Auftragsverarbeitungsvertrag

Stand: 11. Oktober 2026

Dieser Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO (im Folgenden „AVV“) gilt zwischen dem Kunden als Verantwortlichem (im Folgenden „Auftraggeber“) und Jelto Ubben , Lister Kirchweg 102, 30177 Hannover als Auftragsverarbeiter (im Folgenden „Auftragnehmer“). Der Auftraggeber schließt ihn mit der Registrierung in Valurix ab. Er ergänzt die Allgemeinen Geschäftsbedingungen (im Folgenden „Hauptvertrag“).

1. Gegenstand und Dauer

1.1 Gegenstand ist die Verarbeitung personenbezogener Daten durch den Auftragnehmer im Auftrag des Auftraggebers bei der Bereitstellung der Software Valurix nach dem Hauptvertrag.

1.2 Der AVV gilt für die Dauer des Hauptvertrags und darüber hinaus, solange der Auftragnehmer personenbezogene Daten des Auftraggebers verarbeitet.

2. Art und Zweck der Verarbeitung, Art der Daten, Betroffene

2.1 Zweck: Speicherung, Berechnung, Darstellung und Übermittlung der Daten, die der Auftraggeber in Valurix erfasst, einschließlich der Auswertung von Unterlagen mit KI-Funktionen, des Versands von Benachrichtigungen und der Veröffentlichung von Exposés, die der Auftraggeber teilt.

2.2 Art der Daten:

• Kontaktdaten (Name, Firma, E-Mail, Telefon, Rolle, Notizen, Einwilligungen mit Zeitpunkt und Quelle)
• Anfragen aus geteilten Exposés einschließlich mitgesendeter Finanzierungsangaben
• Aktivitäten, Aufgaben und Pipeline-Informationen
• Haushaltsdaten von Finanzierungskunden (Personen im Haushalt, Einkommen, Ausgaben, Kredite, Eigenkapital)
• Mieter- und Mietdaten im Bestand (Name, Miete, Mietbeginn, Zahlungseingänge)
• Inhalte hochgeladener Unterlagen, Fotos und Besichtigungsprotokolle, soweit sie personenbezogene Daten enthalten
• Nutzerdaten der Mitarbeiter des Auftraggebers (Name, E-Mail, Rolle, Protokolldaten)

2.3 Betroffene: Interessenten, Käufer, Verkäufer, Finanzierungskunden und ihre Haushaltsangehörigen, Mieter, Geschäftspartner (z. B. Banken, Handwerker, Hausverwaltungen) sowie Mitarbeiter des Auftraggebers.

2.4 Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO) sind nicht Gegenstand der Verarbeitung. Der Auftraggeber stellt sicher, dass er solche Daten nicht in Valurix erfasst.

3. Weisungen

3.1 Der Auftragnehmer verarbeitet die Daten nur auf dokumentierte Weisung des Auftraggebers, es sei denn, er ist durch Unionsrecht oder das Recht eines Mitgliedstaats zur Verarbeitung verpflichtet; in diesem Fall teilt er dem Auftraggeber diese Anforderungen vor der Verarbeitung mit, sofern das Recht dies nicht verbietet. Die Weisungen sind abschließend im Hauptvertrag und in diesem AVV festgelegt und werden durch die Nutzung der Funktionen der Software durch den Auftraggeber konkretisiert. Weitere Weisungen erteilt der Auftraggeber in Textform.

3.2 Ist der Auftragnehmer der Ansicht, dass eine Weisung gegen Datenschutzrecht verstößt, weist er den Auftraggeber unverzüglich darauf hin. Er darf die Ausführung bis zur Bestätigung oder Änderung durch den Auftraggeber aussetzen.

4. Pflichten des Auftragnehmers

4.1 Der Auftragnehmer verpflichtet alle Personen, die Zugang zu den Daten haben, zur Vertraulichkeit, soweit sie nicht einer gesetzlichen Verschwiegenheitspflicht unterliegen.

4.2 Der Auftragnehmer trifft die technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO, die in Anlage 1 beschrieben sind. Er darf sie an den technischen Fortschritt anpassen, sofern das Schutzniveau nicht unterschritten wird.

4.3 Der Auftragnehmer unterstützt den Auftraggeber mit geeigneten Maßnahmen bei der Erfüllung der Rechte der Betroffenen (Art. 12 bis 23 DSGVO). Die Software bietet dafür unter anderem den Export und das Löschen von Kontakten samt Verknüpfungen. Wendet sich eine betroffene Person direkt an den Auftragnehmer, leitet er die Anfrage unverzüglich an den Auftraggeber weiter.

4.4 Der Auftragnehmer unterstützt den Auftraggeber bei der Einhaltung der Pflichten aus Art. 32 bis 36 DSGVO (Sicherheit, Meldung von Verletzungen, Datenschutz-Folgenabschätzung, vorherige Konsultation) unter Berücksichtigung der Art der Verarbeitung und der ihm verfügbaren Informationen.

4.5 Der Auftragnehmer meldet dem Auftraggeber Verletzungen des Schutzes personenbezogener Daten unverzüglich, möglichst innerhalb von 24 Stunden nach Kenntnis, mit den Informationen nach Art. 33 Abs. 3 DSGVO, soweit verfügbar.

4.6 Der Auftragnehmer verarbeitet die Daten in der Europäischen Union bzw. im Europäischen Wirtschaftsraum. Eine Übermittlung in ein Drittland erfolgt nur unter den Voraussetzungen der Art. 44 ff. DSGVO, insbesondere auf Grundlage eines Angemessenheitsbeschlusses oder von Standardvertragsklauseln (siehe Anlage 2).

4.7 Ansprechpartner für den Datenschutz beim Auftragnehmer ist: info@valurix.de.

5. Unterauftragsverarbeiter

5.1 Der Auftraggeber erteilt die allgemeine Genehmigung zur Beauftragung weiterer Auftragsverarbeiter. Die bei Vertragsschluss eingesetzten Unterauftragsverarbeiter sind in Anlage 2 aufgeführt und gelten als genehmigt.

5.2 Der Auftragnehmer informiert den Auftraggeber mindestens vier Wochen vor der Hinzuziehung oder dem Austausch eines Unterauftragsverarbeiters per E-Mail. Der Auftraggeber kann der Änderung aus wichtigem datenschutzrechtlichem Grund innerhalb dieser Frist widersprechen. Kann der Auftragnehmer den Einwand nicht ausräumen, darf der Auftraggeber den Hauptvertrag zum Zeitpunkt der Änderung kündigen.

5.3 Der Auftragnehmer erlegt jedem Unterauftragsverarbeiter vertraglich dieselben Datenschutzpflichten auf, die in diesem AVV festgelegt sind. Er haftet gegenüber dem Auftraggeber für die Einhaltung dieser Pflichten durch den Unterauftragsverarbeiter.

6. Nachweise und Kontrollen

6.1 Der Auftragnehmer stellt dem Auftraggeber auf Anfrage alle Informationen zur Verfügung, die zum Nachweis der Einhaltung der Pflichten aus Art. 28 DSGVO erforderlich sind.

6.2 Der Auftraggeber kann Überprüfungen, einschließlich Inspektionen, selbst oder durch einen zur Verschwiegenheit verpflichteten Prüfer durchführen. Inspektionen sind mit angemessener Frist, in der Regel vier Wochen, anzukündigen, finden während der üblichen Geschäftszeiten statt und dürfen den Betrieb nicht unverhältnismäßig stören. Der Auftragnehmer kann den Nachweis auch durch geeignete Zertifikate oder Prüfberichte unabhängiger Stellen erbringen, auch solche seiner Unterauftragsverarbeiter.

7. Löschung und Rückgabe

7.1 Der Auftraggeber kann seine Daten während der Laufzeit jederzeit exportieren und löschen.

7.2 Nach Ende des Hauptvertrags löscht der Auftragnehmer alle personenbezogenen Daten des Auftraggebers nach Ablauf von 30 Tagen, sofern nicht eine gesetzliche Pflicht zur Speicherung besteht. Sicherungskopien werden im regulären Zyklus innerhalb von 30 Tagen überschrieben. Auf Anfrage bestätigt der Auftragnehmer die Löschung in Textform.

8. Haftung und Schlussbestimmungen

8.1 Für die Haftung gilt Art. 82 DSGVO. Im Innenverhältnis gelten die Haftungsregeln des Hauptvertrags, soweit Art. 82 DSGVO nicht entgegensteht.

8.2 Bei Widersprüchen zwischen diesem AVV und dem Hauptvertrag geht dieser AVV vor. Änderungen bedürfen der Textform. Im Übrigen gelten die Schlussbestimmungen des Hauptvertrags.

Anlage 1: Technische und organisatorische Maßnahmen

Vertraulichkeit

• Zutrittskontrolle: Betrieb in Rechenzentren von IONOS SE mit Zutrittskontrolle, Videoüberwachung und Sicherheitspersonal nach den Zertifizierungen des Anbieters; keine eigenen Server in Büroräumen
• Zugangskontrolle: Anmeldung mit persönlichem Konto; Passwörter ausschließlich als bcrypt-Hash gespeichert; zeitlich begrenzte Anmelde-Token; Serverzugang ausschließlich für den Auftragnehmer über verschlüsselte Verbindungen (SSH)
• Zugriffskontrolle: strikte Mandantentrennung – jede Abfrage ist an das Unternehmen des angemeldeten Nutzers gebunden; Rollen Administrator und Betrachter; Plattformadministration nur für ausdrücklich berechtigte Personen, mit Protokoll
• Trennungskontrolle: logische Trennung der Daten aller Kunden; getrennte Entwicklungs- und Produktionsumgebung
• Verschlüsselung: Übertragung ausschließlich per TLS; Zugangsschlüssel zu Drittdiensten verschlüsselt (AES-256-GCM)

Integrität

• Weitergabekontrolle: verschlüsselte Übertragung; geteilte Exposés nur über nicht erratbare, widerrufbare und befristete Links, nur mit freigegebenen Bereichen und für Suchmaschinen gesperrt
• Eingabekontrolle: Protokollierung administrativer Änderungen und der Nutzung von KI-Funktionen; Verlauf von Aktivitäten je Kontakt

Verfügbarkeit und Belastbarkeit

• Datensicherung: tägliche, mit AES-256 verschlüsselte Sicherung der Datenbank und der hochgeladenen Dateien auf einen getrennten Speicher (Storage Box); der Schlüssel liegt nur beim Betreiber; Aufbewahrung der Sicherungen für 30 Tagen
• Überwachung der Dienste mit Health-Checks und automatischem Neustart
• Begrenzung der Anfragen an öffentliche Schnittstellen (Rate-Limits)

Verfahren zur regelmäßigen Überprüfung

• automatisierte Tests der Rechte- und Mandantentrennung bei jeder Änderung
• Einspielen von Sicherheitsupdates der eingesetzten Software
• Datenschutzfreundliche Voreinstellungen: keine Cookies oder Tracking auf Webseite, App und geteilten Exposés

Anlage 2: Unterauftragsverarbeiter