Auftragsverarbeitungsvertrag

Stand: 19.10.2026

zwischen dem Kunden als Verantwortlichem („Auftraggeber“) und Aufmetra – Inhaber Sebastian Alexander Voß als Auftragsverarbeiter („Auftragnehmer“).

1. Gegenstand und Dauer

1. Gegenstand ist die Verarbeitung personenbezogener Daten durch den Auftragnehmer bei der Bereitstellung von Aufmetra nach den Allgemeinen Geschäftsbedingungen (Hauptvertrag).
2. Die Dauer entspricht der Laufzeit des Hauptvertrags. Die Pflichten zur Rückgabe und Löschung (Ziffer 11) gelten darüber hinaus.

2. Art und Zweck der Verarbeitung

Empfangen (Upload), Speichern, Aufbereiten in abgeschotteten Containern, Auswerten (auch per KI), Anzeigen und Exportieren der vom Auftraggeber hochgeladenen Pläne, Leistungsverzeichnisse und Angaben zu Bauvorhaben; Ermitteln von Mengen mit Rechenansätzen und Quellenangaben; Stellen und Auswerten von Rückfragen; Führen eines Änderungsprotokolls der Korrekturen; Erstellen von Exporten (PDF, Excel, GAEB DA XML X31); Zugriff auf Aufträge mit dokumentierter Begründung zur Bearbeitung von Anfragen und Störungen; Datensicherung. Zweck ist ausschließlich die Unterstützung des Auftraggebers bei der Ermittlung von Mengen aus seinen Plänen.

3. Art der Daten und Kategorien betroffener Personen

Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO) sind nicht Gegenstand der Verarbeitung; der Auftraggeber vermeidet Unterlagen mit solchen Daten. Die Konto- und Vertragsdaten der Nutzer verarbeitet der Auftragnehmer als eigener Verantwortlicher (siehe Datenschutzerklärung).

4. Weisungen

1. Der Auftragnehmer verarbeitet die Daten nur auf dokumentierte Weisung des Auftraggebers, auch in Bezug auf Übermittlungen in Drittländer, sofern er nicht durch das Recht der Union oder eines Mitgliedstaats zur Verarbeitung verpflichtet ist; in diesem Fall teilt er dem Auftraggeber diese Anforderung vor der Verarbeitung mit, sofern das Recht dies nicht verbietet.
2. Die Weisungen ergeben sich aus diesem Vertrag, dem Hauptvertrag und der Nutzung der Funktionen der Anwendung durch den Auftraggeber. Weitere Weisungen erteilt der Auftraggeber in Textform.
3. Hält der Auftragnehmer eine Weisung für rechtswidrig, weist er den Auftraggeber unverzüglich darauf hin und darf die Ausführung bis zur Bestätigung aussetzen.

5. Vertraulichkeit

Der Auftragnehmer setzt nur Personen ein, die zur Vertraulichkeit verpflichtet sind oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen, und gewährt Zugriff auf Daten des Auftraggebers nur, soweit es für die Leistung erforderlich ist.

6. Technische und organisatorische Maßnahmen

Der Auftragnehmer trifft die Maßnahmen nach Art. 32 DSGVO, die in den technischen und organisatorischen Maßnahmen (Anlage) beschrieben sind. Er darf sie dem technischen Fortschritt anpassen; das Schutzniveau darf dabei nicht unterschritten werden.

7. Unterauftragsverarbeiter

1. Der Auftraggeber genehmigt die in der Liste der Unterauftragsverarbeiter genannten Dienstleister (allgemeine schriftliche Genehmigung nach Art. 28 Abs. 2 DSGVO).
2. Der Auftragnehmer informiert den Auftraggeber mindestens 30 Tage vor jeder beabsichtigten Hinzuziehung oder Ersetzung eines Unterauftragsverarbeiters in Textform. Der Auftraggeber kann aus wichtigem datenschutzrechtlichem Grund innerhalb dieser Frist widersprechen. Kann der Auftragnehmer den Einwand nicht ausräumen, kann jede Partei den Hauptvertrag zum Zeitpunkt der Änderung kündigen.
3. Der Auftragnehmer erlegt jedem Unterauftragsverarbeiter vertraglich Datenschutzpflichten auf, die den Pflichten dieses Vertrags im Wesentlichen entsprechen, und haftet für dessen Einhaltung nach Art. 28 Abs. 4 DSGVO.

8. Drittlandübermittlung

Eine Übermittlung in ein Land außerhalb der EU bzw. des EWR erfolgt nur, wenn die Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind. Für die KI-gestützte Mengenermittlung werden die aufbereiteten Pläne und die dafür erforderlichen Auftragsangaben an Anthropic übermittelt; Anthropic speichert sie in den USA, die Berechnung kann auch in Rechenzentren in Europa, Asien oder Australien erfolgen. Grundlage sind die EU-Standardvertragsklauseln (Modul 3, Auftragsverarbeiter an Unterauftragsverarbeiter) im Datenverarbeitungszusatz von Anthropic; Anthropic löscht Eingaben und Ergebnisse innerhalb von 30 Tagen und verwendet sie nicht zum Training. Der Auftragnehmer hat die Übermittlung bewertet und stellt dem Auftraggeber die Bewertung und die Klauseln auf Anfrage zur Verfügung.

9. Unterstützung des Auftraggebers

1. Der Auftragnehmer unterstützt den Auftraggeber mit geeigneten technischen und organisatorischen Maßnahmen bei der Beantwortung von Anträgen betroffener Personen (Art. 12 bis 23 DSGVO). Erreicht ein solcher Antrag den Auftragnehmer, leitet er ihn unverzüglich an den Auftraggeber weiter und beantwortet ihn nicht selbst.
2. Er unterstützt den Auftraggeber bei den Pflichten nach Art. 32 bis 36 DSGVO (Sicherheit, Meldung von Verletzungen, Datenschutz-Folgenabschätzung, vorherige Konsultation), soweit ihm dies unter Berücksichtigung der Art der Verarbeitung und der verfügbaren Informationen möglich ist.

10. Meldung von Verletzungen

Der Auftragnehmer meldet dem Auftraggeber eine Verletzung des Schutzes personenbezogener Daten unverzüglich, möglichst innerhalb von 24 Stunden, nachdem sie ihm bekannt geworden ist. Die Meldung enthält, soweit verfügbar, die Angaben nach Art. 33 Abs. 3 DSGVO; fehlende Angaben werden unverzüglich nachgereicht. Der Auftragnehmer ergreift unverzüglich die erforderlichen Maßnahmen zur Sicherung der Daten und zur Minderung möglicher nachteiliger Folgen und dokumentiert den Vorfall.

11. Rückgabe und Löschung

1. Während der Laufzeit kann der Auftraggeber das Aufmaß jedes Auftrags als PDF-Aufmaßblatt, Excel-Datei und GAEB DA XML X31 exportieren; auf Anforderung erhält er die von ihm hochgeladenen Originaldateien.
2. Löscht der Auftraggeber einen Auftrag oder das Firmenkonto in der Anwendung, löscht der Auftragnehmer die zugehörigen personenbezogenen Daten und Dateien unverzüglich, sofern nicht nach dem Unionsrecht oder dem Recht der Bundesrepublik Deutschland eine Verpflichtung zur Speicherung besteht. Endet der Hauptvertrag auf andere Weise, hat der Auftraggeber 30 Tage Zeit, seine Daten abzurufen; danach löscht der Auftragnehmer alle personenbezogenen Daten des Auftraggebers innerhalb von weiteren 30 Tagen. Kopien in Datensicherungen werden mit deren Ablauf gelöscht und bis dahin nicht mehr verwendet.
3. Im Übrigen löscht der Auftragnehmer auf Weisung in Textform. Die Löschung wird dem Auftraggeber auf Anfrage in Textform bestätigt.

12. Nachweise und Überprüfungen

1. Der Auftragnehmer stellt dem Auftraggeber alle erforderlichen Informationen zum Nachweis der Einhaltung der Pflichten aus Art. 28 DSGVO zur Verfügung.
2. Er ermöglicht Überprüfungen einschließlich Inspektionen durch den Auftraggeber oder einen von ihm beauftragten, zur Verschwiegenheit verpflichteten Prüfer, der kein Wettbewerber des Auftragnehmers ist, nach rechtzeitiger Ankündigung (in der Regel 14 Tage) während der üblichen Geschäftszeiten und ohne Störung des Betriebs. Inspektionen in Rechenzentren richten sich nach den Bedingungen der jeweiligen Unterauftragsverarbeiter; dort genügen in der Regel deren Nachweise und Zertifikate.

13. Haftung und Schlussbestimmungen

Für die Haftung gilt Art. 82 DSGVO; im Übrigen gelten die Regelungen des Hauptvertrags. Bei Widersprüchen geht dieser Vertrag dem Hauptvertrag in Fragen des Datenschutzes vor. Änderungen und Ergänzungen bedürfen der Textform.

Anlagen

• Anlage 1: Technische und organisatorische Maßnahmen
• Anlage 2: Unterauftragsverarbeiter

Abschluss

Der Auftraggeber schließt diesen Vertrag zusammen mit den AGB bei der Registrierung des Firmenkontos ab. Auf Wunsch kann der Vertrag auch in Textform geschlossen werden; nutzen Sie dafür die Druck- bzw. PDF-Funktion dieser Seite.

Drucken oder als PDF speichern Fragen? Kontakt aufnehmen