Rechtliches

Vertrag zur Auftrags­verarbeitung

Wenn ich für Ihren Betrieb personenbezogene Daten verarbeite, gilt dieser Vertrag nach Art. 28 DSGVO. Er wird mit dem Angebot Bestandteil des Auftrags. Stand: Oktober 2026.

Zwischen dem Kunden als Verantwortlichem („Auftraggeber“) und BP Agentics, Sidia Jerome Barry, Hagen, als Auftragsverarbeiter („BP Agentics“). Vollständige Anschrift: siehe Impressum bzw. im unterzeichneten Vertrag. Ergänzend gelten die AGB; in Fragen des Datenschutzes geht dieser Vertrag vor.

§ 1 Gegenstand und Dauer

1. BP Agentics verarbeitet personenbezogene Daten im Auftrag des Auftraggebers, soweit dies für die im Angebot vereinbarten Leistungen nötig ist (Hauptvertrag).
2. Der Vertrag gilt für die Laufzeit des Hauptvertrags. Pflichten zur Löschung, Rückgabe und Vertraulichkeit gelten darüber hinaus.

§ 2 Art und Zweck der Verarbeitung, Daten und Betroffene

• Website-Betreuung. Zweck: Hosting, Sicherheitsupdates, Datensicherung und Pflege der Website. Daten: Server-Protokolle (IP-Adresse, Zeitpunkt, aufgerufene Seiten, Browserangaben) und Inhalte von Kontakt- oder Anfrageformularen. Betroffene: Besucher der Website, Interessenten.
• Nachrichten-Assistent. Zweck: Beantworten und Vorbereiten von Anfragen per WhatsApp und E-Mail, Anbieten von Terminen. Daten: Name, Telefonnummer oder WhatsApp-Kennung, E-Mail-Adresse, Nachrichteninhalte, Fotos und Dateien, Ort und Angaben zum Vorhaben, Terminwünsche. Betroffene: Kunden und Interessenten des Auftraggebers.
• Büroabläufe (individueller Ablauf). Zweck: Einrichtung, Test und Fehlerbehebung des vereinbarten Ablaufs. Daten: Auftrags-, Kunden-, Liefer- und Leistungsdaten sowie Namen und Kontaktdaten von Beschäftigten, jeweils im Umfang des Angebots. Betroffene: Kunden, Lieferanten und Beschäftigte des Auftraggebers.
• Digitale Projektmappe mit Sprachbericht. Zweck: Aufnehmen und Umwandeln von Sprachberichten in Text, Erstellen von Berichtsentwürfen, Prüfen und Bestätigen durch die Mitarbeiter, Ablage beim Auftrag, Erstellen von PDF-Berichten und Tabellen sowie Betrieb und Fehlerbehebung, auch während eines Praxistests. Daten: Namen, Zugänge und Nutzungsprotokolle der Mitarbeiter; Sprachaufnahmen und deren Abschrift; Entwürfe und bestätigte Berichte mit Tätigkeit, gemeldeter Arbeitszeit, Material und Zusatzarbeiten; Zeitpunkt und Person der Bestätigung; Fotos und fotografierte Lieferscheine; Auftrags- und Baustellendaten wie Name des Kunden und Einsatzort. Betroffene: Beschäftigte des Auftraggebers sowie dessen Kunden und Lieferanten, soweit sie in Berichten, Fotos oder Lieferscheinen vorkommen.

Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO) sind nicht vorgesehen. Der Auftraggeber sorgt dafür, dass solche Daten nicht gezielt übermittelt werden. Sprachaufnahmen der Projektmappe werden nur in Text umgewandelt. Personen werden nicht anhand ihrer Stimme erkannt oder identifiziert.

§ 3 Weisungen

1. BP Agentics verarbeitet die Daten nur auf dokumentierte Weisung des Auftraggebers. Als Weisung gelten der Hauptvertrag, dieser Vertrag und Einzelweisungen in Textform.
2. Ist BP Agentics gesetzlich zu einer anderen Verarbeitung verpflichtet, teilt BP Agentics dies dem Auftraggeber vorher mit, sofern das Gesetz eine solche Mitteilung nicht verbietet.
3. Hält BP Agentics eine Weisung für rechtswidrig, weist BP Agentics den Auftraggeber unverzüglich darauf hin und darf die Ausführung bis zur Bestätigung aussetzen.

§ 4 Vertraulichkeit

1. BP Agentics behandelt die Daten vertraulich. Personen, die BP Agentics mit der Verarbeitung betraut, sind zur Vertraulichkeit verpflichtet oder unterliegen einer gesetzlichen Verschwiegenheitspflicht.

§ 5 Sicherheit der Verarbeitung

1. BP Agentics trifft die technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO, die in Anlage 1 beschrieben sind.
2. BP Agentics darf die Maßnahmen an den Stand der Technik anpassen, solange das Schutzniveau nicht sinkt.

§ 6 Unterauftrags­verarbeiter

1. Der Auftraggeber erteilt die allgemeine Genehmigung, Unterauftragsverarbeiter einzusetzen. Die für den Auftrag eingesetzten Unterauftragsverarbeiter nennt das Angebot; Anlage 2 zeigt die häufig eingesetzten.
2. Über eine beabsichtigte Änderung informiert BP Agentics den Auftraggeber vorab in Textform. Der Auftraggeber kann innerhalb von 14 Tagen aus wichtigem datenschutzrechtlichem Grund widersprechen. Kommt keine Einigung zustande, können beide Seiten die betroffene Leistung mit einer Frist von 14 Tagen kündigen.
3. BP Agentics verpflichtet Unterauftragsverarbeiter vertraglich auf dieselben Datenschutzpflichten und haftet für sie wie für eigenes Handeln.

§ 7 Übermittlung in Drittländer

1. Daten werden außerhalb der EU und des EWR nur verarbeitet, wenn die Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind, insbesondere durch einen Angemessenheitsbeschluss (zum Beispiel das EU-US Data Privacy Framework) oder EU-Standardvertragsklauseln.

§ 8 Unterstützung des Auftraggebers

1. BP Agentics unterstützt den Auftraggeber mit geeigneten Maßnahmen dabei, Anfragen betroffener Personen zu beantworten (Art. 12 bis 22 DSGVO). Anfragen, die bei BP Agentics eingehen, leitet BP Agentics unverzüglich weiter.
2. BP Agentics unterstützt den Auftraggeber bei der Sicherheit der Verarbeitung, bei Meldungen von Datenschutzverletzungen, bei Datenschutz-Folgenabschätzungen und bei der Konsultation der Aufsichtsbehörde (Art. 32 bis 36 DSGVO).

§ 9 Verletzungen des Schutzes personenbezogener Daten

1. BP Agentics meldet dem Auftraggeber eine Verletzung des Schutzes personenbezogener Daten unverzüglich, möglichst innerhalb von 24 Stunden nach Kenntnis, mit den Angaben nach Art. 33 Abs. 3 DSGVO, soweit sie vorliegen.

§ 10 Löschung und Rückgabe

1. Nach Ende der Leistungen gibt BP Agentics die Daten nach Wahl des Auftraggebers zurück oder löscht sie innerhalb von 30 Tagen, sofern keine gesetzliche Pflicht zur Speicherung besteht. Auf Wunsch bestätigt BP Agentics die Löschung in Textform.

§ 11 Nachweise und Kontrollen

1. BP Agentics stellt dem Auftraggeber die Informationen zur Verfügung, die zum Nachweis der Pflichten aus diesem Vertrag nötig sind.
2. Der Auftraggeber oder ein von ihm beauftragter, zur Verschwiegenheit verpflichteter Prüfer darf Kontrollen durchführen, nach Anmeldung mit einer Frist von zwei Wochen, während der üblichen Geschäftszeiten und ohne vermeidbare Störung des Betriebs. Seine Kosten trägt der Auftraggeber.

§ 12 Pflichten des Auftraggebers

1. Der Auftraggeber ist für die Rechtmäßigkeit der Verarbeitung und die Information der betroffenen Personen verantwortlich. Stellt er Fehler fest, informiert er BP Agentics unverzüglich.
2. Bei der digitalen Projektmappe informiert der Auftraggeber seine Beschäftigten vor dem Start über die Verarbeitung (Art. 13 DSGVO), regelt mit ihnen die Nutzung privater Smartphones und beachtet die Beteiligungsrechte eines Betriebsrats. Er weist seine Mitarbeiter an, auf Fotos und in Sprachberichten nur die Angaben festzuhalten, die für den Auftrag nötig sind.

§ 13 Haftung und Schlussbestimmungen

1. Für die Haftung gilt Art. 82 DSGVO; im Übrigen gelten die Regelungen der AGB.
2. Änderungen dieses Vertrags bedürfen der Textform. Sollte eine Bestimmung unwirksam sein, bleibt der Vertrag im Übrigen wirksam.

Anlage 1 · Technische und organisatorische Maßnahmen

• Arbeitsgeräte: Festplattenverschlüsselung, automatische Bildschirmsperre, aktuelle Betriebssysteme und Programme mit zeitnahen Sicherheitsupdates.
• Zugänge: Individuelle, starke Passwörter aus einem Passwortmanager; Zwei-Faktor-Anmeldung, wo der Dienst sie anbietet. Zugriffsrechte nur im nötigen Umfang. Zugänge zu Systemen des Auftraggebers werden nach Vertragsende entfernt.
• Übertragung: Daten werden nur verschlüsselt übertragen (TLS). Eine Weitergabe erfolgt nur an die genannten Unterauftragsverarbeiter.
• Trennung: Daten verschiedener Auftraggeber liegen in getrennten Projekten, Konten oder Datenbanken.
• Verfügbarkeit: Bei der Website-Betreuung tägliche Datensicherung mit 30 Tagen Aufbewahrung; die Wiederherstellbarkeit wird stichprobenartig geprüft.
• Datensparsamkeit: Der Nachrichten-Assistent fragt nur die vereinbarten Angaben ab. Gesprächsverläufe werden nach der im Angebot vereinbarten Frist gelöscht. Die Projektmappe erfasst nur die mit dem Auftraggeber festgelegten Felder. Sprachaufnahmen, Entwürfe, Berichte und Fotos werden nach den im Angebot vereinbarten Fristen gelöscht. Bei Anbietern von KI-Modellen und Spracherkennung wird, soweit vertraglich möglich, ausgeschlossen, dass Eingaben zum Training ihrer Modelle verwendet werden.
• Rollen: In der Projektmappe erhalten Mitarbeiterzugänge und Bürozugang nur die im Angebot festgelegten Rechte. Zugänge ausgeschiedener Mitarbeiter sperrt BP Agentics, sobald der Auftraggeber sie meldet.
• Nachvollziehbarkeit: Änderungen und Zugriffe werden protokolliert, soweit die eingesetzten Dienste dies vorsehen.
• Überprüfung: Die Maßnahmen werden jährlich und bei wesentlichen Änderungen überprüft.

Anlage 2 · Unterauftrags­verarbeiter

Maßgeblich ist die Liste im jeweiligen Angebot. Häufig eingesetzt werden:

• Vercel Inc., 440 N Barranca Ave #4133, Covina, CA 91723, USA
  Hosting von Websites, Serverregion Frankfurt am Main. Grundlage: EU-US Data Privacy Framework, ergänzend EU-Standardvertragsklauseln.
• Meta Platforms Ireland Limited, Merrion Road, Dublin 4, Irland
  WhatsApp Business Platform für den Nachrichten-Assistenten. Grundlage: Verarbeitung in der EU; Übermittlungen in die USA nach EU-US Data Privacy Framework bzw. Standardvertragsklauseln.
• Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland
  E-Mail und Dokumente von BP Agentics (Google Workspace). Grundlage: Verarbeitung in der EU; Zugriff aus den USA nach EU-US Data Privacy Framework bzw. Standardvertragsklauseln.
• Anbieter des KI-Modells laut Angebot
  Erzeugen der Antworten des Nachrichten-Assistenten und der Berichtsentwürfe der digitalen Projektmappe. Grundlage: Wird im Angebot mit Verarbeitungsort und Übermittlungsgrundlage benannt.
• Anbieter der Spracherkennung laut Angebot
  Umwandeln der Sprachaufnahmen der digitalen Projektmappe in Text. Grundlage: Wird im Angebot mit Verarbeitungsort und Übermittlungsgrundlage benannt.
• Anbieter für Datenbank und Dateispeicher laut Angebot
  Speichern von Berichten, Sprachaufnahmen und Fotos der digitalen Projektmappe. Grundlage: Wird im Angebot mit Verarbeitungsort und Übermittlungsgrundlage benannt.

Stand: Oktober 2026