Register 10 · Firma · Blatt 95
Auftragsverarbeitungsvertrag
Dieser Vertrag gilt zwischen Ihrem Betrieb als Verantwortlichem (Auftraggeber) und der Lunwerk GmbH, Werkstattgasse 7, 60314 Frankfurt am Main, als Auftragsverarbeiter (Auftragnehmer). Er ergänzt die Allgemeinen Geschäftsbedingungen.
Gegenstand und Dauer
Der Auftragnehmer verarbeitet personenbezogene Daten im Auftrag des Auftraggebers, soweit dieser sie im Baubuch erfasst. Der Vertrag läuft, solange das Konto besteht, und endet mit der Löschung des Kontos oder dem Ende des Nutzungsvertrags.
Art und Zweck der Verarbeitung
Der Auftragnehmer speichert, zeigt an, prüft, exportiert und druckt die erfassten Daten. Dazu gehören die Prüfung der Arbeitszeiten nach dem Arbeitszeitgesetz und die Berechnung der Prüfsummen für festgeschriebene Berichte. Zweck ist die Dokumentation von Baustellen, Arbeitszeiten und Mängeln für den Auftraggeber.
Art der Daten
- Stammdaten des Betriebs: Firma, Name, E-Mail, Bundesland, Gewerk
- Arbeitszeitdaten Beschäftigter: Name, Gewerk, Arbeitszeiten, Pausen, Abwesenheitstage
- Baustellendaten: Baustellen, Tagesberichte mit Personal und Geräten, Mängel mit Verantwortlichen
- Fotos bei Mängeln
- Unterschriften, gezeichnet auf dem Bildschirm
Besondere Kategorien personenbezogener Daten sind nicht vorgesehen. Das Kürzel K im Zeitraster kennzeichnet einen Abwesenheitstag. Diagnosen und weitere Gesundheitsangaben gehören nicht in das Baubuch.
Kreis der Betroffenen
Betroffen sind Beschäftigte und andere auf den Baustellen eingesetzte Personen des Auftraggebers, Ansprechpersonen des Auftraggebers sowie Personen, die als Verantwortliche eines Mangels genannt werden, unterschreiben oder auf einem Foto erscheinen.
Weisungen
Der Auftragnehmer verarbeitet die Daten nur auf dokumentierte Weisung des Auftraggebers. Die Nutzung der Funktionen im Konto und die dort getroffenen Einstellungen sind Weisungen. Weitere Weisungen erteilt der Auftraggeber in Textform über das Kontaktformular. Hält der Auftragnehmer eine Weisung für rechtswidrig, weist er unverzüglich darauf hin.
Pflichten des Auftragnehmers
- Er verpflichtet alle Personen, die Zugang zu den Daten haben, zur Vertraulichkeit.
- Er trifft die Maßnahmen der Anlage nach Art. 32 DSGVO.
- Er unterstützt den Auftraggeber bei Anfragen Betroffener, bei der Datenschutz-Folgenabschätzung und bei Meldepflichten, soweit das im Rahmen seiner Möglichkeiten liegt.
- Er meldet Verletzungen des Schutzes personenbezogener Daten unverzüglich nach Bekanntwerden in Textform an die im Konto hinterlegte E-Mail-Adresse.
- Er führt das Verzeichnis nach Art. 30 Abs. 2 DSGVO. Ansprechperson für den Datenschutz ist Katrin Zeller (Thema „Datenschutz“ im Kontaktformular).
Unterauftragsverarbeiter
Der Auftragnehmer setzt einen Hosting-Dienstleister ein. Er stellt die Server und den Speicher in einem Rechenzentrum in Frankfurt am Main bereit. Den Namen nennen wir auf Anfrage über das Kontaktformular. Weitere Unterauftragsverarbeiter setzt der Auftragnehmer nur ein, wenn er den Auftraggeber mindestens 30 Tage vorher informiert und dieser nicht aus wichtigem Grund widerspricht. Mit jedem Unterauftragsverarbeiter gelten dieselben Datenschutzpflichten. Eine Verarbeitung außerhalb der Europäischen Union oder des Europäischen Wirtschaftsraums findet nicht statt.
Rechte Betroffener
Betroffene wenden sich an den Auftraggeber. Gehen Anfragen beim Auftragnehmer ein, leitet er sie weiter. Berichtigen, löschen und exportieren kann der Auftraggeber die Daten im Bereich Konto selbst.
Löschung und Rückgabe
Zur Rückgabe dient „Alle Daten exportieren“ (ZIP mit CSV), jederzeit nutzbar. „Konto löschen“ entfernt alle Daten des Kontos sofort und unwiderruflich. Gesetzliche Aufbewahrungspflichten des Auftraggebers, etwa nach § 16 Abs. 2 ArbZG oder § 17 MiLoG, erfüllt dieser selbst; er exportiert die Daten vor der Löschung.
Kontrollrechte
Der Auftraggeber darf sich von der Einhaltung dieses Vertrags überzeugen. Der Auftragnehmer erteilt dafür Auskünfte in Textform und weist die Maßnahmen der Anlage nach. Kontrollen vor Ort sind bei begründetem Anlass nach Anmeldung mit vier Wochen Vorlauf zu den Geschäftszeiten möglich; der Auftraggeber trägt die Kosten.
Technische und organisatorische Maßnahmen
| Kontrolle | Umsetzung |
|---|---|
| Zutrittskontrolle | Die Server stehen im Rechenzentrum des Hosting-Dienstleisters in Frankfurt am Main. Der Zutritt richtet sich nach dessen Regeln. |
| Zugangskontrolle | Anmeldung mit Passwort (mindestens 10 Zeichen, gespeichert als scrypt-Hash). Sperre von 15 Minuten nach 5 Fehlversuchen. Sitzungen laufen 30 Tage gleitend und lassen sich beenden. Administrativer Zugriff nur für befugte Personen im Betrieb. |
| Zugriffskontrolle | Jedes Konto sieht nur seine eigenen Daten. API-Tokens gehören zu einem Konto und liegen nur als SHA-256-Hash vor. Zugriffe des Teams auf Inhalte erfolgen nur zweckgebunden. |
| Weitergabekontrolle | Verbindungen über HTTPS, Sitzungscookie mit Secure, HttpOnly und SameSite=Lax. Keine externen Skripte, Schriften oder Tracker. Weitergabe nur an den Hosting-Dienstleister. |
| Eingabekontrolle | Festschreiben mit Prüfsummenkette (SHA-256 über kanonisches JSON). Festgeschriebene Berichte lehnen Änderungen ab (Fehler 409), „Kette prüfen“ erkennt nachträgliche Änderungen. Die Kette zeigt nicht, wer geändert hat. |
| Verfügbarkeit | Betrieb im Rechenzentrum, Sicherung des Gesamtbestands für den Wiederanlauf, Statusseite. Exportfunktion für die eigene Sicherung des Auftraggebers. |
| Trennung | Daten verschiedener Auftraggeber liegen in getrennten Konten und werden nur dem jeweiligen Konto zugeordnet. Eine Nutzung zu eigenen Zwecken findet nicht statt. |
Stand: 09.11.2026