Auftragsverarbeitungsvertrag (AVV)

Version 0.2 · Stand: 9. September 2026 · Abteilung Datenschutz und Recht · ersetzt Version 0.1 vom 8. September 2026 (Änderungen: OVHcloud statt RunPod in Anlage 2, Cloudflare als vorgeschalteter Proxy, Standortsatz in § 6, Umfang von Rückgabe und Auskunft in § 4 und § 8, Nachweisaufbewahrung in § 8 Abs. 5, Passwortregel in Anlage 3)

Anwaltlich prüfen lassen vor Launch. Vorlage, keine Rechtsberatung. Platzhalter in eckigen Klammern. Die Vereinbarung wird bei der Registrierung per Klick angenommen (Art. 28 Abs. 9: elektronisches Format genügt), mit Versionsnummer und Zeitstempel gespeichert und ist im Konto als PDF abrufbar. Änderungen werden 30 Tage vorher per E-Mail angekündigt.

zwischen

dem Nutzer der Plattform immogang (Firma, Anschrift und Vertreter laut Konto) – nachfolgend „Verantwortlicher“ –

und

immogang UG (haftungsbeschränkt) [i. G.], [Straße Nr.], [PLZ Ort], vertreten durch den Geschäftsführer [David Nachname], E-Mail datenschutz@immogang.com – nachfolgend „Auftragsverarbeiter“ –

1. Der Auftragsverarbeiter betreibt die Plattform immogang, mit der der Verantwortliche aus Handyvideos begehbare 3D-Rundgänge erzeugt, unter einem Link veröffentlicht und, je nach Tarif, Objektseiten mit Kontaktformular und Lead-Postfach nutzt. Dabei verarbeitet der Auftragsverarbeiter personenbezogene Daten im Auftrag des Verantwortlichen.

2. Diese Vereinbarung gilt für die Dauer des Nutzungsvertrags über die Plattform (AGB) und endet mit ihm. Die Lösch- und Nachweispflichten nach § 8 gelten darüber hinaus.

3. Bei Widersprüchen zwischen dieser Vereinbarung und den AGB geht diese Vereinbarung vor, soweit es um den Schutz personenbezogener Daten geht.

Die Einzelheiten stehen in Anlage 1. Zusammengefasst: Speicherung und Verarbeitung von Innenaufnahmen zu 3D-Modellen, Hosting der Tour- und Objektseiten, Entgegennahme und Weiterleitung von Anfragen über das Kontaktformular.

1. Der Auftragsverarbeiter verarbeitet die Daten nur auf dokumentierte Weisung des Verantwortlichen (Art. 28 Abs. 3 lit. a). Die Weisungen ergeben sich aus dieser Vereinbarung, den AGB und den Einstellungen und Aktionen des Verantwortlichen in der Plattform (Hochladen, Veröffentlichen, Deaktivieren, Löschen, Neuberechnen, Löschfristen setzen, Export anfordern). Weitere Weisungen erteilt der Verantwortliche in Textform an datenschutz@immogang.com.

2. Hält der Auftragsverarbeiter eine Weisung für rechtswidrig, informiert er den Verantwortlichen unverzüglich und darf die Ausführung bis zur Klärung aussetzen (Art. 28 Abs. 3 Satz 3).

3. Verarbeitung außerhalb der Weisung erfolgt nur, wenn Unionsrecht oder deutsches Recht sie verlangt; dann teilt der Auftragsverarbeiter dies vorher mit, soweit das Recht es erlaubt.

1. Vertraulichkeit. Alle mit der Verarbeitung befassten Personen sind zur Vertraulichkeit verpflichtet (Art. 28 Abs. 3 lit. b). Derzeit ist das der Geschäftsführer; künftige Mitarbeiter und Freelancer werden vor Zugriff verpflichtet.

2. Sicherheit. Der Auftragsverarbeiter setzt die technischen und organisatorischen Maßnahmen der Anlage 3 um (Art. 32) und entwickelt sie weiter; das Schutzniveau darf nicht sinken.

3. Unterstützung bei Betroffenenrechten (Art. 28 Abs. 3 lit. e). Der Auftragsverarbeiter stellt dem Verantwortlichen Funktionen bereit, mit denen dieser Anfragen von Betroffenen beantworten kann: (a) Deaktivieren („Offline nehmen“) und Löschen einzelner Touren mit einem Klick; (b) eine Auskunft je Tour als Dokument mit allen zu dieser Tour gespeicherten Daten, deren Zeitpunkten und Löschfristen, den beteiligten Unterauftragsverarbeitern und den Zugriffen des Auftragsverarbeiters auf diese Tour (Zeitpunkt und Anlass, ohne Namen von Mitarbeitern); (c) den Export nach § 8 Abs. 2; (d) ab Objektseite das Einsehen, Ändern, Löschen und Exportieren von Anfragen. Solange eine Funktion in der Plattform fehlt, erbringt der Auftragsverarbeiter die Unterstützung auf Anfrage in Textform innerhalb von 14 Tagen, in der Regel schneller. Anfragen von Betroffenen, die den Auftragsverarbeiter direkt erreichen, leitet er innerhalb von drei Werktagen an den Verantwortlichen weiter und beantwortet sie nicht selbst.

4. Unterstützung bei Sicherheit, Datenpannen, Folgenabschätzung. Der Auftragsverarbeiter unterstützt den Verantwortlichen bei den Pflichten aus Art. 32 bis 36 mit den Informationen, die ihm vorliegen (Art. 28 Abs. 3 lit. f).

5. Meldung von Verletzungen. Der Auftragsverarbeiter meldet dem Verantwortlichen eine Verletzung des Schutzes personenbezogener Daten unverzüglich, spätestens 48 Stunden nach Kenntnis, per E-Mail an die Kontoadresse, mit Art der Verletzung, betroffenen Daten, wahrscheinlichen Folgen und ergriffenen Maßnahmen, soweit bekannt (Art. 33 Abs. 2). [Strengere Variante: 24 Stunden.]

6. Informationspflicht. Der Auftragsverarbeiter informiert den Verantwortlichen, wenn eine Aufsichtsbehörde Auskunft über die Verarbeitung verlangt oder Kontrollen durchführt, soweit rechtlich zulässig.

7. Keine eigenen Zwecke. Der Auftragsverarbeiter nutzt die Daten nicht für eigene Zwecke, insbesondere nicht zum Training oder zur Prüfung seiner Verarbeitungssoftware, nicht für Werbung und nicht für Vergleiche zwischen Kunden. Aggregierte Kennzahlen ohne Personenbezug (Anzahl Touren, Anzahl Anfragen) darf er zur Steuerung seines Betriebs verwenden.

1. Der Verantwortliche erteilt die allgemeine Genehmigung (Art. 28 Abs. 2) für die in Anlage 2 genannten Unterauftragsverarbeiter.

2. Beabsichtigt der Auftragsverarbeiter, einen Unterauftragsverarbeiter hinzuzufügen oder zu ersetzen, informiert er den Verantwortlichen mindestens 30 Tage vorher per E-Mail und in der Plattform. Der Verantwortliche kann innerhalb von 14 Tagen aus wichtigem datenschutzrechtlichem Grund widersprechen. Bei Widerspruch bemühen sich beide um eine Lösung; gelingt das nicht, darf der Verantwortliche den Nutzungsvertrag außerordentlich kündigen und seine Daten vorher exportieren.

3. Mit jedem Unterauftragsverarbeiter besteht ein Vertrag, der diesem dieselben Datenschutzpflichten auferlegt wie diese Vereinbarung (Art. 28 Abs. 4). Der Auftragsverarbeiter haftet gegenüber dem Verantwortlichen für die Pflichterfüllung seiner Unterauftragsverarbeiter.

4. Die jeweils aktuelle Liste ist unter immogang.com/recht/unterauftragsverarbeiter abrufbar [URL Platzhalter].

1. Videos, 3D-Modelle, Kontodaten und Anfragen werden in Rechenzentren in der Europäischen Union gespeichert (Speicher und Datenbank in der EU) und in der EU verarbeitet (Berechnung des Rundgangs in Frankreich). Rundgänge und die Plattform werden über ein weltweites Netz ausgeliefert, das Anfragen am jeweils nächsten Standort entschlüsselt und weiterleitet. E-Mails werden aus Irland versendet; der Mailanbieter speichert Empfängeradresse und Inhalt 30 Tage in den USA. Einzelheiten in Anlage 2.

2. Soweit Unterauftragsverarbeiter ihren Sitz in einem Drittland haben oder von dort auf Daten zugreifen können (Support, Metadaten, Protokolle, Mailinhalte, Auslieferung), stützt sich die Übermittlung auf einen Angemessenheitsbeschluss der Europäischen Kommission (insbesondere das EU-US Data Privacy Framework, Beschluss (EU) 2023/1795) oder auf Standardvertragsklauseln nach Durchführungsbeschluss (EU) 2021/914 (Art. 44 ff.). Anlage 2 nennt den jeweiligen Mechanismus.

3. Entfällt ein Angemessenheitsbeschluss, gelten die Standardvertragsklauseln der jeweiligen Verträge; der Auftragsverarbeiter informiert den Verantwortlichen über wesentliche Änderungen.

1. Der Auftragsverarbeiter stellt dem Verantwortlichen die Informationen zur Verfügung, die zum Nachweis der Pflichten aus Art. 28 erforderlich sind (Art. 28 Abs. 3 lit. h): diese Vereinbarung mit Anlagen, Übersicht der Unterauftragsverarbeiter mit deren Zertifikaten und Verträgen, Beschreibung der Maßnahmen nach Anlage 3, auf Anfrage die Ergebnisse eigener Prüfungen.

2. Reichen diese Nachweise nicht aus, darf der Verantwortliche einmal je Kalenderjahr mit mindestens 30 Tagen Vorankündigung eine Prüfung während der Geschäftszeiten durchführen oder durch einen zur Vertraulichkeit verpflichteten Prüfer durchführen lassen, ohne den Betrieb zu stören. Die Kosten trägt der Verantwortliche, außer die Prüfung deckt wesentliche Verstöße auf.

3. Prüfungen bei Unterauftragsverarbeitern erfolgen über deren Zertifikate und Prüfberichte (SOC 2, ISO 27001, C5); ein Vor-Ort-Recht beim Unterauftragsverarbeiter besteht nicht.

1. Der Verantwortliche kann jederzeit einzelne Touren, Anfragen oder sein gesamtes Konto löschen. Daten werden dann in der Regel innerhalb von 24 Stunden, spätestens innerhalb von 30 Tagen vollständig gelöscht; Sicherungskopien laufen innerhalb weiterer 7 Tage aus.

2. Rückgabe (Art. 28 Abs. 3 lit. g). Vor der Löschung und während einer Karenzzeit nach Kündigung kann der Verantwortliche seine Daten exportieren, in jedem Tarif: die Dateien jedes Rundgangs in dem Format, das die Tour-Seite ausliefert (Modell, Vorschaubild, Startpunkt), die Tour-Daten und Einwilligungsbestätigungen als CSV und JSON, Anfragen als CSV, die eigenen Kontodaten als JSON (Art. 20). Rohvideos gehören zur Rückgabe, solange sie nach Abs. 4 noch vorliegen; sie werden auf Anfrage bereitgestellt. Bearbeitbare Modellformate (SPZ, PLY) sind eine tarifabhängige Zusatzleistung und keine Rückgabe im Sinne dieser Vereinbarung. Der Export steht 7 Tage nur eingeloggt zum Download bereit und wird danach gelöscht. Solange die Exportfunktion in der Plattform fehlt, erfolgt die Rückgabe auf Anfrage in Textform innerhalb von 14 Tagen, in der Regel schneller.

3. Nach Ende des Nutzungsvertrags löscht der Auftragsverarbeiter alle Daten innerhalb von 30 Tagen, sofern nicht eine gesetzliche Aufbewahrungspflicht entgegensteht (dann Einschränkung der Verarbeitung bis Fristende).

4. Rohvideos werden unabhängig davon 30 Tage nach erfolgreicher Verarbeitung gelöscht (bis dahin ist eine Neuberechnung auf Wunsch des Verantwortlichen möglich), nach abgelehnter oder fehlgeschlagener Verarbeitung nach 14 Tagen; Zwischendaten der Verarbeitung mit Abschluss des Verarbeitungsauftrags, spätestens nach 7 Tagen.

5. Nachweise. Der Auftragsverarbeiter bewahrt zum Nachweis (Art. 5 Abs. 2, Art. 7 Abs. 1, Art. 17 Abs. 3 lit. e) die Annahme dieser Vereinbarung und der AGB (E-Mail-Adresse des Kontos, Versionsnummer, Zeitpunkt) drei Jahre nach Vertragsende sowie die Bestätigungen des Verantwortlichen zur Einwilligung der Bewohner je Tour (Antwort, Zeitpunkt, Konto-Kennung, Fassung des Bestätigungstextes) drei Jahre nach Löschung der Tour auf. Danach löscht er sie. Die Einwilligungserklärungen der Bewohner selbst verwahrt der Verantwortliche.

Die Haftung richtet sich nach Art. 82 DSGVO und den AGB. [Anwalt: Haftungsbegrenzung im B2B-Verhältnis prüfen, grobe Fahrlässigkeit und Vorsatz unbegrenzt.]

1. Diese Vereinbarung wird bei der Registrierung elektronisch angenommen. Der Auftragsverarbeiter speichert Version und Zeitpunkt der Annahme und stellt die angenommene Fassung als PDF im Konto bereit; ältere Fassungen bleiben für die Verantwortlichen, die sie angenommen haben, unverändert abrufbar.

2. Änderungen dieser Vereinbarung kündigt der Auftragsverarbeiter 30 Tage vorher per E-Mail an. Widerspricht der Verantwortliche nicht bis zum Wirksamwerden, gilt die neue Fassung; hierauf wird in der Ankündigung hingewiesen. Bei Widerspruch bleibt die alte Fassung bis zur Kündigung in Kraft. [Anwalt: Änderungsklausel prüfen.]

3. Es gilt deutsches Recht. Gerichtsstand ist, soweit der Verantwortliche Kaufmann ist, der Sitz des Auftragsverarbeiters.

4. Ist eine Bestimmung unwirksam, bleiben die übrigen wirksam; an die Stelle tritt die gesetzliche Regelung.

Punkt: Inhalt

Gegenstand: Betrieb der Plattform immogang: Erzeugung begehbarer 3D-Rundgänge aus Video, Hosting der Rundgänge und Objektseiten, Kontaktformular und Lead-Postfach, E-Mail-Benachrichtigungen

Zweck: Vermarktung von Immobilien durch den Verantwortlichen

Art der Verarbeitung: Speichern, Umwandeln (Video zu 3D-Modell), Bereitstellen im Internet, Übermitteln von Anfragen, Exportieren, Löschen

Datenkategorien: Innenaufnahmen von Immobilien als Video und 3D-Modell einschließlich Einrichtung und, sofern vom Verantwortlichen nicht vermieden, erkennbarer Personen, Fotos und Gegenstände; Titel und Ortsangaben; Zugriffsdaten der Besucher (IP-Adresse, Zeitpunkt, Browser, nur kurzfristig zur Sicherheit); ab Objektseite: Name, E-Mail, Telefon und Nachricht von Interessenten

Betroffene: Eigentümer, Mieter und sonstige Bewohner der aufgenommenen Immobilien; auf Aufnahmen erkennbare Personen; Besucher der Rundgänge; Interessenten, die das Kontaktformular nutzen

Besondere Kategorien (Art. 9): nicht vorgesehen. Der Verantwortliche stellt sicher, dass Aufnahmen keine Hinweise auf Gesundheit, Religion, politische Meinung oder Ähnliches zeigen (zum Beispiel Medikamente, religiöse Gegenstände, Dokumente). Ein Unschärfe-Werkzeug ist geplant

Dauer: Laufzeit des Nutzungsvertrags; Löschfristen nach § 8

Ort: Speicherung und Verarbeitung in Rechenzentren in der EU, Auslieferung über ein weltweites Netz, laut Anlage 2

Unterauftragsverarbeiter: Gesellschaft, Sitz: Leistung: Ort der Verarbeitung: Vertrag und Transfermechanismus

Cloudflare: Cloudflare, Inc., 101 Townsend Street, San Francisco, CA 94107, USA: Speicherung von Videos und Rundgängen (R2), DNS, Auslieferung und Schutz der Plattform als vorgeschalteter Proxy (CDN, Ratenbegrenzung): R2-Bucket mit Jurisdiktion „Europäische Union“; Auslieferung über weltweites Netz mit Entschlüsselung am jeweils nächsten Standort, für Nutzer in Deutschland regelmäßig in Deutschland: Customer DPA v6.4 (3. April 2026); EU-US Data Privacy Framework, Standardvertragsklauseln als Rückfall

OVHcloud: OVH GmbH, Christophstraße 19, 50670 Köln (Konzern OVH Groupe SA, Roubaix, Frankreich): Berechnung des 3D-Modells aus dem Video, nur für die Dauer des Rechenlaufs: Rechenzentrum Gravelines, Frankreich (Region GRA11); keine dauerhafte Speicherung: Auftragsverarbeitungsvertrag der OVH GmbH (Annahme im Kundencenter, Version [eintragen]); Konzerngesellschaften außerhalb der EU können im Support-Fall unter Standardvertragsklauseln (Modul 3) zugreifen

Supabase: Supabase Pte. Ltd., 65 Chulia Street #38-02/03, Singapur 049513: Datenbank, Login, Warteschlange: AWS-Rechenzentrum Frankfurt (eu-central-1): DPA mit Standardvertragsklauseln (Modul 3); Support-Zugriff aus Singapur oder USA nur im Bedarfsfall

Vercel: Vercel Inc., USA (Kalifornien): Hosting der Web-Anwendung und Tour-Seiten: Serverless-Funktionen in Frankfurt (fra1); Edge-Netz weltweit: DPA; EU-US Data Privacy Framework (seit 4. Juni 2024), Standardvertragsklauseln

Resend: Plus Five Five, Inc., 2261 Market Street #5039, San Francisco, CA 94114, USA: Versand von E-Mails (Benachrichtigungen, Anfragen): Versand aus Irland (eu-west-1); Speicherung von Empfängeradresse, Inhalten und Protokollen 30 Tage in den USA: DPA (Stand 27. August 2026); EU-US Data Privacy Framework, Standardvertragsklauseln

Stripe (nur zur Information, ab Phase 2): Stripe Payments Europe, Ltd., Dublin, Irland: Zahlungsabwicklung für das Nutzungsentgelt: EU, mit Stripe, Inc. (USA) in der Kette: Stripe ist kein Unterauftragsverarbeiter im Sinne dieser Vereinbarung: Zahlungsdaten des Verantwortlichen verarbeitet immogang als eigener Verantwortlicher; Stripe handelt teils als Auftragsverarbeiter, teils als eigener Verantwortlicher. Einzelheiten in der Datenschutzerklärung

Aktuelle Fassung: immogang.com/recht/unterauftragsverarbeiter [Platzhalter]. Runpod Inc. (USA) wird nur für eigene Testdaten des Auftragsverarbeiters genutzt und verarbeitet keine Daten des Verantwortlichen; sollte sich das ändern, wird RunPod nach § 5 Abs. 2 angekündigt.

1. Vertraulichkeit

- Zutritt: Keine eigenen Server. Rechenzentren der Unterauftragsverarbeiter mit Zutrittskontrolle, nachgewiesen durch SOC 2 Type II, ISO 27001 oder C5.

- Zugang: Login mit E-Mail und Passwort (mindestens 8 Zeichen, Prüfung gegen bekannte Leaks, Ratenbegrenzung); Zwei-Faktor-Authentifizierung und mindestens 12 Zeichen für Administratoren, Zwei-Faktor für Nutzer angeboten [ab Phase 2]; Sperren nach Fehlversuchen; Sitzungen laufen ab.

- Zugriff: Row-Level-Security in der Datenbank, jeder Nutzer sieht nur eigene Daten; der Browser spricht nie direkt mit der Datenbank; Administrationszugriffe auf Kundendaten werden protokolliert (wer, wann, welches Konto, Anlass); Schlüssel und Tokens nur in geschützten Umgebungen, nie im Quellcode.

- Trennung: Mandantentrennung über Nutzer-ID auf Datenbankebene und über zufällige, nicht erratbare Objektpfade im Dateispeicher; Test- und Produktivsysteme getrennt; keine Kundendaten in Testsystemen.

- Pseudonymisierung: Dateien werden unter zufälligen IDs gespeichert, nicht unter Originalnamen; Protokolle enthalten IDs statt Namen, Adressen oder E-Mail-Adressen.

2. Integrität

- Übertragung: TLS 1.2 oder höher für alle Verbindungen, auch zwischen Proxy und Servern; signierte, zeitlich begrenzte Links für Upload und Download; signierte Webhooks.

- Eingabe: Änderungen an Touren, Veröffentlichungen, Löschungen, Exporte und Vertragsannahmen werden mit Zeitstempel protokolliert; Nachweistabellen sind für Nutzer nicht änderbar.

- Verarbeitung: Tonspur und Geräte-Metadaten (einschließlich Standort) werden vor der Verarbeitung entfernt; Zwischendaten liegen nur im flüchtigen Speicher der Recheninstanz, die nach dem Lauf beendet wird; keine Kundendaten in Protokollen, Instanznamen oder Support-Tickets der Unterauftragsverarbeiter.

3. Verfügbarkeit und Belastbarkeit

- Verschlüsselte Ruhespeicherung bei Datenbank und Dateispeicher; tägliche Datenbank-Sicherungen mit 7 Tagen Aufbewahrung; Dateispeicher mit Redundanz innerhalb der EU-Jurisdiktion.

- Ratenbegrenzung und Missbrauchsabwehr auf Anwendungs- und Netzebene; Trennung von Web-Anwendung, Datenbank, Speicher und Verarbeitung, sodass ein Ausfall die anderen Teile nicht mitreißt.

4. Verfahren zur regelmäßigen Überprüfung

- Datenschutz-Management: Verzeichnis der Verarbeitungstätigkeiten, Löschkonzept mit automatisierten Löschläufen, vierteljährliche Prüfung der Unterauftragsverarbeiter und ihrer Zertifikate.

- Vorfallmanagement: Meldeweg datenschutz@immogang.com, Meldung an Verantwortliche innerhalb von 48 Stunden, Dokumentation jedes Vorfalls.

- Datenschutz durch Technikgestaltung und Voreinstellungen (Art. 25): Rundgänge sind nicht in Suchmaschinen gelistet, kein Tracking auf Tour-Seiten, optionaler Passwortschutz, Rohvideos werden automatisch gelöscht, Datensparsamkeit in Formularen.

- Auftragskontrolle: Verträge mit allen Unterauftragsverarbeitern, Regionen fest auf EU/EWR eingestellt, Prüfung der Region beim Start jedes Verarbeitungsauftrags.

- Code-Prüfung: Jede Änderung wird vor Freigabe auf Sicherheit und Datenschutz geprüft (Qualitätssicherung).

Angenommen am [Zeitstempel] durch [Name, Firma] in der Version 0.2. Diese Fassung ist im Konto unter „Datenschutz“ als PDF abrufbar.