Auftragsverarbeitung nach Art. 28 DSGVO
Diese Vereinbarung ist Anlage zu den Allgemeinen Geschäftsbedingungen der backtoBasics Software GmbH und gilt mit Abschluss des Nutzungsvertrags als geschlossen. Eine gesonderte Unterzeichnung ist nicht erforderlich; auf Wunsch stellen wir Ihnen eine unterschriebene Ausfertigung zur Verfügung.
Verantwortlicher im Sinne der DSGVO ist der Kunde, Auftragsverarbeiter ist die backtoBasics Software GmbH, FN 681693s, Brockmanngasse 92/16, 8010 Graz (nachfolgend „Anbieter").
1. Gegenstand und Dauer
Der Anbieter verarbeitet personenbezogene Daten im Auftrag des Kunden, soweit dies zur Erbringung der vertraglich vereinbarten Leistungen erforderlich ist — insbesondere für Kundenbereich, Online-Ablage, Handy-App, Nachrichten und die optionalen KI-Funktionen. Die Vereinbarung läuft so lange wie der Nutzungsvertrag.
2. Art der Daten und Kreis der Betroffenen
Gegenstand der Verarbeitung sind die Daten, die der Kunde selbst in die Software eingibt oder auf den Server überträgt. Typischerweise sind das:
- Stamm- und Kontaktdaten (Name, Anschrift, E-Mail, Telefon)
- Inhalte aus Projekten (Protokolle, Notizen, Pläne, Fotos, Leistungsverzeichnisse, Abrechnungsunterlagen)
- Nachrichten und Freigaben innerhalb des Projekts
- Zugangs- und Nutzungsdaten der Konten des Kunden
Betroffene sind Mitarbeiter des Kunden sowie dessen Auftraggeber, Auftragnehmer, Planer und sonstige am Bauvorhaben Beteiligte.
3. Weisungsbindung
Der Anbieter verarbeitet die Daten ausschließlich auf dokumentierte Weisung des Kunden. Als Weisung gilt auch die Nutzung der Funktionen der Software durch den Kunden selbst. Hält der Anbieter eine Weisung für rechtswidrig, teilt er dies mit und kann ihre Ausführung aussetzen.
4. Vertraulichkeit
Alle mit der Verarbeitung befassten Personen sind zur Vertraulichkeit verpflichtet. Die Verpflichtung besteht auch nach Beendigung der Tätigkeit fort.
5. Technische und organisatorische Maßnahmen
Der Anbieter trifft die in Anlage 1 beschriebenen Maßnahmen nach Art. 32 DSGVO und hält sie während der Vertragsdauer aufrecht. Maßnahmen dürfen weiterentwickelt werden, solange das Schutzniveau nicht unterschritten wird.
6. Unterauftragsverarbeiter
Der Kunde stimmt dem Einsatz der in Anlage 2 genannten Unterauftragsverarbeiter zu. Weitere Unterauftragsverarbeiter kündigt der Anbieter mindestens vier Wochen vorher an; der Kunde kann aus wichtigem Grund widersprechen und den Vertrag in diesem Fall zum Wirksamwerden der Änderung kündigen. Der Anbieter verpflichtet jeden Unterauftragsverarbeiter auf dasselbe Schutzniveau.
7. Unterstützung des Kunden
Der Anbieter unterstützt den Kunden im erforderlichen Umfang bei der Beantwortung von Anfragen betroffener Personen sowie bei Datenschutz-Folgenabschätzungen und Meldungen nach Art. 32 bis 36 DSGVO. Wendet sich eine betroffene Person direkt an den Anbieter, leitet er die Anfrage unverzüglich an den Kunden weiter.
8. Verletzungen des Schutzes personenbezogener Daten
Der Anbieter meldet dem Kunden jede Verletzung des Schutzes personenbezogener Daten unverzüglich, spätestens innerhalb von 48 Stunden ab Kenntnis, und teilt die zur Meldung nach Art. 33 DSGVO erforderlichen Angaben mit.
9. Löschung und Rückgabe
Nach Ende des Nutzungsvertrags stehen die auf dem Server abgelegten Daten noch 30 Tage zum Export bereit und werden danach gelöscht. Daten in Sicherungskopien entfallen mit deren regulärem Ablauf, spätestens 30 Tage nach der Löschung im laufenden Betrieb. Gesetzliche Aufbewahrungspflichten bleiben unberührt.
10. Nachweise und Überprüfungen
Der Anbieter weist die Einhaltung dieser Vereinbarung auf Anfrage in geeigneter Form nach. Der Kunde kann sich nach vorheriger Ankündigung und zu üblichen Geschäftszeiten von der Einhaltung überzeugen; der Betrieb darf dadurch nicht unangemessen beeinträchtigt werden.
11. Schlussbestimmungen
Bei Widersprüchen zwischen dieser Vereinbarung und den AGB geht diese Vereinbarung für die Verarbeitung personenbezogener Daten vor. Im Übrigen gelten die AGB. Es gilt österreichisches Recht.
Anlage 1 — Technische und organisatorische Maßnahmen
- Serverstandort: Rechenzentrum der IONOS-Gruppe in Berlin, Deutschland (EU); Vertragspartner ist die World4You Internet Services GmbH, Österreich.
- Übertragung: alle Verbindungen ausschließlich verschlüsselt (TLS/HTTPS), Zertifikate werden automatisch erneuert.
- Zugangsdaten: Passwörter werden nur als nicht umkehrbarer Prüfwert gespeichert, nie im Klartext.
- Mandantentrennung: jeder Zugriff ist an das Unternehmen des angemeldeten Kontos gebunden; ein Zugriff auf Daten eines anderen Unternehmens ist ausgeschlossen und durch automatische Prüfungen abgesichert.
- Rollen und Rechte: Mitarbeiter, Firmen-Administrator und Anbieter haben abgestufte Rechte; Verwaltungsbereiche sind je Konto einzeln freizugeben.
- Protokollierung: administrative Eingriffe werden mit handelndem Konto, Zeitpunkt und Gegenstand protokolliert.
- Serverzugang: ausschließlich schlüsselbasiert; eine Anmeldung mit Passwort ist am Server deaktiviert.
- Sicherung: Datenbank und Dateiablagen werden täglich automatisch gesichert. Die Sicherungen verbleiben auf dem Server, sind ausschließlich dem Anbieter zugänglich und werden 30 Tage aufbewahrt, danach automatisch gelöscht. Zusätzlich wird vor jedem Eingriff am laufenden System eine vollständige Sicherung erstellt.
- Wiederherstellbarkeit: Jede Sicherung wird über Prüfsummen auf Vollständigkeit geprüft; die Wiederherstellung der Datenbank wird erprobt. Bleibt eine Sicherung aus oder schlägt sie fehl, wird das gemeldet.
- Aktualisierung: Sicherheitsaktualisierungen des Serverbetriebssystems werden automatisch eingespielt.
- Trennung der Zwecke: Entwicklungs- und Testdaten werden getrennt von Produktivdaten gehalten.
Anlage 2 — Unterauftragsverarbeiter
| Dienstleister | Leistung | Ort |
|---|---|---|
| World4You Internet Services GmbH | Betrieb des Servers (Rechenzentrum) | Österreich (Rechenzentrum: Berlin, Deutschland — IONOS-Gruppe) |
| Anthropic PBC | Verarbeitung der Anfragen aus den KI-Funktionen — nur bei deren Nutzung | USA, auf Grundlage der Standardvertragsklauseln |
Stand: August 2026