Auftragsverarbeitungsvertrag
Technische Vorlage: 2026-07-31
1. Rollen der Parteien
Das Kundenunternehmen handelt als Verantwortlicher für die von ihm eingegebenen Daten von Arbeitnehmern, Dienstleistern, Lieferanten und Dokumenten. iProdGest handelt als Auftragsverarbeiter, soweit diese Daten im Auftrag und nach dokumentierten Weisungen des Kundenunternehmens verarbeitet werden.
2. Gegenstand, Dauer und Zweck
Die Verarbeitung umfasst Hosting, Organisation, Einsicht, autorisierte Übermittlung, Sicherung, Ablaufwarnungen, Support und Löschung der für ObraDocs erforderlichen Daten während der Abonnementlaufzeit und der vereinbarten Aufbewahrungsfrist.
3. Kategorien von Daten und betroffenen Personen
Es können Identifikations- und Kontaktdaten, Unternehmensbezug, Baustelleninformationen, berufliche Dokumente und zugehörige Metadaten verarbeitet werden. Betroffene Personen können Benutzer, Beschäftigte, Subunternehmer, Lieferanten, Vertreter und andere Baustellenbeteiligte sein.
4. Weisungen und Vertraulichkeit
Der Auftragsverarbeiter verarbeitet Daten nur auf dokumentierte Weisung, sofern keine entgegenstehende gesetzliche Pflicht besteht. Befugte Personen sind zur Vertraulichkeit verpflichtet und erhalten rollenbezogenen Zugriff.
5. Sicherheit
Der Auftragsverarbeiter setzt risikogerechte Maßnahmen ein, darunter logische Mandantentrennung, Authentifizierung, Berechtigungskontrollen, Auditprotokolle, Dateischutz, Softwareaktualisierungen, Sicherungen und Vorfallmanagement.
6. Weitere Auftragsverarbeiter
Es können Hosting-, E-Mail-, Sicherungs- und Zahlungsanbieter eingesetzt werden. Ihnen müssen gleichwertige Datenschutzpflichten auferlegt werden. Die konkrete Liste der Anbieter, Standorte und Übermittlungsmechanismen ist aktuell zu halten und vertragsgemäß mitzuteilen.
7. Unterstützung des Verantwortlichen
ObraDocs bietet Werkzeuge zur Erfassung von Betroffenenanfragen, zum Datenexport, zur Einschränkung der Verarbeitung, zur Durchführung genehmigter Löschungen, zur Vorfalldokumentation und zur Erstellung einer Vorlage für das Verzeichnis der Verarbeitungstätigkeiten. Der Verantwortliche entscheidet weiterhin über die Antwort und etwaige gesetzliche Einschränkungen.
8. Datenschutzverletzungen
Der Auftragsverarbeiter informiert den Verantwortlichen unverzüglich, nachdem er von einer Verletzung Kenntnis erlangt hat, die in dessen Auftrag verarbeitete Daten betrifft, und stellt angemessene Informationen für Bewertung, Dokumentation und erforderliche Meldungen bereit.
9. Rückgabe und Löschung
Am Ende des Dienstes werden die Daten gemäß Weisungen des Verantwortlichen, Vertrag und gesetzlichen Pflichten zurückgegeben oder gelöscht, einschließlich Sicherungen innerhalb ihres Aufbewahrungszyklus.
10. Prüfung und Information
Der Auftragsverarbeiter stellt die zum Nachweis der Pflichterfüllung erforderlichen Informationen bereit und wirkt an angemessenen Prüfungen mit, wobei Sicherheit, Vertraulichkeit und Rechte anderer Kunden geschützt werden.