Diese Vereinbarung wird geschlossen zwischen dem Kunden (Auftraggeber, Verantwortlicher i. S. d. Art. 4 Nr. 7 DS-GVO) und Jon Steinfeld (Einzelunternehmer), Betreiber der Plattform „Archistent“, Hertzstraße 16A, 76187 Karlsruhe (Auftragnehmer, Auftragsverarbeiter i. S. d. Art. 4 Nr. 8 DS-GVO).
Eine ausfüllbare Fassung mit den Angaben Ihres Unternehmens stellen wir auf Anfrage bereit: hello@archistent.com.
Diese Vereinbarung ist eine Anlage zum Vertrag über die Nutzung der SaaS-Plattform „Archistent“. Sie konkretisiert die Verpflichtungen der Parteien zum Datenschutz, die sich aus der im Vertrag beschriebenen Auftragsverarbeitung nach den Vorgaben der Verordnung (EU) 2016/679 (DS-GVO) und des Bundesdatenschutzgesetzes (BDSG) ergeben. Sie findet Anwendung auf alle Tätigkeiten, die zur Erfüllung des Vertrags dienen und bei denen personenbezogene Daten („Daten“) des Auftraggebers durch den Auftragnehmer oder durch von ihm Beauftragte verarbeitet werden. Gegenstand ist die Bereitstellung und der Betrieb des cloudbasierten, nachweissicheren Projektraums „Archistent“ für Bauprojekte.
Aus Anlage 1 zu dieser Vereinbarung sowie aus dem Vertrag ergeben sich Gegenstand des Auftrags, Art und Zweck der Verarbeitung, die Art der verarbeiteten Daten sowie die Kategorien betroffener Personen. Die Laufzeit dieser Vereinbarung richtet sich nach der Laufzeit des Vertrags, sofern sich aus dieser Vereinbarung keine darüber hinausgehenden Verpflichtungen ergeben.
(1) Der Auftragnehmer verarbeitet personenbezogene Daten im Auftrag und nur auf dokumentierte Weisung des Auftraggebers. Der Auftraggeber bleibt für die Beurteilung der Rechtmäßigkeit der Datenweitergabe und der Verarbeitung allein verantwortlich.
(2) Die Weisungen werden anfänglich durch den Vertrag festgelegt und können danach in Textform an den in § 3 Abs. 7 bezeichneten Kontakt geändert werden.
(1) Der Auftragnehmer darf Daten nur im Rahmen des Auftrags und der Weisungen verarbeiten.
(2) Der Auftragnehmer informiert den Auftraggeber, wenn nach seiner Auffassung eine Weisung gegen Datenschutzrecht verstößt.
(3) Der Auftragnehmer trifft technische und organisatorische Maßnahmen (TOM) gemäß Art. 32 DS-GVO; die vereinbarten TOM sind in Anlage 2 beschrieben.
(4) Der Auftragnehmer unterstützt den Auftraggeber nach Möglichkeit mit geeigneten TOM bei der Erfüllung der Rechte betroffener Personen.
(5) Der Auftragnehmer unterstützt den Auftraggeber bei der Einhaltung der Pflichten aus Art. 32–36 DS-GVO. Er stellt sicher, dass mit der Verarbeitung befasste Personen zur Vertraulichkeit verpflichtet sind.
(6) Der Auftragnehmer unterrichtet den Auftraggeber unverzüglich über bekannt gewordene Verletzungen des Schutzes personenbezogener Daten.
(7) Kontakt des Auftragnehmers für Datenschutzfragen: Jon Steinfeld, hello@archistent.com.
(8) Nach Beendigung des Auftrags gibt der Auftragnehmer sämtliche Daten auf Verlangen heraus oder löscht sie, sofern keine gesetzliche Aufbewahrungspflicht besteht. Die reguläre Aufbewahrungsfrist von System-Backups beträgt 7 Tage.
(1) Der Auftraggeber ist für die Rechtmäßigkeit der Verarbeitung und die Wahrung der Rechte betroffener Personen verantwortlich.
(2) Der Auftraggeber benennt einen Kontakt für Datenschutzfragen.
Wendet sich eine betroffene Person an den Auftragnehmer, verweist dieser sie unverzüglich an den Auftraggeber und leitet den Antrag weiter.
(1) Der Auftragnehmer weist die Einhaltung der Pflichten mit geeigneten Mitteln nach, insbesondere die Umsetzung der TOM.
(2) Der Nachweis kann insbesondere erfolgen durch Selbstaudits. Der Auftragnehmer verfügt derzeit über keine eigene Zertifizierung nach ISO 27001 oder BSI C5; das Hosting erfolgt jedoch vollumfänglich in zertifizierten Rechenzentren (Scaleway).
(3) Der Auftraggeber kann die Einhaltung in angemessenen Abständen oder anlassbezogen prüfen. Reguläre Vor-Ort-Inspektionen sind auf eine pro Kalenderjahr beschränkt; jede Partei trägt ihre Kosten.
(1) Die in Anlage 3 aufgeführten Subunternehmer gelten als genehmigt. Der Auftragnehmer trifft mit ihnen Vereinbarungen, die angemessene Datenschutzmaßnahmen gewährleisten.
(2) Der Auftraggeber erteilt eine allgemeine Genehmigung zum Einsatz von Subunternehmern (Art. 28 Abs. 2 S. 1 DS-GVO). Der Auftragnehmer informiert vor Hinzuziehung oder Ersetzung in Textform; der Auftraggeber kann binnen 14 Kalendertagen widersprechen.
(3) Der Auftragnehmer überträgt Subunternehmern dieselben Pflichten und haftet für deren Einhaltung in vollem Umfang.
(1) Die Verarbeitung der Projekt- und Inhaltsdaten erfolgt ausschließlich in Rechenzentren in der Europäischen Union (Frankreich). Eine Übermittlung dieser Daten in Drittländer findet nicht statt.
(2) Für zwei streng begrenzte Hilfsfunktionen setzt der Auftragnehmer Unterauftragsverarbeiter mit Sitz bzw. Konzernobergesellschaft in den USA ein: die technische Fehlerdiagnose (Functional Software, Inc. — „Sentry“, EU-Server) und die Zahlungsabwicklung (Stripe Payments Europe, Ltd., Irland / Stripe, Inc., USA). Diese Übermittlung ist abgesichert durch die Zertifizierung unter dem EU-US Data Privacy Framework sowie ergänzend durch EU-Standardvertragsklauseln.
(3) Umfang der betroffenen Daten: Bei Sentry werden ausschließlich technische Fehlerberichte verarbeitet; bei Stripe ausschließlich Bestands- und Abrechnungsdaten des Kontoinhabers. Projekt- und Inhaltsdaten sind von der Übermittlung strikt ausgeschlossen.
Eine im Vertrag vereinbarte Haftungsregelung gilt auch für diese Vereinbarung. Im Verhältnis zu betroffenen Personen gilt Art. 82 DS-GVO.
Änderungen und Ergänzungen dieser Vereinbarung bedürfen einer Vereinbarung in Textform. Bei Widersprüchen gehen die Regelungen dieser Vereinbarung dem Vertrag vor. Es gilt deutsches Recht.
Gegenstand: Bereitstellung der SaaS-Plattform „Archistent“ inkl. Speicherung, Versionierung, Verteilung von Plänen und Dokumenten sowie revisionssicherer Protokollierung.
Art der verarbeiteten Daten:
Ausdrücklich ausgeschlossen: Audioaufnahmen und Transkripte werden nicht verarbeitet.
Siehe eigene Seite: Technische und organisatorische Maßnahmen (TOMs).
| Unterauftragsverarbeiter | Zweck | Ort / Absicherung |
|---|---|---|
| Scaleway SAS, Paris (FR) | Hosting, Datenbank, Dateispeicher, E-Mail-Versand, KI-Funktionen (Generative APIs, aktiv ab Paket „Pro“) | Frankreich (fr-par) Keine Drittlandübermittlung |
| Host Europe GmbH (DE) | Domain/DNS, E-Mail-Postfächer (Support) | Deutschland (EU) Keine Drittlandübermittlung |
| Functional Software, Inc. (Sentry, USA) | Technische Fehlerdiagnose (keine Inhalte) | EU (Frankfurt) / US-Mutter DPF-zertifiziert + SCCs |
| Stripe Payments Europe, Ltd. (IE) / Stripe, Inc. (USA) | Zahlungsabwicklung, Abo-Verwaltung | EU / US-Mutter DPF-zertifiziert + SCCs |
Allgemeine Geschäftsbedingungen · Technische und organisatorische Maßnahmen · Datenschutzerklärung