AUFTRAGSVERARBEITUNGSVERTRAG (AVV) gemäß Art. 28 DSGVO

Stand: 15. September 2026

Präambel

Dieser Auftragsverarbeitungsvertrag einschließlich seiner Anlagen („AVV“) konkretisiert die datenschutzrechtlichen Pflichten der Parteien, soweit Baubeweis personenbezogene Daten im Auftrag eines Geschäftskunden verarbeitet.

Er gilt ergänzend zum Vertrag über die Nutzung der Baubeweis-Software („Hauptvertrag“). Bei Widersprüchen hinsichtlich der Auftragsverarbeitung geht dieser AVV dem Hauptvertrag vor.

1. Parteien

1.1 Verantwortlicher

Verantwortlicher ist der im Bestell-, Registrierungs- oder Firmenanlageprozess bezeichnete Geschäftskunde von Baubeweis mit den dort hinterlegten Unternehmens- und Kontaktdaten („Kunde“ oder „Verantwortlicher“).

Der Kunde handelt als Verantwortlicher im Sinne von Art. 4 Nr. 7 DSGVO oder – soweit er selbst für einen Dritten als Auftragsverarbeiter tätig ist – als Auftragsverarbeiter.

1.2 Auftragsverarbeiter

Matthias Pötschke, handelnd unter Proof Systems
c/o flexdienst – #22145
Kurt-Schumacher-Straße 74
67663 Kaiserslautern
Deutschland

E-Mail: hallo@baubeweis.com

nachfolgend „Baubeweis“ oder „Auftragsverarbeiter“.

2. Gegenstand und Anwendungsbereich

2.1 Gegenstand der Verarbeitung ist die Bereitstellung der cloudbasierten Software Baubeweis zur digitalen Baustellendokumentation, Berichtserstellung, Kundenbestätigung, Zusammenarbeit innerhalb eines Unternehmens und optionalen Anbindung weiterer Dienste.

2.2 Dieser AVV gilt nur für Verarbeitungsvorgänge, bei denen der Kunde die Zwecke und wesentlichen Mittel der Verarbeitung bestimmt und Baubeweis personenbezogene Daten auf dokumentierte Weisung des Kunden verarbeitet.

2.3 Soweit Baubeweis personenbezogene Daten für eigene Zwecke verarbeitet, insbesondere für Vertragsverwaltung, Abrechnung, Account- und Sicherheitsverwaltung, gesetzliche Pflichten sowie eigene Support- und Geschäftskommunikation, handelt Baubeweis als eigenständiger Verantwortlicher. Diese Verarbeitungen fallen nicht unter diesen AVV.

3. Dauer

3.1 Der AVV beginnt mit seiner wirksamen Einbeziehung in den Hauptvertrag.

3.2 Er gilt für die Dauer des Hauptvertrags und darüber hinaus, solange Baubeweis noch personenbezogene Daten im Auftrag des Kunden verarbeitet.

3.3 Eine Kündigung des Abonnements führt nicht automatisch zur Löschung der Firma oder ihrer Daten. Lösch-, Rückgabe-, Nachweis- und Vertraulichkeitspflichten bestehen nach Vertragsende fort, soweit ihre Natur dies erfordert.

4. Art und Zweck der Verarbeitung

4.1 Die Verarbeitung umfasst je nach Nutzung insbesondere das Erheben, Erfassen, Ordnen, Speichern, Strukturieren, Anzeigen, Abgleichen, Übermitteln, Bereitstellen, Exportieren, Einschränken und Löschen personenbezogener Daten.

4.2 Zwecke sind insbesondere:

• digitale Dokumentation von Baustellen und Bauleistungen;
• Erstellung und Verwaltung von Einträgen, Fotos und Berichten;
• textliche Strukturierung von Spracheingaben;
• Zusammenarbeit von Administratoren und Mitarbeitern einer Firma;
• Erstellung und Versand von Kundenbestätigungen;
• Speicherung von Unterschriften und technischen Bestätigungsnachweisen;
• PDF- und Datenexporte;
• Benachrichtigungen;
• optionale Ablage erzeugter Dokumente im Google-Drive-Konto des Kunden;
• Betrieb, Absicherung, Fehleranalyse und Wiederherstellung der vertragsgemäßen Funktionen.

Die Einzelheiten ergeben sich aus Anlage 1.

5. Weisungen des Kunden

5.1 Baubeweis verarbeitet Auftragsdaten nur im Rahmen des Hauptvertrags, dieses AVV, der vom Kunden vorgenommenen Produkt- und Kontoeinstellungen sowie weiterer dokumentierter Weisungen.

5.2 Als dokumentierte Weisungen gelten auch Einstellungen und Handlungen, die ein berechtigter Administrator des Kunden innerhalb der Software ausführt.

5.3 Zusätzliche Weisungen sollen in Textform an hallo@baubeweis.com übermittelt werden. Verursachen sie einen nachweisbaren zusätzlichen Aufwand, können die Parteien eine angemessene Vergütung vereinbaren.

5.4 Hält Baubeweis eine Weisung für datenschutzrechtswidrig, informiert Baubeweis den Kunden unverzüglich und darf ihre Ausführung aussetzen, bis sie bestätigt, geändert oder rechtlich geklärt wurde.

5.5 Gesetzlich zwingende Verarbeitungen bleiben zulässig. Soweit rechtlich erlaubt, informiert Baubeweis den Kunden vorher über eine solche Verpflichtung.

6. Pflichten des Kunden

6.1 Der Kunde ist insbesondere verantwortlich für:

• die Rechtmäßigkeit der Erhebung und Verarbeitung der eingegebenen Daten;
• die Erfüllung seiner Informationspflichten;
• die Berechtigung zur Erfassung von Mitarbeitern, Kunden, Auftraggebern und sonstigen Personen;
• die Rechtmäßigkeit von Fotos, Signaturen und sonstiger Baustellendokumentation;
• die Vergabe und Prüfung von Benutzerrollen;
• die Richtigkeit und Aktualität der Daten;
• die Entscheidung über Aufbewahrung, Export und Löschung;
• die Zulässigkeit besonderer Kategorien personenbezogener Daten;
• die Geheimhaltung seiner Zugänge und Absicherung der verwendeten Endgeräte.

6.2 Der Kunde informiert Baubeweis unverzüglich, wenn er Fehler, Unregelmäßigkeiten oder eine unzulässige Verarbeitung feststellt.

7. Vertraulichkeit und Personal

7.1 Personen mit Zugriff auf Auftragsdaten werden zur Vertraulichkeit verpflichtet oder unterliegen einer entsprechenden gesetzlichen Verpflichtung.

7.2 Zugriffsberechtigungen werden auf Personen beschränkt, die sie für Betrieb, Wartung, Support, Sicherheit oder die Erfüllung einer dokumentierten Weisung benötigen.

7.3 Die Vertraulichkeitspflicht besteht nach Beendigung der jeweiligen Tätigkeit fort.

8. Sicherheit der Verarbeitung

8.1 Baubeweis trifft die in Anlage 2 beschriebenen technischen und organisatorischen Maßnahmen.

8.2 Die Maßnahmen berücksichtigen Stand der Technik, Implementierungskosten, Art, Umfang, Umstände und Zwecke der Verarbeitung sowie die Eintrittswahrscheinlichkeit und Schwere möglicher Risiken.

8.3 Baubeweis darf Maßnahmen an die technische Entwicklung anpassen, sofern das vereinbarte Schutzniveau nicht wesentlich unterschritten wird.

8.4 Wesentliche Änderungen, die das Schutzniveau beeinträchtigen könnten, werden dem Kunden mitgeteilt.

9. Unterauftragsverarbeiter

9.1 Der Kunde erteilt Baubeweis eine allgemeine Genehmigung zum Einsatz der in Anlage 3 aufgeführten Unterauftragsverarbeiter.

9.2 Baubeweis verpflichtet Unterauftragsverarbeiter vertraglich zu Datenschutzpflichten, die den einschlägigen Pflichten dieses AVV entsprechen.

9.3 Beabsichtigt Baubeweis, einen Unterauftragsverarbeiter hinzuzuziehen oder zu ersetzen, wird der Kunde mit angemessener Vorlaufzeit per E-Mail, In-App-Mitteilung oder einem anderen aktiven elektronischen Kommunikationsweg informiert. Eine aktuelle Liste der eingesetzten Unterauftragsverarbeiter wird dauerhaft abrufbar bereitgestellt.

9.4 Der Kunde kann aus nachvollziehbaren datenschutzrechtlichen Gründen Einwände erheben. Die Parteien bemühen sich um eine sachgerechte Lösung. Ist keine Lösung möglich, kann Baubeweis die betroffene Funktion einstellen oder jede Partei den davon betroffenen Vertragsteil beenden.

9.5 Muss ein Anbieter aus dringenden Sicherheits-, Verfügbarkeits- oder Rechtsgründen kurzfristig ersetzt werden, informiert Baubeweis den Kunden unverzüglich nach der Änderung.

9.6 Baubeweis bleibt gegenüber dem Kunden für die vertragsgemäße Leistung seiner Unterauftragsverarbeiter verantwortlich.

10. Drittlandübermittlungen

10.1 Personenbezogene Daten dürfen außerhalb des Europäischen Wirtschaftsraums nur verarbeitet werden, wenn die Voraussetzungen des Kapitels V DSGVO erfüllt sind.

10.2 Abhängig vom jeweiligen Anbieter stützt Baubeweis Übermittlungen auf einen anwendbaren Angemessenheitsbeschluss, das EU-US Data Privacy Framework, Standardvertragsklauseln der Europäischen Kommission oder andere tatsächlich vereinbarte Mechanismen.

10.3 Die für die eingesetzten Unterauftragsverarbeiter dokumentierten Mechanismen sind in Anlage 3 angegeben. Eine gesonderte Transfer-Folgenabschätzung wird nicht als bereits durchgeführt behauptet.

11. Betroffenenrechte

11.1 Baubeweis unterstützt den Kunden unter Berücksichtigung der Art der Verarbeitung und im technisch möglichen, angemessenen Umfang bei der Bearbeitung von Anträgen betroffener Personen.

11.2 Richtet eine betroffene Person einen Antrag unmittelbar an Baubeweis und betrifft dieser Kundendaten, leitet Baubeweis ihn grundsätzlich an den Kunden weiter und beantwortet ihn nicht eigenmächtig, soweit keine eigene gesetzliche Verpflichtung besteht.

11.3 Der Kunde bleibt für rechtliche Prüfung, Identitätsfeststellung und fristgerechte Beantwortung verantwortlich.

12. Unterstützung nach Art. 32 bis 36 DSGVO

Baubeweis unterstützt den Kunden unter Berücksichtigung der Art der Verarbeitung und der verfügbaren Informationen angemessen bei der Sicherheit der Verarbeitung, Untersuchung von Datenschutzverletzungen, Erfüllung von Melde- und Benachrichtigungspflichten, Datenschutz-Folgenabschätzungen und gegebenenfalls vorherigen Konsultationen mit Aufsichtsbehörden.

13. Datenschutzverletzungen

13.1 Baubeweis informiert den Kunden ohne unangemessene Verzögerung über bekannt gewordene Verletzungen des Schutzes von Auftragsdaten, soweit Baubeweis hierzu verpflichtet ist.

13.2 Baubeweis stellt die verfügbaren relevanten Informationen bereit, insbesondere zu Art und Umfang des Vorfalls, betroffenen Daten und Personen, wahrscheinlichen Folgen sowie getroffenen oder vorgesehenen Maßnahmen. Fehlende Informationen werden nachgereicht, sobald sie vorliegen.

13.3 Baubeweis nimmt keine Meldung im Namen des Kunden an Behörden oder betroffene Personen vor, soweit dies nicht gesetzlich erforderlich oder ausdrücklich angewiesen ist.

14. Löschung und Rückgabe

14.1 Der Kunde kann während der Vertragslaufzeit die vorhandenen Export- und Löschfunktionen nutzen oder Baubeweis entsprechend anweisen. Der Export umfasst die technisch bereitgestellten Datenbereiche und stellt keine Vollständigkeitsgarantie für jeden denkbaren Datentyp dar.

14.2 Nach Ende des Auftrags löscht oder gibt Baubeweis die Auftragsdaten nach Wahl des Kunden zurück, soweit keine gesetzliche Aufbewahrungspflicht entgegensteht.

14.3 Eine ausdrücklich angeforderte Firmen- oder Kontolöschung ist von der bloßen Kündigung eines Abonnements zu unterscheiden. Bei laufender bezahlter Periode kann die Löschung für das Periodenende geplant werden.

14.4 Bei einer wirksamen Firmenlöschung werden die zugehörigen Firmen-, Baustellen- und Storage-Daten im Rahmen des vorhandenen Löschprozesses entfernt. Gesetzlich aufzubewahrende Daten werden auf die erforderliche Verarbeitung beschränkt. Nach ausgeführter Löschung besteht kein Anspruch auf Wiederherstellung.

14.5 Inaktive Sicherungskopien und providerseitige Backups bleiben bis zu ihrer regulären Löschung oder Überschreibung geschützt und werden nicht wieder in den Produktivbetrieb übernommen, soweit dies nicht aufgrund einer rechtmäßigen Wiederherstellungsnotwendigkeit erforderlich ist. Eine bestimmte Backup-Löschfrist wird nicht zugesichert.

14.6 Baubeweis bestätigt eine durchgeführte Löschung auf Anfrage, soweit dies technisch und rechtlich möglich ist.

15. Nachweise und Kontrollen

15.1 Baubeweis stellt dem Kunden die Informationen zur Verfügung, die vernünftigerweise erforderlich sind, um die Einhaltung dieses AVV nachzuweisen.

15.2 Zunächst können geeignete vorhandene Informationen, Sicherheitsbeschreibungen, technische Dokumentationen, Anbieterbescheinigungen und Prüfberichte der Infrastruktur-Anbieter bereitgestellt werden.

15.3 Soweit diese Informationen nicht ausreichen, kann der Kunde selbst oder durch einen zur Vertraulichkeit verpflichteten Prüfer weitere angemessene Kontrollen durchführen. Sie sind mit angemessener Frist anzukündigen, sollen den Betrieb möglichst wenig beeinträchtigen und müssen die Vertraulichkeit, Sicherheit und Daten anderer Kunden schützen.

15.4 Kontrollen sollen grundsätzlich zunächst dokumentenbasiert oder remote erfolgen. Gesetzliche Kontrollrechte von Aufsichtsbehörden bleiben unberührt.

16. Zusammenarbeit mit Aufsichtsbehörden

Baubeweis arbeitet im gesetzlich erforderlichen Umfang mit zuständigen Datenschutzaufsichtsbehörden zusammen und stellt dem Kunden die verfügbaren Informationen zur Auftragsverarbeitung bereit.

17. Kommunikation und Kontaktstellen

Datenschutzrechtliche Weisungen, Vorfallmeldungen und Anfragen sind unverzüglich per E-Mail an hallo@baubeweis.com zu richten.

Der Kunde verwendet die im Bestell- oder Firmenkonto hinterlegten Kontaktdaten als seine Kontaktstelle und hält diese aktuell.

18. Haftung

Die Haftung richtet sich nach Art. 82 DSGVO, den sonstigen zwingenden gesetzlichen Regelungen und ergänzend nach dem Hauptvertrag. Zwingende Rechte betroffener Personen oder Behörden werden nicht eingeschränkt.

19. Vertragsform, Rangfolge und Schlussbestimmungen

19.1 Der AVV kann elektronisch geschlossen und in den Hauptvertrag einbezogen werden.

19.2 Die AGB regeln den allgemeinen SaaS-Vertrag. Bei Widersprüchen hinsichtlich der Auftragsverarbeitung geht dieser AVV vor. Individuelle Vereinbarungen können Vorrang haben.

19.3 Änderungen und Ergänzungen bedürfen mindestens der Textform, soweit keine strengere gesetzliche Form vorgeschrieben ist.

19.4 Sollte eine Bestimmung unwirksam sein, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt. Es gilt deutsches Recht, soweit zwingendes Datenschutzrecht nichts anderes bestimmt.

ANLAGE 1 – BESCHREIBUNG DER VERARBEITUNG

1. Gegenstand und Dauer

Bereitstellung und Betrieb der Baubeweis-Software zur mobilen und webbasierten Baustellen- und Leistungsdokumentation. Die Verarbeitung erfolgt während des Hauptvertrags und bis zur vertrags- und weisungsgemäßen Rückgabe oder Löschung. Eine Abonnementkündigung ist keine automatische Firmenlöschung.

2. Zwecke

• Anlegen und Verwalten von Firmenkonten, Baustellen und Auftraggeberinformationen;
• Verwaltung von Mitarbeitern, Rollen und Einladungen;
• Erstellung, Speicherung und Darstellung von Dokumentationseinträgen, Texttranskripten, Fotos und Vorschaubildern;
• optionale Ermittlung und Zuordnung von Standortdaten zu Fotos und Dokumentationseinträgen;
• Offline-Speicherung und spätere Synchronisation;
• KI-gestützte Strukturierung übermittelter Texttranskripte;
• Erstellung von PDF-Berichten und Datenexporten;
• Versand und Abwicklung digitaler Kundenbestätigungen einschließlich Signaturen;
• Versand technisch erforderlicher E-Mails und Push-Benachrichtigungen;
• optionaler Export erzeugter Berichte in ein vom Kunden autorisiertes Google-Drive-Konto;
• Datensicherung, Fehleranalyse, Zugriffsschutz, Support und Löschung.

3. Verarbeitungsvorgänge

Erheben, Erfassen, Organisieren, Ordnen, Speichern, Anpassen, Auslesen, Abfragen, Verwenden, Übermitteln, Bereitstellen, Einschränken, Exportieren und Löschen.

4. Betroffene Personen

• Inhaber, Administratoren, Mitarbeiter sowie eingeladene oder ehemalige Mitarbeiter des Kunden;
• Auftraggeber, Kunden, Ansprechpartner, Eigentümer, Bauherren, Projektbeteiligte und Lieferanten;
• Personen, die auf Baustellenfotos oder in Dokumentationstexten erscheinen;
• Empfänger von Berichten oder Bestätigungslinks und Personen, die eine Bestätigung abgeben;
• sonstige Personen, deren Daten der Kunde rechtmäßig in der Baustellendokumentation erfasst.

5. Datenkategorien

• Unternehmens-, Stamm-, Kontakt-, Rollen- und Kontostatusdaten;
• Beschäftigten-, Kunden-, Auftraggeber-, Baustellen- und Projektdaten;
• Eintragstitel, Beschreibungen, Zusammenfassungen, Kategorien, Mengen, Autoren- und Bearbeiterzuordnungen;
• Ereignis-, Erfassungs-, Server-, Status- und Synchronisationsinformationen;
• Baustellenfotos, Vorschaubilder, Firmenlogos, Berichte und technische Objektpfade;
• optionale Standortdaten, insbesondere Geokoordinaten;
• Texttranskripte und daraus erzeugte strukturierte Texte; Baubeweis speichert keine Audiodateien der Spracheingabe;
• Versandinformationen, Namen, digitale Signaturen und Status von Kundenbestätigungen;
• IP-Adresse, Geräte-/Browserinformation, Empfängeradresse, Token- und Ablaufdaten bei Kundenbestätigungen;
• Authentifizierungs-, Sitzungs-, Push-, Geräte-, Protokoll-, Fehler- und Sicherheitsdaten;
• OAuth-Token für Google Drive, sofern der Kunde die optionale Integration aktiviert.

6. Besondere Kategorien personenbezogener Daten

Die planmäßige Verarbeitung besonderer Kategorien nach Art. 9 DSGVO ist nicht Zweck von Baubeweis. Solche Daten können beiläufig entstehen, etwa bei der Dokumentation von Verletzungen oder Gesundheitsumständen. Der Kunde darf sie nur mit tragfähiger Rechtsgrundlage und angemessenen Schutzmaßnahmen erfassen.

7. Optionale Plattformfunktionen

Aktiviert ein Administrator Google Drive, weist der Kunde Baubeweis an, erzeugte Dokumente in das autorisierte Google-Konto zu übertragen. Der Scope drive.file beschränkt den Zugriff grundsätzlich auf von Baubeweis erstellte oder ausdrücklich freigegebene Dateien.

Auf Android kann für die PDF-Vorschau eine zeitlich begrenzte URL des vollständigen PDF-Berichts an Google Docs Viewer übergeben werden. Google kann den Bericht dadurch abrufen. Dieser technische Plattformabruf wird nicht als allgemeines Unterauftragsverarbeitungsverhältnis für die zentrale Baubeweis-Datenhaltung eingeordnet.

Abhängig von Gerät und Betriebssystem können Apple oder Google Spracheingaben zur Umwandlung in Text sowie Push-Nachrichten zur Zustellung verarbeiten. Baubeweis speichert keine Audiodatei.

ANLAGE 2 – TECHNISCHE UND ORGANISATORISCHE MASSNAHMEN (TOMs)

1. Zugang, Authentifizierung und Sitzungen

• persönliche Nutzerkonten und passwortloser Login über individuelle Magic Links;
• serverseitige Prüfung von Authentifizierungs- und Sitzungsinformationen;
• rollenbasierte Zugriffe sowie Firmen- und Aktivitätszuordnung;
• Dashboardzugriff für berechtigte Administratoren; Mitarbeiter erhalten keinen regulären Dashboardzugriff.

2. Mandanten- und Berechtigungstrennung

• logische Trennung der Firmen über feste Company-Zuordnungen;
• PostgreSQL Row Level Security für mandantenbezogene Daten;
• Company-, Rollen- und Aktivitätsprüfungen in sicherheitsrelevanten Serverfunktionen;
• beschränkte Ausführungsrechte für privilegierte Datenbankfunktionen;
• deaktivierte oder entfernte Profile verlieren den regulären Firmenzugriff.

3. Medien- und Storage-Schutz

• private Storage-Buckets für Baustellenfotos und Firmenassets;
• mandantenbezogene Lese-, Upload- und Löschberechtigungen;
• interne Storage-Locators und zeitlich begrenzte Signed URLs für geschützte Medien;
• Vorschaubilder zur Reduzierung unnötiger Übertragung großer Originaldateien.

4. Übertragungs- und Geheimnisschutz

• verschlüsselte Web-, App- und API-Kommunikation über HTTPS/TLS, soweit durch die eingesetzten Dienste bereitgestellt;
• privilegierte Datenbankzugänge und Provider-Schlüssel werden serverseitig eingesetzt;
• Service-Role-Schlüssel werden nicht an Mobile- oder Browser-Clients ausgeliefert;
• technische Protokollierung wird auf Betriebs-, Fehler- und Sicherheitszwecke beschränkt.

5. Datenminimierung

• Anthropic erhält für die KI-Strukturierung Texttranskripte, keine Audiodateien und keine Baustellenfotos;
• Baubeweis speichert keine Audiodateien der Spracheingabe;
• Google Drive wird nur nach ausdrücklicher Aktivierung verwendet;
• Kundenbestätigungen speichern die für Nachvollziehbarkeit, Beweissicherung und Ablauf erforderlichen Informationen;
• Öffnungs-, Klick- und transaktionales Tracking durch Resend ist deaktiviert.

6. Lokale Verarbeitung und Offlinebetrieb

• Offline-Daten und Fotos können innerhalb des App-Speicherbereichs des Mobilgeräts liegen;
• Synchronisation erfolgt nach Wiederherstellung der Verbindung;
• der Schutz lokaler Daten hängt zusätzlich von den Sicherheitsmechanismen und Zugriffssperren des Endgeräts ab;
• Baubeweis kann lokale Dateien auf Kundengeräten nicht in jedem Fall unmittelbar serverseitig löschen.

7. Integrität und Nachvollziehbarkeit

• serverseitige Empfangszeitpunkte werden für neue Einträge durch die Datenbank gesetzt und gegen nachträgliche Client-Manipulation geschützt;
• Bestätigungsstatus, Bestätigungszeitpunkt, Signatur und technische Bestätigungsnachweise werden getrennt gespeichert;
• die Empfängeradresse eines Bestätigungslinks wird zum Versandzeitpunkt als Snapshot gespeichert;
• sicherheitsrelevante Änderungen werden in ihrem Umfang kontrolliert und vor dem produktiven Einsatz statisch, lokal oder funktional geprüft.

8. Löschung und Zugriffsbeendigung

• ausdrücklich angeforderte Firmenlöschungen werden über einen serverseitigen Löschprozess verarbeitet;
• ein produktiver, täglich ausgeführter Löschprozess bearbeitet vorgesehene Löschvorgänge;
• Firmenlöschung, Mitarbeiterentfernung und Abonnementkündigung sind technisch getrennte Vorgänge;
• entfernte oder deaktivierte Mitarbeiter verlieren den Zugriff auf Firmendaten;
• externe Verbindungen wie Google Drive können getrennt werden.

9. Verfügbarkeit und Wiederherstellung

• Datenbank, Authentifizierung, Storage und zentrale Backendfunktionen werden über verwaltete Supabase-Infrastruktur betrieben;
• die primäre Supabase-Projektregion ist Frankfurt;
• Verfügbarkeits-, Sicherungs- und Wiederherstellungsmaßnahmen werden ergänzend durch die geltenden Providerleistungen bereitgestellt;
• es werden keine bestimmten RTO-/RPO-Werte und keine eigene ISO-, SOC- oder sonstige Zertifizierung zugesichert.

10. Organisatorische Maßnahmen

• produktive Administratorzugriffe werden auf die für Betrieb und Support erforderlichen Personen beschränkt;
• Provider-Verträge, Unterauftragsverarbeiter und technische Schutzmaßnahmen werden bei wesentlichen Änderungen überprüft;
• Personen mit Zugriff auf Auftragsdaten sind zur Vertraulichkeit verpflichtet oder unterliegen entsprechenden gesetzlichen Pflichten.

ANLAGE 3 – GENEHMIGTE UNTERAUFTRAGSVERARBEITER

Der Kunde erteilt die allgemeine Genehmigung für folgende Unterauftragsverarbeiter, soweit sie im jeweiligen Nutzungsszenario Auftragsdaten verarbeiten:

Apple- und Google-Betriebssystem-, Spracherkennungs- und Push-Plattformen werden nicht pauschal als direkte Unterauftragsverarbeiter von Baubeweis eingeordnet. Google Drive wird nur nach optionaler Autorisierung durch den Kundenadministrator verwendet und ist der vom Kunden gewählte externe Kontodienst. Stripe verarbeitet Zahlungs-, Abrechnungs- und Betrugspräventionsdaten in einer eigenständigen beziehungsweise gemischten datenschutzrechtlichen Rolle und ist kein allgemeiner Unterauftragsverarbeiter für die zentrale Baustellendokumentation.