Vertrag zur Auftragsverarbeitung (AVV) nach Art. 28 DSGVO
zwischen dem Kunden der Software „Flachdach-Kalkulation“ (Verantwortlicher, nachfolgend „Auftraggeber“) und Drilon Celiku, Hauptstr. 46, 88319 Aitrach (Auftragsverarbeiter, nachfolgend „Auftragnehmer“). Dieser Vertrag ist Bestandteil des Nutzungsvertrags (§ 10 der AGB).
1. Gegenstand und Dauer
Der Auftragnehmer verarbeitet personenbezogene Daten im Auftrag des Auftraggebers, um ihm die Software bereitzustellen (Hosting, Speicherung, Berechnung, Erstellung und Versand von Belegen, Datensicherung, Support). Die Dauer entspricht der Laufzeit des Nutzungsvertrags einschließlich der Löschfristen nach Nr. 8.
2. Art der Daten und betroffene Personen
| Betroffene | Daten |
|---|---|
| Kunden und Bauherren des Auftraggebers | Name, Anschrift, E-Mail, Telefon, USt-IdNr./Steuernummer, Bauvorhaben, Inhalte von Angeboten und Rechnungen, Zahlungseingänge; Personenbezug in hochgeladenen Plänen (z. B. Bauherr, Planverfasser) |
| Mitarbeiter des Auftraggebers (Nutzer) | Name, E-Mail, Rolle, Anmeldezeitpunkte, IP-Adresse der laufenden Sitzung |
Besondere Kategorien von Daten (Art. 9 DSGVO) werden nicht verarbeitet.
3. Weisungen
Der Auftragnehmer verarbeitet die Daten nur auf dokumentierte Weisung des Auftraggebers; diese ergibt sich aus dem Nutzungsvertrag und der Bedienung der Software durch den Auftraggeber. Weitere Weisungen erteilt der Auftraggeber in Textform. Hält der Auftragnehmer eine Weisung für rechtswidrig, weist er unverzüglich darauf hin.
4. Vertraulichkeit
Personen, die Zugang zu den Daten haben, sind zur Vertraulichkeit verpflichtet. Der Auftragnehmer greift auf Inhalte des Auftraggebers nur zu, soweit dies für Betrieb, Fehlerbehebung oder Support erforderlich ist.
5. Technische und organisatorische Maßnahmen (Art. 32 DSGVO)
- Betrieb auf einem Server in einem Rechenzentrum in Deutschland (IONOS SE); administrativer Zugriff auf den Server ausschließlich durch den Auftragnehmer.
- Verschlüsselte Übertragung (HTTPS/TLS, HSTS).
- Passwörter nur als Argon2-Hash; Sitzungs-Cookies HttpOnly und Secure; Schutz gegen CSRF; Begrenzung von Anmeldeversuchen.
- Strikte Mandantentrennung: jede Abfrage ist an das Unternehmen des angemeldeten Nutzers gebunden.
- Datenbank ohne Zugang aus dem Internet; Anwendung nur über einen Reverse-Proxy erreichbar.
- Tägliche Datensicherung mit Prüfung der Wiederherstellbarkeit; Aufbewahrung 14 Tage (täglich) und 8 Wochen (wöchentlich).
- Festgeschriebene Belege unveränderbar mit SHA-256-Prüfsumme; Änderungen an Belegen werden protokolliert.
- Keine Zugriffsprotokolle mit IP-Adressen; Sitzungsdaten werden mit Ablauf der Sitzung gelöscht.
6. Unterauftragsverarbeiter
Der Auftraggeber stimmt dem Einsatz folgender Unterauftragsverarbeiter zu:
| Unternehmen | Leistung | Ort |
|---|---|---|
| IONOS SE, Elgendorfer Str. 57, 56410 Montabaur | Server-Hosting | Deutschland |
| Sendinblue SAS (Brevo), 106 boulevard Haussmann, 75008 Paris | Versand von E-Mails (Belege an Kunden des Auftraggebers, Systemnachrichten) | EU |
| Anthropic (Claude API) | nur bei Nutzung der KI-Funktionen: Beantwortung von Fragen zu Plandaten, Symbolerkennung auf ausdrücklich freigegebenen Planbildern | USA; Übermittlung auf Grundlage der EU-Standardvertragsklauseln |
Über beabsichtigte Änderungen informiert der Auftragnehmer mindestens vier Wochen vorher in Textform; der Auftraggeber kann aus wichtigem datenschutzrechtlichem Grund widersprechen und in diesem Fall den Nutzungsvertrag zum Zeitpunkt der Änderung kündigen.
7. Unterstützung des Auftraggebers
Der Auftragnehmer unterstützt den Auftraggeber bei Anfragen betroffener Personen (Art. 15–22 DSGVO), bei der Datenschutz-Folgenabschätzung und bei Meldungen nach Art. 33, 34 DSGVO. Verletzungen des Schutzes personenbezogener Daten meldet er unverzüglich, möglichst innerhalb von 24 Stunden nach Kenntnis.
8. Löschung und Rückgabe
Nach Vertragsende stellt der Auftragnehmer auf Anfrage innerhalb von 30 Tagen einen Export der Daten bereit und löscht sie anschließend. Datensicherungen werden spätestens nach acht Wochen überschrieben. Gesetzliche Aufbewahrungspflichten des Auftraggebers bleiben unberührt (§ 9 der AGB).
9. Nachweise und Kontrollen
Der Auftragnehmer weist die Einhaltung dieses Vertrags auf Anfrage durch geeignete Unterlagen nach. Kontrollen vor Ort sind nach rechtzeitiger Anmeldung zu den üblichen Geschäftszeiten möglich.
10. Schlussbestimmungen
Bei Widersprüchen geht dieser Vertrag den AGB in Fragen des Datenschutzes vor. Es gilt deutsches Recht.
Stand: Oktober 2026