Auftragsverarbeitungsvertrag (AVV)

1. (1)Der Kunde ist datenschutzrechtlich Verantwortlicher ("Verantwortlicher") für die personenbezogenen Daten, die er über BauKIT verarbeitet — insbesondere die in hochgeladenen Plänen und Eingaben enthaltenen Daten. Devion Digitalagentur Wienist insoweit Auftragsverarbeiter ("Auftragsverarbeiter").
2. (2)Gegenstand ist die Verarbeitung personenbezogener Daten zur Erbringung der in den AGB beschriebenen Leistungen (KI-gestützte Mengenermittlung und Erstellung von Leistungsverzeichnissen aus Einreichplänen).
3. (3)Die Dauer der Verarbeitung entspricht der Laufzeit des Nutzungsvertrags zuzüglich der vereinbarten Lösch-/Rückgabefristen.

Art und Zweck der Verarbeitung: Speicherung, Auslesen, Analyse und Verarbeitung von Plandaten und Eingaben zur automatisierten Erstellung von Mengenermittlungen und bepreisten Leistungsverzeichnissen, einschließlich der Übermittlung an die in § 6 genannten Sub-Auftragsverarbeiter.

Arten personenbezogener Daten (typischerweise):

• Kontakt- und Kontodaten des Kunden bzw. seiner Nutzer (z. B. Name, E-Mail)
• Firmen-/Bearbeiterdaten (z. B. Firmenname, Adresse, USt-IdNr.)
• in Plänen enthaltene Daten Dritter (z. B. Name und Adresse von Bauherren, Grundstücksangaben, Angaben Planverfasser)
• frei eingegebene Inhalte in Chat-/Eingabefeldern

Kategorien betroffener Personen: Nutzer des Kunden, Bauherren bzw. Auftraggeber, Planverfasser und sonstige in den Unterlagen genannte Personen.

Eine Verarbeitung besonderer Kategorien personenbezogener Daten (Art. 9 DSGVO) ist nicht vorgesehen; der Kunde lädt solche Daten nicht hoch.

1. (1)Der Auftragsverarbeiter verarbeitet die Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen, soweit er nicht durch das Unionsrecht oder das Recht der Mitgliedstaaten zur Verarbeitung verpflichtet ist.
2. (2)Die vertragsgemäße Nutzung des Dienstes durch den Kunden gilt als dokumentierte Weisung. Zusätzliche Einzelweisungen sind in Textform an office@baukit.at zu richten.
3. (3)Hält der Auftragsverarbeiter eine Weisung für rechtswidrig, informiert er den Verantwortlichen; er ist berechtigt, die Ausführung bis zur Bestätigung auszusetzen.

• Verarbeitung nur gemäß Weisung sowie Vertraulichkeit: zur Verarbeitung befugte Personen werden zur Vertraulichkeit verpflichtet.
• Umsetzung geeigneter technischer und organisatorischer Maßnahmen nach Art. 32 DSGVO (siehe § 5).
• Unterstützung des Verantwortlichen bei Betroffenenrechten und Datenschutz-Pflichten (Art. 32–36 DSGVO) im Rahmen des Möglichen.
• Unterstützung bei der Erfüllung von Auskunfts-, Berichtigungs-, Lösch- und Einschränkungsersuchen betroffener Personen.
• Löschung oder Rückgabe der Daten nach Beendigung (siehe § 10).
• Bereitstellung der zum Nachweis erforderlichen Informationen (siehe § 11).

1. (1)Der Auftragsverarbeiter trifft angemessene technische und organisatorische Maßnahmen zum Schutz der Daten, insbesondere: Transportverschlüsselung (TLS), Zugriffskontrolle über Authentifizierung und rollenbasierte Rechte, Mandantentrennung, Speicherung in gesicherter Cloud-Infrastruktur sowie Auswahl datenschutzkonformer Subdienstleister.
2. (2)Die detaillierten Maßnahmen sind in einem gesonderten TOM-Dokument beschrieben, das auf Anfrage bereitgestellt und dem Stand der Technik entsprechend fortgeschrieben wird.

1. (1)Der Verantwortliche stimmt dem Einsatz der nachstehend genannten Sub-Auftragsverarbeiter zu. Mit jedem Subdienstleister bestehen bzw. werden Verträge geschlossen, die ein Datenschutzniveau gemäß Art. 28 DSGVO sicherstellen.
2. (2)Über beabsichtigte Änderungen (Hinzuziehung oder Austausch) informiert der Auftragsverarbeiter rechtzeitig in Textform; der Verantwortliche kann aus wichtigem datenschutzrechtlichem Grund widersprechen.

Soweit Daten an Sub-Auftragsverarbeiter außerhalb der EU/des EWR übermittelt werden (in der Liste als "Drittland" gekennzeichnet, u. a. USA), erfolgt dies auf Grundlage geeigneter Garantien nach Art. 46 DSGVO, insbesondere der EU-Standardvertrags- klauseln (SCC), ergänzt um erforderliche zusätzliche Maßnahmen. Die konkreten Garantien je Anbieter sind in den jeweiligen Datenverarbei- tungsverträgen (DPA) dokumentiert.

Wendet sich eine betroffene Person direkt an den Auftragsverarbeiter, leitet dieser das Anliegen unverzüglich an den Verantwortlichen weiter. Der Auftragsverarbeiter unterstützt den Verantwortlichen mit geeigneten technischen und organisatorischen Mitteln bei der Erfüllung von Betroffenenrechten (Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit, Widerspruch).

Der Auftragsverarbeiter informiert den Verantwortlichen unverzüglich nach Bekanntwerden einer Verletzung des Schutzes personenbezogener Daten, die die vom Auftrag umfassten Daten betrifft, und stellt die zur Erfüllung der Melde- und Benachrichtigungspflichten (Art. 33, 34 DSGVO) erforderlichen Informationen bereit.

1. (1)Nach Abschluss der Verarbeitung löscht der Auftragsverarbeiter die personenbezogenen Daten oder gibt sie nach Wahl des Verantwortlichen zurück, sofern keine gesetzliche Aufbewahrungspflicht entgegensteht.
2. (2)Der Kunde kann Unterhaltungen und hochgeladene Pläne im Dienst löschen; die Löschung umfasst die zugehörigen Dateien und Datenbankeinträge. In Sicherungskopien (Backups) können Daten für einen begrenzten Zeitraum von bis zu 30 Tagen verbleiben und werden anschließend überschrieben.

Der Auftragsverarbeiter stellt dem Verantwortlichen die zum Nachweis der Einhaltung der Pflichten aus Art. 28 DSGVO erforderlichen Informationen zur Verfügung und ermöglicht angemessene Überprüfungen, soweit dies den Geschäftsbetrieb nicht unverhältnismäßig beeinträchtigt. Nachweise können auch durch geeignete Zertifizierungen oder Berichte der Subdienstleister erbracht werden.

1. (1)Bei Widersprüchen zwischen diesem AVV und den AGB gehen hinsichtlich der Datenverarbeitung die Regelungen dieses AVV vor.
2. (2)Es gilt österreichisches Recht; im Übrigen gelten die Schlussbestimmungen der AGB sinngemäß.