Auftragsverarbeitungsvertrag (AVV)

Vertragsparteien

Auftragsverarbeiter („Anbieter“): Mithgard.AI, Inh. Nico Kaitinnis, Römerstraße 24, 79541 Lörrach-Brombach, Deutschland. Datenschutz: datenschutz@mithgard.ai

Verantwortlicher („Kunde“): das Unternehmen, das Richtfest nach den AGB nutzt.

§ 1 Gegenstand und Dauer

(1) Der Kunde (Verantwortlicher) nutzt die SaaS-Plattform Richtfest des Anbieters (Auftragsverarbeiter). Soweit der Anbieter dabei personenbezogene Daten im Auftrag des Kunden verarbeitet, gilt dieser Vertrag. Er ergänzt die AGB; bei Widersprüchen zum Datenschutz geht dieser Vertrag vor.

(2) Der Vertrag gilt für die Dauer des Nutzungsvertrags. Pflichten, die über das Vertragsende hinaus wirken (insbesondere § 10), bleiben bestehen, bis sie erfüllt sind.

§ 2 Art, Zweck und Umfang der Verarbeitung

(1) Zweck: Bereitstellung, Betrieb, Sicherung und Support der Plattform für die Betriebsorganisation des Kunden (Baustellen, Aufgaben, Zeiterfassung, Fotos, Berichte, Angebote, Rechnungen, Kundenportal).

(2) Art der Daten: Stammdaten und Kontaktdaten von Mitarbeitern, Kunden und Projektbeteiligten; Arbeitszeit-, Einsatz- und Tätigkeitsdaten; Fotos, Dokumente und Notizen zu Baustellen; Angebots- und Rechnungsdaten; Zugangs- und Protokolldaten der Nutzer.

(3) Betroffene Personen: Beschäftigte des Kunden, Kunden und Auftraggeber des Kunden, Projektbeteiligte (z. B. Subunternehmer, Architekten), Nutzer der Plattform.

(4) Besondere Kategorien von Daten (Art. 9 DSGVO) sind nicht Gegenstand der Plattform. Der Kunde stellt sicher, dass solche Daten nur eingegeben werden, wenn dafür eine Rechtsgrundlage besteht.

§ 3 Weisungen

(1) Der Anbieter verarbeitet die Daten nur auf dokumentierte Weisung des Kunden. Die Bedienung der Plattform durch den Kunden, dieser Vertrag und die AGB sind die Weisungen. Weitere Weisungen erteilt der Kunde in Textform.

(2) Hält der Anbieter eine Weisung für rechtswidrig, weist er den Kunden unverzüglich darauf hin und darf die Ausführung bis zur Klärung aussetzen.

(3) Eine Verarbeitung ohne Weisung erfolgt nur, wenn das Recht der EU oder eines Mitgliedstaats den Anbieter dazu verpflichtet; der Anbieter teilt dies vorher mit, soweit das Recht es nicht verbietet.

§ 4 Vertraulichkeit

Der Anbieter setzt nur Personen ein, die zur Vertraulichkeit verpflichtet sind oder einer gesetzlichen Verschwiegenheitspflicht unterliegen. Der Zugriff auf Kundendaten ist auf das für Betrieb und Support Notwendige beschränkt.

§ 5 Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

(1) Der Anbieter trifft insbesondere folgende Maßnahmen: verschlüsselte Übertragung (HTTPS/TLS); Passwörter nur als Argon2id-Hash; kurzlebige Zugriffstokens; Rate-Limiting und Brute-Force-Schutz; strikte Mandantentrennung auf Datenbankebene (Row-Level-Security); Hosting der Datenbank in der EU; Speicherung von Dateien in einem EU-gebundenen Bucket; regelmäßige Datensicherungen mit geprüfter Wiederherstellung; Protokollierung sicherheitsrelevanter Vorgänge; Rollen- und Rechtekonzept im Kundenkonto.

(2) Die Maßnahmen werden dem Stand der Technik angepasst. Das Schutzniveau darf dabei nicht sinken.

§ 6 Unterauftragsverarbeiter

(1) Der Kunde genehmigt die in der folgenden Liste genannten Unterauftragsverarbeiter. Der Anbieter erlegt jedem Unterauftragsverarbeiter vertraglich dieselben Datenschutzpflichten auf, die in diesem Vertrag festgelegt sind, insbesondere hinreichende Garantien für geeignete technische und organisatorische Maßnahmen (Art. 28 Abs. 4 DSGVO).

(2) Kommt ein Unterauftragsverarbeiter seinen Datenschutzpflichten nicht nach, haftet der Anbieter gegenüber dem Kunden für die Einhaltung dieser Pflichten.

(3) Neue oder geänderte Unterauftragsverarbeiter kündigt der Anbieter mindestens 30 Tage vorher in Textform an. Der Kunde kann aus wichtigem datenschutzrechtlichem Grund widersprechen; kommt keine Einigung zustande, darf er den Vertrag zum Zeitpunkt der Änderung kündigen.

(4) Stripe verarbeitet Zahlungsdaten als eigener Verantwortlicher und ist kein Unterauftragsverarbeiter im Sinne dieses Vertrags.

• Railway Corp., San Francisco, USA: Hosting von API und PostgreSQL-Datenbank. Ort: Region EU West (Amsterdam); Zugriffe aus den USA möglich, abgesichert über EU-Standardvertragsklauseln.
• Cloudflare, Inc., San Francisco, USA: Objektspeicher R2 für Fotos und Dokumente; Bot-Schutz Turnstile. Ort: R2-Bucket mit EU-Jurisdiktion; Turnstile weltweit, abgesichert über EU-Standardvertragsklauseln.
• Vercel, Inc., San Francisco, USA: Hosting der Web-Oberfläche bau.mithgard.ai. Ort: USA und weltweites Edge-Netz, abgesichert über EU-Standardvertragsklauseln.
• Plus Five Five, Inc. (Resend), San Francisco, USA: Versand von System-E-Mails (Einladungen, Codes, Passwort-Zurücksetzen). Ort: USA, abgesichert über EU-Standardvertragsklauseln.

§ 7 Unterstützung des Kunden

(1) Der Anbieter unterstützt den Kunden mit geeigneten Mitteln bei Anfragen betroffener Personen (Art. 12 bis 23 DSGVO), etwa durch Export- und Löschfunktionen. Wendet sich eine betroffene Person direkt an den Anbieter, leitet er die Anfrage an den Kunden weiter.

(2) Der Anbieter unterstützt den Kunden bei Sicherheit, Meldepflichten, Datenschutz-Folgenabschätzung und vorheriger Konsultation (Art. 32 bis 36 DSGVO), soweit ihm Informationen vorliegen.

§ 8 Verletzungen des Schutzes personenbezogener Daten

Der Anbieter meldet dem Kunden eine Verletzung des Schutzes personenbezogener Daten unverzüglich, spätestens 48 Stunden nach Kenntnis, in Textform. Die Meldung enthält, soweit bekannt, Art der Verletzung, betroffene Daten und Personen, wahrscheinliche Folgen und ergriffene Maßnahmen.

§ 9 Nachweise und Kontrollen

Der Anbieter stellt dem Kunden die Informationen zur Verfügung, die zum Nachweis der Pflichten aus Art. 28 DSGVO nötig sind. Der Kunde kann Prüfungen nach angemessener Vorankündigung während der Geschäftszeiten durchführen oder durch einen zur Verschwiegenheit verpflichteten Prüfer durchführen lassen, ohne den Betrieb unzumutbar zu stören.

§ 10 Rückgabe und Löschung

(1) Nach Ende der Leistungen gibt der Anbieter die Daten nach Wahl des Kunden zurück oder löscht sie, sofern nicht eine gesetzliche Pflicht zur Speicherung besteht (Art. 28 Abs. 3 lit. g DSGVO).

(2) Rückgabe: Der Kunde kann seine Daten bis zum Vertragsende über die Exportfunktion abrufen. Ist der Zugang bereits gesperrt, stellt der Anbieter den Export auf Anforderung in Textform innerhalb von 30 Tagen nach Vertragsende bereit.

(3) Löschung: Nicht aufbewahrungspflichtige Daten werden spätestens 30 Tage nach Vertragsende aus den aktiven Systemen gelöscht oder anonymisiert. In Sicherungskopien enthaltene Daten werden mit der turnusmäßigen Überschreibung gelöscht. Muss eine Sicherung zur Wiederherstellung des Betriebs zurückgespielt werden, wendet der Anbieter bereits erfolgte Löschungen unverzüglich erneut an.

(4) Der Anbieter bestätigt die Löschung auf Anforderung in Textform.

§ 11 Abschluss, Haftung und Schlussbestimmungen

(1) Dieser Vertrag wird in Textform geschlossen (Art. 28 Abs. 9 DSGVO), zum Beispiel durch Bestätigung per E-Mail an die Datenschutzadresse des Anbieters oder durch Unterzeichnung einer PDF-Fassung dieser Seite. Der Anbieter verarbeitet Daten im Auftrag erst nach Abschluss.

(2) Für die Haftung gilt Art. 82 DSGVO; im Übrigen gelten die Haftungsregeln der AGB. Es gilt deutsches Recht; Gerichtsstand ist, soweit zulässig, der Sitz des Anbieters.