Vertrag über die Auftragsverarbeitung
nach Art. 28 DSGVO

§ 1 Gegenstand und Dauer

(1) Gegenstand ist die Verarbeitung personenbezogener Daten, die der Auftraggeber und seine Nutzer in Maklerdeck einstellen oder über Maklerdeck erheben (nachfolgend „Kundendaten“), zur Erbringung der Leistungen nach dem Hauptvertrag. Art und Zweck der Verarbeitung, die Arten der Daten und die Kategorien betroffener Personen ergeben sich aus § 2 und Anlage 1.

(2) Der Vertrag beginnt mit der Registrierung, auch während der kostenlosen Testphase, und läuft, solange der Auftragnehmer Kundendaten für den Auftraggeber verarbeitet — also auch über das Ende eines bezahlten Tarifs hinaus, solange das Büro besteht. Die Pflichten zur Löschung und Rückgabe (§ 12) und zur Vertraulichkeit (§ 6) gelten über das Vertragsende hinaus.

§ 2 Art, Zweck und Umfang; Abgrenzung

(1) Der Auftragnehmer speichert, organisiert, bearbeitet, ruft ab, übermittelt an die in Anlage 3 genannten Unterauftragsverarbeiter, stellt bereit und löscht Kundendaten, soweit das für die vom Auftraggeber genutzten Funktionen erforderlich ist. Zweck ist ausschließlich die Erbringung dieser Funktionen; welche Daten und Personen je Funktion betroffen sind, steht in Anlage 1.

(2) Nicht Gegenstand dieses Vertrags sind Verarbeitungen, für die der Auftragnehmer selbst verantwortlich ist und die in seiner Datenschutzerklärung beschrieben sind, insbesondere:

• Erhebung, Speicherung, Aufbereitung (Dublettenerkennung, Einstufung als privat oder gewerblich, Einschätzung des Angebotspreises) und Bereitstellung der Daten aus öffentlichen Immobilieninseraten in LeadDeck sowie das Protokoll, welches Büro wann die Telefonnummer eines Inserats abgerufen hat. Mit der Übermittlung an den Auftraggeber — durch Anzeige, Abruf der Telefonnummer, Export oder Programmierschnittstelle — wird der Auftraggeber für seine weitere Verarbeitung dieser Daten selbst Verantwortlicher; es gelten die Pflichten aus den AGB. Bearbeitungsstände, Notizen und gespeicherte Gesprächsskripte, die der Auftraggeber zu Inseraten anlegt, verarbeitet der Auftragnehmer dagegen nach diesem Vertrag;
• Konto-, Anmelde-, Abrechnungs- und Nutzungsdaten, die der Auftragnehmer zur Durchführung und Abrechnung des Hauptvertrags, zur Sicherheit der Plattform und zur Abwehr von Missbrauch verarbeitet;
• die Zahlungsabwicklung, für die der Zahlungsdienstleister Stripe eigenständig verantwortlich ist.

§ 3 Weisungen

(1) Der Auftragnehmer verarbeitet Kundendaten nur auf dokumentierte Weisung des Auftraggebers (Art. 28 Abs. 3 lit. a DSGVO). Weisungen sind dieser Vertrag, der Hauptvertrag und die Nutzung der Funktionen und Einstellungen von Maklerdeck durch den Auftraggeber und seine Nutzer — etwa das Hochladen einer Datei, das Starten eines Werkzeugs, das Aktivieren des Bewertungs-Widgets, das Teilen eines Links oder das Löschen eines Eintrags.

(2) Weitere Weisungen erteilt der Inhaber des Büros in Textform an legal@maklerdeck.de. Weisungen, die über den vereinbarten Leistungsumfang hinausgehen, behandeln die Parteien als Wunsch nach einer Leistungsänderung.

(3) Hält der Auftragnehmer eine Weisung für rechtswidrig, weist er den Auftraggeber unverzüglich darauf hin; er darf die Ausführung aussetzen, bis der Auftraggeber sie bestätigt oder ändert.

(4) Ist der Auftragnehmer nach dem Recht der Union oder eines Mitgliedstaats zu einer anderen Verarbeitung verpflichtet, teilt er das dem Auftraggeber vorher mit, sofern das Recht eine solche Mitteilung nicht verbietet.

§ 4 Pflichten des Auftraggebers

(1) Der Auftraggeber ist für die Rechtmäßigkeit der Verarbeitung verantwortlich, insbesondere für eine Rechtsgrundlage und für die Information der betroffenen Personen (Art. 13, 14 DSGVO). Dazu gehört, dass er für das Bewertungs-Widget eigene Datenschutzhinweise bereitstellt — ohne gültigen Link darauf lässt sich das Widget nicht aktivieren — und dass er Empfänger geteilter Preisberichte und die Nutzer seiner QR-Codes über die Aufruf- bzw. Scan-Statistik informiert, soweit das erforderlich ist.

(2) Maklerdeck ist nicht für besondere Kategorien personenbezogener Daten (Art. 9, 10 DSGVO) ausgelegt. Der Auftraggeber stellt solche Daten nur ein, soweit es für seine Zwecke unvermeidbar ist.

(3) Der Auftraggeber informiert den Auftragnehmer unverzüglich, wenn er Fehler oder Unregelmäßigkeiten bei der Verarbeitung feststellt.

§ 5 Ort der Verarbeitung

Der Auftragnehmer betreibt die Plattform in einem Rechenzentrum in Deutschland; Datensicherungen liegen beim selben Anbieter innerhalb der Europäischen Union. Eine Übermittlung in ein Land außerhalb der Europäischen Union oder des Europäischen Wirtschaftsraums findet nur an die in Anlage 3 genannten Unterauftragsverarbeiter statt, nur soweit die jeweilige Funktion es erfordert, und nur unter den Voraussetzungen der Art. 44 ff. DSGVO — also auf Grundlage eines Angemessenheitsbeschlusses der EU-Kommission (für die USA: einer Zertifizierung des Empfängers nach dem EU-US Data Privacy Framework) oder der Standardvertragsklauseln der EU-Kommission. Auf Anfrage teilt der Auftragnehmer mit, welche Grundlage für welchen Empfänger gilt, und stellt eine Kopie der Garantien zur Verfügung.

§ 6 Vertraulichkeit und Zweckbindung

(1) Der Auftragnehmer setzt für die Verarbeitung nur Personen ein, die zur Vertraulichkeit verpflichtet wurden oder einer gesetzlichen Verschwiegenheitspflicht unterliegen (Art. 28 Abs. 3 lit. b, Art. 29, Art. 32 Abs. 4 DSGVO). Die Verpflichtung gilt über das Vertragsende hinaus.

(2) Der Auftragnehmer verwendet Kundendaten — einschließlich Suchgebieten, Bearbeitungsständen, Notizen, Anfragen aus dem Bewertungs-Widget und Objektakten — ausschließlich zur Erbringung der Leistungen für den Auftraggeber. Er nutzt sie nicht für eigene Zwecke, nicht für eine eigene Vermittlungstätigkeit oder die mit ihm oder seinen Gesellschaftern verbundener Maklerbüros und gibt sie nicht an andere Kunden weiter.

(3) Die Betreiber des Auftragnehmers sehen Kundendaten nur ein, soweit es zur Bearbeitung einer Anfrage des Auftraggebers, zur Behebung einer Störung, zur Sicherheit der Plattform oder zur Erfüllung einer gesetzlichen Pflicht erforderlich ist. Die Einsicht in ein Büro ist nur lesend möglich, endet jeweils nach spätestens 30 Minuten und wird mit Zeitpunkt, Person und Büro protokolliert; schreibende und Credits verbrauchende Funktionen sind dabei gesperrt.

§ 7 Technische und organisatorische Maßnahmen

Der Auftragnehmer trifft die in Anlage 2 beschriebenen Maßnahmen nach Art. 32 DSGVO. Er entwickelt sie entsprechend dem Stand der Technik weiter; dabei darf das Schutzniveau nicht unter das in Anlage 2 beschriebene sinken. Wesentliche Änderungen dokumentiert er.

§ 8 Unterauftragsverarbeiter

(1) Der Auftraggeber genehmigt den Einsatz der in Anlage 3, Teil A genannten Unterauftragsverarbeiter (allgemeine schriftliche Genehmigung nach Art. 28 Abs. 2 DSGVO).

(2) Will der Auftragnehmer einen Unterauftragsverarbeiter hinzuziehen oder ersetzen, teilt er das dem Auftraggeber mindestens vier Wochen vorher in Textform mit (E-Mail an den Inhaber des Büros oder Hinweis in der App). Der Auftraggeber kann der Änderung innerhalb dieser Frist aus wichtigem datenschutzrechtlichem Grund in Textform widersprechen. Finden die Parteien keine Lösung, kann der Auftraggeber den Hauptvertrag zum Wirksamwerden der Änderung kündigen.

(3) Der Auftragnehmer verpflichtet jeden Unterauftragsverarbeiter vertraglich auf Datenschutzpflichten, die denen dieses Vertrags entsprechen (Art. 28 Abs. 4 DSGVO), und haftet gegenüber dem Auftraggeber für dessen Einhaltung.

(4) Keine Unterauftragsverarbeitung sind Abfragen öffentlicher Dienste, bei denen der Server des Auftragnehmers nur einen Suchtext oder Koordinaten übermittelt (Anlage 3, Teil B), sowie Nebenleistungen wie Telekommunikation oder Post.

§ 9 Rechte der betroffenen Personen

(1) Der Auftragnehmer unterstützt den Auftraggeber mit geeigneten Maßnahmen bei der Erfüllung von Anträgen betroffener Personen nach Art. 12 bis 23 DSGVO (Art. 28 Abs. 3 lit. e DSGVO). Soweit der Auftraggeber Daten nicht selbst in der App einsehen, herunterladen, berichtigen oder löschen kann, erledigt der Auftragnehmer das auf Weisung unverzüglich, sodass der Auftraggeber die gesetzlichen Fristen einhalten kann — insbesondere eine Auskunft oder einen Datenauszug zu einer Person als Datei sowie die Löschung einzelner Einträge.

(2) Wendet sich eine betroffene Person mit einem Anliegen, das erkennbar Kundendaten betrifft, an den Auftragnehmer, leitet er es unverzüglich an den Auftraggeber weiter und beantwortet es nicht selbst, es sei denn, der Auftraggeber weist ihn dazu an.

§ 10 Sicherheit, Folgenabschätzung und Konsultation

Der Auftragnehmer unterstützt den Auftraggeber unter Berücksichtigung der Art der Verarbeitung und der ihm vorliegenden Informationen bei der Einhaltung der Pflichten aus Art. 32 bis 36 DSGVO — insbesondere mit Angaben zu den Maßnahmen nach Anlage 2, zu den Unterauftragsverarbeitern und zu den Datenflüssen einzelner Funktionen für eine Datenschutz-Folgenabschätzung oder eine vorherige Konsultation der Aufsichtsbehörde.

§ 11 Verletzungen des Schutzes personenbezogener Daten

(1) Der Auftragnehmer meldet dem Auftraggeber eine Verletzung des Schutzes von Kundendaten unverzüglich, nachdem sie ihm bekannt geworden ist, in Textform an die E-Mail-Adresse des Inhabers des Büros (Art. 33 Abs. 2 DSGVO).

(2) Die Meldung enthält, soweit bekannt, die Art der Verletzung, die Kategorien und die ungefähre Zahl der betroffenen Personen und Datensätze, die wahrscheinlichen Folgen und die ergriffenen oder vorgeschlagenen Maßnahmen sowie eine Ansprechperson. Angaben, die noch nicht vorliegen, reicht der Auftragnehmer unverzüglich nach. Er unterstützt den Auftraggeber bei dessen Meldung an die Aufsichtsbehörde und der Benachrichtigung betroffener Personen (Art. 33, 34 DSGVO).

§ 12 Löschung und Rückgabe

(1) Nach dem Ende der Leistungen entscheidet der Auftraggeber, ob Kundendaten zurückgegeben, gelöscht oder beides werden (Art. 28 Abs. 3 lit. g DSGVO). Solange das Büro besteht, kann der Auftraggeber seine Ergebnisse in der App einsehen und herunterladen; einen Auszug aller Kundendaten des Büros mit einer Liste der gespeicherten Dateien stellt der Auftragnehmer auf Anfrage bereit.

(2) Verlangt der Inhaber des Büros in Textform an legal@maklerdeck.de die Löschung, löscht der Auftragnehmer das Büro mit allen Kundendaten und Dateien unverzüglich, spätestens innerhalb eines Monats, und bestätigt die Löschung in Textform. Ein laufendes Abonnement ist vorher zu kündigen. Rechnungen bewahrt der Auftragnehmer als eigene Unterlagen nach den gesetzlichen Aufbewahrungspflichten auf.

(3) Erteilt der Auftraggeber nach dem Ende eines bezahlten Tarifs oder der Testphase keine Weisung, bleibt das Büro im Lesemodus bestehen. Der Auftragnehmer darf ein solches Büro löschen, nachdem er die Löschung mindestens vier Wochen vorher in Textform angekündigt hat.

(4) Unabhängig davon löscht Maklerdeck automatisch: hochgeladene Dateien in der Zwischenablage der Werkzeuge nach Ablauf eines Tages (spätestens nach zwei Tagen), die PDFs des Unterlagen-Checks, sobald die Auswertung abgeschlossen oder abgebrochen ist (spätestens nach zwei Tagen), unbestätigte Anfragen aus dem Bewertungs-Widget sieben Tage nach dem Absenden, Scandaten von QR-Codes nach 180 Tagen, Aufrufdaten geteilter Preisberichte nach zwölf Monaten und Textentwürfe für Objektanzeigen nach zwölf Monaten. Links zu geteilten Preisberichten sind standardmäßig 180 Tage abrufbar. Verlängert der Auftragnehmer eine dieser Fristen, teilt er das vorher mit.

(5) In verschlüsselten Datensicherungen werden Daten nicht einzeln gelöscht, sondern mit der jeweiligen Sicherung, wenn deren Aufbewahrungszeit abläuft. Bis dahin verwendet der Auftragnehmer sie nur, um die Plattform nach einem Ausfall wiederherzustellen.

§ 13 Nachweise und Kontrollen

(1) Der Auftragnehmer stellt dem Auftraggeber alle erforderlichen Informationen zum Nachweis der Einhaltung dieses Vertrags zur Verfügung und ermöglicht Überprüfungen einschließlich Inspektionen (Art. 28 Abs. 3 lit. h DSGVO). In der Regel geschieht das durch Beantwortung schriftlicher Fragen und Vorlage geeigneter Nachweise, etwa der Zertifizierung des Rechenzentrumsbetreibers.

(2) Eine Inspektion vor Ort meldet der Auftraggeber mit angemessener Frist, in der Regel zwei Wochen, in Textform an. Sie findet während der üblichen Geschäftszeiten statt, ohne den Betrieb unverhältnismäßig zu stören, und wahrt die Vertraulichkeit der Daten anderer Kunden. Ein vom Auftraggeber beauftragter Prüfer muss zur Verschwiegenheit verpflichtet sein und darf nicht in einem Wettbewerbsverhältnis zum Auftragnehmer stehen. Die Rechenzentren selbst kann der Auftragnehmer nicht zur Besichtigung öffnen; insoweit dienen die Nachweise des Betreibers.

(3) Der Auftragnehmer informiert den Auftraggeber über Kontrollen und Maßnahmen einer Aufsichtsbehörde, soweit sie Kundendaten betreffen.

§ 14 Haftung

Für Schäden betroffener Personen haften die Parteien nach Art. 82 DSGVO. Im Verhältnis zwischen den Parteien gelten die Haftungsregeln des Hauptvertrags, soweit Art. 82 DSGVO nicht entgegensteht.

§ 15 Schlussbestimmungen

(1) Widersprechen sich dieser Vertrag und der Hauptvertrag in Fragen des Datenschutzes, geht dieser Vertrag vor.

(2) Dieser Vertrag wird in elektronischem Format geschlossen (Art. 28 Abs. 9 DSGVO). Änderungen erfolgen wie Änderungen der AGB; die Mitteilung nach § 8 Abs. 2 bleibt davon unberührt.

(3) Ist eine Bestimmung unwirksam, bleibt der Vertrag im Übrigen wirksam. Es gilt deutsches Recht; der Gerichtsstand richtet sich nach dem Hauptvertrag.