Vereinbarung zur Auftragsverarbeitung (AVV)

Diese Vereinbarung wird geschlossen zwischen:

Verantwortlicher (Kunde):

Das Unternehmen, das MBDOK im Rahmen seiner gewerblichen oder selbständigen beruflichen Tätigkeit nutzt (nachfolgend „Verantwortlicher"). Der Verantwortliche bestimmt über die Zwecke und Mittel der Verarbeitung personenbezogener Daten, die er MB E-Commerce Services im Rahmen dieser Vereinbarung überlässt.

Auftragsverarbeiter:

MB E-Commerce Services
Einzelunternehmen
Inhaberin: Marina Borscevska
Finkenstraße 1a
86462 Langweid a. Lech
Deutschland
E-Mail: support@mbdok.de

Diese Vereinbarung gilt soweit MB E-Commerce Services personenbezogene Daten im Auftrag des Verantwortlichen verarbeitet und die Voraussetzungen des Art. 28 DSGVO vorliegen.

Gegenstand dieser Vereinbarung ist die Verarbeitung personenbezogener Daten durch MB E-Commerce Services im Rahmen der Bereitstellung und Nutzung der digitalen Baustellendokumentationsplattform MBDOK.

Die Verarbeitung erfolgt für die Dauer der Vertragsbeziehung zwischen dem Verantwortlichen und MB E-Commerce Services, beginnend mit der Registrierung bzw. Aktivierung und endend mit der Beendigung des Vertrages gemäß den AGB.

Die Verarbeitung durch MB E-Commerce Services erfolgt ausschließlich im Rahmen der Bereitstellung von MBDOK als Software-as-a-Service-Dienst. Die Verarbeitung umfasst:

• Bereitstellung und Betrieb von MBDOK
• Speicherung und Verwaltung von Projektdaten und Dokumentationsinhalten
• Speicherung hochgeladener Dateien (Pläne, Fotos und Dateien)
• Verarbeitung von Spracheingaben, soweit der Nutzer diese Funktion verwendet
• Übersetzung und strukturierte Verarbeitung von Inhalten, soweit der Nutzer diese Funktionen verwendet
• Versand erforderlicher transaktionsbezogener Nachrichten
• Verwaltung von Benutzerkonten, Projektmitgliedschaften und Lizenzen

Die Verarbeitung erfolgt weisungsgebunden ausschließlich nach den dokumentierten Weisungen des Verantwortlichen, soweit diese durch die Nutzung von MBDOK erfolgen.

Die im Rahmen von MBDOK verarbeiteten Arten personenbezogener Daten umfassen, soweit im Einzelfall tatsächlich erhoben:

• Namen: Vor- und Nachnamen von Benutzern, Projektmitgliedern und eingeladenen Personen
• Geschäftliche Kontaktdaten: E-Mail-Adressen, Unternehmensangaben, Rollen und Gewerke
• Benutzer- und Kontoinformationen: Anmeldedaten, Spracheinstellungen, Rollenzuordnungen
• Projektmitgliedschaftsinformationen: Mitgliedschaften, projektbezogene Rollen und Gewerke
• Bau- und Projektdokumentation: Arbeitsdokumentationen, Meldungen, Planänderungen, Zusatzleistungen, Berichte
• Hochgeladene Fotos und Dateien: Baupläne, Fotos und Audiodateien, die im Projektkontext hochgeladen werden
• Kommentare und Notizen: Freitexteingaben in Dokumentationen und Nachrichten
• Aktivitäts- und Dokumentationsaufzeichnungen: Erstellerinformationen, Zeitstempel, Statusverläufe
• Lizenz- und Vertragsdaten: Tarif, Abrechnungsintervall, Testphase, Kündigungsdaten, Nachweis der Vertrags- und Rechtserklärungen

Für die bestimmungsgemäße Nutzung von MBDOK sind besondere Kategorien personenbezogener Daten im Sinne des Art. 9 DSGVO nicht erforderlich. Der Verantwortliche ist jedoch dafür verantwortlich, dass er in den von ihm bereitgestellten Inhalten (z. B. Fotos, Notizen, Dokumentationen) keine solchen Daten verarbeitet, ohne die hierfür erforderlichen rechtlichen Voraussetzungen zu beachten.

Die Kategorien von Personen, deren personenbezogene Daten im Rahmen von MBDOK verarbeitet werden, umfassen:

• Mitarbeiter des Kunden: Angestellte des Verantwortlichen, die als Benutzer in MBDOK registriert sind
• Projektmitglieder: Personen, die Mitglied in einem MBDOK-Projekt sind
• Subunternehmer-Teilnehmer: Externe Mitarbeiter von Subunternehmen, die als Projektmitglieder eingeladen wurden
• Geschäftskontakte: Auftraggeber, Bauleiter und andere im Projektkontext genannte Personen
• Personen in Kundendokumentationen: Personen, die in vom Verantwortlichen bereitgestellten Fotos, Notizen oder Dokumentationen erscheinen oder erwähnt werden

MB E-Commerce Services verarbeitet die personenbezogenen Daten ausschließlich im Rahmen der durch den Verantwortlichen erteilten Weisungen. Die Weisungen erfolgen durch die Konfiguration und Nutzung von MBDOK durch den Verantwortlichen und seine autorisierten Benutzer.

MB E-Commerce Services darf die Daten nicht für andere Zwecke verwenden, es sei denn, eine gesetzliche Verpflichtung dies erfordert.

Soweit MB E-Commerce Services der Auffassung ist, dass eine Weisung gegen gesetzliche Vorschriften verstößt, wird er den Verantwortlichen hierauf hinweisen und die Durchführung der Weisung aussetzen, bis eine rechtskonforme Weisung erteilt wird.

MB E-Commerce Services gewährleistet, dass die zur Verarbeitung befugten Personen (Mitarbeiter, Erfüllungsgehilfen) auf die Vertraulichkeit verpflichtet sind. Die Verschwiegenheitspflicht besteht über das Ende der Beschäftigung bzw. Zusammenarbeit hinaus.

Der Zugang zu personenbezogenen Daten ist auf die Personen beschränkt, die ihn zur Erfüllung der vertraglichen Pflichten benötigen.

MB E-Commerce Services hat angemessene technische und organisatorische Maßnahmen implementiert, die die Sicherheit der Verarbeitung gewährleisten. Die Maßnahmen umfassen insbesondere:

• Zugriffskontrollen und Authentifizierungspflicht für die Nutzung von MBDOK
• Rollen- und berechtigungsbezogene Zugriffsbeschränkungen
• Beschränkung des Zugriffs auf autorisierte Benutzer
• Projektbezogene Zugriffsbeschränkungen
• Sichere Datenübertragung nach dem Stand der Technik
• Vertraulichkeitsmaßnahmen und organisatorische Berechtigungskonzepte
• Maßnahmen zur Vermeidung unbefugter Zugriffe

Die detaillierte Beschreibung der TOMs ist in Anhang 1 enthalten.

MB E-Commerce Services kann zur Erbringung der vertraglich vereinbarten Leistungen Unterauftragsverarbeiter einsetzen.

Soweit Unterauftragsverarbeiter personenbezogene Daten im Rahmen der Auftragsverarbeitung verarbeiten, werden sie entsprechend den Anforderungen des Art. 28 DSGVO eingebunden. MB E-Commerce Services bleibt für die Einhaltung der Pflichten aus dieser Vereinbarung und dem Art. 28 DSGVO verantwortlich.

Die jeweils aktuelle Information zu den eingesetzten Unterauftragsverarbeitern wird dem Kunden in geeigneter Form zur Verfügung gestellt.

Über beabsichtigte Änderungen in Bezug auf die Hinzuziehung oder Ersetzung von Unterauftragsverarbeitern wird der Kunde entsprechend den gesetzlichen Anforderungen informiert.

MB E-Commerce Services unterstützt den Verantwortlichen bei der Erfüllung von Anfragen betroffener Personen zur Ausübung ihrer Rechte (Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit, Widerspruch).

Soweit eine betroffene Person sich direkt an MB E-Commerce Services wendet, leitet MB E-Commerce Services die Anfrage an den Verantwortlichen weiter, ohne selbstständig zu antworten, es sei denn, eine gesetzliche Verpflichtung erfordert eine direkte Antwort.

MB E-Commerce Services unterstützt den Verantwortlichen bei der Einhaltung der Pflichten gemäß Art. 32–36 DSGVO, insbesondere bei:

• Sicherheitsbewertungen und Maßnahmen zur Gewährleistung der Sicherheit der Verarbeitung
• Meldepflichten bei Verletzungen des Schutzes personenbezogener Daten
• Datenschutz-Folgenabschätzungen, soweit diese die Verarbeitung durch MBDOK betreffen
• Vorherige Konsultationen mit der Aufsichtsbehörde, soweit erforderlich

Die Unterstützung erfolgt im Rahmen der vertraglichen Vereinbarungen und nach Maßgabe der gesetzlichen Anforderungen.

MB E-Commerce Services teilt dem Verantwortlichen eine Verletzung des Schutzes personenbezogener Daten unverzüglich mit, sobald MB E-Commerce Services davon Kenntnis erlangt.

Die Mitteilung enthält die verfügbaren und erforderlichen Informationen, die der Verantwortliche benötigt, um seinen gesetzlichen Meldepflichten nachzukommen, insbesondere:

• Art der Verletzung und die betroffenen personenbezogenen Daten
• Zeitpunkt und wahrscheinliche Ursache, soweit feststellbar
• Maßnahmen, die MB E-Commerce Services ergriffen hat oder vorschlägt
• Empfehlungen für den Verantwortlichen

MB E-Commerce Services stellt dem Verantwortlichen die erforderlichen Nachweise zur Verfügung, um die Einhaltung dieser Vereinbarung zu belegen.

Der Verantwortliche hat das Recht, Audits durchzuführen oder durchführen zu lassen. Audits werden nach angemessener Vorankündigung und in zumutbarem Umfang durchgeführt.

Nach Beendigung der Verarbeitungsdienstleistungen gibt MB E-Commerce Services dem Verantwortlichen die personenbezogenen Daten, die im Auftrag verarbeitet wurden, nach Wahl des Verantwortlichen zurück oder löscht sie, es sei denn, eine gesetzliche Verpflichtung erfordert eine weitergehende Speicherung.

Dies entspricht dem Art. 28 Abs. 3 lit. g DSGVO-Prinzip: Nach Abschluss der Verarbeitung werden die Daten gelöscht oder zurückgegeben, es sei denn, eine unionsrechtliche oder mitgliedstaatliche Rechtsvorschrift verlangt eine Speicherung.

Kunden- und Geschäftsunterlagen (z. B. Vertragsdaten, Rechnungen), die MB E-Commerce Services im eigenen Verantwortungsbereich verarbeitet, können aufgrund gesetzlicher Aufbewahrungspflichten über die Vertragsbeendigung hinaus aufbewahrt werden.

Soweit im Rahmen der Auftragsverarbeitung personenbezogene Daten in ein Drittland außerhalb der Europäischen Union oder des Europäischen Wirtschaftsraums übermittelt werden, erfolgt dies unter Beachtung der Voraussetzungen der Art. 44 ff. DSGVO.

Diese Vereinbarung gilt für die Dauer der Vertragsbeziehung zwischen dem Verantwortlichen und MB E-Commerce Services gemäß den AGB von MBDOK.

Bei Beendigung gelten die Regelungen zur Rückgabe und Löschung gemäß Ziffer 14 dieser Vereinbarung.

MB E-Commerce Services hat angemessene technische und organisatorische Maßnahmen ergriffen, die der Gewährleistung der Sicherheit der Verarbeitung dienen. Die Maßnahmen umfassen:

Zugriffskontrolle:

• Authentifizierungspflicht für die Nutzung von MBDOK
• Rollen- und berechtigungsbezogene Zugriffsbeschränkungen
• Beschränkung des Zugriffs auf autorisierte Benutzer

Berechtigungskonzept:

• Projektbezogene Zugriffsbeschränkungen
• Organisatorische Regelungen zur Berechtigung

Sichere Datenübertragung:

• Sichere Übertragung personenbezogener Daten nach dem Stand der Technik

Vertraulichkeit:

• Vertraulichkeitsverpflichtungen der zur Verarbeitung befugten Personen
• Maßnahmen zur Vermeidung unbefugter Zugriffe

MB E-Commerce Services kann zur Erbringung der vertraglich vereinbarten Leistungen Unterauftragsverarbeiter einsetzen.

Soweit Unterauftragsverarbeiter personenbezogene Daten im Rahmen der Auftragsverarbeitung verarbeiten, werden sie entsprechend den Anforderungen des Art. 28 DSGVO eingebunden.

Die jeweils aktuelle Information zu den eingesetzten Unterauftragsverarbeitern wird dem Kunden in geeigneter Form zur Verfügung gestellt.

Über beabsichtigte Änderungen in Bezug auf die Hinzuziehung oder Ersetzung von Unterauftragsverarbeitern wird der Kunde entsprechend den gesetzlichen Anforderungen informiert.