Auftragsverarbeitungsvertrag (AVV)

Verarbeitung im Auftrag gemäß Art. 28 DSGVO · Aetheris GmbH · für die SaaS-Lösung SynergyScope · Stand: 03.10.2026

Vertragsparteien

§ 1 Gegenstand und Dauer

Gegenstand ist die Verarbeitung personenbezogener Daten durch den Auftragnehmer im Auftrag des Auftraggebers im Rahmen der Bereitstellung von SynergyScope (Planaufmaß, Mengenermittlung, Einlesen von Leistungsverzeichnissen, Erzeugung prüffähiger Aufmaß- und Abrechnungsunterlagen). Die Dauer entspricht der Laufzeit des Hauptvertrags ab Vertragsabschluss.

§ 2 Art, Umfang und Zweck

Art, Umfang, Zweck, Datenarten und Kategorien Betroffener ergeben sich aus Anlage 1. Die Verarbeitung erfolgt nur zur Erfüllung des Hauptvertrags und nach Weisung des Auftraggebers.

§ 3 Weisungsrecht

Die Verarbeitung erfolgt ausschließlich auf dokumentierte Weisung; Hauptvertrag und AVV sind die Erstweisung. Weitere Weisungen sind in Textform zu richten an kontakt@aetheris-gmbh.de. Rechtswidrige Weisungen zeigt der Auftragnehmer an.

Eine Weisung, die der Auftragnehmer ohne Rückfrage ausführt, ist die Abwahl der KI-gestützten Funktionen für das Firmenkonto des Auftraggebers (siehe Anlage 1 und § 8 der AGB).

§ 4 Pflichten des Auftragnehmers

• Verarbeitung nur im Rahmen von § 2 und der Weisungen;
• Verpflichtung der befugten Personen auf Vertraulichkeit (Art. 28, 29, 32 Abs. 4 DSGVO);
• technisch-organisatorische Maßnahmen gemäß Anlage 2 (Art. 32 DSGVO);
• Unterstützung bei Betroffenenrechten, Datenpannen und Datenschutz-Folgenabschätzung (Art. 32–36 DSGVO).

§ 5 Technisch-organisatorische Maßnahmen

Siehe Anlage 2. Maßnahmen dürfen weiterentwickelt werden, sofern das Schutzniveau nicht unterschritten wird.

§ 6 Unterauftragsverhältnisse

(1) Allgemeine schriftliche Genehmigung (Art. 28 Abs. 2 DSGVO). Die aktuelle Liste steht in Anlage 3.

(2) Über neue oder geänderte Unterauftragsverarbeiter informiert der Auftragnehmer mindestens 30 Tage im Voraus; der Auftraggeber kann binnen 14 Tagen aus wichtigem Grund widersprechen, andernfalls besteht ein Sonderkündigungsrecht.

(3) Unterauftragsverarbeiter werden auf ein gleichwertiges Schutzniveau verpflichtet; außerhalb der EU/des EWR gelten die Garantien nach Art. 44 ff. DSGVO (§ 11).

§ 7 Unterstützung bei Betroffenenrechten

Der Auftragnehmer unterstützt den Auftraggeber bei Anträgen Betroffener und leitet direkt eingehende Anfragen weiter. Das gilt ausdrücklich auch für Personen, die auf einem Fotonachweis abgebildet sind oder in einem hochgeladenen Plan oder Leistungsverzeichnis benannt werden.

§ 8 Meldung von Datenschutzverletzungen

Meldung an den Auftraggeber unverzüglich, in der Regel innerhalb von 48 Stunden nach Bekanntwerden, mit den Informationen nach Art. 33 Abs. 3 DSGVO.

§ 9 Kontroll- und Nachweisrechte

Der Auftragnehmer stellt die erforderlichen Nachweise bereit (Dokumentation der technisch-organisatorischen Maßnahmen, Prüfberichte der eingesetzten Rechenzentren); erforderlichenfalls sind Audits oder Vor-Ort-Prüfungen mit angemessener Vorankündigung möglich.

§ 10 Löschung und Rückgabe

Nach Vertragsende Löschung oder Rückgabe nach Wahl des Auftraggebers, vorbehaltlich gesetzlicher Aufbewahrungspflichten. Hinweis zu finalisierten Aufmaßen: ein finalisiertes Aufmaß ist mit einem Prüfwert eingefroren und wird nicht verändert. Es kann gelöscht oder herausgegeben werden — eine Berichtigung im Bestand ist dagegen technisch nicht vorgesehen, weil sie den Nachweis zerstören würde. Erforderliche Korrekturen erfolgen durch ein neues Aufmaß.

§ 11 Ort der Verarbeitung / Drittland

Betrieb, Datenbank, Dateiablage und Sicherungen werden ausschließlich in Deutschland betrieben. Die Aufmaßdaten, Pläne, Fotos, Leistungsverzeichnisse und Rechnungen liegen dort und nirgendwo sonst.

Eine Übermittlung in ein Drittland findet nicht statt.

§ 12 Haftung & § 13 Schlussbestimmungen

Es gelten die Regelungen des Hauptvertrags und Art. 82 DSGVO. Bei Widersprüchen geht dieser AVV in Datenschutzfragen vor. Es gilt deutsches Recht; Gerichtsstand und Form richten sich nach dem Hauptvertrag. Der AVV kommt mit Annahme der AGB zustande.

Anlage 1 — Beschreibung der Verarbeitung

Art und Zweck der Verarbeitung

Cloudbasierte Bereitstellung eines Werkzeugs für Planaufmaß und Bauabrechnung. Verarbeitet wird, um: hochgeladene Pläne und Leistungsverzeichnisse zu speichern und anzuzeigen; die im Plan gesetzte Geometrie in Mengen umzurechnen; Leistungsverzeichnisse einzulesen und ihre Positionen den Datenpunkttypen zuzuordnen; ein Aufmaß mit einem Prüfwert revisionssicher einzufrieren; daraus prüffähige Unterlagen zu erzeugen (Aufmaß-Excel, Auftraggeber-Vorlagen, REB 23.003 DA11, GAEB X31, annotierter Plan als PDF, Abschlags- und Schlussrechnungen einschließlich elektronischer Rechnung); Mails aus dem Schriftverkehr zu versenden, eingehende Antworten ihrem Vorgang zuzuordnen und beides als Beleg aufzubewahren; einem Auftraggeber des Auftraggebers über einen Prüflink ein versendetes Aufmaß zur Prüfung ohne eigenes Konto bereitzustellen, seine Rückmeldung als Teilfreigaben zu übernehmen und als Beleg aufzubewahren; sowie um die Anwendung zu betreiben, zu warten, zu sichern und zu unterstützen.

Die Verarbeitung ist anlassbezogen und durch den Nutzer ausgelöst. Es gibt keine im Hintergrund laufende Auswertung, keine Profilbildung, keine Bilderkennung auf Fotonachweisen und keine Verwendung der Kundendaten für eigene Zwecke des Auftragnehmers. Einzige Ausnahme vom Anlass durch den Nutzer: Antworten auf Mails aus dem Schriftverkehr, die an das Antwortpostfach gehen, werden in kurzen Abständen abgerufen und anhand ihrer Kennung dem Vorgang zugeordnet — ohne Auswertung des Inhalts.

Kategorien betroffener Personen

• Nutzer der Software — Beschäftigte und Beauftragte des Auftraggebers mit eigenem Zugang (Inhaber, Administratoren, Mitarbeiter);
• Ansprechpartner des Auftraggebers, die in den Firmenstammdaten hinterlegt sind;
• Vertreter und Ansprechpartner der Auftraggeber des Auftraggebers — Bauherren, öffentliche Vergabestellen und deren Sachbearbeiter, soweit sie in Projekt-, Auftraggeber- oder Rechnungsdaten erfasst sind;
• Personen, die in hochgeladenen Unterlagen benannt sind — im Schriftfeld eines Plans oder im Vorblatt eines Leistungsverzeichnisses genannte Planverfasser, Architekten, Fachplaner, Bauleitung, Prüfer und Sachbearbeiter. Diese Personen wissen von der Verarbeitung regelmäßig nichts; sie sind deshalb hier ausdrücklich aufgeführt und nicht stillschweigend mitgemeint;
• Beteiligte im Schriftverkehr — Absender, Empfänger und in Mails genannte Personen, etwa Bauleitung, Ansprechpartner des Auftraggebers des Auftraggebers und Planer;
• Prüfende Personen beim Auftraggeber des Auftraggebers — wer ein Aufmaß über einen Prüflink ohne eigenes Konto prüft und dabei seinen Namen, Entscheidungen und Bemerkungen einträgt;
• auf Fotonachweisen abgebildete Personen — Beschäftigte des Auftraggebers, Beschäftigte von Nachunternehmern sowie zufällig aufgenommene Dritte auf der Baustelle.

Kategorien personenbezogener Daten

• Zugangs- und Systemdaten: E-Mail-Adresse, Name, Passwort-Hash, Rolle, Sperrkennzeichen, Anmeldezeitpunkte, IP-Adresse und Zeitstempel in Server-Logfiles, Zähler fehlgeschlagener Anmeldungen (nur im Arbeitsspeicher);
• Firmen- und Vertragsdaten des Auftraggebers: Firmen- und Markenname, Anschrift, Ansprechpartner mit E-Mail und Telefon, Umsatzsteuer-Identifikationsnummer, Steuernummer, Kennzeichen der Kleinunternehmerregelung, Bankverbindung, Zahlungsziel, Logo und Briefbogengestaltung, Vertragsstand und Tarif;
• Bauvorhaben- und Auftraggeberdaten: Bezeichnung, Beschreibung und Anschrift der Baustelle, Bauherr, Auftragsnummer, Vergabestelle sowie Name, Anschrift, Land, Umsatzsteuer-Identifikationsnummer und Leitweg-ID des Auftraggebers;
• Inhalte hochgeladener Dateien: Pläne (PDF), Leistungsverzeichnisse (GAEB-XML, GAEB 90, Excel, CSV, Word, PDF, Bild), Excel-Vorlagen des Betriebs — einschließlich der darin enthaltenen Namen, Anschriften und Kontaktdaten, deren Umfang der Auftraggeber bestimmt;
• Aufmaß- und Geometriedaten: Datenpunkte, Leitungen, Trassen und Flächen mit Bezeichnungen und Notizen, Kalibrierung, LV-Zuordnung, Bearbeitungsstand, Prüfwert des finalisierten Schnappschusses samt Zeitpunkt und handelndem Benutzer;
• Schriftverkehr: gesendete und eingegangene Mails mit Absender, Empfängern, Kopieempfängern, Betreff, Text, Anlagen, Zeitpunkten, technischen Kennungen und Prüfsumme;
• Prüflink und Prüfung durch den Auftraggeber des Auftraggebers: Prüfwert des Links (nicht der Link selbst), Ablauf-, Verwendungs- und Widerrufszeitpunkt, erzeugender Benutzer; Name der prüfenden Person, Entscheidung, anerkannte Menge und Bemerkung je Position, Gesamtkommentar, Zeitpunkt und ein mit geheimem Schlüssel gebildeter Prüfwert der IP-Adresse;
• Bilddaten: Fotonachweise zu Datenpunkten, einschließlich darauf erkennbarer Personen;
• Abrechnungsdaten: Rechnungsnummer und -art, Empfängerdaten, Positionen als Schnappschuss, Netto-, Steuer- und Bruttobeträge, Sicherheitseinbehalt, Fälligkeit, Zahlungsstand und -datum, Anzahl der Mahnungen, erzeugtes PDF und eingebettete elektronische Rechnung;
• Protokolldaten der KI-Läufe: Dateiname, Fortschritt, Anzahl der Anfragen und verbrauchte Token.

Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO)

Die Verarbeitung besonderer Kategorien ist nicht vorgesehen, und die Software stellt dafür kein Feld bereit. Der Auftraggeber ist nach § 4 Abs. 4 der AGB verpflichtet, solche Daten nicht einzustellen. Sollte ein Fotonachweis im Einzelfall Angaben erkennbar machen, die unter Art. 9 DSGVO fallen, geschieht das ohne Absicht und ohne Zweckbestimmung des Auftragnehmers; der Auftraggeber kann die Datei jederzeit löschen.

Verarbeitung durch ein KI-Sprachmodell

KI-gestützte Auswertung. Findet nicht statt; der technisch vorhandene Weg ist abgeschaltet.

Anlage 2 — Technische und organisatorische Maßnahmen

Vertraulichkeit

• Betrieb in zertifizierten Rechenzentren in Deutschland (Hetzner Online GmbH) mit physischer Zutrittssicherung; die technischen und organisatorischen Maßnahmen der Rechenzentren wurden am 19.02.2026 von der TÜV Rheinland i-sec GmbH geprüft (Bericht 63017991-01, Standorte Nürnberg und Falkenstein);
• individuelle Zugänge, Anmeldung über Passwort und Zugangstoken (JWT) mit begrenzter Gültigkeit; Passwörter ausschließlich als bcrypt-Hash;
• Entwertung aller bestehenden Zugangstoken bei Passwortwechsel und bei „überall abmelden“;
• Sperre nach acht fehlgeschlagenen Anmeldungen, gezählt an E-Mail-Adresse und Herkunfts-IP — damit die Sperre nicht selbst als Angriff gegen einen Zugang benutzbar ist;
• rollenbasiertes Berechtigungskonzept (Inhaber, Administrator, Mitarbeiter) und ein eigener Riegel für die kostenpflichtigen Funktionen;
• strikte Mandantentrennung auf jeder Abfrage: der Mandant wird nicht aus einem Parameter der Anfrage, sondern aus dem Zugangstoken bestimmt;
• Transportverschlüsselung (TLS) für alle Verbindungen;
• keine Nachladung von fremden Servern (Schriften und Bibliotheken werden selbst ausgeliefert), abgesichert durch eine Content-Security-Policy;
• der Zugangsschlüssel für das KI-Sprachmodell bleibt serverseitig; er wird nicht an den Browser gegeben und nicht protokolliert — auch nicht gekürzt und auch nicht im Fehlerfall.

Integrität & Verfügbarkeit

• Prüfwert (SHA-256) über den finalisierten Aufmaß-Schnappschuss: eine nachträgliche Änderung fällt auf, weil der Wert nicht mehr passt;
• Mengen werden ausschließlich serverseitig aus der Geometrie berechnet, nie im Browser — damit sind sie nicht durch Eingriffe im Browser beeinflussbar;
• harte Obergrenzen für Dateigrößen und Seitenzahlen; fremde XML-Dateien werden nur mit einem gegen XML-Angriffe (XXE, Entitäten-Bomben) gehärteten Parser gelesen;
• zwei unabhängige Riegel gegen das Ausbrechen aus dem Ablageverzeichnis über einen manipulierten Dateinamen;
• Kappungen und Unvollständigkeiten werden gemeldet und nicht stillschweigend übergangen — ein halbes Leistungsverzeichnis, das wie ein ganzes aussieht, gilt hier als Fehler;
• Rechenzentrums-Schutzmaßnahmen (unterbrechungsfreie Stromversorgung, Brand-, Klima- und Zutrittsschutz), regelmäßige Sicherungen.

Verfahren zur Überprüfung

• Auftragskontrolle und Verpflichtung der Unterauftragsverarbeiter, Datenschutz-Management, geregelte Behandlung von Anfragen und Datenpannen;
• automatisierte Prüfung des Quellstands bei jeder Änderung, einschließlich eines Wächters, der die Nachladung von fremden Servern im Frontend verhindert.

Anlage 3 — Unterauftragsverarbeiter

Hetzner Online GmbH: Auftragsverarbeitungsvertrag nach Art. 28 DSGVO geschlossen (Fassung 1.2 vom 16.02.2026); nach § 3 Abs. 1 des Vertrags findet die Verarbeitung ausschließlich in der EU bzw. im EWR statt. Die technischen und organisatorischen Maßnahmen der Rechenzentren wurden am 19.02.2026 von der TÜV Rheinland i-sec GmbH geprüft (Bericht 63017991-01, Standorte Nürnberg und Falkenstein) — ohne festgestellte Abweichungen.

Anthropic PBC: Derzeit nicht eingebunden — die Funktion ist abschaltbar und abgeschaltet (ANTHROPIC_API_KEY nicht gesetzt). Bei Einbindung gilt: Eingebunden über die Programmierschnittstelle des Anbieters; die Verarbeitung erfolgt in den USA. Grundlage der Übermittlung sind die Standarddatenschutzklauseln der EU-Kommission (Art. 46 Abs. 2 lit. c DSGVO) in der Fassung, die den Geschäftsbedingungen für die gewerbliche Nutzung der Schnittstelle beiliegt; nach diesen Bedingungen werden übermittelte Inhalte nicht zum Trainieren von Modellen verwendet. Übermittelt wird nur, was für die Auswertung nötig ist — der Zugangsschlüssel bleibt serverseitig und wird nicht protokolliert.

netcup GmbH: Verarbeitung in der EU. netcup ist ausschließlich für den Versand und Empfang von E-Mails eingebunden — nicht für den Betrieb der Anwendung oder die Speicherung der Aufmaß-, Plan- und Abrechnungsdaten. Übermittelt werden Absender-, Empfänger- und Kopieadressen sowie Inhalt und Anlagen der Nachricht; Antworten liegen bis zum Abruf im Antwortpostfach. Die Verbindungen sind verschlüsselt (STARTTLS bzw. TLS).

Ein Zahlungsdienstleister ist nicht eingebunden; Zahlungen wickelt der Aetheris Account Service ab. Kommt ein weiterer Unterauftragsverarbeiter hinzu, wird diese Anlage nach § 6 Abs. 2 mit 30 Tagen Vorlauf ergänzt.