Vertrag zur Auftragsverarbeitung (AVV)

gemäß Art. 28 der Verordnung (EU) 2016/679 (DSGVO) · Version 1.0 — Stand: Juli 2026

zwischen dem Nutzer des Dienstes DACHDENKER — dem Unternehmen, für das das Nutzerkonto registriert wurde — (nachfolgend „Verantwortlicher“) und

Felix Ziebell
Schillerstraße 6
24116 Kiel
Deutschland
E-Mail: felix.ziebell@dachdenker.com

(nachfolgend „Auftragsverarbeiter“).

Präambel

Der Verantwortliche nutzt den webbasierten Dienst DACHDENKER (www.dachdenker.com) auf Grundlage der Allgemeinen Geschäftsbedingungen (nachfolgend „Hauptvertrag“). Im Rahmen der Nutzung verarbeitet der Auftragsverarbeiter personenbezogene Daten im Auftrag des Verantwortlichen. Dieser Vertrag konkretisiert die datenschutzrechtlichen Pflichten der Parteien.

Dieser Vertrag wird elektronisch geschlossen, indem der Verantwortliche im Rahmen der Registrierung die entsprechende Checkbox aktiviert (Art. 28 Abs. 9 DSGVO). Der Vertragstext ist unter www.dachdenker.com/avv/ dauerhaft abrufbar.

§ 1 Gegenstand und Dauer der Verarbeitung

1. Gegenstand des Vertrags ist die Verarbeitung personenbezogener Daten durch den Auftragsverarbeiter im Auftrag des Verantwortlichen im Rahmen der Erbringung des Dienstes DACHDENKER. Einzelheiten ergeben sich aus Anlage 1.
2. Die Dauer dieses Vertrags entspricht der Laufzeit des Hauptvertrags.

§ 2 Art und Zweck der Verarbeitung, Datenarten, Betroffene

Art und Zweck der Verarbeitung, die Kategorien personenbezogener Daten sowie die Kategorien betroffener Personen sind in Anlage 1 beschrieben.

§ 3 Weisungsgebundenheit

1. Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen — auch in Bezug auf die Übermittlung personenbezogener Daten in ein Drittland oder an eine internationale Organisation —, sofern er nicht durch Unionsrecht oder das Recht eines Mitgliedstaats zur Verarbeitung verpflichtet ist; in einem solchen Fall teilt er dem Verantwortlichen diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht dies nicht verbietet.
2. Die Nutzung der Funktionen des Dienstes durch den Verantwortlichen (insbesondere das Hochladen von Bildern und das Auslösen einer Visualisierung) gilt als Weisung im Sinne dieses Vertrags. Ergänzende Einzelweisungen bedürfen der Textform.
3. Der Auftragsverarbeiter informiert den Verantwortlichen unverzüglich, wenn er der Auffassung ist, dass eine Weisung gegen die DSGVO oder andere Datenschutzbestimmungen verstößt. Er ist berechtigt, die Ausführung der betreffenden Weisung bis zu deren Bestätigung oder Änderung auszusetzen.

§ 4 Pflichten des Verantwortlichen

1. Der Verantwortliche ist für die Rechtmäßigkeit der Verarbeitung, insbesondere für das Bestehen einer Rechtsgrundlage, allein verantwortlich.
2. Der Verantwortliche sichert zu, dass er für sämtliche von ihm hochgeladenen Inhalte über die erforderlichen Rechtsgrundlagen verfügt, insbesondere — soweit auf hochgeladenen Bildern Personen erkennbar abgebildet sind — über die erforderliche Einwilligung oder eine sonstige Rechtsgrundlage der abgebildeten Personen sowie über die Rechte nach dem Kunsturhebergesetz (KUG).
3. Der Verantwortliche informiert die betroffenen Personen nach Art. 13, 14 DSGVO über die Verarbeitung.

§ 5 Vertraulichkeit

Der Auftragsverarbeiter stellt sicher, dass sich alle zur Verarbeitung befugten Personen zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen.

§ 6 Technische und organisatorische Maßnahmen

1. Der Auftragsverarbeiter trifft die technischen und organisatorischen Maßnahmen gemäß Art. 32 DSGVO. Die zum Zeitpunkt des Vertragsschlusses getroffenen Maßnahmen sind in Anlage 2 beschrieben.
2. Der Auftragsverarbeiter darf die Maßnahmen an den Stand der Technik anpassen, sofern das Schutzniveau dabei nicht unterschritten wird.

§ 7 Subauftragsverarbeiter

1. Der Verantwortliche erteilt die allgemeine Genehmigung zur Einschaltung der in Anlage 3 aufgeführten Subauftragsverarbeiter.
2. Der Auftragsverarbeiter informiert den Verantwortlichen über beabsichtigte Änderungen (Hinzuziehung oder Ersetzung von Subauftragsverarbeitern) mindestens 4 Wochen im Voraus in Textform (E-Mail genügt). Der Verantwortliche kann der Änderung aus wichtigem datenschutzrechtlichem Grund widersprechen. Führt der Widerspruch dazu, dass die Leistung nicht erbracht werden kann, steht beiden Parteien ein Sonderkündigungsrecht für den Hauptvertrag zu.
3. Der Auftragsverarbeiter verpflichtet Subauftragsverarbeiter vertraglich auf ein Datenschutzniveau, das den Pflichten dieses Vertrags im Wesentlichen entspricht.

§ 8 Verarbeitung in Drittländern

Eine Verarbeitung findet grundsätzlich in Mitgliedstaaten der EU bzw. des EWR statt. Soweit im Rahmen der KI-Bildgenerierung eine Übermittlung an Google in die USA erfolgt, ist diese durch das EU-U.S. Data Privacy Framework bzw. den Abschluss von Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO) abgesichert (siehe Anlage 3).

§ 9 Unterstützung des Verantwortlichen

1. Der Auftragsverarbeiter unterstützt den Verantwortlichen mit geeigneten technischen und organisatorischen Maßnahmen dabei, Anträge betroffener Personen (Art. 12–23 DSGVO) zu beantworten. Bei ihm eingehende Anträge betroffener Personen leitet er unverzüglich an den Verantwortlichen weiter.
2. Der Auftragsverarbeiter unterstützt den Verantwortlichen unter Berücksichtigung der Art der Verarbeitung und der ihm zur Verfügung stehenden Informationen bei der Einhaltung der Pflichten aus Art. 32–36 DSGVO (Sicherheit der Verarbeitung, Meldung von Verletzungen, Datenschutz-Folgenabschätzung, vorherige Konsultation).

§ 10 Meldung von Verletzungen des Schutzes personenbezogener Daten

Der Auftragsverarbeiter meldet dem Verantwortlichen jede Verletzung des Schutzes personenbezogener Daten, die im Auftrag verarbeitete Daten betrifft, unverzüglich nach Bekanntwerden. Die Meldung enthält, soweit möglich, die Angaben nach Art. 33 Abs. 3 DSGVO.

§ 11 Löschung und Rückgabe

1. Hochgeladene Bildern und erzeugte Ergebnisbilder werden nach Ablauf der Speicherdauer automatisch gelöscht, die für den vom Verantwortlichen gewählten Tarif ausgewiesen ist (siehe Anlage 1). Bei Tarifen ohne ausgewiesene Speicherdauer bleiben die Daten bis zur Löschung durch den Verantwortlichen oder bis zur Beendigung des Hauptvertrags gespeichert.
2. Nach Beendigung des Hauptvertrags löscht der Auftragsverarbeiter sämtliche im Auftrag verarbeiteten personenbezogenen Daten, sofern nicht gesetzliche Aufbewahrungspflichten entgegenstehen. Auf Verlangen des Verantwortlichen gibt der Auftragsverarbeiter die Daten vor der Löschung heraus (Export in einem gängigen Format) und bestätigt die Löschung in Textform.

§ 12 Nachweise und Kontrollrechte

1. Der Auftragsverarbeiter stellt dem Verantwortlichen alle erforderlichen Informationen zum Nachweis der Einhaltung der Pflichten aus Art. 28 DSGVO zur Verfügung.
2. Der Verantwortliche ist berechtigt, die Einhaltung dieses Vertrags zu überprüfen. Kontrollen vor Ort sind nach angemessener Vorankündigung (mindestens 14 Tage) zu den üblichen Geschäftszeiten möglich; vorrangig erfolgt der Nachweis durch Auskünfte, vorhandene Testate oder geeignete Dokumentation.

§ 13 Haftung

Für die Haftung der Parteien gelten Art. 82 DSGVO sowie die Haftungsregelungen des Hauptvertrags.

§ 14 Schlussbestimmungen

1. Es gilt das Recht der Bundesrepublik Deutschland. Vertragssprache ist Deutsch.
2. Bei Widersprüchen zwischen diesem Vertrag und dem Hauptvertrag gehen hinsichtlich des Datenschutzes die Regelungen dieses Vertrags vor.
3. Änderungen dieses Vertrags werden dem Verantwortlichen entsprechend dem im Hauptvertrag geregelten Verfahren für AGB-Änderungen mitgeteilt.
4. Sollten einzelne Bestimmungen unwirksam sein, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt.

Anlage 1 — Beschreibung der Verarbeitung

Gegenstand und Zweck: Speicherung und Verarbeitung von durch den Verantwortlichen hochgeladenen Gebäudefotos zur KI-gestützten Visualisierung von Dacheindeckungen; Erzeugung und Bereitstellung von Ergebnisbildern.

Kategorien personenbezogener Daten:

• Gebäudefotos (personenbeziehbar über die Zuordnung zu Eigentümern bzw. Auftraggebern; im Einzelfall können Personen, Kfz-Kennzeichen o. Ä. abgebildet sein)
• erzeugte Ergebnisbilder
• Metadaten der Verarbeitung (Upload-Zeitpunkt, gewählte Konfiguration, zugehöriges Nutzerkonto)

Kategorien betroffener Personen: Kunden und Interessenten des Verantwortlichen (insbesondere Gebäudeeigentümer); im Einzelfall zufällig abgebildete Dritte.

Speicherdauer: Die Speicherdauer hochgeladener und erzeugter Bilder richtet sich nach dem gewählten Tarif und ist in der Tarifübersicht ausgewiesen. Nach Ablauf werden die Bilddateien automatisch gelöscht; Auftrags-Metadaten (Zeitpunkt, Konfiguration, Nutzerkonto) bleiben zur Abrechnung und Nachvollziehbarkeit erhalten. Tarife ohne ausgewiesene Speicherdauer speichern die Bilder bis zur Löschung durch den Verantwortlichen oder bis zur Kontolöschung.

Anlage 2 — Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

• Transportverschlüsselung: Sämtliche Datenübertragungen erfolgen TLS-verschlüsselt (HTTPS).
• Hosting: Rechenzentrum in Deutschland (all-inkl.com / Neue Medien Münnich).
• Zugangskontrolle: Zugriff auf Kundendaten nur durch den Auftragsverarbeiter und die in Anlage 3 genannten Subauftragsverarbeiter; Nutzerkonten sind passwortgeschützt, Passwörter werden ausschließlich als Hash (bcrypt) gespeichert. Sitzungen laufen über zeitlich befristete Tokens ab.
• Trennungskontrolle: Logische Trennung der Daten je Nutzerkonto; hochgeladene Bilder werden je Auftrag in einem eigenen Verzeichnis abgelegt und sind nur über das zugehörige Nutzerkonto abrufbar.
• Löschkonzept: Automatische Löschung der Bilddateien nach Ablauf der tarifabhängigen Speicherdauer durch einen regelmäßigen Löschlauf; Löschung aller Daten bei Kontolöschung.
• Datensicherung: Regelmäßige Sicherung der Datenbank und der Bilddateien beim Hoster; Sicherungen werden turnusmäßig überschrieben, sodass gelöschte Daten spätestens nach Ablauf des Sicherungszyklus auch dort entfallen.
• Protokollierung: Serverseitige Protokollierung von Zugriffen und Verarbeitungsaufträgen zur Fehleranalyse und Missbrauchserkennung.

Anlage 3 — Genehmigte Subauftragsverarbeiter

Subauftragsverarbeiter	Leistung	Ort	Drittland-Garantie
Google Ireland Ltd. / Google LLC	KI-Bildgenerierung (Gemini API, kostenpflichtige Nutzung; die Eingaben werden nicht zur Verbesserung der Modelle verwendet)	Irland / USA	EU-U.S. Data Privacy Framework, ergänzend Standardvertragsklauseln
Neue Medien Münnich (all-inkl.com)	Hosting, E-Mail-Versand	Deutschland	—
Sebastian Martens, Jürgen-Töpfer-Straße 8, 22763 Hamburg	Softwareentwicklung, Betrieb und Wartung der Plattform (Zugriff auf Produktivdaten)	Deutschland	—