Vertrag zur Auftragsverarbeitung

1.Parteien und Gegenstand

(1) Dieser Vertrag gilt zwischen dem Betrieb, der Kubs nutzt („Auftraggeber“, Verantwortlicher), und UF1, Daniel Kohout, August-Macke-Str. 9, 89520 Heidenheim („Auftragnehmer“, Auftragsverarbeiter). Er konkretisiert die datenschutzrechtlichen Pflichten aus dem Hauptvertrag gemäß den AGB.

(2) Gegenstand ist die Bereitstellung der Software Kubs als Software-as-a-Service, in deren Rahmen der Auftragnehmer personenbezogene Daten im Auftrag und nach Weisung des Auftraggebers verarbeitet (Art. 28 DSGVO).

(3) Die Laufzeit entspricht der des Hauptvertrags. Der Vertrag wird mit Annahme der AGB bei der Registrierung geschlossen. [Ggf.: Abschluss zusätzlich elektronisch in den Einstellungen oder per Unterschrift]

2.Art und Zweck der Verarbeitung

Die Verarbeitung umfasst das Erheben, Speichern, Ordnen, Anzeigen, Übermitteln und Löschen von Daten, um dem Auftraggeber folgende Funktionen bereitzustellen:

• Verwaltung von Kunden, Projekten, Räumen und Aufmaßen,
• Badplanung, Varianten, 3D-Darstellung und Präsentation,
• Speicherung von Fotos, Grundrissen und weiteren Dateien,
• KI-gestützte Planungsvorschläge und Plan-Import, wenn ein Nutzer sie startet,
• öffentliche Showbäder und die Entgegennahme von Interessenten-Anfragen,
• Änderungsprotokoll zur Nachvollziehbarkeit im Team,
• Betrieb, Sicherung, Fehleranalyse und Support.

3.Art der Daten

• Kundenstammdaten: Anrede, Vor- und Nachname, Firma, Anschrift, E-Mail, Telefon, Notizen,
• Projektdaten: Projektname, Baustellenanschrift, Stil, Budgetklasse, Notizen, Status,
• Planungsdaten: Aufmaße, Raumgeometrie, Varianten, Produktauswahl, Preise,
• Dateien: Fotos von Räumen, Grundrisse und Pläne, Produktbilder, 3D-Modelle,
• Showbad-Anfragen: Name, E-Mail, Telefon, Nachricht, gewählte Ausstattung, Zeitpunkt der Einwilligung,
• Protokolldaten: welches Teammitglied wann welche Änderung vorgenommen hat.

4.Kategorien betroffener Personen

• Kunden und Interessenten des Auftraggebers (Endkunden, Bauherren, Hausverwaltungen),
• Ansprechpartner bei Kunden, Lieferanten und Partnern des Auftraggebers,
• Besucher von Showbädern, die eine Anfrage senden,
• Beschäftigte des Auftraggebers, soweit sie im Änderungsprotokoll erscheinen.

5.Weisungen des Auftraggebers

(1) Der Auftragnehmer verarbeitet die Daten nur auf dokumentierte Weisung des Auftraggebers, es sei denn, er ist gesetzlich zu einer Verarbeitung verpflichtet; in diesem Fall teilt er dies vorher mit, sofern das Gesetz es nicht verbietet. Weisungen erteilt der Auftraggeber in der Regel durch die Nutzung der Funktionen von Kubs, im Übrigen in Textform.

(2) Hält der Auftragnehmer eine Weisung für rechtswidrig, weist er den Auftraggeber unverzüglich darauf hin und darf die Ausführung bis zur Klärung aussetzen.

6.Pflichten des Auftragnehmers

• Er verpflichtet alle Personen mit Zugriff auf die Daten zur Vertraulichkeit.
• Er trifft die technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO (Abschnitt 7).
• Er unterstützt den Auftraggeber bei Betroffenenanfragen, Datenschutz-Folgenabschätzungen und Meldungen nach Art. 32 bis 36 DSGVO.
• Er meldet Verletzungen des Schutzes personenbezogener Daten unverzüglich, möglichst innerhalb von [z. B. 24 Stunden] nach Kenntnis, mit den Angaben nach Art. 33 Abs. 3 DSGVO.
• Er verwendet die Daten nicht für eigene Zwecke, insbesondere nicht für Werbung oder zum Training von KI-Modellen.
• Ansprechpartner für den Datenschutz: Daniel Kohout, office@uf1.de.

7.Technische und organisatorische Maßnahmen

Vertraulichkeit

• Verschlüsselung in Transit: sämtliche Verbindungen zwischen Browser, Anwendung, Datenbank, Dateispeicher und Dienstleistern erfolgen über TLS.
• Verschlüsselung at rest: Datenbank (Neon) und Dateispeicher (Vercel Blob) werden von den Anbietern verschlüsselt gespeichert.
• Mandantentrennung: Alle Datensätze sind einem Betrieb zugeordnet. Jeder Zugriff wird serverseitig auf den Betrieb des angemeldeten Nutzers beschränkt.
• Rollen und Rechte: Inhaber, Administratoren und Mitglieder erhalten abgestufte Rechte, die serverseitig geprüft werden.
• Zugangskontrolle: Anmeldung mit persönlichem Konto, Passwörter nur als Hash, Sitzungen mit Ablaufzeit, Cookies mit HttpOnly-Kennzeichnung.
• Private Dateien: hochgeladene Dateien sind nicht öffentlich abrufbar, sondern nur über die Anwendung nach Rechteprüfung.
• Datensparsamkeit bei KI: an Modellanbieter werden nur Planungsdaten übertragen, keine Namen oder Kontaktdaten von Endkunden.

Integrität und Nachvollziehbarkeit

• Eingaben werden serverseitig validiert.
• Ein Änderungsprotokoll hält fest, wer wann welche Änderung vorgenommen hat.
• Administrative Zugriffe auf Produktivsysteme sind auf [Personenkreis] beschränkt und durch Mehr-Faktor-Anmeldung geschützt [prüfen].

Verfügbarkeit und Belastbarkeit

• Betrieb in Rechenzentren in Frankfurt am Main mit Redundanz der Anbieter.
• Datenbank mit automatischen Sicherungen und Wiederherstellung zu einem Zeitpunkt ([Aufbewahrungsdauer gemäß Neon-Tarif]).

Überprüfung

• Regelmäßige Überprüfung der Maßnahmen und der Unterauftragsverarbeiter, mindestens [z. B. jährlich].

8.Unterauftragsverarbeiter

(1) Der Auftraggeber genehmigt die folgenden Unterauftragsverarbeiter. Mit jedem besteht ein Vertrag, der mindestens das Schutzniveau dieses Vertrags gewährleistet.

(2) Der Auftragnehmer informiert den Auftraggeber mindestens [z. B. 30 Tage] vor dem Hinzuziehen oder Ersetzen eines Unterauftragsverarbeiters in Textform. Der Auftraggeber kann aus wichtigem datenschutzrechtlichem Grund widersprechen; kommt keine Einigung zustande, kann er den Vertrag zum Zeitpunkt der Änderung kündigen.

(3) Übermittlungen in Drittländer erfolgen nur unter den Voraussetzungen der Art. 44 ff. DSGVO, insbesondere auf Grundlage des EU-US Data Privacy Framework (Art. 45 DSGVO) bei zertifizierten Anbietern und ergänzend der EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO).

9.Rechte betroffener Personen

Wendet sich eine betroffene Person direkt an den Auftragnehmer, leitet er die Anfrage unverzüglich an den Auftraggeber weiter und beantwortet sie nicht selbst. Der Auftraggeber kann Daten in Kubs selbst berichtigen und löschen; im Übrigen unterstützt der Auftragnehmer ihn mit geeigneten Maßnahmen.

10.Kontrollrechte

Der Auftragnehmer weist die Einhaltung dieses Vertrags auf Anfrage nach, etwa durch Auskünfte, die Dokumentation der Maßnahmen und Zertifikate oder Prüfberichte seiner Unterauftragsverarbeiter. Vor-Ort-Prüfungen sind nach Anmeldung mit angemessener Frist, [z. B. 14 Tage], während der Geschäftszeiten und ohne Störung des Betriebs möglich. [Regelung zur Kostentragung]

11.Löschung und Rückgabe bei Vertragsende

(1) Der Auftraggeber kann seine Daten bis zum Vertragsende jederzeit selbst exportieren (Bereich „Betrieb“, maschinenlesbares JSON-Format) und den Betrieb mit allen Daten und Dateien selbst löschen.

(2) Nach Vertragsende löscht der Auftragnehmer sämtliche Daten des Auftraggebers einschließlich der Dateien innerhalb von [z. B. 30 Tagen], sofern keine gesetzliche Pflicht zur Speicherung besteht. Daten in Sicherungskopien werden mit Ablauf der Sicherungsfrist von [Frist] überschrieben. Die Löschung wird auf Verlangen in Textform bestätigt.

12.Schlussbestimmungen

(1) Für die Haftung gilt Art. 82 DSGVO. Im Übrigen gelten die Haftungsregeln der AGB.

(2) Bei Widersprüchen geht dieser Vertrag den AGB vor, soweit es um den Schutz personenbezogener Daten geht. Änderungen bedürfen der Textform.