Vertrag zur Auftragsverarbeitung

nach Art. 28 DSGVO · Stand: Oktober 2026 · Bestandteil der AGB

1. Gegenstand und Dauer

Der Auftragsverarbeiter (Ayzix IT Solution, Inhaber Sebastian Scherf, Weyroth 96, 55543 Bad Kreuznach) verarbeitet personenbezogene Daten im Auftrag des Kunden (Verantwortlicher) im Rahmen der Bereitstellung der Software plan2angebot. Die Dauer entspricht der Laufzeit des Nutzungsvertrags einschließlich Testphase.

2. Art, Zweck und Betroffene

Zweck: Speicherung und Verarbeitung von Projekt-, Plan- und Angebotsdaten zur Kalkulation und Angebotserstellung, Einsatzplanung.
Datenarten: Namen und Kontaktdaten von Bauherren/Auftraggebern, Baustellenadressen, Inhalte von Bauplänen (inkl. Schriftfeld), Angebotsinhalte, Namen von Mitarbeitern (Benutzer, Einsatzplanung).
Betroffene: Kunden und Interessenten des Verantwortlichen, dessen Beschäftigte, Planverfasser.

3. Weisungen

Der Auftragsverarbeiter verarbeitet die Daten nur auf dokumentierte Weisung des Verantwortlichen; die Weisungen ergeben sich aus dem Nutzungsvertrag und der Nutzung der Software. Hält der Auftragsverarbeiter eine Weisung für rechtswidrig, informiert er den Verantwortlichen unverzüglich.

4. Vertraulichkeit

Personen, die Zugang zu den Daten haben, sind zur Vertraulichkeit verpflichtet. Zugriff auf Kundendaten erfolgt nur, soweit es für Betrieb, Fehlerbehebung oder Support erforderlich ist.

5. Technische und organisatorische Maßnahmen

• Hosting in zertifizierten Rechenzentren in Deutschland (Hetzner Online GmbH)
• Verschlüsselte Übertragung (TLS) für alle Verbindungen
• Getrennte Datenbank je Kunde (Mandantentrennung)
• Passwörter nur als Hash (scrypt), Sitzungen serverseitig, Schutz gegen Anmeldeversuche durch Ratenbegrenzung
• Rollen- und Rechtekonzept (Administrator/Mitarbeiter), Protokollierung wesentlicher Aktionen
• Tägliche Datensicherung mit 14 Tagen Aufbewahrung
• Dienste laufen mit eigenen, eingeschränkten Systembenutzern; Server-Firewall

6. Unterauftragsverarbeiter

Der Verantwortliche genehmigt folgende Unterauftragsverarbeiter:

• Hetzner Online GmbH, Gunzenhausen (Deutschland) – Server-Hosting
• Anthropic PBC, San Francisco (USA) – KI-Auswertung von Plänen und Preisrecherche; Übermittlung auf Grundlage von Standardvertragsklauseln bzw. EU-US Data Privacy Framework
• ALL-INKL.COM – Neue Medien Münnich, Friedersdorf (Deutschland) – E-Mail-Versand
• OpenStreetMap Foundation (Vereinigtes Königreich) / project-osrm.org – Adresssuche und Fahrstrecken (nur Adressdaten)

Über beabsichtigte Änderungen informiert der Auftragsverarbeiter vorab in Textform; der Verantwortliche kann aus wichtigem datenschutzrechtlichem Grund widersprechen.

7. Unterstützung und Meldepflichten

Der Auftragsverarbeiter unterstützt den Verantwortlichen bei Anfragen Betroffener, bei Datenschutz-Folgenabschätzungen und meldet Verletzungen des Schutzes personenbezogener Daten unverzüglich, möglichst innerhalb von 24 Stunden nach Kenntnis.

8. Löschung und Rückgabe

Nach Vertragsende werden die Daten nach 30 Tagen gelöscht, sofern keine gesetzliche Aufbewahrungspflicht besteht. Auf Wunsch stellt der Auftragsverarbeiter dem Verantwortlichen die Daten vorher in einem gängigen Format bereit.

9. Kontrollen

Der Verantwortliche kann sich nach rechtzeitiger Anmeldung von der Einhaltung der Pflichten überzeugen; vorrangig durch Auskünfte und Nachweise des Auftragsverarbeiters.