nach Art. 28 DSGVO für die Nutzung von Werkbank
Verantwortlicher („Auftraggeber“): der Kunde, der sich bei Werkbank registriert hat (Firma laut Kundenkonto).
Auftragsverarbeiter („Auftragnehmer“): Werbeagentur BSM-Design, Inhaber Eberhard Mertens, Nettetaler Str. 167a, 41751 Viersen.
Der Vertrag wird elektronisch geschlossen: Der Auftraggeber stimmt ihm bei der Registrierung zu. Er gilt, solange der Hauptvertrag (AGB) läuft, und darüber hinaus, bis alle Daten gelöscht oder zurückgegeben sind.
(1) Der Auftragnehmer betreibt für den Auftraggeber die Software Werkbank (Software as a Service). Dabei verarbeitet er personenbezogene Daten im Auftrag und nach Weisung des Auftraggebers.
(2) Die Dauer entspricht der Laufzeit des Hauptvertrags einschließlich der kostenlosen Testphase.
| Bereich | Inhalt |
|---|---|
| Zweck | Bereitstellung, Betrieb, Wartung und Sicherung von Werkbank; Support auf Anfrage des Auftraggebers. |
| Art der Verarbeitung | Erheben, Speichern, Ordnen, Anzeigen, Übermitteln an berechtigte Nutzer, Sichern, Löschen. |
| Betroffene Personen | Mitarbeiter und Nutzer des Auftraggebers, Kunden und Ansprechpartner des Auftraggebers, Nachunternehmer und sonstige Externe, die per Link mitwirken. |
| Datenarten | Stammdaten (Name, Rolle, Kontakt), Zugangsdaten, Arbeitszeiten und Stempelungen inkl. Standort beim Stempeln, Urlaub und Abwesenheiten, Krankmeldungen (Gesundheitsdaten nach Art. 9 DSGVO), Qualifikationen, Fahrzeug- und Gerätedaten, Baustellen-, Mängel-, Foto-, Plan- und Berichtsdaten, Kunden- und Angebotsdaten, Belege, Nachrichten, technische Protokolldaten. |
(1) Der Auftragnehmer verarbeitet die Daten nur auf dokumentierte Weisung des Auftraggebers. Die Weisungen sind durch diesen Vertrag, den Hauptvertrag und die Bedienung der Software (z. B. Anlegen, Ändern, Löschen) festgelegt. Weitere Weisungen erteilt der Auftraggeber in Textform.
(2) Hält der Auftragnehmer eine Weisung für rechtswidrig, weist er den Auftraggeber unverzüglich darauf hin.
(3) Eine Verarbeitung außerhalb der Weisungen ist nur zulässig, wenn das Unionsrecht oder deutsches Recht dazu verpflichtet; der Auftragnehmer teilt dies vorher mit, soweit erlaubt.
(1) Der Auftraggeber ist für die Rechtmäßigkeit der Verarbeitung verantwortlich, insbesondere für die Information seiner Mitarbeiter und für die Rechtsgrundlage (z. B. § 26 BDSG).
(2) Er hat das Recht, die Einhaltung dieses Vertrags zu kontrollieren – vorrangig durch Auskünfte und Nachweise, bei begründetem Anlass auch vor Ort nach Ankündigung mit angemessener Frist zu üblichen Geschäftszeiten.
(1) Der Auftraggeber stimmt dem Einsatz der folgenden Unterauftragsverarbeiter zu. Mit jedem besteht ein Vertrag nach Art. 28 Abs. 4 DSGVO (Data Processing Addendum).
| Unternehmen | Leistung | Ort / Drittland |
|---|---|---|
| Supabase, Inc. | Datenbank, Anmeldung, Datei-Speicher, Server-Funktionen | Hosting in der EU (Frankfurt, AWS eu-central-1); Unternehmen in den USA – EU-Standardvertragsklauseln |
| Vercel Inc. | Auslieferung der App (Webseiten, Programmcode), Verbindungsdaten | USA / weltweites Netz – EU-Standardvertragsklauseln |
| Cloudflare, Inc. | Speicher für die tägliche verschlüsselte Datensicherung (R2), Aufbewahrung 30 Tage | Speicherort EU; Unternehmen in den USA – EU-Standardvertragsklauseln |
| E-Mail-Versanddienst | Versand von E-Mails (Einladungen, Hinweise an den Chef und an Nachunternehmer) | Derzeit nicht im Einsatz. Der Anbieter wird vor dem ersten Einsatz hier benannt (Absatz 3). |
| Anthropic Ireland, Limited (Dublin, Irland) | KI-Funktionen, nur auf Knopfdruck: Texte glätten („KI optimieren"), Bautagebuch strukturieren, Belege und Lieferscheine auslesen | Irland; Verarbeitung auch in den USA möglich – EU-Standardvertragsklauseln |
(2) KI-Funktionen werden nur ausgelöst, wenn ein Nutzer sie selbst antippt. Die Anbieter verwenden die Daten nach ihren Vertragsbedingungen nicht zum Training ihrer Modelle. Eine serverseitige Verschriftung von Sprachnachrichten ist derzeit nicht eingerichtet; wird dafür ein weiterer Anbieter eingesetzt, wird er hier vorher ergänzt (Absatz 3).
(3) Über geplante Änderungen (neue oder ersetzte Unterauftragsverarbeiter) informiert der Auftragnehmer den Auftraggeber mindestens 4 Wochen vorher in Textform. Der Auftraggeber kann aus wichtigem datenschutzrechtlichem Grund widersprechen; ist keine Einigung möglich, kann er den Hauptvertrag zum Zeitpunkt der Änderung kündigen.
(4) Nicht als Unterauftrag gelten Nebenleistungen ohne Zugriff auf die Daten, z. B. Telekommunikation. Push-Nachrichten laufen technisch über den Dienst des jeweiligen Browser-Herstellers; die Spracheingabe im Browser über dessen Hersteller (siehe Datenschutzerklärung).
Nach Ende des Hauptvertrags kann der Auftraggeber innerhalb von 30 Tagen einen Export seiner Daten anfordern. Danach löscht der Auftragnehmer die Daten innerhalb von 90 Tagen, soweit keine gesetzliche Pflicht zur Aufbewahrung besteht. Sicherungskopien werden nach spätestens 30 Tagen überschrieben. Die Löschung wird auf Anfrage bestätigt.
(1) Für die Haftung gilt Art. 82 DSGVO; im Übrigen gelten die Haftungsregeln der AGB.
(2) Bei Widersprüchen geht dieser Vertrag in Datenschutzfragen den AGB vor. Es gilt deutsches Recht; Gerichtsstand wie in den AGB.
| Bereich | Maßnahmen |
|---|---|
| Zutritt | Rechenzentren der Unterauftragsverarbeiter mit Zutrittskontrolle (zertifiziert, z. B. ISO 27001 / SOC 2). Keine eigenen Server. |
| Zugang | Anmeldung mit persönlichem Konto und Passwort (Mindestlänge), Einladungen per Einmal-Link, keine geteilten Konten. Admin-Zugänge des Auftragnehmers nur für benannte Personen; die Zwei-Faktor-Anmeldung für diese Zugänge wird eingeführt. |
| Zugriff | Rollen und Rechte je Nutzer (Chef, Bauleiter, Polier, Geselle, Büro …). Mandantentrennung in der Datenbank (Row Level Security): jede Firma sieht nur ihre Daten. |
| Weitergabe | Übertragung nur verschlüsselt (TLS). Freigabe-Links mit langem Zufallsschlüssel, befristet und sperrbar. Fotos nur über zeitlich begrenzte Adressen. |
| Eingabe | Protokoll wichtiger Änderungen (Audit-Log) mit Nutzer und Zeitpunkt. |
| Verfügbarkeit | Tägliche verschlüsselte Sicherung an einem zweiten Ort, Aufbewahrung 30 Tage; Hosting mit redundanter Infrastruktur. |
| Trennung | Logische Trennung der Kundendaten je Firma (Mandantentrennung, siehe Zugriff). |
| Verschlüsselung | Daten bei Speicherung beim Hosting-Anbieter verschlüsselt; Passwörter nur als Hash. |
| Überprüfung | Regelmäßige Prüfung der Rechte und Sicherheitshinweise des Hosting-Anbieters; Updates zeitnah. Prüfung mindestens vierteljährlich. |
Stand: 9. November 2026 · Version 2026-11 (Entwurf) · AGB · Datenschutz · Impressum