Bauherrenportal

Auftragsverarbeitungsvertrag (AVV)

Stand: April 2026 · gemäß Art. 28 DSGVO

Dieser Auftragsverarbeitungsvertrag (AVV) regelt die Verarbeitung personenbezogener Daten durch die ELMETIC GmbH als Auftragsverarbeiterin im Auftrag der Franchisenehmer (Verantwortliche) gemäß Art. 28 der Datenschutz-Grundverordnung (DSGVO). Durch die Nutzung des Bauherrenportals stimmen Franchisenehmer dem Abschluss dieses AVV zu.

Art. 1 – Vertragsparteien

Auftragsverarbeiterin:
ELMETIC GmbH
E-Mail: support@bauherrenportal.at

Verantwortlicher:
Der jeweilige Franchisenehmer (Elektroinstallationsbetrieb), der das Bauherrenportal zur Verwaltung seiner Kundenprojekte nutzt.

Art. 2 – Gegenstand und Dauer der Verarbeitung

Gegenstand der Auftragsverarbeitung ist die Bereitstellung und der Betrieb der webbasierten SaaS-Plattform „Bauherrenportal" zur digitalen Verwaltung von Bauprojekten, Dokumenten, Fotos, 360°-Raumtouren und Kundenkommunikation.

Die Dauer der Verarbeitung entspricht der Vertragslaufzeit zwischen der ELMETIC GmbH und dem Verantwortlichen. Nach Vertragsende werden alle verarbeiteten personenbezogenen Daten gemäß Art. 8 dieses Vertrages behandelt.

Art. 3 – Art und Zweck der Datenverarbeitung

Art der Daten	Zweck
Name, E-Mail-Adresse der Bauherren	Benutzerkontoverwaltung, Portalzugang
Projektdaten (Adressen, Beschreibungen)	Bauprojektverwaltung
Fotos, Dokumente, 360°-Bilder	Dokumentation des Bauprojekts
Prüfbefunde, elektrische Dokumentation	Technische Projektnachweise
Nachrichten (Kommunikation)	Kommunikation zwischen Bauherr und Installateur
IP-Adresse, Session-Daten	Sicherheit, Authentifizierung

Art. 4 – Kategorien betroffener Personen

Bauherren (Endkunden des Franchisenehmers)
Mitarbeiter des Franchisenehmers
Sonstige vom Franchisenehmer eingeladene Benutzer

Art. 5 – Pflichten der Auftragsverarbeiterin

Die ELMETIC GmbH verpflichtet sich:

Personenbezogene Daten ausschließlich entsprechend den dokumentierten Weisungen des Verantwortlichen zu verarbeiten (Art. 28 Abs. 3 lit. a DSGVO)
Sicherzustellen, dass alle zur Verarbeitung befugten Personen zur Vertraulichkeit verpflichtet sind
Alle gemäß Art. 32 DSGVO erforderlichen technischen und organisatorischen Maßnahmen zu treffen (siehe TOM-Dokument)
Die Bedingungen für die Inanspruchnahme weiterer Auftragsverarbeiter (Unterauftragsverarbeiter) einzuhalten
Den Verantwortlichen bei der Einhaltung seiner Pflichten gemäß Art. 32–36 DSGVO zu unterstützen
Alle personenbezogenen Daten nach Abschluss der Erbringung von Verarbeitungsleistungen zu löschen oder zurückzugeben
Dem Verantwortlichen alle erforderlichen Informationen zum Nachweis der Einhaltung der in Art. 28 DSGVO niedergelegten Pflichten zur Verfügung zu stellen

Art. 6 – Sicherheit der Verarbeitung (Art. 32 DSGVO)

Die ELMETIC GmbH trifft folgende technische und organisatorische Maßnahmen:

Verschlüsselung at Rest: AES-256-GCM für alle gespeicherten Dateien
Verschlüsselung in Transit: TLS 1.2+ für alle Dateiübertragungen
Zugangskontrolle: Rollenbasiertes Berechtigungskonzept (Admin, Editor, Customer, Viewer)
Mandantentrennung: Strikte Datentrennung zwischen verschiedenen Franchisenehmern
Pseudonymisierung: Interne IDs (cuid) statt direkt identifizierender Kennungen
Signierte Zugriffs-URLs: Dateien nur über zeitlich begrenzte, HMAC-SHA256-signierte URLs zugänglich
Passwort-Sicherheit: bcrypt-Hash (12 Runden), nie im Klartext
Session-Management: Automatischer Ablauf nach 12 Stunden, Widerruf bei Passwortänderung

Art. 7 – Unterauftragsverarbeiter

Zum Zeitpunkt der letzten Aktualisierung dieses Dokuments setzt die ELMETIC GmbH folgende Unterauftragsverarbeiter ein:

Unterauftragsverarbeiter	Zweck	Standort
Hetzner Online GmbH Industriestr. 25, 91710 Gunzenhausen, Deutschland	Cloud-Objektspeicher für hochgeladene Dateien (Fotos, Dokumente, Protokolle, Prüfbefunde, Rechnungen, 360°-Bilder). Die Dateien werden nach dem Upload serverseitig mit AES-256-GCM verschlüsselt, bevor sie an den Cloud-Speicher übertragen werden; Hetzner speichert ausschließlich verschlüsselte Bytes.	Deutschland (Rechenzentrum Falkenstein/Nürnberg), ISO/IEC 27001 zertifiziert
Hetzner Online GmbH Industriestr. 25, 91710 Gunzenhausen, Deutschland	Anwendungsserver (VPS) & Datenbank: Betrieb der Web-Anwendung und Speicherung struktureller Daten (Benutzer, Projekte, Metadaten)	Deutschland (Rechenzentrum Nürnberg), ISO/IEC 27001 zertifiziert
E-Mail-Provider (SMTP)	Versand von Einladungs- und Reset-E-Mails, Kunden-Benachrichtigungen	EU

Eine Datenübermittlung in Drittländer außerhalb der EU/des EWR findet nicht statt. Sämtliche Unterauftragsverarbeiter sind per AV-Vertrag vertraglich auf das Datenschutzniveau der DSGVO verpflichtet.

Änderungen bei Unterauftragsverarbeitern werden dem Verantwortlichen vorab mitgeteilt. Der Verantwortliche kann Änderungen innerhalb von 14 Tagen schriftlich widersprechen.

Art. 8 – Löschung nach Auftragsende

Nach Beendigung des Auftragsverhältnisses werden alle personenbezogenen Daten des Verantwortlichen:

auf Wunsch des Verantwortlichen zurückgegeben (Export-Funktion) oder
nach einer Übergangsfrist von 30 Tagen vollständig und unwiderruflich gelöscht,

sofern keine gesetzlichen Aufbewahrungspflichten entgegenstehen. Die vollständige Löschung wird schriftlich bestätigt.

Art. 9 – Datenpannen und Meldepflichten

Im Falle einer Verletzung des Schutzes personenbezogener Daten (Art. 4 Nr. 12 DSGVO) informiert die ELMETIC GmbH den Verantwortlichen unverzüglich, spätestens jedoch innerhalb von 72 Stunden nach Bekanntwerden des Vorfalls, um dem Verantwortlichen die Erfüllung seiner Meldepflichten gemäß Art. 33 und 34 DSGVO zu ermöglichen.

Art. 10 – Betroffenenrechte

Soweit betroffene Personen ihre Rechte (Auskunft, Berichtigung, Löschung, Einschränkung, Datenportabilität) gegenüber der ELMETIC GmbH geltend machen, leitet diese die Anfragen unverzüglich an den zuständigen Verantwortlichen (Franchisenehmer) weiter. Die ELMETIC GmbH unterstützt den Verantwortlichen bei der Beantwortung derartiger Anfragen nach Möglichkeit.

Art. 11 – Weisungsrecht des Verantwortlichen

Die ELMETIC GmbH verarbeitet personenbezogene Daten nur auf dokumentierte Weisung des Verantwortlichen. Weisungen können schriftlich per E-Mail erteilt werden. Wenn die ELMETIC GmbH der Ansicht ist, dass eine Weisung gegen datenschutzrechtliche Vorschriften verstößt, informiert sie den Verantwortlichen unverzüglich.

Art. 12 – Anwendbares Recht

Dieser AVV unterliegt österreichischem Recht. Gerichtsstand ist der Sitz der ELMETIC GmbH in Österreich.

Art. 13 – Kontakt Datenschutz

ELMETIC GmbH
E-Mail: support@bauherrenportal.at

Weitere Dokumente: Datenschutzerklärung · Technisch-organisatorische Maßnahmen · Impressum