Vertrag über die Auftragsverarbeitung gemäß Art. 28 DSGVO

Entwurf, juristische Prüfung ausstehend. Version 1.0, Stand 04.10.2026. Dieses Dokument wurde ohne anwaltliche Prüfung erstellt und darf nicht ohne Freigabe durch eine Anwältin oder einen Anwalt verwendet werden.

Vorlage: avv-kunde, Version 1.0

zwischen

[Kunde], [Anschrift des Kunden]
(nachfolgend „Kunde“ oder „Verantwortlicher“)

und

[Agentur], [Anschrift der Agentur]
(nachfolgend „Agentur“ oder „Auftragsverarbeiter“)

Präambel

Die Agentur stellt dem Kunden eine Plattform für Lead-Gewinnung und Vertrieb in der Immobilienbranche bereit, einschließlich Funnels, Lead-Verwaltung und eines KI-Telefonassistenten („KI-Assistent“). Technisch beruht die Plattform auf der Software preqo. Der Betreiber, [Firmenname] [Rechtsform], [Straße und Hausnummer], [PLZ] [Ort], [Land] (nachfolgend „preqo“), wird als Unterauftragsverarbeiter der Agentur tätig.

Der Kunde ist Verantwortlicher im Sinne von Art. 4 Nr. 7 DSGVO für alle personenbezogenen Daten, die er über die Plattform verarbeitet. Dieser Vertrag ergänzt den Vertrag zwischen Kunde und Agentur über die Nutzung der Plattform (nachfolgend „Hauptvertrag“) und geht diesem in Fragen des Datenschutzes vor.

§ 1 Gegenstand und Dauer

(1) Gegenstand ist die Verarbeitung personenbezogener Daten durch die Agentur im Auftrag des Kunden bei Bereitstellung, Einrichtung, Betreuung und Betrieb der Plattform.

(2) Die Dauer entspricht der Laufzeit des Hauptvertrags. Pflichten zu Löschung, Rückgabe, Vertraulichkeit und Nachweis gelten bis zu ihrer Erfüllung fort.

§ 2 Art und Zweck der Verarbeitung

(1) Art der Verarbeitung: Erheben, Erfassen, Organisieren, Speichern, Anpassen, Auslesen, Abfragen, Verwenden, Übermitteln an vom Kunden bestimmte Empfänger, Abgleichen, Einschränken, Pseudonymisieren und Löschen.

(2) Zwecke:

1. Erfassung von Anfragen über Funnels einschließlich Einwilligungsnachweisen.
2. Verwaltung, Qualifizierung und Zuweisung von Leads im Vertrieb des Kunden.
3. Telefonate des KI-Assistenten mit Personen, die vorher ausdrücklich in KI-Anrufe eingewilligt haben, einschließlich Transkription und, nur bei gesonderter Einwilligung, Aufzeichnung.
4. Terminvereinbarung, Kalenderabgleich und Benachrichtigungen.
5. Einrichtung und Betreuung des Workspace durch die Agentur, Support, Abrechnung, Sicherheit und Protokollierung.

(3) Eine Verarbeitung zu eigenen Zwecken der Agentur oder von preqo, insbesondere zum Training von KI-Modellen, findet nicht statt.

§ 3 Art der personenbezogenen Daten

1. Kontaktdaten: Name, Telefonnummer, E-Mail-Adresse, Anschrift.
2. Angaben aus Funnels: Interessen, Objektwünsche, Budget, Finanzierungsstatus, Zeitrahmen, vom Kunden definierte Felder.
3. Einwilligungsdaten: Art, Zeitstempel, Textversion und Text-Hash, gehashte IP-Adresse, Quelle, Widerruf.
4. Kommunikationsdaten: Anrufzeitpunkt, Dauer, Ergebnis, Transkript, Qualifizierungsvorschlag, Aufzeichnung (nur mit Einwilligung), E-Mail-Inhalte und Metadaten.
5. Termin- und Kalenderdaten.
6. Nutzerdaten der Beschäftigten des Kunden: Name, E-Mail, Rolle, Anmelde- und Protokolldaten.

Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO) sind nicht Gegenstand der Verarbeitung. Der Kunde gestaltet Funnels und Felder so, dass solche Daten nicht abgefragt werden.

§ 4 Kategorien betroffener Personen

1. Interessenten und Leads des Kunden.
2. Beschäftigte und Beauftragte des Kunden.
3. Ansprechpartner des Kunden in Vertrags- und Abrechnungsfragen.

§ 5 Pflichten des Auftragsverarbeiters

(1) Die Agentur verarbeitet personenbezogene Daten nur auf dokumentierte Weisung des Kunden, außer sie ist nach Unionsrecht oder mitgliedstaatlichem Recht zur Verarbeitung verpflichtet. In diesem Fall teilt sie dem Kunden die Verpflichtung vorher mit, soweit dies rechtlich zulässig ist.

(2) Die Verarbeitung erfolgt innerhalb der Europäischen Union. Primärer Speicherort ist Frankfurt am Main (Supabase, eu-central-1), Serverfunktionen laufen in der Region Frankfurt (Vercel, fra1). Drittlandübermittlungen erfolgen nur nach Art. 44 ff. DSGVO und nur wie in der Liste der Unterauftragsverarbeiter angegeben.

(3) Die Agentur greift auf den Workspace des Kunden nur zu, soweit dies zur Einrichtung, Betreuung oder auf Weisung erforderlich ist. Jeder Zugriff wird protokolliert und ist für den Kunden-Admin einsehbar.

(4) Die Agentur stellt sicher, dass der KI-Telefonassistent

1. nur Personen anruft, für die eine gültige, nicht widerrufene Einwilligung in KI-Anrufe dokumentiert ist (§ 7 Abs. 2 Nr. 1 UWG),
2. sich zu Beginn jedes Gesprächs als KI zu erkennen gibt (Art. 50 Verordnung (EU) 2024/1689),
3. nur aufzeichnet, wenn eine Einwilligung zur Aufzeichnung vorliegt und der Kunde die Aufzeichnung aktiviert hat (§ 201 StGB),
4. Qualifizierungsergebnisse als Vorschlag an den Vertrieb übergibt, sodass keine ausschließlich automatisierte Entscheidung im Sinne von Art. 22 DSGVO erfolgt.

(5) Die Agentur informiert den Kunden unverzüglich, wenn eine Weisung nach ihrer Auffassung gegen Datenschutzvorschriften verstößt, und darf die Ausführung bis zur Klärung aussetzen.

(6) Datenschutzbeauftragter der Agentur, soweit gesetzlich erforderlich: [Datenschutzbeauftragter der Agentur].

§ 6 Weisungen

(1) Weisungen erteilt der Kunde grundsätzlich durch die Konfiguration seines Workspace (Rechte, Felder, Funnels, Retention, Aufzeichnung, Löschung, Export) sowie in Textform. Die Konfiguration gilt als dokumentierte Weisung.

(2) Die Agentur gibt Weisungen des Kunden, soweit erforderlich, an preqo weiter.

(3) Weisungsberechtigte Personen des Kunden: [Weisungsberechtigte des Kunden]. Weisungsempfänger bei der Agentur: [Weisungsempfänger der Agentur].

§ 7 Vertraulichkeit

(1) Die Agentur setzt nur Personen ein, die zur Vertraulichkeit verpflichtet und im Datenschutz unterwiesen sind.

(2) Die Vertraulichkeitspflicht gilt über das Vertragsende hinaus.

§ 8 Technische und organisatorische Maßnahmen

(1) Für die Plattform gelten die in Anlage 1 (toms-v1) beschriebenen Maßnahmen von preqo. Die Agentur trifft für ihren eigenen Zugriff mindestens gleichwertige Maßnahmen, insbesondere Zwei-Faktor-Authentifizierung für alle Konten mit Zugriff auf Kunden-Workspaces und ein Rechtekonzept nach dem Prinzip der minimalen Berechtigung.

(2) Anpassungen an den technischen Fortschritt sind zulässig, sofern das Schutzniveau nicht unterschritten wird.

§ 9 Unterauftragsverarbeiter

(1) Der Kunde genehmigt den Einsatz von preqo als Unterauftragsverarbeiter sowie der in Anlage 2 (subprocessors-v1) aufgeführten weiteren Unterauftragsverarbeiter von preqo.

(2) Die Agentur hat mit preqo einen Vertrag nach Art. 28 Abs. 4 DSGVO geschlossen, der preqo dieselben Datenschutzpflichten auferlegt wie dieser Vertrag der Agentur.

(3) Die Agentur informiert den Kunden mindestens [Frist Mitteilung neuer Unterauftragsverarbeiter (Tage)] Tage vor jeder beabsichtigten Hinzuziehung oder Ersetzung eines Unterauftragsverarbeiters in Textform oder in der Plattform. Der Kunde kann innerhalb dieser Frist aus wichtigem datenschutzrechtlichem Grund in Textform widersprechen. Kommt keine Einigung zustande, kann der Kunde den Hauptvertrag zum Wirksamwerden der Änderung kündigen.

(4) Die Agentur haftet gegenüber dem Kunden für die Einhaltung der Pflichten durch ihre Unterauftragsverarbeiter.

§ 10 Unterstützungspflichten

(1) Die Agentur unterstützt den Kunden bei Anträgen betroffener Personen nach Art. 12 bis 23 DSGVO. Die Plattform stellt dafür Auskunft und Export, Berichtigung, Löschung, Einschränkung und Widerruf von Einwilligungen bereit.

(2) Anfragen betroffener Personen, die bei der Agentur oder bei preqo eingehen, werden unverzüglich an den Kunden weitergeleitet.

(3) Die Agentur meldet dem Kunden jede Verletzung des Schutzes personenbezogener Daten unverzüglich, spätestens innerhalb von [Frist Meldung Datenpanne (Stunden)] Stunden nach Kenntnis, mit den Angaben nach Art. 33 Abs. 3 DSGVO, soweit verfügbar.

(4) Die Agentur unterstützt den Kunden bei der Datenschutz-Folgenabschätzung (Art. 35 DSGVO), insbesondere durch Bereitstellung der Vorlage dsfa-ki-anruf-v1, und bei einer vorherigen Konsultation der Aufsichtsbehörde (Art. 36 DSGVO).

§ 11 Löschung und Rückgabe

(1) Während der Laufzeit werden Daten nach den im Workspace festgelegten Aufbewahrungsfristen automatisch gelöscht. Manuelle Löschungen erfolgen nach ausdrücklicher Bestätigung sofort und endgültig. Ein Papierkorb besteht nicht.

(2) Nach Vertragsende stellt die Agentur dem Kunden auf Verlangen innerhalb von [Frist Rückgabe der Daten (Tage)] Tagen einen vollständigen Export in maschinenlesbarem Format bereit und veranlasst anschließend die Löschung aller Daten, auch bei preqo, spätestens [Frist Löschung (Tage)] Tage nach Vertragsende, soweit keine gesetzliche Aufbewahrungspflicht besteht.

(3) Datensicherungen werden im regulären Zyklus überschrieben, spätestens nach [Aufbewahrung Backups (Tage)] Tagen.

(4) Die Löschung wird auf Verlangen in Textform bestätigt.

§ 12 Nachweise und Audits

(1) Die Agentur weist die Einhaltung ihrer Pflichten durch geeignete Unterlagen nach, insbesondere die TOM-Dokumentation, Nachweise von preqo und Auszüge aus dem Audit-Log.

(2) Der Kunde oder ein von ihm beauftragter, zur Verschwiegenheit verpflichteter Prüfer kann nach Ankündigung mit einer Frist von mindestens [Ankündigungsfrist Prüfung (Tage)] Tagen Inspektionen durchführen, in der Regel höchstens einmal pro Kalenderjahr, bei konkretem Verdacht eines Verstoßes auch häufiger. Prüfungen bei preqo erfolgen über die Agentur.

(3) Kosten trägt jede Partei selbst, außer die Prüfung deckt einen erheblichen Verstoß der Agentur oder ihrer Unterauftragsverarbeiter auf.

§ 13 Haftung

(1) Für die Haftung gegenüber betroffenen Personen gilt Art. 82 DSGVO.

(2) Im Innenverhältnis haften die Parteien nach dem Maß ihrer Verantwortung. Im Übrigen gelten die Haftungsregelungen des Hauptvertrags, soweit zwingendes Recht nicht entgegensteht. Haftungsbeschränkungen gelten nicht bei Vorsatz, grober Fahrlässigkeit und bei Verletzung von Leben, Körper oder Gesundheit.

(3) Der Kunde ist als Verantwortlicher insbesondere dafür verantwortlich, dass für jeden KI-Anruf eine wirksame Einwilligung vorliegt, dass Datenschutzhinweis und Impressum in seinen Funnels korrekt sind und dass er Betroffene nach Art. 13 DSGVO informiert.

§ 14 Schlussbestimmungen

(1) Änderungen bedürfen der Textform. Die elektronische Annahme in der Plattform mit Zeitstempel, Version und Dokument-Hash genügt.

(2) Ist eine Bestimmung unwirksam, bleibt der Vertrag im Übrigen wirksam.

(3) Es gilt das Recht der Bundesrepublik Deutschland. Gerichtsstand ist [Gerichtsstand], soweit gesetzlich zulässig.

(4) Anlagen:
Anlage 1: Technische und organisatorische Maßnahmen (toms-v1)
Anlage 2: Liste der Unterauftragsverarbeiter (subprocessors-v1), ergänzt um preqo als Unterauftragsverarbeiter der Agentur

[Kunde], [Datum]
Name, Funktion: [Name und Funktion Kunde]

[Agentur], [Datum]
Name, Funktion: [Name und Funktion Agentur]