Auftragsverarbeitungsvereinbarung (AVV)

KI-Analyse und getrennte Trainingsfreigaben

KI wird für die vom Kunden angeforderte Funktion mit den dafür erforderlichen Inhalten eingesetzt. Ausgewählte Dokumente, Texte, Bilder, gegebenenfalls Sprachaufnahmen und Werkzeugergebnisse können personenbezogene Daten enthalten; eine automatische Entfernung aller Personenbezüge wird nicht zugesichert. Für die Text- und Bildmodellrouten verlangt die Anwendung derzeit EU-Endpunkte, verweigerte Datensammlung und ZDR-fähige Anbieter. Diese Routingvorgaben sind keine Zusage, dass Vermittlung, Betriebsmetadaten oder sämtliche Unterauftragnehmer ausschließlich in der EU verarbeitet werden. Zero Data Retention bedeutet keine unbegrenzte Speicherfreiheit aller Beteiligten und ersetzt weder einen AVV noch eine Drittlandgrundlage. Eine Nutzung der Auftragsdaten zum eigenen Training ist durch diesen AVV nicht erlaubt. Eine gesonderte Trainingsfreigabe ersetzt insbesondere keine Rechtsgrundlage oder Befugnis für Daten Dritter; eigenes Training ist derzeit nicht aktiv.

Eingabe-Archiv für eingelesene Dateien

Der Kunde erlaubt PlanElec.be, Kopien der Dateien aufzubewahren und auszuwerten, die er in Import-Funktionen einliest (Grundrisse als Bild, PDF, DXF oder DWG, Trikker- und Sketch-Projektdateien, Vorlagen für den KI-Schemaleser), einschließlich daraus erzeugter Zwischenformate und technischer Protokolle. Zweck ist allein, Fehler beim Einlesen zu analysieren und die Import- und Erkennungsfunktionen zu verbessern; für diesen Zweck handelt PlanElec.be als eigener Verantwortlicher, die Zweckbindung nach Ziffer 2 und die Weisungsbindung nach Ziffer 5 gelten insoweit nicht. Die Kopien liegen verschlüsselt im Sicherungsspeicher in der EU, getrennt von den Projektdaten. Nur das Team von PlanElec.be hat Zugriff; die Kopien werden nicht an Dritte weitergegeben und nicht zum Training von KI-Modellen genutzt. Sie werden automatisch gelöscht, aus Sketch nach 90 Tagen, aus Pro spätestens nach 24 Monaten. Der Kunde stellt sicher, dass er die Dateien hierfür bereitstellen darf. Er kann der Aufbewahrung jederzeit in Textform an den unten genannten Kontakt widersprechen; PlanElec.be löscht dann die vorhandenen Kopien seines Kontos und bewahrt keine weiteren auf.

Parteien

Auftraggeber: Der im Nutzungsvertrag bezeichnete Kunde, vertreten durch eine hierzu befugte Person. Er handelt als Verantwortlicher oder als Auftragsverarbeiter eines anderen Verantwortlichen. Im zweiten Fall handelt PlanElec.be als weiterer Auftragsverarbeiter; der Kunde stellt die erforderliche Genehmigung seines Auftraggebers und die zulässige Weisungskette sicher. Die Auswahl eines privaten oder geschäftlichen Kontos entscheidet nicht allein über die datenschutzrechtliche Rolle.

Auftragsverarbeiter: Stephan Behm, Heggen 34, 4837 Baelen, Belgien, Unternehmensnummer 1043.329.030 – Betreiber von PlanElec.be.

1. Gegenstand und Dauer

Gegenstand sind die im Auftrag verarbeiteten Projektinhalte bei der Planung und Dokumentation elektrischer Anlagen: Schemata, Grundrisse, hochgeladene Unterlagen, Zusammenarbeit, Freigaben, Exporte und ausdrücklich angeforderte KI-Funktionen. Die Verarbeitung beginnt nur auf einer vereinbarten Grundlage. Die Vereinbarung gilt während der beauftragten Verarbeitung und über das Ende des Nutzungsvertrags hinaus, solange PlanElec.be oder seine Unterauftragsverarbeiter noch Auftragsdaten aufbewahren.

2. Art und Zweck der Verarbeitung

Die Verarbeitung umfasst Erheben durch Eingabe oder Upload, Ordnen, Speichern, Auslesen, Bearbeiten, Analysieren auf Weisung, Bereitstellen für berechtigte Mitwirkende, Exportieren, Übermitteln auf Weisung, Sichern, Einschränken und Löschen. Zweck ist ausschließlich die Erbringung der beauftragten Planungs- und Dokumentationsleistungen. Konto-, Vertrags-, Zahlungs- und Rechnungsverwaltung, eigene gesetzliche Pflichten sowie eigene Produktanalyse werden, soweit PlanElec.be dafür Zwecke und Mittel selbst bestimmt, in eigener Verantwortlichkeit nach der Datenschutzerklärung verarbeitet. Diese Abgrenzung berechtigt nicht zur Verwendung von Projektinhalten für Werbung oder eigenes Training. Cockpit und der interne Ereignisbus sind interne Systeme desselben Betreibers, keine eigenständigen Unterauftragsverarbeiter.

3. Kategorien personenbezogener Daten

Im Rahmen der Nutzung werden insbesondere folgende Datenkategorien verarbeitet:

• Namen, Anschriften und vom Kunden eingegebene Kontaktdaten von Auftraggebern, Eigentümern, Bewohnern, Ansprechpartnern und Mitwirkenden.
• Objektadressen, Grundrisse, Raumaufteilungen, Fotos, Zeichnungen, technische Anlagen- und Installationsdaten, soweit sie einer natürlichen Person zugeordnet werden können.
• Projektbezeichnungen, Freitexte, hochgeladene Dokumente, ausgewählte KI-Eingaben und Ergebnisse sowie personenbezogene Inhalte in beauftragten Supportvorgängen.
• Für Zusammenarbeit und Nachvollziehbarkeit erforderliche Nutzer-, Organisations-, Projekt- und Vorgangskennungen, Berechtigungen, Zeitstempel und Bearbeitungsstände.
• Besondere Kategorien nach Art. 9 DSGVO und Angaben nach Art. 10 DSGVO sind nicht Gegenstand der beauftragten Standardleistung. Sie dürfen ohne gesonderte schriftliche Vereinbarung geeigneter Schutzmaßnahmen nicht eingegeben werden. Nicht erforderliche personenbezogene Angaben sind vor Upload oder KI-Verarbeitung zu entfernen.

4. Kategorien betroffener Personen

Von der Verarbeitung sind folgende Personengruppen betroffen:

• Auftraggeber und Endkunden des Kunden, Eigentümer, Bauherren, Bewohner und Mieter.
• Beschäftigte, Beauftragte und sonstige Mitwirkende des Kunden oder seiner Auftraggeber.
• Weitere natürliche Personen, deren Angaben der Kunde berechtigterweise in Projektunterlagen oder beauftragte Kommunikation aufnimmt.

5. Pflichten des Auftragsverarbeiters

Der Auftragsverarbeiter verpflichtet sich gemäß Art. 28 Abs. 3 DSGVO insbesondere:

• PlanElec.be verarbeitet Auftragsdaten nur auf dokumentierte Weisung des Kunden, auch bei Drittlandübermittlungen. Nutzungsvertrag, dieser AVV und die im vereinbarten Funktionsumfang ausgelösten Bedienhandlungen bilden die anfänglichen Weisungen. Zusätzliche Weisungen sind in Textform an den unten genannten Kontakt zu richten; PlanElec.be dokumentiert sie und prüft die Befugnis des Absenders.
• Verpflichtet Unionsrecht oder das Recht eines Mitgliedstaats PlanElec.be zu einer abweichenden Verarbeitung, informiert PlanElec.be den Kunden vorab über diese Pflicht, soweit das Gesetz dies nicht aus wichtigen Gründen des öffentlichen Interesses verbietet. Hält PlanElec.be eine Weisung für datenschutzrechtswidrig, teilt es dies dem Kunden unverzüglich mit und setzt die betroffene Verarbeitung bis zur Klärung aus.
• PlanElec.be beschränkt den Zugang auf befugte Personen mit aufgabenbezogenem Bedarf. Diese sind zur Vertraulichkeit verpflichtet oder unterliegen einer angemessenen gesetzlichen Verschwiegenheitspflicht; die Pflicht besteht nach Ende ihrer Tätigkeit fort.
• PlanElec.be unterstützt den Kunden unter Berücksichtigung der Art der Verarbeitung durch geeignete technische und organisatorische Maßnahmen bei Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit und Widersprüchen. Direkt eingehende Betroffenenanfragen leitet PlanElec.be unverzüglich weiter und beantwortet sie nur auf Weisung oder aufgrund einer gesetzlichen Pflicht.
• PlanElec.be unterstützt den Kunden unter Berücksichtigung der verfügbaren Informationen bei Sicherheit, Meldungen von Datenschutzverletzungen, Datenschutz-Folgenabschätzungen und vorherigen Konsultationen nach Art. 32 bis 36 DSGVO. Die Verantwortung des Kunden für seine gesetzlichen Fristen bleibt bestehen.
• Nach Bekanntwerden einer Verletzung des Schutzes von Auftragsdaten informiert PlanElec.be den Kunden unverzüglich über dessen hinterlegte Kontaktadresse. Die Mitteilung nennt, soweit bekannt, Art und Umfang, betroffene Personen und Datensätze, wahrscheinliche Folgen, ergriffene oder geplante Abhilfe und einen Ansprechpartner. Fehlende Informationen werden ohne unangemessene Verzögerung nachgereicht; eine erste Meldung wartet nicht auf den Abschluss der Untersuchung. PlanElec.be dokumentiert Vorfall und Abhilfe und unterstützt den Kunden bei der Bewertung und Benachrichtigung.
• Der Kunde verantwortet die Rechtmäßigkeit seiner Weisungen, die erforderlichen Informationen und Rechtsgrundlagen gegenüber betroffenen Personen, die Vergabe seiner Zugriffsrechte und die Richtigkeit der übermittelten Daten. Er hält eine erreichbare Kontaktadresse vor. Dies vermindert die eigenen gesetzlichen Pflichten von PlanElec.be nicht.

6. Unterauftragsverarbeiter

Der Kunde erteilt die allgemeine schriftliche Genehmigung für die nachfolgend bezeichneten Dienstleister, soweit diese tatsächlich Auftragsdaten für die vereinbarte Funktion verarbeiten. Bei KI-Funktionen sind der Vermittler und die nachgelagerten Modellplattformen getrennt aufgeführt. Plattformnamen bezeichnen die technische Route und ersetzen nicht die Identifikation des vertraglichen Unternehmens in den Nachweisen. Eigenständige Verantwortliche und interne Systeme sind keine Unterauftragsverarbeiter.

PlanElec.be legt weiteren Auftragsverarbeitern vor ihrem Einsatz vertraglich dieselben Datenschutzpflichten auf, die in diesem AVV festgelegt sind, insbesondere hinreichende Garantien für geeignete technische und organisatorische Maßnahmen, und bleibt dem Kunden gegenüber für die Erfüllung durch weitere Auftragsverarbeiter verantwortlich. Beabsichtigte Hinzuziehungen oder Ersetzungen werden dem Kunden mindestens 30 Tage vor dem Zugriff auf seine Auftragsdaten in Textform mit Dienstleister, Aufgabe, Verarbeitungsorten und Übermittlungsgrundlage mitgeteilt; eine stille Änderung der Website genügt nicht. Der Kunde kann innerhalb dieser Frist aus nachvollziehbaren Datenschutzgründen widersprechen. Bis zur Klärung erhält der beanstandete neue Dienstleister keinen Zugriff auf die betroffenen Daten. Die Parteien suchen eine geeignete Alternative. Ist keine Lösung möglich, kann der Kunde den betroffenen Leistungsteil ohne Vertragsstrafe beenden; vorausgezahlte Entgelte für danach entfallende Leistungen werden anteilig erstattet. Für weitere Verarbeitungsketten gelten dieselben Schutzpflichten.

7. Verarbeitungsorte und Drittlandübermittlungen

Eine ausschließliche Verarbeitung innerhalb der EU wird nicht vereinbart. Insbesondere bei Vermittlung von KI-Anfragen, E-Mail-Zustellung und bei Zugriffs- oder Supportleistungen internationaler Anbieter können Daten außerhalb des EWR verarbeitet werden. PlanElec.be darf solche Übermittlungen nur im Rahmen dokumentierter Weisungen und unter Einhaltung von Kapitel V DSGVO vornehmen. Soweit kein einschlägiger Angemessenheitsbeschluss greift, sind geeignete Garantien, insbesondere die passenden Standardvertragsklauseln nach Beschluss (EU) 2021/914, und die erforderliche Prüfung des Schutzniveaus einschließlich ergänzender Maßnahmen sicherzustellen. Bei Berufung auf das EU-US Data Privacy Framework müssen Empfänger und konkrete Verarbeitung von einer gültigen Zertifizierung erfasst sein. Eine US-Anschrift allein ist kein Nachweis. PlanElec.be stellt dem Kunden die maßgeblichen Nachweise auf Anfrage unter Schutz berechtigter Geheimhaltungsinteressen zur Verfügung. Fehlt eine tragfähige Grundlage, darf die betroffene Übermittlung nicht erfolgen.

8. Technische und organisatorische Maßnahmen (Anlage)

PlanElec.be gewährleistet ein dem Risiko angemessenes Schutzniveau nach Art. 32 DSGVO. Die folgenden Maßnahmen konkretisieren die geschuldeten Schutzmaßnahmen für die Auftragsverarbeitung; technische Weiterentwicklungen dürfen das vereinbarte Schutzniveau nicht vermindern:

• Zugang und Berechtigungen: authentifizierte Benutzerzugänge, projekt- und organisationsbezogene Rechteprüfung auf dem Server, Beschränkung administrativer Zugriffe auf befugte Personen sowie Entzug nicht mehr benötigter Berechtigungen. Zugangsmittel und Dienstschlüssel sind vor Offenlegung zu schützen.
• Übertragung und Trennung: verschlüsselte öffentliche Datenübertragung über HTTPS/TLS; Trennung von Mandanten durch Berechtigungsprüfungen und Schutz gespeicherter Dateien vor unberechtigtem Abruf. Eine Ende-zu-Ende-Verschlüsselung, die auch den Betreiber ausschließt, ist nicht zugesichert.
• Integrität und Nachvollziehbarkeit: Prüfung von Eingaben und Änderungen, Nachverfolgbarkeit relevanter Bearbeitungsvorgänge und sicherheitsrelevante Protokolle mit auf das Erforderliche begrenzten Inhalten. Keine uneingeschränkte Übernahme von Projektinhalten in Analyse- oder Fehlerprotokolle.
• Verfügbarkeit und Wiederherstellung: Datensicherungen und dokumentierte Wiederherstellungsverfahren; Zugriffsschutz und begrenzte Aufbewahrung auch für Sicherungen. Wiederherstellbarkeit und Wirksamkeit der Schutzmaßnahmen sind regelmäßig und nach wesentlichen Änderungen zu prüfen.
• Betrieb und Organisation: Verfahren für Sicherheitsaktualisierungen, Schwachstellenbehandlung, Datenschutzvorfälle, Löschanfragen und Kontrolle weiterer Auftragsverarbeiter; datenschutzbezogene Unterweisung der befugten Personen.
• Datenminimierung und Löschung: Beschränkung übermittelter Inhalte auf den jeweiligen Auftrag, zweckbezogene Aufbewahrung, Sperrung und Löschung nach Weisung sowie kontrollierte Behandlung von Sicherungskopien nach Abschnitt 9.

9. Rückgabe, Löschung und Vertragsende

Der Kunde wählt bei Beendigung der beauftragten Verarbeitung zwischen Rückgabe mit anschließender Löschung und unmittelbarer Löschung. PlanElec.be stellt die Auftragsdaten in einem gebräuchlichen elektronischen Format bereit und löscht vorhandene Kopien, soweit Unionsrecht oder das Recht eines Mitgliedstaats keine Aufbewahrung verlangt. Der Export und die Erfüllung gesetzlicher Datenschutzpflichten sind nicht vom Erwerb eines kostenpflichtigen Tarifs abhängig. Eine bloße Kündigung eines Abonnements oder ein Wechsel in den kostenlosen Tarif beendet eine weiterhin beauftragte Speicherung nicht automatisch. Bei einer Kontolöschung besteht im normalen Wiederherstellungsverfahren eine Karenz von 30 Tagen; auf ausdrückliche zulässige Weisung ist die unmittelbare Löschung ohne diese Karenz möglich. Gesetzlich aufzubewahrende Daten werden auf den Pflichtumfang beschränkt und für andere Zwecke gesperrt. Sicherungskopien dürfen nicht zur weiteren regulären Verarbeitung genutzt werden; Löschungen sind bei einer Wiederherstellung vor erneuter Nutzung nachzuvollziehen. PlanElec.be teilt dem Kunden die für seinen Auftrag geltenden Sicherungs- und endgültigen Löschfristen mit und bestätigt die abgeschlossene Löschung auf Anfrage. Weitere Auftragsverarbeiter löschen nach den mit ihnen vereinbarten Bedingungen. Die Pflichten dieses AVV gelten bis zur endgültigen Löschung fort.

10. Nachweise und Kontrollen

PlanElec.be stellt alle zum Nachweis der Einhaltung von Art. 28 DSGVO erforderlichen Informationen bereit und ermöglicht und unterstützt Überprüfungen einschließlich Inspektionen durch den Kunden oder einen von ihm beauftragten Prüfer. Vorhandene geeignete Berichte können zunächst verwendet werden, ersetzen aber kein bei Bedarf erforderliches Kontrollrecht. Prüfungen werden unter angemessener Vorankündigung so organisiert, dass andere Kunden, Geheimnisse und die Sicherheit geschützt bleiben. Prüfungen durch den Kunden finden höchstens einmal im Kalenderjahr statt, sofern nicht ein begründeter Verdacht, ein Datenschutzvorfall oder eine behördliche Anforderung eine zusätzliche Prüfung erfordert. Der Kunde trägt die Kosten seiner Prüfung. Gegenüber weiteren Auftragsverarbeitern übt PlanElec.be die Kontrollrechte im Rahmen der mit ihnen vereinbarten Prüfrechte aus, vorrangig über deren Zertifizierungen und Prüfberichte. PlanElec.be weist unverzüglich auf eine aus seiner Sicht rechtswidrige Prüfungsweisung hin.

11. Rangfolge und Haftung

Bei Widersprüchen gehen die Datenschutzpflichten dieser Vereinbarung für die Auftragsverarbeitung den allgemeinen Nutzungsbedingungen vor. Zwingendes Datenschutzrecht, insbesondere die Rechte betroffener Personen und Art. 82 DSGVO, bleibt unberührt. International vereinbarte Standardvertragsklauseln behalten ihren vorgesehenen Vorrang. Änderungen dieses AVV bedürfen einer wirksamen Vereinbarung; die bloße Änderung dieser Seite ersetzt sie nicht. Die Regelung über angekündigte Unterauftragsverarbeiterwechsel bleibt davon unberührt. Im Übrigen gelten das anwendbare Recht und der Gerichtsstand des Nutzungsvertrags.

12. Kontakt und Weisungen

Datenschutzanfragen, dokumentierte Weisungen und Anfragen zu Vertragsnachweisen richten Sie an: privacy@planelec.be

Abgrenzung weiterer Empfänger

Mollie verarbeitet Zahlungsdaten für seine regulierten Zahlungsdienste als eigenständiger Verantwortlicher. Recommand (BRBX BV) unterstützt PlanElec.be bei dessen eigener Rechnungsabwicklung. PostHog wird für eigene Produktanalyse und technische Diagnose eingesetzt; Projektinhalte gehören nicht in Analyseereignisse. Diese Verarbeitungen sind, soweit sie nicht im Kundenauftrag erfolgen, in der Datenschutzerklärung erläutert und werden durch diesen AVV nicht als Verarbeitung im Kundenauftrag genehmigt. Für die PV-Ertragsprognose übermittelt PlanElec.be nur auf Anforderung des Kunden Koordinaten des Projektstandorts und technische Anlagenparameter ohne Namen an den öffentlichen PVGIS-Dienst der Gemeinsamen Forschungsstelle der Europäischen Kommission.