Vertrag zur Auftragsverarbeitung

nach Art. 28 DSGVO zwischen dem Kunden von Aderplan (Verantwortlicher) und Montage-Werk, Inhaberin Jeanette Michanosin, Stettiner Straße 3B, 49681 Garrel (Auftragsverarbeiter). Der Vertrag wird mit der Registrierung geschlossen (Fassung „AGB+AVV 2026-10“).

1. Gegenstand und Dauer

Der Auftragsverarbeiter stellt dem Verantwortlichen die Software Aderplan nach den AGB bereit und verarbeitet dabei personenbezogene Daten in dessen Auftrag. Dieser Vertrag gilt, solange der Auftragsverarbeiter solche Daten für den Verantwortlichen verarbeitet, einschließlich des kostenlosen Tests und der Zeit bis zur Löschung nach Vertragsende.

2. Art und Zweck der Verarbeitung, Daten und Betroffene

Zweck

Bereitstellung von Aderplan: Speichern, Anzeigen, Bearbeiten, Teilen und Ausgeben von Elektroplänen und Projekten; Benutzerverwaltung; Sicherung

Art der Daten

Benutzerdaten (Name, E-Mail-Adresse, Rolle, Anmeldezeitpunkte, IP-Adresse und Browser der Sitzung); Projektdaten (z. B. Name und Anschrift des Auftraggebers, Baustellenadresse, Beschreibungen, hochgeladene Grundrisse und Bilder); Änderungsprotokoll (wer hat wann was geändert)

Betroffene

Beschäftigte und Beauftragte des Verantwortlichen, eingeladene Kunden des Verantwortlichen, Auftraggeber und Ansprechpartner in Projekten

Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO) sind nicht vorgesehen; der Verantwortliche lädt solche Daten nicht hoch.

3. Weisungen

Der Auftragsverarbeiter verarbeitet die Daten nur auf dokumentierte Weisung des Verantwortlichen. Die Weisungen ergeben sich aus diesem Vertrag, den AGB und der Nutzung der Funktionen von Aderplan durch den Verantwortlichen; weitere Weisungen erteilt der Verantwortliche in Textform. Hält der Auftragsverarbeiter eine Weisung für rechtswidrig, weist er den Verantwortlichen unverzüglich darauf hin. Eine Verarbeitung für eigene Zwecke findet nicht statt, es sei denn, das Recht der EU oder Deutschlands verpflichtet dazu.

4. Vertraulichkeit

Personen, die beim Auftragsverarbeiter Zugang zu den Daten haben, sind zur Vertraulichkeit verpflichtet oder unterliegen einer gesetzlichen Verschwiegenheitspflicht. Zugriff auf die Daten erfolgt nur, soweit es für Betrieb, Sicherung, Fehlerbehebung oder Support nötig ist.

5. Technische und organisatorische Maßnahmen

Der Auftragsverarbeiter trifft mindestens folgende Maßnahmen nach Art. 32 DSGVO und passt sie dem Stand der Technik an:

• Betrieb auf einem Server in einem Rechenzentrum in Deutschland; Verwaltung nur über SSH mit Schlüssel, ohne Passwort-Anmeldung.
• Verschlüsselte Übertragung (HTTPS/TLS) für alle Verbindungen.
• Passwörter werden nur als Argon2id-Hash gespeichert; Sitzungs-Cookies sind HttpOnly und Secure; Schutz gegen Cross-Site-Request-Forgery; Begrenzung und Sperre bei wiederholten Fehlanmeldungen.
• Strikte Trennung der Kunden auf Datenbankebene (Row Level Security): Jede Anfrage sieht nur die Daten der eigenen Firma.
• Rollen und Rechte je Benutzer und Projekt, die der Verantwortliche selbst vergibt; Protokoll aller Änderungen.
• Hochgeladene Dateien werden geprüft, unter zufälligen Namen abgelegt und nur nach Anmeldung und Rechteprüfung ausgeliefert.
• Tägliche Sicherung der Datenbank und Dateien; Sicherungen werden nach spätestens 30 Tagen gelöscht.
• Regelmäßige Sicherheitsupdates von Betriebssystem und Software.

6. Unterauftragsverarbeiter

Der Verantwortliche ist mit folgendem Unterauftragsverarbeiter einverstanden:

Gericke KG (MC-HOST24.de)

Mühlenstraße 8a, 14167 Berlin – Bereitstellung des Servers (Rechenzentrum in Deutschland)

Weitere oder andere Unterauftragsverarbeiter kündigt der Auftragsverarbeiter mindestens vier Wochen vorher per E-Mail an. Der Verantwortliche kann aus wichtigem datenschutzrechtlichem Grund widersprechen; kommt keine Einigung zustande, können beide Seiten den Vertrag kündigen. Der Auftragsverarbeiter verpflichtet Unterauftragsverarbeiter vertraglich auf ein gleichwertiges Schutzniveau. Eine Verarbeitung außerhalb der EU und des EWR findet nicht statt.

7. Unterstützung des Verantwortlichen

Der Auftragsverarbeiter unterstützt den Verantwortlichen im Rahmen des Zumutbaren bei der Beantwortung von Anträgen Betroffener (Art. 12–22 DSGVO), bei der Sicherheit der Verarbeitung, bei Meldungen von Datenschutzverletzungen und bei Datenschutz-Folgenabschätzungen (Art. 32–36 DSGVO). Viele Rechte kann der Verantwortliche direkt in Aderplan umsetzen (Benutzer und Projekte bearbeiten, exportieren, löschen).

8. Datenschutzverletzungen

Der Auftragsverarbeiter informiert den Verantwortlichen unverzüglich, möglichst innerhalb von 24 Stunden nach Bekanntwerden, per E-Mail über Verletzungen des Schutzes personenbezogener Daten, die dessen Daten betreffen, und teilt die Informationen mit, die der Verantwortliche für seine Meldung nach Art. 33 DSGVO braucht.

9. Löschung und Rückgabe

Nach Vertragsende kann der Verantwortliche seine Projekte 30 Tage lang exportieren. Danach löscht der Auftragsverarbeiter alle Daten des Firmenkontos; in den Sicherungen sind sie spätestens nach weiteren 30 Tagen gelöscht. Ausgenommen sind Daten, die der Auftragsverarbeiter aufgrund gesetzlicher Pflichten aufbewahren muss.

10. Nachweise und Kontrollen

Der Auftragsverarbeiter stellt dem Verantwortlichen auf Anfrage die Informationen zur Verfügung, die zum Nachweis der Einhaltung dieses Vertrags nötig sind. Kontrollen vor Ort sind nach rechtzeitiger Anmeldung während der Geschäftszeiten möglich, ohne den Betrieb unverhältnismäßig zu stören; den dafür entstehenden Aufwand kann der Auftragsverarbeiter angemessen berechnen.

11. Haftung und Schlussbestimmungen

Für die Haftung gilt Art. 82 DSGVO; im Übrigen gelten die Regelungen der AGB. Bei Widersprüchen zwischen diesem Vertrag und den AGB geht dieser Vertrag in Fragen des Datenschutzes vor. Änderungen dieses Vertrags bedürfen der Textform.

Stand: Oktober 2026 · Fragen zum Datenschutz: info@aderplan.de