← Zurück zur Startseite

Vereinbarung zur Auftragsverarbeitung

Nach Art. 28 DSGVO. Stand: 8. September 2026. Anlage zum Vertrag über die Nutzung von BimWired (AGB § 13).

Diese Vereinbarung wird geschlossen zwischen dem Kunden (nachfolgend „Verantwortlicher“) und

Rowan Hamid, Heinrich-von-Andlaw-Str. 18, 79232 March, Deutschland (nachfolgend „Auftragsverarbeiter“)

als Anlage zum Vertrag über die Nutzung von BimWired (nachfolgend „Hauptvertrag“). Sie gilt in der hier veröffentlichten Fassung als Bestandteil des Hauptvertrags. Der Verantwortliche kann sie zusätzlich als unterzeichnetes Dokument abschließen; dazu genügt eine Anforderung in Textform an den Auftragsverarbeiter, der die Vereinbarung zur Gegenzeichnung übersendet.

§ 1 Gegenstand und Dauer

(1) Der Auftragsverarbeiter betreibt für den Verantwortlichen die Software-as-a-Service-Anwendung BimWired (Web-Editor, Server-Dienste, Anbindung des Revit-Plugins) und verarbeitet dabei personenbezogene Daten im Auftrag.

(2) Die Dauer entspricht der Laufzeit des Hauptvertrags.

§ 2 Art, Zweck und Umfang der Verarbeitung

Speicherung, Bereitstellung, Sicherung und Löschung der vom Verantwortlichen in BimWired eingestellten Inhalte (Bibliotheken, Vorlagen, Projekte, Releases) einschließlich der dabei anfallenden Nutzungs- und Protokolldaten, sowie auf Anforderung des jeweiligen Nutzers die Verarbeitung von Eingaben durch KI-Funktionen. Zweck ist ausschließlich die Erbringung der Leistungen des Hauptvertrags.

§ 3 Kategorien betroffener Personen und Datenarten

(1) Betroffene: Beschäftigte und Beauftragte des Verantwortlichen, die BimWired nutzen.

(2) Datenarten: Kontodaten (E-Mail-Adresse, Anmeldezeitpunkte, Rollen- und Lizenzzuordnung), Bearbeiter-Stempel an Inhalten, Präsenz- und Nutzungsdaten des Revit-Plugins (Rechnername, Revit-Jahrgang, Plugin-Version, installiertes Release, Laufstatus, Stückzahlen, Projektschlüssel, Projektname), Ergebnisse ausgeführter Skripte (Erfolg oder Fehlschlag, Fehlermeldung, Ausgabe des Skripts, Revit-Jahrgang, Plugin-Version, E-Mail-Adresse des Ausführenden), auf Anforderung des Nutzers gesendete Diagnosepakete (Protokolle des Plugins mit Rechnername, Dateipfaden und darin enthaltenen Windows-Benutzernamen sowie Projektnamen), Inhalte von Support-Anfragen (Feedback) sowie in Eingaben an KI-Funktionen enthaltene Angaben. Hinzu kommen die vom Verantwortlichen selbst eingestellten Projektinhalte (etwa Bauherr, Beteiligte und Plankopf-Angaben), soweit sie personenbezogene Daten enthalten.

(3) Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO) sind nicht Gegenstand des Auftrags; der Verantwortliche stellt sicher, dass solche Daten nicht eingestellt werden.

§ 4 Weisungsrecht

(1) Der Auftragsverarbeiter verarbeitet die Daten nur auf dokumentierte Weisung des Verantwortlichen; die Nutzung der Anwendung und ihrer Funktionen gilt als Weisung.

(2) Hält der Auftragsverarbeiter eine Weisung für rechtswidrig, informiert er den Verantwortlichen unverzüglich und darf die Ausführung aussetzen.

(3) Weisungen bedürfen der Textform.

§ 5 Vertraulichkeit

Der Auftragsverarbeiter verpflichtet alle mit der Verarbeitung befassten Personen auf Vertraulichkeit (Art. 28 Abs. 3 lit. b DSGVO) und stellt sicher, dass sie die Daten nur weisungsgemäß verarbeiten.

§ 6 Technische und organisatorische Maßnahmen

(1) Der Auftragsverarbeiter trifft die in Anlage 1 beschriebenen Maßnahmen nach Art. 32 DSGVO.

(2) Die Maßnahmen dürfen fortentwickelt werden, solange das Schutzniveau nicht unterschritten wird; wesentliche Änderungen werden in Anlage 1 dokumentiert.

§ 7 Weitere Auftragsverarbeiter (Subunternehmer)

(1) Der Verantwortliche genehmigt allgemein den Einsatz der in Anlage 2 genannten Subunternehmer.

(2) Der Auftragsverarbeiter informiert den Verantwortlichen über beabsichtigte Änderungen mindestens 30 Tage im Voraus in Textform; der Verantwortliche kann aus wichtigem datenschutzrechtlichem Grund widersprechen. Führt der Widerspruch zu keiner einvernehmlichen Lösung, können beide Seiten den Hauptvertrag zum Zeitpunkt der Änderung kündigen.

(3) Mit jedem Subunternehmer besteht ein Vertrag nach Art. 28 Abs. 4 DSGVO.

§ 8 Drittlandübermittlung

Die Verarbeitung findet grundsätzlich in der Europäischen Union statt (Frankfurt am Main beziehungsweise EU-Jurisdiktion des Objektspeichers). Soweit Subunternehmer mit Sitz in Drittländern eingesetzt werden (Anlage 2), erfolgt die Übermittlung auf Grundlage von Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO) und, soweit der Anbieter zertifiziert ist, des EU-US Data Privacy Framework.

§ 9 Unterstützungspflichten

Der Auftragsverarbeiter unterstützt den Verantwortlichen in angemessenem Umfang bei der Beantwortung von Betroffenenanfragen (Art. 12 bis 23 DSGVO) sowie bei der Sicherheit der Verarbeitung, der Meldung von Verletzungen des Schutzes personenbezogener Daten und gegebenenfalls bei Datenschutz-Folgenabschätzungen (Art. 32 bis 36 DSGVO). Verletzungen des Schutzes personenbezogener Daten des Verantwortlichen meldet der Auftragsverarbeiter unverzüglich nach Kenntnis.

§ 10 Nachweise und Kontrollen

(1) Der Auftragsverarbeiter weist die Einhaltung dieser Vereinbarung auf Anfrage nach, vorrangig durch aktuelle Dokumentation der Maßnahmen und vorhandene Nachweise der Subunternehmer (etwa Zertifizierungen).

(2) Weitergehende Kontrollen vor Ort erfolgen nach Ankündigung mit angemessener Frist während üblicher Geschäftszeiten, höchstens einmal jährlich, sofern kein konkreter Anlass besteht.

§ 11 Löschung und Rückgabe

(1) Während der Laufzeit kann der Verantwortliche seine Inhalte über die Exportfunktionen der Anwendung abrufen.

(2) Nach Beendigung des Hauptvertrags löscht der Auftragsverarbeiter alle personenbezogenen Daten des Verantwortlichen nach Ablauf von 90 Tagen, sofern der Verantwortliche nicht vorher die Löschung verlangt. Bei Firmen, die BimWired nur in der Testphase genutzt haben, beträgt diese Frist 30 Tage. Gesetzliche Aufbewahrungspflichten bleiben unberührt. Sicherungskopien rollieren spätestens 30 Tage nach der Löschung aus.

§ 12 Schlussbestimmungen

Haftung, anwendbares Recht und Gerichtsstand richten sich nach dem Hauptvertrag. Bei Widersprüchen zu datenschutzrechtlichen Pflichten geht diese Vereinbarung vor.

Anlage 1: Technische und organisatorische Maßnahmen

Die folgende Übersicht beschreibt den umgesetzten Ist-Zustand der Maßnahmen nach Art. 32 DSGVO. Auf Anfrage wird sie als eigenständiges Dokument ausgehändigt.

Vertraulichkeit

• Zugangskontrolle: Authentifizierung ausschließlich über den Anmeldedienst des Subunternehmers Supabase; Passwörter liegen nur als kryptografischer Hash beim Anmeldedienst, niemals in eigenen Tabellen oder Protokollen. Die Schnittstelle arbeitet durchgehend token-basiert (JWT), ohne eigene Sitzungs-Cookies. Das Revit-Plugin legt sein Anmeldemerkmal je Windows-Benutzerprofil verschlüsselt ab (DPAPI); das Passwort wird dort nie gespeichert. Ohne Anmeldung erreichbar sind nur bewusst freigegebene Endpunkte (Startseite, Anmelde-Konfiguration, Warteliste).
• Zugriffskontrolle: Auf allen Tabellen der Steuerungsebene ist Row Level Security ohne jede Freigabe-Regel aktiv, der öffentliche Schlüssel kann also keine Tabelle lesen; Zugriff besteht nur über einen Schlüssel, der ausschließlich serverseitig vorliegt. Mandantentrennung je Firma mit eigenem Speicher-Präfix; Verwaltungsrechte über ein eigenes Rollenmodell.
• Datenminimierung: Anwendungsprotokolle ohne IP-Adressen, Nutzerkennungen und E-Mail-Adressen; IP-Adressen werden nirgends dauerhaft gespeichert. Nutzerkennungen werden vor der Übergabe an den KI-Anbieter gekürzt. Die Plugin-Telemetrie überträgt Stückzahlen statt Modelldaten, den Modellpfad nur als Prüfsumme, und lässt sich abschalten.

Integrität

• Transportverschlüsselung (TLS) für alle Verbindungen: Browser zum Server, Plugin zum Server, Server zu den Subunternehmern.
• Schreibzugriffe nur über authentifizierte, firmengebundene Endpunkte; Schutz gegen Pfad-Manipulation auf allen Dateiendpunkten.
• Schutzschaltung im Speicher-Backend gegen versehentliche Massenlöschung.

Verfügbarkeit und Belastbarkeit

• Betrieb auf Render (Frankfurt am Main), Datenbank und Anmeldedienst bei Supabase (Frankfurt am Main), Dateien in Cloudflare R2 (EU-Jurisdiktion).
• Projekt-Papierkorb: gelöschte Projekte bleiben 30 Tage wiederherstellbar.
• Sicherungskonzept: tägliche Kopie der Steuerungsebene und der Bibliotheksdateien nach R2 (EU-Jurisdiktion), rollierend 30 Tage. Die Umsetzung ist vorbereitet und wird mit dem Start des kostenpflichtigen Betriebs aktiviert.
• Zugriffsbegrenzung (Rate-Limits) auf den ohne Anmeldung erreichbaren Endpunkten.

Verfahren zur regelmäßigen Überprüfung

• Automatisierte Testsuite für Web-Oberfläche und Server bei jeder Änderung, darunter Tests, die die Kürzung von Nutzerkennungen vor der Übergabe an den KI-Anbieter absichern.
• Versionierte Schema-Datei der Datenbank; Änderungen laufen über einen dokumentierten Zwischenschritt.
• Periodische Selbst-Audits der Datenflüsse.

Organisatorisches

• Einzelunternehmen: Zugriff auf Produktionssysteme hat ausschließlich der Auftragsverarbeiter selbst; Geräte mit Vollverschlüsselung und Bildschirmsperre.
• Weitere Auftragsverarbeiter nur mit Vertrag nach Art. 28 DSGVO; geführtes Register.
• Dokumentierter Ablauf für Datenpannen (Art. 33 und 34 DSGVO) und ein Löschkonzept mit Fristen je Datenart.

Anlage 2: Genehmigte Subunternehmer

Stripe verarbeitet ausschließlich die Vertrags- und Rechnungsdaten des Verantwortlichen (Firmenname, E-Mail des Inhabers, Rechnungsanschrift, gekaufte Positionen). Inhalte aus der Bibliothek und den Projekten des Verantwortlichen erreichen Stripe nicht. Für Betrugsprävention und die eigenen gesetzlichen Pflichten als Zahlungsinstitut handelt Stripe in eigener Verantwortung; insoweit liegt keine Auftragsverarbeitung vor.

Welche Daten in welchem Zusammenhang verarbeitet werden, beschreibt zusätzlich die Datenschutzerklärung.