die angelegten Projekte und Auftraggeber), welche Daten innerhalb dieses Rahmens tatsächlich verarbeitet werden.

§ 3 Weisungen

Wir verarbeiten personenbezogene Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen, sofern wir nicht durch Unionsrecht oder das Recht eines Mitgliedstaats zur Verarbeitung verpflichtet sind; in einem solchen Fall teilen wir dem Verantwortlichen diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht eine solche Mitteilung nicht verbietet.

Die Nutzung der Software durch den Verantwortlichen und seine Nutzer (einschließlich Konfiguration, Datenerfassung, Berichtserstellung und Exporten) gilt als Weisung. Darüber hinausgehende Weisungen bedürfen der Textform.

Halten wir eine Weisung für datenschutzrechtswidrig, informieren wir den Verantwortlichen unverzüglich und dürfen die Ausführung bis zur Bestätigung oder Änderung der Weisung aussetzen.

§ 4 Vertraulichkeit

Wir setzen für die Verarbeitung nur Personen ein, die zur Vertraulichkeit verpflichtet wurden oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen, und die mit den für sie relevanten Datenschutzanforderungen vertraut gemacht wurden.

§ 5 Technische und organisatorische Maßnahmen

Wir treffen die in Anlage 2 beschriebenen technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO und passen sie fortlaufend an den Stand der Technik an.

Die Maßnahmen dürfen weiterentwickelt und durch mindestens gleichwertige ersetzt werden, solange das Schutzniveau insgesamt nicht unterschritten wird. Wesentliche Änderungen dokumentieren wir in der jeweils aktuellen Fassung der Anlage 2 unter dieser Adresse.

§ 6 Unterauftragsverarbeiter; Übermittlung an Drittsysteme

Der Verantwortliche erteilt die allgemeine Genehmigung zur Einschaltung der in Anlage 3 Abschnitt 1 genannten Unterauftragsverarbeiter.

Die Beauftragung weiterer oder der Austausch bestehender Unterauftragsverarbeiter wird dem Verantwortlichen mindestens vier Wochen vor Wirksamwerden in Textform angekündigt (E-Mail oder Hinweis im Portal). Der Verantwortliche kann aus wichtigem datenschutzrechtlichen Grund widersprechen; führt der Widerspruch zu keiner einvernehmlichen Lösung, kann jede Partei den Nutzungsvertrag zum Wirksamwerden der Änderung kündigen.

Mit jedem Unterauftragsverarbeiter schließen wir einen Vertrag, der ihm im Wesentlichen dieselben Datenschutzpflichten auferlegt wie dieser AVV uns.

Die Verarbeitung findet grundsätzlich in der Europäischen Union bzw. im Europäischen Wirtschaftsraum statt. Eine Übermittlung in Drittländer erfolgt nur über die in Anlage 3 Abschnitt 1 ausgewiesenen Unterauftragsverarbeiter und nur auf Grundlage geeigneter Garantien nach Kapitel V DSGVO (EU-Standardvertragsklauseln bzw. Angemessenheitsbeschluss, etwa das EU-US Data Privacy Framework).

Aktiviert der Verantwortliche eine Anbindung an ein eigenes Drittsystem — insbesondere an eine Buchhaltungssoftware —, übermitteln wir Daten auf seine Weisung an den von ihm gewählten Anbieter. Diese Empfänger sind keine Unterauftragsverarbeiter von uns; Einzelheiten und die Verteilung der Verantwortlichkeiten stehen in Anlage 3 Abschnitt 2.

§ 7 Unterstützung des Verantwortlichen

Wir unterstützen den Verantwortlichen mit geeigneten technischen und organisatorischen Maßnahmen dabei, Anträge betroffener Personen (Art. 12–23 DSGVO) zu beantworten — in erster Linie durch die Auskunfts-, Export-, Berichtigungs- und Löschfunktionen der Software. Gehen Betroffenenanträge direkt bei uns ein, leiten wir sie unverzüglich an den Verantwortlichen weiter und beantworten sie nicht selbst.

Unter Berücksichtigung der Art der Verarbeitung und der uns zur Verfügung stehenden Informationen unterstützen wir den Verantwortlichen bei der Einhaltung der Pflichten aus Art. 32 bis 36 DSGVO (Sicherheit, Meldungen, Datenschutz-Folgenabschätzung, Konsultation).

Aufwände für Unterstützungsleistungen, die über die Funktionen der Software und gesetzliche Pflichten hinausgehen, dürfen wir nach vorheriger Ankündigung zu angemessenen Sätzen berechnen.

§ 8 Meldung von Verletzungen des Schutzes personenbezogener Daten

Wir melden dem Verantwortlichen unverzüglich, nachdem uns eine Verletzung des Schutzes der im Auftrag verarbeiteten personenbezogenen Daten bekannt geworden ist. Die Meldung enthält, soweit bereits verfügbar, die Angaben nach Art. 33 Abs. 3 DSGVO; nicht sofort verfügbare Informationen reichen wir ohne unangemessene Verzögerung nach. Die Meldung an die Aufsichtsbehörde und an betroffene Personen ist Sache des Verantwortlichen.

§ 9 Nachweise und Kontrollen

Wir stellen dem Verantwortlichen alle erforderlichen Informationen zum Nachweis der Einhaltung der Pflichten aus Art. 28 DSGVO zur Verfügung — in erster Linie durch diese Dokumentation (einschließlich Anlage 2), Ergebnisse interner Prüfungen sowie künftige Prüfberichte oder Zertifizierungen.

Der Verantwortliche kann darüber hinaus Überprüfungen — einschließlich Inspektionen — durchführen oder durch einen zur Vertraulichkeit verpflichteten, nicht mit uns im Wettbewerb stehenden Prüfer durchführen lassen. Kontrollen erfolgen mit angemessener Vorlauffrist (in der Regel vier Wochen), während der üblichen Geschäftszeiten, höchstens einmal je Kalenderjahr — außer bei konkretem Anlass (etwa einer gemeldeten Verletzung) oder behördlicher Anordnung. Jede Partei trägt ihre eigenen Kosten.

§ 10 Löschung und Rückgabe nach Ende der Verarbeitung

Während der Vertragslaufzeit kann der Verantwortliche seine Daten jederzeit über die Export- und Berichtsfunktionen der Software erhalten; hierzu ist er vor Vertragsende gehalten (§ 12 Abs. 3 AGB).

Nach Beendigung des Nutzungsvertrags löschen wir die im Auftrag verarbeiteten personenbezogenen Daten, sofern und soweit keine Rechtspflicht zur Aufbewahrung besteht. Daten, die gesetzlichen Aufbewahrungspflichten unterliegen (insbesondere Rechnungs- und Buchführungsdaten nach GoBD), werden bis zum Ablauf der jeweiligen Frist gesperrt aufbewahrt und anschließend gelöscht.

Innerhalb der Laufzeit gilt das Löschkonzept der Software: Löschungen erfolgen zunächst als Soft-Delete (Kennzeichnung mit Löschzeitpunkt) zur Wahrung der Nachvollziehbarkeit; nach Ablauf der vom Verantwortlichen konfigurierten bzw. gesetzlich gebotenen Aufbewahrungsfristen werden die betroffenen Daten endgültig gelöscht bzw. anonymisiert. Die Läufe werden protokolliert.

§ 11 Schlussbestimmungen

Bei Widersprüchen zwischen diesem AVV und dem Nutzungsvertrag geht in datenschutzrechtlichen Fragen dieser AVV vor.

Im Übrigen gelten die Schlussbestimmungen der AGB (§ 17) entsprechend, insbesondere Rechtswahl und Gerichtsstand.

Anlage 1 — Verarbeitung im Überblick

Gegenstand und Zweck: Betrieb der Software BauLedger für den Verantwortlichen — Erfassung von Baustelleneinträgen (Freitext, Fotos, Sprachnotizen), KI-gestützte Transkription und Strukturierung, Erstellung von Bautagesberichten und deren Ausgabe als PDF, Verwaltung von Projekten und Auftraggebern, Benutzer- und Rechteverwaltung, Benachrichtigungen und Zustellung tokenbasierter Links per E-Mail und SMS sowie Abo-/Rechnungsverwaltung.

Kategorien betroffener Personen: Beschäftigte des Verantwortlichen (einschließlich Bauleiter, Poliere, gewerbliche Mitarbeiter, Auszubildende, Aushilfen), Nutzer mit Verwaltungsrollen, Ansprechpartner beauftragter Subunternehmer, Ansprechpartner der Auftraggeber/Bauherren sowie Personen, die in erfassten Freitexten, Fotos oder Sprachnotizen erscheinen oder genannt werden.

Kategorien personenbezogener Daten:

Stammdaten: Name, Zugehörigkeit zum Unternehmen (Mandant), Rolle/Administrations-Kennzeichen.
Kontodaten: Anmelde-/Login-Daten, Rollenzuordnung.
Kontakt- und Zustelldaten: Mobilfunknummer, E-Mail-Adresse und bevorzugter Zustellweg von Beschäftigten, Ansprechpartnern beauftragter Subunternehmer und Auftraggebern — Grundlage für den Versand von Einladungs-, Erfassungs- und Dokumentlinks per SMS oder E-Mail.
Sitzungsdaten: Angaben zur angemeldeten Sitzung (u. a. Geräte-/Fingerprint-Merkmal, App-Typ).
Inhaltsdaten der Dokumentation: Freitexte, Baustellenfotos (können abgebildete Personen enthalten) sowie Sprachnotizen (Audioaufnahmen) und deren maschinell erzeugte Transkripte. Diese Inhalte werden vom Verantwortlichen bestimmt; er ist für deren Rechtmäßigkeit und Datenminimierung verantwortlich.
Projekt- und Auftraggeberdaten: Bezeichnungen und Ansprechpartner von Bauprojekten und Auftraggebern (Bauherren).
Berichtsdaten: die aus den Eingaben erzeugten strukturierten Bautagesberichte einschließlich Status.
Protokoll- und Zugriffsdaten: optionale Protokollierung von Seitenaufrufen (u. a. IP-Adresse, aufgerufene Route, Referrer, User-Agent) sowie technische Server-Protokolle zur Sicherheit und Fehlersuche.
Abrechnungsbezogene Daten des Verantwortlichen: Firmen- und Ansprechpartnerdaten, Abrechnungs-E-Mail, Rechnungs- und Zahlungsstatusdaten (keine Beschäftigtendaten).

Besondere Kategorien (Art. 9 DSGVO): Die Software ist nicht auf die Verarbeitung besonderer Kategorien personenbezogener Daten ausgelegt und führt keine biometrische Identifizierung durch. Da Freitexte, Fotos und Sprachnotizen frei befüllbar sind, kann der Verantwortliche solche Daten dennoch einbringen; hierfür stellt er die erforderliche Rechtsgrundlage sicher und beschränkt die Erfassung auf das Notwendige.

Anlage 2 — Technische und organisatorische Maßnahmen (TOM, Art. 32 DSGVO)

BauLedger wird auf Infrastruktur in Deutschland/EU betrieben. Die nachstehenden Maßnahmen beschreiben den Schutz der im Auftrag verarbeiteten Daten; einzelne, ausdrücklich als „vor Produktivstart vorgesehen" gekennzeichnete Punkte werden im Rahmen der Betriebsreife umgesetzt und in dieser Anlage aktualisiert.

1. Verschlüsselung und Pseudonymisierung (Art. 32 Abs. 1 lit. a)

Transportverschlüsselung mit TLS (HTTPS-Erzwingung samt HSTS) für sämtliche Verbindungen zwischen Nutzern und der Anwendung.
Kryptografische Schlüssel für den Schutz von Sitzungen und Cookies (Data Protection) werden persistent und geschützt vorgehalten.
Datensicherungen werden verschlüsselt und getrennt vom Produktivsystem aufbewahrt.
Pseudonymisierung/Anonymisierung nach Fristablauf: ausgeschiedene bzw. gelöschte Datensätze werden nach Ablauf der Aufbewahrungsfristen endgültig gelöscht oder anonymisiert.

2. Vertraulichkeit (Art. 32 Abs. 1 lit. b)

Zutrittskontrolle: Betrieb in einem professionellen Rechenzentrum in Deutschland/EU mit Zutrittskontrolle (Anbieter siehe Anlage 3); kein Serverbetrieb in Büroräumen.
Zugangskontrolle: Nutzer-Anmeldung über geschützte, cookie-basierte Sitzungen mit begrenzter Lebensdauer; administrativer Zugang zu den Servern nur für berechtigte Personen. Missbräuchliche Zugriffe werden über IP-/Bot-Sperren abgewehrt.
Zugriffskontrolle: Rollenmodell je Mandant (Administrations- und Standardnutzer); Nutzer sehen nur die Daten ihres Unternehmens. Support-Zugriff durch uns nur nach ausdrücklicher Freigabe des Kunden und in erforderlichem Umfang.
Trennungskontrolle (Mandantentrennung): Alle Kernentitäten sind einem Mandanten (Company) zugeordnet; die Anwendung stellt sicher, dass Nutzer ausschließlich auf Daten ihres eigenen Mandanten zugreifen. Datei-Uploads werden je Projekt/Eintrag getrennt abgelegt.

3. Integrität (Art. 32 Abs. 1 lit. b)

Soft-Delete statt physischer Löschung: Kernentitäten werden mit einem Löschzeitpunkt gekennzeichnet statt sofort physisch entfernt; dies sichert die Nachvollziehbarkeit von Änderungen.
Eingabekontrolle: Verarbeitungsschritte (u. a. Transkription, Strukturierung, PDF-Erzeugung) werden über Statuswerte nachvollziehbar geführt; technische Vorgänge werden protokolliert.
Sicherheitsrelevante Antwort-Header (u. a. gegen Framing und MIME-Sniffing) werden gesetzt.

4. Verfügbarkeit und Belastbarkeit (Art. 32 Abs. 1 lit. b und c)

Regelmäßige, verschlüsselte Datensicherung von Datenbank und hochgeladenen Dateien.
Dokumentierte Wiederherstellungs-Prozedur (vor Produktivstart vorgesehen: Wiederherstellungs-Test unter Last).
Gehärtetes Minimal-System mit automatischen Sicherheitsupdates und beschränkter Angriffsfläche.

5. Verfahren zur regelmäßigen Überprüfung und Bewertung (Art. 32 Abs. 1 lit. d)

Regelmäßige Einspielung von Sicherheitsupdates.
Technische Protokolle werden nur kurzfristig aufbewahrt; Protokolle mit Aufbewahrungspflicht nach den gesetzlichen Fristen.
Vor dem Produktivstart verbindlich vorgesehen (Betriebsreife-Programm): externer Penetrationstest sowie Statusseite mit Monitoring/Alarmierung.

6. Organisatorische Maßnahmen

Verpflichtung aller mit der Verarbeitung befassten Personen auf Vertraulichkeit (§ 4 AVV).
Grundsatz der Datenminimierung im Produkt; Demo-Umgebungen ausdrücklich ohne Echtdaten.
Dokumentierte Inbetriebnahme- und Betriebsprozeduren; Trennung von Entwicklungs-, Test- und Produktivumgebung (lokale Entwicklungsumgebung ohne Produktivdaten).

Anlage 3 — Unterauftragsverarbeiter und weitere Empfänger

1. Unterauftragsverarbeiter

Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, Deutschland — Bereitstellung der Server-Infrastruktur (Housing/IaaS) im Rechenzentrum Falkenstein/Vogtland (Deutschland); alle in Anlage 1 genannten Daten (verschlüsselter Transport, Zugriff nur durch uns); Ort: Deutschland/EU.
OpenAI (KI-Verarbeitung) — Transkription von Sprachnotizen und Strukturierung der Inhalte zur Berichtserstellung; verarbeitete Daten: Audioaufnahmen sowie die zur Strukturierung übermittelten Text-/Berichtsinhalte (keine Abrechnungsdaten). Ort: EU/USA; etwaige Übermittlung in die USA auf Grundlage des EU-US Data Privacy Framework bzw. EU-Standardvertragsklauseln. Eine Nutzung der übermittelten Inhalte zum Training der Modelle des Anbieters ist vertraglich ausgeschlossen.
seven communications GmbH & Co. KG („seven.io"), Willestr. 4-6, 24103 Kiel, Deutschland — Versand von SMS im Namen des Verantwortlichen: Erfassungslinks an Subunternehmer, Erinnerungen bei ausbleibender Erfassung, Einladungs- und Geräte-Aktivierungslinks für Nutzer sowie Links zu Mängelprotokollen. Verarbeitete Daten: Mobilfunknummer des Empfängers, Absenderkennung und der Nachrichtentext einschließlich Projektbezeichnung und tokenbasiertem Link — keine Fotos, Sprachnotizen, Berichtsinhalte oder Abrechnungsdaten. Ort: Deutschland/EU. Der Versand erfolgt nur, soweit der Verantwortliche für den jeweiligen Empfänger SMS als Zustellweg hinterlegt; E-Mail steht für jeden dieser Anlässe als gleichwertiger Weg zur Verfügung.
Stripe Payments Europe, Ltd., Dublin, Irland (nur bei Zahlung per SEPA-Lastschrift oder Karte) — Zahlungsabwicklung; Firmenname, Abrechnungs-E-Mail, Zahlungsreferenzen — keine Beschäftigtendaten; Karten-/Kontodaten werden direkt bei Stripe erfasst und nie in BauLedger gespeichert. Ort: EU; etwaige Übermittlung an Stripe, Inc. (USA) auf Grundlage des EU-US Data Privacy Framework bzw. EU-Standardvertragsklauseln.

Die Datenbank sowie der E-Mail-Versand (SMTP) werden von uns selbst auf der vorgenannten Infrastruktur betrieben und sind keine Unterauftragsverarbeiter.

2. Buchhaltungs-Anbindungen — Übermittlung an ein Drittsystem des Verantwortlichen

BauLedger erstellt selbst keine Rechnungen. Auf Anforderung übergeben wir einen Abrechnungsentwurf an das Buchhaltungssystem, das der Verantwortliche einsetzt. Jede Anbindung ist ausgeschaltet, solange der Verantwortliche sie nicht in den Firmeneinstellungen aktiviert und seinen eigenen Zugang (API-Schlüssel) hinterlegt; wir verwenden ausschließlich diesen firmeneigenen Zugang. Einen übergreifenden Zugang des Betreibers gibt es bewusst nicht. Die Daten fließen damit in das Konto des Verantwortlichen bei einem Anbieter, den er selbst ausgewählt hat.

Datenschutzrechtlich ist dies keine Unterauftragsverarbeitung durch uns, sondern eine Übermittlung an einen Dritten auf dokumentierte Weisung des Verantwortlichen (Aktivierung der Anbindung und Auslösen der jeweiligen Übergabe). Der Empfänger verarbeitet die Daten im Auftrag und im Vertragsverhältnis des Verantwortlichen; für die datenschutzrechtliche Grundlage — insbesondere einen eigenen Vertrag nach Art. 28 DSGVO mit dem jeweiligen Anbieter — ist der Verantwortliche zuständig. Wir weisen die Empfänger hier dennoch aus, damit der Verantwortliche den Datenfluss vollständig übersehen kann.

Empfänger (nur der vom Verantwortlichen aktivierte):

lexoffice / Lexware Office (Haufe-Lexware, Deutschland) — api.lexoffice.io
sevDesk (sevDesk GmbH, Deutschland) — my.sevdesk.de
easybill (easybill GmbH, Deutschland) — api.easybill.de
WISO MeinBüro (Buhl Data Service, Deutschland) — api.meinbuero.de
orgaMAX (Deutschland) — api.orgamax.de

Übermittelte Daten: Name, Anschrift, geschäftliche E-Mail-Adresse und Telefonnummer des Auftraggebers (Bauherrn) des Verantwortlichen sowie die Positionen des Abrechnungsentwurfs einschließlich Projektbezeichnung, Mengen, Einheiten und Beträgen. Nicht übermittelt werden Beschäftigtendaten, Fotos, Sprachnotizen, Transkripte und Berichtsinhalte.

Ort: Die genannten Anbieter sind in Deutschland ansässig und betreiben ihre Dienste in Deutschland bzw. der EU. Maßgeblich ist das Vertragsverhältnis des Verantwortlichen mit dem von ihm gewählten Anbieter.

Jede Übergabe wird im Logbuch protokolliert (wer wann welche Abrechnung an welches System übertragen hat). Mit der Übergabe endet unsere Zuständigkeit: Rechnungs- und Zahlungsstatus leben allein im Zielsystem und werden von uns nicht zurückgeholt.

Der ABACUS-Export ist keine Übermittlung. Der Verantwortliche lädt eine XML-Datei (AbaConnect-Verkaufsauftrag) herunter und importiert sie selbst in seine ABACUS-Installation; eine Verbindung zwischen BauLedger und ABACUS besteht nicht.