Vertrag zur Auftragsverarbeitung

Vertrag zur Auftragsverarbeitung nach Art. 28 Abs. 3 der Datenschutz-Grundverordnung (DSGVO)
Stand: 01.11.2026

zwischen dem Betrieb, der Baumacht nutzt (nachfolgend „Verantwortlicher“), und der Baumacht Software GmbH i. G., Ausblick 1, 33100 Paderborn, vertreten durch den Geschäftsführer Robinson Laha (nachfolgend „Baumacht“).

Inhaltsübersicht

• § 1 Gegenstand, Abschluss und Dauer
• § 2 Rollen
• § 3 Weisungen
• § 4 Ort der Verarbeitung
• § 5 Vertraulichkeit und Zugriff durch Baumacht
• § 6 Sicherheit der Verarbeitung
• § 7 Unterauftragsverarbeiter
• § 8 Rechte betroffener Personen
• § 9 Unterstützung bei Sicherheit und Folgenabschätzung
• § 10 Verletzungen des Schutzes personenbezogener Daten
• § 11 Nachweise und Kontrollen
• § 12 Pflichten des Verantwortlichen
• § 13 Ende der Verarbeitung: Rückgabe und Löschung
• § 14 Haftung
• § 15 Schlussbestimmungen
• Anlage 1: Gegenstand, Art und Zweck, Daten, betroffene Personen
• Anlage 2: Unterauftragsverarbeiter
• Anlage 3: Technische und organisatorische Maßnahmen

§ 1 Gegenstand, Abschluss und Dauer

(1) Baumacht stellt dem Verantwortlichen die Software Baumacht (Webanwendung unter baumacht.de und mobile App) nach den Allgemeinen Geschäftsbedingungen (Hauptvertrag) bereit. Dabei verarbeitet Baumacht personenbezogene Daten im Auftrag des Verantwortlichen („Auftragsdaten“). Gegenstand, Art und Zweck der Verarbeitung, die Arten der Daten und die Kategorien betroffener Personen beschreibt Anlage 1.

(2) Dieser Vertrag wird vor Beginn der Auftragsverarbeitung durch eine dem Betrieb zuordenbare Zustimmung in elektronischer Form geschlossen (Art. 28 Abs. 9 DSGVO). Baumacht stellt dem Betrieb die vereinbarte Fassung zur Verfügung.

(3) Der Vertrag gilt, solange Baumacht Auftragsdaten verarbeitet, also mindestens für die Dauer des Hauptvertrags und darüber hinaus, bis Baumacht die Pflichten aus § 13 erfüllt hat.

(4) In Fragen des Datenschutzes geht dieser Vertrag dem Hauptvertrag vor.

(5) Für die Vorschau mit Zugangscode nach § 3a der AGB wird dieser Vertrag nicht geschlossen; er gilt erst ab der Zustimmung bei der Registrierung. Die Vorschau ist mit erfundenen Beispieldaten gefüllt und ausschließlich für erfundene Übungsdaten bestimmt; personenbezogene Daten von Kunden, Beschäftigten oder anderen Personen dürfen dort nicht eingegeben werden. Gelangen sie trotzdem hinein, verwendet Baumacht sie zu keinem eigenen Zweck und löscht sie mit der Vorschau nach Ablauf der sieben Tage. Einzelheiten stehen in der Datenschutzerklärung. Daten aus der Vorschau gehen nicht in das Konto über, das bei der Registrierung entsteht.

§ 2 Rollen

(1) Der Verantwortliche entscheidet über Zwecke und Mittel der Verarbeitung der Auftragsdaten und ist für die Rechtmäßigkeit der Verarbeitung verantwortlich, insbesondere für die Rechtsgrundlagen bei Daten seiner Kunden und Beschäftigten und für die Information der betroffenen Personen.

(2) Baumacht handelt

• als Auftragsverarbeiter für alle Inhalte, die der Verantwortliche und seine Nutzer in Baumacht erfassen, hochladen oder erzeugen (zum Beispiel Kunden, Angebote, Rechnungen, Aufträge, Termine, Bautagebuch, Fotos, Dokumente, Zeiten, Abwesenheiten, Fuhrpark, Ausbildung, Lohn-Vorbereitung, Chat), für die Nutzerkonten, die der Verantwortliche für seine Beschäftigten anlegt, mit Rollen versieht und sperrt, sowie für Sicherung, Wiederherstellung, Fehlerbehebung und Support mit diesen Inhalten;
• als eigener Verantwortlicher für den Vertrag mit dem Verantwortlichen, die Abrechnung, die Kommunikation mit seinen Ansprechpartnern, die Website und, soweit dafür erforderlich, für die Anmeldung der Nutzer und den Schutz der eigenen Systeme vor Missbrauch (zum Beispiel Anfragebegrenzung, Sicherheitsprotokoll, Sicherheitsmeldungen bei Anmeldungen). Dafür gilt die Datenschutzerklärung.

(3) Verbindet der Verantwortliche Baumacht mit einem eigenen Konto bei einem anderen Anbieter (zum Beispiel Lexware Office oder sevDesk) oder lädt er Dateien herunter und gibt sie weiter (zum Beispiel eine Exportdatei für das Steuerbüro), übermittelt Baumacht auf seine Weisung an diese Empfänger. Diese Empfänger sind keine Unterauftragsverarbeiter von Baumacht; das Verhältnis zu ihnen regelt der Verantwortliche selbst.

§ 3 Weisungen

(1) Baumacht verarbeitet Auftragsdaten nur auf dokumentierte Weisung des Verantwortlichen, auch bei Übermittlungen in ein Drittland (Art. 28 Abs. 3 Satz 2 lit. a DSGVO). Das gilt nicht, wenn Baumacht nach dem Recht der Union oder eines Mitgliedstaats zur Verarbeitung verpflichtet ist; dann teilt Baumacht dem Verantwortlichen diese Pflicht vor der Verarbeitung mit, sofern das Recht die Mitteilung nicht verbietet.

(2) Die Weisungen ergeben sich aus diesem Vertrag, dem Hauptvertrag und der Nutzung der Software durch den Verantwortlichen und seine Nutzer. Ruft ein Nutzer eine Funktion auf, ist das die Weisung, die in Anlage 1 beschriebene Verarbeitung dieser Funktion auszuführen, bei KI-Funktionen einschließlich der Übermittlung an die Stellen in Anlage 2 Nr. 2 bis 5. Weitere Weisungen erteilt der Verantwortliche in Textform; Baumacht dokumentiert sie.

(3) KI-Funktionen können nur Nutzer mit der Rolle Inhaber aufrufen. Wünscht der Verantwortliche, dass in seinem Betrieb keine KI-Funktionen genutzt werden, sorgt er dafür, dass seine Inhaber sie nicht aufrufen; auf Weisung in Textform sperrt Baumacht den KI-Assistenten im Chat, die Spracheingabe und die Angebote per Sprachnotiz zusätzlich technisch für seinen Betrieb.

(4) Ist Baumacht der Ansicht, dass eine Weisung gegen Datenschutzvorschriften verstößt, informiert Baumacht den Verantwortlichen unverzüglich (Art. 28 Abs. 3 Satz 3 DSGVO) und kann die Ausführung aussetzen, bis der Verantwortliche sie bestätigt oder ändert. Eine Bestätigung macht eine offensichtlich rechtswidrige Verarbeitung nicht zulässig.

(5) Baumacht verarbeitet Auftragsdaten nicht für eigene Zwecke. Ausgeschlossen sind insbesondere das Training oder die Verbesserung von KI-Modellen mit Auftragsdaten, auch eigener Modelle von Baumacht, die Auswertung von Auftragsdaten über den einzelnen Verantwortlichen hinaus und ihre Nutzung für Werbung.

§ 4 Ort der Verarbeitung

(1) Baumacht speichert die Auftragsdaten auf Servern der IONOS SE in Rechenzentren in Deutschland (Anlage 2 Nr. 1).

(2) Für einzelne Funktionen übermittelt Baumacht Auftragsdaten an die Stellen in Anlage 2, auch in Drittländer: für KI-Funktionen überwiegend in die USA (Anlage 2 Nr. 2 bis 5; nicht für jeden Betreiber ist der Sitz oder Verarbeitungsort angegeben), für System-E-Mails in die USA (Anlage 2 Nr. 6), für die Adresssuche in das Vereinigte Königreich (Anlage 2, weitere Empfänger) und bei Arbeiten mit KI-Werkzeugen nach § 5 Abs. 3 in die USA. Für jede dieser Stellen nennt Anlage 2 die Grundlage nach Art. 44 ff. DSGVO und deren Stand; wo eine passende Absicherung nicht nachgewiesen ist, steht das dort.

§ 5 Vertraulichkeit und Zugriff durch Baumacht

(1) Baumacht setzt für die Verarbeitung nur Personen ein, die zur Vertraulichkeit verpflichtet sind oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen (Art. 28 Abs. 3 Satz 2 lit. b DSGVO), und macht sie mit den Vorgaben des Datenschutzes vertraut.

(2) Auf Inhalte des Verantwortlichen greift Baumacht nur zu, soweit es für Betrieb, Wartung, Fehlerbehebung, Sicherheit oder eine Anfrage oder Weisung des Verantwortlichen erforderlich ist, und nur im dafür nötigen Umfang. Zugang zu den Produktionsservern hat bei Baumacht der Geschäftsführer.

(3) Baumacht setzt in Entwicklung und Betrieb KI-Werkzeuge ein, derzeit Claude von Anthropic und Codex von OpenAI. Auf den Produktionsservern arbeiten diese Werkzeuge nur nach Freigabe durch den Geschäftsführer. Dabei können Auftragsdaten, die bei diesen Arbeiten auf den Servern sichtbar werden, an den Anbieter des jeweiligen Werkzeugs übermittelt und auch in den USA verarbeitet werden (Anlage 2, weitere Empfänger).

(4) Auftragsdaten gelangen nur an die Stellen in Anlage 2, an Konten, die der Verantwortliche verbunden hat (§ 2 Abs. 3), und an Dienste, die ein Nutzer selbst aufruft, etwa wenn er den Kartenlink eines Auftrags öffnet oder auf seinem Gerät die Spracherkennung des Betriebssystems nutzt (Anlage 2, weitere Empfänger). Der gesonderte Aufruf durch den Nutzer ersetzt keine erforderliche Rechtsgrundlage, Genehmigung oder Absicherung einer Drittlandübermittlung.

§ 6 Sicherheit der Verarbeitung

(1) Baumacht gewährleistet während der gesamten Verarbeitung ein dem Risiko angemessenes Schutzniveau nach Art. 32 DSGVO. Die Maßnahmen, die Baumacht dafür getroffen hat, beschreibt Anlage 3.

(2) Baumacht passt die Maßnahmen dem Stand der Technik an. Das Schutzniveau der Anlage 3 darf dabei nicht sinken. Wesentliche Änderungen teilt Baumacht in Textform mit.

(3) Baumacht hat derzeit keine Zertifizierung nach Art. 42 DSGVO oder nach ISO/IEC 27001 und ist keinen Verhaltensregeln nach Art. 40 DSGVO beigetreten.

§ 7 Unterauftragsverarbeiter

(1) Der Verantwortliche erteilt Baumacht die allgemeine Genehmigung, weitere Auftragsverarbeiter (Unterauftragsverarbeiter) einzusetzen (Art. 28 Abs. 2 DSGVO). Mit Abschluss dieses Vertrags genehmigt er die Unterauftragsverarbeiter in Anlage 2 Nr. 1 bis 7. Für die Betreiber des Textmodells (Anlage 2 Nr. 3) gilt die Genehmigung für die dort genannten Betreiber. Welche Betreiber zu einem Zeitpunkt in Frage kommen, legt OpenRouter nach der dort beschriebenen Regel fest; neue Betreiber können dabei ohne Vorankündigung an Baumacht hinzukommen. Eine Vorabinformation nach Absatz 2 ist für diese Betreiber deshalb derzeit nicht gewährleistet.

(2) Will Baumacht eine Stelle in Anlage 2 hinzunehmen oder ersetzen, informiert Baumacht den Verantwortlichen mindestens 14 Tage vor dem Einsatz in Textform an die E-Mail-Adresse seines Inhaberkontos und aktualisiert Anlage 2. Vorabinformation und Frist gelten auch für Änderungen in der weiteren Verarbeitungskette. Für die Betreiber nach Anlage 2 Nr. 3 ist die Vorabinformation derzeit nicht gewährleistet, weil OpenRouter neue Modellbetreiber nicht vorab ankündigt (Absatz 1); erfährt Baumacht von einer solchen Änderung, informiert Baumacht den Verantwortlichen unverzüglich. Der Verantwortliche kann der Änderung innerhalb dieser Frist aus datenschutzrechtlichen Gründen in Textform widersprechen. Kann Baumacht dem Widerspruch nicht abhelfen, kann der Verantwortliche den Hauptvertrag zum Zeitpunkt der Änderung kündigen; § 13 gilt dann entsprechend.

(3) Fällt eine Stelle unvorhergesehen aus, verwendet Baumacht ausschließlich bereits genehmigte Ersatzstellen oder setzt die betroffene Funktion aus. Die Widerspruchs- und Kündigungsrechte nach Absatz 2 bleiben unberührt.

(4) Baumacht ist verpflichtet, jedem Unterauftragsverarbeiter durch Vertrag dieselben Datenschutzpflichten aufzuerlegen, die in diesem Vertrag festgelegt sind (Art. 28 Abs. 4 DSGVO). Mit den Stellen in Anlage 2 Nr. 1, 2, 6 und 7 gelten dafür deren Datenverarbeitungsbedingungen. Für OpenRouter (Nr. 2) ist nicht nachgewiesen, dass diese Bedingungen die Pflichten dieses Vertrags vollständig abdecken, insbesondere für die Rolle von Baumacht als Auftragsverarbeiter und für die Weiterleitung an die Betreiber (Anlage 2 Nr. 2). Die Betreiber nach Anlage 2 Nr. 3 bis 5 erhalten die Daten über OpenRouter; ein eigener Vertrag mit Baumacht besteht nicht. Baumacht haftet gegenüber dem Verantwortlichen für die Einhaltung der Datenschutzpflichten durch die Unterauftragsverarbeiter.

(5) Keine Unterauftragsverarbeitung sind Leistungen, bei denen eine Stelle keine Auftragsdaten erhält, zum Beispiel Netzwerk- und Namensdienste, der Zugangsschutz der Server, die Überwachung der Erreichbarkeit und die Verwaltung des Quellcodes.

§ 8 Rechte betroffener Personen

(1) Baumacht unterstützt den Verantwortlichen mit geeigneten technischen und organisatorischen Maßnahmen dabei, Anträge betroffener Personen nach Kapitel III der DSGVO zu beantworten (Art. 28 Abs. 3 Satz 2 lit. e DSGVO).

(2) In der Software kann der Verantwortliche Daten einsehen, berichtigen, löschen, Beschäftigte archivieren und seine Daten exportieren (Anlage 1 Abschnitt G). Was die Software beim Löschen in den Papierkorb legt, wird dort nach 30 Tagen endgültig gelöscht. Ausgenommen sind Bautagebuch-Berichte: Sie werden beim Löschen nur als gelöscht markiert, nach 30 Tagen im Papierkorb nicht mehr angezeigt und bleiben gespeichert; für ihre Löschung gilt Absatz 3.

(3) Reichen diese Funktionen nicht, erledigt Baumacht auf Weisung in Textform unverzüglich, in der Regel innerhalb von zehn Arbeitstagen: die Zusammenstellung der Auftragsdaten zu einer bestimmten Person für eine Auskunft oder Datenübertragung, ohne Daten anderer Personen; die Berichtigung oder Löschung auch dort, wo die Oberfläche es nicht erlaubt; die Einschränkung der Verarbeitung, soweit sie technisch möglich ist. Ist eine Maßnahme technisch nicht oder nur teilweise möglich, teilt Baumacht dies mit und stimmt das weitere Vorgehen mit dem Verantwortlichen ab.

(4) Wendet sich eine betroffene Person mit einem Antrag zu Auftragsdaten direkt an Baumacht, leitet Baumacht ihn unverzüglich an den Verantwortlichen weiter und beantwortet ihn nicht selbst. Beantragt ein Nutzer die Löschung seines Zugangs, informiert Baumacht den Verantwortlichen; Auftragsdaten, die zu diesem Nutzer im Betrieb gespeichert sind (zum Beispiel Arbeitszeiten), löscht Baumacht nur auf Weisung des Verantwortlichen.

§ 9 Unterstützung bei Sicherheit und Folgenabschätzung

Baumacht unterstützt den Verantwortlichen unter Berücksichtigung der Art der Verarbeitung und der Baumacht vorliegenden Informationen bei seinen Pflichten aus Art. 32 bis 36 DSGVO (Art. 28 Abs. 3 Satz 2 lit. f DSGVO). Auf Anforderung liefert Baumacht in der Regel innerhalb von zehn Arbeitstagen eine Beschreibung der Verarbeitung und der Datenflüsse, die aktuellen Anlagen 2 und 3 und Angaben zu Risiken und Schutzmaßnahmen und wirkt an einer Datenschutz-Folgenabschätzung und einer vorherigen Konsultation der Aufsichtsbehörde mit.

§ 10 Verletzungen des Schutzes personenbezogener Daten

(1) Baumacht meldet dem Verantwortlichen eine Verletzung des Schutzes von Auftragsdaten unverzüglich, spätestens 48 Stunden nachdem Baumacht sie bemerkt hat (Art. 33 Abs. 2 DSGVO), in Textform an die E-Mail-Adresse seines Inhaberkontos.

(2) Die Meldung enthält, soweit bekannt, die Angaben nach Art. 33 Abs. 3 DSGVO. Was bei der ersten Meldung noch nicht bekannt ist, reicht Baumacht nach, sobald es vorliegt.

(3) Baumacht ergreift unverzüglich Maßnahmen, um die Verletzung einzudämmen und ihre Folgen zu mindern, dokumentiert sie und unterstützt den Verantwortlichen bei seinen Meldungen an die Aufsichtsbehörde und an betroffene Personen. Baumacht meldet Verletzungen von Auftragsdaten nicht selbst an Aufsichtsbehörden oder betroffene Personen, es sei denn, der Verantwortliche weist dies an oder ein Gesetz verpflichtet Baumacht dazu.

§ 11 Nachweise und Kontrollen

(1) Baumacht stellt dem Verantwortlichen alle Informationen zur Verfügung, die er zum Nachweis der Einhaltung von Art. 28 DSGVO braucht (Art. 28 Abs. 3 Satz 2 lit. h DSGVO), insbesondere die aktuelle Anlage 3 und auf Anfrage Auszüge aus Betriebsnachweisen. Daten anderer Kunden und Zugangsdaten werden nicht offengelegt.

(2) Der Verantwortliche oder ein von ihm beauftragter Prüfer, der fachkundig, unabhängig und zur Vertraulichkeit verpflichtet ist, kann die Einhaltung dieses Vertrags prüfen, vorrangig anhand von Unterlagen und aus der Ferne, bei Bedarf auch vor Ort in den Geschäftsräumen von Baumacht. Reguläre Prüfungen sind mit einem Vorlauf von vier Wochen anzumelden und finden höchstens einmal im Kalenderjahr statt. Bei einem Vorfall, bei begründeten Zweifeln an der Einhaltung oder auf Verlangen einer Aufsichtsbehörde ist eine Prüfung auch ohne diese Grenzen möglich. Jede Seite trägt ihre eigenen Kosten.

(3) Für die Rechenzentren der Unterauftragsverarbeiter erfolgt die Prüfung vorrangig anhand ihrer Zertifikate und Prüfberichte; reichen diese im Einzelfall nicht, bleibt eine weitergehende Prüfung möglich.

(4) Baumacht unterstützt Kontrollen der zuständigen Aufsichtsbehörde.

§ 12 Pflichten des Verantwortlichen

(1) Der Verantwortliche

• stellt sicher, dass er die Daten rechtmäßig erhebt und an Baumacht gibt, informiert die betroffenen Personen und beteiligt einen Betriebsrat, soweit das erforderlich ist;
• vergibt Zugänge und Rollen seiner Nutzer sorgfältig und entzieht Zugänge, wenn sie nicht mehr gebraucht werden;
• gibt in Freitexte, Chats, Fotos, Dokumente und Sprachaufnahmen keine besonderen Kategorien personenbezogener Daten ein, die für den Zweck nicht nötig sind, zum Beispiel keine Diagnosen bei Krankmeldungen; unter „Vorsorge“ legt er nur die Vorsorgebescheinigung ab, keine ärztlichen Befunde;
• entscheidet, ob er KI-Funktionen nutzt, und prüft dabei, ob die Verarbeitung für seinen Zweck erforderlich ist, insbesondere bei Daten seiner Beschäftigten (Anlage 1 Abschnitt H);
• erfüllt seine gesetzlichen Aufbewahrungspflichten selbst und sichert die dafür nötigen Unterlagen rechtzeitig über den Export (§ 13);
• informiert Baumacht unverzüglich, wenn er Fehler oder Unregelmäßigkeiten bei der Verarbeitung feststellt.

§ 13 Ende der Verarbeitung: Rückgabe und Löschung

(1) Nach dem Ende der Verarbeitungsleistungen gibt Baumacht nach Wahl des Verantwortlichen alle Auftragsdaten zurück und löscht sie danach oder löscht sie ohne vorherige Rückgabe, sofern nicht nach dem Recht der Union oder eines Mitgliedstaats eine Pflicht zur Speicherung besteht (Art. 28 Abs. 3 Satz 2 lit. g DSGVO). Der Verantwortliche kann seine Wahl bis zum Ende der Verarbeitungsleistungen in Textform treffen oder ändern. Trifft er keine Wahl, gilt Rückgabe mit anschließender Löschung.

(2) Rückgabe: Der Verantwortliche kann seine Daten während der Vertragslaufzeit und bis 30 Tage nach dem Ende des Hauptvertrags („Rückgabefrist“) selbst exportieren (Anlage 1 Abschnitt G). Bei gewählter Rückgabe stellt Baumacht auch die Auftragsdaten, die der Firmenexport nicht erfasst, in einem gängigen, maschinenlesbaren Format gesondert bereit und stimmt den Termin rechtzeitig mit dem Verantwortlichen ab. Bei gewählter oder nach Absatz 1 voreingestellter Rückgabe ist keine zusätzliche Anforderung nötig. Die Rückgabepflicht erlischt nicht mit Ablauf der Rückgabefrist: Zur Rückgabe erforderliche Daten löscht Baumacht erst nach vollständiger Bereitstellung und Ablauf einer Abruffrist von 30 Tagen, die nicht vor der vollständigen Bereitstellung beginnt. Bis dahin verarbeitet Baumacht die Daten nur zur Rückgabe und anschließenden Löschung. Eine abweichende Löschweisung des Verantwortlichen bleibt maßgeblich.

(3) Aufbewahrungspflichten: Gesetzliche Aufbewahrungspflichten für Rechnungen, Buchungsbelege, Lohn- und Geschäftsunterlagen treffen den Verantwortlichen; die Fristen richten sich nach der Art der Unterlage (zum Beispiel § 147 AO, § 257 HGB, § 14b UStG). Über die Rückgabe nach Absatz 2 hinaus bewahrt Baumacht Auftragsdaten nicht für den Verantwortlichen auf, sofern die Parteien das nicht gesondert vereinbaren.

(4) Löschung: Nach dem Ende der Rückgabe nach Absatz 2, bei Wahl der Löschung ohne Rückgabe nach Zugang der Weisung, löscht Baumacht die Auftragsdaten in den laufenden Systemen und bestätigt die Löschung in Textform. Enthält der Bestand Rechnungen, Angebote, Mahnungen, Finanz- oder Lohndaten oder Bautagebuch-Einträge, verhindert eine Sperre in der Datenbank, die aufbewahrungspflichtige Unterlagen vor versehentlichem Löschen schützt, derzeit die Löschung über das reguläre Löschverfahren. In diesem Fall sperrt Baumacht die Zugänge des Betriebs, verarbeitet die Daten nur noch, um sie zu löschen, teilt dem Verantwortlichen mit, welche Daten bis dahin gespeichert bleiben, und löscht sie, sobald das Verfahren dafür bereitsteht. Die vollständige Löschung solcher Bestände ist derzeit technisch nicht gewährleistet. Diese Einschränkung begründet keine Genehmigung weiterer Speicherung und beschränkt weder gesetzliche Löschrechte noch die Löschpflichten von Baumacht.

(5) Sicherungen: Sicherungskopien werden nicht einzeln bereinigt, sondern laufen mit der Rotation der Sicherungen aus (Anlage 3 Abschnitt 3). Der Sicherungsspeicher bewahrt dabei entfernte Sicherungsdateien als ältere Version auf, bis Baumacht sie endgültig löscht; eine Höchstfrist dafür ist derzeit nicht festgelegt. Bis dahin bleiben die Sicherungen zugriffsbeschränkt und werden nur zur Wiederherstellung verwendet. Wird eine Sicherung eingespielt, löscht Baumacht bereits gelöschte Auftragsdaten erneut, bevor die Daten wieder genutzt werden. Baumacht teilt dem Verantwortlichen mit, wann die letzte Sicherung mit seinen Daten endgültig gelöscht ist.

(6) Baumacht veranlasst und überwacht die erforderliche Löschung bei den Unterauftragsverarbeitern unverzüglich nach Maßgabe der Löschweisung und dieses Vertrags, unabhängig vom Fortbestand seiner Anbieterkonten. Allgemeine Anbieterfristen begründen keinen zusätzlichen Aufschub. Verbleibende Sicherungskopien und gesetzlich erforderliche Speicherungen weist Baumacht mit Datenumfang, Zweck und Löschzeitpunkt gesondert aus. Die App entfernt die von ihr verwalteten lokalen Betriebsdaten vor der Anmeldung eines anderen Kontos; für Kopien, die Nutzer außerhalb der App gespeichert oder weitergegeben haben, ist der Verantwortliche zuständig.

(7) Baumacht darf Nachweise über die ordnungsgemäße Verarbeitung und Löschung nach den gesetzlichen Fristen aufbewahren; sie enthalten keine Inhalte der Auftragsdaten.

§ 14 Haftung

(1) Gegenüber betroffenen Personen haften die Parteien nach Art. 82 DSGVO.

(2) Im Verhältnis der Parteien zueinander gilt die Haftungsregelung der AGB (§ 14). Sie beschränkt weder die Rechte betroffener Personen noch die Verantwortung von Baumacht für ihre Unterauftragsverarbeiter (Art. 28 Abs. 4 Satz 2 DSGVO).

§ 15 Schlussbestimmungen

(1) Änderungen dieses Vertrags bedürfen der Textform. Für die Aktualisierung von Anlage 2 gilt § 7, für Anlage 3 gilt § 6 Abs. 2. Andere Änderungen werden nur wirksam, wenn der Verantwortliche ihnen ausdrücklich zustimmt; Schweigen gilt nicht als Zustimmung.

(2) Unterstützungsleistungen nach §§ 8 bis 11 erbringt Baumacht ohne gesonderte Vergütung, soweit sie nicht durch Weisungen außerhalb dieses Vertrags oder durch eine Pflichtverletzung des Verantwortlichen veranlasst sind.

(3) Ansprechpartner für den Datenschutz bei Baumacht ist der Geschäftsführer, erreichbar unter info@baumacht.de.

(4) Es gilt das Recht der Bundesrepublik Deutschland. Für den Gerichtsstand gilt § 16 Abs. 2 der AGB. Ist eine Bestimmung unwirksam, bleibt der Vertrag im Übrigen wirksam.

(5) Die Anlagen 1 bis 3 sind Bestandteil dieses Vertrags.

Anlage 1: Gegenstand, Art und Zweck, Daten, betroffene Personen

A. Gegenstand

Bereitstellung, Betrieb, Sicherung, Wartung und Support der Software Baumacht (Webanwendung und mobile App) für die Organisation eines Handwerksbetriebs.

B. Art der Verarbeitung

• Erheben über Eingaben, Uploads, Fotos und Sprachaufnahmen der Nutzer; Speichern, Ordnen, Abfragen, Anzeigen, Verknüpfen und Berechnen (zum Beispiel Stundenauswertungen, Lohn-Vorbereitung, Mahnstufen); Erzeugen von Dokumenten (PDF, E-Rechnung, Exporte); Löschen;
• Verarbeitung durch KI-Funktionen auf Abruf eines Nutzers (Abschnitt H);
• Übermitteln auf Weisung: System-E-Mails, Adresssuche (Abschnitt I), Übertragung an verbundene Konten des Verantwortlichen;
• Datensicherung und Wiederherstellung; Support und Fehlerbehebung nach § 5 Abs. 2.

C. Zwecke

Organisation des Betriebs des Verantwortlichen: Kunden, Angebote, Rechnungen und Mahnwesen; Aufträge, Baustellen, Einsatzplanung und Termine; Zeiterfassung, Abwesenheiten und Urlaubskonten; Vorbereitung der Lohnabrechnung für Steuerbüro oder Lohnbuchhaltung (Baumacht rechnet keinen Lohn ab); Bautagebuch und Abnahme; Fuhrpark; Ausbildung (Berichtsheft); Kommunikation zwischen Betrieb und Beschäftigten; Elektroplanung (Fachmodul); Vorbereitung der Buchhaltung und Exporte (Baumacht ist keine Buchhaltung); Assistenz durch KI-Funktionen.

D. Betroffene Personen und Arten der Daten

E. Besondere Kategorien personenbezogener Daten

Baumacht verarbeitet Gesundheitsangaben: die Abwesenheitsart „krank“, Fehlzeiten „krank“ und der Unterbrechungsgrund „Langzeiterkrankung“ im Berichtsheft, Vorsorgebescheinigungen sowie Angaben in Unfallmeldungen, Freitexten, Fotos und Dokumenten. Hochgeladene Lohnabrechnungen können das Kirchensteuermerkmal enthalten. Personaldokumente können nur Inhaber lesen. Felder für Diagnosen, Konfession, Steuerklasse, Sozialversicherungsnummer oder eine Ortung von Geräten gibt es nicht. Unterschriften und Fotos werden als Bild gespeichert und nicht zur eindeutigen Identifizierung von Personen ausgewertet.

F. Minderjährige

Auszubildende können minderjährig sein. Baumacht speichert dann den Tag, an dem die Person volljährig wird; daraus lässt sich das Geburtsdatum ableiten. Für Minderjährige gilt dieselbe Verarbeitung wie für andere Beschäftigte.

G. Export

Der Firmenexport in der Software enthält die Daten des Betriebs als Tabellen (JSON, dazu CSV für Kunden, Zeiten und Ausgaben) und auf Wunsch die hochgeladenen Dateien und die archivierten Belege. Nicht enthalten sind derzeit: Team- und KI-Chatverläufe mit ihren Anhängen, Sprachaufnahmen und Fotos für KI-Angebote, Unterlagen des Katalog-Scans, DATANORM-Dateien, Fuhrpark-Zuordnungen, -Fristen und -Meldungen, Ausbildungsverhältnisse und Berichtsheft (dafür gibt es einen eigenen PDF-Export), Urlaubsansprüche, Spesen, gespeicherte Lohnmeldungen einschließlich ihrer Ergebnisstände, Anfragen, Einsatzzuordnungen, Planungen, Notizen, KI-Routinen, Inhalte des Papierkorbs und Support-Anfragen. Die Rückgabe nach § 13 Abs. 2 umfasst sämtliche Auftragsdaten nach Abschnitt D einschließlich hochgeladener Dateien, Vorlagen und Einstellungen des Betriebs, auch soweit sie hier nicht einzeln genannt sind.

H. KI-Funktionen

KI-Funktionen laufen nur, wenn ein Nutzer mit der Rolle Inhaber sie aufruft. Baumacht übermittelt dann die für die Anfrage nötigen Inhalte über OpenRouter an die Stellen in Anlage 2 Nr. 3 bis 5. Ein Vorschlag des KI-Assistenten ändert Daten erst, wenn der Inhaber ihn bestätigt; die Verarbeitung durch das Modell hat dann schon stattgefunden.

Personaldokumente, Berichtsheft-Inhalte und einzelne Löhne übermittelt Baumacht nicht an KI-Funktionen, es sei denn, der Inhaber lädt ein solches Dokument selbst als Anhang hoch. In Textnachrichten im KI-Chat maskiert Baumacht automatisch erkannte gültige IBANs vor der Übermittlung; der Filter erkennt nicht jede Bankverbindung und bereinigt keine Bild- oder PDF-Inhalte. Sprachnachrichten im KI-Chat speichert Baumacht nicht. Speicherfristen der KI-Daten in Baumacht: Anlage 3 Abschnitt 6.

I. Adresssuche

Beim Eintippen einer Adresse schlägt die Software passende Adressen vor. Dafür sendet der Server von Baumacht den eingegebenen Suchtext, ohne die IP-Adresse des Nutzers, an den öffentlichen Dienst Nominatim der OpenStreetMap Foundation (Vereinigtes Königreich). Die Vorschläge erscheinen ab dem dritten eingegebenen Zeichen. Mit der OpenStreetMap Foundation besteht kein Vertrag zur Auftragsverarbeitung; sie verarbeitet die Anfragen nach ihren eigenen Nutzungsbedingungen. Für das Vereinigte Königreich besteht ein Angemessenheitsbeschluss der EU-Kommission (Art. 45 DSGVO).

Anlage 2: Unterauftragsverarbeiter

Stand: 01.11.2026

Weitere Empfänger:

• OpenStreetMap Foundation, Vereinigtes Königreich: Adresssuche (Anlage 1 Abschnitt I); erhält den eingegebenen Suchtext. Ein Vertrag nach Art. 28 Abs. 4 DSGVO besteht nicht. Für das Vereinigte Königreich besteht ein Angemessenheitsbeschluss der EU-Kommission (Art. 45 DSGVO).
• KI-Werkzeuge in Entwicklung und Betrieb nach § 5 Abs. 3: Anthropic (Claude) und OpenAI (Codex), Verarbeitung auch in den USA; erhalten Auftragsdaten nur, soweit sie bei freigegebenen Arbeiten auf den Produktionsservern sichtbar werden. Ein Vertrag nach Art. 28 Abs. 4 DSGVO und eine geeignete Absicherung der Übermittlung nach Art. 44 ff. DSGVO sind für diese Zugriffe derzeit nicht nachgewiesen.
• Google (Google Maps): erhält die Adresse eines Auftrags, wenn ein Nutzer in der Web-Anwendung den Kartenlink öffnet.
• WhatsApp Ireland Limited, Irland: Öffnet ein Nutzer den WhatsApp-Knopf, um einem Beschäftigten seinen Zugang zu schicken, übergibt der vorbereitete Link den Nachrichtentext mit dem Zugangslink und gegebenenfalls Vornamen und Telefonnummer des Beschäftigten an WhatsApp. Das geschieht erst, wenn der Nutzer den Knopf betätigt; das Verhältnis zu WhatsApp regelt der Verantwortliche.
• Spracherkennung des Betriebssystems (Apple bzw. Google): Diktiert ein Nutzer in der App einen Bericht, wandelt das Betriebssystem seines Geräts die Sprache in Text um und kann dafür je nach Gerät und Einstellung Sprachdaten an den Anbieter übermitteln; Baumacht erhält nur den Text.
• Stripe (Stripe Payments Europe, Ltd. und weitere Stripe-Gesellschaften): Abrechnung zwischen Baumacht und dem Verantwortlichen. Stripe erhält keine Auftragsdaten; dafür ist Baumacht eigener Verantwortlicher.
• Anbieter, mit denen der Verantwortliche Baumacht über sein eigenes Konto verbindet, nach § 2 Abs. 3: Lexware Office und sevDesk.
• Open-Meteo: erhält für die Wetteranzeige die Postleitzahl des Betriebs und die daraus ermittelten Koordinaten des Postleitzahlgebiets, keine Auftragsdaten.
• Have I Been Pwned: erhält bei der Prüfung neuer Passwörter nur die ersten fünf Zeichen eines Prüfwerts (Hash) des Passworts, keine Auftragsdaten.

Anlage 3: Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

Stand: 01.11.2026

1. Vertraulichkeit

• Zutritt: Baumacht betreibt keine eigenen Serverräume; die Server stehen in Rechenzentren der IONOS SE in Deutschland.
• Zugang zu den Servern: Administration per SSH mit Schlüssel, im Regelbetrieb über ein privates, verschlüsseltes Netz; die Datenbank hat keine öffentliche Netzadresse; Firewall nach Positivliste.
• Zugang der Nutzer: Passwörter mit mindestens zwölf Zeichen; neue Passwörter werden gegen bekannte geleakte Passwörter geprüft, ohne dass das Passwort den Server verlässt; Anmeldeversuche und Anfragen sind begrenzt; Zugangstoken gelten 15 Minuten und werden bei Nutzung erneuert; Konten entstehen nur über Einladung oder Zugangscode.
• Betreiberzugang: Der Verwaltungsbereich von Baumacht verlangt eine Anmeldung mit zweitem Faktor und ist auf festgelegte Konten beschränkt; Betreiberaktionen wie Firmenexporte werden protokolliert.
• Zugriff: Zeilenbasierte Zugriffsregeln (Row Level Security) in der Datenbank binden Zugriffe an den Betrieb des angemeldeten Nutzers und sperren ausgeschiedene Nutzer. Automatisierte Datenbanktests prüfen die Aktivierung auf allen Tabellen des Schemas public sowie festgelegte Anforderungen an Regeln, Berechtigungen und Mandantenbezüge; begründete Ausnahmen werden ausdrücklich geführt. Die Anwendung filtert zusätzlich nach Betrieb; ein Prüfschritt bei jeder Codeänderung erzwingt das. Zugriffe mit erweiterten Rechten sind auf eine festgelegte Liste von Programmstellen beschränkt, die ebenfalls automatisch geprüft wird.
• Rollen: Inhaber und Mitarbeiter; Personaldokumente, Lohndaten und KI-Funktionen nur für Inhaber.
• Dateien: Alle Dateispeicher sind privat; Dateien sind nur über die Zugriffsregeln oder zeitlich begrenzte Links abrufbar.
• Trennung: Logische Trennung der Betriebe in einer gemeinsamen Datenbank; getrennte Testumgebung mit eigenen Schlüsseln.
• Verschlüsselung: Übertragung ausschließlich per HTTPS mit HSTS; Datenbanksicherungen vor dem Hochladen mit AES-256 verschlüsselt; Zugangsdaten zu verbundenen Konten (Lexware Office, sevDesk) mit AES-256-GCM verschlüsselt gespeichert.

2. Integrität

• Weitergabe: KI-Anfragen gehen nur an die fest im Code hinterlegte Adresse von OpenRouter; für Text- und Bildanfragen verlangt Baumacht Betreiber ohne Datenspeicherung und schließt die Nutzung der Daten durch die Betreiber aus. Übermittlung im Übrigen nur an die Stellen in Anlage 2 und an Konten, die der Verantwortliche verbunden hat.
• Eingabe und Unveränderlichkeit: Ausgestellte Rechnungen sind in der Datenbank gegen Ändern und Löschen gesperrt; ihre PDF- oder XML-Datei wird beim ersten Abruf erzeugt und dann in einem gesperrten Archiv abgelegt (noch nie abgerufene Dateien enthält der Firmenexport nicht als Archivdatei); Zahlungseingänge werden nur ergänzt, Korrekturen laufen über Gegenbuchungen; Änderungen und Löschungen im Bautagebuch werden mit altem und neuem Inhalt protokolliert; Abnahme-Unterschriften tragen eine Prüfsumme des unterschriebenen Inhalts.

3. Verfügbarkeit, Belastbarkeit und Wiederherstellung

• Datenbanksicherung: fortlaufende Sicherung des Änderungsprotokolls, stündliche, tägliche und wöchentliche Sicherungen, tägliche Prüfung der Sicherungen; Ablage verschlüsselt im IONOS Object Storage in Frankfurt am Main, getrennt vom Dateispeicher der Anwendung.
• Dateisicherung: alle sechs Stunden; Übertragung verschlüsselt; Ablage im getrennten Sicherungsspeicher.
• Überwachung: automatische Alarme, unter anderem bei fehlgeschlagenen oder veralteten Sicherungen, ausgefallenen zeitgesteuerten Aufgaben und knappem Speicher, mit Zustellung auf das Mobiltelefon des Geschäftsführers; eine externe Überwachung meldet, wenn die Überwachung selbst ausfällt.
• Wiederherstellung: Die Wiederherstellung der Datenbank und der Dateien wurde im September 2026 in einer getrennten Testumgebung geprobt, nicht auf der Produktion.
• Schutz vor Überlastung: Anfragebegrenzung in der Anwendung und am Anmeldedienst; Größengrenzen für Uploads.

4. Verfahren zur regelmäßigen Überprüfung

• Automatische Prüfschritte bei jeder Codeänderung, unter anderem zur Mandantentrennung, zu Zugriffen mit erweiterten Rechten, zur Suche nach Geheimnissen im Code und Datenbanktests der Zugriffsregeln.
• Regelmäßige Betriebsprüfungen und interne Prüfungen zu Datenschutz und Plattform; Ablaufplan für Sicherheitsvorfälle.

5. Auftragskontrolle

• Unterauftragsverarbeiter nur nach Anlage 2 und § 7.
• Zugriff von Baumacht auf Inhalte nur im erforderlichen Umfang; KI-Werkzeuge auf den Produktionsservern nur nach Freigabe (§ 5).

6. Datenminimierung und Löschfristen in Baumacht

• KI-Chatverläufe: Der tägliche Löschlauf entfernt sie 180 Tage nach der letzten Aktivität; Verläufe mit noch offenen Aktionsvorschlägen nimmt er derzeit aus.
• Anhangdateien im KI-Chat: Löschung nach 30 Tagen; daraus gelesene Inhalte bleiben Teil des Verlaufs und folgen dessen Frist.
• Angebote per Sprachnotiz samt Sprachaufnahme und Fotos: 30 Tage.
• Sprachnachrichten im KI-Chat: keine Speicherung.
• Papierkorb: endgültige Löschung nach 30 Tagen; gelöschte Bautagebuch-Berichte bleiben als gelöscht markiert gespeichert (§ 8 Abs. 2).
• Dateien des Firmenexports: sieben Tage.
• Rückgabe und Löschung nach Vertragsende: § 13.