Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO

zwischen

dem Kunden, wie bei der Registrierung bzw. im Hauptvertrag angegeben
– nachfolgend „Auftraggeber“ –

und

Hiprocall GmbH, Neumarkter Str. 21, 81673 München, Deutschland
– nachfolgend „Auftragnehmer“ –

§ 1 Gegenstand und Dauer

  1. Der Auftragnehmer stellt dem Auftraggeber die Software Mein Baubüro (Web-Anwendung und mobile App) als Software-as-a-Service bereit (Hauptvertrag: Allgemeine Geschäftsbedingungen bzw. Einzelvertrag einschließlich einer etwaigen Pilotvereinbarung). Dabei verarbeitet der Auftragnehmer personenbezogene Daten im Auftrag des Auftraggebers.
  2. Dieser Vertrag konkretisiert die datenschutzrechtlichen Pflichten der Parteien. Er gilt für alle Tätigkeiten, bei denen der Auftragnehmer oder von ihm beauftragte Unterauftragsverarbeiter personenbezogene Daten des Auftraggebers verarbeiten.
  3. Die Laufzeit dieses Vertrags entspricht der Laufzeit des Hauptvertrags einschließlich einer Testphase. Er endet nicht vor Abschluss der Löschung bzw. Rückgabe nach § 11.

§ 2 Art und Zweck der Verarbeitung, Art der Daten, Kreis der Betroffenen

  1. Art der Verarbeitung: Erheben, Erfassen, Speichern, Organisieren, Ordnen, Anpassen, Auslesen, Abfragen, Verwenden, Übermitteln an berechtigte Nutzer und vom Auftraggeber bestimmte Empfänger (z. B. Exporte, E-Mail-Versand von Berichten), Abgleichen (Synchronisation zwischen Geräten), Einschränken, Löschen und Vernichten.
  2. Zweck: Bereitstellung der Funktionen von Mein Baubüro für die betriebliche Organisation des Auftraggebers, insbesondere Arbeitszeiterfassung und Lohnvorbereitung, Abwesenheitsverwaltung, Kunden- und Projektverwaltung, Baustellendokumentation, Einsatzplanung, interne Kommunikation, Verwaltung von Fahrzeugen, Maschinen und Werkzeugen, Aufgaben- und Dokumentenverwaltung sowie KI-gestützte Erfassung und Bedienung; ferner Betrieb, Sicherung, Wartung und Support des Dienstes.
  3. Kategorien personenbezogener Daten (je nach den vom Auftraggeber aktivierten Funktionen):
    • Stamm- und Kontodaten der Nutzer: Name, E-Mail-Adresse, Personalnummer, Organisationseinheit, Rolle und Berechtigungen, Sprache, Gerätesitzungen (Gerätebezeichnung bzw. Browserkennung, Zeitpunkte), Passwort-Hashwert, verschlüsseltes Geheimnis der Zwei-Faktor-Anmeldung, Push-Geräte-Token;
    • Arbeitszeit- und Lohndaten: Arbeitsbeginn, -ende, Pausen, Tätigkeiten und Lohnarten, Projektzuordnung, Stundenkonten, Arbeitszeitmodelle, Urlaubsansprüche, Spesen samt Belegen, Korrekturanträge, Freigaben und Abrechnungssperren;
    • Abwesenheitsdaten einschließlich Krankmeldungen und Fotos von Arbeitsunfähigkeitsbescheinigungen (Gesundheitsdaten, Art. 9 DSGVO);
    • Standortdaten: Aufnahmeort von Fotos im Bautagebuch, sofern die jeweilige Person dies auf ihrem Gerät einschaltet (die App erfasst beim Ein- und Ausstempeln derzeit keinen Standort);
    • Inhalte der Baustellendokumentation: Bautagebuch, Tätigkeitsberichte, Formulare, Fotos, Unterschriften, Abnahmen;
    • Kommunikationsdaten: Chatnachrichten einschließlich Fotos, Dateien und Sprachnachrichten, Unternehmensmitteilungen und Lesebestätigungen, Benachrichtigungen;
    • Kunden-, Ansprechpartner- und Projektdaten des Auftraggebers (Name, Anschrift, Kontaktdaten, Kommunikationshistorie, Anlagen beim Kunden);
    • Ressourcendaten mit Personenbezug: Zuordnung von Fahrzeugen, Maschinen und Werkzeugen zu Personen, Übergaben, Tankvorgänge, Kilometerstände;
    • Dokumente, einschließlich persönlicher Dokumente der Beschäftigten (z. B. Lohnabrechnungen);
    • KI-Daten: Texteingaben, Sprachaufnahmen (nur bis zur Umwandlung in Text), Transkripte, Gesprächsverläufe, Vorschläge, inhaltsfreies Nutzungsprotokoll;
    • Protokolldaten: Änderungsprotokoll (Person, Zeitpunkt, alter und neuer Wert), E-Mail- und Push-Zustellprotokolle, Protokolle über Betroffenenanfragen und Löschläufe.
  4. Kreis der Betroffenen:
    • Beschäftigte des Auftraggebers einschließlich Auszubildender, Praktikanten und Leiharbeitnehmer;
    • Inhaber, Geschäftsführung und Verwaltungspersonal des Auftraggebers;
    • Kunden des Auftraggebers und deren Ansprechpartner;
    • Subunternehmer und sonstige Geschäftspartner des Auftraggebers sowie deren Mitarbeiter;
    • sonstige Personen, die in Dokumentation, Fotos oder Kommunikation erfasst werden (z. B. Anwesende auf der Baustelle).

§ 3 Weisungsrecht des Auftraggebers

  1. Der Auftragnehmer verarbeitet die Daten nur auf dokumentierte Weisung des Auftraggebers, auch in Bezug auf Übermittlungen in Drittländer, es sei denn, er ist durch Unionsrecht oder das Recht eines Mitgliedstaats zur Verarbeitung verpflichtet; in diesem Fall teilt er dem Auftraggeber diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht dies nicht verbietet (Art. 28 Abs. 3 lit. a DSGVO).
  2. Die Weisungen werden durch diesen Vertrag und den Hauptvertrag festgelegt. Als Weisung gelten außerdem die Einstellungen und Aktionen, die der Auftraggeber oder seine berechtigten Nutzer im Dienst vornehmen, insbesondere das Ein- und Ausschalten von Funktionen (z. B. KI-Funktionen), die Festlegung von Aufbewahrungsfristen, Exporte, Löschungen sowie Auskunfts- und Löschverlangen.
  3. Einzelweisungen außerhalb der Funktionen des Dienstes erteilt der Auftraggeber in Textform an datenschutz@hiprocall.de. Weisungsberechtigt sind die im Dienst als Administrator eingetragenen Personen des Auftraggebers.
  4. Der Auftragnehmer informiert den Auftraggeber unverzüglich, wenn er der Auffassung ist, dass eine Weisung gegen Datenschutzvorschriften verstößt. Er darf die Ausführung der Weisung aussetzen, bis der Auftraggeber sie bestätigt oder ändert.

§ 4 Vertraulichkeit

  1. Der Auftragnehmer setzt nur Personen ein, die zur Vertraulichkeit verpflichtet wurden oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen, und die mit den einschlägigen Datenschutzvorschriften vertraut gemacht wurden (Art. 28 Abs. 3 lit. b DSGVO).
  2. Zugriff auf Daten des Auftraggebers erhalten diese Personen nur, soweit es für die Erbringung des Dienstes, den Support im Einzelfall oder die Behebung von Störungen erforderlich ist.

§ 5 Technische und organisatorische Maßnahmen

  1. Der Auftragnehmer trifft die nach Art. 32 DSGVO erforderlichen Maßnahmen. Sie sind in Anlage 1 beschrieben.
  2. Die Maßnahmen unterliegen dem technischen Fortschritt. Der Auftragnehmer darf sie durch gleichwertige oder bessere Maßnahmen ersetzen; das Schutzniveau darf dabei nicht unterschritten werden. Wesentliche Änderungen dokumentiert er und teilt sie dem Auftraggeber in Textform mit.

§ 6 Unterauftragsverarbeiter

  1. Der Auftraggeber erteilt die allgemeine Genehmigung, Unterauftragsverarbeiter einzusetzen (Art. 28 Abs. 2 Satz 1 DSGVO). Die bei Vertragsschluss eingesetzten Unterauftragsverarbeiter sind in Anlage 2 aufgeführt und gelten als genehmigt.
  2. Der Auftragnehmer informiert den Auftraggeber mindestens {{UNTERAUFTRAG_ANKUENDIGUNG_TAGE}} Tage vor jeder beabsichtigten Hinzuziehung oder Ersetzung eines Unterauftragsverarbeiters in Textform (z. B. per E-Mail an die Administratoren oder Hinweis im Dienst). Der Auftraggeber kann der Änderung innerhalb dieser Frist aus wichtigem datenschutzrechtlichem Grund in Textform widersprechen. Können sich die Parteien nicht einigen, kann der Auftraggeber den Hauptvertrag zum Zeitpunkt des Wirksamwerdens der Änderung kündigen.
  3. Der Auftragnehmer erlegt jedem Unterauftragsverarbeiter vertraglich dieselben Datenschutzpflichten auf, die in diesem Vertrag festgelegt sind, insbesondere hinreichende Garantien für geeignete technische und organisatorische Maßnahmen (Art. 28 Abs. 4 DSGVO). Er haftet gegenüber dem Auftraggeber für die Einhaltung der Pflichten des Unterauftragsverarbeiters.
  4. Eine Verarbeitung außerhalb der Europäischen Union bzw. des Europäischen Wirtschaftsraums erfolgt nur, wenn die Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind. Die jeweilige Garantie ist in Anlage 2 angegeben. Verarbeitungen außerhalb der EU betreffen nur die dort gekennzeichneten Funktionen. Die Spracheingabe der KI-Funktionen kann der Auftraggeber im Dienst abschalten. Für Push-Benachrichtigungen gibt es keinen Schalter des Auftraggebers; jeder Nutzer kann sie auf seinem Gerät ablehnen oder einzelne Arten in der App abbestellen.
  5. Nicht als Unterauftragsverarbeitung gelten Nebenleistungen, die der Auftragnehmer bei Dritten als reine Telekommunikations- oder Transportleistung in Anspruch nimmt, sowie Dienste, an die keine personenbezogenen Daten übermittelt werden.

§ 7 Unterstützung bei Betroffenenrechten

  1. Der Auftragnehmer unterstützt den Auftraggeber mit geeigneten technischen und organisatorischen Maßnahmen bei der Erfüllung der Rechte der betroffenen Personen nach Kapitel III DSGVO (Art. 28 Abs. 3 lit. e DSGVO).
  2. Hierzu stellt der Dienst insbesondere folgende Funktionen bereit, die der Auftraggeber selbst nutzt:
    • Zusammenstellung einer Datenkopie je Person in maschinenlesbarer Form (JSON) und als PDF. Die Datenkopie enthält die im Dienst zu der Person gespeicherten Daten mit folgenden Einschränkungen: Die Informationen über die Verarbeitung (Zwecke, Empfänger, Speicherdauer, Herkunft, Rechte) ergänzt der Auftraggeber selbst; Freitexte (z. B. Notizen, Bericht- und Rapporttexte, Kundenkorrespondenz) sind nicht enthalten; Dateien sind nur mit Name, Art, Größe, Zeitpunkt und Prüfsumme aufgeführt, nicht als Inhalt; Sicherheitsmerkmale des Zugangs sind nur als Kategorie ausgewiesen; Daten anderer Personen sind nur als Handlung der Person (Zeitpunkt, Ergebnis) enthalten; die Zusammenstellung bezieht sich auf keinen festen Stichtag. Für eine vollständige Auskunft (Art. 15 DSGVO) bzw. Übertragung (Art. 20 DSGVO) muss der Auftraggeber diese Teile ergänzen; {{DATENKOPIE_UNTERSTUETZUNG}};
    • Berichtigung der Daten in den jeweiligen Funktionen (Art. 16 DSGVO), bei Zeit- und Lohndaten mit Änderungsprotokoll;
    • Löschung bzw. Anonymisierung der Daten einer Person unter Beachtung gesetzlicher Aufbewahrungspflichten (Art. 17 DSGVO); das Benutzerkonto wird dabei anonymisiert;
    • Kontolöschung auf Wunsch der Person selbst (App und Web): Das Konto wird sofort gesperrt, der Auftraggeber wird benachrichtigt und entscheidet im Dienst über Freigabe oder begründete Ablehnung (Art. 17 Abs. 3 DSGVO). Standardweisung: Trifft der Auftraggeber innerhalb von {{KONTOLOESCHUNG_FRIST_TAGE}} Tagen (Vorschlag: 30) keine Entscheidung, gilt die Anonymisierung des Kontos als angewiesen; der Dienst führt sie dann automatisch über denselben Löschweg aus. Der Auftraggeber kann vor Fristablauf jederzeit anders entscheiden. *(Hinweis für die rechtliche Prüfung: Platzhalter und Standardweisung beruhen auf einer Lead-Annahme aus S77, Bestätigung durch den PO steht aus.)*
    • Einstellung der Aufbewahrungsfristen je Datenklasse. Die Fristen beginnen grundsätzlich mit dem Löschen eines Eintrags im Dienst; Einzelheiten und Ausnahmen (u. a. Chat ab Versand, Änderungsprotokoll derzeit ohne automatische Löschung) beschreibt Anlage 1 Nr. 5;
    • Abschalten einzelner Funktionen je Person (z. B. KI-Funktionen);
    • Exporte: derzeit Listenexporte der Arbeitszeiten und Spesen (CSV, Excel), DATEV-Lohnexport (LODAS) und PDF-Dokumente.
  3. Wendet sich eine betroffene Person unmittelbar an den Auftragnehmer, leitet dieser das Ersuchen unverzüglich an den Auftraggeber weiter und beantwortet es nicht selbst, sofern der Auftraggeber nichts anderes anweist.

§ 8 Weitere Unterstützungspflichten

  1. Der Auftragnehmer unterstützt den Auftraggeber unter Berücksichtigung der Art der Verarbeitung und der ihm zur Verfügung stehenden Informationen bei der Einhaltung der Pflichten aus Art. 32 bis 36 DSGVO (Sicherheit, Meldung von Verletzungen, Datenschutz-Folgenabschätzung, vorherige Konsultation).
  2. Der Auftragnehmer meldet dem Auftraggeber Verletzungen des Schutzes personenbezogener Daten unverzüglich, möglichst innerhalb von {{MELDEFRIST_STUNDEN}} Stunden, nachdem sie ihm bekannt geworden sind. Die Meldung enthält, soweit bekannt, die Angaben nach Art. 33 Abs. 3 DSGVO; fehlende Angaben werden nachgereicht.
  3. Für Unterstützungsleistungen, die über die im Dienst bereitgestellten Funktionen hinausgehen und nicht auf einem Verstoß des Auftragnehmers beruhen, kann der Auftragnehmer eine angemessene Vergütung nach vorheriger Ankündigung verlangen.

§ 9 Pflichten des Auftraggebers

  1. Der Auftraggeber ist für die Rechtmäßigkeit der Verarbeitung, insbesondere für die Rechtsgrundlagen, die Information der betroffenen Personen und die Beteiligung einer Arbeitnehmervertretung, verantwortlich.
  2. Der Auftraggeber prüft vor der Aktivierung von Funktionen mit erhöhtem Risiko (insbesondere KI-Funktionen mit Spracheingabe und Übermittlung in die USA, Verarbeitung von Gesundheitsdaten) deren Zulässigkeit und führt erforderlichenfalls eine Datenschutz-Folgenabschätzung durch.
  3. Der Auftraggeber informiert den Auftragnehmer unverzüglich, wenn er Fehler oder Unregelmäßigkeiten bei der Verarbeitung feststellt.

§ 10 Nachweise und Kontrollen

  1. Der Auftragnehmer stellt dem Auftraggeber alle erforderlichen Informationen zum Nachweis der Einhaltung der Pflichten aus Art. 28 DSGVO zur Verfügung (Art. 28 Abs. 3 lit. h DSGVO). Der Nachweis kann insbesondere durch die aktuelle Beschreibung der technischen und organisatorischen Maßnahmen, Selbstauskünfte, Berichte unabhängiger Prüfer oder geeignete Zertifizierungen erbracht werden.
  2. Der Auftraggeber oder ein von ihm beauftragter, zur Verschwiegenheit verpflichteter Prüfer, der nicht im Wettbewerb zum Auftragnehmer steht, kann Kontrollen einschließlich Inspektionen vornehmen, soweit die Informationen nach Abs. 1 nicht ausreichen. Inspektionen sind mit einer Frist von mindestens {{INSPEKTION_VORLAUF_TAGE}} Tagen anzukündigen, finden während der Geschäftszeiten statt und dürfen den Betrieb nicht unverhältnismäßig stören. Die Vertraulichkeit der Daten anderer Kunden ist zu wahren.
  3. Der Auftragnehmer kann für Inspektionen vor Ort einen angemessenen Aufwandsersatz verlangen, sofern die Inspektion nicht durch einen Verstoß des Auftragnehmers veranlasst ist.

§ 11 Löschung und Rückgabe nach Vertragsende

  1. Während der Vertragslaufzeit kann der Auftraggeber Daten über die in § 7 Abs. 2 genannten Exportfunktionen abrufen. Zusätzlich kann der Auftraggeber jederzeit einen Gesamtexport aller Kundendaten (maschinenlesbar als JSON/CSV einschließlich der hochgeladenen Dateien und erzeugten Dokumente) anfordern; das Archiv steht nach der Erstellung sieben Tage zum Abruf bereit.
  2. Nach Ende des Hauptvertrags stehen die Exportfunktionen noch 30 Tage zur Verfügung. Danach löscht der Auftragnehmer sämtliche personenbezogenen Daten des Auftraggebers innerhalb von 30 Tagen, sofern nicht nach Unionsrecht oder dem Recht eines Mitgliedstaats eine Verpflichtung zur Speicherung besteht (Art. 28 Abs. 3 lit. g DSGVO). Die gesetzlichen Aufbewahrungspflichten des Auftraggebers selbst (z. B. für Lohn- und Buchungsunterlagen) bleiben unberührt.
  3. Datensicherungen werden nicht gesondert bereinigt; in ihnen enthaltene Daten werden mit dem turnusmäßigen Überschreiben der Sicherungen spätestens nach 30 Tagen gelöscht. Bis dahin werden sie nur zur Wiederherstellung bei Störungen verwendet; wird eine Sicherung zurückgespielt, löscht der Auftragnehmer die darin wieder enthaltenen Daten bereits gelöschter Auftraggeber vor der Freigabe erneut.
  4. Der Auftragnehmer bestätigt den Administratoren des Auftraggebers den Abschluss der Löschung per E-Mail; auf Verlangen zusätzlich in Textform.
  5. Die mobile App speichert Arbeitsdaten des angemeldeten Nutzers lokal auf dem Endgerät, damit sie ohne Netzverbindung nutzbar ist. Noch nicht übertragene Einträge bleiben auch nach dem Abmelden erhalten, damit sie bei der nächsten Anmeldung derselben Person übertragen werden; sie werden mit der Deinstallation der App entfernt. Für die Endgeräte und deren Rückgabe bzw. Zurücksetzung ist der Auftraggeber verantwortlich.

§ 12 Haftung

Für die Haftung gilt Art. 82 DSGVO. Im Übrigen gelten die Haftungsregelungen des Hauptvertrags, soweit Art. 82 DSGVO nicht entgegensteht.

§ 13 Schlussbestimmungen

  1. Bei Widersprüchen zwischen diesem Vertrag und dem Hauptvertrag geht dieser Vertrag in Bezug auf den Datenschutz vor.
  2. Änderungen und Ergänzungen dieses Vertrags bedürfen der Textform. Für die Änderung der Anlagen gelten § 5 Abs. 2 und § 6 Abs. 2.
  3. Es gelten das Recht der Bundesrepublik Deutschland und der Gerichtsstand des Hauptvertrags.
  4. Sollte eine Bestimmung dieses Vertrags unwirksam sein, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt.

Anlagen

  • Anlage 1: Technische und organisatorische Maßnahmen (siehe gesondertes Dokument „Technische und organisatorische Maßnahmen“)
  • Anlage 2: Unterauftragsverarbeiter (siehe gesondertes Dokument „Unterauftragsverarbeiter“)

Stand: {{STAND_DATUM}}