Auftragsverarbeitungsvertrag (AVV)
nach Art. 28 DSGVO zwischen dem Kunden („Verantwortlicher“) und Jaden Tomic, handelnd unter Bauterio, Salzstr. 11, 90763 Fürth („Auftragsverarbeiter“). Dieser Vertrag ist Bestandteil der AGB und wird mit deren Annahme geschlossen.
1. Gegenstand und Dauer
Der Auftragsverarbeiter betreibt Bauterio für den Verantwortlichen und verarbeitet dabei personenbezogene Daten in dessen Auftrag. Der AVV gilt, solange der Auftragsverarbeiter Daten des Verantwortlichen verarbeitet.
2. Art, Zweck und Umfang
Zweck ist die Verwaltung von Nachunternehmer-Nachweisen, Baustellenzutritt, Unterweisungen, Bautagebuch und Logistik. Verarbeitet werden Speichern, Anzeigen, Übermitteln per E-Mail und Löschen.
Betroffene Personen
- Benutzer des Verantwortlichen
- Ansprechpartner und Beschäftigte von Nachunternehmern
- Besucher von Baustellen
Datenarten
- Kontakt- und Stammdaten (Name, Firma, E-Mail, Telefon, Anschrift, Personalnummer)
- Geburtsdatum, Staatsangehörigkeit, Beschäftigungsart, Qualifikationen
- Nachweisdokumente und deren Inhalte, z. B. Bescheinigungen, A1-Bescheinigungen, Aufenthalts- und Arbeitserlaubnisse, Unterweisungsnachweise
- Zutritts- und Anwesenheitsdaten (Zeitpunkt, Baustelle, Ergebnis der Prüfung)
- Protokolldaten zu Änderungen und Freigaben
3. Weisungen
Der Auftragsverarbeiter verarbeitet Daten nur auf dokumentierte Weisung des Verantwortlichen; diese ergibt sich aus dem Vertrag und der Nutzung der Software. Hält der Auftragsverarbeiter eine Weisung für rechtswidrig, weist er den Verantwortlichen unverzüglich darauf hin.
4. Vertraulichkeit
Personen, die Zugang zu den Daten haben, sind zur Vertraulichkeit verpflichtet. Der Auftragsverarbeiter greift auf Inhalte nur zu, soweit es für Betrieb, Support auf Anfrage oder Fehlerbehebung erforderlich ist.
5. Technische und organisatorische Maßnahmen
- Verschlüsselte Übertragung (TLS) und verschlüsselte Speicherung bei den Infrastruktur-Anbietern
- Mandantentrennung auf Datenbankebene (Row Level Security) und rollenbasierte Rechte
- Privater Dateispeicher; Zugriff nur über zeitlich begrenzte, signierte Links
- Serverseitige Prüfung hochgeladener Dateien auf Dateistruktur und Schadsoftware im Arbeitsspeicher vor der Annahme (ohne dauerhafte Zwischenspeicherung auf dem Prüfserver)
- Upload-Links mit 256-Bit-Token, nur als Hash gespeichert, befristet und widerrufbar
- Unveränderbares Änderungsprotokoll sowie datensparsames Fehlermonitoring mit automatisierter Entfernung von E-Mail-Adressen, Tokens und Anfrageinhalten vor Versand
- Verfügbarkeit und Datensicherung: redundante Cloud-Speicherinfrastruktur in der EU-Region Frankfurt am Main sowie jederzeitige Exportmöglichkeit für Stammdaten, Nachweise und Berichte durch den Verantwortlichen
6. Unterauftragsverarbeiter
Der Verantwortliche genehmigt folgende Unterauftragsverarbeiter:
| Anbieter | Leistung | Ort der Verarbeitung |
|---|---|---|
| Supabase Pte. Ltd., Singapur | Datenbank, Authentifizierung, Dateispeicher | Frankfurt am Main, Deutschland (EU); EU-Standardvertragsklauseln |
| Vercel Inc., USA | Hosting und Auslieferung der Webanwendung | EU / globales Edge-Netzwerk, USA (EU-US Data Privacy Framework / EU-Standardvertragsklauseln) |
| Plus Five Five, Inc. (Resend), USA | Versand von System- und Benachrichtigungsmails | USA (EU-US Data Privacy Framework / EU-Standardvertragsklauseln) |
| Functional Software, Inc. (Sentry), USA | Technisches Fehlermonitoring (personenbezogene Angaben vorab bereinigt) | Frankfurt am Main, Deutschland (EU); USA (EU-US Data Privacy Framework / EU-Standardvertragsklauseln) |
| Hetzner Online GmbH, Deutschland | Isolierte Schadsoftwareprüfung hochgeladener Dateien im Arbeitsspeicher (ohne dauerhafte Speicherung) | Deutschland (EU) |
Über neue oder geänderte Unterauftragsverarbeiter informiert der Auftragsverarbeiter mindestens vier Wochen vorher in Textform. Der Verantwortliche kann aus wichtigem datenschutzrechtlichem Grund widersprechen; kommt keine Einigung zustande, kann er den Vertrag zum Wirksamwerden der Änderung kündigen.
7. Unterstützung
Der Auftragsverarbeiter unterstützt den Verantwortlichen bei Anfragen betroffener Personen, bei Datenschutz-Folgenabschätzungen und bei Meldungen nach Art. 33 und 34 DSGVO. Verletzungen des Schutzes personenbezogener Daten meldet er unverzüglich, möglichst innerhalb von 48 Stunden nach Kenntnis.
8. Löschung und Rückgabe
Nach Vertragsende kann der Verantwortliche seine Daten exportieren. Anschließend löscht der Auftragsverarbeiter sie gemäß § 7 der AGB, soweit keine gesetzliche Pflicht zur Speicherung besteht.
9. Nachweise und Kontrollen
Der Auftragsverarbeiter weist die Einhaltung seiner Pflichten auf Anfrage nach, etwa durch Auskünfte und Unterlagen seiner Unterauftragsverarbeiter. Vor-Ort-Kontrollen sind nach angemessener Vorankündigung zu üblichen Geschäftszeiten möglich.
Stand: 31.10.2026