Vereinbarung zur Auftrags­verarbeitung

Stand 06.09.2026. Diese Seite zeigt den Inhalt der Vereinbarung nach Art. 28 DSGVO, die jeder Betrieb vor Nutzungsbeginn mit Neuberger Digital schließt. Die zu unterzeichnende Fassung erhält der Betrieb mit dem Angebot; sie geht dieser Seite vor.

zwischen dem Kundenbetrieb (nachfolgend „Verantwortlicher“; Name und Anschrift laut Hauptvertrag) und Sergej Neuberger, Neuberger Digital, Vogels-Anger 8, 49632 Essen (Oldenburg), E-Mail info@neuberger-digital.de (nachfolgend „Auftragsverarbeiter“).

• § 1 Gegenstand und Dauer
• § 2 Art, Zweck, Umfang
• § 3 Weisungsrecht
• § 4 Pflichten
• § 5 Unterauftragsverarbeiter
• § 6 Verarbeitungsort
• § 7 Schluss
• Anlage 1 TOM
• Anlage 2 Empfänger

§ 1 Gegenstand und Dauer

(1) Der Auftragsverarbeiter betreibt für den Verantwortlichen die Software-as-a-Service-Anwendung Rapportfix (app.rapportfix.de) zur digitalen Erfassung von Arbeitsnachweisen (Rapporte), Baustellendokumentation, Prüfprotokollen und zugehörigen Auswertungen.

(2) Diese Vereinbarung konkretisiert die datenschutzrechtlichen Pflichten der Parteien aus dem Hauptvertrag (Nutzungsvertrag Rapportfix). Ihre Laufzeit entspricht der Laufzeit des Hauptvertrags; sie endet mit dem Hauptvertrag und hat keine eigene Kündigungsfrist.

§ 2 Art, Zweck und Umfang der Verarbeitung

(1) Zweck: Bereitstellung, Betrieb, Wartung und Sicherung der Anwendung einschließlich E-Mail-Versand von Dokumenten im Auftrag des Verantwortlichen sowie — sofern vom Verantwortlichen eingeschaltet — der optionalen Module KI-Sprachfunktion (Umwandlung diktierter Notizen in Text), Wetterangabe im Bautagebuch (Geocoding der Baustellenadresse und Wetterabruf), Push-Erinnerung der Stempeluhr und Rechnungsentwurf in Lexware Office (Übermittlung von Rapportpositionen und Kundendaten an das Lexware-Office-Konto des Verantwortlichen auf dessen Weisung).

(2) Kategorien betroffener Personen: Beschäftigte des Verantwortlichen (Nutzerkonten, Monteure); Kunden und Auftraggeber des Verantwortlichen sowie deren Ansprechpartner; Dritte, soweit sie auf Baustellenfotos oder in Dokumentationen erscheinen.

(3) Kategorien personenbezogener Daten:

• Stammdaten der Nutzer (Name, E-Mail-Adresse, Rolle, Anmeldezeitpunkte)
• Arbeits- und Einsatzdaten (Arbeitszeiten, Tätigkeitsbeschreibungen, Materialpositionen, Stempeluhr-Zeiten mit Korrekturprotokoll)
• Kundendaten des Verantwortlichen (Namen, Anschriften, E-Mail-Adressen, Ansprechpartner, Baustellen)
• Fotos von Baustellen (können Personen oder Rückschlüsse auf Personen enthalten), handschriftliche Unterschriften (Kunde/Monteur)
• Prüfprotokolldaten (Prüfer, Objekt, Messwerte)
• bei Nutzung der Sprachfunktion: Sprachaufnahmen und Transkripte (nur transiente Verarbeitung, keine Speicherung der Aufnahme durch den Auftragsverarbeiter; der erzeugte Textentwurf wird als änderbarer Rapport-Entwurf gespeichert)
• bei eingeschalteter Wetterangabe: Postleitzahl und Ort der Baustelle (Geocoding) sowie die daraus ermittelten Koordinaten je Baustelle
• bei Push-Erinnerung: Push-Endpunkt des Geräts (vom Browser vergeben) und eine verschlüsselte Nachricht mit Baustellenname und Dauer
• bei Nutzung des Moduls Lexware Office: Kundenname und -nummer, Anschrift, Rapportpositionen, Lexware-API-Schlüssel des Verantwortlichen (verschlüsselt gespeichert)
• Metadaten von Fotos: Aufnahmezeit und Gerätemodell, Upload-Zeit, Prüfsumme; Standortdaten (GPS) werden beim Upload entfernt

(4) Eine Verarbeitung besonderer Kategorien nach Art. 9 DSGVO ist nicht vorgesehen.

§ 3 Weisungsrecht

(1) Der Auftragsverarbeiter verarbeitet die Daten ausschließlich im Rahmen dieser Vereinbarung und nach dokumentierten Weisungen des Verantwortlichen (Art. 28 Abs. 3 lit. a DSGVO). Die Nutzung der Anwendungsfunktionen durch den Verantwortlichen, einschließlich des Einschaltens von Modulen, gilt als Weisung.

(2) Hält der Auftragsverarbeiter eine Weisung für datenschutzrechtlich unzulässig, informiert er den Verantwortlichen unverzüglich.

§ 4 Pflichten des Auftragsverarbeiters

1. Vertraulichkeit: Zur Verarbeitung befugte Personen sind zur Vertraulichkeit verpflichtet (Art. 28 Abs. 3 lit. b DSGVO).
2. Sicherheit: Der Auftragsverarbeiter trifft die technischen und organisatorischen Maßnahmen nach Anlage 1 (Art. 32 DSGVO) und entwickelt sie dem Stand der Technik entsprechend fort.
3. Unterstützung: Er unterstützt den Verantwortlichen bei der Erfüllung von Betroffenenrechten (Art. 12–23 DSGVO) sowie bei den Pflichten aus Art. 32–36 DSGVO, soweit ihm dies möglich ist.
4. Meldung von Verletzungen: Verletzungen des Schutzes personenbezogener Daten meldet er dem Verantwortlichen unverzüglich, spätestens innerhalb von 48 Stunden nach Kenntnis, mit den nach Art. 33 Abs. 3 DSGVO verfügbaren Informationen.
5. Löschung/Rückgabe: Nach Beendigung des Hauptvertrags bleibt der Zugang für Administratoren des Verantwortlichen 30 Tage im Lesemodus bestehen; in dieser Frist kann der Verantwortliche alle Daten selbst exportieren (Gesamtexport). Nach Ablauf der 30 Tage löscht der Auftragsverarbeiter alle personenbezogenen Daten des Verantwortlichen (Dateien, Datenbankinhalte, Nutzerkonten) in einem protokollierten Löschlauf. Lokale Sicherungskopien rotieren innerhalb von 30 Tagen, Offsite-Sicherungskopien innerhalb von 60 Tagen nach dem Löschlauf aus. Spätestens 90 Tage nach Vertragsende sind alle Daten einschließlich sämtlicher Sicherungskopien gelöscht. Gesetzliche Aufbewahrungspflichten liegen ausschließlich beim Verantwortlichen; der Auftragsverarbeiter übernimmt keine Aufbewahrung über die genannten Fristen hinaus. Ist der Zugang des Verantwortlichen bei Vertragsende gesperrt, verschiebt sich der Löschlauf bis zur Aufhebung der Sperre, findet aber spätestens 180 Tage nach Vertragsende statt; die Frist von 90 Tagen für die Sicherungskopien läuft dann ab dem Löschlauf.
6. Nachweise/Audits: Der Auftragsverarbeiter stellt die zum Nachweis der Pflichten erforderlichen Informationen zur Verfügung. Der Verantwortliche kann nach Ankündigung mit angemessener Frist Überprüfungen in Form von Selbstauskünften verlangen; Vor-Ort-Kontrollen sind auf begründete Anlässe beschränkt und rechtzeitig anzukündigen.

§ 5 Unterauftragsverarbeiter

(1) Der Verantwortliche erteilt die allgemeine Genehmigung zum Einsatz der in Anlage 2 genannten Unterauftragsverarbeiter.

(2) Änderungen (Austausch/Hinzunahme) teilt der Auftragsverarbeiter dem Verantwortlichen mindestens vier Wochen vorab in Textform mit. Der Verantwortliche kann aus wichtigem datenschutzrechtlichem Grund widersprechen; kommt keine einvernehmliche Lösung zustande, kann jede Partei den Hauptvertrag zum Wirksamwerden der Änderung kündigen.

(3) Mit jedem Unterauftragsverarbeiter werden Verpflichtungen entsprechend dieser Vereinbarung vertraglich vereinbart (Art. 28 Abs. 4 DSGVO).

§ 6 Verarbeitungsort und Drittlandtransfer

(1) Hosting und Datenhaltung erfolgen ausschließlich in Deutschland (Rechenzentrum Falkenstein/Vogtland).

(2) Bei Nutzung der optionalen KI-Sprachfunktion werden Sprachaufnahme und Transkript an OpenAI übermittelt (Anlage 2). Der Endpunkt liegt derzeit in den USA (OpenAI, L.L.C.); es handelt sich um eine Übermittlung in ein Drittland. Grundlage sind das Data Processing Addendum von OpenAI einschließlich der EU-Standardvertragsklauseln; API-Daten werden von OpenAI nicht zum Modelltraining verwendet und spätestens nach 30 Tagen gelöscht. Es werden keine Nutzer- oder Betriebskennungen mitgesendet. Die Funktion wird je Betrieb vom Auftragsverarbeiter bereitgestellt, vom Administrator des Verantwortlichen eingeschaltet und ist für jeden einzelnen Vorgang freiwillig. Das Einschalten des Moduls durch den Verantwortlichen gilt als dokumentierte Weisung zur Drittlandübermittlung. Der Auftragsverarbeiter kann die Verarbeitung auf einen Endpunkt mit Datenresidenz in der EU umstellen; er teilt dies nach § 5 Abs. 2 mit.

(3) Bei eingeschalteter Wetterangabe im Bautagebuch übermittelt der Auftragsverarbeiter Postleitzahl und Ort der Baustelle (nicht Straße und Hausnummer) an den Geocoding-Dienst Nominatim der OpenStreetMap Foundation (Vereinigtes Königreich) und die daraus ermittelten Koordinaten an Open-Meteo (Schweiz). Beide Dienste erhalten keine Nutzer- oder Betriebskennung; die Übermittlung enthält keine Namen. Die Funktion ist je Betrieb abschaltbar und für neue Betriebe standardmäßig aus.

(4) Bei aktivierter Push-Erinnerung der Stempeluhr wird eine verschlüsselte Nachricht über den Push-Dienst des jeweiligen Browsers zugestellt (Google für Chrome/Android, Apple für Safari/iOS, Mozilla für Firefox). Der Push-Dienst sieht den vom Browser vergebenen Endpunkt und die verschlüsselte Nutzlast, nicht den Klartext. Die Zustellung läuft je nach Anbieter über Server außerhalb der EU.

(5) Bei Nutzung des Moduls Lexware Office werden Kundenname, Kundennummer, Anschrift und Rapportpositionen auf Weisung des Verantwortlichen an das Lexware-Office-Konto des Verantwortlichen bei der Haufe-Lexware GmbH & Co. KG (Freiburg) übermittelt. Grundlage ist der eigene Vertrag des Verantwortlichen mit Lexware; der Auftragsverarbeiter handelt insoweit nur als technischer Übermittler auf Weisung.

§ 7 Schlussbestimmungen

(1) Änderungen und Ergänzungen bedürfen der Textform.

(2) Es gilt deutsches Recht. Sollten einzelne Bestimmungen unwirksam sein, bleibt die Wirksamkeit im Übrigen unberührt.

Anlage 1: Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

Stand der Technik: 05.09.2026.

Zutritts-/Zugangskontrolle

• Hosting im ISO-27001-zertifizierten Rechenzentrum (Hetzner, Falkenstein)
• Serverzugang ausschließlich per SSH mit Schlüssel-Authentifizierung
• Firewall: nur Ports 22/80/443 erreichbar; der Anwendungsport ist nur auf dem Server selbst gebunden
• Anwendungscontainer läuft ohne Root-Rechte

Zugriffskontrolle

• Anmeldung nur mit persönlichem Konto (E-Mail + Passwort); Passwörter als PBKDF2-SHA256-Hash mit 260.000 Iterationen und Salz je Konto
• Rollenkonzept: Admin, Vorarbeiter (lesend auf Teamdaten), Monteur; Betreiberzugriff nur über gesondertes Konto
• Zweiter Anmeldefaktor (TOTP) für Administratoren aktivierbar, mit gehashten Wiederherstellungscodes; für das Betreiber-Konto verbindlich; Geheimnis verschlüsselt gespeichert
• Schutz gegen Passwort-Rateversuche: Ratenbegrenzung in der Datenbank (Anmeldung, Passwort-Rücksetzung, zweiter Faktor, KI-Anfragen, Testanfragen)
• Passwortwechsel entwertet bestehende Sitzungen; Sitzungs-Token mit begrenzter Gültigkeit (72 Stunden)
• Sperre eines Betriebs durch den Betreiber (mit Grund und Protokoll); Kontingente je Betrieb gegen Missbrauch und Überlast

Trennungskontrolle

• Strikte Mandantentrennung auf Datenbankebene; jede Abfrage ist an den Mandanten gebunden (automatisiert getestet)
• Dateien je Mandant in getrennten Verzeichnissen

Übertragungskontrolle

• Transportverschlüsselung (TLS) für sämtliche Verbindungen
• E-Mail-Versand über authentifizierten deutschen Mail-Provider (STARTTLS)
• Push-Nachrichten Ende-zu-Ende-verschlüsselt (RFC 8291)
• Ausgehende Verbindungen nur zu den in Anlage 2 genannten Diensten

Eingabekontrolle / Integrität

• Unterschriebene Rapporte, Bautagebuch-Einträge und Prüfprotokolle sind nach Erstellung unveränderlich; serverseitige Zeitstempel; Prüfsummen (SHA-256) je Foto
• Korrekturen an Stempelzeiten nur mit Grund und Protokoll
• Protokollierung von Anmeldungen (letzter Login je Konto)
• Betreiber-Protokoll: Anlage, Kündigung, Sperre, Löschlauf und Zurücksetzen je Betrieb mit Datum und handelnder Person
• Fehlerwächter: unbehandelte Fehler werden ohne Anfrageinhalt und mit bereinigtem Traceback an den Betreiber gemeldet

Verfügbarkeitskontrolle

• Tägliche automatisierte Sicherung der Datenbank (lokal 30 Tage) und der Dateien; Offsite-Kopie auf einem Speichersystem der Hetzner Online GmbH in Deutschland (60 Tage)
• Hetzner-Server-Backups zusätzlich auf Infrastrukturebene
• Container-Betrieb mit automatischem Neustart; externe Erreichbarkeitsüberwachung
• Wiederherstellung dokumentiert und geprobt

Löschkonzept

• Papierkorb für Rapporte (30 Tage), danach endgültige Löschung inkl. Dateien
• Löschung aller Mandantendaten nach Vertragsende (§ 4 Nr. 5)
• Foto-Metadaten (EXIF einschließlich GPS) werden beim Upload entfernt

Organisation

• Ein-Personen-Betrieb: Zugriff ausschließlich durch den Auftragsverarbeiter; Zugriff auf Inhaltsdaten nur im Supportfall auf Anforderung des Verantwortlichen
• Notfall-Runbook und Vertretungsregelung für den Fall längerer Verhinderung; Zugangsdaten im Passwortmanager mit Notfallzugang

Anlage 2: Unterauftragsverarbeiter und weitere Empfänger

A. Unterauftragsverarbeiter (Vertrag nach Art. 28 Abs. 4 DSGVO)

B. Weitere Empfänger (kein Vertrag nach Art. 28 DSGVO; siehe § 6 Abs. 3–5)

Änderungen werden nach § 5 Abs. 2 mit einer Frist von vier Wochen in Textform angekündigt.

Stand: 06.09.2026 · Neuberger Digital. Siehe auch Leistungsbeschreibung und AGB.