Auftragsverarbeitungsvertrag (AVV)

Stand: 23. September 2026

§ 1 Gegenstand und Dauer der Verarbeitung

(1) Der Auftragsverarbeiter (AbnahmePilot / Ivan Pervushin) verarbeitet personenbezogene Daten im Auftrag des Verantwortlichen (Kunde) im Rahmen der Nutzung der Software "AbnahmePilot" zur Erstellung und Verwaltung von Bauabnahme-Protokollen.

(2) Die Verarbeitung beginnt mit der Registrierung des Kunden und endet mit der Löschung der Daten. Endet ein kostenpflichtiger Vertrag, bleibt das Konto im kostenlosen Tarif bestehen und die Daten bleiben dort abrufbar; gelöscht wird, wenn der Verantwortliche das Konto löscht oder die Löschung verlangt.

(3) Ausgenommen sind Daten, deren Aufbewahrung vereinbart oder gesetzlich vorgeschrieben ist: abgeschlossene Abnahmen samt Unterschriften und PDF-Protokollen werden als Nachweis bis zum Ablauf von fünf Jahren ab dem Abnahmedatum aufbewahrt und in dieser Zeit nicht einzeln gelöscht; Rechnungs- und Zahlungsdaten für die Dauer der handels- und steuerrechtlichen Aufbewahrungsfristen. Der Verantwortliche kann diese Aufbewahrung vorzeitig beenden, indem er das Konto löscht — dann werden auch die aufbewahrten Abnahmen gelöscht.

§ 2 Art und Zweck der Verarbeitung

Die Verarbeitung umfasst folgende Tätigkeiten:

• Speicherung und Verwaltung von Abnahmeprotokollen
• Speicherung von Fotodokumentationen (in der App optional mit automatischer Unkenntlichmachung von Gesichtern und Kfz-Kennzeichen, die auf dem Gerät erfolgt)
• Synchronisation von Daten zwischen Geräten und Cloud
• Erstellung und Versand von PDF-Dokumenten
• Backup und Archivierung gemäß gesetzlicher Aufbewahrungsfristen

§ 3 Art der personenbezogenen Daten

Folgende Datenkategorien werden verarbeitet:

• Stammdaten: Name, Anschrift, E-Mail-Adresse, Telefonnummer
• Protokolldaten: Namen der Abnahmeteilnehmer, Unterschriften
• Bilddaten: Fotos von Baustellen (in der App standardmäßig mit automatischer Unkenntlichmachung von Gesichtern und Kfz-Kennzeichen; abschaltbar, in der Browser-Version nicht verfügbar)
• Nutzungsdaten: Login-Zeiten, Geräte-IDs, IP-Adressen

§ 4 Kategorien betroffener Personen

• Mitarbeiter des Kunden (Bauleiter, Poliere, Architekten)
• Geschäftspartner des Kunden (Auftraggeber, Subunternehmer)
• Abnahmeteilnehmer (Bauherren, Vertreter)

§ 5 Pflichten des Auftragsverarbeiters

Der Auftragsverarbeiter verpflichtet sich:

• Daten nur nach dokumentierter Weisung des Verantwortlichen zu verarbeiten
• Zur Vertraulichkeit verpflichtete Personen einzusetzen
• Geeignete technische und organisatorische Maßnahmen zu ergreifen
• Weitere Auftragsverarbeiter nur nach § 7 dieses Vertrages einzusetzen (allgemeine Genehmigung mit Vorabinformation und Widerspruchsrecht)
• Den Verantwortlichen bei Betroffenenrechten zu unterstützen
• Datenschutzverletzungen unverzüglich nach Kenntniserlangung zu melden, damit der Verantwortliche seine Frist nach Art. 33 DSGVO einhalten kann
• Nach Beendigung die Daten nach Wahl des Verantwortlichen zu löschen oder zurückzugeben, vorbehaltlich der in § 1 Absatz 3 geregelten Aufbewahrung

§ 6 Technische und organisatorische Maßnahmen

Folgende Maßnahmen werden zum Schutz der Daten ergriffen:

Vertraulichkeit

• Transportverschlüsselung aller Verbindungen (TLS, HTTPS-Pflicht)
• Verschlüsselte lokale Datenbank auf dem Endgerät (SQLCipher, AES-256)
• Zugriffskontrolle durch Authentifizierung; optionale Gerätesperre per Biometrie
• Mandantentrennung durch serverseitig erzwungene Zugriffsregeln je Datensatz (Projekt- und Organisationszugehörigkeit), nicht allein durch Client-Logik
• Zugriff auf die Server ausschließlich über Schlüssel-Authentifizierung durch den Auftragsverarbeiter

Integrität

• Eingabevalidierung und Protokollierung
• Audit-Trail für alle Änderungen
• Automatische Backups

Verfügbarkeit

• Hosting in ISO 27001 zertifizierten Rechenzentren (Hetzner, Deutschland)
• Redundante Datenspeicherung
• Disaster-Recovery-Konzept

§ 7 Unterauftragsverarbeiter

Folgende Unterauftragsverarbeiter werden eingesetzt:

Datenbank, Authentifizierung und Dateispeicher betreibt der Auftragsverarbeiter selbst (PocketBase) auf der oben genannten Infrastruktur in Deutschland; ein weiterer Datenbankanbieter wird nicht eingesetzt. Absturz- und Fehlerberichte der App verarbeitet der Auftragsverarbeiter in einer selbst betriebenen Sentry-Instanz, ebenfalls auf Servern in Deutschland.

Keine Auftragsverarbeiter, sondern eigenständige Dienste sind: der Wetterdienst Bright Sky, den die App auf Wunsch des Nutzers mit Standortkoordinaten abfragt, die Zeitstempeldienste DigiCert und FreeTSA, die ausschließlich einen Prüfwert (Hash) des fertigen PDF erhalten, sowie Google Play und der Apple App Store als Vertriebswege der App. Einzelheiten stehen in der Datenschutzerklärung.

Der Verantwortliche stimmt dem Einsatz der genannten Unterauftragsverarbeiter zu. Der Verantwortliche erteilt hiermit die allgemeine Genehmigung nach Art. 28 Abs. 2 Satz 2 DSGVO. Über den Wechsel oder die Hinzunahme eines Unterauftragsverarbeiters informiert der Auftragsverarbeiter mindestens vier Wochen vorher in Textform. Widerspricht der Verantwortliche innerhalb dieser Frist aus einem datenschutzrechtlichen Grund, unterbleibt der Einsatz; ist die Leistung dadurch nicht mehr erbringbar, kann jede Partei den Vertrag zum geplanten Wechseltermin kündigen.

§ 8 Kontrollrechte

Der Verantwortliche hat das Recht, die Einhaltung der technischen und organisatorischen Maßnahmen zu überprüfen. Der Auftragsverarbeiter stellt hierfür alle erforderlichen Informationen zur Verfügung.

§ 9 Haftung

Die Haftung richtet sich nach Art. 82 DSGVO. Der Auftragsverarbeiter haftet für Schäden, die durch eine nicht den Weisungen des Verantwortlichen entsprechende Verarbeitung oder durch Verstoß gegen die DSGVO entstehen.

§ 10 Schlussbestimmungen

(1) Änderungen dieses Vertrags bedürfen der Textform (Art. 28 Abs. 9 DSGVO); für den Wechsel von Unterauftragsverarbeitern gilt § 7.

(2) Es gilt das Recht der Bundesrepublik Deutschland.

(3) Dieser AVV tritt mit Nutzung der Software automatisch in Kraft.