Auftragsverarbeitungs­vertrag.

Vertragsparteien

Dieser Auftragsverarbeitungsvertrag (im Folgenden „Vertrag" oder „AVV") wird geschlossen zwischen

dem Kunden gemäß Registrierung auf planakte.de
– im Folgenden „Verantwortlicher" oder „Auftraggeber" –

und

Jünger Brandschutz GmbH
Zu den Buchen 11, 56269 Marienhausen
vertreten durch den Geschäftsführer Lukas Jünger
Amtsgericht Montabaur, HRB 30216
– im Folgenden „Auftragsverarbeiter" oder „Auftragnehmer" –

Dieser AVV konkretisiert die datenschutzrechtlichen Verpflichtungen der Parteien aus dem zwischen ihnen geschlossenen Nutzungsvertrag über die SaaS-Plattform „Planakte" (siehe AGB). Er gilt für alle Tätigkeiten, bei denen Beschäftigte des Auftragnehmers oder von ihm beauftragte Dritte personenbezogene Daten des Verantwortlichen verarbeiten.

§ 1 Gegenstand und Dauer des Auftrags

(1) Gegenstand: Gegenstand des Auftrags ist die Bereitstellung und der Betrieb der Software-as-a-Service-Plattform „Planakte" zur Projekt-, Stunden-, Brief-, Foto- und Dokumentenverwaltung für Ingenieur- und Sachverständigenbüros, einschließlich Hosting, Backup und Wartung. Die im Rahmen der Nutzung anfallende Verarbeitung personenbezogener Daten erfolgt ausschließlich im Auftrag und nach Weisung des Verantwortlichen.

(2) Dauer: Die Laufzeit dieses AVV entspricht der Laufzeit des Nutzungsvertrags (Hauptvertrag). Er endet automatisch mit dessen Beendigung, ohne dass es einer gesonderten Kündigung bedarf. Die Pflichten zur Löschung bzw. Rückgabe der Daten gemäß § 10 bestehen nach Vertragsende fort.

§ 2 Konkretisierung des Auftragsinhalts

(1) Art und Zweck der Verarbeitung: Speicherung, Strukturierung, Organisation, Anzeige, Auswertung, Export und Löschung der vom Verantwortlichen und seinen Nutzern eingegebenen Daten zum Zweck der Projektabwicklung im vorbeugenden Brandschutz bzw. im jeweiligen Tätigkeitsfeld des Verantwortlichen. Eine Nutzung der Daten zu eigenen Zwecken des Auftragnehmers findet nicht statt.

(2) Art der Daten: Gegenstand der Verarbeitung sind insbesondere:

• Stammdaten (Namen, Anschriften, Kontaktdaten von Projektbeteiligten und Kontakten)
• Kommunikationsdaten (E-Mail-Adressen, Telefonnummern, Korrespondenz)
• Vertrags- und Projektdaten (Projektnummern, Adressen, Leistungsstände, Stunden, Kilometer)
• Beschäftigtendaten der Mitarbeitenden des Verantwortlichen (Login-Daten, Stundenerfassung)
• Foto- und Dokumentendaten (Baustellenfotos, Pläne, Protokolle, Briefe)
• Nutzungs- und Protokolldaten (Audit-Logs schreibender Operationen)

(3) Kreis der Betroffenen: Von der Verarbeitung betroffen sind insbesondere:

• Beschäftigte und Nutzer des Verantwortlichen
• Auftraggeber, Bauherren und deren Ansprechpartner
• Projektbeteiligte (Architekten, Fachplaner, Behörden, externe Beteiligte)
• Sonstige Kontakte, die der Verantwortliche in der Anwendung erfasst

§ 3 Technisch-organisatorische Maßnahmen

(1) Der Auftragnehmer hat die Umsetzung der im Voraus zu treffenden technischen und organisatorischen Maßnahmen vor Beginn der Verarbeitung zu dokumentieren und dem Verantwortlichen zur Prüfung zu übergeben. Die getroffenen Maßnahmen sind in Anlage 1 (TOM) beschrieben und Bestandteil dieses Vertrags.

(2) Die technischen und organisatorischen Maßnahmen unterliegen dem technischen Fortschritt und der Weiterentwicklung. Der Auftragnehmer ist berechtigt, alternative, gleichwertige Maßnahmen umzusetzen. Das Sicherheitsniveau der festgelegten Maßnahmen darf dabei nicht unterschritten werden. Wesentliche Änderungen sind zu dokumentieren.

§ 4 Berichtigung, Einschränkung und Löschung von Daten

(1) Der Auftragnehmer darf die Daten, die im Auftrag verarbeitet werden, nicht eigenmächtig, sondern nur nach dokumentierter Weisung des Verantwortlichen berichtigen, löschen oder deren Verarbeitung einschränken. Soweit eine betroffene Person sich diesbezüglich unmittelbar an den Auftragnehmer wendet, leitet dieser das Ersuchen unverzüglich an den Verantwortlichen weiter.

(2) Soweit vom Leistungsumfang umfasst, sind Löschkonzept, Recht auf Vergessenwerden, Berichtigung, Datenportabilität und Auskunft nach dokumentierter Weisung des Verantwortlichen unmittelbar durch den Auftragnehmer sicherzustellen. Die Anwendung stellt hierfür Selbstbedienungs-Funktionen (Export, Löschung) bereit.

§ 5 Qualitätssicherung und sonstige Pflichten des Auftragnehmers

Der Auftragnehmer hat zusätzlich zur Einhaltung der Regelungen dieses Auftrags gesetzliche Pflichten gemäß Art. 28 bis 33 DSGVO; insofern gewährleistet er insbesondere die Einhaltung folgender Vorgaben:

• Bestellung eines Datenschutzbeauftragten, soweit gesetzlich erforderlich. Der Datenschutzbeauftragte ist erreichbar unter datenschutz@planakte.de.
• Wahrung der Vertraulichkeit gemäß Art. 28 Abs. 3 S. 2 lit. b, Art. 29, Art. 32 Abs. 4 DSGVO. Der Auftragnehmer setzt bei der Durchführung der Arbeiten nur Beschäftigte ein, die auf die Vertraulichkeit verpflichtet und zuvor mit den für sie relevanten Bestimmungen zum Datenschutz vertraut gemacht wurden.
• Umsetzung und Einhaltung aller für diesen Auftrag erforderlichen technischen und organisatorischen Maßnahmen gemäß Art. 28 Abs. 3 S. 2 lit. c, Art. 32 DSGVO (Anlage 1).
• Unterstützung des Verantwortlichen bei der Wahrung der Betroffenenrechte (Art. 12–22 DSGVO), bei Datenschutz-Folgenabschätzungen (Art. 35 DSGVO) sowie bei vorherigen Konsultationen mit der Aufsichtsbehörde (Art. 36 DSGVO), jeweils unter Berücksichtigung der Art der Verarbeitung und der ihm zur Verfügung stehenden Informationen.
• Verarbeitung der Daten ausschließlich innerhalb der EU/des EWR. Eine Verlagerung in ein Drittland bedarf der vorherigen Zustimmung des Verantwortlichen und darf nur erfolgen, wenn die Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind.
• Nachweisbarkeit der getroffenen technischen und organisatorischen Maßnahmen gegenüber dem Verantwortlichen im Rahmen seiner Kontrollbefugnisse nach § 7 dieses Vertrags.

§ 6 Unterauftragsverhältnisse

(1) Als Unterauftragsverhältnisse im Sinne dieser Regelung sind solche Dienstleistungen zu verstehen, die sich unmittelbar auf die Erbringung der Hauptleistung beziehen. Nicht hierzu gehören Nebenleistungen wie Telekommunikationsleistungen, Post-/Transportdienstleistungen, Wartung oder Reinigung sowie die Entsorgung von Datenträgern.

(2) Der Verantwortliche stimmt der Beauftragung der in Anlage 2 genannten Unterauftragnehmer zu. Der Auftragnehmer ist berechtigt, weitere Unterauftragnehmer einzusetzen oder bestehende zu ersetzen. Er informiert den Verantwortlichen über jede beabsichtigte Änderung mindestens 30 Tage im Voraus in Textform. Der Verantwortliche kann der Änderung innerhalb von 14 Tagen aus wichtigem datenschutzrechtlichen Grund widersprechen; in diesem Fall steht ihm ein Sonderkündigungsrecht zu.

(3) Der Auftragnehmer hat die datenschutzrechtlichen Verpflichtungen aus diesem Vertrag dem Unterauftragnehmer vertraglich aufzuerlegen (Art. 28 Abs. 4 DSGVO).

§ 7 Kontrollrechte des Verantwortlichen

(1) Der Verantwortliche hat das Recht, im Benehmen mit dem Auftragnehmer Überprüfungen durchzuführen oder durch im Einzelfall zu benennende Prüfer durchführen zu lassen. Er hat das Recht, sich durch Stichprobenkontrollen, die in der Regel rechtzeitig anzukündigen sind, von der Einhaltung dieser Vereinbarung durch den Auftragnehmer zu überzeugen.

(2) Der Auftragnehmer stellt sicher, dass sich der Verantwortliche von der Einhaltung der Pflichten des Auftragnehmers nach Art. 28 DSGVO überzeugen kann. Der Auftragnehmer verpflichtet sich, dem Verantwortlichen auf Anforderung die erforderlichen Auskünfte zu erteilen und insbesondere die Umsetzung der technischen und organisatorischen Maßnahmen nachzuweisen.

(3) Der Nachweis kann durch Vorlage eines aktuellen Testats, von Berichten oder Berichtsauszügen unabhängiger Instanzen (z. B. Zertifizierung nach ISO 27001) oder einer geeigneten Zertifizierung durch IT-Sicherheits- oder Datenschutzaudit erfolgen.

§ 8 Mitteilung bei Verstößen des Auftragnehmers

(1) Der Auftragnehmer unterstützt den Verantwortlichen bei der Einhaltung der in Art. 32 bis 36 DSGVO genannten Pflichten zur Sicherheit personenbezogener Daten, Meldepflichten bei Datenpannen, Datenschutz-Folgenabschätzungen und vorherigen Konsultationen.

(2) Der Auftragnehmer meldet dem Verantwortlichen jede Verletzung des Schutzes personenbezogener Daten unverzüglich, in der Regel innerhalb von 24 Stunden nach Bekanntwerden, damit dieser seine Meldepflicht nach Art. 33 DSGVO (binnen 72 Stunden) erfüllen kann. Die Meldung enthält mindestens die nach Art. 33 Abs. 3 DSGVO erforderlichen Angaben.

(3) Auch Störungen, der Verdacht auf Datenschutzverletzungen oder Verstöße gegen Pflichten dieses Vertrags sowie Verdachtsfälle auf rechtswidrige Verarbeitungen sind dem Verantwortlichen unverzüglich mitzuteilen.

§ 9 Weisungsbefugnis des Verantwortlichen

(1) Der Auftragnehmer verarbeitet personenbezogene Daten ausschließlich im Rahmen der getroffenen Vereinbarungen und nach dokumentierten Weisungen des Verantwortlichen, es sei denn, er ist gesetzlich zu einer anderen Verarbeitung verpflichtet (Art. 28 Abs. 3 S. 2 lit. a, Art. 29 DSGVO). In einem solchen Fall teilt der Auftragnehmer dem Verantwortlichen diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das Recht dies nicht wegen eines wichtigen öffentlichen Interesses verbietet.

(2) Weisungen werden in der Regel in Textform erteilt. Mündliche Weisungen sind unverzüglich in Textform zu bestätigen. Der Auftragnehmer informiert den Verantwortlichen unverzüglich, wenn er der Auffassung ist, dass eine Weisung gegen datenschutzrechtliche Vorschriften verstößt. Der Auftragnehmer ist berechtigt, die Durchführung der entsprechenden Weisung solange auszusetzen, bis sie durch den Verantwortlichen bestätigt oder geändert wird.

§ 10 Löschung und Rückgabe von personenbezogenen Daten

(1) Kopien oder Duplikate der Daten werden ohne Wissen des Verantwortlichen nicht erstellt. Hiervon ausgenommen sind Sicherheitskopien, soweit sie zur Gewährleistung einer ordnungsgemäßen Datenverarbeitung erforderlich sind, sowie Daten, die zur Einhaltung gesetzlicher Aufbewahrungspflichten erforderlich sind.

(2) Nach Abschluss der vertraglich vereinbarten Arbeiten – spätestens nach Beendigung des Hauptvertrags – stellt der Auftragnehmer dem Verantwortlichen seine Daten für die Dauer von 30 Tagen zum vollständigen Export als ZIP-Archiv zur Verfügung. Nach Ablauf dieser Frist löscht der Auftragnehmer sämtliche überlassenen und verarbeiteten personenbezogenen Daten datenschutzgerecht, einschließlich aller Backup-Rotationen. Die Löschung wird dem Verantwortlichen auf Wunsch in Textform bestätigt.

(3) Dokumentationen, die dem Nachweis der auftrags- und ordnungsgemäßen Datenverarbeitung dienen, sind durch den Auftragnehmer entsprechend der jeweiligen gesetzlichen Aufbewahrungsfristen auch über das Vertragsende hinaus aufzubewahren.

Anlage 1 — Technisch-organisatorische Maßnahmen (Art. 32 DSGVO)

Eine ausführliche Darstellung der Maßnahmen findet sich auf der Seite DSGVO & Datenschutz. Auszug:

Vertraulichkeit

• Zutrittskontrolle: ISO-27001-zertifiziertes Rechenzentrum, biometrischer Zugang, 24/7-Bewachung (Hetzner Falkenstein)
• Zugangskontrolle: Passwörter mit bcrypt gehasht, optional WebAuthn / Hardware-Keys, automatische Sperre nach 5 Fehlversuchen, optionales TOTP-2FA
• Zugriffskontrolle: rollen- und projektspezifische Berechtigungen, Audit-Log
• Trennungskontrolle: Mandantentrennung auf Container-Ebene (eine SQLite-Datenbank pro Mandant), kein Cross-Tenant-Read möglich

Integrität

• Übertragungskontrolle: TLS 1.3 only, HSTS preload, keine HTTP-Fallbacks
• Eingabekontrolle: Audit-Log über alle schreibenden Operationen, Aufbewahrung 12 Monate

Verfügbarkeit & Belastbarkeit

• Verfügbarkeitskontrolle: täglich verschlüsselte Backups (AES-256), 30 Tage Rotation
• Wiederherstellbarkeit: RTO < 4 Stunden, RPO < 24 Stunden, quartalsweise getestet

Verfahren zur regelmäßigen Überprüfung

• Datenschutz-Management und Auftragskontrolle gemäß diesem Vertrag
• Privacy by Design / by Default (Art. 25 DSGVO): datensparsame Voreinstellungen, keine Tracking-Cookies

Anlage 2 — Genehmigte Unterauftragnehmer

Der Verantwortliche stimmt dem Einsatz folgender Unterauftragnehmer zu (Stand siehe unten):

Kein Google, kein AWS, kein Microsoft Azure, kein Cloudflare. Bei Änderungen gilt das Verfahren nach § 6 Abs. 2.

Stand: Juni 2026.

Auftragnehmer: Jünger Brandschutz GmbH, Zu den Buchen 11, 56269 Marienhausen · Amtsgericht Montabaur, HRB 30216.

AVV-Anfragen: avv@planakte.de