Vertrag zur Auftragsverarbeitung

Gemäß Art. 28 DSGVO · Stand: 1. Juli 2026

Dieser Vertrag wird geschlossen zwischen dem Kunden des SaaS-Dienstes Bausento (nachfolgend "Verantwortlicher") und der Voisento GmbH, Röhrer Weg 8, 71032 Böblingen (nachfolgend "Auftragsverarbeiter"). Er konkretisiert die datenschutzrechtlichen Pflichten der Parteien aus dem zugrundeliegenden Hauptvertrag (Bausento-Nutzungsvertrag inkl. AGB).

§ 1 Gegenstand und Dauer der Verarbeitung

(1) Gegenstand dieses Vertrages ist die Verarbeitung personenbezogener Daten durch den Auftragsverarbeiter im Rahmen der Bereitstellung des SaaS-Dienstes Bausento für den Verantwortlichen.

(2) Dieser Vertrag gilt für die Dauer des Hauptvertrages. Er endet automatisch mit dem Hauptvertrag, soweit sich aus diesem AVV nicht nachvertragliche Verpflichtungen ergeben.

§ 2 Art und Zweck der Verarbeitung

(1) Art der Verarbeitung: Speichern, Lesen, Auswerten, Strukturieren, Transkribieren, Aufzeichnen, Bereitstellen, Exportieren, Übermitteln, Anonymisieren und Löschen.

(2) Zweck der Verarbeitung: Bereitstellung der vertraglich vereinbarten SaaS-Funktionalitäten (Voice-Input, Speech-to-Text, Feldextraktion, PDF-Erzeugung, Versand, Speicherung von Baustellenaufnahmen sowie, optional, automatisierte Sprachkommunikation per Telefonie, ein- und ausgehend/Outbound) zugunsten des Verantwortlichen.

(3) Die Verarbeitung erfolgt ausschließlich in Mitgliedstaaten der EU oder einem anderen Vertragsstaat des Abkommens über den Europäischen Wirtschaftsraum, sofern in Anhang 1 nicht anders angegeben.

§ 3 Art der Daten und Kategorien betroffener Personen

(1) Verarbeitete Datenarten:

• Stammdaten der Nutzer des Verantwortlichen (Name, E-Mail, Telefonnummer, Rolle)
• Authentifizierungsdaten (E-Mail, Passwort-Hash, Session-Tokens)
• Nutzungs- und Telemetriedaten (Geräteklasse, Zeitstempel, App-Aktionen)
• Audio-Aufnahmen aus Baustellenbesichtigungen einschließlich darin enthaltener personenbezogener Informationen
• Foto-Uploads von Baustellen einschließlich ggf. abgebildeter Personen und EXIF-Metadaten
• Aus Sprache extrahierte strukturierte Datenfelder (Kundenname, Adresse, Maße, Materialien, Anmerkungen)
• Erzeugte PDF-Dokumente sowie deren Versanddaten (Empfänger-E-Mail, Versandzeitpunkt)
• Bei Nutzung der Telefonie-Funktion (ein- und ausgehend/Outbound): Telefonnummern, Anrufaufzeichnungen, Gesprächstranskripte sowie Verbindungs- und Metadaten

(2) Kategorien betroffener Personen:

• Mitarbeiter und Inhaber des Verantwortlichen (Nutzer des Dienstes)
• Endkunden des Verantwortlichen (z. B. Bauherren, Auftraggeber), deren Daten in Aufnahmen verarbeitet werden
• Weitere am Baustellenprozess beteiligte Personen, deren Daten in Audio- oder Foto-Aufnahmen erfasst werden

§ 4 Pflichten des Auftragsverarbeiters

(1) Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen. Eine Verarbeitung für eigene Zwecke ist ausgeschlossen, soweit nicht eine gesetzliche Verpflichtung etwas anderes vorschreibt; in diesem Fall teilt der Auftragsverarbeiter dem Verantwortlichen diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern dies gesetzlich zulässig ist.

(2) Der Auftragsverarbeiter gewährleistet, dass die zur Verarbeitung befugten Personen zur Vertraulichkeit verpflichtet sind oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen.

(3) Der Auftragsverarbeiter trifft alle erforderlichen technischen und organisatorischen Maßnahmen gemäß Art. 32 DSGVO (siehe Anhang 2).

(4) Der Auftragsverarbeiter beachtet die Bedingungen für die Inanspruchnahme weiterer Auftragsverarbeiter gemäß § 7.

(5) Der Auftragsverarbeiter unterstützt den Verantwortlichen mit geeigneten technischen und organisatorischen Maßnahmen bei der Erfüllung von Betroffenenrechten und Pflichten nach Art. 32 bis 36 DSGVO.

(6) Der Auftragsverarbeiter stellt dem Verantwortlichen alle erforderlichen Informationen zum Nachweis der Einhaltung seiner Pflichten zur Verfügung.

§ 5 Pflichten des Verantwortlichen

(1) Der Verantwortliche ist für die Beurteilung der Zulässigkeit der Verarbeitung sowie für die Wahrung der Rechte der betroffenen Personen allein verantwortlich.

(2) Der Verantwortliche stellt sicher, dass er hinsichtlich der in den Dienst eingestellten Inhalte zur Verarbeitung berechtigt ist und alle erforderlichen Informations- und Einwilligungspflichten gegenüber den betroffenen Personen erfüllt hat.

(3) Der Verantwortliche benennt einen Ansprechpartner für datenschutzbezogene Anfragen, die sich aus diesem Vertrag ergeben.

§ 6 Weisungen

(1) Die Verarbeitung erfolgt im durch den Hauptvertrag definierten Funktionsumfang. Konfigurationen und Eingaben des Verantwortlichen über die Benutzeroberfläche gelten als Einzelweisungen.

(2) Weisungen, die über den Funktionsumfang des Dienstes hinausgehen, bedürfen der Textform. Der Auftragsverarbeiter wird den Verantwortlichen unverzüglich informieren, wenn er der Auffassung ist, dass eine Weisung gegen datenschutzrechtliche Vorschriften verstößt. Der Auftragsverarbeiter ist berechtigt, die Ausführung einer solchen Weisung bis zur Bestätigung oder Änderung durch den Verantwortlichen auszusetzen.

§ 7 Sub-Auftragsverarbeiter

(1) Der Verantwortliche stimmt der Einschaltung der in Anhang 1 aufgeführten Sub-Auftragsverarbeiter zu.

(2) Der Auftragsverarbeiter informiert den Verantwortlichen über beabsichtigte Änderungen in Bezug auf die Hinzuziehung oder Ersetzung weiterer Sub-Auftragsverarbeiter mindestens 30 Tage im Voraus per E-Mail an die im Account hinterlegte Adresse. Der Verantwortliche kann gegen solche Änderungen innerhalb von 14 Tagen aus wichtigem Grund Einspruch erheben. Im Fall eines berechtigten Einspruchs steht beiden Parteien ein Sonderkündigungsrecht zum geplanten Wirksamwerden zu.

(3) Der Auftragsverarbeiter verpflichtet seine Sub-Auftragsverarbeiter zu datenschutzrechtlichen Pflichten, die denen dieses Vertrages mindestens entsprechen.

(4) Soweit Sub-Auftragsverarbeiter über kostenpflichtige API-Schnittstellen eingebunden werden, stellt der Auftragsverarbeiter sicher, dass diese die Daten nicht zu eigenen Zwecken oder zu Trainingszwecken nutzen. Für Übermittlungen in Drittländer außerhalb des EWR stützt sich der Auftragsverarbeiter auf die Standardvertragsklauseln (SCC) gemäß Art. 46 Abs. 2 lit. c DSGVO. Er hat für jeden betroffenen Sub-Auftragsverarbeiter eine Bewertung der Rechtslage im Empfängerland vorgenommen (Transfer Impact Assessment) und stellt diese dem Verantwortlichen auf Anfrage zur Verfügung. Ergänzende Schutzmaßnahmen sind insbesondere: Verschlüsselung bei der Übertragung (TLS 1.3) und im Ruhezustand (AES-256), das vertragliche Verbot der Datennutzung zu Trainingszwecken sowie die Verpflichtung der Sub-Auftragsverarbeiter, bei behördlichen Zugriffsanfragen zu benachrichtigen, soweit rechtlich zulässig.

(5) Der Auftragsverarbeiter überprüft diese Bewertung mindestens jährlich sowie anlassbezogen bei wesentlichen Änderungen der Rechtslage im Empfängerland und informiert den Verantwortlichen über relevante Änderungen.

§ 8 Technische und organisatorische Maßnahmen

Der Auftragsverarbeiter hat die in Anhang 2 beschriebenen technischen und organisatorischen Maßnahmen getroffen und während der Vertragsdauer aufrechtzuerhalten. Der Auftragsverarbeiter darf die Maßnahmen weiterentwickeln, sofern das Schutzniveau nicht unterschritten wird.

§ 9 Unterstützungspflichten

(1) Der Auftragsverarbeiter unterstützt den Verantwortlichen bei der Beantwortung von Anträgen betroffener Personen (Auskunft, Berichtigung, Löschung, Einschränkung, Übertragbarkeit, Widerspruch) durch geeignete Funktionen des Dienstes (z. B. Datenexport, Lösch-Funktion) sowie ergänzend auf Anfrage.

(2) Wendet sich eine betroffene Person direkt an den Auftragsverarbeiter, wird dieser den Antrag unverzüglich an den Verantwortlichen weiterleiten.

(3) Der Auftragsverarbeiter unterstützt den Verantwortlichen bei der Datenschutz-Folgenabschätzung (Art. 35 DSGVO) und der vorherigen Konsultation der Aufsichtsbehörde (Art. 36 DSGVO) durch Bereitstellung notwendiger Informationen.

(4) Soweit dieser Aufwand erheblich über die Pflichten aus dem Hauptvertrag hinausgeht, kann der Auftragsverarbeiter eine angemessene Vergütung verlangen. Der Verantwortliche wird vor Beginn der Tätigkeit über die Vergütungspflicht informiert.

§ 10 Meldung von Datenschutzverletzungen

(1) Der Auftragsverarbeiter meldet dem Verantwortlichen Verletzungen des Schutzes personenbezogener Daten unverzüglich, spätestens jedoch innerhalb von 36 Stunden nach Kenntnisnahme. Ist innerhalb dieser Frist noch keine vollständige Bewertung möglich, erfolgt zunächst eine Erstmeldung mit den bis dahin bekannten Informationen; die vollständige Meldung wird unverzüglich nachgereicht.

(2) Die Meldung enthält mindestens die in Art. 33 Abs. 3 DSGVO genannten Informationen (Art des Vorfalls, betroffene Datenkategorien und ungefähre Zahl der Betroffenen, wahrscheinliche Folgen sowie ergriffene und vorgeschlagene Maßnahmen), soweit diese dem Auftragsverarbeiter vorliegen. Ein detaillierter schriftlicher Bericht folgt binnen 5 Werktagen.

(3) Der Auftragsverarbeiter unterstützt den Verantwortlichen bei der Erfüllung seiner Pflichten nach Art. 33 und 34 DSGVO, insbesondere bei der fristgerechten Meldung an die Aufsichtsbehörde (binnen 72 Stunden) und der Benachrichtigung betroffener Personen.

§ 11 Kontrollrechte und Audits

(1) Der Verantwortliche hat das Recht, sich von der Einhaltung der Pflichten des Auftragsverarbeiters aus diesem Vertrag zu überzeugen.

(2) Der Nachweis erfolgt vorrangig durch Vorlage aktueller Zertifikate, Audit-Berichte oder Selbstauskünfte (z. B. ISO 27001-Zertifikate des Rechenzentrums, SOC 2-Berichte der Sub-Auftragsverarbeiter, sofern verfügbar).

(3) Reichen die unter Absatz 2 genannten Nachweise nicht aus, kann der Verantwortliche eine Vor-Ort-Prüfung durch sich selbst oder einen beauftragten neutralen Prüfer durchführen. Die Prüfung ist mit einer angemessenen Vorankündigungsfrist von mindestens 4 Wochen abzustimmen und während der üblichen Geschäftszeiten ohne Störung des Betriebsablaufs durchzuführen. Die Kosten trägt der Verantwortliche, sofern die Prüfung keine wesentlichen Verstöße aufdeckt.

§ 12 Rückgabe und Löschung von Daten

(1) Nach Beendigung der Verarbeitungstätigkeiten stellt der Auftragsverarbeiter dem Verantwortlichen für einen Zeitraum von 30 Tagen einen Datenexport zur Verfügung. Nach Ablauf dieser Frist löscht der Auftragsverarbeiter alle personenbezogenen Daten in den produktiven Systemen.

(2) Backup-Kopien werden im Rahmen der rollierenden Backup-Aufbewahrung spätestens nach 90 Tagen überschrieben. Während dieses Zeitraums werden die Backups ausschließlich zu Disaster-Recovery-Zwecken vorgehalten und gegen unbefugten Zugriff besonders gesichert.

(3) Gesetzliche Aufbewahrungspflichten bleiben unberührt; betroffene Daten sind in diesem Fall von der Löschung auszunehmen und vor weiterer Verarbeitung zu schützen.

(4) Die Löschung wird dem Verantwortlichen auf Anfrage in Textform bestätigt.

§ 13 Haftung

(1) Der Auftragsverarbeiter haftet bei Vorsatz und grober Fahrlässigkeit unbeschränkt. Bei einfacher Fahrlässigkeit haftet er nur für Schäden aus der Verletzung des Lebens, des Körpers oder der Gesundheit sowie für die Verletzung wesentlicher Vertragspflichten (Kardinalpflichten).

(2) Bei der Verletzung von Kardinalpflichten aus einfacher Fahrlässigkeit ist die Haftung auf den vertragstypischen, vorhersehbaren Schaden begrenzt, höchstens jedoch auf 10 % des im jeweiligen Vertragsjahr gezahlten Netto-Gesamtentgelts, maximal 50.000 € pro Schadensfall. Für mittelbare Schäden, entgangenen Gewinn oder Folgeschäden haftet der Auftragsverarbeiter nur bei Vorsatz oder grober Fahrlässigkeit.

(3) Diese Haftungsbeschränkungen gelten im Innenverhältnis zwischen Verantwortlichem und Auftragsverarbeiter. Die Haftung gegenüber betroffenen Personen nach Art. 82 DSGVO bleibt hiervon unberührt. Weitergehende Regelungen des Hauptvertrages bleiben unberührt, soweit sie für den Verantwortlichen nicht ungünstiger sind.

§ 14 Schlussbestimmungen

(1) Bei Widersprüchen zwischen Regelungen dieses Vertrages und Regelungen des Hauptvertrages gehen die Regelungen dieses Vertrages vor, soweit sie datenschutzrechtliche Pflichten betreffen.

(2) Sollten einzelne Bestimmungen unwirksam sein oder werden, berührt dies die Wirksamkeit der übrigen Bestimmungen nicht.

(3) Es gilt das Recht der Bundesrepublik Deutschland. Gerichtsstand ist Stuttgart.