AVV

Dieser Vertrag zur Auftragsverarbeitung (AVV) nach Art. 28 DSGVO gilt zwischen Ihrem Betrieb als Verantwortlichem („Auftraggeber“) und Matthias Hippe-Schomerus, Hanseatic Tech Company, Überseeallee 2b, 20457 Hamburg als Auftragsverarbeiter („wir“). Er gilt mit dem Kauf eines Abos und endet mit dem Ende des Abos und der Löschung der Daten.

1. Gegenstand und Zweck

Wir betreiben für Sie das digitale Bautagebuch: Tagesberichte schreiben, Fotos ablegen, Mitarbeiter einladen, PDF erstellen. Wir verarbeiten die Daten nur dafür und nur nach Ihrer Weisung.

2. Art der Daten und Betroffene

Daten: Namen und Mailadressen der Nutzer, Rollen und Zuordnung zu Baustellen, Namen, Tätigkeiten und Arbeitszeiten von Personal im Bericht, Angaben zu Baustellen und Bauherren, Fotos mit Aufnahmezeit, Einträge zu Geräten, Material, Leistungen und Behinderungen, der Verlauf jeder Änderung mit Person und Zeit. Betroffene: Ihre Beschäftigten, Nachunternehmer, Bauherren und andere Personen, die Sie eintragen.

3. Unsere Pflichten

Wir verarbeiten die Daten nur auf Ihre dokumentierte Weisung, verpflichten alle Beteiligten zur Vertraulichkeit, unterstützen Sie bei Anfragen Betroffener und bei Datenschutzverletzungen und melden Ihnen eine Verletzung ohne schuldhaftes Zögern. Wir stellen Ihnen alle Informationen bereit, die Sie zum Nachweis brauchen, und ermöglichen Überprüfungen nach Absprache.

4. Unterauftragsverarbeiter

Wir setzen die Cloudflare Germany GmbH, Rosental 7, 80331 München ein, für die auch die Cloudflare, Inc., 101 Townsend St., San Francisco, USA, tätig wird: Betrieb der App, Datenbank (D1) und Fotos (R2) in der Jurisdiktion EU, Versand der Zugangsmails. Grundlage ist der Vertrag zur Auftragsverarbeitung von Cloudflare mit den Standardvertragsklauseln der EU-Kommission. Einen neuen Unterauftragsverarbeiter kündigen wir vorher per Mail an, Sie können widersprechen.

5. Technische und organisatorische Maßnahmen

Mandantentrennung: Jede Abfrage ist an Ihren Betrieb gebunden. Automatische Tests prüfen bei jeder Änderung des Codes, dass kein Betrieb Daten oder Fotos eines anderen sieht.

Zugang nur mit Sitzung: Anmeldung per Link, der nur einmal gilt und ablaufen kann; gespeichert wird nur ein Prüfwert (SHA-256). Das Sitzungscookie ist nur über HTTPS und nicht für Skripte lesbar.

Rollen: Inhaber verwalten Mitarbeiter und Betrieb, Bauleitung sieht alle Baustellen, Poliere nur ihre Baustellen. Gesperrte Personen kommen nicht mehr hinein.

Fotos nur mit Sitzung: Der Speicher für Fotos ist privat, jedes Foto geht nur über die App an angemeldete Personen des eigenen Betriebs.

Speicherung in der EU: Datenbank und Fotos liegen in der Jurisdiktion EU von Cloudflare.

Verlauf jeder Änderung: Jede Änderung steht mit Person und Zeit im Verlauf. Abgeschlossene Berichte lassen sich nicht mehr ändern, nur mit Nachtrag ergänzen.

Verschlüsselte Übertragung über HTTPS, Schutz gegen fremde Herkunft bei jedem schreibenden Aufruf.

6. Ende des Vertrags

Nach dem Ende des Abos bleiben Ihre Daten lesbar, bis Sie die Löschung verlangen. Auf Ihre Weisung löschen wir alle Daten und Fotos Ihres Betriebs, soweit keine gesetzliche Pflicht zur Aufbewahrung besteht.

7. Kontakt

Fragen zum Datenschutz an support@bautagebuch24.de.

Stand 03.11.2026