1. Gegenstand und Zustandekommen dieses Vertrags
Dieser Auftragsverarbeitungsvertrag (AVV) konkretisiert die Pflichten der Parteien im Hinblick auf den Datenschutz bei der Nutzung der Software-as-a-Service-Plattform LeadHook24. Er wird gemäß Art. 28 DSGVO automatisch Bestandteil des zwischen dem Kunden und Steffen Schirmer (LeadHook24) geschlossenen Nutzungsvertrags (AGB), sobald der Kunde die AGB akzeptiert — ein gesonderter Vertragsschluss ist nicht erforderlich.
Im Hinblick auf die über LeadHook24 erfassten Interessentendaten (Leads) handelt der Kunde als Verantwortlicher im Sinne der DSGVO. LeadHook24 verarbeitet diese Daten ausschließlich in dessen Auftrag als Auftragsverarbeiter (Encargado del Tratamiento).
2. Gegenstand, Dauer, Art und Zweck der Verarbeitung
- Gegenstand: Automatisierte Erfassung, Vorqualifizierung, Kategorisierung und Beantwortung von Interessentenanfragen (Leads), die über die vom Kunden eingebundenen Formulare oder Schnittstellen eingehen.
- Dauer: Für die Laufzeit des zugrunde liegenden Nutzungsvertrags; endet automatisch mit dessen Beendigung, vorbehaltlich gesetzlicher Aufbewahrungspflichten gemäß der Datenschutzerklärung.
- Art der Verarbeitung: Erheben, Speichern, Kategorisieren, automatisiertes (KI-gestütztes) Beantworten sowie Anzeige im Kunden-Dashboard.
- Zweck: Unterstützung des Kunden bei der schnellen Reaktion auf und Qualifizierung von eingehenden Geschäftsanfragen.
3. Kategorien betroffener Personen und Datenarten
- Betroffene Personen: Interessenten/Endkunden des Kunden (Leads), die über dessen Kontaktformular oder Schnittstelle eine Anfrage stellen.
- Datenarten: Stammdaten und Kontaktdaten (insbesondere Name, E-Mail-Adresse und Telefonnummer), vom Interessenten übermittelte Inhalte und Freitextnachrichten, Angaben zu Immobilienwünschen und sonstigen Anfrageinhalten sowie technische Daten und Metadaten, die bei der Übermittlung der Anfrage entstehen (z. B. Zeitstempel und IP-Adresse).
4. Pflichten des Auftragsverarbeiters
LeadHook24 verpflichtet sich,
- personenbezogene Daten ausschließlich auf dokumentierte Weisung des Kunden zu verarbeiten (die Konfiguration des Dashboards durch den Kunden gilt als solche Weisung),
- personenbezogene Daten nur durch Personen verarbeiten zu lassen, die zur Vertraulichkeit verpflichtet sind,
- angemessene technische und organisatorische Maßnahmen gemäß Art. 32 DSGVO zu treffen, insbesondere Verschlüsselung der Datenübertragung (TLS/SSL),
- den Kunden unter Berücksichtigung der Art der Verarbeitung und der LeadHook24 zur Verfügung stehenden Informationen angemessen bei der Erfüllung seiner datenschutzrechtlichen Pflichten gemäß Art. 32 bis 36 DSGVO zu unterstützen, insbesondere bei der Sicherheit der Verarbeitung, der Meldung von Datenschutzverletzungen, der Information betroffener Personen sowie gegebenenfalls bei Datenschutz-Folgenabschätzungen und vorherigen Konsultationen,
- nach Beendigung des Nutzungsvertrags sämtliche personenbezogenen Daten nach Wahl des Kunden zu löschen oder zurückzugeben, soweit keine gesetzliche Aufbewahrungspflicht entgegensteht (siehe Datenschutzerklärung, Ziffer 6).
5. Unterauftragsverarbeiter
Der Kunde erteilt seine allgemeine Genehmigung zum Einsatz der folgenden, auch in der Datenschutzerklärung genannten Unterauftragsverarbeiter:
- ALL-INKL.COM – Neue Medien Münnich, Hauptstraße 68, 02742 Friedersdorf, Deutschland (Hosting-Infrastruktur, EU)
- Anthropic PBC (Claude API), San Francisco, USA – KI-Verarbeitung; Verarbeitung und internationale Datenübermittlungen erfolgen gemäß den jeweils geltenden Datenschutzbedingungen und dem Auftragsverarbeitungsvertrag (DPA) von Anthropic einschließlich der darin vorgesehenen geeigneten Garantien (insbesondere EU-Standardvertragsklauseln).
- OpenAI L.L.C. (OpenAI API), San Francisco, USA, teilweise als Fallback-Dienst – Verarbeitung von Daten aus dem EWR erfolgt nach den aktuellen Angaben von OpenAI durch OpenAI Ireland Limited; internationale Datenübermittlungen erfolgen auf Grundlage der jeweils geltenden Datenschutzbedingungen und des DPA von OpenAI einschließlich geeigneter Garantien (insbesondere EU-Standardvertragsklauseln).
Der Anbieter informiert den Kunden über die geplante Hinzunahme oder Ersetzung von Unterauftragsverarbeitern in angemessener Weise vor deren Einsatz. Der Kunde kann aus datenschutzrechtlichen Gründen innerhalb von 14 Tagen nach der Mitteilung widersprechen. Im Falle eines berechtigten Widerspruchs werden sich die Parteien um eine zumutbare alternative Lösung bemühen; ist eine solche Lösung nicht möglich, kann der Kunde den betroffenen Vertragsteil mit Wirkung zum Zeitpunkt des geplanten Einsatzes des neuen Unterauftragsverarbeiters kündigen.
6. Kontrollrechte des Kunden
Der Kunde ist berechtigt, sich in angemessenem Umfang von der Einhaltung der in diesem Vertrag vereinbarten Pflichten zu überzeugen, insbesondere durch Einholung von Auskünften bei LeadHook24. Vor-Ort-Kontrollen sind mit angemessener Vorlaufzeit (mindestens 14 Tage) schriftlich anzukündigen und auf das erforderliche Maß zu beschränken.
7. Haftung
Es gelten die Haftungsregelungen der AGB entsprechend.