Auftragsverarbeitungsvertrag (AVV)

Anlage 1 zu den Allgemeinen Geschäftsbedingungen der AKIT-ConSerSol GmbH für die Software „Lezvi“ (AGB Version 2.4)
Fassung 1.0 — Stand: 16.09.2026

zwischen

dem Kunden gemäß Betriebskonto in der Software (§ 1 Abs. 3 AGB)
(„Kunde“ oder „Verantwortlicher“)

und

der AKIT-ConSerSol GmbH, Opphoferstraße 20, 42107 Wuppertal
(„Anbieter“ oder „Auftragsverarbeiter“)

---

§ 1 Gegenstand, Abschluss, Dauer

(1) Dieser Vertrag regelt die datenschutzrechtlichen Pflichten der Parteien bei der Nutzung der Software „Lezvi“ nach den AGB des Anbieters („Hauptvertrag“). Er gilt für alle Verarbeitungen personenbezogener Daten, die der Kunde oder seine Nutzer in die Software eingeben, in sie importieren oder mit ihr erzeugen („Auftragsdaten“), durch den Anbieter und seine Unterauftragsverarbeiter.

(2) Gegenstand, Art und Zweck der Verarbeitung, die Arten personenbezogener Daten und die Kategorien betroffener Personen ergeben sich aus Anhang 1.

(3) Der Vertrag wird zusammen mit dem Hauptvertrag in elektronischer Form geschlossen (Art. 28 Abs. 9 DSGVO). Die vertretungsberechtigte Person des Kunden erklärt bei der Registrierung des Betriebskontos die Zustimmung zu den AGB einschließlich dieses Vertrags; der Volltext ist an dieser Stelle abrufbar. Der Anbieter speichert den Zeitpunkt der Zustimmung und die akzeptierte Fassung nach § 3 Abs. 4 AGB; die jeweils geltende Fassung ist unter lezvi.de/avv abrufbar. Nutzer mit Nutzerkonten (§ 1 Abs. 4 AGB) sind nicht Partei dieses Vertrags; sie sind betroffene Personen.

(4) Die Laufzeit richtet sich nach dem Hauptvertrag. Dieser Vertrag gilt darüber hinaus fort, solange der Anbieter Auftragsdaten verarbeitet, insbesondere bis Rückgabe und Löschung nach § 12 abgeschlossen sind.

(5) Nicht Gegenstand dieses Vertrags sind die Daten, die der Anbieter als Verantwortlicher verarbeitet: die Vertrags-, Kontakt- und Abrechnungsdaten des Kunden und seiner Ansprechpartner, die Vertragsnachweise sowie die Server- und Sicherheitsprotokolle und Sitzungsdaten aller Nutzer (§ 10 Abs. 1 lit. a AGB, Datenschutzerklärung).

§ 2 Weisungen

(1) Der Anbieter verarbeitet Auftragsdaten nur auf dokumentierte Weisung des Kunden, auch bei einer Übermittlung in ein Drittland oder an eine internationale Organisation, es sei denn, er ist nach dem Recht der Union oder eines Mitgliedstaats zur Verarbeitung verpflichtet (Art. 28 Abs. 3 lit. a DSGVO). In diesem Fall teilt er dem Kunden die rechtlichen Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht dies nicht wegen eines wichtigen öffentlichen Interesses verbietet.

(2) Die Weisungen des Kunden sind in diesem Vertrag und im Hauptvertrag festgelegt. Als dokumentierte Weisung gilt außerdem die Nutzung und Konfiguration der Software durch den Kunden und seine Nutzer im Rahmen der ihnen eingeräumten Berechtigungen, insbesondere das Eingeben, Ändern, Exportieren und Löschen von Daten, das Anlegen und Sperren von Nutzerkonten sowie das Aktivieren und Deaktivieren von Funktionen.

(3) Einzelweisungen erteilen die Administratoren des Betriebskontos in Textform an datenschutz@lezvi.de. Weisungen anderer Personen führt der Anbieter nach Rückbestätigung durch einen Administrator aus. Weisungen, die über den vereinbarten Leistungsumfang hinausgehen, behandelt der Anbieter als Antrag auf Leistungsänderung nach dem Hauptvertrag; gesetzlich geschuldete Weisungen, insbesondere zur Löschung, Einschränkung oder Berichtigung, führt er unabhängig davon aus.

(4) Hält der Anbieter eine Weisung für datenschutzwidrig, weist er den Kunden unverzüglich darauf hin (Art. 28 Abs. 3 Satz 3 DSGVO). Er darf die Ausführung aussetzen, bis der Kunde die Weisung in Kenntnis des Hinweises bestätigt oder ändert. Bleibt der Kunde bei einer Weisung, die nach Auffassung des Anbieters offensichtlich rechtswidrig ist, kann der Anbieter den Hauptvertrag aus wichtigem Grund kündigen.

(5) Der Anbieter verwendet Auftragsdaten nicht für eigene Zwecke, insbesondere nicht zum Training von KI-Modellen (§ 5 Abs. 6 AGB). Der Verzicht auf Trainingsnutzung bedeutet nicht, dass Ein- und Ausgaben zu keinem Zeitpunkt gespeichert werden; Speicherzwecke und -fristen bei Unterauftragsverarbeitern ergeben sich aus Anhang 3.

§ 3 Vertraulichkeit, Personal, Ansprechpartner

(1) Der Anbieter stellt sicher, dass alle Personen, die Auftragsdaten verarbeiten dürfen, schriftlich zur Vertraulichkeit verpflichtet sind oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen (Art. 28 Abs. 3 lit. b DSGVO). Die Verpflichtung gilt über das Ende der Tätigkeit hinaus.

(2) Zugriff auf Auftragsdaten erhalten nur Personen, die ihn für Betrieb, Support oder Fehlerbehebung benötigen, und nur im dafür erforderlichen Umfang.

(3) Ein Datenschutzbeauftragter ist beim Anbieter nicht benannt. Ansprechpartner für Datenschutzfragen ist die Geschäftsführung, erreichbar unter datenschutz@lezvi.de. Benennt der Anbieter einen Datenschutzbeauftragten, teilt er dem Kunden dessen Kontaktdaten mit.

(4) Ansprechpartner und weisungsberechtigt auf Seiten des Kunden sind die Administratoren des Betriebskontos. Meldungen nach § 6 gehen an die Administratoren.

§ 4 Technische und organisatorische Maßnahmen

(1) Der Anbieter trifft die nach Art. 32 DSGVO erforderlichen technischen und organisatorischen Maßnahmen. Sie sind in Anhang 2 beschrieben und Bestandteil dieses Vertrags.

(2) Die Maßnahmen dürfen dem technischen Fortschritt entsprechend weiterentwickelt und durch gleichwertige oder bessere Maßnahmen ersetzt werden. Das vereinbarte Schutzniveau darf dabei nicht unterschritten werden. Die jeweils geltende Fassung des Anhangs 2 ist unter lezvi.de/avv abrufbar; auf wesentliche Änderungen weist der Anbieter in Textform hin.

(3) Der Anbieter überprüft die Wirksamkeit der Maßnahmen mindestens einmal jährlich und zusätzlich bei Anlass, insbesondere nach Sicherheitsvorfällen und wesentlichen Änderungen der Software. Die Überprüfung umfasst die Mandantentrennung.

§ 5 Unterstützung des Kunden

(1) Der Anbieter unterstützt den Kunden mit geeigneten technischen und organisatorischen Maßnahmen dabei, Anträge betroffener Personen nach Kapitel III DSGVO zu beantworten (Art. 28 Abs. 3 lit. e DSGVO). Die Software stellt dafür Funktionen zur Berichtigung, zur Löschung nach Löschfristen je Datentyp mit Löschprotokoll und zur Bearbeitung von Auskunftsanfragen mit Datenexport je Endkunde bereit (Anhang 2 Nr. 8).

(2) Wendet sich eine betroffene Person direkt an den Anbieter, leitet er das Anliegen unverzüglich an den Kunden weiter. Er beantwortet es nur auf Weisung des Kunden selbst.

(3) Der Anbieter unterstützt den Kunden unter Berücksichtigung der Art der Verarbeitung und der ihm vorliegenden Informationen bei den Pflichten aus Art. 32 bis 36 DSGVO (Art. 28 Abs. 3 lit. f DSGVO). Für eine Datenschutz-Folgenabschätzung des Kunden stellt er diesen Vertrag und Anhang 2 bereit.

(4) Die Unterstützung nach Abs. 1 bis 3 durch die Funktionen der Software, die Weiterleitung von Anträgen, die Bereitstellung der genannten Dokumente und die Meldung nach § 6 sind mit dem Entgelt des Hauptvertrags abgegolten. Für Unterstützungsleistungen, die darüber hinausgehen (insbesondere individuelle Datenauswertungen, manuelle Exporte außerhalb der Exportfunktion, Mitwirkung an Datenschutz-Folgenabschätzungen über die Bereitstellung von Unterlagen hinaus), kann der Anbieter eine Vergütung nach der jeweils gültigen Preisliste verlangen, es sei denn, die Unterstützung beruht auf einem Verstoß des Anbieters. Fristgebundene gesetzliche Unterstützung wird nicht von einer Vergütungsvereinbarung abhängig gemacht.

§ 6 Meldung von Verletzungen des Schutzes personenbezogener Daten

(1) Der Anbieter meldet dem Kunden eine Verletzung des Schutzes von Auftragsdaten unverzüglich, spätestens 48 Stunden nachdem sie ihm bekannt geworden ist (Art. 33 Abs. 2 DSGVO). Kenntnis liegt vor, sobald der Anbieter mit hinreichender Sicherheit weiß, dass ein Sicherheitsvorfall zu einer Verletzung des Schutzes von Auftragsdaten geführt hat. Die Höchstfrist berechtigt nicht zu einer Verzögerung, wenn eine frühere Meldung möglich ist. Die Meldung erfolgt in Textform an die Administratoren (§ 3 Abs. 4).

(2) Die Meldung enthält, soweit bekannt, die Angaben nach Art. 33 Abs. 3 DSGVO: Art der Verletzung, Kategorien und ungefähre Zahl der betroffenen Personen und Datensätze, wahrscheinliche Folgen, ergriffene oder vorgeschlagene Maßnahmen und einen Ansprechpartner. Fehlende Angaben reicht der Anbieter unverzüglich nach; eine erste Meldung mit Teilinformationen ist zulässig.

(3) Der Anbieter ergreift unverzüglich die erforderlichen Maßnahmen, um die Verletzung zu beheben und nachteilige Folgen zu mindern, und dokumentiert Vorfall und Maßnahmen.

(4) Die Meldung an die Aufsichtsbehörde und die Benachrichtigung betroffener Personen (Art. 33, 34 DSGVO) obliegen dem Kunden. Der Anbieter unterstützt ihn dabei nach § 5 Abs. 3.

§ 7 Unterauftragsverarbeiter

(1) Der Kunde erteilt dem Anbieter die allgemeine Genehmigung, Unterauftragsverarbeiter einzusetzen (Art. 28 Abs. 2 Satz 1 DSGVO). Die bei Vertragsschluss eingesetzten Unterauftragsverarbeiter stehen in Anhang 3 und gelten als genehmigt.

(2) Der Anbieter informiert den Kunden mindestens vier Wochen vor der beabsichtigten erstmaligen Verarbeitung durch einen neu hinzugezogenen oder ersetzenden Unterauftragsverarbeiter in Textform. Die Mitteilung enthält dessen Identität, Aufgabe, betroffene Datenkategorien, Verarbeitungsorte und Garantien. Die Frist beginnt mit Zugang der vollständigen Mitteilung.

(3) Der Kunde kann der Änderung innerhalb dieser Frist in Textform widersprechen; ein Grund ist nicht erforderlich, soll aber zur gemeinsamen Klärung genannt werden. Widerspricht er nicht fristgerecht, gilt die Änderung als genehmigt; hierauf weist der Anbieter in der Mitteilung hin. Widerspricht er, setzt der Anbieter den neuen Unterauftragsverarbeiter für die Auftragsdaten dieses Kunden bis zur Klärung nicht ein; die Parteien bemühen sich um eine einvernehmliche Lösung. Kann der Anbieter die Leistung ohne den neuen Unterauftragsverarbeiter nicht zumutbar erbringen, kann jede Partei den Hauptvertrag mit einer Frist von vier Wochen zum Zeitpunkt der beabsichtigten Änderung kündigen; im Voraus gezahlte Entgelte werden anteilig erstattet.

(4) Der Anbieter verpflichtet jeden Unterauftragsverarbeiter vertraglich auf im Wesentlichen dieselben Datenschutzpflichten wie in diesem Vertrag, insbesondere auf hinreichende Garantien für geeignete technische und organisatorische Maßnahmen (Art. 28 Abs. 4 DSGVO). Erfüllt ein Unterauftragsverarbeiter seine Pflichten nicht, haftet der Anbieter gegenüber dem Kunden dafür wie für eigenes Verhalten. Auf Verlangen stellt der Anbieter dem Kunden die Datenschutzvereinbarung mit dem Unterauftragsverarbeiter zur Verfügung; Geschäftsgeheimnisse und Preise darf er unkenntlich machen.

(5) Keine Unterauftragsverarbeitung sind Nebenleistungen Dritter, bei denen Auftragsdaten nicht bestimmungsgemäß verarbeitet werden, insbesondere Telekommunikations- und Transportleistungen, die Ausstellung von TLS-Zertifikaten, die externe Überwachung von Erreichbarkeit und Datensicherung sowie Wartungsleistungen ohne Zugriff auf Auftragsdaten.

§ 8 Ort der Verarbeitung, Drittländer

(1) Die Auftragsdaten werden in Rechenzentren in der Europäischen Union gespeichert und verarbeitet; der Hauptspeicherort ist ein Rechenzentrum in Frankfurt am Main (Anhang 3). Zugriffe oder Übermittlungen außerhalb der Europäischen Union gibt es nur in den in Anhang 3 genannten Fällen, auf Grundlage geeigneter Garantien nach Art. 44 ff. DSGVO — insbesondere die Übermittlung gerundeter Standortkoordinaten an die OpenStreetMap Foundation im Vereinigten Königreich.

(2) Eine Übermittlung in ein Drittland oder an eine internationale Organisation erfolgt nur auf dokumentierte Weisung des Kunden oder aufgrund einer Rechtspflicht nach § 2 Abs. 1 und nur, wenn die Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind. Als Weisung gilt die Genehmigung der in Anhang 3 beschriebenen Verarbeitungen und Übermittlungen einschließlich der dort genannten möglichen Support-Zugriffe aus Drittländern.

§ 9 Nachweise und Kontrollen

(1) Der Anbieter stellt dem Kunden auf Anfrage alle Informationen zur Verfügung, die zum Nachweis der Pflichten aus Art. 28 DSGVO erforderlich sind (Art. 28 Abs. 3 lit. h DSGVO). Als Nachweise dienen insbesondere dieser Vertrag mit seinen Anhängen, der interne Nachweis zu Anhang 2, Zertifikate und Prüfberichte der Unterauftragsverarbeiter (insbesondere des Rechenzentrumsbetreibers), Berichte über Sicherheitstests und Selbstauskünfte des Anbieters. Die Bereitstellung ist unentgeltlich.

(2) Der Kunde kann Überprüfungen einschließlich Inspektionen in den Räumen des Anbieters selbst oder durch einen zur Verschwiegenheit verpflichteten Prüfer, der kein Wettbewerber des Anbieters ist, durchführen; er berücksichtigt dabei die vorhandenen Nachweise nach Abs. 1. Inspektionen sind mit angemessener Frist, in der Regel vier Wochen, in Textform anzukündigen und finden während der üblichen Geschäftszeiten ohne vermeidbare Störung des Betriebs statt. Ohne konkreten Anlass finden sie höchstens einmal je Kalenderjahr statt; bei Anzeichen für eine Nichteinhaltung, nach einem Sicherheitsvorfall oder auf Verlangen einer Aufsichtsbehörde auch häufiger und mit kürzerer Frist. Daten anderer Kunden und Geschäftsgeheimnisse des Anbieters werden durch geeignete Vorkehrungen geschützt, ohne das Kontrollrecht auszuschließen.

(3) Für den Personalaufwand einer Inspektion ohne konkreten Anlass kann der Anbieter eine Vergütung nach der bei Ankündigung geltenden Preisliste verlangen, es sei denn, die Inspektion deckt einen nicht nur unerheblichen Verstoß des Anbieters auf. Die Kosten eines vom Kunden beauftragten Prüfers trägt der Kunde.

(4) Lässt ein Unterauftragsverarbeiter keine Inspektionen durch Kunden des Anbieters zu, stellt der Anbieter dessen aktuelle Zertifikate und Prüfberichte zur Verfügung und wirkt auf Anfrage an einer Prüfung durch einen vom Unterauftragsverarbeiter zugelassenen Prüfer mit.

§ 10 Aufsichtsbehörden, behördliche Anfragen

(1) Der Anbieter unterrichtet den Kunden unverzüglich über Anfragen und Kontrollen einer Aufsichtsbehörde, die Auftragsdaten betreffen, soweit ihm dies rechtlich gestattet ist, und duldet Kontrollen der Aufsichtsbehörde im gesetzlichen Umfang (Art. 31, Art. 58 Abs. 1 DSGVO).

(2) Verlangt eine Behörde oder ein Gericht die Herausgabe von Auftragsdaten, unterrichtet der Anbieter den Kunden vor der Herausgabe, soweit rechtlich zulässig, gibt nur die rechtlich zwingend geschuldeten Daten heraus und weist die anfragende Stelle darauf hin, dass der Kunde Verantwortlicher ist. Für Verlangen aus Drittstaaten gilt Art. 48 DSGVO.

§ 11 Verzeichnis und Dokumentation

Der Anbieter führt ein Verzeichnis aller Kategorien von im Auftrag des Kunden durchgeführten Verarbeitungstätigkeiten (Art. 30 Abs. 2 DSGVO) und dokumentiert Weisungen in Textform, Sicherheitsvorfälle, Überprüfungen nach § 4 Abs. 3 und Löschungen nach § 12.

§ 12 Rückgabe und Löschung

(1) Nach Beendigung des Hauptvertrags hält der Anbieter die Auftragsdaten 30 Kalendertage lang zum Abruf über die Exportfunktion bereit (Lesezugriff, § 8 Abs. 4 AGB). Das gilt auch, wenn ein Testvertrag ohne Bestellung endet (§ 3 Abs. 5 AGB). Der Kunde kann stattdessen jederzeit in Textform die sofortige Löschung verlangen (Art. 28 Abs. 3 lit. g DSGVO). Beim Anbieterwechsel nach § 8 Abs. 3 AGB gilt der dortige Abrufzeitraum.

(2) Nach Ablauf der Frist oder auf Löschverlangen löscht der Anbieter die Auftragsdaten innerhalb von 30 Kalendertagen aus den produktiven Systemen, sofern nicht nach Unionsrecht oder dem Recht eines Mitgliedstaats eine Pflicht zur Speicherung besteht, und bestätigt die Löschung dem Kunden unaufgefordert in Textform unter Angabe von Umfang und Datum sowie etwaiger verbleibender gesetzlicher Aufbewahrungen.

(3) Aus Datensicherungen werden die Auftragsdaten im Rahmen des Sicherungszyklus, spätestens sechs Monate nach der Löschung aus den produktiven Systemen, entfernt. Bis dahin werden sie nicht aktiv verarbeitet und sind gegen erneute produktive Bereitstellung gesichert; Sicherungen außerhalb des Rechenzentrums sind verschlüsselt; nach einer Wiederherstellung werden zwischenzeitliche Löschungen erneut angewendet. Datensicherungen dienen ausschließlich der Wiederherstellung nach einem Datenverlust, nicht der Archivierung.

(4) Gesetzliche Aufbewahrungspflichten des Kunden, insbesondere nach §§ 147 AO, 257 HGB, erfüllt der Kunde durch den Export nach § 8 AGB. Eine Archivierung der Auftragsdaten durch den Anbieter nach Vertragsende erfolgt nicht.

(5) Eine Sperrung des Betriebskontos nach § 6 Abs. 8 AGB lässt die Auftragsdaten unberührt; der Lesezugriff und die Exportfunktion bleiben verfügbar, und Weisungen nach diesem Vertrag werden weiterhin ausgeführt.

(6) Unterlagen, die dem Nachweis der ordnungsgemäßen Verarbeitung dienen (Weisungen, Meldungen, Löschbestätigungen), darf der Anbieter entsprechend den gesetzlichen Aufbewahrungsfristen über das Vertragsende hinaus aufbewahren; sie enthalten Auftragsdaten nur, soweit für den Nachweis erforderlich.

§ 13 Haftung

(1) Für die Haftung gegenüber betroffenen Personen gilt Art. 82 DSGVO; sie wird durch diesen Vertrag nicht beschränkt.

(2) Im Verhältnis der Parteien zueinander gelten für Schadensersatzansprüche wegen Verstößen gegen diesen Vertrag die Haftungsregelungen des § 11 AGB, soweit gesetzlich zulässig; die Verpflichtungen aus diesem Vertrag sind wesentliche Vertragspflichten im Sinne von § 11 Abs. 5 AGB. Für den Ausgleich zwischen den Parteien nach Art. 82 Abs. 5 DSGVO bleibt es bei der gesetzlichen Verteilung nach dem Anteil an der Verantwortung; § 11 Abs. 6 AGB findet auf diesen Ausgleich Anwendung, soweit gesetzlich zulässig. Die Haftung für Vorsatz und grobe Fahrlässigkeit bleibt unbeschränkt.

(3) Für Pflichtverletzungen von Unterauftragsverarbeitern haftet der Anbieter nach § 7 Abs. 4 wie für eigenes Verhalten.

§ 14 Schlussbestimmungen

(1) Für die Verarbeitung von Auftragsdaten gehen die Regelungen dieses Vertrags denen des Hauptvertrags vor (§ 1 Abs. 7, § 10 Abs. 2 AGB).

(2) Änderungen dieses Vertrags bedürfen der Textform. Der Anbieter kann die Anhänge 2 und 3 nach Maßgabe von § 4 Abs. 2 und § 7 Abs. 2 aktualisieren; die jeweils geltende Fassung ist unter lezvi.de/avv abrufbar, und auf Änderungen weist er in Textform hin. Für sonstige Änderungen gilt § 13 Abs. 1 AGB entsprechend, jedoch nur, soweit die Änderung zur Anpassung an geänderte gesetzliche Vorgaben, Rechtsprechung oder behördliche Anforderungen erforderlich ist.

(3) Ist eine Bestimmung unwirksam, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt; an die Stelle der unwirksamen Bestimmung tritt die gesetzliche Regelung.

(4) Es gilt deutsches Recht unter Beachtung unmittelbar anwendbaren Unionsrechts. Gerichtsstand ist, soweit gesetzlich zulässig, Wuppertal (§ 13 Abs. 9 AGB).

---

Anhang 1 — Beschreibung der Verarbeitung

Gegenstand: Bereitstellung und Betrieb der Software „Lezvi“ als Software-as-a-Service: Speicherung und Verarbeitung der Auftragsdaten, Datensicherung, Support und Fehlerbehebung, KI-gestützte Umwandlung von Sprachaufnahmen in Text und Strukturierung von Texten, Versand von Systemnachrichten, Ermittlung von Anschriften aus Koordinaten, Export und Löschung.

Zweck: Unterstützung des Kunden bei der Verwaltung seines Handwerksbetriebs: Kunden, Baustellen und Projekte, Angebote, Aufträge, Aufmaß, Leistungs- und Zeiterfassung, Baustellenprotokolle, Abnahmen, Nachträge, Rechnungen einschließlich elektronischer Rechnungen, Mahnwesen, Belegarchiv.

Art der Verarbeitung: Erheben, Erfassen, Organisieren, Ordnen, Speichern, Anpassen oder Verändern, Auslesen, Abfragen, Verwenden, Übermitteln an die Empfänger nach Anhang 3, Abgleichen, Einschränken, Löschen.

Kategorien betroffener Personen:

• Endkunden des Kunden (Privatpersonen sowie Ansprechpartner von Geschäftskunden und öffentlichen Auftraggebern)
• Beschäftigte des Kunden mit Nutzerkonto sowie Beschäftigte, deren Arbeits- und Leistungsdaten erfasst werden
• Vertreter von Auftraggebern, die Protokolle, Abnahmen oder Nachträge unterzeichnen
• Personen, die gegenüber dem Kunden Betroffenenrechte geltend machen
• sonstige Dritte, soweit der Kunde sie in Freitexten, Sprachaufnahmen, Fotos oder Dokumenten erfasst (z. B. Nachunternehmer, Lieferanten)

Arten personenbezogener Daten:

Server- und Sicherheitsprotokolle des Anbieters sowie Sitzungsdaten sind keine Auftragsdaten; sie verarbeitet der Anbieter als Verantwortlicher (Datenschutzerklärung).

Sprachaufnahmen: Die Audiodatei wird zur Umwandlung in Text an den KI-Dienst übermittelt. Beim Anbieter liegt sie nur für die Dauer der Verarbeitung als temporäre Datei auf dem Server und wird danach automatisch gelöscht. Beim KI-Dienst werden Ein- und Ausgaben bis zu 30 Tage zur Missbrauchserkennung gespeichert, solange keine Zero Data Retention vereinbart ist (Anhang 3). Der erkannte Text wird als Auftragsdatum gespeichert.

Besondere Kategorien (Art. 9 DSGVO): Nicht vorgesehen. Der Kunde gibt solche Daten nach § 5 Abs. 4 AGB nicht ein. Freitexte, Sprachaufnahmen und Fotos können sie unbeabsichtigt enthalten; Beschränkungen: Zugriff nur nach Rollenkonzept, keine Auswertung von Inhalten durch den Anbieter außer zur Fehlerbehebung auf Weisung, Unterrichtung des Kunden, wenn dem Anbieter solche Daten auffallen.

Dauer: Laufzeit des Hauptvertrags zuzüglich der Fristen nach § 12.

Anhang 2 — Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

1. Zutrittskontrolle

• Die Server stehen in einem Rechenzentrum in Frankfurt am Main und werden von der Host-On Service Provider GmbH betrieben. Der physische Schutz, insbesondere Zutrittskontrolle und Überwachung, liegt beim Rechenzentrumsbetreiber nach dem Auftragsverarbeitungsvertrag mit Host-On; eine Kopie stellt der Anbieter dem Kunden auf Anfrage zur Verfügung.
• Der Anbieter betreibt keine eigenen Serverräume.

2. Zugangskontrolle

• Anmeldung nur mit persönlichen Zugangsdaten; Passwörter nur als Hashwert nach dem Stand der Technik; eine Mindestlänge ist technisch durchgesetzt.
• Vorübergehende Kontosperre nach wiederholten Fehlversuchen.
• Automatische Abmeldung nach Inaktivität und nach einer Höchstdauer, für alle Rollen einschließlich der Verwaltungsoberfläche des Anbieters.
• Sitzungs-Cookies nur über verschlüsselte Verbindungen, geschützt gegen Zugriff durch Skripte und gegen Cross-Site-Anfragen.
• Passwort-Zurücksetzen nur über zeitlich begrenzte Einmal-Links mit begrenzter Zahl von Anforderungen.
• Administrativer Zugang zum Server ausschließlich durch den Anbieter, nur mit kryptografischen Schlüsseln; kein Zugang per Passwort oder direkter Fernwartung aus dem Internet.

3. Zugriffskontrolle

• Rollenkonzept: Anbieter (Betrieb und Support), Administrator des Betriebskontos, Nutzer (Beschäftigte des Kunden). Nutzer sehen nur ihnen zugewiesene Vorgänge und keine Finanzbelege.
• Mandantentrennung: Die Daten eines Betriebskontos sind nur für dieses zugänglich. Die Anwendung teilt der Datenbank bei jeder Anfrage das Betriebskonto mit; die Datenbank gibt dann nur dessen Datensätze heraus, auch wenn eine Abfrage den Betriebsfilter nicht selbst enthält. Betriebsübergreifend arbeiten nur die Verwaltung des Anbieters und Systemvorgänge wie Anmeldung und Wartung. Dokumente (PDF, Fotos, Unterschriften) sind nur nach Anmeldung und Prüfung der Zugehörigkeit abrufbar, nicht über direkte Dateipfade.
• Die Anwendung arbeitet mit einer eingeschränkten Datenbankrolle; das Änderungsprotokoll kann sie weder ändern noch löschen.
• Schutz gegen verbreitete Angriffe auf Webanwendungen nach dem Stand der Technik, insbesondere parametrisierte Datenbankabfragen, Schutz vor Cross-Site-Anfragen, Ausgabe-Maskierung und Sicherheits-Header.
• Interne Verzeichnisse (Skripte, Protokolle, Sicherungen, Konfiguration) sind aus dem Internet nicht erreichbar.

4. Trennungskontrolle

• Mandantentrennung nach Nr. 3, in der Anwendung und zusätzlich in der Datenbank durchgesetzt.
• Getrennte Umgebungen für Entwicklung, Test und Produktion mit eigener Datenbank; Entwicklung und Test enthalten keine Auftragsdaten.

5. Verschlüsselung

• Übertragung ausschließlich verschlüsselt (TLS), auch zum KI-Dienst und zum E-Mail-Dienst.
• Sicherungen, die den Server verlassen, werden vorher verschlüsselt; den Schlüssel hat nur der Anbieter.
• Gespeicherte Zugangsdaten zu Systemen Dritter werden verschlüsselt abgelegt.
• Datenbank und Dateiablage sind auf Datenträgerebene nicht zusätzlich verschlüsselt. Der Schutz ruht auf dem Zugangsschutz zum Server nach Nr. 2 und der Zutrittskontrolle des Rechenzentrums nach Nr. 1.

6. Eingabe- und Weitergabekontrolle

• Änderungsprotokoll für vertrags- und steuerrelevante Daten: wer, wann, welcher Datensatz, alter und neuer Wert; gegen nachträgliche Veränderung kryptografisch gesichert. Zugangsgeheimnisse werden nicht protokolliert.
• Finalisierte Rechnungen sind unveränderbar; archivierte Belege werden mit Prüfsumme abgelegt.
• Auftragsdaten werden nur an die Empfänger nach Anhang 3 übermittelt.
• Metadaten hochgeladener Fotos einschließlich des Aufnahmeorts werden beim Upload entfernt.

7. Verfügbarkeit und Wiederherstellbarkeit

• Tägliche Sicherung von Datenbank und Dokumenten mit automatischer Prüfung; zusätzlich tägliche verschlüsselte Sicherung außerhalb des Rechenzentrums (Anhang 3). Sicherungen werden höchstens sechs Monate aufbewahrt.
• Regelmäßige Integritätsprüfung der Sicherungen und dokumentierte Wiederherstellungstests.
• Nach einer Wiederherstellung werden die seit dem Sicherungsstand erfolgten Löschungen erneut angewendet.
• Zusätzlich sichert der Hoster täglich die gesamte virtuelle Maschine. Diese Sicherungen enthalten alle Auftragsdaten, liegen im Rechenzentrum in Frankfurt am Main und werden nach wenigen Tagen überschrieben.
• Redundante Strom-, Klima- und Speicherinfrastruktur des Rechenzentrums nach dem Auftragsverarbeitungsvertrag mit Host-On.
• Automatischer Neustart der Dienste nach Störungen; externe Überwachung der Datensicherung und der Erreichbarkeit; Benachrichtigung des Anbieters bei Anwendungsfehlern.

8. Unterstützung bei Betroffenenrechten

• Löschfristen je Datentyp mit Voreinstellungen, die an gesetzlichen Aufbewahrungspflichten ausgerichtet sind; der Kunde kann sie verlängern, aber nicht unter die Voreinstellung setzen.
• Die Löschung nach Fristablauf löst der Kunde aus. Jede Löschung, Anonymisierung und Einschränkung wird protokolliert, ohne den gelöschten Inhalt zu wiederholen.
• Ein dokumentierter Aufbewahrungsgrund (etwa laufender Rechtsstreit, Prüfung, Gewährleistung) hält einen Datensatz über den Fristablauf hinaus.
• Verwaltung von Auskunftsanfragen mit Anzeige der Frist.
• Datenexport je Endkunde und je Beschäftigtem in maschinenlesbarem Format (CSV, JSON) mit den zugehörigen Belegdateien.
• Berichtigung über die normalen Bearbeitungsfunktionen.

9. Datenschutzfreundliche Voreinstellungen (Art. 25 DSGVO)

• Keine Einbindung externer Inhalte, Schriftarten oder Tracker; alle Bibliotheken werden vom eigenen Server ausgeliefert.
• Sprachaufnahmen werden beim Anbieter nicht dauerhaft gespeichert. Die KI-Verarbeitung erfolgt nach Anhang 3 in Rechenzentren der EU und der EFTA-Staaten.
• An den Adressdienst werden nur gerundete Koordinaten ohne Nutzerkennung übermittelt.
• Standortkoordinaten werden nur bei der Erstellung eines Baustellenprotokolls erfasst, nicht fortlaufend.

10. Regelmäßige Überprüfung

• Code-Änderungen durchlaufen automatisierte Prüfungen und Tests, einschließlich einer Prüfung der verwendeten Bibliotheken auf bekannte Sicherheitslücken.
• Überprüfung dieser Maßnahmen einschließlich der Mandantentrennung mindestens jährlich (§ 4 Abs. 3).
• Notfall- und Wiederherstellungsverfahren sind dokumentiert.

Anhang 3 — Unterauftragsverarbeiter und weitere Empfänger

Eigene Unterauftragsverarbeiter der Mistral AI SAS

Stand des Mistral Trust Centers am 25.09.2026. Aufgeführt sind die Dienstleister, die für das von uns genutzte Produkt (Studio/API) benannt sind. Für andere Mistral-Produkte benennt das Trust Center weitere Dienstleister; diese setzen wir nicht ein.

• Verarbeitung der Eingaben (Inferenz und Infrastruktur): Mistral Compute (Frankreich); CoreWeave Inc. (EWR); Microsoft Inc. (Schweden, Norwegen); Google LLC (Niederlande, Belgien — sowie Vereinigte Staaten, soweit der US-Endpunkt genutzt wird, was bei uns nicht der Fall ist)
• Betrieb der Plattform: Ory Corp. (Belgien, Deutschland, Anmeldung); Kong Inc. (EWR, Absicherung der Schnittstelle); Functional Software, Inc. — Sentry (EWR, Fehlerbehandlung); Cloudflare, Inc. (weltweit, Verkehrslenkung und Abwehr); CrowdStrike, Inc. (EWR, Vereinigte Staaten, Sicherheitsüberwachung); Wiz, Inc. (EWR, Sicherheitsüberwachung); verbundene Unternehmen der Mistral AI
• Funktionen der Schnittstelle, die wir nicht aufrufen: Black Forest Labs, Inc. (Vereinigte Staaten, Bildgenerierung); Brave Software, Inc. (Vereinigte Staaten, Websuche); Foundrylabs, Inc. — E2B (Frankreich, Belgien, Niederlande, Code-Ausführung)
• Kaufmännischer Betrieb ohne Zugriff auf Eingabeinhalte: Get Lago Corp. (Irland, Abrechnung); Stripe, Inc. (Vereinigte Staaten, Zahlungsabwicklung); Plus Five Five, Inc. — Resend (Irland, E-Mail); Twilio Inc. (Vereinigte Staaten, Rufnummernprüfung); Intercom Inc. (Irland, Support)

Weitere Empfänger, die keine Unterauftragsverarbeiter sind:

• OpenStreetMap Foundation (Nominatim), St John’s Innovation Centre, Cowley Road, Cambridge CB4 0WS, Vereinigtes Königreich: Ermittlung einer Anschrift aus den Koordinaten eines Baustellenprotokolls, automatisch bei dessen Anzeige; übermittelt werden serverseitig nur auf rund einen Meter gerundete Koordinaten ohne Nutzerkennung und ohne IP-Adresse des Nutzers. Die OpenStreetMap Foundation beantwortet die Anfrage in eigener Verantwortung; mit ihr besteht kein Auftragsverarbeitungsvertrag. Grundlage der Übermittlung: Angemessenheitsbeschluss der Europäischen Kommission für das Vereinigte Königreich vom 19. Dezember 2025 (Art. 45 DSGVO).
• Die Schaltfläche „Karte“ öffnet openstreetmap.org im Browser des Nutzers; dabei übermittelt der Browser des Nutzers IP-Adresse und Koordinaten an die OpenStreetMap Foundation. Der Anbieter weist in der Software neben der Schaltfläche darauf hin.

Anhang 4 — Musterinformation für Beschäftigte des Kunden (Art. 13 DSGVO)

Information zur Verarbeitung Ihrer personenbezogenen Daten in der Software „Lezvi“

Verantwortlicher: [Firma des Betriebs, Anschrift, E-Mail]. [Datenschutzbeauftragter, falls benannt.]

Zwecke und Rechtsgrundlage: Wir nutzen die Software „Lezvi“ zur Verwaltung unserer Aufträge, Baustellen, Zeiten und Rechnungen. Dabei verarbeiten wir Ihre Daten zur Durchführung des Arbeitsverhältnisses (Art. 6 Abs. 1 lit. b DSGVO), insbesondere zur Arbeitszeiterfassung, Einsatzplanung, Leistungsdokumentation und Abrechnung gegenüber unseren Kunden, sowie zur Erfüllung gesetzlicher Pflichten (Art. 6 Abs. 1 lit. c DSGVO, z. B. Arbeitszeitgesetz, Aufbewahrungspflichten).

Welche Daten: Name, dienstliche E-Mail-Adresse und Telefonnummer; Zugangsdaten (Passwort nur als Hashwert gespeichert, aus dem es sich nicht zurückgewinnen lässt); Arbeits-, Pausen- und Fahrzeiten; erbrachte Leistungen und zugewiesene Aufgaben; Baustellenprotokolle mit Fotos, Unterschriften und dem Standort der Baustelle zum Zeitpunkt der Protokollerstellung; Zeitpunkt Ihrer letzten Anmeldung; Änderungsprotokoll (wer hat wann was geändert). Eine fortlaufende Ortung findet nicht statt; der Standort wird nur beim Erstellen eines Protokolls erfasst.

Empfänger: Die Software wird von der AKIT-ConSerSol GmbH, Opphoferstraße 20, 42107 Wuppertal, in unserem Auftrag betrieben (Auftragsverarbeitung nach Art. 28 DSGVO). Diese setzt ihrerseits Dienstleister für Hosting (Frankfurt am Main), Sprach- und Texterkennung (Mistral AI, Frankreich) sowie den Versand von Systemnachrichten und die verschlüsselte Datensicherung (Microsoft, Irland) ein. Zur Anzeige der Anschrift eines Protokollstandorts werden gerundete Koordinaten an die OpenStreetMap Foundation (Vereinigtes Königreich) übermittelt. Unsere Kunden erhalten Protokolle, Abnahmen und Rechnungen, die Ihren Namen enthalten können. [Ggf. Steuerberater, Lohnbüro.]

Speicherdauer: Für die Dauer des Arbeitsverhältnisses und anschließend, soweit gesetzliche Aufbewahrungspflichten bestehen. Die Mindestfrist für Arbeitszeitnachweise beträgt zwei Jahre (§ 16 Abs. 2 ArbZG); in der Software bleiben Zeiten sechs Jahre gespeichert, weil sie in die Abrechnung gegenüber unseren Kunden eingehen und damit zu den Lohn- und Buchungsunterlagen zählen (§ 41 Abs. 1 EStG, § 147 AO). Abrechnungsrelevante Unterlagen bis zu zehn Jahre. Ihr Zugang wird mit Ihrem Ausscheiden gesperrt; Ihre Stammdaten werden sechs Jahre nach dem Ausscheiden anonymisiert, die übrigen Daten nach Ablauf der jeweiligen Aufbewahrungsfrist gelöscht oder anonymisiert.

Ihre Rechte: Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Datenübertragbarkeit, Widerspruch gegen Verarbeitungen auf Grundlage berechtigter Interessen; Beschwerderecht bei einer Datenschutz-Aufsichtsbehörde, z. B. [zuständige Landesbehörde]. Anfragen richten Sie an [Kontakt des Betriebs].

Pflicht zur Bereitstellung: Die Nutzung der Software ist Teil Ihrer Arbeitsaufgaben; die Angabe von Name und dienstlicher E-Mail-Adresse ist für die Einrichtung Ihres Nutzerkontos erforderlich.

Hinweis: Bitte geben Sie in Protokolle, Sprachaufnahmen und Fotos keine Angaben zu Gesundheit oder anderen besonders geschützten Daten ein — weder über sich noch über andere.