nach Art. 28 DSGVO · asterbuild.ai · Stand 4. Oktober 2026
dem Auftraggeber, im Folgenden „Verantwortlicher“:
L1 Firma, Rechtsform, L2 Anschrift, L3 Firmenbuchnummer
und dem Auftragnehmer, im Folgenden „Auftragsverarbeiter“:
L4 Firma, Rechtsform, Sigmundgasse 11, 1070 Wien, Österreich, L5 Firmenbuchnummer, Betreiber von asterbuild.ai
Der Auftragsverarbeiter erbringt für den Verantwortlichen die im L6 Bezeichnung des Hauptvertrags (im Folgenden „Hauptvertrag“) vereinbarten Leistungen: Erstellung, Bearbeitung, Kalkulation und Ausgabe von Leistungsverzeichnissen aus Bauunterlagen des Verantwortlichen sowie die damit verbundene Auftragsabwicklung (Angebot, Nachträge, Abrechnung, Bautagesberichte). Dabei verarbeitet er in dessen Auftrag personenbezogene Daten. Gegenstand, Art, Zweck und Umfang ergeben sich aus Anlage 1.
Diese Vereinbarung gilt für die Laufzeit des Hauptvertrags. Sie endet mit diesem, jedoch nicht vor Erfüllung der Pflichten aus Ziffer 9.
Der Auftragsverarbeiter verarbeitet die Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen, auch in Bezug auf die Übermittlung in ein Drittland (Ziffer 6), sofern er nicht gesetzlich zur Verarbeitung verpflichtet ist; in diesem Fall teilt er dem Verantwortlichen diese Verpflichtung vor der Verarbeitung mit, soweit das Gesetz dies nicht verbietet. Weisungen erfolgen in Textform; die Nutzung der Anwendung durch Berechtigte des Verantwortlichen gilt als Weisung.
Hält der Auftragsverarbeiter eine Weisung für rechtswidrig, teilt er dies unverzüglich mit und darf die Ausführung bis zur Klärung aussetzen.
Der Auftragsverarbeiter verpflichtet alle mit der Verarbeitung befassten Personen zur Vertraulichkeit, soweit sie nicht bereits einer gesetzlichen Verschwiegenheitspflicht unterliegen. Die Verpflichtung besteht über das Ende der Tätigkeit hinaus fort.
Der Auftragsverarbeiter trifft die in Anlage 2 beschriebenen Maßnahmen nach Art. 32 DSGVO. Er darf sie fortentwickeln, sofern das Schutzniveau nicht unterschritten wird; wesentliche Änderungen werden dokumentiert.
Der Verantwortliche erteilt eine allgemeine Genehmigung für den Einsatz der in Anlage 3 genannten Unterauftragsverarbeiter. Die jeweils gültige Fassung steht unter asterbuild.ai/unterauftragsverarbeiter. Der Auftragsverarbeiter informiert über beabsichtigte Änderungen mit einer Frist von 30 Tagen in Textform. Der Verantwortliche kann binnen dieser Frist widersprechen; kann der Widerspruch nicht ausgeräumt werden, steht ihm ein Sonderkündigungsrecht zu.
Der Auftragsverarbeiter erlegt Unterauftragsverarbeitern vertraglich dieselben Datenschutzpflichten auf, die in dieser Vereinbarung festgelegt sind (Art. 28 Abs. 4 DSGVO), und haftet für deren Verhalten wie für eigenes.
Die Datenbank und der Dateispeicher liegen in der Europäischen Union. Einzelne Unterauftragsverarbeiter können Daten außerhalb der EU und des EWR verarbeiten; Anlage 3 nennt je Dienstleister den Ort, soweit er belegt ist. Eine Übermittlung in ein Drittland erfolgt nur, wenn die Voraussetzungen der Art. 44 bis 49 DSGVO erfüllt sind, insbesondere auf Grundlage eines Angemessenheitsbeschlusses oder von Standardvertragsklauseln. L9 Übermittlungsgrundlage je Dienstleister
Der Auftragsverarbeiter unterstützt den Verantwortlichen bei
Betroffenenanfragen, die den Auftragsverarbeiter unmittelbar erreichen, leitet er unbeantwortet an den Verantwortlichen weiter.
Der Auftragsverarbeiter stellt auf Anfrage die zum Nachweis erforderlichen Informationen bereit, insbesondere die jeweils gültige Fassung der Anlagen 2 und 3 sowie die Protokolle der Löschläufe nach dem Löschkonzept.
Der Verantwortliche kann nach Ankündigung mit angemessener Frist Überprüfungen durchführen oder durch einen zur Verschwiegenheit verpflichteten Prüfer durchführen lassen. Der Betriebsablauf ist dabei zu schonen.
Nach Beendigung der Leistungserbringung löscht der Auftragsverarbeiter alle personenbezogenen Daten des Verantwortlichen oder gibt sie zurück, nach Wahl des Verantwortlichen, binnen L7 Frist, Vorschlag 30 Tage nach Vertragsende. Der Verantwortliche kann seine Daten jederzeit selbst über die Anwendung ausgeben (PDF, Excel, GAEB DA XML, ÖNORM A 2063) und löschen. In Datensicherungen des Infrastrukturdienstleisters können gelöschte Daten bis zum Ablauf der Sicherung fortbestehen (L8 Umfang und Dauer der Sicherungen).
Die laufenden Löschfristen innerhalb der Vertragslaufzeit ergeben sich aus dem Löschkonzept. Es ist Bestandteil dieser Vereinbarung. Gesetzliche Aufbewahrungspflichten bleiben unberührt.
Änderungen bedürfen der Textform. Bei Widersprüchen zwischen dieser Vereinbarung und dem Hauptvertrag geht diese Vereinbarung in Fragen des Datenschutzes vor. Es gilt österreichisches Recht.
Erstellung, Bearbeitung, Kalkulation und Ausgabe von Leistungsverzeichnissen nach ÖNORM aus Bauunterlagen des Verantwortlichen sowie die Abwicklung der daraus entstehenden Aufträge: Angebot, Nachträge, Ausmaß, Rechnung, Zahlung, Bautagesbericht.
Erheben, Speichern, Auslesen, Verändern, Auswerten durch KI-Systeme, Bereitstellen zum Abruf, Löschen.
| Kategorie | Beispiele | Herkunft |
|---|---|---|
| Kontodaten | Name, E-Mail-Adresse, Rolle, Rechte, Profilbild | Eingabe bei der Einladung und im Profil |
| Firmendaten | Firmenname, Anschrift, UID, Bankverbindung, Logo | Eingabe in den Einstellungen |
| Projektdaten | Bauvorhaben, Anschrift, Auftraggeber, Ansprechpartner | Eingabe bei der LV-Erstellung |
| Bauunterlagen | Einreich- und Polierpläne, Vergabeunterlagen als PDF; enthalten regelmäßig Namen und Anschriften von Bauherr und Planverfasser | Hochladen durch den Verantwortlichen |
| Abrechnungsdaten | Nachträge, Ausmaßblätter, Rechnungen, Zahlungen, Rücklässe mit Auftraggeberdaten | Eingabe und Import durch den Verantwortlichen |
| Baustellendaten | Bautagesberichte mit Namen, Funktion und Arbeitszeiten von Beschäftigten; Baustellenfotos | Eingabe und Hochladen durch den Verantwortlichen |
| Nutzungsdaten | Aktivitätsprotokoll, Änderungsprotokoll der Positionen, Anmeldezeitpunkte, Zahl der KI-Aufrufe | bei der Nutzung erzeugt |
Keine besonderen Kategorien. Daten nach Art. 9 DSGVO werden weder erhoben noch angefordert. Sollten sie in hochgeladenen Unterlagen vorkommen, liegt das außerhalb des vereinbarten Zwecks; der Verantwortliche trägt dafür Sorge, dass solche Unterlagen nicht eingebracht werden.
Nach Art. 32 DSGVO. Mit geprüft gekennzeichnete Angaben wurden am 4. Oktober 2026 im System nachgesehen.
| Bereich | Maßnahme |
|---|---|
| Zugangskontrolle | Anmeldung über Supabase Auth. Passwörter werden ausschließlich als Hash gespeichert; der Betreiber hat keinen Zugriff auf Klartextpasswörter. Neue Mitglieder kommen nur über eine Einladung durch die Administration des Verantwortlichen hinzu. |
| Zugriffskontrolle | Row Level Security auf allen 92 Tabellen des Anwendungsschemas geprüft. Jede Abfrage wird auf die Firmenzugehörigkeit des Anmeldenden eingeschränkt; ein Zugriff über Firmengrenzen ist auch bei fehlerhafter Oberfläche nicht möglich. Innerhalb der Firma regeln Rechte, wer Preise sieht. |
| Mandantentrennung | Logische Trennung über die Firmenkennung in jeder Zeile, durchgesetzt durch die Zugriffsregeln der Datenbank, nicht durch die Anwendung. |
| Speicherung von Dateien | Bauunterlagen, erzeugte Dokumente und Profilbilder liegen in nicht öffentlichen Speicherbereichen. Der Abruf erfolgt ausschließlich über kurzlebige signierte Verweise. Öffentlich ist allein der Bereich für Firmenlogos, da diese auf Angeboten erscheinen geprüft. |
| Übertragung | Ausschließlich TLS. Seiten hinter der Anmeldung werden mit no-store ausgeliefert, damit keine Inhalte in Zwischenspeichern verbleiben. Für jede dieser Seiten steht eine Regel in der Auslieferungskonfiguration; ein automatischer Test prüft das bei jeder Änderung. |
| Eingabekontrolle | Änderungen an Positionen werden mit Zeitpunkt, Feld, altem und neuem Wert sowie der ändernden Person protokolliert. Das Protokoll ist für den Verantwortlichen einsehbar. |
| Trennung von Rollen | Die Betreiberrolle ist von der Kundenrolle getrennt; Betreiberfunktionen sind an ein eigenes Kennzeichen gebunden und nicht über die Kundenoberfläche erreichbar. |
| Löschung | Automatischer Löschlauf täglich um 03:30 Uhr (UTC) nach dem Löschkonzept. Jeder Lauf wird protokolliert; 27 Läufe vom 7. September bis 3. Oktober 2026 ohne Lücke geprüft. Beim Löschen eines Leistungsverzeichnisses werden Bauplan und erzeugte Dokumente im Speicher mitentfernt; Dateien in drei weiteren Speicherbereichen noch nicht, siehe Löschkonzept Ziffer 6. |
| Verfügbarkeit | Sicherung und Wiederherstellung erfolgen durch den Infrastrukturdienstleister. Eine Wiederherstellung auf einen beliebigen Zeitpunkt ist nicht gebucht geprüft. L8 Umfang und Dauer der Sicherungen |
| Belastbarkeit | Die Weboberfläche wird über das Netz von Cloudflare ausgeliefert. Inhalte von Leistungsverzeichnissen laufen nicht über dieses Netz, sondern direkt zwischen Browser und Datenbank. |
Stand 4. Oktober 2026, aus Quelltext und Konfiguration erhoben. Gleichlautend mit der Liste der Unterauftragsverarbeiter, die auch Erläuterungen und die nicht eingesetzten Dienste nennt. L10 Vertragspartner, Ort und AVV je Dienstleister
| Dienstleister | Leistung und verarbeitete Daten | Ort |
|---|---|---|
| Supabase | Datenbank, Dateispeicher, Anmeldung, serverseitige Funktionen. Verarbeitet alle in Anlage 1 genannten Daten. | EU, Rechenzentrum Paris geprüft; Ausführungsort der Funktionen offen |
| Google Gemini API | KI-Auswertung von Plänen, Vergabeunterlagen, Fotos und Positionstexten. Die Dateien werden an diesen Dienst übertragen und enthalten regelmäßig Namen und Anschriften von Bauherr und Planverfasser. Tarif und Zusicherung zum Modelltraining offen | außerhalb der EU möglich |
| PDFShift | Umwandlung erzeugter Dokumente in PDF. Verarbeitet Positions-, Projekt-, Firmen-, Auftraggeber- und Rechnungsdaten des jeweiligen Dokuments. | offen |
| Resend | Versand von Einladungen, Passwortmails und Benachrichtigungen. Verarbeitet Name, E-Mail-Adresse und Inhalt der Nachricht. | offen |
| Cloudflare | Auslieferung der Weboberfläche. Verarbeitet Verbindungsdaten, keine Inhalte von Leistungsverzeichnissen. | weltweites Netz, offen |
| komoot Photon | Adressvorschläge bei der Eingabe einer Baustellenadresse. Verarbeitet den eingegebenen Adresstext und die IP-Adresse. | offen, Rolle offen |
Nicht im Einsatz: Anthropic (Claude API) als Ausweichsystem; kein Zugangsschlüssel hinterlegt geprüft. Google Vertex AI in Frankfurt als vorbereitete Umstellung; Zugang nicht eingerichtet geprüft. Für den früheren PDF-Anbieter Doppio wurde der Zugangsschlüssel am 6. September 2026 entfernt; der Dienst verarbeitet keine Daten mehr.
| Nr. | Offene Stelle | Wer liefert |
|---|---|---|
| L1 bis L3 | Angaben zum Verantwortlichen; werden je Kunde eingesetzt. | je Kunde |
| L4, L5 | Firma, Rechtsform und Firmenbuchnummer des Betreibers. Hängt am Impressum, das derzeit keine Firmendaten enthält. | Betreiber |
| L6 | Bezeichnung des Hauptvertrags (AGB, Nutzungsvertrag). Ein Hauptvertrag liegt im Repo nicht vor. | Betreiber mit Kanzlei |
| L7 | Frist für Löschung oder Rückgabe nach Vertragsende. | Betreiber mit Kanzlei |
| L8 | Umfang und Dauer der Datensicherungen beim Infrastrukturdienstleister, nach gebuchtem Tarif. | Betreiber |
| L9 | Übermittlungsgrundlage je Dienstleister mit Sitz oder Verarbeitung außerhalb der EU. | Kanzlei |
| L10 | Vertragspartner, Ort, abgeschlossener AVV je Dienstleister; bei Google zusätzlich Tarif und Zusicherung zum Modelltraining; bei komoot die Rolle. | Betreiber |
| zur Prüfung | Reicht die Vereinbarung für Beschäftigtendaten im Bautagesbericht, oder braucht der Kunde zusätzlich Hinweise an seine Beschäftigten? | Kanzlei |
| zur Prüfung | Haftungsregel in Ziffer 5 und Sonderkündigungsrecht: Verhältnis zum Hauptvertrag. | Kanzlei |