Vertrag zur Auftragsverarbeitung (Art. 28 DSGVO)

Entwurf, Stand Oktober 2026 – vor dem Livegang anwaltlich oder durch einen Rechtstexte-Dienst prüfen lassen. Platzhalter stehen in eckigen Klammern.

Dieser Vertrag gilt zwischen Kunden, die Polier als Unternehmer für Projekte ihrer Auftraggeber nutzen (z. B. Architekten, Bauleiter, Smart-Home-Partner) – „Verantwortlicher“ – und Niklaas Klein, Polier – ein Angebot von NiK SmartHome, [Straße Hausnummer], [PLZ] Bad Salzuflen – „Auftragsverarbeiter“. Er wird mit Abschluss des Partner-Tarifs Teil des Nutzungsvertrags.

1. Gegenstand und Dauer

Der Auftragsverarbeiter stellt die Software Polier bereit und verarbeitet dabei personenbezogene Daten im Auftrag des Verantwortlichen. Der Vertrag läuft so lange wie der Nutzungsvertrag.

2. Art, Zweck und Umfang

• Zweck: Organisation von Bauprojekten (Fahrplan, Termine, Mängel, Dokumente, Bautagebuch, Gastzugänge, Abschluss-Dokumentation).
• Datenarten: Namen, E-Mail-Adressen, Telefonnummern, Adressen von Bauvorhaben, Fotos, Pläne und Dokumente, Termin- und Mängeldaten, Nutzungsdaten.
• Betroffene: Bauherren, Mitarbeiter des Verantwortlichen, beteiligte Firmen und deren Ansprechpartner, auf Fotos ggf. erkennbare Personen.

3. Weisungen

Der Auftragsverarbeiter verarbeitet die Daten nur auf dokumentierte Weisung des Verantwortlichen; die Nutzung der Funktionen von Polier gilt als Weisung. Hält er eine Weisung für rechtswidrig, weist er unverzüglich darauf hin.

4. Vertraulichkeit

Personen, die Zugang zu den Daten haben, sind zur Vertraulichkeit verpflichtet.

5. Technische und organisatorische Maßnahmen

• Verschlüsselte Übertragung (HTTPS/TLS) und verschlüsselte Speicherung beim Hoster
• Rechte auf Datenbankebene: Nutzer sehen nur Projekte, in denen sie Mitglied sind; Gäste nur ihr Gewerk
• Anmeldung ohne Passwort per Einmal-Link; Gastlinks zufällig erzeugt und jederzeit sperrbar
• Private Dateiablage, Zugriff nur über zeitlich begrenzte Download-Links
• Regelmäßige Datensicherung beim Hoster
• Zugang zu Verwaltungskonten nur mit Zwei-Faktor-Anmeldung [umsetzen]

6. Unterauftragsverarbeiter

Der Verantwortliche stimmt dem Einsatz folgender Unterauftragsverarbeiter zu:

• Supabase Inc., USA – Datenbank, Anmeldung, Dateispeicher – Rechenzentrum Frankfurt (EU)
• Vercel Inc., USA – Hosting der Web-Anwendung – [Region prüfen]
• Resend Inc., USA – Versand von E-Mail-Benachrichtigungen – [Region prüfen]

Über neue Unterauftragsverarbeiter informiert der Auftragsverarbeiter mindestens vier Wochen vorher. Der Verantwortliche kann aus wichtigem Grund widersprechen und den Vertrag dann kündigen.

7. Unterstützung

Der Auftragsverarbeiter unterstützt den Verantwortlichen bei Anfragen Betroffener (Auskunft, Löschung usw.), bei der Datenschutz-Folgenabschätzung und bei Meldungen an Aufsichtsbehörden.

8. Datenschutzverletzungen

Verletzungen des Schutzes personenbezogener Daten meldet der Auftragsverarbeiter unverzüglich, möglichst innerhalb von 24 Stunden nach Kenntnis, an die hinterlegte E-Mail-Adresse des Verantwortlichen.

9. Löschung und Rückgabe

Nach Vertragsende kann der Verantwortliche seine Daten innerhalb von [90 Tagen] exportieren. Danach löscht der Auftragsverarbeiter die Daten, sofern keine gesetzliche Pflicht zur Aufbewahrung besteht.

10. Nachweise und Kontrollen

Der Auftragsverarbeiter stellt dem Verantwortlichen auf Anfrage die Informationen zur Verfügung, die zum Nachweis der Pflichten nötig sind, und ermöglicht Überprüfungen nach vorheriger Ankündigung.

11. Schlussbestimmungen

Bei Widersprüchen geht dieser Vertrag den AGB vor, soweit es um den Datenschutz geht. Die Haftung richtet sich nach Art. 82 DSGVO.