Auftragsverarbeitungsvertrag (AVV)
Zuletzt aktualisiert: 2. Oktober 2026
Dieser Vertrag ist Bestandteil der Nutzungsbedingungen und regelt die Verarbeitung personenbezogener Daten durch Marmos (Auftragsverarbeiter) im Auftrag des Abonnenten (des Unternehmens, Verantwortlicher) nach Art. 28 der Verordnung (EU) 2016/679 („DSGVO“). Bei Widersprüchen in Fragen des Datenschutzes geht dieser Vertrag vor.
In einem Satz: Die Daten, die Sie in die Plattform eingeben, sind Ihre und liegen in Ihrer Verantwortung. Wir verarbeiten sie nur nach Ihren Weisungen, sicher, und nutzen sie für nichts anderes.
1. Rollen der Parteien
Verantwortlicher ist das Unternehmen: Es entscheidet, welche Daten es eingibt, zu welchem Zweck und wie lange. Auftragsverarbeiter ist Marmos: Er verarbeitet die Daten ausschließlich zur Erbringung der Leistung und nach den dokumentierten Weisungen des Verantwortlichen, die durch die Nutzung der Plattform, die Bedingungen und diesen Vertrag erteilt werden.
Der Auftragsverarbeiter verarbeitet die Daten nicht für eigene Zwecke und wird sie weder verkaufen noch weitergeben noch für Werbung nutzen. Der Auftragsverarbeiter informiert den Verantwortlichen unverzüglich, wenn eine erhaltene Weisung seiner Ansicht nach gegen die DSGVO oder andere Datenschutzvorschriften verstößt.
2. Gegenstand der Verarbeitung
| Element | Beschreibung |
|---|---|
| Art und Zweck | Speicherung, Organisation, Abfrage, Verarbeitung und Übermittlung von Daten, um die vom Verantwortlichen beauftragten Verwaltungsfunktionen zu betreiben. |
| Dauer | Für die Laufzeit des Abonnements zuzüglich der Aufbewahrungsfrist nach Abschnitt 8. |
| Kategorien betroffener Personen | Endkunden des Unternehmens; Kontakte von Architekten, Bauunternehmen und Partnern; vom Verantwortlichen erfasste Mitarbeiter und Dienstleister. |
| Datenkategorien | Identifikations- und Kontaktdaten (Name, E-Mail, Telefon, Bemerkungen); Steuernummern; Kontakt- und Baustellenadresse; Termindaten (Besuche, Aufmaße); Daten zu Aufträgen, Angeboten, Projekten und Fotos; Mitarbeiterdaten einschließlich Aufgabe und Vergütung, soweit vom Verantwortlichen erfasst. |
| Besondere Kategorien | Die Plattform ist nicht für besondere Kategorien personenbezogener Daten (Art. 9 DSGVO) oder für Daten von Minderjährigen ausgelegt. Der Verantwortliche verpflichtet sich, sie nicht einzugeben — auch nicht in Freitextfeldern wie Bemerkungen und Projektnotizen. |
3. Pflichten des Verantwortlichen
Der Verantwortliche erklärt und übernimmt ausschließlich:
- über eine gültige Rechtsgrundlage für jedes eingegebene Datum und jeden verfolgten Zweck zu verfügen;
- den betroffenen Personen die Informationen nach Art. 13 und 14 DSGVO zu geben und die Einwilligung einzuholen, wenn sie die anwendbare Rechtsgrundlage ist;
- nur Daten einzugeben, die dem Zweck angemessen, erheblich und auf das notwendige Maß beschränkt sind, gemäß den Grundsätzen des Art. 5;
- die Daten richtig und aktuell zu halten und die Zugriffe seiner Benutzer korrekt einzurichten;
- Anfragen der betroffenen Personen zu beantworten und gegenüber Aufsichtsbehörde und Gerichten als Verantwortlicher einzustehen;
- keine besonderen Kategorien personenbezogener Daten, keine Daten von Minderjährigen und keine rechtswidrig erlangten Daten einzugeben.
Der Auftragsverarbeiter prüft weder Rechtmäßigkeit noch Richtigkeit noch Herkunft der vom Verantwortlichen eingegebenen Daten und haftet nicht für sie.
4. Pflichten des Auftragsverarbeiters
- die Daten nur auf dokumentierte Weisung des Verantwortlichen zu verarbeiten, auch hinsichtlich Übermittlungen außerhalb des Europäischen Wirtschaftsraums;
- die Sicherheitsmaßnahmen nach Art. 32 DSGVO zu treffen — Verschlüsselung bei der Übertragung, Hashing der Passwörter, logische Trennung je Unternehmen in allen Abfragen, rollenbasierte Zugriffskontrolle, Ereignisprotokollierung und regelmäßige Datensicherungen;
- alle zur Verarbeitung befugten Personen zur Vertraulichkeit zu verpflichten;
- den Verantwortlichen im zumutbaren Rahmen und mit den auf der Plattform verfügbaren Mitteln bei der Beantwortung von Anfragen betroffener Personen und bei der Einhaltung der Art. 32 bis 36 DSGVO (Sicherheit, Datenschutzverletzungen und Folgenabschätzungen) zu unterstützen;
- Anfragen auf Kopie und Löschung der Daten über die verfügbaren Funktionen oder auf bestätigten Antrag zu erfüllen;
- Datenschutzverletzungen gemäß Abschnitt 7 zu melden.
5. Unterauftragsverarbeiter
Der Verantwortliche erteilt dem Auftragsverarbeiter eine allgemeine Genehmigung, Unterauftragsverarbeiter für Infrastruktur, Speicherung, E-Mail-Versand, Authentifizierung, Benachrichtigungen und Zahlung einzusetzen — die in der Datenschutzerklärung, Abschnitt 4, genannten Kategorien.
Der Auftragsverarbeiter erlegt den Unterauftragsverarbeitern Datenschutzpflichten auf, die nicht geringer sind als die dieses Vertrags, und haftet für sie gegenüber dem Verantwortlichen. Beabsichtigte Änderungen werden mit angemessener Frist mitgeteilt; hat der Verantwortliche einen begründeten Einwand, kann er das Abonnement kostenfrei beenden.
6. Internationale Übermittlungen
Der Dienst wird von Brasilien aus betrieben und kann Unterauftragsverarbeiter außerhalb des Europäischen Wirtschaftsraums einbeziehen. Diese Übermittlungen erfolgen nach Kapitel V DSGVO: auf Grundlage eines Angemessenheitsbeschlusses, soweit vorhanden, oder der von der Europäischen Kommission genehmigten Standardvertragsklauseln, die die Parteien als in diesen Vertrag einbezogen ansehen, soweit sie erforderlich sind.
7. Verletzungen des Schutzes personenbezogener Daten
Der Auftragsverarbeiter benachrichtigt den Verantwortlichen unverzüglich und spätestens innerhalb von 48 Stunden, nachdem ihm eine Verletzung des Schutzes personenbezogener Daten bekannt wurde, die die in seinem Auftrag verarbeiteten Daten betrifft, und nennt das Bekannte: Art, betroffene Daten, betroffene Personen, getroffene Maßnahmen und Abhilfe.
Die Meldung an die Aufsichtsbehörde und an die betroffenen Personen obliegt dem Verantwortlichen (Art. 33 und 34 DSGVO), der die Meldepflicht beurteilt und sie innerhalb der gesetzlichen Frist von 72 Stunden mit Informationsunterstützung des Auftragsverarbeiters erfüllt. Ist Marmos für die betroffenen Daten verantwortlich, trifft ihn diese Pflicht.
8. Beendigung, Rückgabe und Löschung
- Die Kündigung des Abonnements beendet die Abrechnung, stellt aber für sich allein keine Löschweisung dar. Der Verantwortliche kann über die verfügbaren Funktionen oder den Support eine Kopie anfordern.
- Nach Eingang und Bestätigung der Löschweisung hat der Verantwortliche 30 Tage Zeit, die bereitgestellte Kopie vor der Löschung abzurufen.
- Nach Ablauf dieser Frist löscht oder anonymisiert der Auftragsverarbeiter die Daten, es sei denn, das Recht der Union oder eines Mitgliedstaats oder eine andere gesetzliche Pflicht, der der Auftragsverarbeiter unterliegt, verlangt ihre Aufbewahrung.
- Datensicherungen werden im normalen Rotationszyklus ersetzt; bis dahin unterliegen sie diesem Vertrag.
- Die Löschung ist unumkehrbar.
9. Haftung
Jede Partei haftet für die Verletzung der ihr nach diesem Vertrag obliegenden Pflichten. Die Haftung des Auftragsverarbeiters gegenüber dem Verantwortlichen richtet sich nach der Grenze in Abschnitt 9 der Nutzungsbedingungen, außer bei Vorsatz oder grober Fahrlässigkeit und in Fällen, in denen das Gesetz eine Beschränkung verbietet. Nichts in diesem Vertrag beschränkt die Rechte der betroffenen Personen nach Art. 82 DSGVO.
Der Verantwortliche stellt den Auftragsverarbeiter im Umfang seiner nachgewiesenen Verantwortung von Ansprüchen betroffener Personen, der Aufsichtsbehörde oder Dritter frei, die auf fehlender Rechtsgrundlage, übermäßiger Erhebung, Eingabe besonderer Kategorien oder von Daten Minderjähriger, rechtswidriger Weisung oder fehlerhafter Verwaltung der Zugriffe seiner eigenen Benutzer beruhen. Diese Pflicht umfasst keine dem Auftragsverarbeiter zuzurechnenden Handlungen oder Unterlassungen.
10. Kontrollen
Der Auftragsverarbeiter stellt dem Verantwortlichen die Informationen zur Verfügung, die zum Nachweis der Einhaltung von Art. 28 DSGVO erforderlich sind. Auf schriftliche Anfrage, höchstens einmal jährlich und unter Vertraulichkeit, ermöglicht er Überprüfungen durch den Verantwortlichen oder einen von ihm beauftragten Prüfer; Vor-Ort-Prüfungen und Penetrationstests bedürfen einer vorherigen Vereinbarung und einer Ankündigung von 30 Tagen und gehen zu Lasten des Verantwortlichen, ohne Zugriff auf Daten anderer Abonnenten oder auf den Quellcode.
11. Kontakt
Datenschutz-Kontakt des Auftragsverarbeiters: WhatsApp +55 (74) 99811-4405. Der Verantwortliche muss auf der Plattform einen gültigen Kontakt für Datenschutzmitteilungen hinterlegen.