Auftragsverarbeitungsvertrag (AVV)
Stand: August 2026. Vereinbarung gemäß Art. 28 DSGVO — wird mit Vertragsabschluss in elektronischer Form (Art. 28 Abs. 9 DSGVO) Bestandteil des Vertrags. Auf Wunsch stellen wir eine unterzeichnete Fassung bereit (Anfrage an info@baunormal.at).
Anlagen: Anlage 1 — Technische und organisatorische Maßnahmen (TOM) · Anlage 2 — Unterauftragsverarbeiter
1. Gegenstand, Dauer & Rollen
Im Rahmen der Nutzung von BauNormal verarbeiten wir — Robert Beisteiner, Geschäftsbezeichnung „baunormal.at", Mühlweg 2/232, 1210 Wien (im Folgenden „Auftragsverarbeiter") — personenbezogene Daten im Auftrag des Kunden (im Folgenden „Verantwortlicher"). Gegenstand ist die Bereitstellung der SaaS-Plattform BauNormal gemäß den AGB. Die Dauer dieses Vertrags entspricht der Laufzeit des Nutzungsvertrags; er endet mit dessen Beendigung und vollständiger Löschung bzw. Rückgabe der Daten nach Punkt 10.
2. Art, Umfang & Zweck der Verarbeitung
Speicherung, Organisation, Anzeige, Übermittlung und Löschung der vom Verantwortlichen und seinen Benutzern eingestellten Daten zum Zweck der Abwicklung von Ausschreibungen, Angeboten, Aufmaßen, Abrechnungen und zugehörigen Funktionen — ausschließlich zur Erbringung der vertraglich vereinbarten Leistungen und nach dokumentierter Weisung des Verantwortlichen (Punkt 4). Eine Verarbeitung zu eigenen Zwecken des Auftragsverarbeiters findet nicht statt.
3. Kategorien betroffener Personen & Datenarten
- Betroffene Personen: Mitarbeiter und Ansprechpartner des Verantwortlichen, Bieter und deren Ansprechpartner, Vertreter von Vergabestellen und Auftraggebern sowie sonstige in Projekt- und Ausschreibungsunterlagen genannte Personen.
- Datenarten: Stamm- und Kontaktdaten (Name, Firma, Anschrift, E-Mail, Telefon), Konto- und Berechtigungsdaten, Organisations- und Vertragsdaten (einschließlich Bankverbindung), Inhaltsdaten aus Projekten (Ausschreibungs-, Angebots-, Aufmaß-, Abrechnungs- und Plandaten samt Anhängen) sowie Nutzungs- und Protokolldaten.
Personenbezogene Daten besonderer Kategorien (Art. 9 DSGVO) sind nicht Gegenstand des Auftrags; ihre Einstellung ist nach den Nutzungsrichtlinien untersagt.
4. Weisungen
Der Auftragsverarbeiter verarbeitet die Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen, es sei denn, er ist nach Unions- oder Mitgliedstaatenrecht zur Verarbeitung verpflichtet; in diesem Fall informiert er den Verantwortlichen vor der Verarbeitung, sofern das Recht dies nicht verbietet. Weisungen ergeben sich in erster Linie aus der Bedienung der Plattform durch den Verantwortlichen selbst; darüber hinausgehende Weisungen bedürfen der Textform (E-Mail genügt). Hält der Auftragsverarbeiter eine Weisung für datenschutzrechtlich unzulässig, informiert er den Verantwortlichen unverzüglich.
5. Vertraulichkeit
Der Auftragsverarbeiter gewährleistet, dass sich alle zur Verarbeitung befugten Personen zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen (§ 6 DSG). Die Vertraulichkeitsverpflichtung besteht auch nach Beendigung des Vertrags fort.
6. Sicherheit der Verarbeitung (Art. 32 DSGVO)
Der Auftragsverarbeiter trifft die in Anlage 1 (TOM) beschriebenen technischen und organisatorischen Maßnahmen und entwickelt sie entsprechend dem Stand der Technik fort; das vereinbarte Schutzniveau darf dabei nicht unterschritten werden.
7. Unterauftragsverarbeiter
Der Verantwortliche erteilt die allgemeine Genehmigung zur Beiziehung der in Anlage 2 genannten Unterauftragsverarbeiter. Mit jedem Unterauftragsverarbeiter besteht ein Vertrag gemäß Art. 28 Abs. 4 DSGVO, der diesem dieselben Datenschutzpflichten auferlegt wie dieser AVV. Über beabsichtigte Änderungen (Hinzuziehung oder Ersetzung) informiert der Auftragsverarbeiter den Verantwortlichen mindestens 30 Tage vorab per E-Mail. Der Verantwortliche kann aus wichtigem datenschutzrechtlichem Grund widersprechen; führt der Widerspruch zu keiner einvernehmlichen Lösung, kann jede Partei den Nutzungsvertrag zum Zeitpunkt des Wirksamwerdens der Änderung kündigen.
8. Unterstützung des Verantwortlichen
- Betroffenenrechte (Art. 12–23 DSGVO): Der Auftragsverarbeiter unterstützt den Verantwortlichen mit geeigneten Mitteln — in erster Linie über die Auskunfts-, Berichtigungs-, Export- und Löschfunktionen der Plattform. Anfragen betroffener Personen leitet er unverzüglich an den Verantwortlichen weiter und beantwortet sie nicht selbst.
- Datenschutz-Folgenabschätzung & Konsultation (Art. 35, 36 DSGVO): Unterstützung im gesetzlich gebotenen Umfang unter Berücksichtigung der verfügbaren Informationen.
9. Meldung von Verletzungen des Schutzes personenbezogener Daten
Der Auftragsverarbeiter meldet dem Verantwortlichen jede Verletzung des Schutzes personenbezogener Daten, die dessen Daten betrifft, unverzüglich nach Bekanntwerden an die hinterlegte Kontakt-E-Mail-Adresse. Die Meldung enthält — soweit verfügbar — die Angaben gemäß Art. 33 Abs. 3 DSGVO (Art der Verletzung, betroffene Kategorien und ungefähre Zahl der Betroffenen und Datensätze, wahrscheinliche Folgen, ergriffene und vorgeschlagene Maßnahmen). Die Meldung an die Aufsichtsbehörde und an betroffene Personen obliegt dem Verantwortlichen.
10. Löschung & Rückgabe nach Vertragsende
Der Verantwortliche kann seine Daten während der Vertragslaufzeit jederzeit selbst über die dafür vorgesehenen Export-Funktionen abrufen (siehe auch Punkt 8a der AGB). Nach Vertragsende wird auf Wunsch für einen angemessenen Zeitraum ein Export bereitgestellt; anschließend werden sämtliche personenbezogenen Daten gelöscht, soweit keine gesetzliche Aufbewahrungspflicht entgegensteht. Daten aus Backups werden im Rahmen der regulären Sicherungszyklen (Überschreibung nach 30 Tagen) entfernt und bis dahin nicht anderweitig verarbeitet.
11. Nachweise & Kontrollen
Der Auftragsverarbeiter stellt dem Verantwortlichen alle zum Nachweis der Einhaltung der Pflichten aus Art. 28 DSGVO erforderlichen Informationen zur Verfügung — insbesondere diesen AVV samt Anlagen sowie auf Anfrage ergänzende Dokumentation. Kontrollen (Audits) erfolgen in der Regel durch Einsichtnahme in diese Unterlagen; darüber hinausgehende Prüfungen sind nach vorheriger Ankündigung von mindestens 30 Tagen während üblicher Geschäftszeiten möglich, dürfen den Betrieb nicht unverhältnismäßig stören und erfolgen auf Kosten des Verantwortlichen, sofern sie keine erheblichen Verstöße zutage fördern.
12. Verarbeitungsort & Drittlandübermittlung
Die Verarbeitung erfolgt in Rechenzentren innerhalb der EU (Deutschland, siehe Anlage 2). Eine Übermittlung in Drittländer findet nur statt, soweit der Verantwortliche bzw. seine Benutzer sie selbst veranlassen (z. B. Anmeldung über Google) oder sie zur Leistungserbringung erforderlich ist; in diesem Fall stützt sie sich auf einen Angemessenheitsbeschluss oder die EU-Standardvertragsklauseln (Art. 44 ff. DSGVO).
13. Schlussbestimmungen
Bei Widersprüchen zwischen diesem AVV und den AGB geht dieser AVV in datenschutzrechtlichen Fragen vor. Die Haftung richtet sich nach Art. 82 DSGVO sowie im Übrigen nach Punkt 11 der AGB. Es gilt österreichisches Recht; Gerichtsstand ist — soweit zulässig — der Sitz des Auftragsverarbeiters.