Vertrag zur Auftragsverarbeitung (Art. 28 DSGVO)

Stand: 25. September 2026

Dieser Vertrag gilt zwischen der Kundin oder dem Kunden der Software VEDUTUM (im Folgenden „Auftraggeber“) und EA Digital Solutions e.U., Liebenauer Hauptstraße 41, 8041 Graz, Österreich (im Folgenden „Auftragsverarbeiter“). Er ergänzt die Datenschutzerklärung, die beschreibt, was die Software technisch tut.

1. Gegenstand

Der Auftragsverarbeiter betreibt die Software VEDUTUM: Der Auftraggeber lädt Grundrisse und Modelle hoch, lässt sie lesen, prüft und korrigiert die Geometrie, erzeugt Bilder, Clips und Panoramen und gibt Stände über Freigabelinks an Bauherren und Auftraggeber weiter. Dabei verarbeitet der Auftragsverarbeiter personenbezogene Daten im Auftrag des Auftraggebers.

2. Dauer

Der Vertrag gilt, solange das Konto des Auftraggebers besteht. Er endet mit der Löschung des Kontos auf Anfrage des Auftraggebers (siehe Punkt 11).

3. Art und Zweck der Verarbeitung

Speichern, Anzeigen und Verändern der Projektdaten in der Software; Übertragung der Planseite, der Modellansicht und der Hinweise für das Bildmodell an das Erkennungs-, Bild- und Videomodell; Ermittlung von Koordinaten, Nachbarbebauung und Luftbild aus der Grundstücksadresse; Speichern von Anmerkungen und Freigaben, die über einen Freigabelink eingehen; Versand von E-Mails an den Auftraggeber; Abrechnung. Zweck ist ausschließlich die Erbringung der vereinbarten Leistung.

4. Art der Daten

• Kontodaten des Büros: Name, E-Mail-Adresse, Büro oder Unternehmen, Passwort als Hash, Tarif, Guthaben und Verbrauch, Sprache, Einstellungen des Kontos, Stripe-Kennungen.
• Projektdaten: Titel, Name des Auftraggebers des Bauvorhabens, Adresse und Koordinaten des Grundstücks, Notizen und Hinweise für das Bildmodell, hochgeladene Pläne einschließlich allem, was darauf gedruckt ist, hochgeladene Modelle, erkannte Geometrie, Nachbarbebauung, erzeugte Bilder, Clips und Panoramen, Protokolle der Modellaufrufe.
• Anmerkungen und Freigaben von Bauherren: Name (freiwillig), Text, markierte Stelle im Modell oder Bild, Zeitpunkt; bei einer Freigabe Name, Zeitpunkt und optionale Anmerkung.

5. Kategorien betroffener Personen

Mitarbeitende des Auftraggebers mit Konto; Bauherren, Auftraggeber und Planungsbeteiligte des jeweiligen Bauvorhabens, soweit sie in Projektdaten, auf Plänen oder in Anmerkungen genannt sind.

6. Weisungen

Der Auftragsverarbeiter verarbeitet die Daten nur auf dokumentierte Weisung des Auftraggebers. Weisung ist, was der Auftraggeber in der Software auslöst: Hochladen, Lesen, Erzeugen, Freigeben, Löschen. Weitere Weisungen erteilt der Auftraggeber in Textform an office@vedutum.com. Hält der Auftragsverarbeiter eine Weisung für rechtswidrig, teilt er das dem Auftraggeber unverzüglich mit.

7. Vertraulichkeit

Zugriff auf Projektdaten haben nur Personen, die beim Auftragsverarbeiter mit dem Betrieb der Software betraut und zur Vertraulichkeit verpflichtet sind. Der Auftragsverarbeiter sieht Projektdaten nur, wenn es für Betrieb, Fehlersuche oder eine Anfrage des Auftraggebers nötig ist.

8. Technische und organisatorische Maßnahmen

• Verschlüsselung in Transit: Jede Verbindung zwischen Browser und Software, zur Datenbank und zu den Unterauftragsverarbeitern läuft verschlüsselt (HTTPS bzw. TLS).
• Zugriff nur mit Konto: Projekte, Pläne, Modelle und Bilder sind nur mit einer Anmeldung erreichbar. Passwörter werden nur als Hash gespeichert; nach mehrfach falscher Eingabe wird das Konto vorübergehend gesperrt. Das Sitzungs-Cookie ist für Skripte im Browser nicht lesbar und gilt sieben Tage ab der letzten Anmeldung.
• Trennung je Konto: Jedes Dokument trägt sein Konto als Eigentümer; die Zugriffsprüfung liefert einem Konto nur seine eigenen Projekte, Pläne, Modelle, Bilder und Anmerkungen. Verknüpfungen auf fremde Projekte werden serverseitig abgelehnt.
• Freigabelinks: Ein Freigabelink besteht aus einem zufälligen Token, das nur der Auftraggeber erzeugt und jederzeit zurückziehen kann. Ohne Token ist die Freigabeseite nicht erreichbar; sie wird von Suchmaschinen nicht indexiert.
• Protokollierung und Löschung: Jeder Aufruf eines Modells wird mit Anweisung, Einstellungen und Punkten protokolliert und nach zwölf Monaten automatisch gelöscht. Ein Projekt kann der Auftraggeber selbst endgültig löschen; alle Dateien und Anmerkungen gehen mit.

9. Unterauftragsverarbeiter

Der Auftraggeber stimmt dem Einsatz der folgenden Unterauftragsverarbeiter zu. Für Unternehmen mit Sitz in den USA stützt sich die Übermittlung auf den Angemessenheitsbeschluss zum EU-US Data Privacy Framework, soweit der Anbieter zertifiziert ist, und im Übrigen auf die Standardvertragsklauseln der EU-Kommission; für das Vereinigte Königreich besteht ein Angemessenheitsbeschluss. Änderungen an dieser Liste kündigt der Auftragsverarbeiter per E-Mail an das Konto an; der Auftraggeber kann innerhalb von 14 Tagen widersprechen und das Konto kündigen.

• Vercel Inc., 440 N Barranca Ave #4133, Covina, CA 91723, USA — Hosting der Anwendung (Rechenzentrum Frankfurt am Main) und Speicherdienst „Vercel Blob“ für Pläne, Modelle und erzeugte Bilder
• Neon Inc., 209 Orange St, Wilmington, DE 19801, USA — Datenbank (Rechenzentrum Frankfurt am Main)
• Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland — Erkennung von Grundrissen, Erzeugung von Bildern und Videos; Verarbeitung nicht an eine Region gebunden
• Stripe Payments Europe, Ltd., 1 Grand Canal Street Lower, Dublin 2, Irland — Zahlung (Karte oder SEPA-Lastschrift), Rechnungen
• OpenStreetMap Foundation, St John’s Innovation Centre, Cowley Road, Cambridge CB4 0WS, Vereinigtes Königreich — Adresse zu Koordinaten (Nominatim), ersatzweise Nachbargebäude (OpenStreetMap-Schnittstelle)
• FOSSGIS e.V., Deutschland — Nachbargebäude (Overpass-Server)
• Kumi Systems e.U., Österreich — Nachbargebäude (Overpass-Server)
• private.coffee, Österreich — Nachbargebäude (Overpass-Server)
• Stadt Wien (basemap.at), Österreich, für die Kooperation der Bundesländer — Luftbild des Grundstücks
• __MAILANBIETER__, wird vor dem Livegang eingetragen — E-Mail-Versand (Konto, Passwort, Anmerkungen, Freigaben, Zahlung)

An die Dienste für Adresse, Nachbargebäude und Luftbild werden nur Adresse bzw. Koordinaten übertragen, keine Kontodaten. An das Erkennungs-, Bild- und Videomodell werden die Planseite, die Modellansicht und die Hinweise für das Bildmodell übertragen, keine Kontodaten; die Eingaben werden dort nicht zum Training verwendet.

10. Unterstützung bei Betroffenenrechten

Der Auftragsverarbeiter unterstützt den Auftraggeber bei Auskunft, Berichtigung, Löschung und Einschränkung, soweit der Auftraggeber die Anfrage nicht selbst in der Software erledigen kann (Projekt bearbeiten, Anmerkung löschen, Projekt löschen). Anfragen an office@vedutum.com beantwortet der Auftragsverarbeiter innerhalb von zehn Werktagen. Eine Verletzung des Schutzes personenbezogener Daten meldet der Auftragsverarbeiter dem Auftraggeber unverzüglich per E-Mail an das Konto.

11. Löschung nach Vertragsende

Beantragt der Auftraggeber die Löschung seines Kontos per E-Mail an office@vedutum.com, löscht der Auftragsverarbeiter alle Projektdaten des Kontos innerhalb von 30 Tagen: Projekte, Pläne, Modelle, Bilder, Clips, Panoramen, Protokolle und Anmerkungen. Rechnungsdaten bleiben sieben Jahre gespeichert (§ 132 BAO). Der Auftraggeber kann Bilder, Clips und Modelle vorher in der Software herunterladen.

12. Kontrollrechte

Der Auftragsverarbeiter stellt dem Auftraggeber auf Anfrage die Informationen zur Verfügung, die zum Nachweis der Einhaltung dieses Vertrags nötig sind: die Beschreibung der Maßnahmen aus Punkt 8, die Liste der Unterauftragsverarbeiter und die mit ihnen bestehenden Verträge. Eine Prüfung vor Ort ist nach Ankündigung mit angemessener Frist möglich.

13. Abschluss

Dieser Vertrag kommt mit dem Anlegen eines Kontos in der Software zustande; die Zustimmung wird beim Registrieren abgefragt. Es gilt österreichisches Recht. Änderungen werden hier veröffentlicht und per E-Mail an das Konto angekündigt.

Diese Fassung ist technisch aus dem Betrieb abgeleitet und wird vor dem Livegang juristisch geprüft.