Vertrag zur Auftragsverarbeitung
nach Art. 28 DSGVO · Fassung vom 29. Oktober 2026
Unverbindliche Übersetzungen: Русский · Українська · Polski · Hrvatski · English
zwischen dir als Nutzer von Bauhelfer.app (Verantwortlicher, im Folgenden „Auftraggeber“) und
Alwin Viereck
Erni-Singerl-Str. 6
81249 München
E-Mail: mail@bauhelfer.app
(Auftragsverarbeiter, im Folgenden „Auftragnehmer“). Der Vertrag wird elektronisch geschlossen (Art. 28 Abs. 9 DSGVO), wenn du ihm zusammen mit den Nutzungsbedingungen in der App zustimmst.
1. Gegenstand und Dauer
Der Auftragnehmer verarbeitet personenbezogene Daten, für die der Auftraggeber verantwortlich ist, ausschließlich zum Betrieb von Bauhelfer.app für den Auftraggeber. Der Vertrag gilt, solange der Nutzungsvertrag besteht.
2. Art und Zweck der Verarbeitung
Speichern und Bereitstellen der Daten in der App; Umwandlung von Sprachaufnahmen in Text und deren Auswertung; Auslesen von Belegfotos; Erstellen von Angeboten, Rechnungen und PDF-Dokumenten; Bereitstellen der Angebotsseite (Ansehen, Annehmen, Ablehnen) für Kunden des Auftraggebers und Speichern deren Entscheidung; Übersetzen von Kundennachrichten in die Sprache des Auftraggebers; Adressvorschläge; Datenexport; Fehleranalyse.
3. Art der Daten
- Kontakt- und Anschriftsdaten (Name, Anrede, Anschrift, E-Mail, Telefon)
- Auftragsdaten (Leistungen, Mengen, Preise, Angebote, Rechnungen, Zahlungsstatus)
- Entscheidungen auf der Angebotsseite (Zeitpunkt, IP-Adresse, eingegebener Name, freiwilliger Hinweis, Verlangen eines vorzeitigen Beginns)
- Arbeitszeiten und Stundensätze von Mitarbeitern und Helfern
- Sprachaufnahmen und Fotos (können beliebige der genannten Daten enthalten)
4. Betroffene Personen
Kunden und Interessenten des Auftraggebers, Mitarbeiter und Helfer des Auftraggebers, Ansprechpartner von Lieferanten (auf Belegen).
5. Weisungen
Der Auftragnehmer verarbeitet die Daten nur auf dokumentierte Weisung des Auftraggebers. Weisungen sind dieser Vertrag und die Nutzung der Funktionen der App durch den Auftraggeber. Hält der Auftragnehmer eine Weisung für rechtswidrig, weist er den Auftraggeber darauf hin. Eine Verarbeitung für eigene Zwecke (z. B. Werbung, Weitergabe, Training von KI-Modellen mit den Daten des Auftraggebers) findet nicht statt.
6. Vertraulichkeit
Zugriff auf die Daten haben nur Personen, die zur Vertraulichkeit verpflichtet sind und ihn für den Betrieb des Dienstes benötigen.
7. Technische und organisatorische Maßnahmen (Art. 32 DSGVO)
- Verarbeitung auf Servern in der EU (Hosting) und auf einem selbst betriebenen Server in Deutschland (Spracherkennung, Auswertung)
- Verschlüsselte Übertragung (TLS zwischen App, Website und Server; verschlüsseltes privates Netz zwischen den eigenen Servern)
- Serverzugang nur für den Auftragnehmer mit Schlüssel-Anmeldung; passwortlose Anmeldung der Nutzer, Sitzungen widerrufbar
- Strikte Trennung der Daten je Betrieb in allen Abfragen
- Geheimnisse (Anmelde- und Annahme-Codes) werden in Protokollen unkenntlich gemacht; Fehlerberichte werden vor Weitergabe pseudonymisiert
- Angebotsseite ohne Cookies, Tracking oder Inhalte Dritter; Annahme-Links nicht erratbar (128 Bit) und befristet
- Löschung aller Daten eines Betriebs bei Kontolöschung; Datenexport jederzeit
Der Auftragnehmer darf die Maßnahmen weiterentwickeln, solange das Schutzniveau nicht sinkt.
8. Unterauftragsverarbeiter
Der Auftraggeber genehmigt die folgenden Unterauftragsverarbeiter. Über beabsichtigte Änderungen informiert der Auftragnehmer vorab in der App oder per E-Mail; der Auftraggeber kann innerhalb von zwei Wochen widersprechen und den Vertrag dann beenden.
- Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen — Hosting (Rechenzentrum in der EU)
- Tailscale Inc., USA — verschlüsseltes Netz zwischen den Servern; sieht nur Verbindungsdaten, keine Inhalte
- OpenRouter, Inc., USA — nur ersatzweise bei Ausfall des eigenen Servers: Spracherkennung, Auswertung, Übersetzung von Kundennachrichten
- komoot GmbH (Photon, Deutschland) und OpenPLZ API — Adressvorschläge; übermittelt wird nur der eingegebene Suchbegriff
- GitHub, Inc., USA — Fehlerberichte, vorher pseudonymisiert (Namen, Adressen, Kontaktdaten, Bankdaten ersetzt)
Übermittlungen in die USA stützen sich auf die EU-Standardvertragsklauseln bzw. das EU-U.S. Data Privacy Framework, soweit der Anbieter zertifiziert ist.
9. Unterstützung des Auftraggebers
Der Auftragnehmer unterstützt den Auftraggeber bei Anfragen betroffener Personen (Auskunft, Berichtigung, Löschung, Datenübertragbarkeit) — vor allem durch die Funktionen der App (Bearbeiten, Löschen, Export) — sowie bei seinen Pflichten nach Art. 32 bis 36 DSGVO. Wenden sich Betroffene direkt an den Auftragnehmer, leitet er die Anfrage an den Auftraggeber weiter.
10. Meldung von Verletzungen
Verletzungen des Schutzes personenbezogener Daten meldet der Auftragnehmer dem Auftraggeber unverzüglich, mit den ihm bekannten Angaben nach Art. 33 Abs. 3 DSGVO.
11. Löschung und Rückgabe
Der Auftraggeber kann seine Daten jederzeit exportieren. Löscht er sein Konto oder endet der Vertrag, löscht der Auftragnehmer alle Daten des Betriebs, soweit keine gesetzliche Pflicht zur Speicherung besteht; Server-Protokolle werden automatisch überschrieben.
12. Nachweise und Kontrollen
Der Auftragnehmer stellt dem Auftraggeber auf Anfrage die Informationen zur Verfügung, die zum Nachweis der Einhaltung dieses Vertrags erforderlich sind, und ermöglicht Überprüfungen nach vorheriger Absprache.
13. Haftung, Sonstiges
Für die Haftung gilt Art. 82 DSGVO. Im Übrigen gelten die Nutzungsbedingungen. Bei Widersprüchen geht dieser Vertrag in Fragen des Datenschutzes vor.