Komplexe Projekte. Zuverlässig abgewickelt.
Abrechnungskontrolle von Bauleistungen nach ÖNORM A 2063
Auftragsverarbeitungsvertrag
Fassung 1.3-entwurf
1 Parteien und Gegenstand
Dieser Vertrag nach Art. 28 DSGVO gilt zwischen der Organisation, die simmpel AVA nutzt (Verantwortlicher), und Samuel Simm, Strauchergasse 18, 8020 Graz, E-Mail: simm.samuel@simmpel.at (im Folgenden „Betreiber“). Bis zur Gründung eines Unternehmens betreibt eine Privatperson simmpel AVA. als Auftragsverarbeiter. Gegenstand ist die Bereitstellung der Anwendung simmpel AVA einschließlich Speicherung, Auswertung und Versand der Projektdaten. Die Dauer entspricht der Nutzung der Anwendung.
2 Art und Zweck der Verarbeitung, Daten und betroffene Personen
Verarbeitet werden Leistungsverzeichnisse, Rechnungen, Eingaben, Protokolle, Verteiler und Versände. Sie können personenbezogene Daten enthalten, insbesondere Namen, Funktionen, E-Mail-Adressen und Telefonnummern von Beschäftigten des Verantwortlichen, von Auftraggebern, Auftragnehmern, Planern und weiteren Projektbeteiligten. Zweck ist ausschließlich die Abrechnungskontrolle und die Information der Projektbeteiligten im Auftrag des Verantwortlichen.
3 Pflichten des Auftragsverarbeiters
Der Auftragsverarbeiter verarbeitet die Daten nur auf dokumentierte Weisung des Verantwortlichen – die Nutzung der Anwendung gilt als Weisung –, verpflichtet alle befugten Personen zur Vertraulichkeit, trifft die Maßnahmen nach Art. 32 DSGVO (Punkt 6), unterstützt den Verantwortlichen bei Anfragen betroffener Personen und bei den Pflichten nach Art. 32 bis 36 DSGVO, meldet Verletzungen des Schutzes personenbezogener Daten unverzüglich, stellt alle Informationen zum Nachweis bereit und ermöglicht Überprüfungen nach Absprache.
4 Unterauftragsverarbeiter
Der Verantwortliche genehmigt folgende Unterauftragsverarbeiter: • OVH GmbH (OVHcloud), St. Johanner Straße 41–43, 66111 Saarbrücken, Deutschland; Muttergesellschaft OVH SAS, 2 rue Kellermann, 59100 Roubaix, Frankreich: Hosting des Servers (Public Cloud: Compute-Instanz) und Speicher der verschlüsselten Datensicherung (Object Storage) – Server im Rechenzentrum Frankfurt (Deutschland), Datensicherung in Gravelines (Frankreich). Vertrag: Auftragsverarbeitungsvertrag von OVHcloud (Anhang zu den Allgemeinen Vertragsbedingungen) in der bei der Bestellung im Oktober 2026 geltenden Fassung. • Sendinblue GmbH (Brevo), Köpenicker Straße 126, 10179 Berlin, Deutschland; Muttergesellschaft Brevo SAS, 106 boulevard Haussmann, 75008 Paris, Frankreich: Versand der E-Mails (Systemmails und Mengenübersichten) über SMTP, Meldungen zu Unzustellbarkeit und Spam; Öffnungen und Klicks zählt Brevo nur anonymisiert, simmpel AVA wertet keine Öffnungen aus – Europäische Union. Vertrag: Auftragsverarbeitungsvertrag (Anlage 3 der Allgemeinen Nutzungsbedingungen der Brevo-Dienste) in der bei der Kontoeröffnung im Oktober 2026 geltenden Fassung. Über beabsichtigte Änderungen informiert der Auftragsverarbeiter vorab per E-Mail an die Admins; der Verantwortliche kann binnen 14 Tagen widersprechen und in diesem Fall die Nutzung beenden. Unterauftragsverarbeitern werden dieselben Pflichten auferlegt.
5 Zugriff des Betreibers (Supportzugriff)
Der Auftragsverarbeiter greift auf Projektinhalte nur zu, wenn ein Admin des Verantwortlichen eine befristete Freigabe erteilt (24 Stunden oder 7 Tage, auf Wunsch auf ein Projekt beschränkt). Der Zugriff ist nur lesend, jederzeit widerrufbar und wird im Audit-Protokoll der Organisation sichtbar protokolliert.
6 Technische und organisatorische Maßnahmen
• Verschlüsselte Übertragung (HTTPS/TLS), Passwörter mit Argon2id, Zweitfaktor (für den Betreiber Pflicht). • Rollen und Rechte je Organisation, Trennung der Organisationen in der Anwendung und zusätzlich in der Datenbank (Row Level Security). • Protokollierung von Anmeldungen und Änderungen; Begrenzung von Fehlversuchen. • Tägliche, verschlüsselte Sicherung mit Kopie an einem anderen EU-Standort; Wiederherstellung wird vierteljährlich geprobt. • Versandarchiv mit Prüfsummen (SHA-256); Server gehärtet, Zugang nur mit Schlüssel.
7 Ende der Verarbeitung
Nach dem Ende der Nutzung bleiben die Daten lesbar und exportierbar. Sie werden frühestens 90 Tage nach dem Ende und nur nach Ankündigung per E-Mail an die Admins gelöscht; der Export ist bis dahin möglich. Kopien in Datensicherungen werden mit deren Ablauf gelöscht.
8 Schlussbestimmungen
Für die Haftung gilt Art. 82 DSGVO. Im Übrigen gelten die Nutzungsbedingungen; bei Widersprüchen geht dieser Vertrag vor.