Dieser Vertrag regelt, wie agora personenbezogene Daten im Auftrag des Kunden verarbeitet. Er erfüllt die Anforderungen des Art. 28 DSGVO und ergänzt den Vertrag über die Nutzung der agora-Produkte (Hauptvertrag).
1. Parteien und Zustandekommen
Auftragsverarbeiter ist die agora Software GbR, Aulzhausener Straße 17, 86167 Augsburg, vertreten durch Michel Weidinger, E-Mail info@agora-software.de (agora). Verantwortlicher ist das Unternehmen, das den Hauptvertrag mit agora schließt (Kunde). Name und Anschrift des Kunden ergeben sich aus dem Hauptvertrag und dem Kundenkonto.
Der Vertrag kommt zusammen mit dem Hauptvertrag zustande. Er kann auch durch Bestätigung im Kundenkonto oder durch Unterschrift geschlossen werden. Wer in Planaufmaß ein Konto anlegt und Projekte in der Cloud speichert, schließt diesen Vertrag mit der Bestätigung beim Anlegen des Kontos. Hauptvertrag ist dann das Nutzungsverhältnis nach den AGB. Die elektronische Form genügt (Art. 28 Abs. 9 DSGVO).
agora bereitet die Gründung der Agora UG (haftungsbeschränkt) mit Sitz in Augsburg vor. Tritt diese Gesellschaft nach den Regeln des Hauptvertrags in den Hauptvertrag ein, tritt sie zugleich in diesen Vertrag ein.
2. Gegenstand und Dauer
agora stellt dem Kunden die im Hauptvertrag vereinbarten Produkte bereit. Dabei verarbeitet agora personenbezogene Daten, die der Kunde und seine Nutzer eingeben, hochladen oder aufnehmen. Für diese Daten ist der Kunde Verantwortlicher und agora Auftragsverarbeiter.
Für das Kundenkonto, die Abrechnung und die Sicherheit des Betriebs ist agora selbst Verantwortlicher. Dafür gilt die Datenschutzerklärung von agora.
Der Vertrag gilt für die Dauer des Hauptvertrags und danach so lange, bis agora alle Daten des Kunden nach Abschnitt 12 gelöscht hat. Verstößt agora schwerwiegend gegen diesen Vertrag oder die DSGVO, kann der Kunde den Hauptvertrag fristlos kündigen.
3. Art und Zweck der Verarbeitung, Daten, betroffene Personen
agora speichert die Daten, zeigt sie den berechtigten Nutzern an, übermittelt sie auf deren Veranlassung, sichert und löscht sie. Zweck ist allein, die vereinbarten Produkte bereitzustellen und den Kunden bei Störungen und Fragen zu unterstützen. Verarbeitungen, Datenarten und betroffene Personen je Produkt stehen in Anlage 1.
Besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO sind nicht vorgesehen. Erfasst der Kunde Abwesenheiten wegen Krankheit, beschränkt er sich auf die Tatsache und den Zeitraum.
agora nutzt die Daten nicht für eigene Zwecke. agora übermittelt Inhalte aus den Produkten nicht an KI-Dienste und trainiert keine KI-Modelle mit Daten des Kunden. E-Mails an den Support kann agora mit einem KI-Assistenten sortieren und zusammenfassen. Der Anbieter steht in Anlage 3.
4. Weisungen und Pflichten des Kunden
agora verarbeitet die Daten nur auf dokumentierte Weisung des Kunden. Weisungen sind der Hauptvertrag, dieser Vertrag und die Eingaben und Einstellungen, die der Kunde und seine Nutzer in den Produkten vornehmen. Weitere Weisungen erteilt der Kunde in Textform an info@agora-software.de.
Verpflichtet das Recht der Europäischen Union oder eines Mitgliedstaats agora zu einer anderen Verarbeitung, teilt agora das dem Kunden vorher mit, soweit das Gesetz die Mitteilung nicht verbietet.
Hält agora eine Weisung für rechtswidrig, weist agora den Kunden unverzüglich darauf hin. agora darf die Ausführung aussetzen, bis der Kunde die Weisung bestätigt oder ändert.
Der Kunde ist dafür verantwortlich, dass die Verarbeitung rechtmäßig ist. Er informiert die betroffenen Personen nach Art. 13 und 14 DSGVO, auch Beschäftigte von Nachunternehmern und Personen, die auf Fotos oder Aufnahmen zu erkennen sind. Er beachtet den Beschäftigtendatenschutz und beteiligt den Betriebsrat, wenn es einen gibt, vor allem bei Stempelzeiten, Zeiterfassung und Kameras.
5. Vertraulichkeit
Zugriff auf Daten des Kunden haben bei agora nur Personen, die ihn für ihre Aufgabe brauchen. Sie sind zur Vertraulichkeit verpflichtet. Diese Pflicht gilt nach dem Ende ihrer Tätigkeit fort.
agora greift auf Inhalte des Kunden nur zu, wenn das nötig ist, um eine Störung zu beheben, die Sicherheit zu wahren oder eine Anfrage des Kunden zu bearbeiten.
Einen Datenschutzbeauftragten hat agora nicht benannt, weil dazu keine gesetzliche Pflicht besteht. Fragen zum Datenschutz gehen an info@agora-software.de.
6. Sicherheit der Verarbeitung
agora trifft die technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO, die in Anlage 2 stehen. agora darf sie an den Stand der Technik anpassen. Das Schutzniveau darf dabei nicht sinken.
agora hat keine Zertifizierung der Informationssicherheit. Anlage 2 nennt nur Maßnahmen, die umgesetzt sind. Der Kunde prüft vor Vertragsschluss, ob sie für seine Daten ausreichen.
7. Unterauftragsverarbeiter
Der Kunde genehmigt allgemein, dass agora weitere Auftragsverarbeiter einsetzt. Die Unterauftragsverarbeiter bei Vertragsschluss stehen in Anlage 3 und sind genehmigt.
Will agora einen Unterauftragsverarbeiter hinzunehmen oder ersetzen, kündigt agora das mindestens 30 Tage vorher in Textform an. Der Kunde kann innerhalb von 30 Tagen nach Zugang in Textform widersprechen. Widerspricht er nicht, gilt die Änderung als genehmigt. Darauf weist agora in der Ankündigung hin.
Widerspricht der Kunde und finden die Parteien keine Lösung, kann jede Partei das betroffene Produkt zum Zeitpunkt der Änderung kündigen. Im Voraus gezahlte Entgelte für die Zeit danach erstattet agora anteilig.
agora schließt mit jedem Unterauftragsverarbeiter einen Vertrag, der ihm Datenschutzpflichten auferlegt, die diesem Vertrag entsprechen. Verletzt ein Unterauftragsverarbeiter seine Pflichten, haftet agora dem Kunden dafür wie für eigenes Handeln.
8. Unterstützung des Kunden
Wendet sich eine betroffene Person mit einem Anliegen nach Art. 15 bis 22 DSGVO an agora, leitet agora es unverzüglich an den Kunden weiter, sofern agora es ihm zuordnen kann. agora beantwortet es nicht selbst. Der Kunde kann Daten in den Produkten selbst einsehen, berichtigen, exportieren und löschen. Reicht das nicht, unterstützt agora ihn auf Anfrage.
agora unterstützt den Kunden mit den vorhandenen Informationen bei seinen Pflichten nach Art. 32 bis 36 DSGVO, vor allem bei Datenschutz-Folgenabschätzungen und bei Anfragen der Aufsichtsbehörde.
9. Meldung von Verletzungen
Erfährt agora von einer Verletzung des Schutzes personenbezogener Daten des Kunden, meldet agora sie dem Kunden unverzüglich, spätestens binnen 48 Stunden nach Kenntnis. Das gilt auch für Verletzungen bei einem Unterauftragsverarbeiter.
Die Meldung geht in Textform an die E-Mail-Adresse, die im Kundenkonto hinterlegt ist. Sie nennt, soweit bekannt, die Art der Verletzung, die betroffenen Daten und Personen, die wahrscheinlichen Folgen und die ergriffenen Maßnahmen. Fehlende Angaben reicht agora nach.
agora behebt die Ursache, soweit sie im eigenen Einflussbereich liegt, und unterstützt den Kunden bei seinen Pflichten nach Art. 33 und 34 DSGVO. Meldungen an Behörden oder betroffene Personen gibt agora für den Kunden nur auf dessen Weisung ab.
10. Nachweise und Kontrollen
agora gibt dem Kunden auf Anfrage alle Informationen, die er braucht, um die Einhaltung dieses Vertrags und des Art. 28 DSGVO nachzuweisen. Kontrollen erfolgen vorrangig durch Auskünfte und Nachweise in Textform. agora betreibt keine eigenen Rechenzentren. Für die Rechenzentren legt agora die Nachweise der Unterauftragsverarbeiter vor, soweit diese sie bereitstellen.
Bei begründetem Anlass kann der Kunde die Verarbeitung bei agora vor Ort kontrollieren, selbst oder durch einen zur Verschwiegenheit verpflichteten Prüfer, der kein Wettbewerber von agora ist. Ein Anlass ist zum Beispiel eine Verletzung nach Abschnitt 9 oder ein begründeter Zweifel an den Auskünften. Der Kunde kündigt die Kontrolle mit angemessener Frist in Textform an und nimmt Rücksicht auf den Betrieb und die Daten anderer Kunden. Die Rechte der Aufsichtsbehörden bleiben unberührt.
11. Übermittlung in Drittländer
Inhalte aus agora Site, agora CRM und agoraScan speichert agora auf Servern in Frankfurt am Main. Einige Unterauftragsverarbeiter haben ihren Sitz außerhalb der Europäischen Union oder verarbeiten Daten dort. Sie stehen in Anlage 3. Der Kunde weist agora an, diese Anbieter einzusetzen.
agora übermittelt Daten nur dann in ein Drittland, wenn die Voraussetzungen des Kapitels V der DSGVO erfüllt sind. Grundlage ist ein Angemessenheitsbeschluss der EU-Kommission, bei Anbietern in den USA deren Zertifizierung nach dem EU-US Data Privacy Framework, oder es sind die EU-Standardvertragsklauseln (Durchführungsbeschluss (EU) 2021/914). Eine Kopie der Garantien erhält der Kunde auf Anfrage.
12. Löschung und Rückgabe
Der Kunde nutzt die verfügbaren Exportfunktionen während des freigeschalteten Produktzugangs. Auch während einer Sperre und nach Vertragsende erhält der Kunde seine noch gespeicherten Daten jederzeit auf Anfrage an info@agora-software.de als Export. Nach Abschluss der Verarbeitung gibt agora personenbezogene Daten nach Wahl des Kunden zurück oder löscht sie, soweit keine gesetzliche Aufbewahrungspflicht entgegensteht. Der Kunde richtet seine Weisung an info@agora-software.de. In Sicherungskopien werden sie mit deren turnusmäßigem Ablauf gelöscht und bis dahin nicht mehr verwendet. Verlangt der Kunde es, löscht agora früher.
agora bestätigt die Löschung auf Wunsch in Textform. Ein Zurückbehaltungsrecht an den Daten macht agora nicht geltend. Daten, die agora nach dem Gesetz aufbewahren muss, bleiben bis zum Ablauf der Frist gespeichert und sind für andere Zwecke gesperrt. Seine eigenen Aufbewahrungspflichten erfüllt der Kunde selbst, indem er rechtzeitig exportiert.
13. Haftung
Für die Haftung zwischen den Parteien gelten die Regeln des Hauptvertrags. Art. 82 DSGVO und die Rechte betroffener Personen bleiben unberührt.
14. Schlussbestimmungen
In Fragen des Datenschutzes geht dieser Vertrag dem Hauptvertrag vor. Die Anlagen sind Teil des Vertrags. Änderungen brauchen die Textform. Die Abschnitte 6 und 7 bleiben unberührt. Für anwendbares Recht und Gerichtsstand gilt der Hauptvertrag.
Sind Daten des Kunden bei agora durch Pfändung, Beschlagnahme oder ein Insolvenzverfahren gefährdet, informiert agora den Kunden unverzüglich. Ist eine Regelung unwirksam, bleibt der Vertrag im Übrigen wirksam.
Anlage 1: Verarbeitungen je Produkt
Es gilt jeweils die Zeile der Produkte, die der Kunde nach dem Hauptvertrag nutzt.
| Produkt | Verarbeitung und Zweck | Daten | Betroffene Personen |
|---|---|---|---|
| agora Site | Baustellen digital führen: Pläne, Aufgaben und Dokumentation speichern und mit den Beteiligten teilen | Nutzerkonten (Name, Firma, Rolle, Kontaktdaten), Pläne und Marker, Fotos, Bautagebuch, Mängel, Chat, Stempelzeiten zur Anwesenheit | Beschäftigte des Kunden und der Nachunternehmer, Bauherren, weitere Beteiligte am Bau, Personen auf Fotos |
| agora CRM | Kunden, Aufträge und Büro des Betriebs verwalten, Daten für den Steuerberater exportieren (DATEV) | Stammdaten von Kunden und Lieferanten, Angebote, Rechnungen, Dokumente, Zeiterfassung und Urlaub der Mitarbeiter | Beschäftigte des Kunden, Kunden und Lieferanten des Kunden und deren Ansprechpartner |
| Planaufmaß (nur mit Konto und Speicherung in der Cloud) | Aufmaße aus Plänen erstellen, Projekte und hochgeladene Pläne speichern und exportieren | Konto (E-Mail-Adresse), Projektdaten, Aufmaße, Plan-PDFs mit den darin enthaltenen Namen und Anschriften, Fotos zur Dokumentation | Bauherren, Planer und andere Personen, die in Plänen und Projektdaten genannt sind |
| agoraScan | Räume aufnehmen und als Scan oder Grundriss der Baustelle zuordnen | Raumscans und Grundrisse, Adresse des Objekts, Personen und private Gegenstände, soweit sie im Scan zu erkennen sind | Bauherren, Bewohner, Beschäftigte |
| agora CAM | Kameras einrichten und warten, Aufnahmen im Cloud-Konto speichern und abrufen, soweit agora Zugriff auf Aufnahmen oder das Cloud-Konto hat | Bild- und Videoaufnahmen, Zeitpunkt und Ort der Aufnahme | Beschäftigte des Kunden und der Nachunternehmer, Lieferanten, Besucher und andere Dritte auf der Baustelle |
Anlage 2: Technische und organisatorische Maßnahmen
| Bereich | Maßnahme |
|---|---|
| Rechenzentren | agora betreibt keine eigenen Server. Die Daten liegen in Rechenzentren der Unterauftragsverarbeiter. Diese sichern Gebäude, Netze und Server. |
| Verschlüsselung | Daten werden verschlüsselt übertragen (TLS). Datenbank und Dateispeicher sind beim Anbieter verschlüsselt gespeichert. |
| Anmeldung | Nutzer melden sich über den Anmeldedienst an. Passwörter werden nur als Hash gespeichert. Anmeldungen werden protokolliert. |
| Rollen und Rechte | Der Kunde legt Nutzer an und vergibt Rollen. Nutzer sehen nur die Daten, für die sie berechtigt sind. Die Daten verschiedener Kunden sind durch Zugriffsregeln in der Datenbank getrennt. |
| Zugriff durch agora | Verwaltungszugänge zu Datenbank, Hosting und Anmeldedienst haben nur die Gesellschafter von agora. Jeder nutzt ein persönliches Konto mit Zwei-Faktor-Anmeldung. Die Gesellschafter arbeiten auch an privaten Arbeitsplätzen. Ihre Geräte sind mit Bildschirmsperre und verschlüsseltem Speicher geschützt. |
| Trennung | Test- und Produktivdatenbank sind getrennt. Tests laufen nicht mit echten Daten von Kunden. |
| Sicherungen | Der Datenbankanbieter sichert die Datenbank automatisch. |
| Vertraulichkeit | Die Gesellschafter sind in Textform auf Vertraulichkeit verpflichtet. Unterauftragsverarbeiter setzt agora nur mit Vertrag nach Art. 28 DSGVO ein. |
| Überprüfung | agora prüft Zugriffsrechte und Maßnahmen mindestens einmal im Jahr und nach jedem Sicherheitsvorfall. |
Anlage 3: Unterauftragsverarbeiter
| Anbieter | Aufgabe | Sitz und Ort der Verarbeitung |
|---|---|---|
| Supabase Pte. Ltd. | Datenbank und Dateispeicher | Sitz in Singapur, Daten in Frankfurt am Main |
| Vercel Inc. | Hosting der Web-Anwendungen | USA, Auslieferung über Server weltweit |
| Okta, Inc. (Auth0) | Anmeldung der Nutzer | Sitz in den USA, Daten in der EU |
| Resend Inc. | Versand von System-E-Mails, zum Beispiel Einladungen und Benachrichtigungen | USA |
| Apple Distribution International Limited | Push-Mitteilungen der Apps auf Apple-Geräten sowie Apple Karten und Geocoding von Terminadressen über die Apple Maps Server API | Irland, Verarbeitung auch in den USA |
| STRATO GmbH | E-Mail-Postfächer für den Support | Berlin, Deutschland |
| Anthropic Ireland, Limited | KI-Assistent, nur für E-Mails an den Support | Irland, Verarbeitung auch in den USA |
| Cloud-Anbieter des Kamerasystems (Brivo oder Eagle Eye Networks) | Nur agora CAM: Speicherung und Abruf der Aufnahmen | Anbieter, Sitz und Speicherort stehen im Angebot |
Über den Push-Dienst von Apple überträgt agora nur die Kennung des Geräts und den Inhalt der Mitteilung.
Stripe ist kein Unterauftragsverarbeiter. Stripe wickelt die Zahlungen des Kunden an agora ab und verarbeitet keine Inhalte aus den Produkten.
Anlage 4: Besondere Pflichten des Kunden bei agora CAM
Wer Kameras auf seiner Baustelle betreibt, ist für die Aufnahmen Verantwortlicher. Das ist der Kunde. Diese Anlage gilt zusätzlich, wenn der Kunde agora CAM nutzt.
Pflichten des Kunden
- Er prüft vor dem Einsatz, ob die Aufnahmen zulässig sind, und legt Zweck, Sichtfelder, Aufnahmezeiten und Speicherdauer fest. Die Speicherdauer hält er so kurz wie möglich.
- Er richtet Kameras nicht auf öffentliche Wege, Nachbargrundstücke, Pausenräume oder Sanitärräume.
- Er nutzt die Aufnahmen nicht, um Leistung oder Verhalten von Beschäftigten zu kontrollieren.
- Er bringt vor dem Start gut sichtbare Hinweisschilder an und informiert seine Beschäftigten und die Nachunternehmer.
- Er beteiligt den Betriebsrat, wenn es einen gibt (§ 87 Abs. 1 Nr. 6 BetrVG), und prüft, ob eine Datenschutz-Folgenabschätzung nötig ist (Art. 35 DSGVO).
Was agora tut und nicht tut
- agora stellt Sichtfelder, Privatzonen und Zeitpläne nach Vorgabe des Kunden ein.
- agora prüft nicht, ob der Einsatz der Kameras zulässig ist, und berät dazu nicht rechtlich.
- agora greift auf Livebilder und Aufnahmen nur zu, wenn der Kunde das im Einzelfall freigibt, zum Beispiel für Einrichtung oder Fehlersuche.
- agora wertet Aufnahmen nicht automatisch aus.
Hat agora weder Zugriff auf Aufnahmen noch auf das Cloud-Konto des Kunden, verarbeitet agora keine Aufnahmen im Auftrag.
Stand: 18. Oktober 2026