Auftragsverarbeitungsvertrag
nach Art. 28 Datenschutz-Grundverordnung (DSGVO) zwischen dem Kunden von BauDiktat als Verantwortlichem (im Folgenden „Auftraggeber“) und ASKA Diktiersysteme e.K., Inhaber Tilo Schlumberger, Amselweg 26, 71065 Sindelfingen, als Auftragsverarbeiter (im Folgenden „Auftragnehmer“). Der Vertrag wird mit der Annahme der Nutzungsbedingungen geschlossen und gilt für deren Laufzeit.
§ 1 Gegenstand, Art und Zweck
(1) Der Auftragnehmer stellt dem Auftraggeber BauDiktat bereit. Dabei verarbeitet er personenbezogene Daten ausschließlich im Auftrag und nach Weisung des Auftraggebers, um Begehungen zu erfassen, Diktate in Text umzuwandeln, Berichte zu erstellen, zu speichern und auf Wunsch zu versenden.
(2) Arten von Daten: Namen, E-Mail-Adressen und Kürzel der Nutzer; Tonaufnahmen (Diktate) und daraus erkannte Texte; Fotos; Pläne und Planmarkierungen; Projekt-, Objekt- und Termindaten; Namen und Kontaktdaten von Beteiligten an Begehungen; Berichte; technische Protokolle (Zeitpunkte, Geräte, IP-Adressen).
(3) Betroffene: Beschäftigte des Auftraggebers; seine Auftraggeber und Ansprechpartner; Eigentümer, Bewohner, Nutzer und sonstige Beteiligte der begangenen Objekte; Personen, die auf Fotos oder in Diktaten vorkommen.
(4) Besondere Kategorien von Daten (Art. 9 DSGVO) sind nicht Gegenstand der Verarbeitung. Der Auftraggeber vermeidet es, solche Daten zu erfassen.
§ 2 Weisungen
(1) Der Auftragnehmer verarbeitet die Daten nur auf dokumentierte Weisung des Auftraggebers. Weisungen sind die Nutzungsbedingungen, dieser Vertrag und die Bedienung des Dienstes durch den Auftraggeber. Weitere Weisungen erteilt der Auftraggeber in Textform.
(2) Hält der Auftragnehmer eine Weisung für rechtswidrig, teilt er dies unverzüglich mit und darf ihre Ausführung bis zur Bestätigung aussetzen.
§ 3 Pflichten des Auftragnehmers
(1) Personen, die Zugang zu den Daten haben, sind zur Vertraulichkeit verpflichtet.
(2) Der Auftragnehmer trifft die technischen und organisatorischen Maßnahmen nach Anlage 1 und passt sie dem Stand der Technik an, ohne das Schutzniveau zu senken.
(3) Er unterstützt den Auftraggeber bei Anfragen Betroffener (Art. 12–23 DSGVO), bei Datenschutz-Folgenabschätzungen und bei Meldungen nach Art. 33 und 34 DSGVO.
(4) Verletzungen des Schutzes personenbezogener Daten meldet er dem Auftraggeber unverzüglich, möglichst innerhalb von 24 Stunden nach Kenntnis, mit den Angaben nach Art. 33 Abs. 3 DSGVO, soweit bekannt.
(5) Die Daten eines Auftraggebers werden von denen anderer Kunden getrennt verarbeitet und nur für diesen Auftraggeber verwendet. Sie werden nicht zum Training allgemeiner KI-Modelle genutzt.
§ 4 Unterauftragsverarbeiter
(1) Der Auftraggeber genehmigt die in Anlage 2 genannten Unterauftragsverarbeiter.
(2) Neue oder geänderte Unterauftragsverarbeiter kündigt der Auftragnehmer mindestens vier Wochen vorher per E-Mail an. Der Auftraggeber kann aus wichtigem datenschutzrechtlichem Grund widersprechen; kommt keine Einigung zustande, kann er den Vertrag zum Wirksamwerden der Änderung kündigen.
(3) Der Auftragnehmer verpflichtet Unterauftragsverarbeiter vertraglich auf ein gleichwertiges Schutzniveau.
§ 5 Ort der Verarbeitung
Die Daten werden in Rechenzentren in der Europäischen Union gespeichert und verarbeitet. Eine Übermittlung in Drittländer findet nur statt, soweit sie in Anlage 2 genannt und nach Art. 44 ff. DSGVO abgesichert ist (z. B. Angemessenheitsbeschluss, EU-Standardvertragsklauseln).
§ 6 Kontrollrechte
Der Auftragnehmer weist die Einhaltung seiner Pflichten auf Anfrage nach, vorrangig durch Auskünfte und Unterlagen sowie Nachweise seiner Unterauftragsverarbeiter (z. B. Zertifizierungen). Prüfungen vor Ort sind nach rechtzeitiger Anmeldung zu üblichen Geschäftszeiten möglich, ohne den Betrieb unverhältnismäßig zu stören.
§ 7 Löschung und Rückgabe
Nach Vertragsende kann der Auftraggeber seine Daten 30 Tage lang exportieren. Danach löscht der Auftragnehmer sie, spätestens nach 90 Tagen, einschließlich der Sicherungskopien im Rahmen ihres üblichen Löschzyklus, soweit keine gesetzliche Aufbewahrungspflicht besteht. Auf Wunsch bestätigt er die Löschung in Textform.
§ 8 Haftung und Schlussbestimmungen
(1) Für die Haftung gilt Art. 82 DSGVO; im Übrigen gelten die Nutzungsbedingungen.
(2) Bei Widersprüchen geht dieser Vertrag den Nutzungsbedingungen vor, soweit es um den Schutz personenbezogener Daten geht.
Anlage 1 – Technische und organisatorische Maßnahmen
Vertraulichkeit. Betrieb in Rechenzentren von Microsoft Azure (zertifiziert u. a. nach ISO 27001); kein eigener physischer Serverbetrieb. Anmeldung per persönlichem, zeitlich begrenztem E-Mail-Link ohne Kennwort; Sitzungen sind widerrufbar. Telefone werden über einen einmaligen Kopplungscode an das Büro gebunden, Einstellungen und Geräteverwaltung sind zusätzlich durch eine Büro-PIN geschützt (nur als Hash gespeichert). Strikte Trennung der Daten je Kunde, auf jedem Zugriffsweg serverseitig geprüft. Begrenzung von Anmeldeversuchen. Administrativer Zugriff auf die Systeme nur durch den Inhaber des Auftragnehmers.
Integrität. Übertragung ausschließlich verschlüsselt (TLS). Speicherung verschlüsselt durch die Plattform (Azure Storage Service Encryption). Protokollierung von Anmeldungen, Rechteänderungen und Gerätekopplungen. Dateien werden über eine Zwischendatei geschrieben, damit kein halb geschriebener Stand entsteht.
Verfügbarkeit. Erfasste Begehungen werden zuerst auf dem Gerät gespeichert und erst nach bestätigter Übertragung dort entfernt; Wiederholungsschutz bei der Übertragung. [Sicherungsverfahren auf Azure beschreiben: Häufigkeit, Aufbewahrung, Wiederherstellungstest]
Belastbarkeit und Wiederherstellung. Überwachung von Fehlern und Verfügbarkeit (Azure Application Insights). [Wiederherstellungszeit festlegen]
Überprüfung. Automatisierte Tests vor jeder Auslieferung; Änderungen werden versioniert und sind nachvollziehbar. Regelmäßige Überprüfung dieser Maßnahmen.
Anlage 2 – Unterauftragsverarbeiter
Microsoft Ireland Operations Ltd., One Microsoft Place, South County Business Park, Leopardstown, Dublin 18, Irland
- Betrieb der Anwendung und Speicherung der Daten (Azure App Service) – Region West Europe (Niederlande)
- Spracherkennung (Azure AI Speech) – Region West Europe (Niederlande)
- Spracherkennung MAI-Transcribe (Azure AI Services) – Region North Europe (Irland)
- Textglättung, z. B. Groß- und Kleinschreibung (Azure OpenAI, Bereitstellung „Data Zone EU“) – Ressource in West Europe; Verarbeitung ausschließlich in Rechenzentren der EU
- Technische Überwachung und Fehleranalyse (Azure Application Insights) – Region West Europe
Microsoft verarbeitet Daten auf Grundlage der Microsoft-Produktbedingungen und des Data Protection Addendum; Daten werden nicht zum Training von Modellen verwendet. Für etwaige Zugriffe aus den USA gelten der EU-US Data Privacy Framework und die EU-Standardvertragsklauseln.
Sendinblue SAS (Brevo), 106 boulevard Haussmann, 75008 Paris, Frankreich – Versand von E-Mails (Anmelde-Links, Einladungen und – auf Wunsch des Auftraggebers – Berichte per E-Mail).