Auftragsverarbeitungsvertrag

Vereinbarung über die Verarbeitung personenbezogener Daten im Auftrag nach Art. 28 DSGVO zwischen dem registrierten Betrieb (nachfolgend „Verantwortlicher") und Luan Tertini, Ödenburger Straße 54, 1210 Wien, Österreich, als Betreiber von Baushtell (nachfolgend „Auftragsverarbeiter"). Dieser Vertrag ist Bestandteil der AGB und wird mit der Registrierung abgeschlossen.

1. Gegenstand und Dauer

Gegenstand ist die Bereitstellung der Software Baushtell, mit der der Verantwortliche eigene Geschäftsdaten verwaltet. Die Dauer entspricht der Dauer des Nutzungsvertrags.

2. Art und Zweck der Verarbeitung

Speicherung, Anzeige und Verarbeitung der vom Verantwortlichen eingegebenen Daten, Erzeugung von Dokumenten (Angebote, Rechnungen, Stornobelege, Stundenzettel), Versand von Dokumenten und Erinnerungen per E-Mail im Auftrag des Verantwortlichen, Bereitstellung von Angeboten über einen Link für dessen Kunden, Speicherung von Beilagen zu Angeboten, die der Verantwortliche hochlädt und seinen Kunden mit dem Angebot zur Verfügung stellt, Speicherung von Fotos und Sprachnotizen zu Aufträgen sowie Export-Funktionen.

3. Art der Daten

• Stammdaten der Kunden des Verantwortlichen (Name, Adresse, Kontaktdaten, UID-Nummer)
• Beleg- und Auftragsdaten (Positionen, Beträge, Leistungszeiträume, Notizen)
• Mitarbeiterdaten des Verantwortlichen (Name, Kontaktdaten, Arbeitszeiten, Stundensätze)
• Abwesenheiten der Mitarbeiter (Urlaub, Krankenstand, sonstige Abwesenheit, jeweils nur als Zeitraum ohne Grund oder Diagnose). Der Krankenstand ist ein Gesundheitsdatum im Sinne von Art. 9 DSGVO und ist nur für den Verantwortlichen und die betroffene Person selbst sichtbar.
• Fotos und Sprachnotizen zu Aufträgen, die Personen zeigen oder deren Stimme enthalten können
• Beilagen zu Angeboten (z. B. Pläne, Gutachten, Begleitschreiben als PDF, Bild oder Word-Dokument), die personenbezogene Daten enthalten können
• Angaben, die Kunden des Verantwortlichen über den Angebotslink übermitteln (Name bei Annahme, Änderungswünsche, Ablehnungsgründe, Zeitpunkt der Öffnung)
• Freitexte, die der Verantwortliche erfasst

4. Kategorien betroffener Personen

• Kunden und Ansprechpartner des Verantwortlichen
• Mitarbeiter des Verantwortlichen

5. Pflichten des Auftragsverarbeiters

Der Auftragsverarbeiter

• verarbeitet die Daten ausschließlich im Rahmen dieses Vertrags und der über die Software erteilten Weisungen des Verantwortlichen (Art. 28 Abs. 3 lit. a DSGVO) und informiert ihn, wenn er eine Weisung für rechtswidrig hält;
• stellt sicher, dass zur Verarbeitung befugte Personen zur Vertraulichkeit verpflichtet sind (lit. b);
• trifft die technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO (lit. c, siehe Punkt 7);
• zieht Subauftragsverarbeiter nur nach Maßgabe von Punkt 6 bei (lit. d);
• unterstützt den Verantwortlichen bei der Beantwortung von Anträgen betroffener Personen, soweit möglich mit den Export- und Bearbeitungsfunktionen der Software (lit. e);
• unterstützt den Verantwortlichen bei den Pflichten aus Art. 32 bis 36 DSGVO und meldet ihm Verletzungen des Schutzes personenbezogener Daten unverzüglich (lit. f);
• löscht nach Ende der Nutzung alle personenbezogenen Daten, sofern keine gesetzliche Aufbewahrungspflicht entgegensteht; der Verantwortliche kann seine Daten vorher über die Export-Funktionen sichern (lit. g);
• stellt dem Verantwortlichen alle erforderlichen Informationen zum Nachweis der Einhaltung dieses Vertrags zur Verfügung (lit. h).

6. Subauftragsverarbeiter

Der Verantwortliche erteilt die allgemeine Genehmigung zum Einsatz der folgenden Subauftragsverarbeiter. Über beabsichtigte Änderungen wird er per E-Mail informiert und kann ihnen widersprechen; im Widerspruchsfall kann er den Nutzungsvertrag beenden.

• Cloudflare, Inc. (USA, mit EU-Niederlassungen): Hosting, Auslieferung, Objektspeicher für Beleg-PDFs, Beilagen zu Angeboten und Auftragsmedien (z. B. Baustellenfotos) mit Speicherung in der EU (Jurisdiction EU)
• Supabase, Inc. (USA), Infrastruktur in der EU-Region eu-central-1 (Frankfurt): Datenbank, Anmeldung und Speicher für Firmenlogos
• Resend, Inc. (USA): Versand transaktionaler E-Mails (Beleg-Mails, Erinnerungen, Einladungen) im Auftrag des Verantwortlichen
• Stripe Payments Europe, Ltd. (Irland): Abrechnung des Baushtell-Abos. Verarbeitet werden ausschließlich Abrechnungsdaten des Betriebs (Firmenname, Anschrift, UID, E-Mail, Zahlungsmittel); Kunden-, Beleg- und Zeitdaten des Betriebs werden nicht an Stripe übermittelt
• Functional Software, Inc. (Sentry) (USA), Datenempfang über EU-Infrastruktur: technische Fehlerdiagnose
• Microsoft Ireland Operations Ltd. (Irland): Nutzungsanalyse (Clarity), nur bei Einwilligung des jeweiligen Nutzers

Soweit dabei Daten in Drittländer übermittelt werden, stützt sich die Übermittlung auf einen Angemessenheitsbeschluss (etwa das EU-US Data Privacy Framework bei zertifizierten Anbietern) oder auf EU-Standardvertragsklauseln (Art. 46 DSGVO).

7. Technische und organisatorische Maßnahmen

• Verschlüsselte Übertragung (TLS) und verschlüsselte Speicherung
• Mandantentrennung auf Datenbankebene (Row Level Security), Zugriff nur nach Anmeldung und Rollenprüfung
• Speicherung in EU-Regionen (Datenbank: Frankfurt, Dateien: EU-Jurisdiction)
• Protokollierung von Änderungen an Geschäftsdaten (Audit-Log)
• Zugriff auf Produktionssysteme nur durch den Betreiber, nach dem Prinzip der geringsten Berechtigung

8. Dauer der Verarbeitung und Löschung

Die Verarbeitung endet mit dem Nutzungsvertrag. Danach werden die Daten gelöscht, soweit keine gesetzlichen Pflichten entgegenstehen. Die Einhaltung der Aufbewahrungspflichten des Verantwortlichen (u. a. § 132 BAO) liegt bei diesem; die Software stellt dafür Export-Funktionen bereit.

Beantragt der Verantwortliche in der Software die Löschung seines Kontos, löscht der Auftragsverarbeiter 14 Tage danach alle Daten des Verantwortlichen aus Datenbank und Dateispeicher, einschließlich der Zugänge seiner Mitarbeiter. Die Löschung ist endgültig; eine Wiederherstellung aus einer Sicherung findet nicht statt. Aufbewahrt bleibt nur ein Nachweis der Löschung (Kennung des Betriebs, Antrags- und Löschdatum).

9. Schlussbestimmungen

Es gilt österreichisches Recht. Bei Widersprüchen zwischen diesem Vertrag und den AGB geht in Datenschutzfragen dieser Vertrag vor.

Stand: 22. Oktober 2026