Gegenstand des Vertrages ist die Verarbeitung personenbezogener Daten durch Werkboard (nachfolgend "Auftragnehmer") im Rahmen der Bereitstellung der SaaS-Plattform Werkboard für den Kunden (nachfolgend "Auftraggeber").
Die Vereinbarung gilt für die gesamte Laufzeit der Hauptleistung (SaaS-Subscription). Sie endet automatisch mit dem Ende des Hauptvertrages und verpflichtet den Auftragnehmer zur Rückgabe oder Löschung aller verarbeiteten Daten gemäß Abschnitt 11.
Der Auftragnehmer verarbeitet die übermittelten Daten ausschließlich zum Zweck der automatisierten Erstellung von Baudokumentationen (Dokumentationen, Tagebücher, Regiestunden-Nachweise) auf Basis hochgeladener Fotos, Sprachaufnahmen und Texte.
Die Verarbeitung erfolgt automatisiert unter Einsatz von KI-Diensten (OpenAI). Eine darüber hinausgehende Nutzung – insbesondere zu eigenen Werbe- oder Trainingszwecken – erfolgt nicht.
Verarbeitet werden folgende Kategorien personenbezogener Daten:
• Stammdaten des Auftraggebers (Firmenname, Anschrift, Kontaktdaten, USt-ID)
• Account-Daten der Nutzer (Name, E-Mail-Adresse, Rolle, Passwort-Hash)
• Inhaltsdaten: Fotos von Baustellen, Sprachaufnahmen, freie Texte sowie daraus generierte Texte und PDFs
• Metadaten: Zeitstempel, IP-Adresse zum Zeitpunkt der AVV-Zustimmung
GPS-Metadaten (EXIF) werden beim Foto-Upload serverseitig entfernt und nicht gespeichert.
• Mitarbeiter und Geschäftsführung des Auftraggebers (Account-Nutzer)
• Auftraggeber des Auftraggebers (Bauherren, Architekten – soweit in Dokumenten genannt)
• Dritte Personen, die zufällig auf hochgeladenen Baustellen-Fotos abgebildet sind
Der Auftraggeber stellt sicher, dass für die Verarbeitung dieser Daten eine geeignete Rechtsgrundlage besteht.
Der Auftraggeber ist datenschutzrechtlich Verantwortlicher im Sinne des Art. 4 Nr. 7 DSGVO. Er ist verantwortlich für die Rechtmäßigkeit der Datenerhebung und der Übermittlung an den Auftragnehmer.
Der Auftraggeber kann die Einhaltung der Vorschriften jederzeit überprüfen und vom Auftragnehmer entsprechende Nachweise verlangen.
Der Auftragnehmer verarbeitet die Daten ausschließlich nach dokumentierten Weisungen des Auftraggebers. Diese ergeben sich aus der Nutzung der Plattform sowie aus dem Hauptvertrag.
Der Auftragnehmer gewährleistet die Vertraulichkeit aller mit der Verarbeitung befassten Personen durch Verpflichtungserklärung oder vergleichbare gesetzliche Regelung.
Der Auftragnehmer unterstützt den Auftraggeber bei der Beantwortung von Betroffenenanfragen (Art. 12–22 DSGVO) sowie bei der Erfüllung seiner Pflichten nach Art. 32–36 DSGVO.
Der Auftragnehmer kann zur Bearbeitung von Supportanfragen oder zur Behebung technischer Störungen vorübergehend im Namen eines Nutzers des Auftraggebers handeln ("Support-Zugriff"). Der Zugriff erfolgt ausschließlich weisungsgebunden im Rahmen dieser Vereinbarung.
Ein Support-Zugriff erfolgt nur durch berechtigtes, zur Vertraulichkeit verpflichtetes Personal des Auftragnehmers und nur unter Angabe eines dokumentierten Grundes (Zweckbindung).
Jede Support-Sitzung ist zeitlich begrenzt und endet automatisch nach einer technisch festgelegten Höchstdauer (derzeit 45 Minuten). Sicherheitskritische Aktionen – insbesondere Passwort- und Zwei-Faktor-Einstellungen, Abonnement- und Zahlungsvorgänge, Kontolöschung sowie die AVV-Zustimmung – sind während eines Support-Zugriffs technisch gesperrt.
Der Auftraggeber kann sämtliche Support-Zugriffe jederzeit kostenfrei im Verwaltungsbereich ("Verwaltung → Support-Zugriffe") einsehen. Protokolliert werden Zeitpunkt, handelnde Person, betroffener Nutzer, Grund und Dauer der Sitzung.
Der Auftragnehmer kopiert oder exportiert im Rahmen eines Support-Zugriffs keine personenbezogenen Daten über das für die Bearbeitung der Anfrage erforderliche Maß hinaus.
Der Auftragnehmer trifft folgende Maßnahmen gemäß Art. 32 DSGVO:
• Verschlüsselung der Datenübertragung (TLS 1.3) und der Daten im Ruhezustand (AES-256 in Object Storage)
• Mandantentrennung auf Datenbank- und Storage-Ebene (Isolation per Company-ID)
• Zugriffskontrolle: Authentifizierung mit Passwort-Hashing (bcrypt) und optional Zwei-Faktor-Authentifizierung
• Automatisches Entfernen von EXIF/GPS-Metadaten bei Foto-Uploads
• Logging ohne sensible Personen- oder Inhaltsdaten, max. 90 Tage Aufbewahrung
• Regelmäßige Backups in deutschen Rechenzentren (Hetzner)
Der Auftraggeber stimmt der Einschaltung der nachstehend aufgeführten Sub-Auftragsverarbeiter zu. Die Liste wird unter dieser Vereinbarung aktuell gehalten; eine Änderung wird dem Auftraggeber rechtzeitig vor Wirksamwerden mitgeteilt.
Bei Übermittlung in Drittländer (USA) stützt sich der Auftragnehmer auf die EU-Standardvertragsklauseln (SCCs) gemäß Durchführungsbeschluss (EU) 2021/914 sowie auf die jeweiligen Data Processing Addendums (DPA) der Anbieter.
Die Haftung der Parteien richtet sich nach Art. 82 DSGVO sowie den Haftungsregelungen des Hauptvertrages. Der Auftragnehmer haftet für Schäden, die durch eine ihm zurechenbare Pflichtverletzung dieser Vereinbarung entstehen.
Nach Beendigung des Hauptvertrages werden alle personenbezogenen Daten des Auftraggebers innerhalb von 90 Tagen unwiderruflich gelöscht. Auf ausdrückliche Anforderung erfolgt vorher ein vollständiger Export der Daten in einem strukturierten, maschinenlesbaren Format (JSON).
Gesetzliche Aufbewahrungspflichten (z. B. handels- oder steuerrechtlich) bleiben hiervon unberührt.
Sollten einzelne Bestimmungen dieser Vereinbarung unwirksam sein oder werden, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt. Es gilt deutsches Recht.
Diese Vereinbarung wird durch Klick auf "AVV akzeptieren" rechtsgültig geschlossen. Name, IP-Adresse und Zeitpunkt der Zustimmung werden zur Beweissicherung gespeichert.
| Anbieter | Sitz | Zweck | Rechtsgrundlage |
|---|---|---|---|
| OpenAI, L.L.C. | USA | KI-gestützte Analyse von Fotos und Texten sowie Sprach-zu-Text-Transkription von Audio-Aufnahmen (OpenAI API, u. a. GPT-4o & Whisper) | DPA + Standardvertragsklauseln (SCCs) |
| Stripe Payments Europe, Ltd. | Irland (EU) / USA | Abwicklung der Subscription-Zahlungen | DPA + Standardvertragsklauseln (SCCs) |
| Hetzner Online GmbH | Deutschland | Hosting der Anwendung und Object Storage (S3) für Foto-/PDF-Dateien | AVV nach Art. 28 DSGVO |
| Postmark (ActiveCampaign, LLC) | EU-Region | Versand transaktionaler E-Mails (Login, Passwort-Reset) | DPA |