Vertrag zur Auftragsverarbeitung
nach Art. 28 Abs. 3 DSGVO zwischen dem Kunden von AutoAufmass als Verantwortlichem und Schneider Prozessautomatik, Inhaber Dominik Schneider, Freudensprungstraße 27, 93437 Furth im Wald, als Auftragsverarbeiter. Der Vertrag wird mit dem Absenden eines Auftrags über die Website geschlossen; die Bestätigung des Hakens „Ich akzeptiere die AGB und den Vertrag zur Auftragsverarbeitung“ genügt der Textform (Art. 28 Abs. 9 DSGVO).
1. Gegenstand und Dauer
Gegenstand ist die Auswertung von Grundrissen zu Aufmaßberichten (AGB Ziffer 2). Die Verarbeitung dauert vom Auftragseingang bis zur Löschung der Auftragsdaten nach Ziffer 8.
2. Art und Zweck der Verarbeitung, Datenarten, Betroffene
| Zweck | Erstellung des Aufmaßberichts, Zustellung an den Kunden, Abrechnung |
|---|---|
| Datenarten | Grundrisse und darin enthaltene Angaben (ggf. Bauherren- oder Objektadressen, Planverfasser, Projektbezeichnungen); Bemerkungen des Kunden; E-Mail-Adresse des Kunden; technische Daten des Aufrufs (IP-Adresse, Zeitpunkt) |
| Betroffene | Mitarbeiter und Ansprechpartner des Kunden; Bauherren, Eigentümer, Planverfasser und andere Personen, die auf dem Plan genannt sind |
Der Kunde ist gehalten, Namen und Adressen, die für die Auswertung nicht nötig sind, vor dem Hochladen zu entfernen oder zu schwärzen.
3. Weisungen
Der Auftragsverarbeiter verarbeitet die Daten ausschließlich zur Erfüllung des Auftrags und nach den Weisungen des Verantwortlichen. Weisungen ergeben sich aus dem Auftrag und den Bemerkungen; abweichende Weisungen sind in Textform an info@pa-schneider.com zu richten. Hält der Auftragsverarbeiter eine Weisung für rechtswidrig, teilt er dies unverzüglich mit.
4. Unterauftragsverarbeiter
Der Verantwortliche erteilt die allgemeine Genehmigung, die folgenden Unterauftragsverarbeiter einzusetzen:
| Unternehmen | Leistung | Ort der Verarbeitung |
|---|---|---|
| Anthropic, PBC, 548 Market St, San Francisco, CA 94104, USA | Betrieb des KI-Sprachmodells Claude, das den Plan liest, die Messwerkzeuge steuert und den Bericht formuliert. Übermittelt werden der Plan, die Bemerkungen und Zwischenergebnisse der Messung. | USA. Übermittlung auf Grundlage des Data Processing Addendum von Anthropic mit EU-Standardvertragsklauseln [und der Zertifizierung von Anthropic unter dem EU-US Data Privacy Framework — vor Veröffentlichung prüfen]. Nach den Bedingungen von Anthropic für die kommerzielle Schnittstelle werden Inhalte nicht zum Training verwendet und nach spätestens 30 Tagen gelöscht. |
| Oracle Deutschland B.V. & Co. KG [Firmierung prüfen] | Server, auf dem die Website läuft und die Pläne und Berichte gespeichert werden | Frankfurt am Main, Deutschland |
| Google Ireland Ltd. (Google Workspace) | Versand der E-Mails an den Kunden (Eingangsbestätigung, Fertigmeldung). Der Plan selbst wird nicht per E-Mail versendet. | EU; Auftragsverarbeitung nach den Google Workspace Data Processing Terms |
Über den Wechsel oder die Hinzunahme eines Unterauftragsverarbeiters informiert der Auftragsverarbeiter auf dieser Seite mindestens 14 Tage vorab. Der Verantwortliche kann aus wichtigem Grund widersprechen; kommt keine Einigung zustande, kann jede Seite laufende Aufträge beenden.
5. Technische und organisatorische Maßnahmen
- Verschlüsselte Übertragung (TLS) beim Hochladen, beim Abruf des Berichts und zur Schnittstelle von Anthropic.
- Server in Frankfurt am Main mit Zugang nur für den Inhaber, Anmeldung mit Schlüsselverfahren.
- Jeder Auftrag liegt in einem eigenen Verzeichnis; Berichte sind nur über einen zufälligen, nicht erratbaren Link abrufbar.
- Hochgeladene Dateien werden vor der Verarbeitung auf Dateiart, Größe und aktive Inhalte geprüft.
- Kundendaten verlassen das Auftragsverzeichnis nicht; sie werden nicht in Versionsverwaltung, Protokolle oder andere Aufträge übernommen.
- Automatische Löschung nach Ziffer 8.
6. Pflichten des Auftragsverarbeiters
Der Auftragsverarbeiter verpflichtet sich und die von ihm eingesetzten Personen zur Vertraulichkeit; unterstützt den Verantwortlichen bei der Beantwortung von Betroffenenanfragen und bei der Einhaltung der Art. 32 bis 36 DSGVO; meldet Verletzungen des Schutzes personenbezogener Daten unverzüglich, spätestens innerhalb von 48 Stunden nach Kenntnis; und stellt dem Verantwortlichen die zum Nachweis nötigen Informationen zur Verfügung. Kontrollen vor Ort sind nach Ankündigung mit angemessener Frist während der Geschäftszeiten möglich.
7. Pflichten des Verantwortlichen
Der Verantwortliche ist für die Rechtmäßigkeit der Verarbeitung und die Wahrung der Betroffenenrechte verantwortlich. Er stellt sicher, dass er zur Übermittlung der Pläne berechtigt ist, und übermittelt keine besonderen Kategorien personenbezogener Daten (Art. 9 DSGVO).
8. Löschung
Pläne, Bemerkungen, Zwischenergebnisse und Berichte werden 30 Tage nach Bereitstellung des Berichts automatisch gelöscht. Abrechnungsdaten (E-Mail-Adresse, Auftragsnummer, Datum, Betrag) werden nach den handels- und steuerrechtlichen Fristen aufbewahrt. Auf Wunsch des Verantwortlichen erfolgt die Löschung früher, sofern keine Aufbewahrungspflicht entgegensteht.
9. Schlussbestimmungen
Bei Widersprüchen geht dieser Vertrag den AGB vor. Es gilt deutsches Recht.