Auftragsverarbeitung

Für Free und Pro: Schließen Sie die Vereinbarung ab, bevor Sie Kunden- oder Mitarbeiterdaten für Ihr Unternehmen verarbeiten. Der Firmeninhaber kann sie unter Mein Zugang bestätigen und anschließend einschließlich aller Anlagen als PDF herunterladen.

1. Parteien und Abschluss

Auftragsverarbeiter ist Mikel Krasniqi, Höllgehau 10, 86381 Krumbach (Schwaben), Deutschland. Verantwortlicher ist das in der Abschlussbestätigung mit Name, Anschrift und Unternehmensbereich bezeichnete Unternehmen. Dort werden auch vertretungsberechtigte Person, Weisungskontakt, Beginn und diese Vertragsfassung festgehalten.

Diese Vereinbarung einschließlich der folgenden Anlagen regelt die Auftragsverarbeitung nach Art. 28 DSGVO in kostenlosen und kostenpflichtigen Unternehmensbereichen. Der Firmeninhaber bestätigt sie unter „Mein Zugang“ für das dort ausdrücklich bezeichnete Unternehmen und seine Vertretungsberechtigung. Die Bestätigung einschließlich dieser Vertragsfassung steht als PDF zum dauerhaften Speichern bereit. Eine Registrierung oder Tarifbuchung ersetzt diese gesonderte Bestätigung nicht.

2. Gegenstand, Zweck und Dauer

Gegenstand ist die Bereitstellung von Baumiki zur Baustellenorganisation. Verarbeitet werden Daten zur Planung, Dokumentation, Kalkulation und Zusammenarbeit im Unternehmensbereich: Erfassen, Speichern, Ordnen, Berechnen, Anzeigen, Ändern, Bereitstellen zum Download, Sichern und Löschen. Die Verarbeitung erfolgt für die Dauer des Nutzungsverhältnisses und anschließend nur zur vereinbarten Rückgabe beziehungsweise Löschung.

Betroffene Personen sind insbesondere Kunden, Ansprechpartner, Beschäftigte, beauftragte Handwerker und auf Baustellenfotos erkennbare Personen. Datenarten sind Kontakt- und Unternehmensdaten, Baustellenadressen, Aufmaße, Aufgaben, Leistungs- und Preisangaben, Angebote, Tätigkeits- und Zeitangaben, Fotos, Mängelbeschreibungen sowie Ausgaben und Belege. Besondere Kategorien personenbezogener Daten sind nicht vorgesehen und bedürfen einer gesonderten Prüfung.

3. Weisungen und Verantwortung

Das Unternehmen entscheidet über Zwecke, Rechtsgrundlagen und zulässige Inhalte und informiert die betroffenen Personen. Einstellungen und Handlungen berechtigter Nutzer innerhalb der vereinbarten Funktionen gelten als dokumentierte Weisungen. Weitergehende Weisungen werden in Textform an den Betreiber gerichtet; mündliche dringende Weisungen sind nachträglich zu dokumentieren.

Der Auftragsverarbeiter verarbeitet die Daten ausschließlich auf dokumentierte Weisung, einschließlich etwaiger Übermittlungen in Drittländer. Wird eine Verarbeitung durch Unionsrecht oder das Recht eines Mitgliedstaats vorgeschrieben, informiert er das Unternehmen vorab, soweit das betreffende Recht dies nicht verbietet. Er weist unverzüglich auf nach seiner Auffassung rechtswidrige Weisungen hin und setzt die betroffene Verarbeitung bis zur Klärung aus.

4. Vertraulichkeit und Sicherheit

Zugriff erhalten nur Personen, die ihn zur Aufgabenerfüllung benötigen und zur Vertraulichkeit verpflichtet sind oder einer entsprechenden gesetzlichen Pflicht unterliegen. Der Auftragsverarbeiter setzt die in Anlage A beschriebenen Maßnahmen um. Weiterentwicklungen dürfen das vereinbarte Schutzniveau nicht absenken; wesentliche Änderungen werden dokumentiert. Rechteverwaltung und sichere Endgeräte im Unternehmen bleiben Aufgabe des Unternehmens.

5. Weitere Auftragsverarbeiter

Mit Abschluss genehmigt das Unternehmen die in Anlage B benannten Leistungen. Weitere oder ersetzende Auftragsverarbeiter werden vor ihrem Einsatz in Textform mitgeteilt, damit das Unternehmen aus Datenschutzgründen widersprechen kann. Eine ungeklärte Änderung berechtigt nicht zur Weitergabe der betroffenen Daten. Die Parteien vereinbaren gegebenenfalls eine Alternative oder beenden die betroffene Leistung.

Der Auftragsverarbeiter verpflichtet weitere Auftragsverarbeiter zu den einschlägigen Datenschutzpflichten und bleibt gegenüber dem Unternehmen für deren Einhaltung verantwortlich. Drittlandübermittlungen setzen zusätzlich zulässige Garantien nach Kapitel V DSGVO voraus; die Benennung eines Anbieters allein ist keine solche Garantie.

6. Rechte, Vorfälle und Zusammenarbeit

Anfragen betroffener Personen zu Auftragsdaten leitet der Auftragsverarbeiter unverzüglich an das Unternehmen weiter. Er unterstützt dieses unter Berücksichtigung der Art der Verarbeitung bei Auskunft, Berichtigung, Löschung, Einschränkung und Datenübertragbarkeit sowie bei Datenschutz-Folgenabschätzungen und einer erforderlichen Konsultation der Aufsicht.

Verletzungen des Schutzes personenbezogener Daten meldet er dem Unternehmen unverzüglich nach Bekanntwerden. Die Informationen umfassen, soweit bekannt, Art und Umfang, betroffene Daten und Personen, mögliche Folgen, Kontaktstelle und ergriffene oder vorgeschlagene Maßnahmen. Fehlende Angaben werden nachgereicht. Das Unternehmen entscheidet über seine Meldungen an Aufsichtsbehörden und betroffene Personen; der Auftragsverarbeiter unterstützt es dabei.

7. Nachweise und Prüfungen

Der Auftragsverarbeiter stellt erforderliche Informationen zum Nachweis der Pflichten bereit und ermöglicht angemessene Überprüfungen einschließlich Inspektionen durch das Unternehmen oder einen beauftragten Prüfer. Dabei sind die Sicherheit der Systeme sowie Rechte und Daten anderer Unternehmen zu schützen. Gesetzliche Kontroll- und Auskunftsrechte werden nicht eingeschränkt. Eine Zertifizierung der Anwendung wird mit dieser Vereinbarung nicht behauptet.

8. Rückgabe und Löschung

Nach Abschluss der Leistungen werden die Auftragsdaten nach Wahl des Unternehmens zurückgegeben oder gelöscht, einschließlich vorhandener Kopien, sofern keine gesetzliche Pflicht zur Speicherung besteht. Umfang, Format, Berechtigung und Termin werden dokumentiert. Eine Rückgabe erfolgt nur an verifizierte Berechtigte und über einen geschützten Übertragungsweg. Die Löschung umfasst auch ausgelagerte Wiederherstellungskopien.

Einzelne Daten in unveränderlichen Sicherungen bleiben bis zur turnusmäßigen Aussonderung geschützt und werden nicht im laufenden Betrieb verwendet. Die reguläre Aufbewahrung der vom Betreiber erstellten Sicherungen beträgt 14 Tage. Diese Frist beschreibt nicht zusätzliche Sicherungen des Hosting-Anbieters. Bei einer Sicherungsstörung wird die letzte verifizierte Kopie bis zum Vorliegen einer aktuellen Sicherung erhalten; diese Ausnahme wird bei der Behebung berücksichtigt. Bei Wiederherstellung werden zwischenzeitliche Löschungen erneut durchgeführt. Die Durchführung wird dem Unternehmen auf Anfrage bestätigt.

Anbietereigene Sicherungen werden nach den für den jeweiligen Dienst geltenden Sicherungszyklen ersetzt. Einzelne Dateien oder Datensätze können darin nicht gesondert geändert werden. Nach Hostingers veröffentlichter VPS-Regel werden die zwei jüngsten wöchentlichen und bei aktivierter täglicher Sicherung die zwei jüngsten täglichen Kopien vorgehalten; neue Kopien ersetzen die ältesten. Die Löschung wird deshalb für die aktiven Daten und die betroffenen Sicherungen getrennt dokumentiert. Für die Beendigung des Hostinger-Dienstes sieht dessen Datenschutzanhang grundsätzlich eine Löschung nach 30 Tagen vor, vorbehaltlich der jeweiligen Dienstbedingungen und gesetzlicher Pflichten.

Anlage A · Technische und organisatorische Maßnahmen

• Übertragung und Anmeldung: HTTPS, sichere Sitzungscookies, gehashte Passwörter, E-Mail-Verifikation und begrenzte Anmelde- und Wiederherstellungsversuche.
• Unternehmen und Rollen: Serverseitige Prüfung von Unternehmenszugehörigkeit und Berechtigungen bei Zugriffen und Änderungen; getrennte Rechte für Inhaber, Büro und Baustellenteam. Einladungen sind zeitlich begrenzt.
• Dateien und Infrastruktur: Private Uploads werden über berechtigungsgeschützte Routen bereitgestellt. Datenbank und Speicher der Anwendung sind von anderen Anwendungen getrennt; die Datenbank ist nicht öffentlich erreichbar.
• Wiederherstellung: Tägliche verschlüsselte Sicherungen von Datenbank, Dateien und Konfiguration mit regulär 14 Tagen Aufbewahrung. Automatische Übertragung auf einen getrennten Hostinger-Server mit eingeschränktem Upload-Zugang, Integritätsprüfung und Fehlerüberwachung. Der Wiederherstellungsschlüssel liegt getrennt vom Sicherungsserver. Die Wiederherstellung einer ausgelagerten Kopie wurde in einer getrennten Umgebung geprüft. Beide Server nutzen denselben Hosting-Anbieter.
• Betrieb: Zustandsprüfungen für Anwendung, Datenbank, Speicher und Hintergrundprozess; begrenzte Protokollgrößen und 14 Tage Aufbewahrung für Anwendungslogs. Zugriffslogs der Anwendung enthalten keine URLs oder Zugangstoken. Änderungen werden versioniert und automatisiert geprüft.
• Geräteentwürfe: Wiederherstellung von Formularen und Fotos im Browser, getrennt nach Nutzer, Unternehmen und Rolle, mit sieben Tagen Ablaufzeit. Schutz und Verwaltung der Endgeräte liegen beim Unternehmen.

Anlage B · Dienstleister und Verarbeitungsorte

Hostinger International Limited, 61 Lordou Vironos str., 6023 Larnaca, Zypern: Bereitstellung der Hosting-Infrastruktur und des E-Mail-Dienstes. Der Anwendungsserver steht in Frankfurt am Main, Deutschland. Hosting betrifft gespeicherte Anwendungsdaten und Sicherungen; der E-Mail-Dienst verarbeitet Empfänger, Nachrichten und Versandinformationen.

Der getrennte Server für verschlüsselte Baumiki-Sicherungen steht ebenfalls in Frankfurt am Main. Für zusätzliche anbietereigene Sicherungen dieses Hosting-Tarifs weist Hostinger Frankreich aus. Der E-Mail-Versand über Hostinger nutzt MailChannels als nachgelagerten Versanddienst. Daraus lässt sich kein ausschließlicher Speicher- oder Verarbeitungsort für E-Mail und Support ableiten.

Für Hosting, VPS und E-Mail gilt der in die Anbieterbedingungen einbezogene Datenschutzanhang von Hostinger. Dessen Abschnitt 6 verpflichtet Hostinger zur Begrenzung der Zugriffe nachgelagerter Dienstleister, zu entsprechenden Datenschutzverträgen und zur Verantwortung für deren Leistung. Die dortige Anlage 3 führt die von Hostinger eingesetzten Unterauftragnehmer auf; aus der anbieterweiten Liste folgt nicht, dass jeder davon Daten dieses Unternehmensbereichs erhält.

Daten aus Support, E-Mail und nachgelagerten Diensten können auch außerhalb des Europäischen Wirtschaftsraums verarbeitet werden. Hostingers Datenschutzanhang bezieht für Übermittlungen ohne einschlägigen Angemessenheitsbeschluss die EU-Standardvertragsklauseln ein; bei der Weiterverarbeitung unserer Auftragsdaten ist insbesondere Modul 3 (Auftragsverarbeiter an Auftragsverarbeiter) maßgeblich. Die Vertragsunterlagen und Informationen zu den einschlägigen Garantien sind über den Betreiber erhältlich. Eine ausschließliche Verarbeitung sämtlicher Daten in Deutschland oder ein bestimmter weltweiter Standort jedes E-Mail- und Supportvorgangs wird nicht zugesagt.

Der Betreiber verfolgt Änderungen der eingesetzten Dienstleister und berücksichtigt die Informations- und Widerspruchsrechte aus Abschnitt 5. Für Support werden nur die für das konkrete Anliegen erforderlichen Daten weitergegeben. Projektdokumente und Fotos werden nicht allein zur technischen Fehlerbeschreibung an den Anbieter gesendet.

Die lokale Wiederherstellungskopie wird beim Betreiber zugriffsbeschränkt verwahrt; sie wird keinem weiteren Sicherungsdienst überlassen.

Abgrenzung zur Abonnementabrechnung

Der Betreiber wickelt ausdrücklich bestellte Baumiki-Abonnements über Stripe Payments Europe Limited, Irland, und seine eigene WebTakt-/FIRMA-Abrechnung ab. Dies betrifft den Vertrag zwischen dem Unternehmen und dem Betreiber. Baustellenfotos, Aufmaße, Belege und Mitarbeiteraufzeichnungen werden für diese Abonnementzahlung nicht an Stripe übertragen. Zwecke, Empfänger und internationale Verarbeitung der Abrechnungsdaten sind in den Datenschutzhinweisen beschrieben. Diese Informationen bleiben auch bei pausierten Neubuchungen maßgeblich.