Auftragsverarbeitung nach Art. 28 DSGVO
Diese Vereinbarung ist Anlage zu den Allgemeinen Geschäftsbedingungen der backtoBasics Software GmbH und gilt mit Abschluss des Nutzungsvertrags als geschlossen. Eine gesonderte Unterzeichnung ist nicht erforderlich; auf Wunsch stellen wir Ihnen eine unterschriebene Ausfertigung zur Verfügung.
Verantwortlicher im Sinne der DSGVO ist der Kunde, Auftragsverarbeiter ist die backtoBasics Software GmbH, FN 681693s, Brockmanngasse 92/16, 8010 Graz (nachfolgend „Anbieter").
1. Gegenstand und Dauer
Der Anbieter verarbeitet personenbezogene Daten im Auftrag des Kunden, soweit dies zur Erbringung der vertraglich vereinbarten Leistungen erforderlich ist — insbesondere für Kundenbereich, btBasics Cloud, Handy-App, Sprachnotizen und Nachrichten. Die Vereinbarung läuft so lange wie der Nutzungsvertrag.
2. Art der Daten und Kreis der Betroffenen
Gegenstand der Verarbeitung sind die Daten, die der Kunde selbst in die Software eingibt oder auf den Server überträgt. Typischerweise sind das:
- Stamm- und Kontaktdaten (Name, Anschrift, E-Mail, Telefon)
- Inhalte aus Projekten (Protokolle, Notizen, Pläne, Fotos, Leistungsverzeichnisse, Abrechnungsunterlagen)
- Tonaufnahmen (Sprachnotizen) sowie daraus erzeugte Texte
- Nachrichten und Freigaben innerhalb des Projekts sowie Freigaben an Externe über Link, einschließlich der E-Mail-Adressen der Empfänger und der Zugriffsprotokolle
- Zugangs- und Nutzungsdaten der Konten des Kunden
Betroffene sind Mitarbeiter des Kunden sowie dessen Auftraggeber, Auftragnehmer, Planer und sonstige am Bauvorhaben Beteiligte.
3. Weisungsbindung
Der Anbieter verarbeitet die Daten ausschließlich auf dokumentierte Weisung des Kunden. Als Weisung gilt auch die Nutzung der Funktionen der Software durch den Kunden selbst. Hält der Anbieter eine Weisung für rechtswidrig, teilt er dies mit und kann ihre Ausführung aussetzen.
4. Vertraulichkeit
Alle mit der Verarbeitung befassten Personen sind zur Vertraulichkeit verpflichtet. Die Verpflichtung besteht auch nach Beendigung der Tätigkeit fort.
5. Technische und organisatorische Maßnahmen
Der Anbieter trifft die in Anlage 1 beschriebenen Maßnahmen nach Art. 32 DSGVO und hält sie während der Vertragsdauer aufrecht. Maßnahmen dürfen weiterentwickelt werden, solange das Schutzniveau nicht unterschritten wird.
6. Unterauftragsverarbeiter
Der Kunde stimmt dem Einsatz der in Anlage 2 genannten Unterauftragsverarbeiter zu. Weitere Unterauftragsverarbeiter kündigt der Anbieter mindestens vier Wochen vorher an; der Kunde kann aus wichtigem Grund widersprechen und den Vertrag in diesem Fall zum Wirksamwerden der Änderung kündigen. Der Anbieter verpflichtet jeden Unterauftragsverarbeiter auf dasselbe Schutzniveau.
7. Unterstützung des Kunden
Der Anbieter unterstützt den Kunden im erforderlichen Umfang bei der Beantwortung von Anfragen betroffener Personen sowie bei Datenschutz-Folgenabschätzungen und Meldungen nach Art. 32 bis 36 DSGVO. Wendet sich eine betroffene Person direkt an den Anbieter, leitet er die Anfrage unverzüglich an den Kunden weiter.
8. Verletzungen des Schutzes personenbezogener Daten
Der Anbieter meldet dem Kunden jede Verletzung des Schutzes personenbezogener Daten unverzüglich, spätestens innerhalb von 48 Stunden ab Kenntnis, und teilt die zur Meldung nach Art. 33 DSGVO erforderlichen Angaben mit.
9. Löschung und Rückgabe
Nach Ende des Nutzungsvertrags stehen die auf dem Server abgelegten Daten noch 30 Tage zum Export bereit und werden danach gelöscht. Daten in Sicherungskopien entfallen mit deren regulärem Ablauf, spätestens 30 Tage nach der Löschung im laufenden Betrieb. Gesetzliche Aufbewahrungspflichten bleiben unberührt.
10. Nachweise und Überprüfungen
Der Anbieter weist die Einhaltung dieser Vereinbarung auf Anfrage in geeigneter Form nach. Der Kunde kann sich nach vorheriger Ankündigung und zu üblichen Geschäftszeiten von der Einhaltung überzeugen; der Betrieb darf dadurch nicht unangemessen beeinträchtigt werden.
11. Schlussbestimmungen
Bei Widersprüchen zwischen dieser Vereinbarung und den AGB geht diese Vereinbarung für die Verarbeitung personenbezogener Daten vor. Im Übrigen gelten die AGB. Es gilt österreichisches Recht.
Anlage 1 — Technische und organisatorische Maßnahmen
- Serverstandort: Server und Speicher stehen ausschließlich innerhalb der EU. Eine Übermittlung in Drittländer findet nicht statt.
- Übertragung: Alle Verbindungen sind nach dem Stand der Technik verschlüsselt.
- Zugangsdaten: Passwörter werden ausschließlich in nicht wiederherstellbarer Form gespeichert.
- Mandantentrennung: jeder Zugriff ist an das Unternehmen des angemeldeten Kontos gebunden. Ein Zugriff auf Daten eines anderen Unternehmens wird durch technische Prüfungen verhindert.
- Rollen und Rechte: Mitarbeiter, Firmen-Administrator und Anbieter haben abgestufte Rechte; Verwaltungsbereiche sind je Konto einzeln freizugeben.
- Protokollierung: administrative Eingriffe werden mit handelndem Konto, Zeitpunkt und Gegenstand protokolliert.
- Sicherung: Datenbank und Dateiablagen werden täglich automatisch gesichert. Die Sicherung wird verschlüsselt an zwei weitere Orte außerhalb des Rechenzentrums übertragen: an einen Ort, der ausschließlich dem Anbieter zugänglich ist, und in einen getrennten Speicherbereich. Beide liegen innerhalb der EU. Sie wird 30 Tage aufbewahrt und danach automatisch gelöscht. Zusätzlich wird vor jedem Eingriff am laufenden System eine vollständige Sicherung erstellt.
- Wiederherstellbarkeit: Jede Sicherung wird über Prüfsummen auf Vollständigkeit geprüft; die Wiederherstellung der Datenbank wird erprobt. Bleibt eine Sicherung aus oder schlägt sie fehl, wird das gemeldet.
- Aktualisierung: Sicherheitsaktualisierungen werden zeitnah eingespielt.
- Trennung der Zwecke: Entwicklungs- und Testdaten werden getrennt von Produktivdaten gehalten.
Anlage 2 — Unterauftragsverarbeiter
| Dienstleister | Leistung | Ort |
|---|---|---|
| World4You Internet Services GmbH | Betrieb des Servers und der E-Mail-Postfächer | EU |
| IONOS SE (IONOS-Gruppe, zu der World4You gehört) | Rechenzentrum, in dem der Server steht | EU |
| Hetzner Online GmbH | Objektspeicher für Dateien und Sicherung | EU |
Fassung vom 04.10.2026