Auftragsverarbeitungsvertrag

Dieser Vertrag gilt zwischen dem Kunden (Verantwortlicher) und der Aetheris GmbH, Zur Lay 22, 54570 Schutz (Auftragsverarbeiter). Er wird mit Abschluss des Nutzungsvertrags über AETHERIS BAU wirksam und gilt für dessen gesamte Dauer.

Gegenstand ist die Verarbeitung personenbezogener Daten, die der Kunde in AETHERIS BAU einstellt oder erzeugt, ausschließlich zum Zweck der Bereitstellung der vertraglich vereinbarten Leistung.

Speichern, Ordnen, Anzeigen, Auswerten, Übermitteln an vom Kunden bestimmte Empfänger und Löschen — im Rahmen von Baudokumentation, Mängel- und Aufgabenverwaltung, Planverwaltung und Aufmaß, Bautagebuch, Berichten, Dokumentenablage und Abrechnung.

Betroffen sind typischerweise:

• Beschäftigte des Kunden (Name, Rolle, Zugangsdaten, Tätigkeitsnachweise)
• Beschäftigte von Nachunternehmern (Name, Firma, Kontaktdaten, Zuweisungen)
• Bauherren und Planungsbeteiligte (Kontakt- und Rechnungsdaten)
• Personen, die auf Baustellenfotos erkennbar sind — hier trifft den Kunden eine besondere Sorgfaltspflicht

Der Auftragsverarbeiter verarbeitet die Daten ausschließlich auf dokumentierte Weisung des Kunden. Als Weisung gilt auch die Nutzung der Anwendung durch den Kunden selbst. Hält der Auftragsverarbeiter eine Weisung für rechtswidrig, teilt er dies mit und darf ihre Ausführung aussetzen.

Zur Verarbeitung eingesetzte Personen sind zur Vertraulichkeit verpflichtet. Zugriff erhalten nur Personen, die ihn zur Leistungserbringung benötigen.

Siehe Anlage 1. Der Auftragsverarbeiter darf sie weiterentwickeln, solange das Schutzniveau nicht sinkt.

Der Kunde stimmt dem Einsatz der in Anlage 2 genannten Unterauftragsverarbeiter zu. Weitere Unterauftragsverarbeiter kündigt der Auftragsverarbeiter mindestens vier Wochen vorher in Textform an; der Kunde kann aus wichtigem Grund widersprechen und den Vertrag kündigen, wenn keine Einigung erzielt wird.

Der Auftragsverarbeiter unterstützt den Kunden bei Betroffenenanfragen (Art. 15–22 DSGVO), bei Meldepflichten nach Art. 33/34 DSGVO und bei einer Datenschutz- Folgenabschätzung — im Rahmen des technisch Möglichen und Zumutbaren.

Von einer Verletzung des Schutzes personenbezogener Daten unterrichtet der Auftragsverarbeiter den Kunden unverzüglich nach Kenntnis, mit den nach Art. 33 Abs. 3 DSGVO erforderlichen Angaben, soweit sie ihm vorliegen.

Nach Vertragsende bleiben die Daten 30 Tage zum Abruf bereit. Danach werden sie gelöscht, einschließlich der Sicherungskopien im Rahmen des Sicherungszyklus. Ausgenommen sind Daten, die der Auftragsverarbeiter aufgrund gesetzlicher Pflichten aufbewahren muss — insbesondere eigene Rechnungen über die Nutzung von AETHERIS BAU (§ 147 AO, § 257 HGB).

Der Auftragsverarbeiter weist die Einhaltung dieser Pflichten auf Anfrage in geeigneter Form nach. Vor-Ort-Prüfungen sind mit angemessener Vorankündigung während der üblichen Geschäftszeiten möglich, ohne den Betrieb unangemessen zu stören.

Eine Übermittlung in ein Drittland findet ausschließlich im Rahmen der KI-gestützten Dokumentenauswertung statt (Anlage 2, Anthropic PBC). Alle übrigen Verarbeitungen finden in Deutschland statt.

Für den Serverbetrieb ist das vertraglich abgesichert: Der Auftragsverarbeitungsvertrag mit der Hetzner Online GmbH sieht in § 3 Abs. 1 vor, dass die Verarbeitung ausschließlich in einem Mitgliedstaat der Europäischen Union oder einem Vertragsstaat des Abkommens über den Europäischen Wirtschaftsraum stattfindet. Eine Verlagerung in ein Drittland bedarf unserer vorherigen Zustimmung.

Es gilt deutsches Recht. Bei Widersprüchen zwischen diesem Vertrag und sonstigen Vereinbarungen in Fragen des Datenschutzes hat dieser Vertrag Vorrang. Gerichtsstand ist der Sitz des Anbieters (54570 Schutz). Sollte eine Bestimmung unwirksam sein, bleibt die Wirksamkeit der übrigen unberührt.

Aufgeführt ist ausschließlich, was tatsächlich eingerichtet ist. Was noch aussteht, steht ausdrücklich als solches da — eine Anlage mit Zusagen, die der Betrieb nicht hält, wäre schlimmer als gar keine.

• Mandantentrennung: jeder Datensatz trägt die Mandantenkennung, der Primärschlüssel ist mandantenlokal. Serverseitig geprüft, nicht im Browser.
• Zugriffskontrolle: Rollen mit frei konfigurierbaren Rechten; jede Modulseite und jede Schnittstelle prüft serverseitig und lehnt im Zweifel ab.
• Anmeldung: Passwörter nur als Streuwert (scrypt); Sitzungen als zufällige Kennung in einem httpOnly-Cookie, gegen die Datenbank geprüft. Fehlversuche werden gebremst, dauerhaft über Neustarts hinweg.
• Externe Zugänge laufen automatisch ab und geben nur die ihnen ausdrücklich zugewiesenen Vorgänge frei — Prüfen und Schließen bleibt intern.
• Übertragung: ausschließlich verschlüsselt (TLS). Interne Dienste sind von außen nicht erreichbar.
• Dateiauslieferung nur mit geprüftem Dateityp und Schutzkopfzeilen, damit hochgeladene Inhalte nicht im Browser anderer Nutzer ausgeführt werden.
• Sicherung: nächtlicher Datenbankabzug mit 14 Tagen Aufbewahrung; die Wiederherstellung wurde erprobt.
• Überwachung: Verfügbarkeitsprüfung alle zwei Minuten, Fehlermeldungen ohne personenbezogene Inhalte.
• Änderungsprotokoll: Statuswechsel und Bearbeitungen werden mit Zeitpunkt und handelnder Person festgehalten.
• Rechenzentrum: Der Serverbetrieb liegt bei der Hetzner Online GmbH in Deutschland. Deren technische und organisatorische Maßnahmen wurden zuletzt am 19.02.2026 von der TÜV Rheinland i-sec GmbH geprüft (Bericht 63017991-01, Standorte Nürnberg und Falkenstein) — ohne festgestellte Abweichungen. Zutritts-, Zugangs- und Zugriffskontrolle des Rechenzentrums sind damit nicht nur zugesichert, sondern extern geprüft.
• Noch nicht eingerichtet: Virenprüfung hochgeladener Dateien; Sicherung an einem zweiten Standort. Beides ist geplant und wird hier ergänzt, sobald es steht.

Eigene Dienste auf derselben Infrastruktur — keine Dritten und damit keine Unterauftragsverarbeiter im Rechtssinn:

• Aetheris Account Service (Vertrags- und Rechnungsverwaltung) — eigener Dienst auf derselben Serverinfrastruktur
• Selbst betriebene Spracherkennung für das Bautagebuch-Diktat — verlässt den Server nicht
• Fachdienst für GAEB-Import und ZUGFeRD-Rechnungen — eigener Dienst ohne Zugang von außen