Dieses Muster können Sie prüfen, ausdrucken und als PDF speichern. Der unterzeichnete Vertrag wird vor der Verarbeitung von Objekt- und Nutzerdaten geschlossen.
Dieser Auftragsverarbeitungsvertrag (AVV) nach Art. 28 DSGVO gilt zwischen dem Kunden (Verantwortlicher) und der runnable GmbH, Brühlstr. 18, 72116 Mössingen (Auftragsverarbeiter), sobald der Kunde Bauplex nutzt. Dieses Dokument ist das Muster, das vor Vertragsschluss zur Prüfung bereitsteht und mit dem Hauptvertrag gilt.
Gegenstand ist die Verarbeitung personenbezogener Daten im Auftrag des Kunden beim Betrieb der Software Bauplex (Vergabe, Akte, Kommunikation, Exporte). Die Dauer entspricht der Laufzeit des Hauptvertrags zuzüglich gesetzlicher Aufbewahrungsfristen, soweit der Kunde Daten nicht früher löschen lässt.
Verarbeitet werden Stammdaten von Nutzern (Name, E-Mail, Telefon, Rolle, Firma), Objektdaten, Angebots- und Auftragsinhalte, Dokumente und Fotos, Protokolle, Kommunikationsinhalte sowie technische Nutzungsdaten (IP-Adresse, Logdaten) zur Sicherheit.
Betroffene sind Mitarbeiter des Kunden, Eigentümer und Beiräte soweit der Kunde sie anlegt, Ansprechpartner von Handwerksbetrieben sowie sonstige vom Kunden eingetragene Dritte.
Der Auftragsverarbeiter verarbeitet Daten nur auf dokumentierte Weisung des Kunden, einschließlich in Bezug auf Drittlandübermittlungen, es sei denn, das Unionsrecht oder das Recht eines Mitgliedstaats verpflichtet ihn dazu. Der Kunde ist für die Rechtmäßigkeit der Verarbeitung und die Information Betroffener verantwortlich.
Transportverschlüsselung (HTTPS/TLS), rollenbasierte Zugriffskontrolle, Protokollierung von Freigaben, Passwort-Hashing, Zugriff auf Produktionssysteme nur durch autorisiertes Personal, getrennte Umgebungen. Anwendung und Datenbank: Server der Strato AG in Deutschland. Dokumente und Fotos: Microsoft Azure Blob Storage, Region Westeuropa (Niederlande), nicht öffentlich, Auslieferung über kurzlebige signierte Links.
Der Kunde genehmigt folgende Unterauftragsverarbeiter: Strato AG, Berlin (Hosting von Anwendung und Datenbank); Microsoft Ireland Operations Limited, Dublin (Azure Blob Storage in der Region Westeuropa / Niederlande; Azure OpenAI für die Auswertung von Projekttexten, Angebots-PDFs und Fotos; Azure AI Content Safety; Azure Application Insights).
Die KI-Modelle von Azure OpenAI laufen derzeit nicht durchgängig in einer EU-Region; die Umstellung auf eine EU-Region ist in Arbeit. Zweck, Dienst und Region werden vor Vertragsschluss ausgewiesen. Weitere Unterauftragsverarbeiter nur mit vorheriger Information und Widerspruchsrecht des Kunden (Art. 28 Abs. 2 DSGVO).
Der Auftragsverarbeiter unterstützt den Kunden bei Betroffenenrechten, Datenschutz-Folgenabschätzungen und Meldungen nach Art. 33, 34 DSGVO im Rahmen des Zumutbaren.
Nach Ende der Verarbeitung löscht oder zurückgibt der Auftragsverarbeiter personenbezogene Daten nach Wahl des Kunden, soweit keine gesetzliche Aufbewahrungspflicht entgegensteht. Demo-Testdaten (@test.de) werden nach 24 Stunden gelöscht. Der Kunde erhält auf Anfrage die Informationen, die den Nachweis der Einhaltung dieses Vertrags ermöglichen, und gestattet angemessene Audits nach Vorankündigung.
Es gilt deutsches Recht. Änderungen bedürfen der Textform. Die Datenschutzerklärung unter /datenschutz ergänzt diesen Vertrag, ersetzt ihn aber nicht.