Auftragsverarbeitungsvertrag (AVV)

§1Gegenstand und Dauer

(1) Gegenstand dieses Vertrages ist die Verarbeitung personenbezogener Daten durch ISOCALCX im Rahmen der Bereitstellung und des Betriebs der ISOCALCX-SaaS-Plattform für den Verantwortlichen. Die konkreten Leistungen ergeben sich aus dem Hauptvertrag (AGB sowie gewähltem Abonnement).

(2) Die Dauer dieses Auftragsverarbeitungsvertrages entspricht der Laufzeit des Hauptvertrages und endet mit dessen Beendigung, vorbehaltlich der in §10 geregelten Pflichten zur Rückgabe oder Löschung der Daten.

(3) Der Verarbeitungsort liegt innerhalb der Europäischen Union sowie in der Schweiz. Ausgenommen sind die KI-Auswertung hochgeladener Ausschreibungen/Devis (PDF-Analyse) und der Assistent «Jarvis»: Die zu verarbeitenden Inhalte werden dazu an Anthropic PBC in den USA übermittelt (siehe §6). Eine Datenübermittlung in Drittstaaten erfolgt ausschliesslich unter den Voraussetzungen von Kap. V DSGVO bzw. Art. 16 revDSG.

§2Art und Zweck der Verarbeitung

(1) ISOCALCX verarbeitet personenbezogene Daten ausschliesslich zum Zweck der vertragsgemässen Erbringung der SaaS-Leistungen gegenüber dem Verantwortlichen. Zweck ist die KI-gestützte HLKS-Isolationskalkulation aus Schweizer Devis und Leistungsverzeichnissen (LV / Ausschreibungsunterlagen). Die Verarbeitung umfasst ausschliesslich:

• KI-gestützte Extraktion und Strukturierung von Isolationspositionen (Material, Dimension, Dicke, BKP-Code, Mengen) aus Devis und Leistungsverzeichnissen, die der Verantwortliche aktiv über die Plattform hochlädt;
• Speicherung der hochgeladenen Devis/LV-Dokumente sowie der daraus abgeleiteten strukturierten Kalkulationsdaten;
• Abgleich der extrahierten Positionen mit den vom Verantwortlichen hochgeladenen Preislisten und Erstellung von Kalkulationen und Offert-Entwürfen;
• Bereitstellung der Ergebnisse via Web-User-Interface, einschliesslich Authentifizierung der Nutzenden des Verantwortlichen;
• Export der Daten in gängige Dateiformate (Excel, PDF, JSON) sowie API-basierte Integration nach gesondertem Auftrag;
• Führen des Kundenverzeichnisses des Verantwortlichen sowie Erstellung und, auf dessen Auslösung, E-Mail-Versand von Rechnungen und Mahnungen an seine Kunden;
• auf Auslösung durch den Verantwortlichen: Einlesen von Adresslisten (Excel, CSV oder PDF), die er hochlädt, in sein Kundenverzeichnis. Excel- und CSV-Dateien sowie PDF mit erkennbarer Tabelle werden ohne KI gelesen; bei anderen PDF wird deren Text, bei gescannten PDF die Datei selbst, zur Auslesung an ein Sprachmodell über AWS Bedrock in der EU übermittelt. Das Ergebnis erscheint als Vorschau und gelangt erst nach seiner Bestätigung ins Kundenverzeichnis;
• Erstellen von Abnahmeprotokollen und Regierapporten; auf Wunsch unterschreiben die Beteiligten von Hand auf dem Bildschirm (mit Finger oder Maus). Die Unterschrift wird als Bild beim jeweiligen Dokument gespeichert und mit diesem aufbewahrt und gelöscht; sie ist keine qualifizierte elektronische Signatur;
• auf Einschaltung durch die Leitung des Verantwortlichen: Assistent «Jarvis», der getippte Aufträge der Nutzenden in der Plattform ausführt. Dazu werden der Auftrag, der Verlauf des laufenden Gesprächs, Angaben zur geöffneten Seite, die bestätigten Firmenbegriffe und die Daten, die der Assistent für den Auftrag liest (z. B. Projekte, Positionen, Kunden und Ansprechpersonen, Offerten, Rechnungen und Mahnungen), an ein Sprachmodell übermittelt (siehe §6). Gelesen wird ohne Rückfrage; Änderungen führt ISOCALCX erst nach Bestätigung durch die nutzende Person aus, Schritte mit Geldwirkung oder E-Mail-Versand nur nach ausdrücklicher Bestätigung mit Zusammenfassung. Begriffe, die der Assistent als Firmenbegriffe vorschlägt, verwendet er erst nach Bestätigung durch die Leitung und nur für den Verantwortlichen selbst;
• auf Einrichtung durch den Verantwortlichen: Abruf seiner persönlichen Einkaufskonditionen (Nettopreise nach dem Branchenstandard IGH ikk) bei den von ihm gewählten Händlern über deren Webservice mit den Zugangsdaten, die er selbst hinterlegt, oder Einlesen einer von ihm hochgeladenen ikk-Datei. Die Preise gelangen erst nach seiner Bestätigung in seine Kalkulation.

(2) Kein KI-Training mit Kundeninhalten: Eine Verarbeitung zu eigenen Zwecken — insbesondere ein Training, Fine-Tuning oder eine Modellverbesserung generativer KI-Modelle mit den vom Verantwortlichen hochgeladenen oder erfassten Inhalten — findet weder bei ISOCALCX noch bei den unter §6 genannten Sub-Auftragsverarbeitern (insbesondere AWS und Anthropic) statt. Dies ist in den Vertragsbedingungen der Sub-Auftragsverarbeiter geregelt, bei Anthropic gemäss den kommerziellen Bedingungen von Anthropic.

(3) Aggregierte, anonymisierte Telemetriedaten (z.B. Nutzungsstatistiken, Performance-Metriken) dürfen zur Verbesserung des Dienstes ausgewertet werden, soweit ein Personenbezug vollständig ausgeschlossen ist.

(4) Keine automatisierten Einzelentscheidungen mit rechtlicher Wirkung: Die KI-Ausgabe ist Entscheidungsvorbereitung für die Kalkulation und Offertenerstellung des Verantwortlichen. Es findet keine automatisierte Entscheidung im Sinne von Art. 22 DSGVO statt.

§3Art der Daten & Kategorien betroffener Personen

(1) Kategorien betroffener Personen sind insbesondere:

• Mitarbeitende und Ansprechpartner des Verantwortlichen, die den Dienst nutzen oder im Rahmen der Vertragsabwicklung in Erscheinung treten;
• Dritte, die in den hochgeladenen Devis oder Ausschreibungsunterlagen genannt sind (z.B. Bauherrschaft, Planende, Unternehmer);
• Kunden des Verantwortlichen und deren Ansprechpersonen (je Kunde mehrere), die er im Kundenverzeichnis erfasst oder einliest oder an die er Offerten, Rechnungen und Mahnungen richtet;
• am Projekt Beteiligte, die der Verantwortliche im Projekt erfasst (Bauherrschaft, Bauleitung), sowie Personen, die ein Abnahmeprotokoll oder einen Regierapport unterschreiben.

(2) Kategorien personenbezogener Daten:

• Stammdaten: Name, geschäftliche E-Mail-Adresse, Firmenname, Funktion;
• Projekt-Metadaten: Projektnamen, BKP-Codes, Trade-Zuordnungen, Zeitstempel;
• Inhaltsdaten: Texte und Strukturen der hochgeladenen Devis/Leistungsverzeichnisse, soweit diese personenbezogene Angaben enthalten;
• Nutzungsdaten: Login-Zeitpunkte, IP-Adressen (nur für Sicherheitszwecke, Speicherdauer 30 Tage), Audit-Logs;
• Kundendaten des Verantwortlichen: Firma oder Name, Adresse und Rechnungsadresse, E-Mail-Adresse, Telefon, Korrespondenzsprache, Notizen; je Kunde mehrere Ansprechpersonen mit Anrede, Vor- und Nachname, Funktion, E-Mail-Adresse, Telefon, Mobile, Notiz und Merkmalen (Hauptkontakt, Rechnungen, Kopie, inaktiv);
• Projektbeteiligte (freiwillig): Bauherrschaft mit Name und Adresse, Bauleitung mit Firma, Person, Telefon und E-Mail-Adresse;
• Handunterschriften: Bild der Unterschrift mit Name und Funktion der unterschreibenden Person, Datum und Zeitpunkt der Erfassung;
• Protokoll des Assistenten «Jarvis» (nur wenn eingeschaltet): Aufträge und Antworten, Gesprächsverlauf, vorbereitete und ausgeführte Schritte mit Zeitpunkt sowie auslösender und bestätigender Person, Bewertungen der Antworten, Fehlerliste und Firmenbegriffe;
• Händler-Zugangsdaten (nur wenn eingerichtet): Benutzername, Passwort und Kundennummer für den Konditionen-Webservice eines Händlers sowie das Protokoll der Preisabrufe (Zeitpunkt, auslösende Person, Ergebnis).

(3) Besondere Kategorien personenbezogener Daten im Sinne von Art. 9 DSGVO bzw. Art. 5 lit. c revDSG sind nicht Gegenstand der Verarbeitung; der Verantwortliche stellt sicher, dass solche Daten nicht hochgeladen werden.

§4Weisungsbefugnis des Verantwortlichen

(1) ISOCALCX verarbeitet die Daten ausschliesslich auf dokumentierte Weisung des Verantwortlichen. Als Weisungen gelten der vorliegende Vertrag, die AGB sowie die durch die Konfiguration und Nutzung der Plattform erteilten Anweisungen.

(2) Mündliche oder textuelle Einzelweisungen sind durch den Verantwortlichen unverzüglich in Textform (E-Mail genügt) zu bestätigen.

(3) ISOCALCX informiert den Verantwortlichen unverzüglich, falls eine Weisung nach ihrer Auffassung gegen anwendbares Datenschutzrecht verstösst. Sie ist berechtigt, die Ausführung einer solchen Weisung bis zu einer Klärung auszusetzen.

§5Technische und organisatorische Massnahmen (TOMs)

ISOCALCX trifft die nachfolgenden technischen und organisatorischen Massnahmen, um ein dem Risiko angemessenes Schutzniveau im Sinne von Art. 32 DSGVO bzw. Art. 8 revDSG sicherzustellen:

§6Subunternehmer

(1) Der Verantwortliche erteilt ISOCALCX die allgemeine Genehmigung zum Einsatz weiterer Auftragsverarbeiter (Subunternehmer). Die aktuell beauftragten Subunternehmer sind:

(2) ISOCALCX informiert den Verantwortlichen über beabsichtigte Änderungen hinsichtlich der Hinzuziehung oder Ersetzung weiterer Auftragsverarbeiter mit einer Frist von mindestens 30 Tagen vor Wirksamkeit in Textform. Der Verantwortliche kann der Änderung innerhalb dieser Frist aus wichtigem datenschutzrechtlichem Grund widersprechen.

(3) ISOCALCX verpflichtet ihre Subunternehmer schriftlich auf ein Datenschutzniveau, das demjenigen dieses Vertrages entspricht.

(4) Händler, bei denen der Verantwortliche seine Einkaufskonditionen abruft (z. B. ISO-CENTER AG oder Debrunner Acifer), sind keine Subunternehmer von ISOCALCX, sondern Vertragspartner des Verantwortlichen. ISOCALCX übermittelt ihnen auf dessen Weisung nur die von ihm hinterlegten Zugangsdaten zur Anmeldung und empfängt die Konditionen. Für die Bearbeitung beim Händler gelten die Vereinbarungen zwischen dem Verantwortlichen und dem Händler.

§7Betroffenenrechte

(1) ISOCALCX unterstützt den Verantwortlichen mit geeigneten technischen und organisatorischen Massnahmen bei der Erfüllung seiner Pflicht zur Beantwortung von Anträgen betroffener Personen, insbesondere auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung sowie Datenübertragbarkeit (Art. 15–22 DSGVO, Art. 25–28 revDSG).

(2) Wendet sich eine betroffene Person mit einem solchen Antrag direkt an ISOCALCX, leitet diese den Antrag unverzüglich an den Verantwortlichen weiter und beantwortet den Antrag selbst nur, soweit dies vereinbart oder gesetzlich vorgeschrieben ist.

(3) Aufwendungen für die Unterstützung, die über das übliche Mass hinausgehen, kann ISOCALCX nach gesondertem Aufwand in Rechnung stellen.

§8Meldepflichten bei Datenschutzverletzungen

(1) ISOCALCX meldet dem Verantwortlichen jede Verletzung des Schutzes personenbezogener Daten unverzüglich, spätestens jedoch innerhalb von 72 Stunden nach Kenntniserlangung, in Textform.

(2) Die Meldung enthält, soweit verfügbar, mindestens:

• eine Beschreibung der Art der Verletzung sowie der Kategorien und ungefähren Anzahl betroffener Personen und Datensätze;
• den Namen und die Kontaktdaten der zuständigen Ansprechperson bei ISOCALCX;
• eine Beschreibung der wahrscheinlichen Folgen sowie der ergriffenen oder vorgeschlagenen Massnahmen zur Behebung und Schadensminderung.

(3) ISOCALCX unterstützt den Verantwortlichen bei dessen Meldepflichten gegenüber Aufsichtsbehörden (Art. 33 DSGVO, Art. 24 revDSG) und betroffenen Personen (Art. 34 DSGVO).

§9Kontrollrechte des Verantwortlichen

(1) Der Verantwortliche ist berechtigt, sich von der Einhaltung der vereinbarten Datenschutz- und Sicherheitsmassnahmen einmal jährlich durch ein Audit zu überzeugen. Das Audit erfolgt nach vorheriger Ankündigung mit angemessener Frist (mindestens 30 Tage), während der üblichen Geschäftszeiten und ohne Störung des Betriebsablaufs.

(2) Die Kosten des Audits trägt der Verantwortliche; eigene Aufwendungen von ISOCALCX für Begleitung und Vorbereitung können nach branchenüblichen Sätzen weiterverrechnet werden.

(3) Die Vorlage aktueller Sicherheits- bzw. Datenschutzzertifikate (insbesondere ISO/IEC 27001, SOC 2 Typ II) oder gleichwertiger Prüfberichte ersetzt ein eigenes Audit, soweit diese den Prüfungsgegenstand vollständig abdecken.

§10Beendigung des Auftrags

(1) Nach Beendigung des Hauptvertrages gibt ISOCALCX sämtliche im Auftrag verarbeiteten personenbezogenen Daten nach Wahl des Verantwortlichen zurück oder löscht diese unverzüglich, spätestens jedoch innerhalb von 30 Tagen, aus den produktiven Systemen.

(2) Sicherungskopien werden nicht einzeln bereinigt, sondern laufen aus: Jede Sicherung wird spätestens 30 Tage nach ihrer Erstellung automatisch gelöscht und überschrieben. Innerhalb dieser Frist werden Sicherungen ausschliesslich zur Wiederherstellung im Störungsfall verwendet und zu keinem anderen Zweck. Muss eine Sicherung eingespielt werden, wird die Löschung unmittelbar nach der Wiederherstellung erneut vollzogen.

(3) Soweit gesetzliche Aufbewahrungspflichten einer sofortigen Löschung entgegenstehen, wird die weitere Verarbeitung auf das gesetzlich gebotene Minimum beschränkt und nach Wegfall des Aufbewahrungsgrundes unverzüglich nachgeholt.

(4) ISOCALCX bestätigt dem Verantwortlichen die ordnungsgemässe Rückgabe oder Löschung auf Verlangen schriftlich.

(5) Gespeicherte Händler-Zugangsdaten löscht ISOCALCX sofort, wenn der Verantwortliche den Zugang entfernt oder das Modul abbestellt, und sonst im nächsten täglichen Bereinigungslauf, sobald kein aktives Abonnement mehr besteht. Die Protokolle der Preisabrufe werden 12 Monate nach dem Abruf gelöscht.