Vertrag über die Auftragsverarbeitung

§ 1 Vertragsparteien

(1) Auftragsverarbeiter im Sinne des Art. 4 Nr. 8 DSGVO ist die Bibertron UG (haftungsbeschränkt), Am Haag 8, 82166 Gräfelfing, vertreten durch die Geschäftsführerin Beata Krenzer, E-Mail E-Mail-Adresse anzeigen (nachfolgend „Auftragsverarbeiter“).

(2) Verantwortlicher im Sinne des Art. 4 Nr. 7 DSGVO ist der Kunde des Nutzungsvertrages über die Anwendung „Bibertron Baubegleiter“ (nachfolgend „Verantwortlicher“). Er wird durch die in seinem Kundenkonto hinterlegten Angaben zu Firma, Rechtsform, Anschrift und vertretungsberechtigter Person bestimmt. Der Verantwortliche hält diese Angaben aktuell.

(3) Dieser Vertrag wird bei Vertragsschluss oder in der Anwendung in Textform geschlossen (Art. 28 Abs. 9 DSGVO). Der Auftragsverarbeiter protokolliert Zeitpunkt, Kundenkonto, handelnde Person und Fassung dieses Vertrages und stellt dem Verantwortlichen die von ihm abgeschlossene Fassung einschließlich seiner Angaben nach Absatz 2 jederzeit als Dokument zum Abruf bereit.

§ 2 Gegenstand und Dauer

(1) Dieser Vertrag regelt die Verarbeitung personenbezogener Daten durch den Auftragsverarbeiter im Auftrag des Verantwortlichen bei der Nutzung der Anwendung „Bibertron Baubegleiter“ zur Baudokumentation und Projektkoordination.

(2) Der Vertrag beginnt mit der Registrierung des Verantwortlichen, sobald dieser personenbezogene Daten in die Anwendung einstellt. Er gilt auch während einer kostenlosen Testphase.

(3) Der Vertrag endet mit der vollständigen Löschung oder Rückgabe der im Auftrag verarbeiteten Daten nach § 11. Er besteht über das Ende des Nutzungsvertrages hinaus fort, solange der Auftragsverarbeiter Daten auf Weisung des Verantwortlichen aufbewahrt.

§ 3 Art und Zweck der Verarbeitung

(1) Zweck der Verarbeitung ist die Verwaltung von Bauprojekten, Terminen, Mängeln, Aufgaben und Dokumenten sowie die Kommunikation zwischen Projektbeteiligten.

(2) Art der Verarbeitung: Erheben, Speichern, Organisieren, Anzeigen, Verändern, Übermitteln an Projektbeteiligte, automatisierte Vorklassifizierung von Mängelfotos, Umwandlung von Sprachaufnahmen in Text, Erzeugen von Protokollen und Exportdateien, Versand von Benachrichtigungen, Löschen.

(3) Die Verarbeitung findet ausschließlich in einem Mitgliedstaat der Europäischen Union oder in einem Vertragsstaat des Abkommens über den Europäischen Wirtschaftsraum statt, soweit nicht in § 9 etwas anderes ausgewiesen ist.

§ 4 Art der personenbezogenen Daten

• Namen und Kontaktdaten (E-Mail, Telefon) der Projektbeteiligten
• Firmenzugehörigkeit und Rolle im Projekt
• Anschriften von Bauvorhaben, soweit sie einer natürlichen Person zuzuordnen sind
• Unterschriften (digitale Abnahmeunterschriften als Bilddatei)
• Fotodokumentationen, insbesondere Mängelfotos, auf denen Personen erkennbar sein können
• Kommunikationsinhalte aus Projektnachrichten und Bautagebuch
• Audioaufnahmen zur Spracherfassung für das Bautagebuch
• Prüfspurdaten zu Änderungen an Projektinhalten (Zeitpunkt und handelnde Person)

§ 5 Kategorien betroffener Personen

• Mitarbeiter und Nachunternehmer des Verantwortlichen
• Bauherren und Auftraggeber des Verantwortlichen
• Externe Projektpartner und am Bau beteiligte Gewerke
• Dritte, die auf Fotos oder Sprachaufnahmen erfasst werden

§ 6 Weisungsrecht des Verantwortlichen

(1) Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen, es sei denn, er ist nach dem Recht der Union oder der Mitgliedstaaten zur Verarbeitung verpflichtet; in diesem Fall teilt er dem Verantwortlichen diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht dies nicht wegen eines wichtigen öffentlichen Interesses verbietet.

(2) Die Nutzung der Anwendung im vertraglich vorgesehenen Umfang, einschließlich der vom Verantwortlichen aktivierten Funktionen und der in seinem Kundenkonto vorgenommenen Einstellungen, gilt als Weisung. Ergänzende Weisungen erteilt der Verantwortliche in Textform an E-Mail-Adresse anzeigen.

(3) Weisungsberechtigt sind die im Kundenkonto als administrationsberechtigt hinterlegten Personen. Der Verantwortliche hält diese Angaben aktuell.

(4) Der Auftragsverarbeiter dokumentiert Weisungen und ihre Umsetzung. Hält er eine Weisung für datenschutzrechtlich unzulässig, informiert er den Verantwortlichen unverzüglich und kann die Ausführung bis zu dessen Bestätigung aussetzen (Art. 28 Abs. 3 Satz 3 DSGVO).

§ 7 Pflichten des Auftragsverarbeiters

Der Auftragsverarbeiter verpflichtet sich insbesondere:

• die Vertraulichkeit aller mit der Verarbeitung befassten Personen sicherzustellen und diese schriftlich auf Vertraulichkeit zu verpflichten, soweit sie nicht bereits einer gesetzlichen Verschwiegenheitspflicht unterliegen (Art. 28 Abs. 3 lit. b DSGVO)
• die technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO umzusetzen und aufrechtzuerhalten; die derzeit umgesetzten Maßnahmen sind in der Anlage 1 beschrieben (Art. 28 Abs. 3 lit. c DSGVO)
• den Verantwortlichen unverzüglich nach Bekanntwerden über Verletzungen des Schutzes personenbezogener Daten zu informieren und ihm die für dessen Meldung nach Art. 33 DSGVO erforderlichen Angaben zur Verfügung zu stellen, damit dieser die ihm obliegende Frist von 72 Stunden einhalten kann (Art. 33 Abs. 2 DSGVO)
• den Verantwortlichen bei der Erfüllung von Betroffenenrechten zu unterstützen, insbesondere bei Auskunfts-, Berichtigungs-, Löschungs-, Einschränkungs- und Übertragbarkeitsanfragen (Art. 28 Abs. 3 lit. e DSGVO). Wenden sich betroffene Personen unmittelbar an den Auftragsverarbeiter, leitet dieser die Anfrage unverzüglich an den Verantwortlichen weiter und beantwortet sie nicht selbst
• den Verantwortlichen bei der Einhaltung der Pflichten aus den Art. 32 bis 36 DSGVO zu unterstützen, insbesondere bei einer Datenschutz-Folgenabschätzung und einer vorherigen Konsultation der Aufsichtsbehörde (Art. 28 Abs. 3 lit. f DSGVO)
• dem Verantwortlichen alle erforderlichen Informationen zum Nachweis der Einhaltung der Pflichten aus Art. 28 DSGVO zur Verfügung zu stellen und Überprüfungen nach Maßgabe des § 12 zu ermöglichen (Art. 28 Abs. 3 lit. h DSGVO)
• ein Verzeichnis aller Kategorien von Verarbeitungstätigkeiten im Auftrag nach Art. 30 Abs. 2 DSGVO zu führen
• nach Wahl des Verantwortlichen alle Daten nach Maßgabe des § 11 zu löschen oder zurückzugeben

§ 8 Pflichten des Verantwortlichen

(1) Der Verantwortliche ist für die Rechtmäßigkeit der Verarbeitung und für die Wahrung der Rechte betroffener Personen allein verantwortlich (Art. 24 DSGVO). Er stellt insbesondere sicher, dass für die Erhebung, Verarbeitung und Übermittlung der in die Anwendung eingestellten Daten eine Rechtsgrundlage besteht.

(2) Der Verantwortliche kommt seinen Informationspflichten nach den Art. 13 und 14 DSGVO gegenüber den betroffenen Personen selbst nach. Das gilt insbesondere gegenüber Mitarbeitern, Nachunternehmern und Bauherren, die er zu Projekten einlädt, sowie gegenüber Personen, die auf Fotos oder Sprachaufnahmen erfasst werden.

(3) Der Verantwortliche beurteilt selbst, ob für seine Verarbeitung eine Datenschutz-Folgenabschätzung nach Art. 35 DSGVO erforderlich ist, und führt sie gegebenenfalls durch. Das gilt insbesondere, soweit er die Prüfspur, das Bautagebuch oder Foto- und Sprachaufnahmen in einer Weise nutzt, die eine Verhaltens- oder Leistungskontrolle seiner Beschäftigten ermöglicht.

(4) Wählt der Verantwortliche die Aufbewahrung nach § 11 Absatz 1, prüft er eigenständig, ob dafür eine Rechtsgrundlage besteht, insbesondere im Hinblick auf Daten seiner Beschäftigten.

(5) Meldungen an die Aufsichtsbehörde nach Art. 33 DSGVO und Benachrichtigungen betroffener Personen nach Art. 34 DSGVO nimmt der Verantwortliche vor.

(6) Der Verantwortliche erteilt Weisungen nach § 6 und benennt dem Auftragsverarbeiter einen Ansprechpartner für Datenschutzfragen.

§ 9 Weitere Auftragsverarbeiter

(1) Der Verantwortliche erteilt dem Auftragsverarbeiter die allgemeine Genehmigung zur Hinzuziehung weiterer Auftragsverarbeiter (Art. 28 Abs. 2 Satz 2 DSGVO). Zum Zeitpunkt des Vertragsschlusses sind dies:

(2) Der Auftragsverarbeiter schließt mit jedem weiteren Auftragsverarbeiter einen Vertrag, der diesem im Wesentlichen dieselben Pflichten auferlegt, die in diesem Vertrag festgelegt sind (Art. 28 Abs. 4 DSGVO). Er bleibt dem Verantwortlichen gegenüber für die Einhaltung verantwortlich.

(3) Der Auftragsverarbeiter informiert den Verantwortlichen mindestens vier Wochen im Voraus in Textform über die Hinzuziehung oder den Austausch eines weiteren Auftragsverarbeiters. Der Verantwortliche kann der Änderung innerhalb von zwei Wochen ab Zugang der Mitteilung aus einem datenschutzrechtlichen Grund widersprechen. Im Fall des Widerspruchs steht ihm ein Sonderkündigungsrecht zum Wirksamwerden der Änderung zu; Ziffer 5 Absatz 9 der Allgemeinen Geschäftsbedingungen gilt entsprechend.

(4) Nicht als weitere Auftragsverarbeiter gelten Nebenleistungen wie Telekommunikationsdienste, Post- und Transportdienste sowie Wartungs- und Prüfleistungen, die nicht auf die Verarbeitung personenbezogener Daten gerichtet sind. Dazu zählen auch reine Übertragungsdienste, bei denen der Inhalt für den Übertragenden nicht lesbar ist, insbesondere die Push-Dienste der Browserhersteller bei Ende-zu-Ende-verschlüsselten Nachrichteninhalten.

Für die Wetterdokumentation im Bautagebuch ruft der Anbieter allgemeine, nicht kundenbezogene Vorhersagedaten des Deutschen Wetterdienstes (DWD, Bundesbehörde, Offenbach am Main) über dessen Open-Data-Server ab und gleicht sie ausschließlich auf eigenen Servern mit der Koordinate des jeweiligen Bauvorhabens ab. An den Deutschen Wetterdienst werden keine Bauvorhaben-Koordinaten oder sonstigen personenbezogenen Daten übermittelt; der Abruf und der Abgleich mit der Koordinate finden vollständig innerhalb der eigenen Infrastruktur des Anbieters statt. Der Deutsche Wetterdienst ist deshalb kein weiterer Auftragsverarbeiter im Sinne dieses Vertrages.

§ 10 Technisch-organisatorische Maßnahmen

(1) Der Auftragsverarbeiter trifft die in Anlage 1 beschriebenen technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO.

(2) Die Maßnahmen unterliegen dem technischen Fortschritt. Der Auftragsverarbeiter darf sie anpassen, solange das Schutzniveau nicht unterschritten wird. Wesentliche Änderungen dokumentiert er und teilt sie dem Verantwortlichen auf Anfrage mit.

(3) Der Auftragsverarbeiter überprüft die Wirksamkeit der Maßnahmen mindestens jährlich und dokumentiert das Ergebnis.

§ 11 Aufbewahrung, Löschung und Rückgabe

(1) Der Verantwortliche entscheidet bei Vertragsschluss und jederzeit danach, ob der Auftragsverarbeiter die im Auftrag verarbeiteten Projektdaten nach Ende des Nutzungsvertrages für zehn Jahre aufbewahren und für ihn lesend abrufbar halten soll. Diese Weisung setzt ein eigenes Interesse des Verantwortlichen voraus, etwa weil er seinen Nachweisobliegenheiten aus den dokumentierten Bauvorhaben nachkommen muss, gegebenenfalls im Hinblick auf die kenntnisunabhängige Verjährungshöchstfrist von zehn Jahren nach § 199 Abs. 3 Satz 1 Nr. 1 BGB; das ist ein möglicher Beweggrund des Verantwortlichen, nicht eine vom Auftragsverarbeiter festgelegte Zweckbestimmung. Der Auftragsverarbeiter bestimmt Zweck und Dauer der Aufbewahrung nicht selbst und macht sie sich nicht zu eigen; er stellt die technische Möglichkeit bereit, die Weisung umzusetzen. Erteilt der Verantwortliche die Weisung nicht, löscht der Auftragsverarbeiter die Projektdaten drei Monate nach Ende des Nutzungsvertrages.

(2) Der Verantwortliche kann eine erteilte Weisung nach Absatz 1 jederzeit in Textform widerrufen und die vorzeitige Löschung oder Rückgabe verlangen. Er kann die Aufbewahrung auch auf einzelne Projekte beschränken. Der Auftragsverarbeiter setzt den Widerruf innerhalb von 30 Tagen um.

(3) Der Auftragsverarbeiter kann die Aufbewahrung nach Absatz 1 nach Maßgabe von Ziffer 10 Absatz 5 der Allgemeinen Geschäftsbedingungen durch die vollständige Rückgabe des Datenbestands in einem gängigen Format ablösen. Mit der Rückgabe und nach Ablauf einer Frist von drei Monaten löscht er die Daten.

(4) Unabhängig von Absatz 1 gelten folgende Fristen:

• Daten aus einer nicht in ein Abonnement übergegangenen Testphase: Löschung mit Ablauf des lesenden Zugriffs nach Ziffer 3 Absatz 2 der Allgemeinen Geschäftsbedingungen, also 60 Tage nach Registrierung
• Zugriffs- und Serverprotokolldaten: Löschung nach 7 Tagen
• Versandprotokolle der Benachrichtigungsmails beim eingesetzten Versanddienstleister: Löschung nach Maßgabe der dort eingerichteten Aufbewahrungsregel; der Auftragsverarbeiter erteilt hierüber auf Anfrage Auskunft
• Rechnungen und Buchungsbelege des Auftragsverarbeiters: acht Jahre, beginnend mit dem Schluss des Kalenderjahres, in dem der Beleg entstanden ist (§ 147 Abs. 3 Satz 1 AO, § 257 Abs. 4 HGB, § 14b Abs. 1 Satz 1 UStG). Insoweit ist der Auftragsverarbeiter eigener Verantwortlicher; diese Daten unterliegen nicht der Weisung des Verantwortlichen

(5) Der Auftragsverarbeiter löscht personenbezogene Daten auch aus seinen Sicherungskopien. Da Sicherungskopien turnusmäßig überschrieben werden, erfolgt die Löschung aus den Sicherungskopien im Rahmen des Sicherungszyklus, spätestens jedoch 35 Tage nach der Löschung aus dem Produktivsystem. Bis dahin sind die Daten gesperrt und werden ausschließlich zur Wiederherstellung im Störungsfall verwendet.

(6) Über eine Löschung auf Verlangen des Verantwortlichen stellt der Auftragsverarbeiter ein Löschprotokoll zur Verfügung.

(7) Entfällt der Verantwortliche ersatzlos, insbesondere durch Löschung der Gesellschaft nach Abschluss der Liquidation, löscht der Auftragsverarbeiter die im Auftrag verarbeiteten Daten nach Ablauf von sechs Monaten ab Kenntnis.

§ 12 Nachweise und Kontrollen

(1) Der Auftragsverarbeiter weist die Einhaltung seiner Pflichten vorrangig durch aktuelle Selbstauskünfte, die Dokumentation der Maßnahmen nach Anlage 1 sowie durch Nachweise seiner weiteren Auftragsverarbeiter nach. Diese Nachweise stellt er unentgeltlich zur Verfügung.

(2) Genügen diese Nachweise im Einzelfall nicht, kann der Verantwortliche eine Überprüfung einschließlich einer Inspektion durchführen oder durch einen beauftragten Prüfer durchführen lassen. Die Überprüfung wird mit einem Vorlauf von mindestens vier Wochen in Textform angekündigt, findet während der üblichen Geschäftszeiten statt und darf den Betrieb nicht unangemessen beeinträchtigen.

(3) Ein beauftragter Prüfer darf kein Wettbewerber des Auftragsverarbeiters sein und ist zur Verschwiegenheit zu verpflichten.

(4) Für Überprüfungen nach Absatz 2 sowie für Unterstützungsleistungen nach § 7, die über den gesetzlich geschuldeten Umfang hinausgehen, kann der Auftragsverarbeiter eine Vergütung nach Aufwand verlangen. Der Stundensatz beträgt 120 Euro zuzüglich Umsatzsteuer. Dies gilt nicht, wenn die Überprüfung durch einen vom Auftragsverarbeiter zu vertretenden Umstand veranlasst ist.

§ 13 Haftung

(1) Für die Haftung der Parteien untereinander gilt Ziffer 13 der Allgemeinen Geschäftsbedingungen entsprechend.

(2) Art. 82 DSGVO und die Haftung gegenüber betroffenen Personen und Aufsichtsbehörden bleiben unberührt. Die Beschränkungen nach Absatz 1 gelten nicht, soweit sie nach Art. 82 DSGVO unwirksam wären.

§ 14 Schlussbestimmungen

(1) Änderungen dieses Vertrages bedürfen der Textform. Ziffer 14 der Allgemeinen Geschäftsbedingungen gilt entsprechend.

(2) Sollte eine Bestimmung dieses Vertrages unwirksam sein oder werden, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt. Die Parteien ersetzen die unwirksame Bestimmung durch eine wirksame, die dem angestrebten Zweck am nächsten kommt.

(3) Bei Widersprüchen zwischen diesem Vertrag und den Allgemeinen Geschäftsbedingungen geht dieser Vertrag vor, soweit die Verarbeitung personenbezogener Daten im Auftrag betroffen ist. Ziffer 13 der Allgemeinen Geschäftsbedingungen bleibt nach Maßgabe des § 13 unberührt.

(4) Anfragen zum Datenschutz und Meldungen über Verletzungen des Schutzes personenbezogener Daten sind zu richten an: Bibertron UG (haftungsbeschränkt), Am Haag 8, 82166 Gräfelfing, E-Mail E-Mail-Adresse anzeigen.

Anlage 1 Technische und organisatorische Maßnahmen nach Art. 32 DSGVO

Vertraulichkeit

• Zutrittskontrolle: Das Produktivsystem wird im Rechenzentrum der Hetzner Online GmbH in Nürnberg betrieben, die Datensicherung auf einer Storage Box desselben Anbieters in Deutschland. Zutrittsschutz, Videoüberwachung und Besucherprotokollierung werden durch den Rechenzentrumsbetreiber sichergestellt.
• Zugangskontrolle: Authentifizierung über Passwort mit Mindestanforderungen an die Komplexität oder über einen zeitlich befristeten Anmeldelink per E-Mail. Passwörter werden ausschließlich als Hash gespeichert. Fail2Ban und Rate-Limiting gegen automatisierte Anmeldeversuche.
• Verwaltung von Zugangsdaten: Zugangsdaten zu Fremdsystemen, insbesondere für den Mailversand, Signaturschlüssel für Push-Benachrichtigungen und Schlüssel für Programmierschnittstellen, werden außerhalb des Quellcodes in der Serverumgebung hinterlegt und nicht in der Versionsverwaltung gespeichert.
• Zugriffskontrolle: Rollen- und projektbezogene Berechtigungen. Kein Zugriff zwischen Kundenmandanten. Administrativer Zugriff nur für benannte Personen des Auftragsverarbeiters und nur im erforderlichen Umfang.
• Trennungskontrolle: Logische Mandantentrennung der Kundendaten. Getrennte Umgebungen für Entwicklung, Test und Produktion. In Test- und Entwicklungsumgebungen werden keine Echtdaten verwendet.
• Verpflichtung auf Vertraulichkeit: Alle mit der Verarbeitung befassten Personen sind schriftlich auf das Datengeheimnis verpflichtet und werden mindestens jährlich zum Datenschutz unterwiesen.

Integrität

• Übertragungskontrolle: Verschlüsselte Datenübertragung über HTTPS mit TLS 1.2 oder höher. Weiterleitung unverschlüsselter Verbindungen auf verschlüsselte.
• Schutz gespeicherter Daten: Der Betrieb erfolgt auf virtuellen Servern des Hosting-Dienstleisters in nach ISO/IEC 27001:2022 zertifizierten und nach BSI C5 Typ 2 testierten Rechenzentren. Ausgetauschte Datenträger werden durch den Rechenzentrumsbetreiber vor Ort physisch zerstört und verlassen dessen Standorte nicht in einer Form, die eine Rekonstruktion der Daten ermöglicht.
• Verschlüsselung der Sicherungskopien: Sicherungskopien werden vor der Übertragung mit AES-256 verschlüsselt. Der Sicherungsspeicher erhält zu keinem Zeitpunkt unverschlüsselte Daten.
• Eingabekontrolle: Protokollierung von Anlage, Änderung und Löschung von Projektinhalten mit Zeitpunkt und handelnder Person (Prüfspur).

Verfügbarkeit und Belastbarkeit

• Tägliche automatisierte Datensicherung um 2:30 Uhr auf eine Storage Box der Hetzner Online GmbH mit Standort in Deutschland. Aufbewahrung der Sicherungen für 30 Tage.
• Wiederherstellbarkeit: Die Wiederherstellung des Produktivsystems aus der Sicherung ist innerhalb von 24 Stunden vorgesehen; der maximale Datenverlust beträgt 24 Stunden. Die Wiederherstellbarkeit der Sicherungen wird nächtlich automatisiert geprüft und das Ergebnis dokumentiert.
• Schutz vor Angriffen: Firewall, Rate-Limiting, regelmäßige Einspielung von Sicherheitsaktualisierungen.

Verfahren zur Überprüfung und Bewertung

• Jährliche Überprüfung der Wirksamkeit der Maßnahmen mit Dokumentation des Ergebnisses.
• Verfahren zur Meldung und Bearbeitung von Verletzungen des Schutzes personenbezogener Daten mit benannten Zuständigkeiten.
• Auftragskontrolle: Schriftliche Vereinbarungen mit allen weiteren Auftragsverarbeitern nach Art. 28 DSGVO, regelmäßige Prüfung von deren Nachweisen.
• Datenschutz durch Technikgestaltung und datenschutzfreundliche Voreinstellungen nach Art. 25 DSGVO, insbesondere durch die Beschränkung der Sichtbarkeit von Projektinhalten auf die jeweilige Rolle im Projekt.