Berichtdigital.deAuftragsverarbeitungsvertrag (AVV)
§ 1 Vertragsparteien
Auftragsverarbeiter (Anbieter des Dienstes berichtdigital.de):
Cendro Vanta Ilhan Kaya, Roßfelderstraße 6, 70435 Stuttgart, Deutschland
Verantwortlicher: die registrierte Kundin bzw. der registrierte Kunde, die/der den Dienst nutzt.
§ 2 Gegenstand und Dauer der Verarbeitung
Gegenstand ist die Verarbeitung hochgeladener Bautagesberichte: Entgegennahme des Dokuments, Texterkennung (OCR), KI-gestützte Zuordnung der Angaben zu Berichtsfeldern, Rückgabe des Ergebnisses zur Bearbeitung sowie Speicherung der bestätigten Berichtsfelder. Die Verarbeitung dauert für die Zeit der Nutzung des Dienstes an und endet mit der Löschung des Zugangs.
§ 3 Art der Daten und Kreis der Betroffenen
Verarbeitet werden die in den Bautagesberichten enthaltenen Daten, z. B. Datum, Baustelle/Ort, Wetter, eingesetzte Mitarbeiter, ausgeführte Leistungen, Geräte und Lieferungen, sowie Anmeldedaten (Name, E-Mail-Adresse, Profilbild aus dem Google-Login). Betroffen sind insbesondere Mitarbeiter, Auftraggeber und weitere im Bericht genannte Personen.
§ 4 Technische und organisatorische Maßnahmen (TOM)
- Verschlüsselte Übertragung sämtlicher Daten per TLS.
- Speicherung der Konto- und Berichtsdaten in einer Datenbank mit EU-Standort (Frankfurt am Main).
- Zugriffsschutz über Google-Login und Session-basierte Authentifizierung; Zugriff nur für die jeweilige Organisation.
- Originaldokumente verbleiben im Google-Drive-Ordner des Verantwortlichen und werden nicht dauerhaft auf eigenen Servern gespeichert.
- Protokollierung sicherheitsrelevanter Ereignisse.
§ 5 Pflichten des Auftragsverarbeiters
Die Verarbeitung erfolgt ausschließlich im Rahmen der dokumentierten Weisungen des Verantwortlichen und dieses Vertrags. Eingesetzte Personen sind zur Vertraulichkeit verpflichtet. Der Auftragsverarbeiter unterstützt den Verantwortlichen bei der Wahrung der Betroffenenrechte und meldet Verletzungen des Schutzes personenbezogener Daten unverzüglich.
§ 6 Unterauftragsverarbeiter
Der Verantwortliche stimmt dem Einsatz folgender Unterauftragsverarbeiter zu. Für Anbieter mit Sitz in den USA besteht eine Zertifizierung nach dem EU-US Data Privacy Framework (DPF) und/oder es werden EU-Standardvertragsklauseln geschlossen.
| Anbieter | Zweck | Standort | Nachweis |
|---|---|---|---|
| Supabase Inc. | Authentifizierung & Datenbank (Konto- und Berichtsdaten) | Frankfurt am Main, Hessen, Deutschland (eu-central-1) | auf Anfrage |
| Google LLC | Anmeldung (Google Identity Services) & Dateispeicherung (Google Drive) | USA (DPF-zertifiziert) | auf Anfrage |
| Cloudflare, Inc. | Hosting (Pages) & Bot-Schutz (Turnstile) über globales Edge-Netzwerk | Global, EU-Standorte u. a. Frankfurt, Berlin, Düsseldorf, Hamburg, München; Firmensitz USA (DPF-zertifiziert). Standortübersicht | auf Anfrage |
| OpenAI, L.L.C. | KI-gestützte Auswertung des erkannten Textes | USA (DPF-zertifiziert) | auf Anfrage |
| Groq, Inc. | KI-gestützte Auswertung des erkannten Textes | USA (EU-Standardvertragsklauseln) | auf Anfrage |
| Google LLC (Google Gemini) | KI-gestützte Auswertung des erkannten Textes | USA (DPF-zertifiziert) | auf Anfrage |
| a9t9 software GmbH (OCR.space) | Texterkennung (OCR) der hochgeladenen Dokumente; Löschung nach Verarbeitung | Deutschland (EU) | auf Anfrage |
| Microsoft Ireland Operations Ltd. / Microsoft Corp. | Reichweitenmessung (Microsoft Clarity) – nur nach Einwilligung des Besuchers | Speicherung & Verarbeitung in Microsoft Azure; Vertragspartner Microsoft Ireland (MIOL, EU/Irland), Transfer an Microsoft Corp. (USA) über EU-Standardvertragsklauseln, DPF-zertifiziert | auf Anfrage |
Änderungen des Bestands an Unterauftragsverarbeitern werden dem Verantwortlichen mitgeteilt; ihm steht ein Widerspruchsrecht innerhalb von 14 Tagen zu.
§ 7 Unterstützung bei Betroffenenrechten
Der Auftragsverarbeiter unterstützt den Verantwortlichen bei Anfragen zu Auskunft, Berichtigung, Löschung und Datenübertragbarkeit. Anfragen sind an [email protected] zu richten.
§ 8 Kontrollrechte
Der Verantwortliche kann sich von der Einhaltung der getroffenen Maßnahmen überzeugen. Nachweise können durch aktuelle Zertifikate oder Prüfberichte der eingesetzten Anbieter erbracht werden.
§ 9 Löschung und Rückgabe von Daten
Nach Beendigung der Nutzung werden die in der Datenbank gespeicherten Kontodaten gelöscht. Originaldokumente verbleiben im Google Drive des Verantwortlichen und unterliegen dessen eigener Löschkontrolle.
§ 10 Schlussbestimmungen
Es gilt deutsches Recht. Änderungen dieses Vertrags bedürfen der Textform. Sollten einzelne Bestimmungen unwirksam sein, bleibt der übrige Vertrag wirksam.