Auftragsverarbeitungsvertrag (AVV)

Dieser Vertrag konkretisiert die datenschutzrechtlichen Verpflichtungen der Parteien, die sich aus der Nutzung der Software „Baufeder" ergeben. Er gilt für alle Tätigkeiten, bei denen Beschäftigte des Auftragsverarbeiters oder von ihm beauftragte Dritte personenbezogene Daten des Verantwortlichen verarbeiten.

§ 1 Parteien und Rollen

(1) Verantwortlicher im Sinne des Art. 4 Nr. 7 DSGVO ist der Kunde (der Baufeder nutzende Handwerksbetrieb).

(2) Auftragsverarbeiter im Sinne des Art. 4 Nr. 8 DSGVO ist die Bauvia Concept GmbH, Edisonstraße 60, 90431 Nürnberg (nachfolgend „Baufeder").

(3) Dieser Vertrag wird mit Annahme der AGB bei der Registrierung wirksam und besteht für die Dauer des Hauptvertrags.

§ 2 Gegenstand, Art und Zweck der Verarbeitung

(1) Gegenstand ist die Bereitstellung einer webbasierten Software zur Erstellung und Verwaltung von Angeboten, Aufträgen, Rechnungen, Mahnungen, Abnahmeprotokollen und ähnlichen Geschäftsdokumenten.

(2) Die Verarbeitung erfolgt ausschließlich zur Erfüllung des Hauptvertrags und nach dokumentierten Weisungen des Verantwortlichen. Produktivdaten werden vorrangig in Deutschland bzw. der EU verarbeitet. Soweit ein Drittlandbezug besteht, setzt Baufeder geeignete Garantien nach Art. 44 ff. DSGVO ein.

§ 3 Art der Daten und Kategorien betroffener Personen

(1) Kategorien personenbezogener Daten: Stammdaten (Name, Anschrift, Telefon, E-Mail), Vertrags- und Belegdaten, Bankverbindungen, technische Nutzungs- und Sitzungsdaten der Nutzer (z. B. Geräteklasse, Sitzungskennung sowie Login-Zeitpunkt und IP-Adresse zur Absicherung der Anmeldung), ggf. weitere vom Verantwortlichen eingegebene Daten.

(2) Kategorien betroffener Personen: Kunden und Geschäftspartner des Verantwortlichen, Mitarbeiter und Nutzer des Verantwortlichen.

§ 4 Pflichten des Auftragsverarbeiters

(1) Baufeder verarbeitet personenbezogene Daten ausschließlich im Rahmen der Weisungen des Verantwortlichen, es sei denn, eine gesetzliche Verpflichtung besteht.

(2) Baufeder verpflichtet die zur Verarbeitung befugten Personen zur Vertraulichkeit (Art. 28 Abs. 3 lit. b, Art. 29, Art. 32 Abs. 4 DSGVO).

(3) Baufeder trifft die technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO gemäß Anlage 1.

(4) Baufeder unterstützt den Verantwortlichen bei der Beantwortung von Anträgen betroffener Personen (Art. 12–23 DSGVO) sowie bei der Einhaltung der Pflichten nach Art. 32–36 DSGVO.

(5) Baufeder meldet dem Verantwortlichen Verletzungen des Schutzes personenbezogener Daten unverzüglich, spätestens innerhalb von 48 Stunden nach Kenntnis, soweit die Verletzung Daten des Verantwortlichen betrifft.

(6) Baufeder informiert den Verantwortlichen, wenn eine Weisung nach seiner Auffassung gegen datenschutzrechtliche Vorschriften verstößt.

§ 5 Pflichten des Verantwortlichen

(1) Der Verantwortliche ist für die Rechtmäßigkeit der Datenverarbeitung und für die Wahrung der Rechte betroffener Personen allein verantwortlich.

(2) Weisungen erfolgen grundsätzlich in Textform; die Nutzung der Software-Funktionen gilt als laufende Weisung.

§ 6 Unterauftragsverarbeiter

(1) Der Verantwortliche stimmt dem Einsatz der in Anlage 2 genannten Unterauftragsverarbeiter zu.

(2) Baufeder informiert den Verantwortlichen über beabsichtigte Änderungen (Hinzuziehung/Ersetzung) mit angemessener Frist. Der Verantwortliche kann einer Änderung aus wichtigem datenschutzrechtlichem Grund widersprechen.

(3) Baufeder erlegt jedem Unterauftragsverarbeiter dieselben Datenschutzpflichten durch Vertrag auf.

§ 7 Kontrollrechte

(1) Der Verantwortliche hat das Recht, sich von der Einhaltung der getroffenen Maßnahmen zu überzeugen. Baufeder stellt hierfür die erforderlichen Informationen, in der Regel in Form aktueller Nachweise/Zertifikate der eingesetzten Dienstleister, zur Verfügung.

(2) Vor-Ort-Kontrollen sind mit angemessener Vorankündigung und während der üblichen Geschäftszeiten zulässig.

§ 8 Löschung und Rückgabe

(1) Nach Beendigung des Hauptvertrags stellt Baufeder dem Verantwortlichen für 30 Tage einen Datenexport in einem gängigen, maschinenlesbaren Format zur Verfügung.

(2) Danach werden alle im Auftrag verarbeiteten personenbezogenen Daten gelöscht, soweit keine gesetzliche Aufbewahrungspflicht entgegensteht. Gesetzlich aufzubewahrende Daten werden gesperrt und nach Ablauf der Frist gelöscht. Eigene Abrechnungs- und Geschäftsdaten von Baufeder bleiben hiervon unberührt.

§ 9 Haftung

Für die Haftung gelten die Regelungen der AGB sowie Art. 82 DSGVO. Im Außenverhältnis gegenüber betroffenen Personen bleibt die gesetzliche Haftungsverteilung des Art. 82 DSGVO unberührt.

Anlage 1 — Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

• Verschlüsselung: TLS-geschützte HTTPS-Verbindungen; HSTS; automatische HTTPS-Zertifikate; verschlüsselte Sicherungsarchive.
• Pseudonymisierung/Trennung: strikte Mandantentrennung (jeder Datensatz trägt eine Mandantenkennung); logische Trennung von Produktivdaten und zugriffsbeschränktem Backupbereich.
• Zugriffskontrolle: persönliche Benutzerkonten, Passwörter ausschließlich als bcrypt-Hash (Cost-Faktor 12), Zwei-Faktor-Authentifizierung verfügbar, rollenbasierte Rechte.
• Eingabekontrolle: Audit-Log mit Zeitstempel, Benutzer und IP-Adresse für sicherheitsrelevante Vorgänge.
• Verfügbarkeitskontrolle: regelmäßige verschlüsselte Datenbank- und Datei-Sicherungen, Integritäts-/Lesbarkeitsprüfung der Dateiarchive, DDoS-Schutz und dokumentiertes Wiederherstellungsverfahren.
• Serverstandort: Produktivbetrieb vorrangig Deutschland / EU; Drittlandbezüge nur mit geeigneten Garantien nach Art. 44 ff. DSGVO.

Anlage 2 — Genehmigte Unterauftragsverarbeiter

Eine jeweils aktuelle Liste kann unter kontakt@baufeder.de angefordert werden.