Auftragsverarbeitungsvertrag

§ 1 Gegenstand, Dauer, Form

Der Auftragsverarbeiter betreibt die Software „OBELISK" (app.obelisk-os.de) und verarbeitet dabei personenbezogene Daten im Auftrag des Kunden. Dieser Vertrag konkretisiert die datenschutzrechtlichen Pflichten der Parteien. Er ist Bestandteil des Nutzungsvertrags (AGB § 10) und gilt mit dessen Zustandekommen im elektronischen Format (Art. 28 Abs. 9 DSGVO), ohne dass es einer Unterschrift bedarf; er kann zusätzlich ausgedruckt und unterzeichnet werden. Er gilt für die Dauer des Nutzungsvertrags und endet mit dessen Beendigung sowie der vollständigen Löschung bzw. Rückgabe der Daten nach § 9.

§ 2 Art, Zweck und Umfang der Verarbeitung

Zweck ist die Bereitstellung der Software-Funktionen (Baustellendokumentation, Personal- und Zeitwirtschaft, Abrechnung, Kalkulation, Auswertungen). Die Verarbeitung umfasst Erheben, Speichern, Anzeigen, Auswerten, Exportieren und Löschen innerhalb der Software. Ort der Datenhaltung ist die EU (Region Stockholm, Schweden); zu Drittlandbezügen einzelner Unterauftragsverarbeiter siehe § 6.

Kategorien betroffener Personen

• Mitarbeiter und Subunternehmer-Personal des Kunden
• Ansprechpartner von Auftraggebern, Lieferanten und sonstigen Geschäftspartnern des Kunden
• Sonstige Personen, die in der Dokumentation des Kunden erscheinen (z. B. auf Baustellenfotos)

Datenkategorien (konkret für OBELISK)

• Mitarbeiter-Stammdaten: Name, Kontaktdaten, Funktion, Personalnummer, Eintritts-/Austrittsdaten, Portraitfoto
• Ausweis- und Vertragsdaten bei Nutzung der Vertrags-/Ausweisfunktion: Ausweiskopien, Ausweisnummer, Geburtsdatum, Staatsangehörigkeit, bei rumänischen Ausweisen die Personenkennziffer (CNP), Arbeitsverträge — besonders sensibel; der Kunde begrenzt den Zugriff über das Rollen-Rechte-System
• Arbeitszeiten und Fehlzeiten: Anwesenheiten, Stunden, Überstunden, Urlaubs- und Krankheitszeiten — Krankheitszeiten sind besondere Kategorien personenbezogener Daten (Gesundheitsdaten, Art. 9 DSGVO); die Rechtsgrundlage ihrer Verarbeitung stellt der Kunde als Verantwortlicher sicher (insbesondere § 26 Abs. 3 BDSG i. V. m. Art. 9 Abs. 2 lit. b DSGVO), der Auftragsverarbeiter verarbeitet sie ausschließlich im Rahmen der Software-Funktionen und der Maßnahmen nach § 5
• Lohn-relevante Daten: Stundensätze, Steuer-Identifikationsnummern, Exportdaten für Lohnsysteme (DATEV LuG/LODAS, Quick-Lohn, Lexware)
• Qualifikationen und Nachweise: Schulungen, Unterweisungen (z. B. SSM), PSA-Ausgaben, Bewertungen
• Dokumentationsdaten: Berichte, Bautagebücher, Fotos, Unterschriften, Protokolle, Pläne
• Unterkunfts-Daten bei Nutzung des Unterkunfts-Moduls: Belegung (wer wohnt wo), Mietunterlagen
• Abrechnungsdaten: Rechnungs- und Angebotsdaten mit Ansprechpartnern der Geschäftspartner, Eingangsrechnungs-Belege

§ 3 Weisungsrecht des Kunden

Der Auftragsverarbeiter verarbeitet die Daten ausschließlich auf dokumentierte Weisung des Kunden; die Nutzung der Software-Funktionen durch den Kunden gilt als Weisung. Weitere Weisungen bedürfen der Textform. Dies gilt auch für die Übermittlung personenbezogener Daten in ein Drittland oder an eine internationale Organisation, sofern nicht das Recht der Union oder eines Mitgliedstaats den Auftragsverarbeiter zu einer Verarbeitung verpflichtet; in einem solchen Fall teilt der Auftragsverarbeiter dem Kunden diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht eine solche Mitteilung nicht wegen eines wichtigen öffentlichen Interesses verbietet. Die in § 6 genannten Drittlandbezüge gelten als vom Kunden gebilligt. Hält der Auftragsverarbeiter eine Weisung für rechtswidrig, informiert er den Kunden unverzüglich; er darf die Ausführung bis zur Klärung aussetzen.

§ 4 Vertraulichkeit

Zur Verarbeitung befugt ist derzeit ausschließlich der Inhaber des Auftragsverarbeiters. Werden künftig weitere Personen zur Verarbeitung befugt, werden sie vor Aufnahme ihrer Tätigkeit auf Vertraulichkeit verpflichtet (Art. 28 Abs. 3 lit. b, Art. 29 DSGVO) und erhalten Zugriff nur im erforderlichen Umfang.

§ 5 Technische und organisatorische Maßnahmen (Anlage TOM)

• Verschlüsselung: Übertragung ausschließlich verschlüsselt (TLS); Speicherung verschlüsselt („encryption at rest") beim Datenbank-Anbieter.
• Mandantentrennung: Row-Level-Security auf Datenbankebene — jeder Datensatz ist an die Organisation des Kunden gebunden; Zugriffe anderer Mandanten sind technisch ausgeschlossen.
• Zugriffs- und Rollenkonzept: vier Rollen (Admin/GF, Bauleiter, Polier, Büro); der Kunde konfiguriert die Modul-Rechte je Rolle selbst; die Anwendung verhindert das Entfernen des letzten Administrators einer Organisation.
• Authentifizierung: Passwörter werden ausschließlich als kryptografischer Hash gespeichert; Passwort-Zurücksetzen nur über die beim Konto hinterlegte E-Mail-Adresse.
• Dateispeicher: nicht-öffentlicher Speicher; Dateizugriff ausschließlich über kurzlebige signierte URLs (10–60 Minuten Gültigkeit).
• EU-Datenhaltung: Datenbank und Dateispeicher in der EU-Region Stockholm (Schweden).
• Integrität des Rechnungsarchivs: das GoBD-Rechnungsarchiv ist nur-anfügend (keine Änderungs- oder Löschpfade in der Anwendung); je archivierter Rechnung wird ein SHA-256-Integritätshash gespeichert.
• Datensicherung und Wiederherstellbarkeit: automatisierte Sicherungen auf Ebene des Datenbank-Anbieters; aus den Sicherungen können Datenbank und Dateispeicher nach einem physischen oder technischen Zwischenfall zeitnah wiederhergestellt werden; zusätzlich stehen dem Kunden jederzeit Export-Funktionen zur Verfügung.
• Datenminimierung bei KI-Funktionen: Aufruf nur funktionsbezogen bei aktiver Nutzung; beim Assistenten werden sensible Felder vor der Übermittlung automatisch entfernt; protokolliert werden nur Metadaten (Nutzerkennung, Zeitpunkt, Funktion), keine Inhalte.
• Änderungsprozess: Änderungen an der Software erfolgen ausschließlich über versionierte, nachvollziehbare Deployments.
• Regelmäßige Überprüfung: Wirksamkeit und Angemessenheit der Maßnahmen werden mindestens jährlich sowie anlassbezogen (nach Sicherheitsvorfällen, wesentlichen Änderungen) überprüft, bewertet und fortgeschrieben (Art. 32 Abs. 1 lit. d DSGVO).

Die Maßnahmen werden dem Stand der Technik entsprechend fortgeschrieben; das beschriebene Sicherheitsniveau wird dabei nicht unterschritten.

§ 6 Unterauftragsverarbeiter

Der Kunde genehmigt allgemein den Einsatz folgender Unterauftragsverarbeiter:

Einzelne Karten-, Wetter- und Routing-Funktionen laden Inhalte direkt im Browser des Nutzers von Drittanbietern (siehe Datenschutzerklärung Ziffer 9); diese Anbieter sind keine Unterauftragsverarbeiter, da sie nicht im Auftrag des Auftragsverarbeiters personenbezogene Daten verarbeiten.

Über beabsichtigte Änderungen (Austausch oder Hinzunahme von Unterauftragsverarbeitern) informiert der Auftragsverarbeiter vorab in Textform an die beim Konto hinterlegte E-Mail-Adresse. Der Kunde kann aus wichtigem datenschutzrechtlichem Grund innerhalb von 14 Tagen widersprechen; kommt keine einvernehmliche Lösung zustande, kann der Kunde den Nutzungsvertrag außerordentlich kündigen. Der Auftragsverarbeiter erlegt seinen Unterauftragsverarbeitern im Wege eines Vertrags dieselben Datenschutzpflichten auf, wie sie in diesem Vertrag festgelegt sind, insbesondere hinreichende Garantien für geeignete technische und organisatorische Maßnahmen; kommt ein Unterauftragsverarbeiter seinen Datenschutzpflichten nicht nach, haftet der Auftragsverarbeiter gegenüber dem Kunden für die Einhaltung von dessen Pflichten (Art. 28 Abs. 4 DSGVO).

§ 7 Unterstützung des Kunden

Der Auftragsverarbeiter unterstützt den Kunden bei der Beantwortung von Betroffenenanfragen (Auskunft, Berichtigung, Löschung, Datenübertragbarkeit) durch die entsprechenden Software-Funktionen (Anzeigen, Berichtigen, Löschen, Exportieren) und, soweit erforderlich, durch direkte Mitwirkung. Ebenso unterstützt er den Kunden — unter Berücksichtigung der Art der Verarbeitung und der ihm zur Verfügung stehenden Informationen — bei den Pflichten aus Art. 32 bis 36 DSGVO (Sicherheit, Meldungen, Datenschutz-Folgenabschätzung, Behördenkonsultation). Betroffenenanfragen, die den Auftragsverarbeiter direkt erreichen, leitet er unverzüglich an den Kunden weiter.

§ 8 Meldung von Verletzungen

Verletzungen des Schutzes personenbezogener Daten meldet der Auftragsverarbeiter dem Kunden unverzüglich, spätestens innerhalb von 48 Stunden nach Kenntnis, mit den nach Art. 33 Abs. 3 DSGVO erforderlichen Informationen (soweit verfügbar; Nachlieferung unverzüglich).

§ 9 Löschung und Rückgabe

Nach Beendigung des Nutzungsvertrags gibt der Auftragsverarbeiter nach Wahl des Kunden sämtliche personenbezogenen Daten zurück oder löscht sie. Zur Rückgabe stellt er auf Anforderung innerhalb von 30 Tagen einen Export einschließlich hochgeladener Dateien in gängigen, maschinenlesbaren Formaten bereit (AGB § 9; teilweise über die Export-Funktionen der Software, im Übrigen als zusammengestellter Datenabzug) — ohne zusätzliche Kosten. Anschließend — spätestens 30 Tage nach Beendigung bzw. nach Bereitstellung des Exports — löscht er sämtliche personenbezogenen Daten und bestehende Kopien, soweit keine gesetzliche Aufbewahrungspflicht des Auftragsverarbeiters besteht. Die Löschung wird auf Verlangen in Textform bestätigt. Daten in Sicherungskopien werden mit deren turnusmäßigem Überschreiben gelöscht, spätestens jedoch 90 Tage nach der Löschung im Produktivsystem, und bis dahin nicht wiederhergestellt, außer soweit dies zur Wiederherstellung nach einem technischen Zwischenfall erforderlich ist.

§ 10 Nachweise und Kontrollen

Der Auftragsverarbeiter weist die Einhaltung dieses Vertrags durch geeignete Dokumentation nach (diese TOM-Anlage, Zertifizierungen und Prüfberichte der Unterauftragsverarbeiter, z. B. SOC-2-Berichte). Weitergehende Kontrollen des Kunden — einschließlich Prüfungen vor Ort — erfolgen nach Ankündigung mit angemessener Frist (in der Regel 14 Tage) zu üblichen Geschäftszeiten, höchstens einmal jährlich, sofern kein konkreter Anlass besteht; jede Partei trägt ihre eigenen Kosten.

§ 11 Schlussbestimmungen

In datenschutzrechtlichen Fragen geht dieser AVV den AGB vor. Es gilt deutsches Recht. Für den Gerichtsstand gilt AGB § 15.