Diese Vereinbarung ist Anlage zu den Allgemeinen Geschäftsbedingungen der backtoBasics Software GmbH und gilt mit Abschluss des Nutzungsvertrags als geschlossen. Eine gesonderte Unterzeichnung ist nicht erforderlich; auf Wunsch stellen wir Ihnen eine unterschriebene Ausfertigung zur Verfügung.
Verantwortlicher im Sinne der DSGVO ist der Kunde, Auftragsverarbeiter ist die backtoBasics Software GmbH, FN 681693s, Brockmanngasse 92/16, 8010 Graz (nachfolgend „Anbieter").
Der Anbieter verarbeitet personenbezogene Daten im Auftrag des Kunden, soweit dies zur Erbringung der vertraglich vereinbarten Leistungen erforderlich ist — insbesondere für Kundenbereich, Online-Ablage, Handy-App, Nachrichten und die optionalen KI-Funktionen. Die Vereinbarung läuft so lange wie der Nutzungsvertrag.
Gegenstand der Verarbeitung sind die Daten, die der Kunde selbst in die Software eingibt oder auf den Server überträgt. Typischerweise sind das:
Betroffene sind Mitarbeiter des Kunden sowie dessen Auftraggeber, Auftragnehmer, Planer und sonstige am Bauvorhaben Beteiligte.
Der Anbieter verarbeitet die Daten ausschließlich auf dokumentierte Weisung des Kunden. Als Weisung gilt auch die Nutzung der Funktionen der Software durch den Kunden selbst. Hält der Anbieter eine Weisung für rechtswidrig, teilt er dies mit und kann ihre Ausführung aussetzen.
Alle mit der Verarbeitung befassten Personen sind zur Vertraulichkeit verpflichtet. Die Verpflichtung besteht auch nach Beendigung der Tätigkeit fort.
Der Anbieter trifft die in Anlage 1 beschriebenen Maßnahmen nach Art. 32 DSGVO und hält sie während der Vertragsdauer aufrecht. Maßnahmen dürfen weiterentwickelt werden, solange das Schutzniveau nicht unterschritten wird.
Der Kunde stimmt dem Einsatz der in Anlage 2 genannten Unterauftragsverarbeiter zu. Weitere Unterauftragsverarbeiter kündigt der Anbieter mindestens vier Wochen vorher an; der Kunde kann aus wichtigem Grund widersprechen und den Vertrag in diesem Fall zum Wirksamwerden der Änderung kündigen. Der Anbieter verpflichtet jeden Unterauftragsverarbeiter auf dasselbe Schutzniveau.
Der Anbieter unterstützt den Kunden im erforderlichen Umfang bei der Beantwortung von Anfragen betroffener Personen sowie bei Datenschutz-Folgenabschätzungen und Meldungen nach Art. 32 bis 36 DSGVO. Wendet sich eine betroffene Person direkt an den Anbieter, leitet er die Anfrage unverzüglich an den Kunden weiter.
Der Anbieter meldet dem Kunden jede Verletzung des Schutzes personenbezogener Daten unverzüglich, spätestens innerhalb von 48 Stunden ab Kenntnis, und teilt die zur Meldung nach Art. 33 DSGVO erforderlichen Angaben mit.
Nach Ende des Nutzungsvertrags stehen die auf dem Server abgelegten Daten noch 30 Tage zum Export bereit und werden danach gelöscht. Daten in Sicherungskopien entfallen mit deren regulärem Ablauf, spätestens 30 Tage nach der Löschung im laufenden Betrieb. Gesetzliche Aufbewahrungspflichten bleiben unberührt.
Der Anbieter weist die Einhaltung dieser Vereinbarung auf Anfrage in geeigneter Form nach. Der Kunde kann sich nach vorheriger Ankündigung und zu üblichen Geschäftszeiten von der Einhaltung überzeugen; der Betrieb darf dadurch nicht unangemessen beeinträchtigt werden.
Bei Widersprüchen zwischen dieser Vereinbarung und den AGB geht diese Vereinbarung für die Verarbeitung personenbezogener Daten vor. Im Übrigen gelten die AGB. Es gilt österreichisches Recht.
| Dienstleister | Leistung | Ort |
|---|---|---|
| World4You Internet Services GmbH | Betrieb des Servers (Rechenzentrum) | Österreich (Rechenzentrum: Berlin, Deutschland — IONOS-Gruppe) |
| Anthropic PBC | Verarbeitung der Anfragen aus den KI-Funktionen — nur bei deren Nutzung | USA, auf Grundlage der Standardvertragsklauseln |
Stand: August 2026