Auftragsverarbeitung (AVV / DPA)
Nach Art. 28 DSGVO · für Geschäftskund:innen
Verarbeiten Sie als Kund:in (Team-/Pro-Tarif) über PlanWerke personenbezogene Daten Dritter – etwa Namen in Gebäudemodellen (IFC), in Projektkommentaren oder BCF-Themen sowie E-Mail-Adressen von Teammitgliedern –, sind Sie datenschutzrechtlich Verantwortliche:r und PlanWerke (Leo Ritzenthaler, RitzenthalerIT) Auftragsverarbeiter. Für diese Fälle stellen wir Ihnen eine Vereinbarung zur Auftragsverarbeitung (AVV) nach Art. 28 DSGVO bereit.
AVV anfordern / abschließen
Fordern Sie den unterschriftsfertigen AVV per E-Mail an Info@ritzenthalerit.com an. Wir senden Ihnen das Dokument zur Gegenzeichnung zu.
Gegenstand und Dauer
Gegenstand ist die Bereitstellung der PlanWerke-Anwendung (BIM-Fachplanung, Projekt-/Modellspeicher, Zusammenarbeit). Die Dauer entspricht der Laufzeit des Nutzungsvertrags. Nach Beendigung werden die Daten nach Wahl der/des Verantwortlichen gelöscht oder zurückgegeben, soweit keine gesetzlichen Aufbewahrungspflichten entgegenstehen.
Art, Zweck und Kategorien
- Art/Zweck: Speichern, Anzeigen und Verarbeiten der von Ihnen hochgeladenen Modelle, Projekt- und Kommentardaten zur Erbringung der vereinbarten Leistung.
- Datenkategorien: in Modellen/Kommentaren enthaltene personenbezogene Daten (z. B. Namen, Kontaktdaten), Nutzer- und Kontodaten von Teammitgliedern.
- Betroffenengruppen: Ihre Beschäftigten und Projektbeteiligten, ggf. Bauherren/Dritte, deren Daten im Modell vorkommen.
Technische und organisatorische Maßnahmen (Art. 32)
Zugriffsschutz über Row-Level-Security auf allen Tabellen, API-Keys nur als SHA-256-Hash, SSRF-gehärtete Webhooks, Rate-Limiting, serverseitige Verwendung des Service-Role-Schlüssels, verschlüsselte Übertragung (TLS). Weitere Details auf Anfrage bzw. im AVV-Anhang.
Unterauftragsverarbeiter
Wir setzen die folgenden Unterauftragsverarbeiter ein. Über beabsichtigte Änderungen informieren wir; Sie können begründet widersprechen.
| Dienstleister | Zweck | Ort | Transfergrundlage |
|---|---|---|---|
| Vercel Inc. | Hosting & Auslieferung der Anwendung | USA | SCC / EU-US Data Privacy Framework |
| Supabase, Inc. | Authentifizierung, Datenbank & Datei-Speicher | Irland (EU, Region West EU / eu-west-1) | innerhalb EU |
| Stripe Payments Europe, Ltd. | Zahlungsabwicklung (Abo) | Irland (EU) | innerhalb EU / ggf. SCC |
| Google Ireland Limited | Optionaler Login mit Google (OAuth) | Irland (EU) | innerhalb EU / ggf. SCC |
| Apple Distribution International Ltd. | Optionaler Login mit Apple („Sign in with Apple“); bei „E-Mail verbergen“ zusätzlich Weiterleitung unserer E-Mails über Apples Relay | Irland (EU), Verarbeitung auch USA | SCC (Standardvertragsklauseln) |
| Microsoft Ireland Operations Limited | Optionaler Login mit Microsoft (Microsoft Entra ID / Microsoft-Konto) | Irland (EU), Verarbeitung auch USA | SCC (Standardvertragsklauseln) |
| Sentry (Functional Software, Inc.) | Fehler-/Stabilitätsmonitoring (ohne personenbezogene Daten) | Deutschland (EU-Region, Frankfurt am Main – de.sentry.io) | Speicherung in der EU; SCC ergänzend für Konzernzugriff des US-Anbieters |
| Resend (Plus Five Five, Inc.) | Versand von Benachrichtigungs- & Bestätigungs-E-Mails | USA (North Virginia) | SCC (Standardvertragsklauseln) |
| Anthropic, PBC | KI-Assistent (Hilfe-Center) & KI-Workflow-Copilot (Chat-Nachrichten; beim Copiloten zusätzlich Projekt-/Plannamen, IDs und gespeicherte Geräte-Stückzahlen) | USA | SCC (Standardvertragsklauseln) |
| Upstash, Inc. | Missbrauchsschutz: geteilter Zähler-Speicher für die Anfragebegrenzung (Kennung und Zählerstand je Zeitfenster, keine Inhalte) | Deutschland (EU-Region Frankfurt am Main, AWS eu-central-1) | Speicherung in der EU; SCC ergänzend für Konzernzugriff des US-Anbieters |
Rechte und Pflichten
Wir verarbeiten die Daten nur nach dokumentierter Weisung, verpflichten die mit der Verarbeitung befassten Personen zur Vertraulichkeit, unterstützen Sie bei Betroffenenrechten und Meldepflichten (Art. 33/34) und ermöglichen die nach Art. 28 Abs. 3 lit. h vorgesehenen Nachweise.
Diese Seite fasst die wesentlichen Inhalte zusammen und ersetzt nicht den unterzeichneten AVV. Maßgeblich ist das per E-Mail bereitgestellte Vertragsdokument.