Auftragsverarbeitung
Art. 28 DSGVO

(1) Diese Vereinbarung ergänzt die Nutzungsbedingungen. Sie gilt, wenn Sie mit Ihrem Konto Inhalte hochladen oder bearbeiten, die personenbezogene Daten Dritter enthalten. Sie sind dann Verantwortlicher, wir sind Auftragsverarbeiter. Für die Arbeit ohne Konto gilt sie nicht.

(2) Die Vereinbarung gilt, solange wir solche Daten für Sie verarbeiten, und endet mit deren Löschung nach Ziffer 10.

(1) Wir speichern, bearbeiten, wandeln und stellen Ihre Modelle bereit, damit Sie und von Ihnen berechtigte Mitglieder und Agenten mit ihnen arbeiten können.

(2) Art der Daten: Inhalte der Modelle, insbesondere Namen, Anschriften, Kontaktdaten und Rollen von Beteiligten eines Bauvorhabens sowie Angaben zu Grundstücken und Gebäuden.

(3) Betroffene: Beteiligte eines Bauvorhabens, etwa Bauherren, Planer, ausführende Firmen, Eigentümer und Nutzer.

(4) Ihre eigenen Kontodaten verarbeiten wir als Verantwortliche nach der Datenschutzerklärung.

(1) Wir verarbeiten die Daten nur auf Ihre dokumentierte Weisung. Ihre Weisungen erteilen Sie durch die Nutzung der Funktionen des Dienstes, einschließlich der Aufrufe durch von Ihnen angebundene Agenten. Weitere Weisungen erteilen Sie in Textform. Erfordern sie Leistungen über den Dienst hinaus, können wir sie ablehnen oder von einer gesonderten Vereinbarung abhängig machen.

(2) Sind wir gesetzlich zu einer Verarbeitung verpflichtet, teilen wir Ihnen das vorher mit, sofern das Gesetz dies nicht verbietet.

(3) Ist eine Weisung nach unserer Auffassung rechtswidrig, weisen wir Sie unverzüglich darauf hin. Wir können ihre Ausführung aussetzen, bis Sie sie bestätigen oder ändern.

(4) Wir nutzen die Daten nicht für eigene Zwecke. In die Nutzungsauswertung (Datenschutzerklärung, Abschnitt 4) gehen keine Modellinhalte ein.

(5) Wenn Sie einen KI-Anbieter anbinden, geben wir Daten auf Ihre Weisung an diesen weiter. Der KI-Anbieter ist nicht unser Unterauftragsverarbeiter. Das Verhältnis zu ihm regeln Sie selbst.

Personen, die bei uns Zugang zu den Daten haben, sind zur Vertraulichkeit verpflichtet oder unterliegen einer gesetzlichen Verschwiegenheitspflicht.

Wir treffen die nach Art. 32 DSGVO angemessenen Maßnahmen. Die Anlage 1 beschreibt sie. Wir dürfen sie an den technischen Fortschritt anpassen, solange das Schutzniveau insgesamt nicht sinkt.

(1) Sie genehmigen den Einsatz der in Anlage 2 genannten Unterauftragsverarbeiter und erteilen uns eine allgemeine Genehmigung für weitere. Wir verpflichten diese vertraglich auf ein gleichwertiges Datenschutzniveau.

(2) Einen Neuzugang oder Wechsel teilen wir mindestens 14 Tage vorher per E-Mail oder im Dienst mit. Sie können innerhalb dieser Frist aus wichtigem datenschutzrechtlichem Grund widersprechen. Finden wir keine Lösung, können beide Seiten den Vertrag zum Zeitpunkt des Wechsels beenden. Sie können Ihre Daten bis dahin exportieren.

(3) Ist ein Wechsel aus Sicherheits- oder Rechtsgründen dringend, können wir die Frist verkürzen. Ihr Widerspruchsrecht bleibt bestehen.

Wir übermitteln Daten in Länder außerhalb des EWR nur, wenn die Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind, etwa durch einen Angemessenheitsbeschluss oder Standardvertragsklauseln. Anlage 2 nennt die derzeitigen Grundlagen.

Wir unterstützen Sie mit angemessenen Mitteln bei der Beantwortung von Anfragen Betroffener und bei Ihren Pflichten nach Art. 32 bis 36 DSGVO. Viele Rechte können Sie selbst im Dienst umsetzen, etwa durch Export, Berichtigung im Modell oder Löschung. Anfragen Betroffener, die uns direkt erreichen, leiten wir an Sie weiter.

Wir melden Ihnen eine Verletzung, die Ihre Daten betrifft, unverzüglich, nachdem sie uns bekannt geworden ist, mit den Angaben, die uns zu diesem Zeitpunkt vorliegen.

(1) Sie können Ihre Daten jederzeit selbst exportieren und löschen. Endet der Vertrag, löschen wir die Daten spätestens 90 Tage nach Vertragsende (Ziffer 9 Abs. 4 der Nutzungsbedingungen), sofern keine gesetzliche Pflicht zur Aufbewahrung besteht.

(2) Gelöschte Daten können technisch bedingt noch bis zu 30 Tage wiederherstellbar sein. Zugriffsprotokolle laufen nach ihren Fristen ab.

(1) Wir stellen Ihnen auf Anfrage die Informationen zur Verfügung, die zum Nachweis der Einhaltung dieser Vereinbarung erforderlich sind. Vorrangig geschieht das durch diese Vereinbarung samt Anlagen, eine Selbstauskunft und die Zertifizierungen und Prüfberichte unserer Unterauftragsverarbeiter.

(2) Reicht das im Einzelfall nicht aus, können Sie oder ein zur Verschwiegenheit verpflichteter Prüfer eine Kontrolle durchführen, nach Ankündigung mit angemessener Frist, während unserer Geschäftszeiten und ohne den Betrieb zu stören. Den damit verbundenen Aufwand können wir angemessen in Rechnung stellen.

(1) Im Verhältnis zwischen Ihnen und uns gilt die Haftungsregel der Nutzungsbedingungen. Die Haftung gegenüber Betroffenen nach Art. 82 DSGVO bleibt unberührt.

(2) Bei Widersprüchen zu den Nutzungsbedingungen geht diese Vereinbarung für Fragen des Datenschutzes vor.

Die folgenden Maßnahmen beschreiben den Stand bei Abschluss. Wir passen sie nach Ziffer 5 an.

Vertraulichkeit. Verschlüsselte Übertragung nach dem Stand der Technik. Verschlüsselung der dauerhaft gespeicherten Daten beim Speicheranbieter (Google). Arbeitskopien auf dem Server in einem nach ISO 27001 zertifizierten Rechenzentrum. Logische Trennung der Daten je Konto und Werkbank mit Zugriffsbeschränkung auf die jeweils berechtigten Konten, Mitglieder und Agenten. Speicherung von Zugangsschlüsseln nur als nicht umkehrbarer Hashwert. Zugang zur Betriebsumgebung nur für die Gesellschafter, ohne gespeicherte Dienstkontoschlüssel.

Integrität. Hochladen nur mit Konto und nach Zustimmung zu den Nutzungsbedingungen, serverseitig geprüft. Maßnahmen zur Minderung eingeschleuster Anweisungen über Dateiinhalte in angebundene KI-Systeme: Kennzeichnung von Dateitext als Daten, Entfernen unsichtbarer Steuerzeichen, Schreiben nur auf ausdrücklich benannte Elemente. Protokollierung von Zugriffen auf gespeicherte Daten.

Verfügbarkeit und Belastbarkeit. Betrieb in Rechenzentren zweier etablierter Cloud-Anbieter in der EU (Hetzner und Google, Anlage 2). Wiederherstellbarkeit gelöschter Daten für eine begrenzte Zeit. Begrenzung von Anfragen gegen Missbrauch. Möglichkeit, den Dienst bei Störungen oder Missbrauch kurzfristig zu schließen.

Wiederherstellung. Verfahren zur Wiederherstellung von Daten nach einem Zwischenfall, die wir regelmäßig erproben.

Überprüfung und Bewertung. Meldeweg für Sicherheitslücken nach RFC 9116. Regelmäßige Prüfung verwendeter Softwarepakete auf bekannte Schwachstellen. Regelmäßige Überprüfung der Wirksamkeit dieser Maßnahmen.

Die Anmeldung über Google Cloud Identity Platform verarbeitet nur Kontodaten, keine Modellinhalte, und fällt daher nicht unter diese Vereinbarung.