Vereinbarung zur Auftragsverarbeitung

1. Parteien und Geltung

Diese Vereinbarung gilt zwischen dem Kunden, der das Meisterdok-Portal im Rahmen eines Abonnements nach Ziffer 9 unserer Allgemeinen Geschäftsbedingungen nutzt (Verantwortlicher, im Folgenden „Kunde“), und der IGCP Capital Partners GmbH, Postgasse 14/2, 1010 Wien, Österreich (Auftragsverarbeiter, im Folgenden „wir“). Sie wird mit Abschluss des Abonnements Bestandteil des Vertrags und gilt, soweit der Kunde im Portal personenbezogene Daten Dritter verarbeitet. Sie ist in elektronischer Form abgeschlossen (Art. 28 Abs. 9 DSGVO). Bei Widersprüchen zwischen dieser Vereinbarung und den übrigen Vertragsbestandteilen geht diese Vereinbarung in Fragen des Datenschutzes vor.

2. Gegenstand, Dauer, Art und Zweck der Verarbeitung

Gegenstand ist die Bereitstellung des Meisterdok-Portals als webbasierter Dienst, in dem der Kunde Dokumente, Projekte, Mitarbeitende, Qualifikationen, Arbeitszeiten, Prüffristen, Mängel, Nachunternehmer-Nachweise und Nachweis-Links (Unterweisungsnachweis, Stundenlohnzettel) erfasst, speichert, abruft, versendet und als PDF exportiert. Die Verarbeitung umfasst das Erheben über Nachweis-Links, das Speichern, Anzeigen, Auswerten (z. B. Fristen und Prüfbereit-Check), Übermitteln von Erinnerungs-E-Mails an den Kunden und das Löschen. Zweck ist ausschließlich die Erbringung des Dienstes für den Kunden. Die Vereinbarung gilt für die Dauer des Abonnements und darüber hinaus, solange wir nach Ziffer 9.9 der AGB Daten des Kunden speichern.

3. Art der Daten und Kreise der betroffenen Personen

Betroffen sind insbesondere:

• Beschäftigte des Kunden: Name, Funktion, Eintrittsdatum, Qualifikationen und deren Gültigkeit, Unterweisungen einschließlich Testergebnis und Bescheinigungsnummer, Arbeitszeiten, Unterschrift als Bilddatei, Zeitpunkte der Bestätigung, Browserkennung;
• Auftraggeber und deren Vertreter: Name, Firma, Bauvorhaben, Bestätigungen oder Einwendungen zu Stundenlohnzetteln, Unterschrift als Bilddatei, Zeitpunkte, Browserkennung;
• Nachunternehmer und deren Ansprechpersonen: Name, Firma, Nachweise mit Ablaufdatum;
• weitere Personen, die der Kunde in Dokumenten, Fotos oder Freitexten erfasst (z. B. Teilnehmende an Baubesprechungen).

Besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO sind für den Dienst nicht vorgesehen. Erfasst der Kunde solche Daten in Freitexten oder Dateien, verantwortet er dies.

4. Weisungen

Wir verarbeiten die Daten nur auf dokumentierte Weisung des Kunden, auch in Bezug auf die Übermittlung in ein Drittland, sofern wir nicht durch das Recht der Union oder eines Mitgliedstaats zur Verarbeitung verpflichtet sind; in diesem Fall teilen wir dem Kunden diese Anforderungen vor der Verarbeitung mit, sofern das Recht dies nicht verbietet. Die Weisungen ergeben sich aus diesem Vertrag und aus der Nutzung der Funktionen des Portals durch den Kunden. Weitere Weisungen erteilt der Kunde in Textform an bau@meisterdok.de. Halten wir eine Weisung für rechtswidrig, informieren wir den Kunden unverzüglich.

5. Vertraulichkeit

Personen, die bei uns Zugang zu den Daten haben, sind zur Vertraulichkeit verpflichtet oder unterliegen einer gesetzlichen Verschwiegenheitspflicht. Zugriff auf die Daten erhalten sie nur, soweit dies für Betrieb, Wartung oder Fehlerbehebung des Dienstes erforderlich ist.

6. Technische und organisatorische Maßnahmen

Wir treffen die nach Art. 32 DSGVO erforderlichen Maßnahmen. Dazu gehören insbesondere:

• verschlüsselte Übertragung aller Daten zwischen Browser und Dienst (HTTPS/TLS);
• Zugriffsbeschränkung auf Datenbankebene: Jeder Kunde erreicht über sein Nutzerkonto ausschließlich seine eigenen Datensätze (Row Level Security); anonyme Zugriffe auf die Portaldaten sind ausgeschlossen;
• Speicherung von Passwörtern nur als Prüfmerkmal, nicht im Klartext;
• Dateien (Fotos, Unterschriften, Nachweise) in einem nicht öffentlichen Speicher, abrufbar nur über zeitlich begrenzte, signierte Adressen;
• Nachweis-Links: Speicherung nur eines Prüfwerts (Hash) des Link-Schlüssels, Gültigkeit 30 Tage, Begrenzung der Aufrufe je Link, eingefrorener Inhalt mit Prüfsumme;
• keine Analyse- oder Werbedienste auf den Seiten der Nachweis-Links;
• Einsatz von Unterauftragsverarbeitern nur mit Verträgen nach Art. 28 DSGVO; Zugriff auf die Produktivumgebung nur für berechtigte Personen.

Wir dürfen die Maßnahmen an den Stand der Technik anpassen, sofern das Schutzniveau nicht unterschritten wird.

7. Unterauftragsverarbeiter

Der Kunde erteilt die allgemeine Genehmigung zum Einsatz der folgenden Unterauftragsverarbeiter:

• Lovable Labs Inc. – Hosting und Betrieb der Anwendung;
• Supabase, Inc. – Datenbank, Nutzerkonten und Dateispeicher;
• Mailgun Technologies, Inc. (über den E-Mail-Dienst unseres Hosting-Anbieters, EU-Region) – Versand automatisierter E-Mails, z. B. Erinnerungen an Fristen.

Über beabsichtigte Änderungen informieren wir den Kunden vorab in Textform. Der Kunde kann einer Änderung innerhalb von 14 Tagen aus wichtigem datenschutzrechtlichem Grund widersprechen; kommt keine Einigung zustande, kann er das Abonnement außerordentlich kündigen. Wir erlegen jedem Unterauftragsverarbeiter vertraglich die Datenschutzpflichten dieser Vereinbarung auf. Soweit Daten in Länder außerhalb des Europäischen Wirtschaftsraums übermittelt werden, geschieht dies nur unter den Voraussetzungen der Art. 44 ff. DSGVO, insbesondere auf Grundlage der Standardvertragsklauseln der Europäischen Kommission oder eines Angemessenheitsbeschlusses.

8. Unterstützung des Kunden

Wir unterstützen den Kunden mit geeigneten Maßnahmen bei der Beantwortung von Anträgen betroffener Personen (Art. 12 bis 23 DSGVO). Anträge, die uns direkt erreichen, leiten wir unverzüglich an den Kunden weiter. Viele Einträge kann der Kunde im Portal selbst berichtigen, exportieren und löschen; bestätigte Nachweise aus Nachweis-Links löschen wir auf seine Weisung. Wir unterstützen den Kunden außerdem bei der Einhaltung der Pflichten aus Art. 32 bis 36 DSGVO unter Berücksichtigung der Art der Verarbeitung und der uns vorliegenden Informationen.

9. Verletzungen des Schutzes personenbezogener Daten

Wir melden dem Kunden eine Verletzung des Schutzes personenbezogener Daten unverzüglich, nachdem sie uns bekannt geworden ist (Art. 33 Abs. 2 DSGVO), und stellen die Informationen bereit, die der Kunde für eine Meldung an die Aufsichtsbehörde und die Benachrichtigung betroffener Personen benötigt.

10. Löschung und Rückgabe nach Vertragsende

Nach Ende der Leistungserbringung kann der Kunde seine Dokumente als PDF exportieren (Ziffer 9.9 der AGB). Auf Verlangen des Kunden löschen wir das Nutzerkonto mit allen darin gespeicherten Daten, sofern nicht eine Pflicht zur Speicherung nach dem Recht der Union oder eines Mitgliedstaats besteht. Die Löschung bestätigen wir auf Anfrage in Textform.

11. Nachweise und Überprüfungen

Wir stellen dem Kunden auf Anfrage alle erforderlichen Informationen zum Nachweis der Einhaltung dieser Vereinbarung zur Verfügung und ermöglichen Überprüfungen einschließlich Inspektionen durch den Kunden oder einen von ihm beauftragten, zur Verschwiegenheit verpflichteten Prüfer. Überprüfungen sind mit angemessener Frist anzukündigen und sollen den Geschäftsbetrieb nicht unverhältnismäßig stören.

12. Pflichten des Kunden

Der Kunde ist für die Rechtmäßigkeit der Verarbeitung verantwortlich, insbesondere für die Rechtsgrundlage, die Information der betroffenen Personen (z. B. seiner Beschäftigten und Auftraggeber, bevor er ihnen einen Nachweis-Link sendet) und die Einhaltung von Löschfristen für die von ihm erfassten Daten.

13. Schlussbestimmungen

Im Übrigen gelten die AGB. Sollte eine Bestimmung unwirksam sein, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt.

Stand: 24.09.2026