AUFTRAGSVERARBEITUNGSVERTRAG

gemäß Art. 28 Datenschutz-Grundverordnung

Stand: 22. Oktober 2026

  1. Vertragsparteien

Auftragsverarbeiter:

BauZentral
Inhaber: Pascal Pauluhn
Haulingort 4c
48739 Legden
Deutschland
E-Mail: info@bauzentral.de

nachfolgend „BauZentral“ oder „Auftragsverarbeiter“ genannt.

Verantwortlicher:

Der bei der Registrierung angegebene Firmenkunde von BauZentral, nachfolgend „Kunde“ oder „Verantwortlicher“ genannt.

Dieser Vertrag über die Auftragsverarbeitung wird elektronisch geschlossen und ergänzt den zwischen BauZentral und dem Kunden bestehenden Vertrag über die Nutzung der BauZentral-Software.

  1. Gegenstand und Dauer der Verarbeitung

2.1 BauZentral stellt dem Kunden eine cloudbasierte Software zur Organisation und Verwaltung betrieblicher Abläufe zur Verfügung.

2.2 Soweit BauZentral dabei personenbezogene Daten im Auftrag des Kunden verarbeitet, erfolgt diese Verarbeitung ausschließlich nach den Bestimmungen dieses Vertrages, den dokumentierten Weisungen des Kunden und den geltenden Datenschutzvorschriften.

2.3 Die Verarbeitung beginnt mit der Einrichtung des Firmenkontos und dauert grundsätzlich bis zur Beendigung des Nutzungsvertrages beziehungsweise bis zur vollständigen Löschung oder Rückgabe der im Auftrag verarbeiteten Daten.

2.4 Gesetzliche Aufbewahrungspflichten und technisch erforderliche, zeitlich begrenzte Sicherungskopien bleiben unberührt.

  1. Art und Zweck der Verarbeitung

Die Verarbeitung dient der Bereitstellung und dem sicheren Betrieb der BauZentral-Software. Abhängig von den tatsächlich verwendeten Funktionen können insbesondere folgende Verarbeitungsvorgänge stattfinden:

• Erheben und Erfassen von Daten
• Speichern und Organisieren von Daten
• Anzeigen, Abrufen und Bereitstellen von Daten
• Ändern, Ergänzen und Berichtigen von Daten
• Zuordnen von Daten zu Firmen, Projekten, Baustellen oder Nutzern
• Auswerten und Berechnen betrieblicher Kennzahlen
• Erstellen von Planungen, Übersichten, Dokumenten und Exporten
• Speichern und Bereitstellen hochgeladener Dateien
• Verwalten von Benutzerkonten, Rollen und Zugriffsrechten
• Erstellen von Sicherungsständen
• Löschen und Einschränken von Daten
• technische Protokollierung zur Sicherheit und Fehlerbehebung

BauZentral verarbeitet die Daten nicht für eigene, mit den Weisungen des Kunden unvereinbare Zwecke.

  1. Arten personenbezogener Daten

Abhängig von der Nutzung der Software können insbesondere folgende Daten verarbeitet werden:

• Namen und geschäftliche Kontaktdaten
• Unternehmens- und Beschäftigtendaten
• Personalnummern, Funktionen und Benutzerrollen
• E-Mail-Adressen und Kontodaten
• Arbeitszeiten, Pausenzeiten und Stundennachweise
• Urlaubs-, Abwesenheits- und Krankheitsdaten
• Einsatz-, Kolonnen- und Baustellenplanungen
• Projekt-, Auftrags- und Kundendaten
• Daten von Ansprechpartnern, Auftraggebern und Geschäftspartnern
• Fahrzeug-, Maschinen- und Fuhrparkzuordnungen
• Dokumente, Bilder und sonstige hochgeladene Dateien
• Angebots-, Rechnungs-, Zahlungs- und Kalkulationsdaten
• technische Geräte-, Sitzungs-, Zugriffs- und Sicherheitsdaten
• IP-Adressen und technische Protokolldaten

Soweit der Kunde Krankheits- oder Arbeitsunfähigkeitsdaten verarbeitet, können darunter besondere Kategorien personenbezogener Daten gemäß Art. 9 DSGVO fallen.

  1. Kategorien betroffener Personen

Von der Verarbeitung können insbesondere betroffen sein:

• Beschäftigte und ehemalige Beschäftigte des Kunden
• Bewerber, soweit entsprechende Daten eingegeben werden
• freie Mitarbeiter und Nachunternehmer
• Kunden und Interessenten des Verantwortlichen
• Ansprechpartner bei Auftraggebern, Lieferanten und Geschäftspartnern
• sonstige Personen, deren Daten der Kunde berechtigt in BauZentral eingibt

  1. Weisungsrecht des Kunden

6.1 Der Kunde bestimmt als Verantwortlicher die Zwecke und wesentlichen Mittel der Verarbeitung.

6.2 BauZentral verarbeitet personenbezogene Daten ausschließlich auf Grundlage dokumentierter Weisungen des Kunden, sofern keine gesetzliche Verpflichtung zu einer darüber hinausgehenden Verarbeitung besteht.

6.3 Als dokumentierte Weisungen gelten insbesondere die Nutzung der Funktionen von BauZentral, die vom Kunden vorgenommenen Einstellungen, Eingaben, Änderungen, Löschungen und Exporte sowie ergänzende Weisungen in Textform.

6.4 Hält BauZentral eine Weisung für datenschutzrechtlich unzulässig, wird der Kunde unverzüglich darauf hingewiesen. BauZentral darf die betreffende Ausführung aussetzen, bis die Weisung bestätigt, geändert oder zurückgenommen wurde.

  1. Pflichten des Kunden

7.1 Der Kunde ist für die Rechtmäßigkeit der Erhebung und Verarbeitung der von ihm eingegebenen Daten verantwortlich.

7.2 Der Kunde stellt sicher, dass die erforderlichen Rechtsgrundlagen, Informationspflichten und gegebenenfalls Einwilligungen gegenüber betroffenen Personen vorliegen.

7.3 Der Kunde vergibt Benutzerrollen und Berechtigungen sorgfältig und überprüft diese regelmäßig.

7.4 Der Kunde informiert BauZentral unverzüglich über erkennbare Datenschutz- oder Sicherheitsprobleme, die die Nutzung der Software betreffen.

7.5 Zugangsdaten dürfen nur den jeweils berechtigten Personen zur Verfügung gestellt werden.

  1. Pflichten von BauZentral

BauZentral verpflichtet sich insbesondere:

• personenbezogene Daten nur im vereinbarten Umfang zu verarbeiten,
• die Vertraulichkeit der verarbeiteten Daten zu wahren,
• nur entsprechend berechtigten Personen Zugriff zu gewähren,
• eingesetzte Personen auf Vertraulichkeit zu verpflichten,
• angemessene technische und organisatorische Schutzmaßnahmen umzusetzen,
• den Kunden bei der Erfüllung datenschutzrechtlicher Pflichten angemessen zu unterstützen,
• Datenschutzverletzungen unverzüglich an den Kunden zu melden,
• Anfragen betroffener Personen nicht eigenständig zu beantworten, soweit keine gesetzliche Pflicht besteht,
• Daten nach Vertragsende nach Wahl des Kunden zu löschen oder zurückzugeben, soweit keine gesetzlichen Pflichten entgegenstehen.

  1. Vertraulichkeit

9.1 BauZentral stellt sicher, dass Personen, die Zugriff auf im Auftrag verarbeitete personenbezogene Daten erhalten, zur Vertraulichkeit verpflichtet sind oder einer entsprechenden gesetzlichen Verschwiegenheitspflicht unterliegen.

9.2 Die Verpflichtung zur Vertraulichkeit besteht auch nach Beendigung ihrer Tätigkeit beziehungsweise nach Beendigung dieses Vertrages fort.

  1. Technische und organisatorische Maßnahmen

BauZentral trifft angemessene technische und organisatorische Maßnahmen zum Schutz der verarbeiteten Daten. Dazu gehören insbesondere:

Zugangsschutz

• persönliche Benutzerkonten
• E-Mail- und Passwortanmeldung
• sichere, nicht im Klartext gespeicherte Passwortableitung
• zeitlich begrenzte und geschützte Gerätesitzungen
• einmalig verwendbare Notfallcodes
• Begrenzung fehlgeschlagener Anmeldeversuche

Berechtigungsschutz

• serverseitig geprüfte Benutzerrollen
• getrennte Rechte für Inhaber, Büro, Bauleitung, Werkstatt und Mitarbeiter
• Beschränkung administrativer Funktionen auf berechtigte Inhaber
• Trennung der Firmen- und Kundenbereiche
• Prüfung von Zugriffen auf Datensätze und Dateien

Übertragungs- und Speicherschutz

• verschlüsselte Übertragung über HTTPS beziehungsweise TLS
• geschützte Sitzungscookies
• technisch getrennte Kundenbereiche
• kontrollierte Speicherung von Dateien und Dateimetadaten
• Schutz vor unberechtigten Datenänderungen und Schreibkonflikten

Verfügbarkeit und Wiederherstellung

• regelmäßige Datenstände der betrieblichen Daten
• Möglichkeit zum vollständigen Daten- und Dateiexport
• Sicherungs- und Wiederherstellungsfunktionen
• technische Überwachung und Fehlerprotokollierung
• Maßnahmen zur Wiederherstellung nach technischen Störungen

Datenschutzfreundliche Gestaltung

• neue Firmenkonten beginnen ohne fremde oder öffentliche Beispieldaten
• sparsame Erhebung von Registrierungsdaten
• rollenabhängige Anzeige und Bearbeitung
• Lösch- und Exportmöglichkeiten
• keine Nutzung betrieblicher Kundendaten zu Werbezwecken

BauZentral darf die technischen und organisatorischen Maßnahmen an den technischen Fortschritt anpassen, sofern das vereinbarte Schutzniveau dadurch nicht verringert wird.

  1. Unterstützung des Kunden

11.1 BauZentral unterstützt den Kunden im angemessenen Umfang bei der Bearbeitung von Anträgen betroffener Personen, insbesondere auf Auskunft, Berichtigung, Löschung, Einschränkung und Datenübertragbarkeit.

11.2 BauZentral unterstützt den Kunden außerdem, soweit erforderlich und möglich, bei:

• der Sicherheit der Verarbeitung,
• der Meldung von Datenschutzverletzungen,
• der Benachrichtigung betroffener Personen,
• Datenschutz-Folgenabschätzungen,
• vorherigen Konsultationen mit Aufsichtsbehörden.

11.3 Erhält BauZentral eine Anfrage, die erkennbar Daten eines Kunden betrifft, wird die Anfrage grundsätzlich an den betreffenden Kunden weitergeleitet.

  1. Datenschutzverletzungen

12.1 BauZentral informiert den Kunden unverzüglich, sobald eine Verletzung des Schutzes personenbezogener Daten bekannt wird, die vom Auftrag des Kunden erfasste Daten betrifft.

12.2 Die Mitteilung enthält, soweit zu diesem Zeitpunkt verfügbar:

• Art und Umfang des Vorfalls,
• betroffene Datenarten und Personengruppen,
• bekannte oder wahrscheinliche Folgen,
• bereits ergriffene oder geplante Gegenmaßnahmen,
• eine Kontaktmöglichkeit für weitere Informationen.

12.3 Noch nicht verfügbare Informationen können schrittweise nachgereicht werden.

  1. Unterauftragsverarbeiter

13.1 Der Kunde erteilt BauZentral die allgemeine Genehmigung, weitere Auftragsverarbeiter einzusetzen, soweit dies zur Bereitstellung und zum Betrieb der Software erforderlich ist.

13.2 BauZentral verpflichtet eingesetzte Unterauftragsverarbeiter vertraglich auf ein angemessenes Datenschutzniveau und auf Pflichten, die den Anforderungen dieses Vertrages entsprechen.

13.3 BauZentral informiert über wesentliche Änderungen bei Unterauftragsverarbeitern. Der Kunde kann aus wichtigem datenschutzrechtlichem Grund innerhalb von 14 Tagen widersprechen. Können die Parteien keine zumutbare Lösung finden, kann der betroffene Dienst beendet werden.

13.4 Zum Zeitpunkt dieses Vertragsstandes können insbesondere folgende technische Dienstleister eingesetzt werden:

OpenAI Ireland Limited
Zweck: Bereitstellung und Betrieb von ChatGPT Sites sowie der technischen Hostingumgebung der BauZentral-Anwendung
Sitz: Irland
Weitere Informationen: https://openai.com/policies/chatgpt-sites-data-processing-addendum/

Cloudflare-Unternehmen
Zweck: technische Infrastruktur, Auslieferung der Anwendung, Cloudflare Workers sowie Datenbank- und Dateispeicherfunktionen
Mögliche Leistungen: Workers, D1 und R2
Weitere Informationen: https://www.cloudflare.com/cloudflare-customer-dpa/

Resend, Inc. – erst nach Aktivierung des E-Mail-Versands
Zweck: Versand transaktionaler E-Mails, insbesondere für das Zurücksetzen von Passwörtern und sicherheitsbezogene Kontonachrichten
Weitere Informationen: https://resend.com/legal/dpa

Zahlungsdienstleister wie Stripe verarbeiten Zahlungsdaten abhängig von der konkreten Verarbeitung teilweise in eigener datenschutzrechtlicher Verantwortlichkeit. Die Zahlungsabwicklung ist zusätzlich in der Datenschutzerklärung von BauZentral beschrieben.

  1. Drittlandübermittlungen

14.1 Eine Verarbeitung außerhalb der Europäischen Union oder des Europäischen Wirtschaftsraums erfolgt nur, wenn die gesetzlichen Voraussetzungen der Art. 44 bis 49 DSGVO erfüllt sind.

14.2 Als geeignete Grundlage können insbesondere ein Angemessenheitsbeschluss der Europäischen Kommission, genehmigte Standardvertragsklauseln oder andere gesetzlich anerkannte Garantien dienen.

14.3 BauZentral berücksichtigt bei der Auswahl technischer Dienstleister die verfügbaren Datenschutzverträge und Schutzmaßnahmen.

  1. Rückgabe und Löschung von Daten

15.1 Während der Vertragslaufzeit kann der Kunde seine Daten über die vorhandenen Export- und Sicherungsfunktionen sichern.

15.2 Nach Beendigung des Vertrages löscht oder übergibt BauZentral die im Auftrag verarbeiteten Daten nach Wahl des Kunden, soweit keine gesetzlichen Aufbewahrungspflichten entgegenstehen.

15.3 Der Kunde ist dafür verantwortlich, benötigte Daten rechtzeitig vor Vertragsende zu exportieren.

15.4 Technisch vorhandene Sicherungskopien können für einen begrenzten Zeitraum fortbestehen. Sie werden anschließend im Rahmen der vorgesehenen Löschzyklen entfernt und nicht für andere Zwecke verwendet.

  1. Nachweise und Kontrollen

16.1 BauZentral stellt dem Kunden auf Anfrage die Informationen zur Verfügung, die erforderlich sind, um die Einhaltung der Pflichten aus Art. 28 DSGVO nachzuweisen.

16.2 Der Kunde darf nach angemessener vorheriger Ankündigung Kontrollen durchführen oder durch einen zur Vertraulichkeit verpflichteten Prüfer durchführen lassen.

16.3 Kontrollen sollen den Geschäftsbetrieb und die Sicherheit anderer Kunden nicht beeinträchtigen. BauZentral darf zum Schutz anderer Kunden geeignete Vertraulichkeits- und Sicherheitsmaßnahmen verlangen.

16.4 Soweit geeignete Prüfberichte, Zertifikate oder andere Nachweise vorliegen, können diese zur Erfüllung des Kontrollrechts herangezogen werden.

  1. Haftung

Für die Haftung der Vertragsparteien gelten die gesetzlichen Bestimmungen, insbesondere Art. 82 DSGVO, sowie die wirksam vereinbarten Haftungsregelungen des zugrunde liegenden Nutzungsvertrages.

  1. Schlussbestimmungen

18.1 Änderungen und Ergänzungen dieses Vertrages bedürfen mindestens der Textform. Der elektronische Abschluss und die elektronische Bestätigung genügen diesem Erfordernis.

18.2 Bei Widersprüchen zwischen diesem Vertrag und sonstigen Vereinbarungen gehen für die Verarbeitung personenbezogener Daten im Auftrag die Bestimmungen dieses Vertrages vor.

18.3 Sollte eine Bestimmung dieses Vertrages unwirksam sein oder werden, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt.

18.4 Es gilt das Recht der Bundesrepublik Deutschland.

18.5 Dieser Auftragsverarbeitungsvertrag wird bei der Registrierung beziehungsweise Buchung elektronisch in den Vertrag einbezogen. Die Zustimmung und der jeweils akzeptierte Vertragsstand werden technisch dokumentiert.