Auftragsverarbeitungsvereinbarung (AVV/DPA)

Anhang zu den BULIDO Allgemeinen Geschäftsbedingungen Version: 1.0 Inkrafttreten: 16. Mai 2026 Rechtsverbindliche Sprachversion: Polnisch

Wichtig: Diese deutsche Fassung dient ausschließlich der besseren Verständlichkeit. Im Falle von Abweichungen ist die polnische Fassung maßgeblich. Die Vereinbarung unterliegt polnischem Recht.

§1. Parteien und Grundlage der Vereinbarung

1. Diese Auftragsverarbeitungsvereinbarung (nachstehend: „AVV") wird abgeschlossen zwischen:
   1. dem Kunden, der den BULIDO-Dienst nutzt, als Verantwortlicher für personenbezogene Daten im Sinne von Art. 4 Nr. 7 DSGVO,
   2. Entigo Radosław Suchowierski, ul. Bolesława Chrobrego 23, 78-230 Karlino, Polen, Steuer-ID (NIP): 6721984998, als Auftragsverarbeiter im Sinne von Art. 4 Nr. 8 DSGVO.
2. Die AVV ist integraler Bestandteil der BULIDO Allgemeinen Geschäftsbedingungen. Die Annahme der AGB ist gleichbedeutend mit dem Abschluss der AVV.
3. Die AVV regelt die Grundsätze der Verarbeitung personenbezogener Daten, die dem Auftragsverarbeiter vom Verantwortlichen im Zusammenhang mit der Nutzung des BULIDO-Dienstes anvertraut werden.

§2. Gegenstand, Art und Zweck der Verarbeitung

§3. Kategorien von Daten und betroffenen Personen

1. Kategorien betroffener Personen:

   1. Endkunden des Verantwortlichen (Personen, für die der Verantwortliche Angebote erstellt oder Arbeiten ausführt),
   2. Vertragspartner, Lieferanten des Verantwortlichen,
   3. Mitarbeiter oder Mitarbeitende des Verantwortlichen (sofern der Verantwortliche deren Daten in BULIDO eingibt).

2. Kategorien personenbezogener Daten:

   1. Identifikationsdaten (Vor-, Nachname, Firmenname),
   2. Kontaktdaten (Adresse, E-Mail, Telefon),
   3. Firmendaten (Steuer-ID, REGON),
   4. Daten zu Aufträgen und Angeboten (Arbeitsumfang, Beträge, Termine),
   5. sonstige vom Verantwortlichen eingegebene Daten.

3. Der Auftragsverarbeiter ist nicht berechtigt, besondere Kategorien personenbezogener Daten (Art. 9 DSGVO) oder Daten über strafrechtliche Verurteilungen (Art. 10 DSGVO) zu verarbeiten, sofern der Verantwortliche den Auftragsverarbeiter nicht über die Absicht der Eingabe solcher Daten informiert. Die Eingabe solcher Daten in BULIDO erfolgt auf alleinige Verantwortung des Verantwortlichen.

§4. Pflichten des Auftragsverarbeiters

Der Auftragsverarbeiter verpflichtet sich:

1. personenbezogene Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen zu verarbeiten, wobei die Nutzung des BULIDO-Dienstes durch den Verantwortlichen eine solche Weisung im Rahmen der Dienstfunktionen darstellt;
2. sicherzustellen, dass die zur Verarbeitung der Daten autorisierten Personen zur Vertraulichkeit verpflichtet sind;
3. geeignete technische und organisatorische Maßnahmen zur Datensicherheit (gemäß Art. 32 DSGVO) umzusetzen, beschrieben in Anhang 1 zur AVV;
4. den Verantwortlichen bei der Erfüllung seiner Pflichten aus der DSGVO zu unterstützen, einschließlich bei der Beantwortung von Anfragen betroffener Personen;
5. den Verantwortlichen unverzüglich, spätestens innerhalb von 48 Stunden nach Kenntnisnahme, über eine Verletzung des Schutzes personenbezogener Daten zu benachrichtigen;
6. nach Beendigung der Vereinbarung, die Daten gemäß der in den AGB beschriebenen Aufbewahrungspolitik (bis zu 90 Tage nach Kontoablauf) zu löschen, sofern keine gesetzliche Verpflichtung zur weiteren Aufbewahrung besteht.

§5. Pflichten des Verantwortlichen

Der Verantwortliche verpflichtet sich:

1. personenbezogene Daten gemäß DSGVO und sonstigem geltenden Recht zu verarbeiten,
2. eine gültige Rechtsgrundlage für die Verarbeitung der in BULIDO eingegebenen Daten zu haben,
3. Informationspflichten gegenüber den Personen, deren Daten in BULIDO eingegeben werden, zu erfüllen (u. a. Art. 13–14 DSGVO),
4. keine Daten in BULIDO einzugeben, deren Verarbeitung über den Zweck der Diensterbringung hinausginge.

§6. Unterauftragsverarbeiter

1. Der Verantwortliche erteilt eine allgemeine Genehmigung zur Nutzung der in Anhang 2 zur AVV aufgeführten Unterauftragsverarbeiter durch den Auftragsverarbeiter.
2. Der Auftragsverarbeiter informiert den Verantwortlichen mindestens 14 Tage im Voraus per E-Mail oder über eine Benachrichtigung im Kontobereich über geplante Änderungen der Unterauftragsverarbeiter (Hinzufügen eines neuen, Wechsel eines bestehenden).
3. Der Verantwortliche kann innerhalb von 14 Tagen ab Benachrichtigung einen begründeten Widerspruch gegen einen Wechsel des Unterauftragsverarbeiters einlegen. Kann keine einvernehmliche Lösung gefunden werden, kann der Verantwortliche die Vereinbarung gemäß den AGB kündigen.
4. Der Auftragsverarbeiter stellt sicher, dass jeder Unterauftragsverarbeiter durch entsprechende Datenschutzpflichten gebunden ist, wie sie sich aus der AVV ergeben.

§7. Übermittlungen außerhalb des EWR

1. Einige Unterauftragsverarbeiter (u. a. OpenAI, Google) verarbeiten Daten in Drittländern (USA).
2. Die Datenübermittlung erfolgt auf Grundlage:
   1. des EU-U.S. Data Privacy Framework: für Stellen, die diesem beigetreten sind, oder
   2. der von der Europäischen Kommission genehmigten Standardvertragsklauseln (SCC).
3. Details zu den Übermittlungen für jeden Unterauftragsverarbeiter sind in Anhang 2 enthalten.

§8. Auditrecht

1. Der Verantwortliche hat das Recht, die Einhaltung der AVV durch den Auftragsverarbeiter zu kontrollieren.
2. Die Kontrolle erfolgt auf Kosten des Verantwortlichen, nach vorheriger Terminvereinbarung mit dem Auftragsverarbeiter (mindestens 30 Tage vor der geplanten Kontrolle), während der Arbeitszeiten des Auftragsverarbeiters und in einer Weise, die die Beeinträchtigung seiner Tätigkeit minimiert.
3. Der Auftragsverarbeiter kann die in Absatz 1 genannte Pflicht erfüllen, indem er dem Verantwortlichen Berichte aus externen Audits, Zertifikate oder andere Dokumente zur Verfügung stellt, die die Einhaltung der Datenschutzanforderungen bestätigen.

§9. Haftung

1. Jede Partei haftet für Schäden, die sie der anderen Partei infolge eines Verstoßes gegen die AVV zufügt.
2. Die Haftung des Auftragsverarbeiters gegenüber dem Verantwortlichen aus der AVV unterliegt den in den BULIDO Allgemeinen Geschäftsbedingungen festgelegten Beschränkungen.
3. Die Bestimmungen von Absatz 2 schränken die unmittelbar aus der DSGVO resultierende Haftung der Parteien gegenüber Aufsichtsbehörden oder betroffenen Personen nicht ein.

§10. Schlussbestimmungen

1. Die AVV tritt mit der Annahme der AGB in Kraft und gilt für die Dauer der Vereinbarung.
2. In den von der AVV nicht geregelten Angelegenheiten gelten die Bestimmungen der DSGVO, des polnischen Datenschutzgesetzes und der AGB.
3. Anwendbares Recht ist polnisches Recht. Streitigkeiten werden vom für den Sitz des Auftragsverarbeiters zuständigen Gericht entschieden.

Anhang 1, Technische und organisatorische Maßnahmen

Der Auftragsverarbeiter hat insbesondere folgende Maßnahmen zum Schutz personenbezogener Daten umgesetzt:

Technische Maßnahmen:

• Verschlüsselung der Datenübertragung (TLS/HTTPS),
• Verschlüsselung von Passwörtern und Authentifizierungsdaten,
• regelmäßige Aktualisierungen von Software und Betriebssystemen,
• regelmäßige Datensicherungen in der Hosting-Infrastruktur im EWR,
• Schutz vor unbefugtem Zugriff (Firewall, Netzwerksegmentierung),
• Überwachung von Sicherheitsereignissen.

Organisatorische Maßnahmen:

• rollenbasierte Zugriffskontrolle,
• Vertraulichkeitsverpflichtung der autorisierten Personen,
• Verfahren bei Datenschutzverletzungen,
• laufende Pflege der Datenschutzdokumentation.

Anhang 2, Liste der Unterauftragsverarbeiter

Die aktuelle Liste ist in dieser AVV enthalten und wird gemäß §6 aktualisiert.

Diese AVV ist in drei Sprachversionen verfasst: Polnisch, Englisch und Deutsch. Im Falle von Abweichungen ist die polnische Fassung maßgeblich.