Auftragsverarbeitungsvertrag – baseplan.ai

Version 2026-10-24 · Gültig ab 24. Oktober 2026

Dies ist eine Übersetzung zur besseren Verständlichkeit. Verbindlich ist der englische Text.

Dieser Auftragsverarbeitungsvertrag („AVV“) ist Bestandteil der Allgemeinen Geschäftsbedingungen zwischen dem Kunden und Etrog, einem in Israel registrierten Einzelunternehmen, 139 Keren Kayemet LeIsrael St., Be'er Sheva, Israel („Etrog“). Er gilt, wenn Etrog bei der Bereitstellung von baseplan.ai personenbezogene Daten im Auftrag des Kunden verarbeitet. Er wird zusammen mit den Allgemeinen Geschäftsbedingungen angenommen und bedarf keiner gesonderten Unterschrift. Ein gegengezeichnetes Exemplar ist auf Anfrage unter privacy@baseplan.ai erhältlich.

1. Begriffsbestimmungen. „DSGVO“ bezeichnet die Verordnung (EU) 2016/679 und, soweit anwendbar, die UK-DSGVO. „Personenbezogene Daten“, „Verarbeitung“, „Verantwortlicher“, „Auftragsverarbeiter“, „betroffene Person“ und „Verletzung des Schutzes personenbezogener Daten“ haben die Bedeutung, die ihnen in der DSGVO zugewiesen ist. „Unterauftragsverarbeiter“ bezeichnet einen Dritten, den Etrog mit der Verarbeitung personenbezogener Daten des Kunden beauftragt.

2. Rollen. Der Kunde ist Verantwortlicher für die personenbezogenen Daten in den Inhalten, die er und seine Nutzer im Dienst hochladen oder erstellen („personenbezogene Kundendaten“). Etrog ist sein Auftragsverarbeiter. Für Konto-, Sicherheits- und Abrechnungsdaten, die Etrog für eigene Zwecke verwendet, ist Etrog Verantwortlicher, wie in seiner Datenschutzerklärung beschrieben.

3. Weisungen. Etrog verarbeitet personenbezogene Kundendaten nur auf dokumentierte Weisung des Kunden. Diese Weisungen sind die Allgemeinen Geschäftsbedingungen, dieser AVV und die Nutzung der Funktionen des Dienstes durch den Kunden. Ausgenommen ist eine gesetzlich vorgeschriebene Verarbeitung, über die Etrog den Kunden informiert, sofern das Gesetz dies nicht verbietet. Etrog informiert den Kunden, wenn es der Auffassung ist, dass eine Weisung gegen Datenschutzrecht verstößt.

4. Vertraulichkeit. Alle Personen, die Etrog zur Verarbeitung personenbezogener Kundendaten befugt, sind zur Vertraulichkeit verpflichtet. Zugriff wird nur in dem Umfang gewährt, der zur Bereitstellung, Unterstützung oder Absicherung des Dienstes erforderlich ist.

5. Sicherheit. Etrog unterhält geeignete technische und organisatorische Maßnahmen zum Schutz personenbezogener Kundendaten. Sie sind in Anlage 2 aufgeführt. Etrog kann sie verbessern, wird ihr Gesamtniveau jedoch nicht absenken.

6. Unterauftragsverarbeiter. Der Kunde erteilt Etrog eine allgemeine Genehmigung zum Einsatz von Unterauftragsverarbeitern. Die aktuelle Liste befindet sich auf der Seite Unterauftragsverarbeiter. Etrog wird:

• jeden Unterauftragsverarbeiter durch einen schriftlichen Vertrag zu Datenschutzpflichten verpflichten, die kein geringeres Schutzniveau bieten als dieser AVV;
• für seine Unterauftragsverarbeiter verantwortlich bleiben;
• einen neuen oder ersetzenden Unterauftragsverarbeiter mindestens 30 Tage im Voraus auf dieser Seite und per E-Mail an die Administratoren des Kunden ankündigen.

Der Kunde kann innerhalb dieser Frist aus berechtigten datenschutzrechtlichen Gründen Einspruch erheben. Können die Parteien den Einspruch nicht ausräumen, kann der Kunde den betroffenen Dienst kündigen und erhält eine Erstattung aller dafür im Voraus gezahlten, nicht genutzten Entgelte.

7. Anfragen betroffener Personen. Unter Berücksichtigung der Art der Verarbeitung unterstützt Etrog den Kunden bei der Beantwortung von Anfragen betroffener Personen. Dies geschieht hauptsächlich über die eigenen Funktionen des Dienstes, wie das Bearbeiten, Löschen und Exportieren von Projekten und Nutzern. Erhält Etrog eine Anfrage direkt, leitet es sie an den Kunden weiter und beantwortet sie nicht selbst, es sei denn, der Kunde weist es dazu an.

8. Verletzungen des Schutzes personenbezogener Daten. Etrog benachrichtigt den Kunden unverzüglich, in jedem Fall aber innerhalb von 72 Stunden, nachdem ihm eine Verletzung des Schutzes personenbezogener Daten bekannt geworden ist, die personenbezogene Kundendaten betrifft. Die Benachrichtigung enthält die zu diesem Zeitpunkt verfügbaren Informationen, die der Kunde zur Erfüllung seiner eigenen Pflichten benötigt. Etrog ergreift angemessene Maßnahmen, um die Verletzung einzudämmen und ihre Folgen zu mindern.

9. Unterstützung. Etrog unterstützt den Kunden in angemessenem Umfang und unter Verwendung der ihm zur Verfügung stehenden Informationen bei Datenschutz-Folgenabschätzungen und vorherigen Konsultationen der Aufsichtsbehörden.

10. Internationale Übermittlungen. Etrog ist in Israel niedergelassen. Die Europäische Kommission und das Vereinigte Königreich erkennen an, dass Israel ein angemessenes Schutzniveau bietet. Verarbeitet ein Unterauftragsverarbeiter personenbezogene Kundendaten in einem Land ohne eine solche Anerkennung, stellt Etrog einen gültigen Übermittlungsmechanismus sicher. Dies sind entweder die Standardvertragsklauseln (Durchführungsbeschluss der Kommission 2021/914), gegebenenfalls mit dem UK-Addendum, oder die Zertifizierung des Anbieters nach dem EU-US Data Privacy Framework.

11. Löschung und Rückgabe. Bei Beendigung des Dienstes kann der Kunde seine Arbeitsergebnisse und Projekte 30 Tage lang exportieren. Danach löscht Etrog die personenbezogenen Kundendaten. Kopien in Sicherungen verfallen im Rahmen des Sicherungszyklus: Datenbanksicherungen innerhalb von 7 Tagen und wiederherstellbare gelöschte Dateien innerhalb von 30 Tagen. Ausgenommen sind Daten, die Etrog gesetzlich aufbewahren muss.

12. Audits. Auf schriftliche Anfrage stellt Etrog die Informationen zur Verfügung, die zum Nachweis der Einhaltung dieses AVV erforderlich sind, einschließlich Antworten auf angemessene Sicherheitsfragebögen. Reichen diese Informationen nicht aus, kann der Kunde selbst oder durch einen zur Vertraulichkeit verpflichteten unabhängigen Prüfer ein Audit unter folgenden Bedingungen durchführen: höchstens einmal jährlich, mit einer Ankündigungsfrist von 30 Tagen, während der Geschäftszeiten, auf Kosten des Kunden und ohne Zugriff auf Daten anderer Kunden. Unterauftragsverarbeiter werden anhand ihrer eigenen Zertifizierungen und Berichte geprüft.

13. Haftung und Vorrang. Die Haftung nach diesem AVV unterliegt, soweit gesetzlich zulässig, den Beschränkungen der Allgemeinen Geschäftsbedingungen. Widersprechen sich dieser AVV und die Allgemeinen Geschäftsbedingungen hinsichtlich des Schutzes personenbezogener Daten, hat dieser AVV Vorrang. Dieser AVV gilt, solange Etrog personenbezogene Kundendaten verarbeitet.

Anlage 1 – Einzelheiten der Verarbeitung

• Gegenstand und Zweck: Bereitstellung von baseplan.ai für den Kunden. Dies umfasst das Hosten, Lesen und Konvertieren von Plänen und Modellen, die Schalungs- und Traggerüstplanung, die Erstellung von Zeichnungen, Berichten, Mengen und Modellen, den Versand von Service-E-Mails und die Unterstützung der Nutzer.
• Art: Speicherung, Konvertierung, automatisierte Analyse (auch durch KI), Erzeugung von Arbeitsergebnissen, Übermittlung und Löschung.
• Dauer: die Laufzeit der Allgemeinen Geschäftsbedingungen zuzüglich der Löschfristen nach Abschnitt 11.
• Betroffene Personen: die Nutzer des Kunden sowie Personen, deren Angaben in den Inhalten des Kunden erscheinen, etwa Planer, Ingenieure, Bauherren und Kontaktpersonen, die in Zeichnungen oder Schriftfeldern genannt sind.
• Datenkategorien: Namen, E-Mail-Adressen, Rollen und Funktionen, Zulassungsnummern, in Zeichnungen erscheinende Unterschriften oder Stempel, Aktivitätsaufzeichnungen sowie sonstige Kontaktdaten, die der Kunde hochlädt. Besondere Kategorien personenbezogener Daten sind weder erforderlich noch zu erwarten.

Anlage 2 – Technische und organisatorische Maßnahmen

• Hosting auf Google Cloud in der Europäischen Union (Belgien; Dateispeicherung in der EU-Multi-Region) in nach ISO 27001 und SOC 2 zertifizierten Rechenzentren.
• Transportverschlüsselung (TLS) für den gesamten Datenverkehr sowie Verschlüsselung ruhender Daten für Datenbank, Dateien und Sicherungen.
• Zweistufige Verifizierung für jeden Nutzer verpflichtend. Passwörter werden ausschließlich als Argon2-Hashes gespeichert. Anmeldesitzungen sind auf einen Arbeitstag begrenzt.
• Die Daten jedes Unternehmens sind von denen aller anderen Unternehmen getrennt. Der Zugriff wird bei jeder Anfrage nach Unternehmen und Rolle geprüft.
• Geheimnisse werden in einem verwalteten Secret Store aufbewahrt. Dienstkonten folgen dem Prinzip der geringsten Berechtigung. Änderungen an der Produktionsumgebung erfolgen nur über eine automatisierte Deployment-Pipeline.
• Tägliche Datenbanksicherungen mit Point-in-Time-Wiederherstellung sowie Löschschutz für die Produktionsdatenbank.
• Begrenzung der Anfragerate, Sicherheitsprotokollierung und ein Prüfpfad der Aktionen von Nutzern und Mitarbeitenden.
• Festgelegte Aufbewahrungsfristen mit automatisierter täglicher Löschung (siehe Datenschutzerklärung).
• Zugriff der Mitarbeitenden beschränkt auf das für Support, Betrieb und Sicherheit Erforderliche, unter Vertraulichkeitsverpflichtung.
• Reaktion auf Sicherheitsvorfälle mit der in Abschnitt 8 beschriebenen Benachrichtigung über Verletzungen.

Anlage 3 – Unterauftragsverarbeiter

Siehe die Seite Unterauftragsverarbeiter, die Bestandteil dieses AVV ist.