Auftragsverarbeitungsvertrag

Diese Vereinbarung wird geschlossen zwischen dem Kunden der Software-Plattform „valture“ – dem Sachverständigenbüro bzw. dem Partnerverband mit Verbandskonto – als Verantwortlichem im Sinne des Art. 4 Nr. 7 DSGVO (im Folgenden „Auftraggeber“) und der WKD Systems UG (haftungsbeschränkt), [PLATZHALTER: Straße Hausnummer, PLZ Ort], als Auftragsverarbeiter (im Folgenden „Auftragnehmer“).

Sie konkretisiert die datenschutzrechtlichen Pflichten der Parteien aus dem Nutzungsvertrag über die Software (siehe AGB), dessen Bestandteil sie ist. Sie kommt mit der Registrierung des Kontos zustande; Zeitpunkt und Fassung der Zustimmung werden vom Auftragnehmer protokolliert.

1. Der Auftragnehmer verarbeitet personenbezogene Daten im Auftrag des Auftraggebers im Rahmen der Bereitstellung der Software „valture“ (Hosting, Speicherung, KI-gestützte Auswertung, PDF-Erzeugung, Versand von Gutachten sowie damit verbundene Nebenleistungen) sowie – bei Verbandskonten – im Rahmen des Verbandsbereichs zur Verwaltung der Mitgliederliste des Auftraggebers.

2. Die Dauer dieser Vereinbarung entspricht der Laufzeit des Nutzungsvertrages. Die Regelungen zur Löschung und Rückgabe (§ 8) gelten darüber hinaus.

1. Zweck: Erstellung, Verwaltung und Dokumentation von Gutachten zur Restnutzungsdauer von Immobilien durch den Auftraggeber.

2. Datenkategorien:

• Kontakt- und Adressdaten von Auftraggebern des Kunden und deren Ansprechpartnern
• Objekt- und Grundstücksdaten einschließlich Adressen
• Fotos vom Ortstermin (können Personenbezug aufweisen)
• Dokumente (z. B. Grundbuchauszug, Kaufvertrag, Energieausweis) und Sprachnotizen einschließlich automatisch erstellter Transkripte
• Gutachtentexte, Berechnungsdaten und erzeugte PDF-Dokumente
• Termin- und Kommunikationsdaten zu Aufträgen

3. Kategorien betroffener Personen: Auftraggeber des Kunden und deren Ansprechpartner, Eigentümer, Mieter und sonstige Personen, deren Daten in den zur Bewertung überlassenen Unterlagen enthalten sind.

4. Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO) sind nicht Gegenstand des Auftrags; der Auftraggeber nutzt die bereitgestellten Schwärzungsfunktionen, um solche Daten vor einer KI-Auswertung unkenntlich zu machen, soweit sie nicht erforderlich sind.

5. Verbandskonten: Ist der Auftraggeber ein Partnerverband, ist Zweck der Verarbeitung die Prüfung der Verbandsmitgliedschaft von Nutzern der Software zur Gewährung der vereinbarten Verbandskonditionen. Datenkategorien sind Mitgliedsnummern, Namen und Gültigkeitsdaten der Mitglieder (Mitgliederliste) sowie Kontaktdaten der Ansprechpartner des Verbands; betroffene Personen sind die Mitglieder und Ansprechpartner des Verbands. Der Auftragnehmer teilt dem Verband mit, welche Mitgliedsnummern eingelöst wurden, soweit dies zur Abrechnung der Partnerkonditionen erforderlich ist.

1. Der Auftragnehmer verarbeitet die Daten ausschließlich auf dokumentierte Weisung des Auftraggebers – auch in Bezug auf die Übermittlung personenbezogener Daten an ein Drittland oder eine internationale Organisation –, es sei denn, er ist nach Unionsrecht oder dem Recht eines Mitgliedstaats zur Verarbeitung verpflichtet; in diesem Fall teilt er dem Auftraggeber diese Anforderungen vor der Verarbeitung mit, sofern das Recht dies nicht verbietet.

2. Weisungen werden grundsätzlich durch die Nutzung der Funktionen der Software erteilt (z. B. Hochladen, Auswerten, Löschen, Versenden). Darüber hinausgehende Weisungen bedürfen der Textform.

3. Hält der Auftragnehmer eine Weisung für rechtswidrig, informiert er den Auftraggeber unverzüglich; er ist berechtigt, die Ausführung bis zur Bestätigung auszusetzen.

Der Auftragnehmer

• gewährleistet, dass sich die zur Verarbeitung befugten Personen zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen;
• ergreift alle nach Art. 32 DSGVO erforderlichen technischen und organisatorischen Maßnahmen (Anlage 1) und passt sie dem Stand der Technik fortlaufend an, ohne das Schutzniveau abzusenken;
• unterstützt den Auftraggeber mit geeigneten Mitteln bei der Beantwortung von Anträgen betroffener Personen (Art. 12–23 DSGVO) und leitet direkt bei ihm eingehende Anträge unverzüglich weiter;
• unterstützt den Auftraggeber bei der Einhaltung der Pflichten aus Art. 32–36 DSGVO (Sicherheit, Meldung von Verletzungen, Datenschutz-Folgenabschätzung, Konsultation);
• meldet dem Auftraggeber Verletzungen des Schutzes personenbezogener Daten unverzüglich, spätestens innerhalb von 48 Stunden nach Kenntnis, mit den Angaben nach Art. 33 Abs. 3 DSGVO;
• stellt dem Auftraggeber alle erforderlichen Informationen zum Nachweis der Einhaltung dieser Vereinbarung zur Verfügung (§ 6);
• stellt eine Kontaktstelle für alle Datenschutzanfragen bereit, erreichbar unter support@valture.de. Wird ein Datenschutzbeauftragter benannt, werden dessen Kontaktdaten in der Datenschutzerklärung veröffentlicht.

1. Der Auftraggeber erteilt die allgemeine Genehmigung zur Einschaltung der in Anlage 2 aufgeführten weiteren Auftragsverarbeiter (Subunternehmer).

2. Der Auftragnehmer informiert den Auftraggeber in Textform über beabsichtigte Änderungen (Hinzuziehung oder Ersetzung von Subunternehmern) mindestens vier Wochen im Voraus. Der Auftraggeber kann der Änderung aus wichtigem datenschutzrechtlichem Grund widersprechen; ist eine einvernehmliche Lösung nicht möglich, steht beiden Parteien ein Sonderkündigungsrecht zu.

3. Der Auftragnehmer verpflichtet Subunternehmer vertraglich mindestens auf das Datenschutzniveau dieser Vereinbarung. Erfolgt eine Verarbeitung in einem Drittland, stellt der Auftragnehmer geeignete Garantien nach Kapitel V DSGVO sicher (insbesondere EU-Standardvertragsklauseln oder ein Angemessenheitsbeschluss, z. B. EU-U.S. Data Privacy Framework).

4. Kommt ein Subunternehmer seinen datenschutzrechtlichen Pflichten nicht nach, haftet der Auftragnehmer gegenüber dem Auftraggeber für die Einhaltung der Pflichten dieses Subunternehmers (Art. 28 Abs. 4 Satz 2 DSGVO).

1. Der Auftraggeber kann die Einhaltung dieser Vereinbarung überprüfen. Der Auftragnehmer erbringt den Nachweis vorrangig durch geeignete Unterlagen (Beschreibung der TOM, Zertifizierungen und Auditberichte der eingesetzten Rechenzentren bzw. Subunternehmer, Selbstauskünfte).

2. Verbleiben begründete Zweifel, kann der Auftraggeber nach rechtzeitiger Anmeldung während der üblichen Geschäftszeiten eine Kontrolle durchführen oder durch einen zur Verschwiegenheit verpflichteten sachverständigen Dritten durchführen lassen, ohne den Geschäftsbetrieb unangemessen zu stören.

1. Der Auftraggeber ist im Verhältnis der Parteien für die Rechtmäßigkeit der Verarbeitung und die Wahrung der Rechte der betroffenen Personen verantwortlich; er stellt insbesondere sicher, dass er die Daten seiner Auftraggeber und Dritter rechtmäßig in die Software einbringen darf.

2. Der Auftraggeber nutzt die bereitgestellten Schutz- und Schwärzungsfunktionen entsprechend den AGB und informiert den Auftragnehmer unverzüglich, wenn er Fehler oder Unregelmäßigkeiten bei der Verarbeitung feststellt.

1. Während der Vertragslaufzeit kann der Auftraggeber Aufträge, Dokumente und Fotos jederzeit selbst löschen und seine Daten exportieren.

2. Nach Beendigung des Nutzungsvertrages hat der Auftraggeber die Wahl zwischen Rückgabe und Löschung: Der Auftragnehmer stellt die Daten für 30 Tage zum Export bereit (Rückgabe); auf Weisung des Auftraggebers löscht er sie auch früher. Erfolgt innerhalb dieser Frist keine abweichende Weisung, löscht der Auftragnehmer die Daten nach Ablauf der 30 Tage vollständig, einschließlich vorhandener Sicherungskopien nach deren turnusmäßigem Überschreiben, soweit keine gesetzliche Aufbewahrungspflicht besteht. Rechnungsbezogene Daten werden in einem gesperrten Archiv nur für die Dauer der gesetzlichen Aufbewahrungsfristen weiter gespeichert.

3. Die Löschung wird dem Auftraggeber auf Anfrage bestätigt.

1. Für die Haftung der Parteien gelten Art. 82 DSGVO sowie ergänzend die Haftungsregelungen des Nutzungsvertrages ( AGB § 14).

2. Im Fall von Widersprüchen zwischen dieser Vereinbarung und dem Nutzungsvertrag gehen die Regelungen dieser Vereinbarung in datenschutzrechtlichen Fragen vor. Es gilt deutsches Recht; Gerichtsstand ist der Sitz des Auftragnehmers.

• Transportverschlüsselung: sämtliche Übertragungen erfolgen über TLS.
• Verschlüsselung im Ruhezustand: Datenbank und Dateispeicher werden verschlüsselt gespeichert.
• Mandantentrennung: Zugriffskontrolle je Organisation auf Anwendungs- und Datenbankebene (Row Level Security).
• Zugriffskontrolle: rollenbasiertes Berechtigungskonzept (Inhaber, Admin, Gutachter, Assistenz), Auftragsfreigaben je Nutzer, Zwei-Faktor-Authentifizierung und Passkey-Unterstützung.
• Dateizugriff: Dokumente, Fotos, Audioaufnahmen und erzeugte Gutachten liegen in privaten Speicher-Buckets; Zugriff ausschließlich über zeitlich begrenzte, signierte Links. Hochgeladene Dateien werden auf Typ und Größe geprüft. Lediglich Profilbilder der Nutzer werden über eine öffentliche Adresse ausgeliefert.
• Datenminimierung vor KI-Auswertung: Schwärzungswerkzeuge für Dokumente und Fotos (Web und App) vor der Übermittlung an KI-Dienste; KI-Verarbeitung in der EU-Region Frankfurt; kein Training mit Kundendaten; Zwischenspeicherung beim KI-Anbieter auf höchstens 24 Stunden begrenzt und für das Projekt deaktiviert.
• Protokollierung: Aktivitäts- und Fehlerprotokolle mit Maskierung von E-Mail-Adressen und Zugangstoken; Auswertung nur durch Berechtigte; automatische Löschung nach 90 Tagen (Audit-Protokolle nach 12 Monaten).
• Verfügbarkeit: regelmäßige Sicherungen der Datenbank und des Dateispeichers im Rahmen des Hostings.
• Organisation: Vertraulichkeitsverpflichtung der befugten Personen, dokumentierter Prozess für Datenpannen (Meldung an den Auftraggeber, § 4), regelmäßige Überprüfung der Maßnahmen.