Vertrag über die Auftragsverarbeitung gemäß Art. 28 DSGVO

Entwurf, juristische Prüfung ausstehend. Version 1.0, Stand 04.10.2026. Dieses Dokument wurde ohne anwaltliche Prüfung erstellt und darf nicht ohne Freigabe durch eine Anwältin oder einen Anwalt verwendet werden.

Vorlage: avv-agentur, Version 1.0

zwischen

[Agentur], [Anschrift der Agentur]
(nachfolgend „Agentur“ oder „Auftraggeber“)

und

[Firmenname] [Rechtsform], [Straße und Hausnummer], [PLZ] [Ort], [Land]
(nachfolgend „preqo“ oder „Auftragsverarbeiter“)

Präambel

Die Agentur betreibt die Software preqo unter eigenem Namen und Logo für ihre Kunden (Bauträger und Makler). Die Kunden sind Verantwortliche im Sinne von Art. 4 Nr. 7 DSGVO für die personenbezogenen Daten ihrer Leads und Interessenten. Die Agentur verarbeitet diese Daten als Auftragsverarbeiterin ihrer Kunden. preqo stellt die Software, die Infrastruktur und die KI-Telefonassistenz bereit und wird insoweit als weiterer Auftragsverarbeiter (Unterauftragsverarbeiter) im Sinne von Art. 28 Abs. 2 und Abs. 4 DSGVO tätig.

Soweit die Agentur eigene personenbezogene Daten (zum Beispiel Daten ihrer Beschäftigten als Nutzer der Plattform) verarbeiten lässt, ist sie insoweit selbst Verantwortliche und preqo deren Auftragsverarbeiter.

Dieser Vertrag konkretisiert die datenschutzrechtlichen Pflichten der Parteien. Er ergänzt den Hauptvertrag über die Nutzung von preqo (nachfolgend „Hauptvertrag“). Bei Widersprüchen geht dieser Vertrag in Fragen des Datenschutzes vor.

§ 1 Gegenstand und Dauer

(1) Gegenstand ist die Verarbeitung personenbezogener Daten durch preqo im Auftrag der Agentur im Rahmen der Bereitstellung der Plattform preqo (Software as a Service), einschließlich Funnels, Lead-Verwaltung, Pipeline, Kalender, Benachrichtigungen, Abrechnung und KI-Telefonassistent („KI-Assistent“).

(2) Die Dauer dieses Vertrags entspricht der Laufzeit des Hauptvertrags. Pflichten, die ihrer Natur nach über das Vertragsende hinaus fortbestehen (insbesondere Löschung, Rückgabe, Vertraulichkeit und Nachweise), gelten fort, bis sie erfüllt sind.

§ 2 Art und Zweck der Verarbeitung

(1) Art der Verarbeitung: Erheben, Erfassen, Organisieren, Speichern, Anpassen, Auslesen, Abfragen, Verwenden, Übermitteln an die vom Auftraggeber bestimmten Empfänger, Abgleichen, Einschränken, Pseudonymisieren, Löschen und Vernichten.

(2) Zwecke der Verarbeitung:

1. Bereitstellung und Betrieb der Plattform für die Agentur und deren Kunden (Mandanten).
2. Erfassung von Anfragen über Funnels und Formulare einschließlich Einwilligungsnachweisen.
3. Verwaltung, Qualifizierung und Zuweisung von Leads im Vertrieb der Kunden.
4. Durchführung von Telefonaten durch den KI-Assistenten ausschließlich gegenüber Personen, die vorher ausdrücklich eingewilligt haben, einschließlich Transkription und, nur bei gesonderter Einwilligung, Aufzeichnung.
5. Terminvereinbarung und Kalenderabgleich.
6. Versand von System- und Benachrichtigungs-E-Mails.
7. Abrechnung, Kontingentverwaltung, Support, Sicherheit, Protokollierung und Fehleranalyse.

(3) Eine Verarbeitung zu eigenen Zwecken von preqo, insbesondere zum Training von KI-Modellen, findet nicht statt.

§ 3 Art der personenbezogenen Daten

1. Kontaktdaten: Name, Telefonnummer, E-Mail-Adresse, Anschrift.
2. Angaben aus Funnels: Interessen, Objektwünsche, Budget, Finanzierungsstatus, Zeitrahmen, frei gestaltbare Felder des Kunden.
3. Einwilligungsdaten: Art der Einwilligung, Zeitstempel, Textversion und Text-Hash, gehashte IP-Adresse, Quelle, Widerruf.
4. Kommunikationsdaten: Anrufzeitpunkt, Dauer, Ergebnis, Transkript, Qualifizierungsvorschlag, Aufzeichnung (nur mit Einwilligung), E-Mail-Inhalte und Metadaten.
5. Termin- und Kalenderdaten.
6. Nutzerdaten von Beschäftigten der Agentur und der Kunden: Name, E-Mail, Rolle, Anmelde- und Protokolldaten, MFA-Status.
7. Vertrags- und Abrechnungsdaten der Agentur und der Kunden.

Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO) sind nicht Gegenstand der Verarbeitung. Der Auftraggeber stellt sicher, dass Funnels und Felder nicht auf ihre Erhebung ausgerichtet sind.

§ 4 Kategorien betroffener Personen

1. Interessenten und Leads der Kunden (Kaufinteressenten, Anleger, Eigentümer bei Bewertungsanfragen, Besichtigungsinteressenten).
2. Beschäftigte und Beauftragte der Kunden (Kunden-Admins, Vertrieb, Nutzer mit Leserechten).
3. Beschäftigte und Beauftragte der Agentur.
4. Ansprechpartner der Agentur und der Kunden in Vertrags- und Abrechnungsfragen.

§ 5 Pflichten des Auftragsverarbeiters

(1) preqo verarbeitet personenbezogene Daten ausschließlich im Rahmen dieses Vertrags und nach dokumentierten Weisungen des Auftraggebers, sofern keine gesetzliche Pflicht zur Verarbeitung nach Unionsrecht oder dem Recht eines Mitgliedstaats besteht. In diesem Fall teilt preqo dem Auftraggeber die rechtliche Anforderung vor der Verarbeitung mit, soweit das Recht dies nicht wegen eines wichtigen öffentlichen Interesses verbietet.

(2) preqo verarbeitet die Daten innerhalb der Europäischen Union. Primärer Speicherort ist das Rechenzentrum Frankfurt am Main (Supabase, Region eu-central-1). Serverfunktionen laufen in der Region Frankfurt (Vercel, fra1). Übermittlungen in Drittländer erfolgen nur unter den Voraussetzungen der Art. 44 ff. DSGVO und nur wie in der Liste der Unterauftragsverarbeiter angegeben.

(3) preqo stellt die technische Mandantentrennung sicher. Daten eines Kunden sind nur für Mitglieder seines Workspace und für die zuständige Agentur im Rahmen ihrer Rechte zugänglich. Agentur-Zugriffe auf Kunden-Workspaces werden protokolliert.

(4) preqo stellt den KI-Telefonassistenten so bereit, dass

1. Anrufe technisch nur ausgelöst werden, wenn eine gültige, nicht widerrufene Einwilligung für KI-Anrufe dokumentiert ist,
2. der KI-Assistent sich zu Beginn jedes Gesprächs als KI zu erkennen gibt (Art. 50 Verordnung (EU) 2024/1689) und der Offenlegungstext nicht entfernt werden kann,
3. eine Aufzeichnung nur erfolgt, wenn eine Einwilligung zur Aufzeichnung vorliegt und die Aufzeichnung im Workspace aktiviert ist (§ 201 StGB),
4. Ergebnisse der Qualifizierung als Vorschlag an den Vertrieb übergeben werden und keine ausschließlich automatisierte Entscheidung im Sinne von Art. 22 DSGVO erfolgt.

(5) preqo hat einen Datenschutzbeauftragten benannt, soweit gesetzlich erforderlich: [Datenschutzkontakt].

(6) preqo informiert den Auftraggeber unverzüglich, wenn eine Weisung nach seiner Auffassung gegen Datenschutzvorschriften verstößt. preqo darf die Ausführung der Weisung aussetzen, bis der Auftraggeber sie bestätigt oder ändert.

§ 6 Weisungen

(1) Weisungen erteilt der Auftraggeber grundsätzlich durch die Konfiguration der Plattform (zum Beispiel Rechte, Felder, Funnels, Retention, Aufzeichnung, Löschung) sowie in Textform. Die Konfiguration in der Plattform gilt als dokumentierte Weisung.

(2) Der Auftraggeber stellt sicher, dass seine Weisungen mit den Weisungen seiner Kunden als Verantwortliche übereinstimmen. Weisungen der Kunden, die diese unmittelbar in ihrem Workspace vornehmen, gelten als Weisungen, die über den Auftraggeber erteilt werden.

(3) Weisungsberechtigte Personen der Agentur: [Weisungsberechtigte der Agentur]. Weisungsempfänger bei preqo: [Weisungsempfänger preqo]. Änderungen sind unverzüglich in Textform mitzuteilen.

(4) Weisungen, die über den vertraglich vereinbarten Leistungsumfang hinausgehen, werden als Antrag auf Leistungsänderung behandelt.

§ 7 Vertraulichkeit

(1) preqo setzt nur Personen ein, die zur Vertraulichkeit verpflichtet wurden oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen, und die mit den einschlägigen Bestimmungen des Datenschutzes vertraut gemacht wurden.

(2) Die Vertraulichkeitspflicht besteht über das Ende des Vertrags hinaus fort.

(3) Support-Zugriffe von preqo auf Workspaces erfolgen nur mit dokumentiertem Grund, zeitlich begrenzt, für Nutzer des Workspace sichtbar und vollständig protokolliert.

§ 8 Technische und organisatorische Maßnahmen

(1) preqo trifft die in Anlage 1 (Dokument „Technische und organisatorische Maßnahmen“, toms-v1) beschriebenen Maßnahmen nach Art. 32 DSGVO.

(2) Die Maßnahmen unterliegen dem technischen Fortschritt. preqo darf sie durch gleichwertige oder bessere Maßnahmen ersetzen. Das Schutzniveau darf nicht unterschritten werden. Wesentliche Änderungen werden dokumentiert und dem Auftraggeber mitgeteilt.

§ 9 Unterauftragsverarbeiter

(1) Der Auftraggeber erteilt preqo die allgemeine Genehmigung, weitere Auftragsverarbeiter einzusetzen. Die bei Vertragsschluss eingesetzten Unterauftragsverarbeiter ergeben sich aus Anlage 2 (Dokument „Liste der Unterauftragsverarbeiter“, subprocessors-v1). Sie gelten als genehmigt.

(2) preqo informiert den Auftraggeber mindestens [Frist Mitteilung neuer Unterauftragsverarbeiter (Tage)] Tage vor jeder beabsichtigten Hinzuziehung oder Ersetzung eines Unterauftragsverarbeiters in Textform und in der Plattform. Die Information nennt Name, Sitz, Leistung und Ort der Verarbeitung.

(3) Der Auftraggeber kann der Änderung innerhalb dieser Frist aus wichtigem datenschutzrechtlichem Grund in Textform widersprechen. Können sich die Parteien nicht einigen, ist der Auftraggeber berechtigt, den Hauptvertrag zum Zeitpunkt des Wirksamwerdens der Änderung zu kündigen. Weitere Rechte bleiben unberührt.

(4) preqo erlegt jedem Unterauftragsverarbeiter vertraglich dieselben Datenschutzpflichten auf, die in diesem Vertrag festgelegt sind, insbesondere hinreichende Garantien für geeignete technische und organisatorische Maßnahmen (Art. 28 Abs. 4 DSGVO). preqo haftet gegenüber dem Auftraggeber für die Einhaltung der Pflichten durch den Unterauftragsverarbeiter.

(5) Der Auftraggeber ist verpflichtet, die jeweils aktuelle Liste der Unterauftragsverarbeiter einschließlich preqo selbst an seine Kunden weiterzugeben und Änderungen an diese weiterzuleiten. preqo stellt dafür die Liste in der Plattform und eine Benachrichtigungsfunktion bereit.

(6) Nicht als Unterauftragsverhältnis gelten Nebenleistungen ohne Zugriff auf personenbezogene Daten des Auftraggebers, etwa Telekommunikationsleistungen als reine Transportleistung oder Reinigung.

§ 10 Unterstützungspflichten

(1) preqo unterstützt den Auftraggeber mit geeigneten technischen und organisatorischen Maßnahmen bei der Erfüllung von Anträgen betroffener Personen nach Art. 12 bis 23 DSGVO. Dafür stellt die Plattform insbesondere Funktionen für Auskunft und Export (Art. 15, 20), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung (Art. 18) und den Widerruf von Einwilligungen bereit.

(2) Wendet sich eine betroffene Person unmittelbar an preqo, leitet preqo das Anliegen unverzüglich an den Auftraggeber weiter und beantwortet es nicht selbst, es sei denn, der Auftraggeber weist dies an.

(3) preqo unterstützt den Auftraggeber bei der Einhaltung der Pflichten aus Art. 32 bis 36 DSGVO, insbesondere

1. durch Meldung jeder Verletzung des Schutzes personenbezogener Daten unverzüglich, spätestens innerhalb von [Frist Meldung Datenpanne (Stunden)] Stunden nach Kenntnis, mit den Angaben nach Art. 33 Abs. 3 DSGVO, soweit verfügbar,
2. durch Bereitstellung der Vorlage zur Datenschutz-Folgenabschätzung für den KI-Anruf (dsfa-ki-anruf-v1) und weiterer erforderlicher Informationen,
3. bei einer vorherigen Konsultation der Aufsichtsbehörde.

(4) Unterstützungsleistungen, die über die in der Plattform bereitgestellten Funktionen hinausgehen und nicht auf einem Verstoß von preqo beruhen, kann preqo nach dem Hauptvertrag gesondert vergüten lassen.

§ 11 Löschung und Rückgabe

(1) Während der Laufzeit löscht preqo Daten nach den im Workspace festgelegten Aufbewahrungsfristen (Retention) automatisch und nach Weisung. Löschungen in der Plattform erfolgen sofort und endgültig nach ausdrücklicher Bestätigung. Ein Papierkorb besteht nicht.

(2) Nach Ende des Hauptvertrags gibt preqo dem Auftraggeber auf Verlangen innerhalb von [Frist Rückgabe der Daten (Tage)] Tagen alle personenbezogenen Daten in einem gängigen, maschinenlesbaren Format (JSON, CSV sowie Dateien) zurück und löscht sie anschließend, spätestens jedoch [Frist Löschung (Tage)] Tage nach Vertragsende, sofern keine gesetzliche Aufbewahrungspflicht besteht.

(3) Datensicherungen werden im Rahmen des regulären Backup-Zyklus überschrieben, spätestens nach [Aufbewahrung Backups (Tage)] Tagen. Bis dahin sind sie vor jeder Verwendung geschützt.

(4) preqo bestätigt die Löschung auf Verlangen in Textform.

§ 12 Nachweise und Audits

(1) preqo weist dem Auftraggeber die Einhaltung der Pflichten aus diesem Vertrag mit geeigneten Mitteln nach, insbesondere durch die TOM-Dokumentation, aktuelle Testate, Berichte oder Zertifizierungen (eigene oder der Unterauftragsverarbeiter) und Auszüge aus dem Audit-Log.

(2) Der Auftraggeber oder ein von ihm beauftragter, zur Verschwiegenheit verpflichteter Prüfer, der kein Wettbewerber von preqo ist, kann Inspektionen durchführen. Inspektionen sind mit einer Frist von mindestens [Ankündigungsfrist Prüfung (Tage)] Tagen anzukündigen, finden während der Geschäftszeiten statt und dürfen den Betrieb nicht unverhältnismäßig stören. Sie sind auf einmal pro Kalenderjahr beschränkt, außer bei konkreten Anhaltspunkten für einen Verstoß.

(3) Prüfungen der Kunden des Auftraggebers werden über den Auftraggeber gebündelt. preqo unterstützt sie in gleicher Weise.

(4) Kosten trägt jede Partei selbst, es sei denn, die Prüfung deckt einen erheblichen Verstoß von preqo auf.

§ 13 Haftung

(1) Für die Haftung gegenüber betroffenen Personen gilt Art. 82 DSGVO.

(2) Im Innenverhältnis haften die Parteien nach dem Maß ihrer Verantwortung für den Schaden. Im Übrigen gelten die Haftungsregelungen des Hauptvertrags, soweit sie nicht gegen zwingendes Recht verstoßen. Haftungsbeschränkungen gelten nicht bei Vorsatz, grober Fahrlässigkeit sowie bei Verletzung von Leben, Körper oder Gesundheit.

(3) [Ergänzende Haftungsregelung]

§ 14 Schlussbestimmungen

(1) Änderungen und Ergänzungen dieses Vertrags bedürfen der Textform. Die elektronische Annahme in der Plattform mit Zeitstempel, Version und Dokument-Hash genügt.

(2) Sollte eine Bestimmung unwirksam sein, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt. An die Stelle der unwirksamen Bestimmung tritt eine wirksame, die dem datenschutzrechtlichen Zweck am nächsten kommt.

(3) Es gilt das Recht der Bundesrepublik Deutschland. Gerichtsstand ist [Gerichtsstand], soweit gesetzlich zulässig.

(4) Anlagen:
Anlage 1: Technische und organisatorische Maßnahmen (toms-v1)
Anlage 2: Liste der Unterauftragsverarbeiter (subprocessors-v1)

[Agentur], [Datum]
Name, Funktion: [Name und Funktion Agentur]

[Firmenname] [Rechtsform], [Datum]
Name, Funktion: [Unterzeichner preqo]