Auftragsverarbeitungsvertrag (AVV)
Nach Art. 28 DSGVO — Anlage zum HelloBoss-Nutzungsvertrag
Dieser Vertrag regelt die Verarbeitung personenbezogener Daten durch ordosphere LLC (Betreiberin von HelloBoss, siehe Impressum, im Folgenden „Auftragsverarbeiter") im Auftrag der jeweiligen Kundenfirma (im Folgenden „Auftraggeber" oder „Verantwortlicher"). Er ergänzt den zwischen den Parteien bestehenden Hauptvertrag über die Nutzung der SaaS-Anwendung HelloBoss und gilt automatisch mit Abschluss dieses Hauptvertrags als vereinbart.
§ 1 Gegenstand und Dauer
Gegenstand dieses Vertrags ist die Verarbeitung personenbezogener Daten durch den Auftragsverarbeiter im Auftrag des Auftraggebers im Zusammenhang mit der Nutzung von HelloBoss (WhatsApp-/ Telegram-gestützte Baustellen-Dokumentation über einen KI-Assistenten). Die Laufzeit dieses Vertrags entspricht der Laufzeit des Hauptvertrags.
§ 2 Art, Umfang und Zweck der Verarbeitung
Zweck: Empfang, Transkription, KI-gestützte Klassifizierung und Weiterleitung von Sprachnachrichten, Fotos und Textnachrichten der Mitarbeiter des Auftraggebers zur Baustellen-Dokumentation und Aufgabenzuordnung.
Kategorien betroffener Personen: Mitarbeiter des Auftraggebers (Monteure, Bauleiter, Poliere) sowie gegebenenfalls Ansprechpartner von Auftraggebern des Auftraggebers (z.B. GU-Bauleiter), soweit über HelloBoss kommuniziert wird.
Kategorien personenbezogener Daten: Name, Telefonnummer, Sprachnachrichten (Audio), Fotos, Textnachrichten, Baustellen- und Aufgabenzuordnung, Zeitstempel sowie aus der KI-Analyse abgeleitete Metadaten (Klassifizierung, Transkript).
§ 3 Weisungsgebundenheit
Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Auftraggebers, es sei denn, er ist nach dem Recht der Union oder der Mitgliedstaaten hierzu verpflichtet (Art. 28 Abs. 3 lit. a DSGVO). Der Hauptvertrag sowie die Konfiguration der Anwendung durch den Auftraggeber gelten als generelle Weisung; darüber hinausgehende Weisungen sind in Textform zu erteilen. Hält der Auftragsverarbeiter eine Weisung für rechtswidrig, informiert er den Auftraggeber unverzüglich und kann die Ausführung bis zur Klärung aussetzen.
§ 4 Vertraulichkeit
Der Auftragsverarbeiter verpflichtet alle zur Verarbeitung befugten Personen auf die Vertraulichkeit oder unterwirft sie einer angemessenen gesetzlichen Verschwiegenheitspflicht. Der Zugriff auf personenbezogene Daten des Auftraggebers ist auf Personen beschränkt, die diesen Zugriff zur Erfüllung des Vertragszwecks tatsächlich benötigen (Need-to-know-Prinzip, technische Umsetzung siehe Anlage 1).
§ 5 Technische und organisatorische Maßnahmen
Der Auftragsverarbeiter trifft die in Anlage 1 beschriebenen technischen und organisatorischen Maßnahmen gemäß Art. 32 DSGVO und ist berechtigt, diese anzupassen, sofern das vereinbarte Schutzniveau nicht unterschritten wird. Wesentliche Änderungen werden dem Auftraggeber mitgeteilt.
§ 6 Sub-Auftragsverarbeiter
Der Auftraggeber erteilt dem Auftragsverarbeiter eine allgemeine Genehmigung zum Einsatz von Sub-Auftragsverarbeitern für einzelne Verarbeitungsschritte (u.a. Identitätsverwaltung, Spracherkennung, KI-Textanalyse, Sprachausgabe, Nachrichtenkanal, Hosting, E-Mail-Versand). Die aktuell eingesetzten Dienste sind im Abschnitt „Eingesetzte Dienste" der Datenschutzerklärung benannt.
Der Auftragsverarbeiter informiert den Auftraggeber über jede beabsichtigte Änderung in Bezug auf die Hinzuziehung oder Ersetzung von Sub-Auftragsverarbeitern mit einer Frist von mindestens 30 Tagen. Der Auftraggeber kann der Änderung aus wichtigem Grund — insbesondere Datenschutz-Bedenken — widersprechen.
Werden Sub-Auftragsverarbeiter außerhalb der EU/des EWR eingesetzt, stellt der Auftragsverarbeiter ein angemessenes Schutzniveau sicher (EU-Standardvertragsklauseln nach Art. 46 Abs. 2 lit. c DSGVO oder Zertifizierung nach dem EU-U.S. Data Privacy Framework). Der Auftragsverarbeiter verpflichtet jeden Sub-Auftragsverarbeiter vertraglich zu denselben Datenschutzpflichten, die in diesem Vertrag festgelegt sind.
§ 7 Unterstützungspflichten des Auftragsverarbeiters
Der Auftragsverarbeiter unterstützt den Auftraggeber im Rahmen seiner Möglichkeiten bei der Erfüllung von Betroffenenrechten (Art. 15–22 DSGVO), insbesondere bei Auskunfts-, Berichtigungs- und Löschanfragen von Mitarbeitern des Auftraggebers, sowie bei der Erstellung und Aktualisierung einer Datenschutz-Folgenabschätzung (Art. 35 DSGVO), soweit die Verarbeitung durch HelloBoss betroffen ist.
Der Auftragsverarbeiter meldet dem Auftraggeber jede Verletzung des Schutzes personenbezogener Daten unverzüglich, spätestens innerhalb von 24 Stunden nach Kenntniserlangung, damit der Auftraggeber seiner Meldepflicht nach Art. 33 DSGVO (72-Stunden-Frist gegenüber der zuständigen Aufsichtsbehörde) nachkommen kann. Die Meldung enthält mindestens: Art der Verletzung, betroffene Kategorien und Anzahl, wahrscheinliche Folgen sowie ergriffene bzw. geplante Maßnahmen.
§ 8 Kontrollrechte des Auftraggebers
Der Auftraggeber hat das Recht, sich von der Einhaltung der in Anlage 1 festgelegten Maßnahmen zu überzeugen, z.B. durch Selbstauskünfte oder Nachweise des Auftragsverarbeiters oder — nach vorheriger Ankündigung mit angemessener Frist — durch Vor-Ort-Kontrollen zu den üblichen Geschäftszeiten. Kosten einer Vor-Ort-Kontrolle über das übliche Maß hinaus trägt der Auftraggeber, sofern kein konkreter Verdacht auf eine Pflichtverletzung vorliegt.
§ 9 Löschung und Rückgabe nach Vertragsende
Nach Beendigung des Hauptvertrags löscht der Auftragsverarbeiter sämtliche personenbezogenen Daten des Auftraggebers oder gibt sie nach Wahl des Auftraggebers zurück, sofern keine gesetzliche Aufbewahrungspflicht (z.B. handelsrechtlich) entgegensteht. Frist zur Löschung bzw. Rückgabe: 30 Tage nach Vertragsende; danach verbleibende Sicherungskopien werden im Rahmen des regulären Backup-Rotationszyklus gelöscht. Die Löschung wird auf Anfrage schriftlich bestätigt.
§ 10 Haftung
Die Haftung des Auftragsverarbeiters für Schäden aus diesem Vertrag ist bei leicht fahrlässiger Pflichtverletzung der Höhe nach begrenzt auf das Zweifache des vom Auftraggeber im betroffenen Vertragsjahr geschuldeten Jahresentgelts. Unbeschränkt haftet der Auftragsverarbeiter bei Vorsatz und grober Fahrlässigkeit, bei Verletzung von Leben, Körper oder Gesundheit, nach den Vorschriften der Produkthaftung sowie in allen Fällen, in denen eine Haftungsbeschränkung gesetzlich unzulässig ist. Art. 82 DSGVO bleibt unberührt.
§ 11 Schlussbestimmungen
Änderungen und Ergänzungen dieses Vertrags bedürfen der Textform. Sollten einzelne Bestimmungen unwirksam sein, bleibt der übrige Vertrag wirksam. Es gilt deutsches Recht.
Anlage 1 — Technische und organisatorische Maßnahmen (Art. 32 DSGVO)
Der Auftragsverarbeiter trifft die folgenden Maßnahmen zum Schutz personenbezogener Daten, angemessen zum Stand der Technik, den Implementierungskosten sowie Art, Umfang, Umständen und Zwecken der Verarbeitung.
1. Zutrittskontrolle
Die Anwendung läuft auf gemietetem Server-Hosting in einem Rechenzentrum; physischer Zutritt durch Personal des Auftragsverarbeiters ist für den laufenden Betrieb nicht erforderlich. Ein Vier-Augen-Zugriffskonzept für den Server-Zugang befindet sich in Umsetzung.
2. Zugangskontrolle
Anmeldung über einen dedizierten Identitätsdienst (OIDC mit PKCE), serverseitige Sitzungsprüfung statt reiner Client-Prüfung, Passwort-Hashing nach anerkanntem Verfahren mit Schutz gegen Konto-Enumeration, zeitlich befristete und einmalig nutzbare Passwort-Reset-Tokens sowie Session-Cookies mit HttpOnly-, Secure- und SameSite-Schutz. Eine serverseitige Sitzungsinvalidierung bei Abmeldung (über das Löschen des Cookies hinaus) befindet sich in Umsetzung.
3. Zugriffskontrolle
Rollenbasierte Zugriffsrechte (fünf Rollen) und strukturelle Mandanten-Trennung: Daten jeder Kundenfirma sind ausschließlich über die serverseitig geprüfte, signierte Sitzung erreichbar, nie über Client-Eingaben. Ein Zugriff auf Daten einer fremden Kundenfirma ist automatisiert getestet ausgeschlossen.
4. Weitergabekontrolle
Verschlüsselte Übertragung (HSTS, TLS), signaturgeprüfter Webhook-Eingang, zugriffsbeschränkte Medien-Auslieferung (Fotos, Sprachnachrichten) mit Firmen-Zuordnung. Eine Content-Security-Policy sowie eine Verschlüsselung personenbezogener Daten in der Datenbank (at rest) sind als nächste Ausbaustufe vorgesehen.
5. Eingabekontrolle
Unveränderbares (append-only) Protokoll sicherheitsrelevanter Ereignisse mit Manipulationserkennung durch Hash-Verkettung, strukturiertes technisches Logging ohne personenbezogene Inhalte, sowie Schutz gegen doppelte Verarbeitung eingehender Nachrichten. Eine explizite Log-Aufbewahrungsfrist wird derzeit erarbeitet.
6. Auftragskontrolle
Vertragliche Bindung aller Sub-Auftragsverarbeiter nach § 6 dieses Vertrags, automatisierte Schwachstellen- und Abhängigkeits-Prüfung im Entwicklungsprozess. Ein vollständiges Vendor-Register mit Nachweisen je Sub-Auftragsverarbeiter befindet sich im Aufbau.
7. Verfügbarkeitskontrolle
Regelmäßige, integritätsgeprüfte Datenbank-Sicherungen mit dokumentiertem Wiederherstellungsverfahren, versionierte und rückwirkungsfrei getestete Datenbankmigrationen sowie kaskadierte, getestete Löschroutinen. Eine zusätzliche Off-Site-Sicherung außerhalb des Produktivservers sowie automatisierte Wiederherstellungstests befinden sich in Planung.
8. Trennungsgebot
Strukturelle Mandanten-Trennung auf Datenbankebene mit Integritätsprüfungen. Die KI-gestützte Auswertung ist produktseitig ausschließlich auf die Baustellen-Dokumentation zweckgebunden und dient nicht der Bewertung, dem Scoring oder der Leistungsüberwachung einzelner Mitarbeiter (siehe So arbeitet die KI).
Fragen zu diesem Vertrag: datenschutz@helloboss.dev