Vertrag über die Auftragsverarbeitung gemäß Art. 28 DSGVO

Entwurf, juristische Prüfung ausstehend. Version 1.0, Stand 04.10.2026. Dieses Dokument wurde ohne anwaltliche Prüfung erstellt und darf nicht ohne Freigabe durch eine Anwältin oder einen Anwalt verwendet werden.

Vorlage: avv-direktkunde, Version 1.0

zwischen

[Kunde], [Anschrift des Kunden]
(nachfolgend „Kunde“ oder „Verantwortlicher“)

und

[Firmenname] [Rechtsform], [Straße und Hausnummer], [PLZ] [Ort], [Land]
(nachfolgend „preqo“ oder „Auftragsverarbeiter“)

Präambel

preqo stellt dem Kunden unmittelbar, ohne zwischengeschaltete Agentur, eine Plattform für Lead-Gewinnung und Vertrieb in der Immobilienbranche bereit, einschließlich Funnels, Lead-Verwaltung und des KI-Telefonassistenten („KI-Assistent“). Der Kunde ist Verantwortlicher im Sinne von Art. 4 Nr. 7 DSGVO, preqo ist sein Auftragsverarbeiter. Dieser Vertrag ergänzt den Vertrag über die Nutzung von preqo (nachfolgend „Hauptvertrag“) und geht diesem in Fragen des Datenschutzes vor.

§ 1 Gegenstand und Dauer

(1) Gegenstand ist die Verarbeitung personenbezogener Daten durch preqo im Auftrag des Kunden bei Bereitstellung und Betrieb der Plattform.

(2) Die Dauer entspricht der Laufzeit des Hauptvertrags. Pflichten zu Löschung, Rückgabe, Vertraulichkeit und Nachweis gelten bis zu ihrer Erfüllung fort.

§ 2 Art und Zweck der Verarbeitung

(1) Art der Verarbeitung: Erheben, Erfassen, Organisieren, Speichern, Anpassen, Auslesen, Abfragen, Verwenden, Übermitteln an vom Kunden bestimmte Empfänger, Abgleichen, Einschränken, Pseudonymisieren und Löschen.

(2) Zwecke:

1. Erfassung von Anfragen über Funnels einschließlich Einwilligungsnachweisen.
2. Verwaltung, Qualifizierung und Zuweisung von Leads im Vertrieb des Kunden.
3. Telefonate des KI-Assistenten mit Personen, die vorher ausdrücklich in KI-Anrufe eingewilligt haben, einschließlich Transkription und, nur bei gesonderter Einwilligung, Aufzeichnung.
4. Terminvereinbarung, Kalenderabgleich und Benachrichtigungen.
5. Support, Abrechnung, Sicherheit und Protokollierung.

(3) Eine Verarbeitung zu eigenen Zwecken von preqo, insbesondere zum Training von KI-Modellen, findet nicht statt.

§ 3 Art der personenbezogenen Daten

1. Kontaktdaten: Name, Telefonnummer, E-Mail-Adresse, Anschrift.
2. Angaben aus Funnels: Interessen, Objektwünsche, Budget, Finanzierungsstatus, Zeitrahmen, vom Kunden definierte Felder.
3. Einwilligungsdaten: Art, Zeitstempel, Textversion und Text-Hash, gehashte IP-Adresse, Quelle, Widerruf.
4. Kommunikationsdaten: Anrufzeitpunkt, Dauer, Ergebnis, Transkript, Qualifizierungsvorschlag, Aufzeichnung (nur mit Einwilligung), E-Mail-Inhalte und Metadaten.
5. Termin- und Kalenderdaten.
6. Nutzerdaten der Beschäftigten des Kunden: Name, E-Mail, Rolle, Anmelde- und Protokolldaten.
7. Vertrags- und Abrechnungsdaten.

Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO) sind nicht Gegenstand der Verarbeitung.

§ 4 Kategorien betroffener Personen

1. Interessenten und Leads des Kunden.
2. Beschäftigte und Beauftragte des Kunden.
3. Ansprechpartner des Kunden in Vertrags- und Abrechnungsfragen.

§ 5 Pflichten des Auftragsverarbeiters

(1) preqo verarbeitet personenbezogene Daten nur auf dokumentierte Weisung des Kunden, außer bei einer gesetzlichen Pflicht nach Unionsrecht oder mitgliedstaatlichem Recht. Diese teilt preqo dem Kunden vorher mit, soweit rechtlich zulässig.

(2) Die Verarbeitung erfolgt innerhalb der Europäischen Union. Primärer Speicherort ist Frankfurt am Main (Supabase, eu-central-1), Serverfunktionen laufen in der Region Frankfurt (Vercel, fra1). Drittlandübermittlungen erfolgen nur nach Art. 44 ff. DSGVO und nur wie in Anlage 2 angegeben.

(3) preqo stellt sicher, dass der KI-Telefonassistent

1. nur Personen anruft, für die eine gültige, nicht widerrufene Einwilligung in KI-Anrufe dokumentiert ist (§ 7 Abs. 2 Nr. 1 UWG); ohne Einwilligung wird der Anruf technisch gesperrt und der Lead an den Vertrieb übergeben,
2. sich zu Beginn jedes Gesprächs als KI zu erkennen gibt (Art. 50 Verordnung (EU) 2024/1689); der Offenlegungstext ist nicht entfernbar,
3. nur aufzeichnet, wenn eine Einwilligung zur Aufzeichnung vorliegt und der Kunde die Aufzeichnung aktiviert hat (§ 201 StGB),
4. Qualifizierungsergebnisse als Vorschlag an den Vertrieb übergibt, sodass keine ausschließlich automatisierte Entscheidung im Sinne von Art. 22 DSGVO erfolgt.

(4) Support-Zugriffe von preqo auf den Workspace erfolgen nur mit dokumentiertem Grund, zeitlich begrenzt, für Nutzer sichtbar und protokolliert.

(5) preqo informiert den Kunden unverzüglich, wenn eine Weisung nach ihrer Auffassung gegen Datenschutzvorschriften verstößt, und darf die Ausführung bis zur Klärung aussetzen.

(6) Datenschutzbeauftragter von preqo, soweit gesetzlich erforderlich: [Datenschutzkontakt].

§ 6 Weisungen

(1) Weisungen erteilt der Kunde grundsätzlich durch die Konfiguration seines Workspace (Rechte, Felder, Funnels, Retention, Aufzeichnung, Löschung, Export) sowie in Textform. Die Konfiguration gilt als dokumentierte Weisung.

(2) Weisungsberechtigte Personen des Kunden: [Weisungsberechtigte des Kunden]. Weisungsempfänger bei preqo: [Weisungsempfänger preqo].

(3) Weisungen, die über den vereinbarten Leistungsumfang hinausgehen, werden als Antrag auf Leistungsänderung behandelt.

§ 7 Vertraulichkeit

(1) preqo setzt nur Personen ein, die zur Vertraulichkeit verpflichtet und im Datenschutz unterwiesen sind.

(2) Die Vertraulichkeitspflicht gilt über das Vertragsende hinaus.

§ 8 Technische und organisatorische Maßnahmen

(1) preqo trifft die in Anlage 1 (toms-v1) beschriebenen Maßnahmen nach Art. 32 DSGVO.

(2) Anpassungen an den technischen Fortschritt sind zulässig, sofern das Schutzniveau nicht unterschritten wird. Wesentliche Änderungen werden dem Kunden mitgeteilt.

§ 9 Unterauftragsverarbeiter

(1) Der Kunde erteilt die allgemeine Genehmigung zum Einsatz weiterer Auftragsverarbeiter. Die bei Vertragsschluss eingesetzten Unterauftragsverarbeiter ergeben sich aus Anlage 2 (subprocessors-v1) und gelten als genehmigt.

(2) preqo informiert den Kunden mindestens [Frist Mitteilung neuer Unterauftragsverarbeiter (Tage)] Tage vor jeder beabsichtigten Hinzuziehung oder Ersetzung in Textform und in der Plattform. Der Kunde kann innerhalb dieser Frist aus wichtigem datenschutzrechtlichem Grund in Textform widersprechen. Kommt keine Einigung zustande, kann der Kunde den Hauptvertrag zum Wirksamwerden der Änderung kündigen.

(3) preqo erlegt jedem Unterauftragsverarbeiter dieselben Datenschutzpflichten auf wie dieser Vertrag (Art. 28 Abs. 4 DSGVO) und haftet für deren Einhaltung.

§ 10 Unterstützungspflichten

(1) preqo unterstützt den Kunden bei Anträgen betroffener Personen nach Art. 12 bis 23 DSGVO. Die Plattform stellt dafür Auskunft und Export, Berichtigung, Löschung, Einschränkung und Widerruf von Einwilligungen bereit.

(2) Anfragen betroffener Personen, die bei preqo eingehen, werden unverzüglich an den Kunden weitergeleitet.

(3) preqo meldet dem Kunden jede Verletzung des Schutzes personenbezogener Daten unverzüglich, spätestens innerhalb von [Frist Meldung Datenpanne (Stunden)] Stunden nach Kenntnis, mit den Angaben nach Art. 33 Abs. 3 DSGVO, soweit verfügbar.

(4) preqo unterstützt den Kunden bei der Datenschutz-Folgenabschätzung, insbesondere durch die Vorlage dsfa-ki-anruf-v1, und bei einer vorherigen Konsultation der Aufsichtsbehörde (Art. 35, 36 DSGVO).

§ 11 Löschung und Rückgabe

(1) Während der Laufzeit werden Daten nach den im Workspace festgelegten Aufbewahrungsfristen automatisch gelöscht. Manuelle Löschungen erfolgen nach ausdrücklicher Bestätigung sofort und endgültig. Ein Papierkorb besteht nicht.

(2) Nach Vertragsende stellt preqo dem Kunden auf Verlangen innerhalb von [Frist Rückgabe der Daten (Tage)] Tagen einen vollständigen Export in maschinenlesbarem Format bereit und löscht anschließend alle Daten, spätestens [Frist Löschung (Tage)] Tage nach Vertragsende, soweit keine gesetzliche Aufbewahrungspflicht besteht.

(3) Datensicherungen werden im regulären Zyklus überschrieben, spätestens nach [Aufbewahrung Backups (Tage)] Tagen.

(4) Die Löschung wird auf Verlangen in Textform bestätigt.

§ 12 Nachweise und Audits

(1) preqo weist die Einhaltung ihrer Pflichten durch geeignete Unterlagen nach, insbesondere die TOM-Dokumentation, Testate oder Zertifizierungen der Unterauftragsverarbeiter und Auszüge aus dem Audit-Log.

(2) Der Kunde oder ein von ihm beauftragter, zur Verschwiegenheit verpflichteter Prüfer, der kein Wettbewerber von preqo ist, kann nach Ankündigung mit einer Frist von mindestens [Ankündigungsfrist Prüfung (Tage)] Tagen Inspektionen durchführen, in der Regel höchstens einmal pro Kalenderjahr, bei konkretem Verdacht eines Verstoßes auch häufiger.

(3) Kosten trägt jede Partei selbst, außer die Prüfung deckt einen erheblichen Verstoß von preqo auf.

§ 13 Haftung

(1) Für die Haftung gegenüber betroffenen Personen gilt Art. 82 DSGVO.

(2) Im Innenverhältnis haften die Parteien nach dem Maß ihrer Verantwortung. Im Übrigen gelten die Haftungsregelungen des Hauptvertrags, soweit zwingendes Recht nicht entgegensteht. Haftungsbeschränkungen gelten nicht bei Vorsatz, grober Fahrlässigkeit und bei Verletzung von Leben, Körper oder Gesundheit.

(3) Der Kunde ist als Verantwortlicher insbesondere dafür verantwortlich, dass für jeden KI-Anruf eine wirksame Einwilligung vorliegt, dass Datenschutzhinweis und Impressum in seinen Funnels korrekt sind und dass er Betroffene nach Art. 13 DSGVO informiert.

§ 14 Schlussbestimmungen

(1) Änderungen bedürfen der Textform. Die elektronische Annahme in der Plattform mit Zeitstempel, Version und Dokument-Hash genügt.

(2) Ist eine Bestimmung unwirksam, bleibt der Vertrag im Übrigen wirksam.

(3) Es gilt das Recht der Bundesrepublik Deutschland. Gerichtsstand ist [Gerichtsstand], soweit gesetzlich zulässig.

(4) Anlagen:
Anlage 1: Technische und organisatorische Maßnahmen (toms-v1)
Anlage 2: Liste der Unterauftragsverarbeiter (subprocessors-v1)

[Kunde], [Datum]
Name, Funktion: [Name und Funktion Kunde]

[Firmenname] [Rechtsform], [Datum]
Name, Funktion: [Unterzeichner preqo]