Auftragsverarbeitungsvertrag (AVV)

Verarbeitung im Auftrag gemäß Art. 28 DSGVO · Aetheris GmbH i. G. · für die SaaS-Lösung SynergyScope · Stand: 13.08.2026

Vertragsparteien

§ 1 Gegenstand und Dauer

Gegenstand ist die Verarbeitung personenbezogener Daten durch den Auftragnehmer im Auftrag des Auftraggebers im Rahmen der Bereitstellung von SynergyScope (Planaufmaß, Mengenermittlung, Einlesen von Leistungsverzeichnissen, Erzeugung prüffähiger Aufmaß- und Abrechnungsunterlagen). Die Dauer entspricht der Laufzeit des Hauptvertrags ab Vertragsabschluss.

§ 2 Art, Umfang und Zweck

Art, Umfang, Zweck, Datenarten und Kategorien Betroffener ergeben sich aus Anlage 1. Die Verarbeitung erfolgt nur zur Erfüllung des Hauptvertrags und nach Weisung des Auftraggebers.

§ 3 Weisungsrecht

Die Verarbeitung erfolgt ausschließlich auf dokumentierte Weisung; Hauptvertrag und AVV sind die Erstweisung. Weitere Weisungen sind in Textform zu richten an kontakt@aetheris-gmbh.de. Rechtswidrige Weisungen zeigt der Auftragnehmer an.

Eine Weisung, die der Auftragnehmer ohne Rückfrage ausführt, ist die Abwahl der KI-gestützten Funktionen für das Firmenkonto des Auftraggebers (siehe Anlage 1 und § 8 der AGB).

§ 4 Pflichten des Auftragnehmers

• Verarbeitung nur im Rahmen von § 2 und der Weisungen;
• Verpflichtung der befugten Personen auf Vertraulichkeit (Art. 28, 29, 32 Abs. 4 DSGVO);
• technisch-organisatorische Maßnahmen gemäß Anlage 2 (Art. 32 DSGVO);
• Unterstützung bei Betroffenenrechten, Datenpannen und Datenschutz-Folgenabschätzung (Art. 32–36 DSGVO).

§ 5 Technisch-organisatorische Maßnahmen

Siehe Anlage 2. Maßnahmen dürfen weiterentwickelt werden, sofern das Schutzniveau nicht unterschritten wird.

§ 6 Unterauftragsverhältnisse

(1) Allgemeine schriftliche Genehmigung (Art. 28 Abs. 2 DSGVO). Die aktuelle Liste steht in Anlage 3.

(2) Über neue oder geänderte Unterauftragsverarbeiter informiert der Auftragnehmer mindestens 30 Tage im Voraus; der Auftraggeber kann binnen 14 Tagen aus wichtigem Grund widersprechen, andernfalls besteht ein Sonderkündigungsrecht.

(3) Unterauftragsverarbeiter werden auf ein gleichwertiges Schutzniveau verpflichtet; außerhalb der EU/des EWR gelten die Garantien nach Art. 44 ff. DSGVO (§ 11).

§ 7 Unterstützung bei Betroffenenrechten

Der Auftragnehmer unterstützt den Auftraggeber bei Anträgen Betroffener und leitet direkt eingehende Anfragen weiter. Das gilt ausdrücklich auch für Personen, die auf einem Fotonachweis abgebildet sind oder in einem hochgeladenen Plan oder Leistungsverzeichnis benannt werden.

§ 8 Meldung von Datenschutzverletzungen

Meldung an den Auftraggeber unverzüglich, in der Regel innerhalb von 48 Stunden nach Bekanntwerden, mit den Informationen nach Art. 33 Abs. 3 DSGVO.

§ 9 Kontroll- und Nachweisrechte

Der Auftragnehmer stellt die erforderlichen Nachweise bereit (Dokumentation der technisch-organisatorischen Maßnahmen, Prüfberichte der eingesetzten Rechenzentren); erforderlichenfalls sind Audits oder Vor-Ort-Prüfungen mit angemessener Vorankündigung möglich.

§ 10 Löschung und Rückgabe

Nach Vertragsende Löschung oder Rückgabe nach Wahl des Auftraggebers, vorbehaltlich gesetzlicher Aufbewahrungspflichten. Hinweis zu finalisierten Aufmaßen: ein finalisiertes Aufmaß ist mit einem Prüfwert eingefroren und wird nicht verändert. Es kann gelöscht oder herausgegeben werden — eine Berichtigung im Bestand ist dagegen technisch nicht vorgesehen, weil sie den Nachweis zerstören würde. Erforderliche Korrekturen erfolgen durch ein neues Aufmaß.

§ 11 Ort der Verarbeitung / Drittland

Betrieb, Datenbank, Dateiablage und Sicherungen werden ausschließlich in Deutschland betrieben. Die Aufmaßdaten, Pläne, Fotos, Leistungsverzeichnisse und Rechnungen liegen dort und nirgendwo sonst.

Eine Ausnahme gibt es, und sie ist keine Formalie: wird das KI-gestützte Einlesen eines Leistungsverzeichnisses benutzt, werden die Inhalte der hochgeladenen Datei an Anthropic PBC in die USA übermittelt. Das ist eine Übermittlung in ein Drittland ohne Angemessenheitsbeschluss für den Empfänger; Grundlage sind die Standarddatenschutzklauseln der EU-Kommission (Art. 46 Abs. 2 lit. c DSGVO). Umfang, Zeitpunkt und Abschaltung sind im Abschnitt „KI-gestütztes Einlesen von Leistungsverzeichnissen“ beschrieben. Ohne Nutzung dieser Funktion verlässt kein Datum die EU.

Klarstellung zum Hoster: Die Unterauftragnehmer-Liste von Hetzner Online GmbH nennt auch Stellen in den USA und in Singapur. Diese betreffen ausschließlich Kunden mit dortigem Serverstandort. Die Server für SynergyScope stehen in Deutschland; Daten aus SynergyScope erreichen diese Stellen nicht.

§ 12 Haftung & § 13 Schlussbestimmungen

Es gelten die Regelungen des Hauptvertrags und Art. 82 DSGVO. Bei Widersprüchen geht dieser AVV in Datenschutzfragen vor. Es gilt deutsches Recht; Gerichtsstand und Form richten sich nach dem Hauptvertrag. Der AVV kommt mit Annahme der AGB zustande.

Anlage 1 — Beschreibung der Verarbeitung

Art und Zweck der Verarbeitung

Cloudbasierte Bereitstellung eines Werkzeugs für Planaufmaß und Bauabrechnung. Verarbeitet wird, um: hochgeladene Pläne und Leistungsverzeichnisse zu speichern und anzuzeigen; die im Plan gesetzte Geometrie in Mengen umzurechnen; Leistungsverzeichnisse einzulesen und ihre Positionen den Datenpunkttypen zuzuordnen; ein Aufmaß mit einem Prüfwert revisionssicher einzufrieren; daraus prüffähige Unterlagen zu erzeugen (Aufmaß-Excel, Auftraggeber-Vorlagen, REB 23.003 DA11, GAEB X31, annotierter Plan als PDF, Abschlags- und Schlussrechnungen einschließlich elektronischer Rechnung); sowie um die Anwendung zu betreiben, zu warten, zu sichern und zu unterstützen.

Die Verarbeitung ist anlassbezogen und durch den Nutzer ausgelöst. Es gibt keine im Hintergrund laufende Auswertung, keine Profilbildung, keine Bilderkennung auf Fotonachweisen und keine Verwendung der Kundendaten für eigene Zwecke des Auftragnehmers.

Kategorien betroffener Personen

• Nutzer der Software — Beschäftigte und Beauftragte des Auftraggebers mit eigenem Zugang (Inhaber, Administratoren, Mitarbeiter);
• Ansprechpartner des Auftraggebers, die in den Firmenstammdaten hinterlegt sind;
• Vertreter und Ansprechpartner der Auftraggeber des Auftraggebers — Bauherren, öffentliche Vergabestellen und deren Sachbearbeiter, soweit sie in Projekt-, Auftraggeber- oder Rechnungsdaten erfasst sind;
• Personen, die in hochgeladenen Unterlagen benannt sind — im Schriftfeld eines Plans oder im Vorblatt eines Leistungsverzeichnisses genannte Planverfasser, Architekten, Fachplaner, Bauleitung, Prüfer und Sachbearbeiter. Diese Personen wissen von der Verarbeitung regelmäßig nichts; sie sind deshalb hier ausdrücklich aufgeführt und nicht stillschweigend mitgemeint;
• auf Fotonachweisen abgebildete Personen — Beschäftigte des Auftraggebers, Beschäftigte von Nachunternehmern sowie zufällig aufgenommene Dritte auf der Baustelle.

Kategorien personenbezogener Daten

• Zugangs- und Systemdaten: E-Mail-Adresse, Name, Passwort-Hash, Rolle, Sperrkennzeichen, Anmeldezeitpunkte, IP-Adresse und Zeitstempel in Server-Logfiles, Zähler fehlgeschlagener Anmeldungen (nur im Arbeitsspeicher);
• Firmen- und Vertragsdaten des Auftraggebers: Firmen- und Markenname, Anschrift, Ansprechpartner mit E-Mail und Telefon, Umsatzsteuer-Identifikationsnummer, Steuernummer, Kennzeichen der Kleinunternehmerregelung, Bankverbindung, Zahlungsziel, Logo und Briefbogengestaltung, Vertragsstand und Tarif;
• Bauvorhaben- und Auftraggeberdaten: Bezeichnung, Beschreibung und Anschrift der Baustelle, Bauherr, Auftragsnummer, Vergabestelle sowie Name, Anschrift, Land, Umsatzsteuer-Identifikationsnummer und Leitweg-ID des Auftraggebers;
• Inhalte hochgeladener Dateien: Pläne (PDF), Leistungsverzeichnisse (GAEB-XML, GAEB 90, Excel, CSV, Word, PDF, Bild), Excel-Vorlagen des Betriebs — einschließlich der darin enthaltenen Namen, Anschriften und Kontaktdaten, deren Umfang der Auftraggeber bestimmt;
• Aufmaß- und Geometriedaten: Datenpunkte, Leitungen, Trassen und Flächen mit Bezeichnungen und Notizen, Kalibrierung, LV-Zuordnung, Bearbeitungsstand, Prüfwert des finalisierten Schnappschusses samt Zeitpunkt und handelndem Benutzer;
• Bilddaten: Fotonachweise zu Datenpunkten, einschließlich darauf erkennbarer Personen;
• Abrechnungsdaten: Rechnungsnummer und -art, Empfängerdaten, Positionen als Schnappschuss, Netto-, Steuer- und Bruttobeträge, Sicherheitseinbehalt, Fälligkeit, Zahlungsstand und -datum, Anzahl der Mahnungen, erzeugtes PDF und eingebettete elektronische Rechnung;
• Protokolldaten der KI-Läufe: Dateiname, Fortschritt, Anzahl der Anfragen und verbrauchte Token.

Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO)

Die Verarbeitung besonderer Kategorien ist nicht vorgesehen, und die Software stellt dafür kein Feld bereit. Der Auftraggeber ist nach § 4 Abs. 4 der AGB verpflichtet, solche Daten nicht einzustellen. Sollte ein Fotonachweis im Einzelfall Angaben erkennbar machen, die unter Art. 9 DSGVO fallen, geschieht das ohne Absicht und ohne Zweckbestimmung des Auftragnehmers; der Auftraggeber kann die Datei jederzeit löschen.

Verarbeitung durch ein KI-Sprachmodell

KI-gestütztes Einlesen von Leistungsverzeichnissen. Auf ausdrückliche Handlung eines Nutzers des Auftraggebers wird der Textinhalt einer hochgeladenen LV-Datei — bei Scans zusätzlich Bilder der ersten 8 Seiten — an Anthropic PBC (USA) übermittelt und dort in Positionen strukturiert. Bei der Positionszuordnung gehen nur Ordnungszahl und gekürzter Kurztext. Soweit in diesen Unterlagen personenbezogene Daten stehen (Ansprechpartner der Vergabestelle, Bauleitung, Planverfasser), sind sie von dieser Übermittlung mit erfasst. Anthropic PBC ist als Unterauftragsverarbeiter in Anlage 3 geführt; zur Übermittlung in die USA siehe § 11.

Die Funktion ist vollständig abschaltbar und hängt an einem einzigen Zugangsschlüssel (Umgebungsvariable ANTHROPIC_API_KEY). Ist dieser leer, findet kein Aufruf statt; die Prüfung erfolgt vor jeder Verarbeitung. Der Auftraggeber kann die Funktion für sein Firmenkonto abwählen — eine Weisung in Textform nach § 3 genügt, und der Auftragnehmer führt sie ohne Rückfrage aus. Die regelbasierten Einlesewege (GAEB, GAEB 90, Excel, CSV) arbeiten ohne jede Übermittlung.

Anlage 2 — Technische und organisatorische Maßnahmen

Vertraulichkeit

• Betrieb in zertifizierten Rechenzentren in Deutschland (Hetzner Online GmbH) mit physischer Zutrittssicherung; die technischen und organisatorischen Maßnahmen wurden am 19.02.2026 durch die TÜV Rheinland i-sec GmbH geprüft;
• individuelle Zugänge, Anmeldung über Passwort und Zugangstoken (JWT) mit begrenzter Gültigkeit; Passwörter ausschließlich als bcrypt-Hash;
• Entwertung aller bestehenden Zugangstoken bei Passwortwechsel und bei „überall abmelden“;
• Sperre nach acht fehlgeschlagenen Anmeldungen, gezählt an E-Mail-Adresse und Herkunfts-IP — damit die Sperre nicht selbst als Angriff gegen einen Zugang benutzbar ist;
• rollenbasiertes Berechtigungskonzept (Inhaber, Administrator, Mitarbeiter) und ein eigener Riegel für die kostenpflichtigen Funktionen;
• strikte Mandantentrennung auf jeder Abfrage: der Mandant wird nicht aus einem Parameter der Anfrage, sondern aus dem Zugangstoken bestimmt;
• Transportverschlüsselung (TLS) für alle Verbindungen;
• keine Nachladung von fremden Servern (Schriften und Bibliotheken werden selbst ausgeliefert), abgesichert durch eine Content-Security-Policy;
• der Zugangsschlüssel für das KI-Sprachmodell bleibt serverseitig; er wird nicht an den Browser gegeben und nicht protokolliert — auch nicht gekürzt und auch nicht im Fehlerfall.

Integrität & Verfügbarkeit

• Prüfwert (SHA-256) über den finalisierten Aufmaß-Schnappschuss: eine nachträgliche Änderung fällt auf, weil der Wert nicht mehr passt;
• Mengen werden ausschließlich serverseitig aus der Geometrie berechnet, nie im Browser — damit sind sie nicht durch Eingriffe im Browser beeinflussbar;
• harte Obergrenzen für Dateigrößen und Seitenzahlen; fremde XML-Dateien werden nur mit einem gegen XML-Angriffe (XXE, Entitäten-Bomben) gehärteten Parser gelesen;
• zwei unabhängige Riegel gegen das Ausbrechen aus dem Ablageverzeichnis über einen manipulierten Dateinamen;
• Kappungen und Unvollständigkeiten werden gemeldet und nicht stillschweigend übergangen — ein halbes Leistungsverzeichnis, das wie ein ganzes aussieht, gilt hier als Fehler;
• Rechenzentrums-Schutzmaßnahmen (unterbrechungsfreie Stromversorgung, Brand-, Klima- und Zutrittsschutz), regelmäßige Sicherungen.

Verfahren zur Überprüfung

• Auftragskontrolle und Verpflichtung der Unterauftragsverarbeiter, Datenschutz-Management, geregelte Behandlung von Anfragen und Datenpannen;
• automatisierte Prüfung des Quellstands bei jeder Änderung, einschließlich eines Wächters, der die Nachladung von fremden Servern im Frontend verhindert.

Anlage 3 — Unterauftragsverarbeiter

Hetzner Online GmbH: Auftragsverarbeitungsvertrag nach Art. 28 DSGVO geschlossen (Fassung 1.2 vom 16.02.2026); nach § 3 Abs. 1 des Vertrags findet die Verarbeitung ausschließlich in der EU bzw. im EWR statt. Die technischen und organisatorischen Maßnahmen der Rechenzentren wurden am 19.02.2026 von der TÜV Rheinland i-sec GmbH geprüft (Bericht 63017991-01, Standorte Nürnberg und Falkenstein) — ohne festgestellte Abweichungen.

Anthropic PBC: Eingebunden über die Programmierschnittstelle des Anbieters; die Verarbeitung erfolgt in den USA. Grundlage der Übermittlung sind die Standarddatenschutzklauseln der EU-Kommission (Art. 46 Abs. 2 lit. c DSGVO) in der Fassung, die den Geschäftsbedingungen für die gewerbliche Nutzung der Schnittstelle beiliegt; nach diesen Bedingungen werden übermittelte Inhalte nicht zum Trainieren von Modellen verwendet. Übermittelt wird nur, was für die Auswertung nötig ist — der Zugangsschlüssel bleibt serverseitig und wird nicht protokolliert.

Ein Zahlungsdienstleister und ein Mailversand-Dienstleister sind nicht eingebunden. Sobald sich daran etwas ändert, wird diese Anlage nach § 6 Abs. 2 mit 30 Tagen Vorlauf ergänzt.