Vereinbarung zur Auftragsverarbeitung

Soweit der Anbieter personenbezogene Daten verarbeitet, die der Kunde in den Dienst eingibt oder die der Dienst auf seine Weisung erhält, ist der Kunde Verantwortlicher und der Anbieter Auftragsverarbeiter nach Art. 28 DSGVO. Diese Vereinbarung ist Bestandteil des Vertrags; maßgeblich ist Art. 12 der tschechischen Obchodní podmínky.

• Gegenstand und Dauer: Verarbeitung zur Erbringung des Dienstes für die Vertragsdauer und die Fristen für Export und Löschung (nach Ende des bezahlten Zeitraums 7 Tage voller Zugriff, dann 30 Tage schreibgeschützt, Löschung spätestens 90 Tage nach Ende des bezahlten Zeitraums).
• Art der Verarbeitung: Speicherung und Sicherung, Anzeige und Berechnungen (Zeiterfassung, Löhne, Kalkulationen), Erstellung von Dokumenten, Versand von E-Mails und Benachrichtigungen auf Weisung des Kunden, Freigabe über Links für Kunden des Kunden, Empfang von Anfragen, Geokodierung von Adressen und vom Kunden eingeschaltete Anbindungen.
• Betroffene und Datenkategorien: Mitarbeiter, Kunden, Interessenten und Lieferanten des Kunden; Identifikations- und Kontaktdaten, Arbeitsdaten (Stundensätze, Arbeitszeiten, Löhne, Abwesenheiten einschließlich Arbeitsunfähigkeit als Gesundheitsdaten nach Art. 9 DSGVO), Standort im Moment der Kommen-/Gehen-Buchung, Baustellenstandorte, Fotos und Dokumente, Chatnachrichten, Daten in Angeboten, Rechnungen und Bankbewegungen, Annahmedaten von Angeboten (Name, Unterschrift, Zeit, IP-Adresse, Browser), Anfragen, Anmelde- und Audit-Protokolle.
• Weisungen: Verarbeitung nur auf dokumentierte Weisung des Kunden (diese AGB, Einstellungen und Nutzung des Dienstes), einschließlich Übermittlungen in Drittländer; vom Kunden selbst angebundene Werkzeuge (API, Bankanbindung, Kalenderabo) sind Weisungen des Kunden und keine Unterauftragsverarbeiter des Anbieters.
• E-Mails an Kunden des Kunden: Versand auf Weisung des Kunden über den E-Mail-Dienstleister des Anbieters (Absender ist der Name des Kunden mit der Adresse des Dienstes, Antworten gehen an den Kunden) oder – wenn der Kunde dies verbindet – über den Mailserver des Kunden von dessen Adresse; der Anbieter dieses Servers ist Weisung des Kunden und kein Unterauftragsverarbeiter des Anbieters. Fällt der Server des Kunden aus, sendet der Anbieter die E-Mail über seinen Dienstleister und informiert den Kunden. Nachrichten und Anhänge, die Kunden des Kunden über die Baustellenseite senden, verarbeitet der Anbieter wie die übrigen Daten des Kunden.
• Vertraulichkeit und Sicherheit (Art. 32 DSGVO): Zugriff nur für zur Vertraulichkeit verpflichtete Personen; verschlüsselte Übertragung, getrennte Daten je Firma, Rollenrechte, Zwei-Faktor-Anmeldung für Administratoren, Audit-Protokoll, Verschlüsselung sensibler Zugangsdaten, tägliche geprüfte Sicherungen auf dem Server. Einsicht des Supports nur lesend, höchstens 30 Minuten und im Verlauf der Firma protokolliert.
• Unterauftragsverarbeiter: allgemeine Genehmigung für folgende Kategorien: Hosting mit Sitz und Servern in Tschechien, E-Mail-Dienst (Tschechien), Benachrichtigungsdienste der Betreiber mobiler Plattformen und Browser (ggf. USA), Anbieter des Sprachmodells für den Planungsassistenten (USA), Adress- und Kartendienste (Tschechien, Vereinigtes Königreich). Aktuelle Liste: mujstavebnik.cz/zpracovatele. Änderungen kündigt der Anbieter mindestens 30 Tage vorher per E-Mail an; der Kunde kann widersprechen und, wenn dem nicht abgeholfen wird, ohne Sanktion kündigen.
• Drittländer: nur bei Angemessenheitsbeschluss der EU-Kommission (einschließlich EU-US Data Privacy Framework) oder auf Grundlage von Standardvertragsklauseln (Art. 46 DSGVO).
• Unterstützung und Datenpannen: Unterstützung bei Betroffenenanfragen und den Pflichten nach Art. 32–36 DSGVO; Meldung von Datenschutzverletzungen ohne schuldhaftes Zögern, spätestens innerhalb von 48 Stunden nach Kenntnis, mit Art der Verletzung, betroffenen Kategorien und ungefährer Zahl, wahrscheinlichen Folgen und ergriffenen Maßnahmen.
• Vertragsende und Kontrolle: Export und anschließende Löschung wie oben; Nachweise auf Anfrage; Audit höchstens einmal jährlich auf Kosten des Kunden mit 30 Tagen Vorankündigung, ohne Beeinträchtigung des Betriebs und der Daten anderer Kunden.

Stand: 1. Januar 2027 (Version 2.1; frühere Fassungen: /pravni-archiv)