Vertrag über die Auftragsverarbeitung (AVV)

Fassung vom 29.09.2026

Nach Art. 28 DSGVO. Der AVV wird mit dem Bestellformular unterschrieben; die Angaben zum Kunden und die Unterschriften stehen in der Unterschriftsfassung.

Anlage 5 der „Allgemeinen Geschäftsbedingungen für die Nutzung von BauDock (Unternehmer)“ (AGB)

Vertragsparteien

Verantwortlicher („Kunde“): der im Bestellformular bezeichnete Vertragspartner von BauDock (Unternehmer i. S. d. § 14 BGB):

Auftragsverarbeiter: Nik Tödter, Einzelunternehmer, handelnd unter der Geschäftsbezeichnung „BauDock“, Heideweg 45, 27299 Langwedel, Deutschland, Telefon +49 176 43752031, E-Mail nik.toedter@baudock.com (im Folgenden „BauDock“ oder „Anbieter“); vertretungsberechtigt: Nik Tödter (Inhaber).

§ 1 Gegenstand, Anwendungsbereich und Verhältnis zu anderen Vereinbarungen

1. 1.BauDock stellt dem Kunden auf Grundlage der Allgemeinen Geschäftsbedingungen für die Nutzung von BauDock (Unternehmer) („AGB“) und des Bestellformulars (zusammen „Hauptvertrag“) die Webanwendung BauDock als Software-as-a-Service bereit („Plattform“). Dabei verarbeitet BauDock personenbezogene Daten, für die der Kunde Verantwortlicher ist, im Auftrag und nach Weisung des Kunden. Dieser Vertrag konkretisiert die datenschutzrechtlichen Pflichten der Parteien hierzu.
2. 2.Gegenstand der Auftragsverarbeitung ist a) beim Kunden mit Bauträger-Lizenz: sämtliche Daten in den Projekträumen des Kunden (alle Daten eines Bauvorhabens einschließlich der Wohnungsmappen der Käufer/Mieter) sowie die unternehmensweiten Bereiche des Kunden (u. a. Finanzübersicht, Personal & Lohn, Baukalkulation, Dokumente & Prüfung, Zugänge & Team, Aktivitäten); b) beim Kunden mit Volllizenz (Handwerk, Bauleitungsbüro, Planungsbüro): sämtliche Daten im Betriebsbereich des Kunden (die eigenen Daten des Kunden, u. a. Kunden, Aufträge, Angebote/Rechnungen, Personal & Lohn, Arbeitszeiterfassung, Mitarbeiter-Zugänge, Belege) sowie in Projekträumen, deren Inhaber der Kunde ist (§ 3 Abs. 5).
3. 3.Nicht Gegenstand dieses Vertrags sind die in § 12 abschließend genannten Verarbeitungen zu eigenen Zwecken von BauDock; insoweit ist BauDock selbst Verantwortlicher und informiert nach Art. 13/14 DSGVO in der Datenschutzerklärung von BauDock (Website und Plattform).
4. 4.Dieser Vertrag geht bei Widersprüchen dem Hauptvertrag vor, soweit es um den Schutz personenbezogener Daten geht. Im Übrigen bleibt der Hauptvertrag unberührt. Anlagen sind Vertragsbestandteil.
5. 5.Begriffe werden wie in der DSGVO und im Hauptvertrag verwendet. Einheitliche Begriffe: „Plattform“, „Kunde“, „Nutzer“, „Interner Nutzer“, „Projektzugang“, „Eingeladene Firma“, „Mitarbeiter-Zugang“, „Käufer/Mieter“, „Wohnungsmappe“, „Projektraum“, „Betriebsbereich“, „Kundendaten“, „Aktivitäten“, „KI-Funktionen“.

§ 2 Art, Zweck und Dauer der Verarbeitung; Kategorien von Daten und betroffenen Personen

1. 1.Art der Verarbeitung: Erheben (durch Eingabe und Hochladen der Nutzer), Speichern, Ordnen, Anpassen, Auslesen, Abfragen, Anzeigen, Bereitstellen und Übermitteln an die Personen innerhalb der Plattform, denen der Kunde bzw. dessen Nutzer namentlich Zugriff erteilt haben, Erzeugen von Dokumenten (PDF, E-Rechnung, Exporte), Versand von E-Mail-Benachrichtigungen, Protokollieren (Aktivitäten), Einschränken, Löschen und Vernichten; bei Nutzung der KI-Funktionen die Übermittlung der Eingaben an den KI-Anbieter und die Rückgabe von Entwürfen.
2. 2.Zweck der Verarbeitung: Bereitstellung, Betrieb, Sicherung, Wartung und Weiterentwicklung der Plattform-Funktionen, die der Kunde gemäß Hauptvertrag nutzt, insbesondere Projektsteuerung, Bauleitung, Planung, Dokumentation, Kommunikation zwischen Projektbeteiligten, kaufmännische Abwicklung, Arbeitszeiterfassung und Lohnvorbereitung, Ablage auf Papier unterschriebener Dokumente, Wohnungsmappe für Käufer/Mieter und Nachvollziehbarkeit von Änderungen (Aktivitäten).
3. 3.Dauer: Die Verarbeitung läuft für die Dauer des Hauptvertrags und endet mit Abschluss der Rückgabe und Löschung nach § 11. Pflichten, die ihrer Natur nach fortgelten (Vertraulichkeit, Löschnachweis, Haftung), bestehen fort.
4. 4.Kategorien betroffener Personen: a) Interne Nutzer und sonstige Beschäftigte des Kunden (einschließlich Geschäftsführung, Bauleitung, Planung, kaufmännische Mitarbeiter, gewerbliche Beschäftigte, Auszubildende, Aushilfen); b) Mitarbeiter-Zugänge und sonstige Beschäftigte des Kunden bei Volllizenz-Betrieben; c) Beschäftigte, Inhaber und Ansprechpartner eingeladener Firmen (Handwerk, externe Bauleitung, Planung), die in einem Projektraum des Kunden tätig sind; d) Käufer/Mieter (Verbraucher) und deren Vertreter bzw. Mitbewohner, soweit in der Wohnungsmappe erfasst; e) Kunden, Auftraggeber, Lieferanten, Nachunternehmer des Kunden und deren Ansprechpartner; f) sonstige Projektbeteiligte und Dritte (Behörden, Sachverständige, Notare, Banken, Nachbarn), soweit in Dokumenten, Protokollen, Nachrichten oder Bautagebüchern genannt; g) auf Fotos abgebildete Personen (z. B. Personen auf der Baustelle, Passanten, Bewohner); h) Personen, deren Unterschrift auf einem hochgeladenen, auf Papier unterschriebenen Dokument erscheint, sowie Personen, die bis zum 28.09.2026 ein Dokument digital auf der Plattform unterschrieben haben (Altbestand).
5. 5.Kategorien personenbezogener Daten: a) Kontodaten: Name, E-Mail, Telefon, Rolle, Unternehmen, Funktion, Zugangsumfang/Rechte; b) Zugangsverwaltung im Auftrag des Kunden: Status von Zugängen (aktiv, vorübergehend deaktiviert, entfernt), freigeschaltete Bereiche und Projekte, Anmeldezeiten, soweit sie dem Kunden in der Plattform angezeigt werden; die Geräte-Bindung (Gerätekennung, Bestätigungscodes) und die Begrenzung wiederholter Anfragen verarbeitet BauDock als eigener Verantwortlicher (§ 12 Abs. 2 lit. a); c) Projektdaten: Bauvorhaben, Adressen, Beteiligte, Termine, Bauzeitenpläne, Baufortschritt; d) Kommunikation: Nachrichten, Mitteilungen, Benachrichtigungen (App und E-Mail), Lesebestätigungen; e) Dokumente und Pläne einschließlich darin enthaltener personenbezogener Angaben; f) Fotos (Personen können erkennbar sein) mit Zeitpunkt des Hochladens und vom Nutzer gewähltem Datum; ein Standort wird nicht gespeichert, Bildmetadaten (einschließlich Aufnahmeort) werden vor dem Hochladen entfernt (§ 14 Abs. 3); g) Unterschriften: auf Papier unterschriebene und hochgeladene Dokumente (Scan, Foto, PDF) mit den darin enthaltenen Unterschriften und Namen; eine elektronische Unterschrift wird seit dem 28.09.2026 nicht mehr erfasst. Altbestand bis 28.09.2026, nur Anzeige: Unterschriftsbild, Name und Rolle (vom Unterzeichnenden angegeben), Zeitstempel, bestätigter Wortlaut, IP-Adresse, Gerät/Browser, Ort, erfassende Person; h) Bautagebuch, Protokolle, Mängel, Aufgaben, Fristen, Berichte: wer hat wann was getan, gemeldet oder unterlassen (Daten mit Leistungs- und Verhaltensbezug); i) Beschäftigtendaten: Stammdaten, Funktion, Arbeitszeiten und Pausen, Standort beim Ein-/Ausstempeln (optional), Hinweise auf Verstöße gegen Arbeitszeitgrenzen, Urlaub, Abwesenheiten, Krankheitszeiten und Krankheitsnachweise, Gehalt, Sonderzahlungen, Arbeitgeberanteile; j) kaufmännische Daten: Angebote, Aufträge, Rechnungen (einschließlich E-Rechnungen), Mahnungen, Belege, Zahlungen, Bankverbindungen, Bürgschaften/Sicherheiten; k) Käufer-/Mieterdaten: Name, Kontaktdaten, Einheit, Kaufpreis bzw. Miete, Notartermin, Übergabe, Dokumente, Mitteilungen, Lesebestätigungen, Öffnen/Herunterladen von Dateien; l) Protokolldaten (Aktivitäten): handelnde Person, Rolle/Portal, Zeitpunkt, betroffener Datensatz, Projekt, Unternehmen, Beteiligte, bei Änderungen die geänderten Felder „vorher → nachher“, beim Anlegen und Löschen der vollständige Datensatz (Einschränkung für Personal-, Lohn- und Stundenablagen: § 13 Abs. 1), Öffnen/Herunterladen von Dateien (auch durch Käufer/Mieter); m) KI-Eingaben und -Ausgaben: Freitexte, Positionen und Kontextdaten, die ein Nutzer mit einer KI-Funktion verarbeitet.
6. 6.Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO): Die Plattform ist geeignet, Gesundheitsdaten in Form von Krankheitszeiten und Krankheitsnachweisen (z. B. Arbeitsunfähigkeitsbescheinigungen) im Bereich Personal & Lohn zu verarbeiten. Erfasst der Kunde im Bereich Personal & Lohn Angaben zur Religionszugehörigkeit (etwa ein Kirchensteuermerkmal), handelt es sich ebenfalls um besondere Kategorien; weitere besondere Kategorien sind nicht vorgesehen. Der Kunde stellt sicher, dass besondere Kategorien nur in den dafür vorgesehenen, zugriffsbeschränkten Bereichen (Personal & Lohn) und nicht in Projekträumen, Nachrichten, Fotos oder KI-Eingaben erfasst werden. Daten über strafrechtliche Verurteilungen (Art. 10 DSGVO) sind nicht Gegenstand der Plattform.

§ 3 Besonderheiten der Mehrparteien-Nutzung

1. 1.Projektraum als Verarbeitung des Kunden. Ein Projektraum wird vom Kunden eingerichtet und gesteuert („Projektinhaber“). Der Kunde bestimmt, welche Firmen und Personen er einlädt, welche Bereiche diese nutzen und welche Freigaben bestehen. Sämtliche Daten im Projektraum verarbeitet BauDock ausschließlich im Auftrag und nach Weisung des Kunden — auch soweit Eingeladene Firmen, deren Personal, externe Bauleitung, Planung oder Käufer/Mieter diese Daten selbst einstellen. Das Einstellen durch Eingeladene Firmen erfolgt in den Projektraum des Kunden; ob darin zugleich eine Übermittlung der Eingeladenen Firma an den Kunden liegt, regeln die Projektbeteiligten untereinander (Muster: „Vereinbarung über die Datenverarbeitung im Projektraum“, Dokument 06, Teil B). Die Eingeladene Firma ist für die von ihr erhobenen Daten bis zum Einstellen sowie für deren Nutzung zu eigenen Zwecken selbst Verantwortlicher; das Einstellen ist eine Übermittlung an den Projektinhaber (Dokument 06, Teil A).
2. 2.Keine Weisungen Dritter. Eingeladene Firmen, Käufer/Mieter und sonstige Nutzer ohne eigenen Kundenvertrag sind gegenüber BauDock hinsichtlich des Projektraums nicht weisungsbefugt. Ihre Bedienhandlungen innerhalb der ihnen vom Kunden eingeräumten Rechte gelten als vom Kunden gebilligte Nutzung der Plattform-Funktionen (§ 4 Abs. 2). Darüber hinausgehende Anfragen solcher Personen (z. B. Löschungs- oder Herausgabeverlangen) leitet BauDock an den Kunden weiter (§ 7).
3. 3.Pflichten des Kunden gegenüber den Beteiligten. Der Kunde ist dafür verantwortlich, dass für die Einbindung der Eingeladenen Firmen und Käufer/Mieter eine Rechtsgrundlage besteht und die Betroffenen nach Art. 13/14 DSGVO informiert werden; er regelt mit Eingeladenen Firmen, welche Daten diese einstellen dürfen (insbesondere keine Lohn- und Gesundheitsdaten in Projekträumen).
4. 4.Betriebsbereich eines Volllizenz-Betriebs. Hat eine Firma zugleich eine eigene Volllizenz, ist ihr Betriebsbereich ein eigener, gesonderter Gegenstand der Auftragsverarbeitung zwischen dieser Firma und BauDock (eigener AVV). Der Projektinhaber erhält keinen Zugriff auf den Betriebsbereich. Überführt ein Nutzer Daten aus einem Projektraum in einen Betriebsbereich oder umgekehrt (z. B. Übernahme einer Aufgabe, Weitergabe von Fotos an die Bauleitung), handelt es sich um eine vom Nutzer ausgelöste Weitergabe zwischen den jeweiligen Verantwortlichen; BauDock führt sie als Plattform-Funktion im Auftrag des jeweils abgebenden und des jeweils empfangenden Kunden aus.
5. 5.Projekträume von Volllizenz-Kunden. Richtet ein Volllizenz-Kunde selbst einen Projektraum ein und lädt Dritte (z. B. Nachunternehmer, Auftraggeber) ein, gelten die Absätze 1 bis 3 entsprechend mit dem Volllizenz-Kunden als Projektinhaber.
6. 6.Wechsel oder Ende des Projektinhabers. Endet der Hauptvertrag des Projektinhabers, gelten für den Projektraum § 11 und § 13 Abs. 3. Eingeladene Firmen haben keinen eigenen Anspruch gegen BauDock auf Fortführung oder Herausgabe des Projektraums; Eingeladene Firmen sichern ihre eigenen Inhalte selbst rechtzeitig (z. B. durch Herunterladen der ihnen zugänglichen Dateien); eine darüber hinausgehende Herausgabe von Inhalten des Projektraums an Eingeladene Firmen erfolgt nur auf Weisung des Projektinhabers.

§ 4 Weisungen

1. 1.BauDock verarbeitet personenbezogene Daten nur auf dokumentierte Weisung des Kunden — auch hinsichtlich der Übermittlung in Drittländer —, es sei denn, BauDock ist durch Unionsrecht oder das Recht eines Mitgliedstaats hierzu verpflichtet; in diesem Fall teilt BauDock dem Kunden diese Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht eine solche Mitteilung nicht wegen eines wichtigen öffentlichen Interesses verbietet (Art. 28 Abs. 3 lit. a DSGVO).
2. 2.Weisungen sind: (a) dieser Vertrag und der Hauptvertrag; (b) die Nutzung und Konfiguration der Plattform-Funktionen durch den Kunden und die von ihm berechtigten Nutzer (z. B. Anlegen, Freigeben, Einladen, Löschen, Aktivieren der Standorterfassung, Auslösen einer KI-Funktion, Einstellen von Benachrichtigungen); (c) Einzelweisungen der in Anlage 3 benannten Weisungsberechtigten in Textform (E-Mail genügt). Mündliche Weisungen sind unverzüglich in Textform zu bestätigen.
3. 3.Weisungen, die über den vertraglich vereinbarten Leistungsumfang hinausgehen, werden als Änderungsantrag behandelt; BauDock kann hierfür eine angemessene Vergütung nach Aufwand verlangen, soweit es sich nicht um Pflichten nach Art. 28 Abs. 3 DSGVO handelt, die bereits vergütet sind.
4. 4.Hinweispflicht: Ist BauDock der Auffassung, dass eine Weisung gegen die DSGVO oder andere Datenschutzvorschriften verstößt, informiert BauDock den Kunden unverzüglich (Art. 28 Abs. 3 UAbs. 2 DSGVO). BauDock ist berechtigt, die Durchführung der Weisung auszusetzen, bis der Kunde sie bestätigt oder ändert. Eine offensichtlich rechtswidrige Weisung muss BauDock nicht ausführen.
5. 5.BauDock bewahrt Einzelweisungen für die Dauer des Vertrags und 3 Jahre darüber hinaus auf.

§ 5 Vertraulichkeit

1. 1.BauDock gewährleistet, dass sich alle zur Verarbeitung befugten Personen zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen (Art. 28 Abs. 3 lit. b DSGVO). Die Verpflichtung gilt über das Ende der Tätigkeit hinaus.
2. 2.Der Zugriff von BauDock-Personal auf Kundendaten erfolgt nur, soweit dies für Betrieb, Fehlerbehebung, Sicherheit, Support auf Anfrage des Kunden oder die Erfüllung dieses Vertrags erforderlich ist. Änderungen, die BauDock dabei an Kundendaten vornimmt, erscheinen wie jede andere Änderung im Aktivitäten-Protokoll (§ 13). Zur Verarbeitung befugt ist derzeit ausschließlich der Inhaber Nik Tödter; werden weitere Personen eingesetzt, verpflichtet BauDock sie vorab schriftlich nach Abs. 1 (Anlage 1 Nr. 5).

§ 6 Technische und organisatorische Maßnahmen

1. 1.BauDock trifft die in Anlage 1 beschriebenen Maßnahmen nach Art. 32 DSGVO und hält sie während der Vertragslaufzeit mindestens auf diesem Niveau.
2. 2.Die Maßnahmen unterliegen dem technischen Fortschritt. BauDock darf sie durch gleichwertige oder bessere Maßnahmen ersetzen; das Schutzniveau darf nicht unterschritten werden. Wesentliche Änderungen werden dokumentiert und dem Kunden auf Anfrage mitgeteilt.
3. 3.Der Kunde ist für die Sicherheit in seinem Verantwortungsbereich zuständig, insbesondere für die sorgfältige Vergabe und Entziehung von Zugängen und Freigaben, sichere Endgeräte und Passwörter seiner Nutzer sowie die Entscheidung, welche Daten er in welche Bereiche einstellt.

§ 7 Unterstützung bei Betroffenenrechten

1. 1.BauDock unterstützt den Kunden nach Möglichkeit mit geeigneten technischen und organisatorischen Maßnahmen bei der Erfüllung der Rechte der betroffenen Personen nach Kapitel III DSGVO (Art. 28 Abs. 3 lit. e DSGVO).
2. 2.Hierzu stellt die Plattform Funktionen bereit, mit denen der Kunde Daten einsehen, berichtigen, einschränken (z. B. Zugang deaktivieren) und löschen kann, sowie einen Gesamtexport (ZIP-Datei mit allen Daten und, in Teilen, den zugehörigen Dateien; auszulösen durch ein Admin-Profil des Bauträgers bzw. den Inhaber eines Betriebs mit Volllizenz; jeder Export wird im Aktivitäten-Protokoll vermerkt). Die Admin-Profile eines Bauträgers können einzelne Protokolleinträge selbst schwärzen (§ 13 Abs. 5); Personen ohne Vertragsrolle können ihr Konto selbst löschen (Abs. 2a). Soweit eine Maßnahme in der Plattform nicht durch den Kunden selbst ausgeführt werden kann (etwa eine Schwärzung für einen Kunden ohne Admin-Profil mit dieser Funktion oder die vorzeitige Löschung der Kontodaten eines entfernten Zugangs), führt BauDock sie auf Weisung des Kunden durch, und zwar unverzüglich, in der Regel innerhalb von 10 Arbeitstagen, jedenfalls so rechtzeitig, dass der Kunde die Frist des Art. 12 Abs. 3 DSGVO einhalten kann.
3. 2a.Löschung des eigenen Kontos. Beschäftigte des Kunden, eingeladene Projektnutzer und Käufer/Mieter können ihr Konto unter „Einstellungen & Hilfe“ nach Bestätigung mit ihrem Passwort selbst löschen. Danach ist keine Anmeldung mehr möglich; E-Mail-Adresse, Profilbild und bestätigte Geräte werden entfernt. Inhalte, die die Person in Projekträumen oder im Betriebsbereich des Kunden erstellt hat, einschließlich ihres Namens in Protokolleinträgen und Arbeitszeitnachweisen, bleiben beim Kunden als Verantwortlichem erhalten. Der Kunde als Vertragsinhaber beendet sein Konto durch Kündigung des Hauptvertrags (§ 11).
4. 3.Wendet sich eine betroffene Person unmittelbar an BauDock, verweist BauDock sie an den Kunden und leitet die Anfrage unverzüglich, spätestens binnen 3 Arbeitstagen, an den Kunden weiter, sofern der Kunde anhand der Angaben zugeordnet werden kann. BauDock beantwortet die Anfrage nicht selbst, es sei denn, der Kunde weist dies an. Bei Anfragen zu Daten in einem Projektraum ist der Projektinhaber Adressat.
5. 4.Aufwand, der über die Bereitstellung der Standardfunktionen hinausgeht, vergütet der Kunde nach der jeweils gültigen Preisliste bzw., soweit diese keinen Satz vorsieht, nach vorheriger Vereinbarung in Textform, es sei denn, der Aufwand beruht auf einem Verstoß von BauDock gegen diesen Vertrag oder die DSGVO.

§ 8 Unterstützung bei Art. 32 bis 36 DSGVO; Meldung von Verletzungen

1. 1.BauDock unterstützt den Kunden unter Berücksichtigung der Art der Verarbeitung und der verfügbaren Informationen bei der Einhaltung der Pflichten aus Art. 32 bis 36 DSGVO (Sicherheit, Meldung und Benachrichtigung bei Verletzungen, Datenschutz-Folgenabschätzung, vorherige Konsultation).
2. 2.Meldung von Verletzungen des Schutzes personenbezogener Daten. BauDock meldet dem Kunden eine Verletzung des Schutzes personenbezogener Daten, die Kundendaten betrifft, unverzüglich nach Kenntnis, möglichst binnen 24 Stunden (Erstmeldung) an die in Anlage 3 genannte Kontaktadresse und ergänzt die Meldung fortlaufend. Die Meldung enthält, soweit bekannt (Art. 33 Abs. 3 DSGVO): a) eine Beschreibung der Art der Verletzung, soweit möglich mit Kategorien und ungefährer Zahl der betroffenen Personen und Datensätze; b) Namen und Kontaktdaten der Anlaufstelle bei BauDock; c) eine Beschreibung der wahrscheinlichen Folgen; d) eine Beschreibung der ergriffenen oder vorgeschlagenen Maßnahmen zur Behebung und Abmilderung. Soweit Informationen nicht zugleich bereitgestellt werden können, liefert BauDock sie ohne unangemessene weitere Verzögerung schrittweise nach (Art. 33 Abs. 4 DSGVO).
3. 3.Betrifft eine Verletzung mehrere Kunden (z. B. einen Projektraum mit Eingeladenen Firmen, die eigene Volllizenzen haben), informiert BauDock jeden betroffenen Kunden für dessen Daten.
4. 4.BauDock trifft unverzüglich die erforderlichen Maßnahmen zur Sicherung der Daten und zur Minderung nachteiliger Folgen und stimmt sich hierzu mit dem Kunden ab. Die Meldung an die Aufsichtsbehörde und die Benachrichtigung der Betroffenen obliegen dem Kunden; BauDock nimmt sie nur auf Weisung des Kunden vor.
5. 5.Datenschutz-Folgenabschätzung (DSFA). BauDock stellt dem Kunden auf Anfrage die für eine DSFA erforderlichen Informationen über die Plattform zur Verfügung, insbesondere Beschreibung der Verarbeitungsvorgänge, Datenflüsse, Unterauftragsverarbeiter und TOM. Für die Arbeitszeiterfassung mit Standort stellt BauDock dem Kunden auf Anfrage eine Beschreibung der Verarbeitung (Umfang, Voreinstellungen, Speicherdauer, Zugriffe) als Grundlage seiner DSFA zur Verfügung. Bei vorheriger Konsultation der Aufsichtsbehörde (Art. 36 DSGVO) unterstützt BauDock angemessen.
6. 6.Aufwand für Unterstützung nach Abs. 5 über die Bereitstellung vorhandener Unterlagen hinaus kann nach § 7 Abs. 4 vergütet werden; die Meldung nach Abs. 2 ist stets unentgeltlich.

§ 9 Unterauftragsverarbeiter

1. 1.Allgemeine Genehmigung. Der Kunde erteilt BauDock die allgemeine schriftliche Genehmigung (Art. 28 Abs. 2 DSGVO), weitere Auftragsverarbeiter („Unterauftragsverarbeiter“) einzusetzen. Die bei Vertragsschluss eingesetzten Unterauftragsverarbeiter sind in Anlage 2 aufgeführt und gelten als genehmigt.
2. 2.Information über Änderungen. BauDock informiert den Kunden mindestens 30 Tage vor der Hinzuziehung oder Ersetzung eines Unterauftragsverarbeiters in Textform (E-Mail an die Kontaktadresse in Anlage 3 und Hinweis in der Plattform) unter Angabe von Name, Sitz, Leistung, Datenkategorien, Verarbeitungsort und Garantien. In dringenden Fällen (z. B. Ausfall oder Sicherheitsvorfall bei einem bestehenden Unterauftragsverarbeiter) kann die Frist verkürzt werden; BauDock begründet dies.
3. 3.Widerspruchsrecht. Der Kunde kann der Änderung innerhalb der Frist aus wichtigem datenschutzrechtlichem Grund in Textform widersprechen. Die Parteien bemühen sich um eine einvernehmliche Lösung. Kommt diese nicht zustande und setzt BauDock den Unterauftragsverarbeiter dennoch ein, kann der Kunde den Hauptvertrag mit Wirkung zum Zeitpunkt des Einsatzes außerordentlich kündigen; im Voraus gezahlte Entgelte für die Zeit danach werden anteilig erstattet. Erfolgt kein Widerspruch, gilt die Änderung als genehmigt.
4. 4.Weitergabe der Pflichten. BauDock erlegt jedem Unterauftragsverarbeiter vertraglich im Wesentlichen dieselben Datenschutzpflichten auf, die in diesem Vertrag festgelegt sind, insbesondere hinreichende Garantien für geeignete TOM (Art. 28 Abs. 4 DSGVO). Bei Anbietern, die ausschließlich standardisierte Auftragsverarbeitungsbedingungen anbieten, prüft BauDock deren Gleichwertigkeit und dokumentiert das Ergebnis. BauDock haftet gegenüber dem Kunden für die Einhaltung der Pflichten durch den Unterauftragsverarbeiter (Art. 28 Abs. 4 S. 2 DSGVO).
5. 5.Drittlandübermittlung. Eine Verarbeitung oder Übermittlung außerhalb des Europäischen Wirtschaftsraums erfolgt nur, wenn die Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind, insbesondere a) auf Grundlage eines Angemessenheitsbeschlusses (für die USA: Beschluss zum EU-US Data Privacy Framework, Durchführungsbeschluss (EU) 2023/1795, solange er gilt und soweit der Empfänger zertifiziert ist), oder b) auf Grundlage der Standardvertragsklauseln der Kommission (Durchführungsbeschluss (EU) 2021/914, Modul 3 „Auftragsverarbeiter an Auftragsverarbeiter“) nebst erforderlicher Zusatzmaßnahmen und einer dokumentierten Transfer-Folgenabschätzung (TIA). BauDock wählt, soweit angeboten, Datenstandorte innerhalb der EU (siehe Anlage 2). Die Dokumentation der Garantien und der TIA stellt BauDock dem Kunden auf Anfrage zur Verfügung.
6. 6.Keine Unterauftragsverarbeitung im Sinne dieser Vorschrift sind Nebenleistungen, bei denen kein Zugriff auf Kundendaten besteht (z. B. Telekommunikationsleistungen als reine Transportleistung, Domain-Registrierung). Ausgehende Links (z. B. zu Kartendiensten), die ein Nutzer selbst anklickt, sind keine Verarbeitung durch BauDock.

§ 10 KI-Funktionen

1. 1.KI-Funktionen (Entwürfe von Angeboten, Rechnungen, Auftragsbestätigungen, Nachträgen, Ausschreibungen, Protokollen u. a.) werden nur ausgelöst, wenn ein Nutzer sie aktiv aufruft. Übermittelt werden die Eingaben und Kontextdaten, die die jeweilige KI-Funktion für den Entwurf verwendet, an den KI-Anbieter (Anlage 2: Anthropic).
2. 2.BauDock setzt den KI-Anbieter ausschließlich als Unterauftragsverarbeiter ein. Die Verwendung von Kundendaten zum Training von KI-Modellen durch den KI-Anbieter ist nach dessen kommerziellen Bedingungen (Commercial Terms einschließlich des darin enthaltenen Datenschutzvertrags) ausgeschlossen. Der KI-Anbieter speichert Ein- und Ausgaben 30 Tage zu Sicherheitszwecken und löscht sie danach; BauDock nimmt an keinen Programmen des KI-Anbieters zur Datenfreigabe teil. BauDock selbst verwendet Kundendaten nicht zum Training eigener Modelle.
3. 3.KI-Ergebnisse sind Entwürfe; ihre Prüfung und Freigabe obliegt dem Nutzer. Dokumente, deren Inhalt mit einer KI-Funktion erstellt wurde (Angebote, Rechnungen, Protokolle, Berichte, Tagesberichte, Leistungsverzeichnisse), tragen im Dokument den Vermerk „Mithilfe von KI erstellt“. Der Kunde weist seine Nutzer an, keine besonderen Kategorien personenbezogener Daten (insbesondere Gesundheitsdaten) und keine nicht erforderlichen Beschäftigtendaten in KI-Eingaben zu verwenden.
4. 4.Eine Übermittlung an den KI-Anbieter findet nur statt, wenn ein Nutzer eine KI-Funktion auslöst (Abs. 1). Der Kunde kann seinen Nutzern die Nutzung der KI-Funktionen untersagen; eine technische Abschaltung der KI-Funktionen je Kunde ist nicht Bestandteil der Leistung.

§ 11 Rückgabe und Löschung nach Vertragsende

1. 1.Nach Ende des Hauptvertrags kann der Kunde seine Kundendaten während eines kostenlosen Exportfensters von 30 Tagen mit dem Gesamtexport der Plattform (§ 7 Abs. 2; ZIP-Datei in maschinenlesbarem Format) exportieren bzw. von BauDock herausverlangen, soweit Dateien nicht im Gesamtexport enthalten sind (Art. 28 Abs. 3 lit. g DSGVO; AGB § 22 und Anlage 4). Gesetzliche Aufbewahrungspflichten des Kunden (z. B. für Arbeitszeitaufzeichnungen, Lohnunterlagen und Buchungsbelege) erfüllt der Kunde selbst; er exportiert die hierfür benötigten Daten rechtzeitig vor Vertragsende bzw. vor dem Löschen eines Projekts.
2. 2.Nach Ablauf des Exportfensters löscht BauDock mit einer dafür vorgesehenen Löschfunktion sämtliche Kundendaten unverzüglich, spätestens innerhalb von 14 Tagen: die Inhalte der Datenbank einschließlich des Aktivitäten-Protokolls, die Dateien im Dateispeicher und die Benutzerkonten. Daten in Datensicherungen der Datenbank (Backups) werden nicht gezielt gelöscht, sondern im Rotationsverfahren spätestens nach 7 Tagen überschrieben; bis dahin werden sie nur zu Notfallzwecken wiederhergestellt. Eine gesonderte Sicherungskopie der Dateien besteht nicht (Anlage 1 Nr. 3).
3. 3.Projekträume mit Eingeladenen Firmen: Die Löschung erfasst den gesamten Projektraum einschließlich der von Eingeladenen Firmen eingestellten Inhalte. Der Kunde ist dafür verantwortlich, Eingeladene Firmen rechtzeitig über das Ende zu informieren. Daten im Betriebsbereich anderer Kunden (§ 3 Abs. 4) bleiben unberührt.
4. 4.Ausnahmen: Eine Aufbewahrung über diesen Zeitpunkt hinaus erfolgt nur, soweit BauDock nach Unionsrecht oder mitgliedstaatlichem Recht zur Speicherung verpflichtet ist; in diesem Fall schränkt BauDock die Verarbeitung ein und löscht nach Wegfall der Pflicht. Daten, die BauDock als Verantwortlicher zu eigenen Zwecken verarbeitet (§ 12), richten sich nach deren Fristen.
5. 5.Nachweis: BauDock bestätigt dem Kunden auf Anfrage die Löschung in Textform unter Angabe des Datums.
6. 6.Eine Speicherung über das Vertragsende hinaus — insbesondere zur Archivierung fertiggestellter oder archivierter Projekte oder des Aktivitäten-Protokolls (§ 13) — erfolgt nur auf Grundlage einer gesonderten Vereinbarung in Textform; ohne eine solche Vereinbarung gelten Abs. 1 und 2.

§ 12 Verarbeitung zu eigenen Zwecken von BauDock (abschließend)

1. 1.BauDock verarbeitet Kundendaten nicht zu eigenen Zwecken, insbesondere nicht zu Werbung, Profilbildung, Weiterverkauf oder zum Training von KI-Modellen. Eine Verarbeitung entgegen dieser Bestimmung würde BauDock nach Art. 28 Abs. 10 DSGVO zum Verantwortlichen machen.
2. 2.Abschließend ausgenommen sind die folgenden Verarbeitungen, für die BauDock selbst Verantwortlicher ist und in der Datenschutzerklärung von BauDock informiert: a) Sicherheit und Missbrauchsabwehr: Server- und Zugriffsprotokolle des Hosting-Dienstleisters (u. a. IP-Adressen), Geräte-Bindung und Bestätigungscodes bei neuen Geräten (nach höchstens 10 Minuten ungültig und geleert), Zähler zur Begrenzung wiederholter Anfragen (Löschung nach 1 Tag), nie bestätigte Geräte (Löschung nach 30 Tagen), bestätigte Geräte (automatische Löschung 13 Monate nach letzter Nutzung), das Protokoll der automatischen Löschläufe (nur Bereich und Anzahl; Löschung nach 3 Jahren) sowie Erkennung und Abwehr von Angriffen und missbräuchlicher Nutzung, soweit dies für die Sicherheit der Plattform insgesamt erforderlich ist (Art. 6 Abs. 1 lit. f, Art. 32 DSGVO); diese Daten werden nicht mit den Inhalten der Projekträume oder Betriebsbereiche ausgewertet, außer zur Aufklärung eines konkreten Sicherheitsvorfalls; ein gesondertes Sicherheitsprotokoll führt BauDock nicht; b) aggregierte Nutzungsstatistik zur Verbesserung von Stabilität und Bedienbarkeit (cookielose Reichweiten- und Leistungsmessung, Vercel Web Analytics und Speed Insights), ohne Rückschluss auf einzelne Nutzer oder Inhalte, und zwar nur auf den öffentlichen Seiten der Website, nicht in den Portalen; c) Vertragsverwaltung und Abrechnung mit dem Kunden (Kundenkonto, Lizenzumfang, Nutzeranzahl, Anzahl Bauvorhaben, Verbrauch von KI-Credits); d) Kontoverwaltung der Nutzer ohne eigenen Kundenvertrag (Eingeladene Firmen, Käufer/Mieter) im Umfang von Anmeldung, Sicherheit und Missbrauchsabwehr sowie Nachweis ihrer Zustimmung zu den Nutzungsbedingungen (Kontodaten werden 30 Tage nach Entfernen des Zugangs gelöscht, bei Löschung des eigenen Kontos nach § 7 Abs. 2a sofort); e) Support, soweit der Kunde oder ein Nutzer BauDock kontaktiert (Kommunikation selbst; der Einblick in Kundendaten zur Fehlerbehebung erfolgt im Auftrag); f) Erfüllung gesetzlicher Pflichten von BauDock und Geltendmachung, Ausübung oder Verteidigung eigener Rechtsansprüche von BauDock, beschränkt auf die hierfür erforderlichen Daten.
3. 3.Anonymisierte Daten sind keine personenbezogenen Daten; die Anonymisierung selbst ist nur für die Zwecke nach Abs. 2 lit. b zulässig.

§ 13 Aktivitäten-Protokoll

1. 1.Verarbeitung im Auftrag. Das Aktivitäten-Protokoll (unveränderbare, fortlaufende Aufzeichnung jeder Änderung an Projekt- und Betriebsdaten mit handelnder Person, Rolle/Portal, Zeitpunkt, Datensatz, Projekt, Unternehmen, Beteiligten, Änderung „vorher → nachher“ sowie des Öffnens/Herunterladens von Dateien) ist Teil der Plattform-Funktion und wird von BauDock im Auftrag des Kunden geführt. Es dient der Nachvollziehbarkeit, Beweissicherung, Datensicherheit und Rechenschaft (Art. 5 Abs. 2, Art. 24, Art. 32 DSGVO) des Kunden. Verantwortlicher ist für Projekträume der Projektinhaber, für Betriebsbereiche der jeweilige Volllizenz-Kunde. Umfang: Bei Änderungen werden nur die geänderten Felder gespeichert, beim Anlegen und Löschen eines Datensatzes dessen vollständiger Inhalt. Das Öffnen/Herunterladen einer Datei wird je Datei und Person höchstens einmal in 10 Minuten vermerkt, auch wenn Käufer/Mieter Dateien ihrer Wohnungsmappe öffnen. Nicht protokolliert werden die Nutzung der KI-Funktionen, bestätigte Geräte und Systemgeheimnisse. Standortkoordinaten gelangen nicht in das Protokoll; dort wird nur vermerkt, dass ein Standort erfasst wurde (mit Genauigkeitsangabe). Änderungen an Personal-, Lohn- und Stundenablagen (einschließlich Krankmeldungen) werden nur ohne Inhalt protokolliert („geändert von … am …“).
2. 2.Sichtbarkeit. Admin-Profile des Kunden sehen alle Einträge des eigenen Unternehmens einschließlich der Datei-Öffnungen durch Käufer/Mieter, der Chef eines Betriebs sieht alle Einträge seines Betriebs einschließlich seiner Mitarbeiter-Zugänge, alle übrigen Nutzer nur Einträge, die sie betreffen; Käufer/Mieter sehen keine Einträge.
3. 3.Aufbewahrung. Eine feste Speicherfrist für Protokolleinträge besteht nicht. Einträge (einschließlich Datei-Öffnungen) werden gespeichert, solange das Konto des Kunden bzw. das jeweilige Projekt besteht. Nach Ende des Hauptvertrags gilt § 11: Der Kunde kann das Protokoll innerhalb des Exportfensters von 30 Tagen mit dem Gesamtexport sichern; danach wird es innerhalb von 14 Tagen gelöscht (§ 11 Abs. 2). Löscht der Kunde ein Projekt, legt er vorher fest, ob er das zugehörige Protokoll exportiert. Hinweis: Ob und wie lange der Kunde Protokolleinträge über das Vertragsende hinaus zu Beweiszwecken (z. B. wegen der fünfjährigen Verjährung von Mängelansprüchen bei Bauwerken nach § 634a Abs. 1 Nr. 2 BGB) oder aufgrund gesetzlicher Aufbewahrungspflichten benötigt, entscheidet der Kunde; er sichert die Einträge hierfür rechtzeitig durch Export.
4. 4.Einschränkung im Einzelfall. Auf Weisung des Kunden schränkt BauDock die Verarbeitung von Einträgen eines Projekts ein (Art. 18 DSGVO), solange ein Rechtsstreit, ein selbständiges Beweisverfahren oder eine behördliche Prüfung dies erfordert, und zwar für die Dauer des Hauptvertrags; eine Aufbewahrung über das Vertragsende hinaus richtet sich nach § 11 Abs. 6.
5. 5.Schwärzung und Protokollkopien gelöschter Daten. Das Protokoll enthält bei Anlegen und Löschen eines Datensatzes dessen vollständigen Inhalt. Löscht der Kunde Daten auf ein Betroffenenverlangen, prüft er, ob zugehörige Protokolleinträge zu schwärzen oder in ihrer Verarbeitung einzuschränken sind. Die Admin-Profile eines Bauträgers und BauDock können einzelne Einträge schwärzen: Der Inhalt „vorher/nachher“ wird entfernt, auf Wunsch wird auch die handelnde Person unkenntlich gemacht; Zeitpunkt, Bereich und die Tatsache der Schwärzung bleiben erhalten, und die Schwärzung selbst wird mit Grund, handelnder Person und Zeitpunkt protokolliert. BauDock schwärzt nur auf Weisung des Kunden (§ 7 Abs. 2) oder aufgrund einer gesetzlichen Pflicht. Die Schwärzung und die Löschung nach Vertragsende (Abs. 3, § 11 Abs. 2) laufen über einen kontrollierten, selbst protokollierten Ausnahmeweg in der Datenbank; im Übrigen weist die Datenbank Änderungen und Löschungen von Protokolleinträgen auch bei Administratorrechten ab.
6. 6.Herausgabe des vollständigen Protokolls. Das vollständige Projektprotokoll wird ausschließlich a) an den Verantwortlichen (Projektinhaber bzw. Volllizenz-Kunde) auf Anfrage eines Admin-Profils, des Chefs des Betriebs oder eines Weisungsberechtigten nach Anlage 3 (§ 17 Abs. 4 AGB), b) an Dritte (z. B. Eingeladene Firmen, Gutachter, Gerichte, Rechtsanwälte) nur auf dokumentierte Weisung des Verantwortlichen, oder c) auf Grund einer gesetzlichen Pflicht (z. B. gerichtliche oder behördliche Anordnung); in diesem Fall informiert BauDock den Kunden vorab, soweit rechtlich zulässig (§ 4 Abs. 1), herausgegeben. Eine Herausgabe an Eingeladene Firmen auf deren eigenes Verlangen erfolgt nicht; Auskunftsansprüche Betroffener richten sich an den Verantwortlichen (§ 7). Für die Verteidigung eigener Rechtsansprüche von BauDock gilt § 12 Abs. 2 lit. f.
7. 7.Hinweis für den Kunden (Beschäftigte): Das Aktivitäten-Protokoll und die Protokollierung von Datei-Öffnungen sind objektiv geeignet, Verhalten und Leistung von Beschäftigten zu überwachen. Der Kunde ist verpflichtet, die Beschäftigten zu informieren und etwaige Mitbestimmungsrechte (§ 87 Abs. 1 Nr. 6 BetrVG) zu wahren; er verwendet das Protokoll nicht zur Leistungs- oder Verhaltenskontrolle, soweit dies nicht rechtlich zulässig und geregelt ist.

§ 14 Standortdaten

1. 1.Die Erfassung des Standorts ist optional und auf die Stempeluhr beschränkt: je Stempelvorgang genau ein Standortpunkt beim Ein- bzw. Ausstempeln (Breite, Länge, Genauigkeitsangabe), keine fortlaufende Ortung.
2. 2.Die Standorterfassung der Stempeluhr stellt der Kunde in den Firmeneinstellungen in drei Stufen ein: aus (Voreinstellung), „wenn verfügbar“ (Stempeln auch ohne Standort möglich; der Grund wird vermerkt, z. B. „abgelehnt“, „nicht verfügbar“) und „Pflicht beim Einstempeln“ (das Ausstempeln ist stets auch ohne Standort möglich). Die Büro-Stempeluhr und Stempeluhr per QR-Code folgen dieser Einstellung des Betriebs, zu dem die stempelnde Person gehört, und erfassen den Standort des Geräts, mit dem gestempelt wird. Die Freigabe des Standorts erfolgt zusätzlich durch den Nutzer auf seinem Gerät (Browser-Berechtigung).
3. 3.Bei der Foto-Dokumentation wird kein Standort gespeichert; Bildmetadaten (einschließlich Aufnahmeort) werden vor dem Hochladen entfernt.
4. 4.Speicherdauer der Standortpunkte beim Stempeln: 3 Monate; danach werden die Koordinaten automatisch gelöscht, und es wird nur noch vermerkt, ob ein Standort erfasst wurde (ja/nein). Bis dahin sind die Koordinaten im Arbeitszeit-Nachweis für die vom Kunden berechtigten Personen sichtbar (einschließlich eines Links zur Kartenansicht). Die Koordinaten werden getrennt vom Aktivitäten-Protokoll gespeichert und gelangen nicht in dieses (§ 13 Abs. 1).
5. 5.Die Aktivierung ist eine Weisung des Kunden. Der Kunde prüft vorab Rechtsgrundlage, Erforderlichkeit, Information der Beschäftigten, Mitbestimmung und das Erfordernis einer Datenschutz-Folgenabschätzung.

§ 15 Nachweise und Kontrollen

1. 1.BauDock stellt dem Kunden alle erforderlichen Informationen zum Nachweis der Einhaltung der Pflichten aus Art. 28 DSGVO zur Verfügung und ermöglicht Überprüfungen einschließlich Inspektionen durch den Kunden oder einen von ihm beauftragten, zur Verschwiegenheit verpflichteten Prüfer, der kein Wettbewerber von BauDock ist, und trägt dazu bei (Art. 28 Abs. 3 lit. h DSGVO).
2. 2.Stufenmodell: Der Nachweis erfolgt vorrangig durch (a) Selbstauskunft und Beantwortung eines angemessenen Fragenkatalogs, (b) aktuelle Dokumentation der TOM, (c) Zertifikate und Prüfberichte der Unterauftragsverarbeiter, soweit diese sie bereitstellen (z. B. SOC 2, ISO/IEC 27001), (d) künftig eigene Zertifizierungen oder Prüfberichte von BauDock. Reichen diese im Einzelfall nicht aus, kann der Kunde eine Remote-Prüfung (Videokonferenz, Einsicht in Konfigurationen) oder eine Vor-Ort-Prüfung verlangen.
3. 3.Vor-Ort-Prüfungen sind mit einer Frist von mindestens 4 Wochen anzukündigen, finden zu üblichen Geschäftszeiten ohne unverhältnismäßige Störung des Betriebs statt und sind grundsätzlich auf einmal je Kalenderjahr beschränkt, außer bei begründetem Anlass (z. B. Verletzung des Schutzes personenbezogener Daten, Anordnung einer Aufsichtsbehörde). Die Rechenzentren der Unterauftragsverarbeiter werden nicht vor Ort geprüft; an deren Stelle treten deren Nachweise.
4. 4.Jede Partei trägt ihre eigenen Kosten. BauDock kann für Vor-Ort- und Remote-Prüfungen, die einen Tag überschreiten, eine angemessene Vergütung verlangen, es sei denn, die Prüfung ergibt einen wesentlichen Verstoß von BauDock.
5. 5.Die Befugnisse der Aufsichtsbehörden bleiben unberührt.

§ 16 Pflichten des Kunden

1. 1.Der Kunde ist für die Rechtmäßigkeit der Verarbeitung, die Wahrung der Betroffenenrechte und die Information der Betroffenen verantwortlich, einschließlich der Eingeladenen Firmen, ihres Personals und der Käufer/Mieter.
2. 2.Der Kunde informiert BauDock unverzüglich, wenn er Fehler oder Unregelmäßigkeiten bei der Verarbeitung feststellt.
3. 3.Der Kunde benennt in Anlage 3 Weisungsberechtigte und hält die Angaben aktuell.

§ 17 Haftung

1. 1.Für die Haftung gegenüber betroffenen Personen gilt Art. 82 DSGVO. BauDock haftet danach für Schäden durch eine Verarbeitung nur, wenn BauDock den speziell den Auftragsverarbeitern auferlegten Pflichten nicht nachgekommen ist oder unter Nichtbeachtung oder gegen die rechtmäßig erteilten Weisungen des Kunden gehandelt hat (Art. 82 Abs. 2 S. 2 DSGVO).
2. 2.Innenverhältnis: Ist eine Partei einem Betroffenen gegenüber zum Schadensersatz verpflichtet, obwohl die andere Partei für den Schaden (ganz oder teilweise) verantwortlich ist, kann sie Rückgriff in Höhe des Verantwortungsanteils der anderen Partei nehmen (Art. 82 Abs. 5 DSGVO).
3. 3.Im Übrigen gelten für die Haftung der Parteien untereinander die Haftungsregelungen des Hauptvertrags (§ 24 AGB): unbeschränkte Haftung bei Vorsatz, grober Fahrlässigkeit, Verletzung des Lebens, des Körpers oder der Gesundheit, nach dem Produkthaftungsgesetz und aus übernommenen Garantien; bei einfacher Fahrlässigkeit Haftung nur bei Verletzung wesentlicher Vertragspflichten, begrenzt auf den vertragstypisch vorhersehbaren Schaden und insgesamt höchstens auf die Summe der Entgelte, die der Kunde in den 12 Monaten vor dem schädigenden Ereignis gezahlt hat. Diese Begrenzungen gelten nicht im Verhältnis zu Betroffenen und Aufsichtsbehörden. Geldbußen, die gegen eine Partei verhängt werden, trägt diese selbst; ein Rückgriff bei der anderen Partei kommt nur in Betracht, soweit die Geldbuße auf deren schuldhaftem Verstoß gegen diesen Vertrag beruht und der Rückgriff gesetzlich zulässig ist.

§ 18 Laufzeit, Kündigung, Schlussbestimmungen

1. 1.Dieser Vertrag tritt mit Abschluss des Hauptvertrags in Kraft und teilt dessen Laufzeit. Eine ordentliche Kündigung dieses Vertrags unabhängig vom Hauptvertrag ist ausgeschlossen; das Recht zur außerordentlichen Kündigung aus wichtigem Grund bleibt unberührt, insbesondere bei schwerwiegendem Verstoß gegen diesen Vertrag oder bei Verweigerung von Kontrollen.
2. 2.Änderungen dieses Vertrags teilt BauDock mindestens sechs Wochen vor Inkrafttreten in Textform mit (§ 31 AGB); der Kunde kann widersprechen. Änderungen zur Umsetzung zwingender gesetzlicher Vorgaben oder behördlicher Anordnungen sowie Aktualisierungen der Anlagen 1 und 2 nach §§ 6 und 9 bleiben vorbehalten.
3. 3.Sollten Daten des Kunden bei BauDock durch Pfändung, Beschlagnahme, Insolvenz- oder Vergleichsverfahren oder sonstige Maßnahmen Dritter gefährdet werden, informiert BauDock den Kunden unverzüglich und weist die Dritten darauf hin, dass die Hoheit über die Daten beim Kunden liegt.
4. 4.Es gilt deutsches Recht. Gerichtsstand ist, soweit zulässig, der Sitz von BauDock. Ist eine Bestimmung unwirksam, bleibt der Vertrag im Übrigen wirksam; an die Stelle tritt die Regelung, die den Anforderungen des Art. 28 DSGVO am nächsten kommt.
5. 5.Dieser Vertrag wird zusammen mit dem Hauptvertrag durch Unterzeichnung beider Parteien geschlossen (Unterschriftenfeld am Ende der Anlage 3). Die Unterzeichnung kann auf Papier oder durch eigenhändige Unterschrift auf einem elektronisch übermittelten Dokument (z. B. eingescanntes PDF) erfolgen; dies genügt der Form nach Art. 28 Abs. 9 DSGVO. Bietet BauDock künftig eine Online-Bestellung an, kann der Vertrag auch dort durch ausdrückliche Zustimmung geschlossen werden; BauDock protokolliert die Zustimmung dann mit Zeitpunkt, Konto, Person und Fassung. BauDock bewahrt das unterzeichnete Dokument auf und stellt dem Kunden den Text jederzeit zum Abruf und Download bereit.

Anlage 1 — Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

Stand: 28.09.2026. Grundsatz: Die Plattform läuft vollständig auf Infrastruktur der Unterauftragsverarbeiter (Anlage 2); BauDock betreibt keine eigenen Server oder Rechenzentren. Die physischen Maßnahmen richten sich daher nach den Nachweisen der Anbieter; BauDock verantwortet die Anwendungsebene, die Konfiguration und die eigene Organisation. BauDock ist ein Einzelunternehmen; Zugriff auf die Systeme und Kundendaten hat ausschließlich der Inhaber Nik Tödter.

1. Vertraulichkeit (Art. 32 Abs. 1 lit. b DSGVO)

1.1 Zutrittskontrolle

• Rechenzentren: Zutrittskontrolle durch die Infrastrukturanbieter der Unterauftragsverarbeiter (Vercel, Supabase) gemäß deren Sicherheitsnachweisen (SOC 2 bzw. ISO/IEC 27001 laut Angaben der Anbieter).
• Arbeitsplatz von BauDock: Die Administration erfolgt ausschließlich durch den Inhaber über dessen passwortgeschützte Endgeräte mit Bildschirmsperre. Kundendaten werden nicht auf Papier geführt und nicht auf externen Datenträgern gespeichert.

1.2 Zugangskontrolle (Systeme)

• Anmeldung der Nutzer über den Authentifizierungsdienst des Datenbankanbieters (Supabase Auth); Passwörter werden dort nur als Hash gespeichert.
• Geräte-Bindung: Die Anmeldung auf einem neuen Gerät erfordert einen Bestätigungscode, der per E-Mail zugestellt wird. Das Gerät wird durch ein vom Server gesetztes Cookie (bd_geraet, HttpOnly, in Produktion Secure, SameSite=Lax, Laufzeit 400 Tage ≈ 13 Monate) wiedererkannt; das Cookie ist durch Skripte der Seite nicht auslesbar oder löschbar und wird nur auf den Anmelde-Seiten und geschützten Pfaden gesetzt, nicht für Besucher der öffentlichen Website. Bestätigte Geräte werden 13 Monate nach letzter Nutzung automatisch gelöscht, nie bestätigte Geräte nach 30 Tagen.
• Begrenzung von Anfragen (Rate-Limiting) an Anmeldung, Eingabe des Gerätecodes, Einladung, Onboarding und Passwort-Zurücksetzung.
• Sitzungs-Cookies des Authentifizierungsdienstes; Übertragung ausschließlich TLS-verschlüsselt.
• Zugänge können vom Kunden vorübergehend deaktiviert (1 Stunde bis 1 Tag) oder entfernt werden; Passwort-Zurücksetzung durch Link oder einmalig angezeigtes Passwort.
• Administrative Zugänge von BauDock: Zwei-Faktor-Anmeldung für alle Administrationskonten aktiviert (GitHub, Vercel, Supabase, Resend, Anthropic, E-Mail). Geheime Schlüssel (insbesondere der Dienstschlüssel mit Administratorrechten der Datenbank) werden nur serverseitig in Umgebungsvariablen vorgehalten und nie an den Browser übermittelt.

1.3 Zugriffskontrolle (Daten)

• Row-Level-Security (RLS) in der Datenbank (PostgreSQL): Jede Abfrage wird in der Datenbank selbst gegen Unternehmen (Mandant), Projektbezug, Rolle und Freigabe geprüft; interne Rechte gelten nur für das eigene Unternehmen. Anonyme Datenbankzugriffe auf schutzbedürftige Tabellen sind gesperrt.
• Serverseitige Berechtigungsprüfungen in den API-Routen; Rollen-/Rechtemodell je Portal; Zugriff auf Dokumente, Protokolle, Fotos und Pläne nur für die erstellende Person und namentlich ausgewählte Personen (keine Gruppenfreigaben; Ausnahmen: der Betriebsinhaber sieht Arbeitszeiten und Daten seiner Mitarbeiter, interne Nutzer eines Bauträgers sehen Fotos der eigenen Bauvorhaben und Dokumente des eigenen internen Teams); Freigaben je Kalkulation; Umfang je Mitarbeiter-Zugang durch den Betriebsinhaber (Aus/Ansehen/Bearbeiten je Bereich).
• Dateien: Alle Dateien liegen in privaten Speicherbereichen. Eine Datei wird nur über eine zentrale Prüfstelle ausgeliefert, die Anmeldung bzw. Portal-Token und die Berechtigung zum konkreten Pfad prüft; Pfadmanipulationen werden abgewiesen. Nach erfolgreicher Prüfung wird ein signierter Link mit einer Stunde Gültigkeit serverseitig erzeugt und die Datei über die eigene Adresse ausgeliefert; die Speicheradresse gelangt nicht in den Browser; Zwischenspeicherung nur privat (nicht in geteilten Caches). Dateien der Wohnungsmappe sind auch über den persönlichen, nicht erratbaren Link des Käufers/Mieters (Portal-Token) abrufbar; auch hier prüft die Prüfstelle die Berechtigung zum konkreten Pfad.
• Gesamtexport: nur durch Admin-Profile des Bauträgers bzw. den Inhaber eines Betriebs mit Volllizenz auslösbar; jeder Export wird im Aktivitäten-Protokoll vermerkt.
• Projektphasen-Schreibschutz: Archivierte Projekte sind in der Datenbank schreibgeschützt.
• Zugriff von BauDock auf Kundendaten nur anlassbezogen (Support auf Anfrage, Fehlerbehebung, Sicherheit); Änderungen an Kundendaten erscheinen wie jede andere Änderung im Aktivitäten-Protokoll.

1.4 Trennungskontrolle (Mandantentrennung)

• Logische Mandantentrennung in einer gemeinsamen Datenbank durch RLS je Unternehmen; interne Nutzer eines Bauträgers erhalten keine Rechte an Daten anderer Unternehmen; Handwerks- und Planungsbetriebe werden nie Teil des Bauträger-Teams.
• Betriebsbereiche von Volllizenz-Kunden sind vom Projektraum des Bauträgers getrennt; Personal- und Lohndaten des Betriebs sind für den Bauträger nicht sichtbar.
• Entwicklung und Tests erfolgen mit synthetischen Testdaten; Kundendaten werden nicht zu Entwicklungs- oder Testzwecken verwendet.

1.5 Pseudonymisierung und Verschlüsselung (Art. 32 Abs. 1 lit. a DSGVO)

• Transportverschlüsselung (TLS) für alle Verbindungen zwischen Browser, Anwendung, Datenbank, Speicher und E-Mail-Dienst; HTTP Strict Transport Security (HSTS) erzwingt verschlüsselte Verbindungen.
• Verschlüsselung ruhender Daten durch die Anbieter (AES-256 laut Angaben der Anbieter).
• Interne Kennungen (UUIDs, Portal-Tokens) statt sprechender Namen in Dateipfaden und Verknüpfungen.
• Pseudonymisierung von Inhaltsdaten erfolgt funktionsbedingt nicht (die Nutzer sollen Namen sehen).

2. Integrität (Art. 32 Abs. 1 lit. b DSGVO)

2.1 Weitergabekontrolle

• Verschlüsselte Übertragung (TLS); signierte, zeitlich begrenzte Dateilinks; Weitergabe innerhalb der Plattform nur an Personen, denen namentlich Zugriff erteilt wurde; jede Person eines Bauträgers hat ein eigenes Postfach und eigene Chats (kein gemeinsames Unternehmenspostfach).
• E-Mail-Benachrichtigungen je Empfänger nur mit Opt-in; ausgenommen sicherheits- und arbeitszeitkritische Hinweise.
• Protokolle von Bauleitung/Handwerk werden nach außen nur als PDF/Druck weitergegeben; keine öffentlichen Freigabelinks für Angebote.
• Keine Einbindung von Drittdiensten zur Laufzeit außer den Unterauftragsverarbeitern nach Anlage 2: Schriften und Bibliotheken werden selbst ausgeliefert, QR-Codes lokal erzeugt.
• Sicherheits-Header: HSTS, X-Frame-Options, X-Content-Type-Options, Referrer-Policy und Permissions-Policy sind gesetzt; eine Content-Security-Policy ist im Beobachtungsmodus (Report-Only) eingerichtet und wird noch nicht durchgesetzt.

2.2 Eingabekontrolle

• Aktivitäten-Protokoll: Jede Änderung an Projekt- und Betriebsdaten wird durch Datenbank-Trigger automatisch erfasst (handelnde Person, Rolle/Portal, Zeitpunkt, Tabelle/Datensatz, Projekt, Unternehmen, Beteiligte; bei Änderungen nur die geänderten Felder „vorher → nachher“, beim Anlegen und Löschen der vollständige Datensatz; Standortkoordinaten gelangen nicht in das Protokoll; Personal-, Lohn- und Stundenablagen nur ohne Inhalt); das Öffnen/Herunterladen von Dateien wird über die Datei-Prüfstelle vermerkt (gleiche Datei derselben Person binnen 10 Minuten einmal). Das Protokoll ist append-only: Änderungen und Löschungen von Protokolleinträgen sowie Änderungen der bis zum 28.09.2026 gespeicherten digitalen Unterschriften (Altbestand) werden von der Datenbank abgewiesen, und zwar auch bei Zugriffen mit Administratorrechten; Nutzer können keine Einträge selbst anlegen oder verfälschen (Zugriffsregeln) — am 27.09.2026 im Livesystem geprüft. Für die Löschung nach Vertragsende und für Schwärzungen (§ 11 Abs. 2, § 13 Abs. 5) besteht ein kontrollierter Ausnahmeweg, der selbst protokolliert wird (Schwärzung mit Grund, handelnder Person und Zeitpunkt). Fehler bei der Aufzeichnung verhindern die Arbeit nicht, werden aber vermerkt.
• Arbeitszeit: Die Arbeitszeit-Tabelle ist in der Datenbank gegen Änderung und Löschung gesperrt; zulässig ist nur das einmalige Ausstempeln. Korrekturen erfolgen ausschließlich über das unveränderbare Arbeitszeit-Journal mit Begründung; statt einer Löschung wird storniert.
• Unterschriften: Seit dem 28.09.2026 wird in der Plattform nicht mehr unterschrieben; unterschrieben wird auf Papier, die unterschriebene Fassung wird als Datei beim Dokument abgelegt (Protokollstatus „unterschrieben“). Digitale Unterschriften aus der Zeit bis zum 28.09.2026 (Altbestand: Unterschriftsbild, Name, Rolle, Zeitstempel, bestätigter Wortlaut, IP-Adresse, Gerät/Browser, Ort, erfassende Person) bleiben unveränderbar gespeichert und werden nur angezeigt. Ihr Prüfwert (dokument_hash) wurde im Browser und ohne den Dokumentinhalt gebildet; ein Nachweis, dass das damals unterschriebene Dokument seither unverändert ist, ist nicht möglich.
• Rechnungen im Handwerker-Studio: fortlaufende Nummer, Festschreibung bei Ausstellung, Korrektur nur durch Storno.

3. Verfügbarkeit und Belastbarkeit (Art. 32 Abs. 1 lit. b und c DSGVO)

• Hosting auf skalierender Cloud-Infrastruktur (Vercel) mit verwalteter Datenbank (Supabase). Eine bestimmte Verfügbarkeit wird nicht zugesichert (AGB § 10).
• Datenbanksicherung: täglich durch den Datenbankanbieter (Supabase, Region eu-west-1), Aufbewahrung 7 Tage, danach Überschreiben im Rotationsverfahren.
• Dateispeicher: Dateien liegen im Dateispeicher des Datenbankanbieters (Supabase, Region eu-west-1 in Irland, auf Amazon S3 von AWS) und werden dort vom Anbieter redundant gespeichert. Sie sind nicht Teil der Datenbanksicherung; eine zusätzliche, gesonderte Sicherungskopie der Dateien erstellt BauDock nicht. Der Kunde kann jederzeit einen Gesamtexport einschließlich der Dateien erstellen (§ 7 Abs. 2).
• Wiederherstellung: aus der täglichen Datenbanksicherung über den Datenbankanbieter. Die Wiederherstellung aus der Datenbanksicherung wird vor Beginn des Wirkbetriebs und danach mindestens jährlich getestet und dokumentiert.

4. Verfahren zur regelmäßigen Überprüfung, Bewertung und Evaluierung (Art. 32 Abs. 1 lit. d DSGVO)

• Interne Sicherheitsprüfungen der Zugriffsregeln (zuletzt September 2026: Messung, dass anonyme Zugriffe gesperrt sind und RLS filtert).
• Versionsverwaltung aller Änderungen am Code; Veröffentlichung über nachvollziehbare Deployments.
• Datenschutzfreundliche Voreinstellungen (Art. 25 DSGVO): E-Mail-Benachrichtigungen nur mit Opt-in, Käufer/Mieter ohne Einsicht in Aktivitäten, Protokolle nur intern, Standorterfassung beim Stempeln standardmäßig aus, kein Standort bei Fotos und Entfernung der Bildmetadaten vor dem Hochladen, Reichweitenmessung nur auf öffentlichen Seiten.
• Automatische Löschung durch einen täglichen Löschlauf in der Datenbank (u. a. Bestätigungscodes nach höchstens 10 Minuten ungültig und geleert, Zähler der Anfragebegrenzung nach 1 Tag, nie bestätigte Geräte nach 30 Tagen, bestätigte Geräte 13 Monate nach letzter Nutzung, zurückgezogene Einladungen nach 30 Tagen, Standortkoordinaten beim Stempeln nach 3 Monaten); der Löschlauf führt ein Protokoll ohne Inhalte (Bereich, Anzahl, Zeitpunkt), das nach 3 Jahren gelöscht wird. Ein gesondertes Sicherheitsprotokoll wird nicht geführt.
• Ein externer Penetrationstest ist bisher nicht erfolgt; eine eigene Zertifizierung von BauDock besteht nicht. Diese Anlage wird bei wesentlichen Änderungen überprüft und angepasst.
• Ein Datenschutzbeauftragter ist nicht benannt (keine Benennungspflicht); Ansprechpartner für Datenschutz ist Nik Tödter.

5. Organisatorische Maßnahmen

• Zugriff auf Systeme und Kundendaten hat ausschließlich der Inhaber Nik Tödter. Werden weitere Personen eingesetzt, verpflichtet BauDock sie vor Aufnahme der Tätigkeit schriftlich auf Vertraulichkeit (§ 5), vergibt Berechtigungen nur im erforderlichen Umfang und unterweist sie im Datenschutz.
• Auswahl der Unterauftragsverarbeiter nach Sicherheitsnachweisen; Auftragsverarbeitungsverträge mit allen Unterauftragsverarbeitern (Anlage 2).
• Meldung von Verletzungen des Schutzes personenbezogener Daten an den Kunden nach § 8 Abs. 2 über nik.toedter@baudock.com bzw. +49 176 43752031.

Anlage 2 — Unterauftragsverarbeiter

Hinweise:

• Weitere Dienste werden zur Laufzeit nicht eingebunden; Schriften und Bibliotheken werden selbst ausgeliefert, QR-Codes lokal erzeugt.
• Die genannten Anbieter setzen ihrerseits Unterauftragsverarbeiter ein (insbesondere Cloud-Infrastruktur), deren Listen sie auf ihren Websites veröffentlichen; BauDock nennt die Fundstellen auf Anfrage.
• Keine Unterauftragsverarbeiter sind Dienste, zu denen ein Nutzer nur durch aktives Anklicken eines Links wechselt (z. B. Kartendienste).
• Die jeweils aktuelle Liste ist unter https://baudock.com/unterauftragsverarbeiter abrufbar; sie stimmt mit Abschnitt 15 der Datenschutzerklärung überein.

Anlage 3 — Weisungsberechtigte und Kontakte

Kunde

Alle Admin-Profile des Kunden gelten als berechtigt, Weisungen durch Nutzung der Plattform-Funktionen zu erteilen (§ 4 Abs. 2 lit. b). Einzelweisungen nach § 4 Abs. 2 lit. c nur durch die oben benannten Personen. Ist niemand benannt, ist die im Kundenkonto hinterlegte Hauptkontaktperson weisungsberechtigt und Empfänger von Meldungen.

BauDock

Änderungen teilen die Parteien einander unverzüglich in Textform mit.