Auftragsverarbeitungsvertrag (AVV)

Dieser Vertrag konkretisiert die Pflichten von Werkfin („Auftragsverarbeiter") bei der Verarbeitung personenbezogener Daten im Auftrag des Kunden („Verantwortlicher") gemäß Art. 28 DSGVO. Er wird gemäß §2 Abs. 3 der AGB mit Abschluss des Hauptvertrags automatisch und ohne gesonderte Unterzeichnung wirksam (Art. 28 Abs. 9 DSGVO: elektronisches Format genügt).

§1 Gegenstand und Dauer der Verarbeitung

(1) Gegenstand ist die Bereitstellung und der Betrieb der SaaS-Anwendung „Werkfin Bautagebuch" zur digitalen Erfassung, Auswertung und Verwaltung von Bautagebüchern auf Grundlage von WhatsApp-Nachrichten der Mitarbeitenden des Verantwortlichen.

(2) Die Verarbeitung erfolgt für die Dauer des Hauptvertrags (AGB §11) und endet automatisch mit dessen Beendigung, vorbehaltlich der Löschungs- und Rückgabepflichten nach §7.

§2 Art und Zweck der Verarbeitung, betroffene Personen und Daten

(1) Zweck ist die automatisierte Umwandlung von WhatsApp-Nachrichten (Text, Sprache, Foto) in strukturierte Tagesberichte, einschließlich KI-gestützter Transkription und Extraktion, sowie deren Prüfung und Freigabe durch den Verantwortlichen.

(2) Kategorien betroffener Personen: Mitarbeitende des Verantwortlichen (Monteure, Poliere, Bürokräfte, Nutzer des Dashboards) sowie, soweit vom Verantwortlichen eingegeben, Kontaktpersonen von dessen Kunden.

(3) Kategorien der Daten: Namen, Telefonnummern, Nachrichtentexte, Sprachnachrichten (Audio) und Fotos, Arbeitszeiten, Materialangaben, Baustellen- und Auftragsdaten, Kundenkontaktdaten sowie Zugangsdaten (E-Mail-Adresse, Passwort-Hash) der Dashboard-Nutzer.

(4) Zur Erkennung und Zuordnung der Nachrichten übermittelt Werkfin an den KI-Dienst als Kontext die Namen des Absenders und der Kollegen sowie die offenen Aufträge des Verantwortlichen (Kunde, Baustelle, Adresse). Die KI liest die Nachricht, erstellt daraus den Berichtsentwurf, ordnet ihn einem Auftrag zu und formuliert Rückfragen. Die Freigabe der Berichte erfolgt durch den Verantwortlichen.

§3 Pflichten des Auftragsverarbeiters

(1) Werkfin verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen. Die bestimmungsgemäße Nutzung der Plattform im vereinbarten Funktionsumfang gilt als solche Weisung. Werkfin weist den Verantwortlichen unverzüglich darauf hin, wenn eine Weisung nach seiner Auffassung gegen die DSGVO oder andere Datenschutzvorschriften verstößt, und darf die Ausführung bis zur Bestätigung oder Änderung der Weisung aussetzen. Ist Werkfin nach Unionsrecht oder dem Recht eines Mitgliedstaats zu einer weitergehenden Verarbeitung verpflichtet, teilt es dies dem Verantwortlichen vorab mit, soweit rechtlich zulässig.

(2) Werkfin verpflichtet alle mit der Verarbeitung befassten Personen auf Vertraulichkeit.

(3) Werkfin unterstützt den Verantwortlichen bei der Erfüllung seiner Informationspflichten nach Art. 13 DSGVO gegenüber dessen Mitarbeitenden, u. a. durch einen automatisiert versandten Datenschutzhinweis beim ersten WhatsApp-Kontakt eines neuen Nutzers.

(4) Werkfin unterstützt den Verantwortlichen auf dessen Anfrage bei der Beantwortung von Anträgen betroffener Personen (Auskunft, Berichtigung, Löschung, Datenübertragbarkeit), über Funktionen der Plattform (Auskunfts-Export und Löschung für Nutzer und Monteure im Dashboard) und im Übrigen durch Werkfin selbst, sowie bei der Erfüllung der Pflichten nach Art. 32 bis 36 DSGVO.

(5) Werkfin meldet dem Verantwortlichen eine Verletzung des Schutzes personenbezogener Daten unverzüglich nach Bekanntwerden.

§4 Technische und organisatorische Maßnahmen

Werkfin trifft und unterhält insbesondere folgende Maßnahmen (Art. 32 DSGVO):

(1) Verschlüsselung: Nachrichtentexte, Transkripte, Medienverweise, Berichtsnotizen, Rückfragen und Antworten, Namen in Arbeitseinträgen und im Monteurstamm sowie Kontaktdaten von Kunden des Verantwortlichen werden serverseitig mit AES-256-GCM feldbasiert verschlüsselt gespeichert. Als Suchschlüssel benötigte Angaben (insbesondere Telefonnummern, E-Mail-Adressen und Anzeigenamen der Nutzer, aus WhatsApp übernommene Profilnamen sowie Firmen-, Auftrags- und Adressdaten) liegen unverschlüsselt in der Datenbank. Die Übertragung erfolgt ausschließlich per TLS/HTTPS.

(2) Zugriffskontrolle: rollenbasierte Berechtigungen (Administrator, Büro mit wählbaren Einzelrechten, Vorarbeiter, Facharbeiter, Buchhaltung) begrenzen den Zugriff auf das jeweils erforderliche Maß; Passwörter werden ausschließlich als Hash (Argon2) gespeichert.

(3) Serverstandort: Hetzner Cloud, Deutschland.

(4) Tägliche automatisierte Datensicherung (Vorhaltung 30 Tage) sowie automatisierte, je Organisation konfigurierbare Löschfristen für WhatsApp-Nachrichtentexte/Transkripte (Standard: 90 Tage) und Audit-Protokolle (Standard: 365 Tage). Tagesberichte und darin enthaltene Medien (Fotos, Sprachnachrichten) werden nicht automatisch gelöscht, da sie die Bau-Dokumentation selbst sind; § 257 Abs. 4 HGB verlangt hierfür nur eine Mindestaufbewahrung von 6 Jahren, keine Löschung danach.

(5) Protokollierung fachlicher und datenschutzrelevanter Vorgänge (u. a. Freigaben, Änderungen an Berichten, Exporte, Löschanträge, Verwaltung von Nutzern, Monteuren und API-Schlüsseln) in einem Audit-Log.

§5 Unterauftragsverarbeiter

(1) Der Verantwortliche erteilt seine allgemeine Zustimmung zum Einsatz folgender Unterauftragsverarbeiter: Hetzner Online GmbH (Hosting, Deutschland), WhatsApp Ireland Limited (WhatsApp Business Cloud API, Nachrichtenübermittlung), OpenAI Ireland Ltd. (automatisierte Transkription und Auswertung von Nachrichten), Anthropic, PBC (KI-gestützte Werkzeuge für Entwicklung und Support der Anwendung, bei denen punktuell auch auf Produktionsdaten zugegriffen wird, etwa zur Fehlerbehebung oder Rechteverwaltung — nicht Teil der laufenden Nachrichtenverarbeitung, die ausschließlich über OpenAI läuft), IONOS SE (Versand von Transaktions-E-Mails) sowie Functional Software, Inc. (Sentry) zur Fehlerüberwachung der Anwendung. Bei WhatsApp Ireland Limited, OpenAI Ireland Ltd. und Anthropic, PBC erfolgt die Verarbeitung (teilweise bzw. vollständig) in den USA auf Grundlage von EU-Standardvertragsklauseln; mit Wirksamwerden dieses Vertrags weist der Verantwortliche Werkfin an, Daten im dafür erforderlichen Umfang an diese Unterauftragsverarbeiter zu übermitteln. OpenAI speichert Eingaben standardmäßig bis zu 30 Tage zur Missbrauchserkennung und nutzt sie nicht zum Training. Bei Sentry erfolgt die Verarbeitung ausschließlich auf Servern in der EU (Frankfurt); eine Drittlandübermittlung findet nicht statt.

(2) Beabsichtigt Werkfin, einen weiteren Unterauftragsverarbeiter hinzuzuziehen oder zu ersetzen, informiert Werkfin den Verantwortlichen vorab in Textform. Der Verantwortliche kann der Änderung innerhalb von zwei Wochen nach Zugang der Information widersprechen; erfolgt kein Widerspruch, gilt die Änderung als genehmigt.

(3) Werkfin verpflichtet jeden Unterauftragsverarbeiter zu Datenschutzpflichten, die denen dieses Vertrags entsprechen.

§6 Kontrollrechte des Verantwortlichen

Der Verantwortliche ist berechtigt, sich in angemessenem Umfang von der Einhaltung der in §4 genannten Maßnahmen zu überzeugen, insbesondere durch Vorlage geeigneter Nachweise durch Werkfin. Ein Vor-Ort-Audit ist mit angemessener Vorlauffrist anzukündigen und darf den laufenden Betrieb nicht unzumutbar beeinträchtigen.

§7 Löschung und Rückgabe nach Vertragsende

Nach Beendigung des Hauptvertrags gibt Werkfin die bei Vertragsende gespeicherten Daten nach Wahl des Verantwortlichen in einem gängigen Format heraus oder löscht sie. Der Verantwortliche teilt seine Wahl innerhalb von 30 Tagen nach Vertragsende mit; andernfalls löscht Werkfin die Daten nach Ablauf dieser Frist. Vorhandene Kopien, insbesondere Datensicherungen, werden im Rahmen des 30-tägigen Sicherungszyklus gelöscht. Eine darüber hinausgehende Speicherung erfolgt nur, soweit Werkfin selbst nach Unionsrecht oder dem Recht eines Mitgliedstaats dazu verpflichtet ist.

§8 Laufzeit

Dieser AVV beginnt mit Wirksamwerden des Hauptvertrags und endet automatisch mit dessen Beendigung, vorbehaltlich der in §7 genannten Nachwirkungen.