Vertrag zur Auftragsverarbeitung

Nach Art. 28 Abs. 3 DSGVO · Fassung 1.0 · Stand 25. August 2026.

Fassung 1.0 · Stand 25.08.2026

Parteien

Verantwortlicher (nachfolgend „Auftraggeber") Der Kunde nach Maßgabe des zwischen den Parteien geschlossenen Hauptvertrages. Firma, Anschrift und Vertreter ergeben sich aus dem Hauptvertrag.

Auftragsverarbeiter (nachfolgend „Auftragnehmer") Julian Schischunas, Einzelunternehmer · LBW digital An der Landwehr 3, 19348 Perleberg, Deutschland E-Mail: info@lbw-digital.de

Datenschutzbeauftragter: Ein Datenschutzbeauftragter ist [nicht bestellt — die Voraussetzungen des § 38 BDSG sind zu prüfen und das Ergebnis hier einzutragen]. Ansprechstelle für Datenschutzfragen ist bis dahin: info@lbw-digital.de.

§ 1 Gegenstand und Dauer

(1) Der Auftragnehmer verarbeitet personenbezogene Daten im Auftrag des Auftraggebers. Gegenstand ist die Erbringung der im Hauptvertrag vereinbarten Leistungen — Einrichtung, betriebsindividueller Zuschnitt, Bereitstellung und Betrieb der Web-Anwendung „LBW digital" sowie deren Pflege und Support.

(2) Der Auftraggeber ist Verantwortlicher im Sinne des Art. 4 Nr. 7 DSGVO. Er entscheidet allein über Zweck und Mittel der Verarbeitung und über die Zulässigkeit der Datenerhebung. Der Auftragnehmer ist Auftragsverarbeiter im Sinne des Art. 4 Nr. 8 DSGVO.

(3) Die Verarbeitung beginnt mit der Freischaltung des Zugangs — bei einer Übernahme von Echtdaten in der Aufbauphase mit deren Übergabe — und endet mit dem Ende des Hauptvertrages. Für Löschung und Rückgabe gilt § 11.

(4) Dieser Vertrag geht dem Hauptvertrag und den Allgemeinen Geschäftsbedingungen in allen datenschutzrechtlichen Fragen vor.

(5) Die Einzelheiten zu Art, Umfang und Zweck der Verarbeitung, zu den Kategorien betroffener Personen und zu den Datenarten stehen in Anlage 1; sie ist Bestandteil dieses Vertrages.

§ 2 Weisungsrecht des Auftraggebers

(1) Der Auftragnehmer verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Auftraggebers (Art. 28 Abs. 3 Satz 2 lit. a DSGVO). Dieser Vertrag nebst Hauptvertrag und Leistungsbeschreibung bildet die erstmalige Weisung.

(2) Einzelweisungen sind in Textform zu erteilen. Mündlich erteilte Weisungen bestätigt der Auftraggeber unverzüglich in Textform. Der Auftragnehmer dokumentiert die Weisungen.

(3) Weisungsberechtigt und weisungsempfangend sind die im Hauptvertrag benannten Ansprechpartner. Änderungen sind unverzüglich in Textform mitzuteilen.

(4) Der Auftragnehmer informiert den Auftraggeber unverzüglich, wenn er der Auffassung ist, dass eine Weisung gegen die DSGVO oder gegen andere Datenschutzvorschriften der Union oder der Mitgliedstaaten verstößt (Art. 28 Abs. 3 Satz 3 DSGVO). Er ist berechtigt, die Ausführung einer solchen Weisung bis zu ihrer Bestätigung oder Änderung auszusetzen.

(5) Verarbeitet der Auftragnehmer Daten aufgrund einer Rechtspflicht nach dem Recht der Union oder eines Mitgliedstaats außerhalb einer Weisung, unterrichtet er den Auftraggeber vor der Verarbeitung, sofern das Recht diese Mitteilung nicht wegen eines wichtigen öffentlichen Interesses verbietet.

(6) Eine Verarbeitung der überlassenen Daten zu eigenen Zwecken des Auftragnehmers findet nicht statt. Zulässig bleibt die Auswertung anonymisierter und aggregierter Daten nach Maßgabe des Hauptvertrages, sofern kein Personenbezug und kein Rückschluss auf den Auftraggeber, seine Beschäftigten, seine Auftraggeber oder seine Geschäftsvorgänge mehr möglich ist.

(7) Eine Nutzung der überlassenen Daten zum Training von Modellen künstlicher Intelligenz findet nicht statt — weder durch den Auftragnehmer noch, nach den vertraglichen Zusicherungen der eingesetzten Anbieter, durch diese. Anlage 4 regelt die Einzelheiten des KI-Einsatzes.

§ 3 Pflichten des Auftragnehmers

(1) Der Auftragnehmer verarbeitet die Daten nur im Rahmen des Auftrags und dieses Vertrages.

(2) Der Auftragnehmer stellt sicher, dass sich die zur Verarbeitung befugten Personen zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen (Art. 28 Abs. 3 Satz 2 lit. b DSGVO). Die Verpflichtung wirkt über das Ende der Tätigkeit hinaus fort.

(3) Der Auftragnehmer ergreift die nach Art. 32 DSGVO erforderlichen technischen und organisatorischen Maßnahmen. Ihr Stand ist in Anlage 2 beschrieben. Der Auftragnehmer darf die Maßnahmen fortentwickeln; das Schutzniveau darf dabei nicht unterschritten werden. Wesentliche Änderungen dokumentiert er und teilt sie dem Auftraggeber auf Verlangen mit.

(4) Der Auftragnehmer führt ein Verzeichnis aller Kategorien von Verarbeitungen nach Art. 30 Abs. 2 DSGVO und stellt dem Auftraggeber die ihn betreffenden Angaben auf Verlangen zur Verfügung.

(5) Der Auftragnehmer benennt eine Ansprechstelle für Datenschutzfragen (siehe Parteien).

(6) Der Auftragnehmer verarbeitet die Daten ausschließlich in Rechenzentren innerhalb der Europäischen Union, soweit sich aus Anlage 3 nichts anderes ergibt.

(7) Der Auftragnehmer berichtigt, löscht oder schränkt die Verarbeitung der Daten nur nach Weisung des Auftraggebers ein. Kann eine betroffene Person diese Rechte innerhalb der Anwendung selbst oder über den Auftraggeber ausüben, gilt das als Weisung.

§ 4 Unterauftragsverarbeiter

(1) Der Auftraggeber erteilt dem Auftragnehmer die allgemeine schriftliche Genehmigung zur Hinzuziehung weiterer Auftragsverarbeiter nach Art. 28 Abs. 2 Satz 1 DSGVO. Die bei Vertragsschluss eingesetzten Unterauftragsverarbeiter sind in Anlage 3 namentlich mit Sitz, Leistung und Rechtsgrundlage einer etwaigen Drittlandsübermittlung aufgeführt und werden hiermit genehmigt.

(2) Der Auftragnehmer unterrichtet den Auftraggeber über beabsichtigte Änderungen in Bezug auf die Hinzuziehung oder Ersetzung eines Unterauftragsverarbeiters mit einer Frist von vier (4) Wochen vor Wirksamwerden in Textform.

(3) Der Auftraggeber kann der Änderung innerhalb von zwei (2) Wochen nach Zugang der Unterrichtung aus einem wichtigen, datenschutzbezogenen Grund in Textform widersprechen. Der Widerspruch ist zu begründen.

(4) Widerspricht der Auftraggeber, suchen die Parteien eine einvernehmliche Lösung. Ist die Leistung ohne den beanstandeten Unterauftragsverarbeiter nicht oder nur mit unverhältnismäßigem Aufwand zu erbringen, ist jede Partei berechtigt, den Hauptvertrag zum Zeitpunkt des beabsichtigten Wirksamwerdens der Änderung zu kündigen. Bereits im Voraus gezahlte Vergütung wird anteilig erstattet.

(5) Der Auftragnehmer verpflichtet jeden Unterauftragsverarbeiter vertraglich zu Datenschutzpflichten, die den Pflichten aus diesem Vertrag entsprechen (Art. 28 Abs. 4 DSGVO). Er prüft vor der Beauftragung und danach in angemessenen Abständen die Einhaltung der technischen und organisatorischen Maßnahmen und dokumentiert die Prüfung.

(6) Kommt ein Unterauftragsverarbeiter seinen Datenschutzpflichten nicht nach, haftet der Auftragnehmer gegenüber dem Auftraggeber für dessen Verhalten wie für eigenes.

(7) Keine Unterauftragsverarbeitung im Sinne dieses Paragraphen sind Nebenleistungen, die der Auftragnehmer bei Dritten in Anspruch nimmt, ohne dass diese bestimmungsgemäß auf personenbezogene Daten des Auftraggebers zugreifen — etwa Telekommunikationsdienste, Post, Wartung von Endgeräten oder Entsorgung. Der Auftragnehmer trifft auch insoweit angemessene Vorkehrungen zur Sicherung der Daten.

§ 5 Unterstützung bei Betroffenenrechten

(1) Wendet sich eine betroffene Person mit einem Auskunfts-, Berichtigungs-, Löschungs-, Einschränkungs-, Übertragbarkeits- oder Widerspruchsbegehren unmittelbar an den Auftragnehmer, so beantwortet dieser das Begehren nicht selbst, sondern leitet es unverzüglich, spätestens innerhalb von drei (3) Werktagen, an den Auftraggeber weiter.

(2) Der Auftragnehmer unterstützt den Auftraggeber nach Möglichkeit mit geeigneten technischen und organisatorischen Maßnahmen dabei, seiner Pflicht zur Beantwortung von Anträgen betroffener Personen nachzukommen (Art. 28 Abs. 3 Satz 2 lit. e DSGVO).

(3) Die Anwendung bietet dem Auftraggeber Funktionen zur Auskunft, Berichtigung und Löschung sowie zum Export der Daten in einem gängigen, maschinenlesbaren Format. Soweit der Auftraggeber ein Begehren damit selbst erfüllen kann, ist die Unterstützung des Auftragnehmers unentgeltlich mit der Bereitstellung dieser Funktionen erbracht.

(4) Für eine darüber hinausgehende Unterstützung, die der Auftragnehmer nicht zu vertreten hat, kann er eine Vergütung nach den vereinbarten Sätzen verlangen; er weist vor Beginn darauf hin.

§ 6 Meldung von Verletzungen des Schutzes personenbezogener Daten

(1) Der Auftragnehmer meldet dem Auftraggeber jede ihm bekannt gewordene Verletzung des Schutzes personenbezogener Daten (Art. 4 Nr. 12 DSGVO) im Verantwortungsbereich des Auftragnehmers oder eines Unterauftragsverarbeiters unverzüglich, spätestens innerhalb von vierundzwanzig (24) Stunden nach Kenntniserlangung (Art. 33 Abs. 2 DSGVO).

(2) Die Meldung enthält, soweit bekannt: die Art der Verletzung, die betroffenen Kategorien und die ungefähre Zahl betroffener Personen und Datensätze, die wahrscheinlichen Folgen, die ergriffenen und vorgeschlagenen Maßnahmen sowie eine Ansprechstelle. Fehlende Angaben reicht der Auftragnehmer unverzüglich nach; die Erstmeldung wird dadurch nicht verzögert.

(3) Der Auftragnehmer ergreift unverzüglich die erforderlichen Maßnahmen zur Sicherung der Daten und zur Minderung möglicher nachteiliger Folgen und dokumentiert den Vorfall.

(4) Meldungen an die Aufsichtsbehörde (Art. 33 DSGVO) und Benachrichtigungen der betroffenen Personen (Art. 34 DSGVO) obliegen allein dem Auftraggeber. Der Auftragnehmer nimmt sie nicht vor; er unterstützt den Auftraggeber dabei.

(5) Der Auftragnehmer unterstützt den Auftraggeber ferner bei der Einhaltung der Art. 32 bis 36 DSGVO, insbesondere bei einer Datenschutz-Folgenabschätzung und einer vorherigen Konsultation (Art. 28 Abs. 3 Satz 2 lit. f DSGVO), unter Berücksichtigung der Art der Verarbeitung und der ihm zur Verfügung stehenden Informationen.

§ 7 Nachweise und Kontrollrechte

(1) Der Auftragnehmer stellt dem Auftraggeber alle Informationen zur Verfügung, die zum Nachweis der Einhaltung der Pflichten aus Art. 28 DSGVO erforderlich sind, und ermöglicht Überprüfungen einschließlich Inspektionen (Art. 28 Abs. 3 Satz 2 lit. h DSGVO).

(2) Der Nachweis kann geführt werden durch die Vorlage der Beschreibung der technischen und organisatorischen Maßnahmen (Anlage 2), durch aktuelle Testate, Berichte oder Berichtsauszüge unabhängiger Stellen, durch eine geeignete Zertifizierung oder durch eine dokumentierte Selbstauskunft.

(3) Reichen diese Nachweise nicht aus, kann der Auftraggeber eine Vor-Ort-Kontrolle während der üblichen Geschäftszeiten durchführen. Sie ist mit einer angemessenen Frist — im Regelfall zwei (2) Wochen — anzukündigen, darf den Betriebsablauf nicht unangemessen stören und findet höchstens einmal je Kalenderjahr statt. Bei konkreten Anhaltspunkten für einen Verstoß oder auf Verlangen einer Aufsichtsbehörde ist eine Kontrolle jederzeit und ohne diese Beschränkung zulässig.

(4) Der Auftraggeber kann die Kontrolle durch einen zur Verschwiegenheit verpflichteten Sachverständigen durchführen lassen. Der Auftragnehmer kann einen Sachverständigen ablehnen, der Wettbewerber ist.

(5) Die Kosten einer regelmäßigen Kontrolle nach Absatz 3 Satz 1 trägt der Auftraggeber; den eigenen Aufwand trägt jede Partei selbst. Wird ein erheblicher Verstoß des Auftragnehmers festgestellt, trägt dieser die Kosten der Kontrolle.

(6) Der Auftragnehmer duldet Kontrollen der zuständigen Aufsichtsbehörde und arbeitet mit ihr zusammen (Art. 31 DSGVO). Er unterrichtet den Auftraggeber unverzüglich über Kontrollen und Maßnahmen der Aufsichtsbehörde, soweit sie diesen Auftrag betreffen, sowie über Ermittlungsmaßnahmen und über die Anordnung von Beschlagnahmen, soweit gesetzlich zulässig.

§ 8 Löschung und Rückgabe

(1) Nach Abschluss der Erbringung der Verarbeitungsleistungen löscht der Auftragnehmer alle personenbezogenen Daten oder gibt sie zurück — nach Wahl des Auftraggebers (Art. 28 Abs. 3 Satz 2 lit. g DSGVO). Trifft der Auftraggeber keine Wahl, wird gelöscht.

(2) Der Auftraggeber kann seine Daten während der gesamten Vertragslaufzeit selbst exportieren. Nach Wirksamwerden der Kündigung besteht ein auf den Export beschränkter Zugang für 30 Kalendertage („Exportfenster").

(3) Nach Ablauf des Exportfensters löscht der Auftragnehmer die Daten binnen weiterer 30 Kalendertage aus den produktiven Systemen. Daten in turnusmäßigen Sicherungskopien werden mit Ablauf des jeweiligen Sicherungszyklus gelöscht; bis dahin bleiben sie für die weitere Verwendung gesperrt.

(4) Die Löschung erstreckt sich ausdrücklich auch auf die Dateiablagen (Storage) und die Benutzerkonten (Authentifizierung); sie sind nicht Teil der Datenbanktabellen und werden gesondert gelöscht.

(5) Der Auftragnehmer bestätigt die vollständige Löschung auf Verlangen in Textform.

(6) Von der Löschung ausgenommen sind Daten, zu deren Aufbewahrung der Auftragnehmer gesetzlich verpflichtet ist. Diese Daten werden für die weitere Verwendung gesperrt und nach Wegfall der Aufbewahrungspflicht gelöscht.

(7) Die Dokumentation, die dem Nachweis der auftrags- und ordnungsgemäßen Verarbeitung dient, darf der Auftragnehmer über das Vertragsende hinaus entsprechend den jeweiligen Aufbewahrungsfristen verwahren.

§ 9 Haftung und Schlussbestimmungen

(1) Für die Haftung gilt Art. 82 DSGVO. Die Haftungsregelung des Hauptvertrages bleibt im Verhältnis der Parteien untereinander unberührt, soweit Art. 82 DSGVO dem nicht entgegensteht.

(2) Der Auftraggeber ist für die Zulässigkeit der Verarbeitung und für die Wahrung der Rechte betroffener Personen verantwortlich, insbesondere für das Bestehen einer Rechtsgrundlage, für die Erfüllung der Informationspflichten und, soweit erforderlich, für die Einholung und den Nachweis von Einwilligungen und die Beteiligung eines Betriebsrats.

(3) Änderungen und Ergänzungen dieses Vertrages und seiner Anlagen bedürfen der Textform. Dies gilt auch für die Änderung dieser Klausel.

(4) Sollte eine Bestimmung unwirksam sein, bleibt die Wirksamkeit der übrigen unberührt. An die Stelle der unwirksamen Bestimmung treten die gesetzlichen Vorschriften.

(5) Es gilt deutsches Recht. Für den Gerichtsstand gilt die Regelung des Hauptvertrages.

Anlage 1 — Gegenstand, Art, Zweck, betroffene Personen und Datenarten

Diese Anlage ist aus dem Datenmodell der Anwendung hergeleitet (Stand der Migrationsdateien vom 25.08.2026), nicht aus einer Vorlage. Sie ist zu aktualisieren, sobald neue Module oder Datenfelder in Betrieb gehen.

1.1 Gegenstand und Dauer

Bereitstellung und Betrieb der Web-Anwendung „LBW digital" für den Geschäftsbetrieb des Auftraggebers, einschließlich Einrichtung, betriebsindividuellem Zuschnitt, Pflege und Support. Dauer: Laufzeit des Hauptvertrages zuzüglich der Fristen nach § 8.

1.2 Art der Verarbeitung

Erheben, Erfassen, Organisieren, Ordnen, Speichern, Anpassen, Auslesen, Abfragen, Verwenden, Offenlegen durch Übermittlung an vom Auftraggeber bestimmte Empfänger, Abgleichen, Verknüpfen, Einschränken, Löschen und Vernichten — jeweils in automatisierter Form innerhalb der Anwendung.

1.3 Zweck der Verarbeitung

Abbildung der betrieblichen Abläufe des Auftraggebers: Projekt- und Baustellenverwaltung, Leistungsverzeichnisse, Aufmaß und Mengenermittlung, Leistungserfassung und Bautagesberichte, Abrechnung und Rechnungsstellung, Einsatz- und Tagesplanung, Fuhrpark- und Geräteverwaltung, Zeiterfassung und Abwesenheiten, Qualifikations- und Fahrerlaubnisnachweise, Gefährdungsbeurteilung und Arbeitsschutz, Pflegeplanung, Dokumenten- und Bauakte, Benutzer- und Rechteverwaltung.

1.4 Kategorien betroffener Personen

1.5 Kategorien personenbezogener Daten

1.6 Besondere Kategorien personenbezogener Daten — Art. 9 DSGVO

Die Anwendung verarbeitet Gesundheitsdaten. Sie bedürfen einer eigenen Rechtsgrundlage und eines erhöhten Schutzniveaus.

Umgesetzte Schutzmaßnahmen:

• Der Zugriff auf die Gesundheitsdatentabelle ist auf die Personalstelle und die betroffene Person selbst beschränkt; diese Stufe ist enger als das allgemeine Verwaltungsrecht und schließt die Bauleitung aus.
• Der Krankheitsgrund wird für alle außer der Personalstelle zu „abwesend"; die Planung sieht die Sperre, nicht den Grund.
• Der Widerruf der Einwilligung führt zum Löschen des Datensatzes, nicht zum Leeren eines Feldes.
• Der Nachweis-Dateiordner ist mandanten- und personenbezogen abgeschottet.

Nicht in der Anwendung enthalten: arbeitsmedizinische Untersuchungen, Vorsorge- und Eignungsuntersuchungen, Grad der Behinderung, Konfession, Geburtsdatum als eigenes Datenfeld, Notfallkontakt.

1.7 Betroffene Verarbeitung durch die Betreiberseite

Der Auftragnehmer verfügt über eine befristete Support-Zugriffsmöglichkeit auf die Umgebung des Auftraggebers. Sie setzt eine hinterlegte Begründung und ein Ablaufdatum voraus und wird im Prüfpfad festgehalten. Ein dauerhafter Zugriff besteht nicht.

Anlage 2 — Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

Beschrieben ist der im Quelltext belegte Stand vom 25.08.2026. Was nicht umgesetzt ist, steht unter „Offene Punkte" und wird nicht als Maßnahme ausgegeben.

2.1 Vertraulichkeit — Zutritts- und Zugangskontrolle

• Der Betrieb erfolgt in Rechenzentren der eingesetzten Dienstleister (Anlage 3). Zutrittskontrolle, Brandschutz, Stromversorgung und physische Sicherheit werden von diesen gestellt; ihre Nachweise sind Teil der Prüfung nach § 4 Abs. 5.
• Kein eigenes Rechenzentrum und kein eigener Server beim Auftragnehmer.
• Zugang zur Anwendung nur über persönliche, namentlich zugeordnete Benutzerkonten. Ein gemeinsam genutztes Konto ist vertraglich untersagt.
• Anmeldecodes werden nicht im Klartext gespeichert, sondern als Hashwert; Passwörter werden mit einem etablierten Verfahren mit Zufallssalz gehasht.
• Protokollierung fehlgeschlagener Anmeldeversuche mit Zeitpunkt und IP-Adresse. Die Protokolltabelle ist so abgesichert, dass sie ausschließlich vom Server-Anmeldepfad beschrieben und von angemeldeten Nutzern überhaupt nicht gelesen werden kann.
• Ausgeschiedene Beschäftigte verlieren mit dem Setzen des Ausscheidedatums jeden Lesezugriff; die Sperre wirkt zentral in der Zugriffsprüfung, nicht in der Oberfläche.

2.2 Vertraulichkeit — Zugriffskontrolle und Mandantentrennung

Mandantentrennung. Jeder Auftraggeber ist ein eigener Mandant. Die Trennung ist dreifach abgesichert: 1. Row Level Security ist auf nahezu allen Fachtabellen aktiviert; jede Regel prüft die Mandantenkennung der Sitzung. 2. Die Mandantenkennung wird beim Einfügen serverseitig gesetzt und nicht aus Formulardaten übernommen. 3. Ein zusätzlicher Wächter bricht jeden Schreibvorgang mit fremder Mandantenkennung mit einem Berechtigungsfehler ab.

Die Mandantenkennung stammt aus dem signierten Anmeldezeichen und wird gegen den Mandantenstatus und die aktive, nicht ausgeschiedene Zugehörigkeit der Person geprüft.

Rollen- und Rechtekonzept. Fünf Rollen (Geschäftsführung, Büro, Bauleitung, Vorarbeiter, Mitarbeiter). Rechte werden nicht in der Oberfläche, sondern in der Datenbank geprüft: eine zentrale Rechtefunktion wird in den Zugriffsregeln selbst ausgewertet. Einzelne Rechte (Aufmaß, Preise sehen) sind je Person zuschaltbar.

Besonders geschützte Bereiche:

• Gesundheitsdaten: nur Personalstelle und betroffene Person (Abschnitt 1.6).
• Preise: Feldpersonal sieht keine Einheitspreise. Das ist spaltenweise in der Datenbank entzogen, keine ausgeblendete Bildschirmspalte.
• Nachweisdateien (Führerschein, Qualifikation): Ordnerzugriff nur für die Personalstelle und die betroffene Person selbst.
• Änderungen an Anmeldekennung, E-Mail und Kontoverknüpfung sind angemeldeten Nutzern spaltenweise entzogen.

Dateiablagen. Alle Ablagen sind nicht öffentlich; der Zugriff wird über mandanten- und ordnerbezogene Regeln gesteuert.

2.3 Integrität — Eingabe- und Weitergabekontrolle

• Übertragung ausschließlich über TLS (HTTPS) zwischen Endgerät, Anwendung und Datenbank.
• Prüfpfad für sicherheitsrelevante Vorgänge: befristeter Support-Zugriff der Betreiberseite, Demozugänge, KI-Aufrufe und abgelehnte KI-Antworten — jeweils mit handelnder Person, Zeitpunkt, Vorgang, IP-Adresse und Browserkennung.
• Fachliches Änderungsprotokoll für Arbeitszeiten mit Vorher- und Nachher-Stand, der ändernden Person und einer Begründung.
• Löschsperren für abrechnungsrelevante Unterlagen: festgeschriebene Rechnungen können nur storniert, nicht gelöscht werden; Projekte und Anlagen mit Aufbewahrungsbezug sind gegen Löschen gesichert.
• Kein Klartext-Freigabelink ohne Frist: Dateifreigaben tragen eine in der Datenbank erzwungene Höchstdauer von 90 Tagen.
• Ausgehende Mails laufen über einen benannten Dienst (Anlage 3).

2.4 Verfügbarkeit und Belastbarkeit

• Betrieb auf einer verwalteten Plattform mit Redundanz auf Speicher- und Datenbankebene durch den Dienstleister (Anlage 3).
• Tägliche Sicherung der Daten mit rollierender Aufbewahrung nach Maßgabe des Hauptvertrages.
• Automatisierte Überwachung der Erreichbarkeit; Wartungsfenster außerhalb der üblichen Arbeitszeiten.

2.5 Verfahren zur regelmäßigen Überprüfung

• Änderungen an der Datenbankstruktur laufen ausschließlich über versionierte, nachvollziehbare Migrationsdateien.
• Automatisierte Tests vor der Auslieferung.
• Die Zugriffsregeln liegen als Quelltext vor und sind damit prüfbar, nicht nur behauptet.

2.6 Datenminimierung und Zweckbindung — belegte Einzelmaßnahmen

• Geburtsdatum, Notfallkontakt und Konfession sind bewusst nicht als Datenfelder aufgenommen.
• Der Krankheitsgrund wird außerhalb der Personalstelle zu „abwesend" verkürzt.
• Beim Einlesen der Zulassungsbescheinigung werden Haltername und Halteranschrift nicht zurückgegeben und nicht gespeichert; das Antwortschema lässt sie nicht zu.
• Die Produktanalytik ist standardmäßig ausgeschaltet; wo sie eingesetzt wird, läuft sie über die europäische Umgebung, ohne automatische Erfassung von Klicks und Formulareingaben und ohne Übermittlung von Namen, Mailadressen oder Beträgen.
• Keine Ortung von Personen. Die Anwendung fragt die Standortfunktion des Geräts nicht ab; Koordinaten sind ausschließlich baustellen- und objektbezogen.

2.7 Offene Punkte — vor Vertragsschluss abzuarbeiten

Diese Punkte sind noch nicht umgesetzt. Sie stehen hier, weil eine Anlage 2, die Maßnahmen behauptet, die es nicht gibt, im Ernstfall schlimmer ist als eine, die die Lücke benennt.

Anlage 3 — Unterauftragsverarbeiter

Stand 25.08.2026. Genehmigt nach § 4 Abs. 1 dieses Vertrages.

3.1 Eingesetzte Unterauftragsverarbeiter

3.2 Dienste, die Daten erhalten, ohne Auftragsverarbeiter zu sein

Diese Dienste erhalten keine personenbezogenen Daten aus dem Bestand des Auftraggebers, wohl aber technische Daten der Endgeräte (insbesondere die IP-Adresse), weil sie zur Laufzeit im Browser angefragt werden. Sie sind hier genannt, damit der Auftraggeber sie in seiner eigenen Datenschutzerklärung abbilden kann.

3.3 Nicht eingesetzt

Sentry, SendGrid, Postmark, eigener Mailversand, OpenAI, Anthropic, Mistral, Mapbox, MapTiler. Eine Anbindung an sevDesk und an Stripe ist vorbereitet, aber nicht umgesetzt; vor ihrer Inbetriebnahme sind sie nach § 4 Abs. 2 anzuzeigen und in diese Anlage aufzunehmen.

Anlage 4 — Einsatz künstlicher Intelligenz

Diese Anlage besteht, weil ein Sprachmodell Inhalte des Auftraggebers verarbeitet. Der Auftraggeber soll wissen, welche — und welche ausdrücklich nicht.

4.1 Eingesetztes Modell

Es wird ein Anbieter eingesetzt: Google (Gemini). Es gibt keinen zweiten Aufrufweg. Der Aufruf erfolgt ausschließlich vom Server des Auftragnehmers, nie vom Endgerät. Die Modelle werden mit fester, nicht zufälliger Einstellung und einem erzwungenen Antwortschema betrieben.

4.2 Wofür das Modell eingesetzt wird — und was es dabei sieht

4.3 Ehrliche Einschränkung zu Dokumenten

Ein hochgeladenes Bild oder PDF geht als Ganzes an den Modellanbieter. Es lässt sich nicht vorab schwärzen. Enthält das Dokument personenbezogene Daten — bei einer Zulassungsbescheinigung etwa Name und Anschrift des Halters —, so werden diese mitübertragen.

Was der Auftragnehmer stattdessen sicherstellt:

• Das Antwortschema für die Zulassungsbescheinigung lässt Halterdaten nicht zu; die Anweisung an das Modell untersagt ihre Rückgabe ausdrücklich, und jede Antwort mit zusätzlichen Feldern wird verworfen. Halterdaten werden daher nicht gespeichert.
• Antworten werden vor der Weiterverarbeitung geprüft und verworfen, wenn sie unter anderem eine Mailadresse, eine Internetadresse oder Markup enthalten.
• Es gilt eine Höchstgröße je Anhang und ein Kontingent je Person und je Betrieb.
• Fehlerantworten des Dienstes werden nicht an den Nutzer durchgereicht.

4.4 Was nicht geschieht

• Kein Training. Die überlassenen Inhalte werden nicht zum Training von Modellen verwendet — weder durch den Auftragnehmer noch nach den vertraglichen Zusicherungen des Anbieters. (Die einschlägige Vertragsfassung des Anbieters ist zu dokumentieren und hier zu benennen: [Fundstelle der Zusicherung].)
• Keine automatisierte Entscheidung im Sinne des Art. 22 DSGVO. Jeder Vorschlag des Modells bleibt ein Vorschlag; die Freigabe erfolgt durch einen Menschen.
• Kein Sprachmodell im Arbeitsschutz. Die Gefährdungsbeurteilung entsteht ausschließlich aus einem festen Regelwerk. Dasselbe Leistungsverzeichnis ergibt zweimal dieselbe Beurteilung.
• Kein Sprachmodell in der Pflegeplanung. Der Jahresplan wird gerechnet, nicht geschätzt.

Fassung 1.0 · Stand 25.08.2026 · Entwurf, keine Rechtsberatung, vor Verwendung anwaltlich prüfen lassen. Anlage 2 Abschnitt 2.7 ist vorher abzuarbeiten.