Vereinbarung zur Auftrags­verarbeitung

nach Art. 28 Abs. 3 DSGVO zwischen dem jeweiligen Auftraggeber (nachfolgend „Verantwortlicher“) und

Vanholt Immobilien GmbH, Am Sandtorkai 77, 20457 Hamburg, vertreten durch Tom Giesler, Geschäftsführer (nachfolgend „Auftragsverarbeiter“ oder „Vanholt-Zentrale“).

Diese Vereinbarung gilt (a) für Franchise-Partner des Vanholt-Systems, die das von der Zentrale betriebene CRM, das Kundenportal „Vanholt Suite“ und die zugehörigen Dienste nutzen, sowie (b) für gewerbliche Kunden (z. B. Hausverwaltungen, Bauträger, Investoren), die Vanholt personenbezogene Daten Dritter zur Verarbeitung überlassen. Sie wird Bestandteil des Franchise- bzw. Maklervertrags. Für Verbraucher ist keine AVV erforderlich; für sie gilt die Datenschutzerklärung.

§ 1 Gegenstand und Dauer

(1) Der Auftragsverarbeiter betreibt für den Verantwortlichen die Vanholt-Systemplattform, bestehend aus CRM (Kontakte, Objekte, Aktivitäten, Dokumente, Abrechnung), dem Kundenportal „Vanholt Suite“, der Website mit Anfrage- und Bewertungsformularen, dem E-Mail- und Marketing-Modul, dem Prozess- und Signatur-Modul (Objektnachweis, Maklerauftrag, Notarbeauftragung) sowie der Portal-Schnittstelle (OpenImmo-Export). Er verarbeitet dabei personenbezogene Daten im Auftrag des Verantwortlichen.

(2) Die Dauer entspricht der Laufzeit des zugrunde liegenden Franchise- bzw. Dienstleistungsvertrags. § 10 gilt über das Vertragsende hinaus.

(3) Soweit die Vanholt-Zentrale Daten für eigene Zwecke verarbeitet (Marke, Website, Qualitätssicherung, Provisionsabrechnung mit dem Partner, systemweites Matching), ist sie insoweit selbst Verantwortliche; die Abgrenzung ist in Anlage 3 des Franchisevertrags geregelt.

§ 2 Art und Zweck der Verarbeitung, Datenkategorien, Betroffene

Zweck: Anbahnung, Durchführung und Abwicklung von Maklerverträgen (Verkauf, Vermietung), Interessentenmanagement, Dokumentenverwaltung, Kommunikation, Abrechnung, Marketing im Auftrag des Verantwortlichen.

Art der Verarbeitung: Erheben, Speichern, Ordnen, Auslesen, Abfragen, Übermitteln (an Interessenten, Notare, Portale), Verknüpfen (Matching), Einschränken, Löschen.

Datenkategorien:

• Stamm- und Kontaktdaten (Name, Anschrift, E-Mail, Telefon, Geburtsdatum)
• Identifikationsdaten nach GwG (Ausweisdaten, wirtschaftlich Berechtigte)
• Objekt- und Vertragsdaten (Eigentumsverhältnisse, Grundbuch, Kaufpreise, Provisionen)
• Bonitäts- und Einkommensnachweise, Mieter-Selbstauskünfte
• Kommunikationsdaten (E-Mails, Chat, Besichtigungsfeedback, Signaturprotokolle)
• Nutzungs- und Protokolldaten (Logins, IP-Adressen, Zeitstempel)

Betroffene: Eigentümer, Kauf- und Mietinteressenten, Mieter, Tippgeber, Ansprechpartner bei Geschäftskunden, Notaren, Dienstleistern; Mitarbeiter des Verantwortlichen.

§ 3 Weisungsrecht

(1) Der Auftragsverarbeiter verarbeitet Daten ausschließlich im Rahmen der getroffenen Vereinbarungen und nach dokumentierten Weisungen des Verantwortlichen (Art. 28 Abs. 3 lit. a DSGVO). Weisungen erfolgen in Textform, im Regelfall über die Konfiguration des Systems (Prozess-Schalter, Rollen und Rechte) oder per E-Mail an datenschutz@vanholt-immobilien.de.

(2) Hält der Auftragsverarbeiter eine Weisung für rechtswidrig, informiert er den Verantwortlichen unverzüglich und darf die Ausführung bis zur Bestätigung aussetzen.

(3) Eine Verarbeitung in einem Drittland erfolgt nur, wenn die Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind (siehe Anlage 2).

§ 4 Pflichten des Auftragsverarbeiters

• Verpflichtung aller mit der Verarbeitung befassten Personen auf Vertraulichkeit (Art. 28 Abs. 3 lit. b, Art. 29 DSGVO) und regelmäßige Datenschutzschulung
• Umsetzung und Aufrechterhaltung der technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO (Anlage 1)
• Benennung eines Ansprechpartners für Datenschutz: datenschutz@vanholt-immobilien.de
• Führung eines Verzeichnisses der Verarbeitungstätigkeiten nach Art. 30 Abs. 2 DSGVO
• Unterstützung bei Datenschutz-Folgenabschätzungen und Konsultationen der Aufsichtsbehörde (Art. 35, 36 DSGVO)
• Trennung der Daten verschiedener Verantwortlicher (Mandantentrennung nach Standort/Büro im CRM; Zugriff nur nach Rollen- und Rechtekonzept)
• Keine Nutzung der Daten für eigene Zwecke außerhalb § 1 Abs. 3; keine Weitergabe an Dritte ohne Weisung

§ 5 Technische und organisatorische Maßnahmen

Der Auftragsverarbeiter hat die in Anlage 1 beschriebenen Maßnahmen getroffen. Sie unterliegen dem technischen Fortschritt; der Auftragsverarbeiter darf sie weiterentwickeln, sofern das Schutzniveau nicht unterschritten wird. Wesentliche Änderungen werden dokumentiert und dem Verantwortlichen auf Anfrage mitgeteilt.

§ 6 Unterauftragsverarbeiter

(1) Der Verantwortliche genehmigt die in Anlage 2 genannten Unterauftragsverarbeiter (Art. 28 Abs. 2 DSGVO – allgemeine Genehmigung).

(2) Beabsichtigte Änderungen (Hinzuziehung, Ersetzung) teilt der Auftragsverarbeiter mindestens vier Wochen vorher in Textform mit. Der Verantwortliche kann aus wichtigem datenschutzrechtlichem Grund innerhalb von zwei Wochen widersprechen; kommt keine Einigung zustande, steht beiden Seiten ein außerordentliches Kündigungsrecht des betroffenen Leistungsteils zu.

(3) Mit jedem Unterauftragsverarbeiter wird ein Vertrag geschlossen, der ihm dieselben Datenschutzpflichten auferlegt wie diese Vereinbarung. Nebenleistungen (Telekommunikation, Wartung ohne Datenzugriff, Reinigung, Wachdienst) sind keine Unterauftragsverarbeitung.

§ 7 Betroffenenrechte, Unterstützungspflichten

(1) Der Auftragsverarbeiter unterstützt den Verantwortlichen mit geeigneten technischen und organisatorischen Maßnahmen bei der Erfüllung der Betroffenenrechte (Art. 12–22 DSGVO): Auskunfts-Export, Berichtigung, Löschung, Einschränkung und Datenübertragbarkeit sind über das CRM abbildbar.

(2) Wendet sich eine betroffene Person direkt an den Auftragsverarbeiter, leitet dieser das Anliegen unverzüglich an den Verantwortlichen weiter und beantwortet es nicht selbst, sofern nicht die Zentrale insoweit selbst Verantwortliche ist.

§ 8 Datenschutzverletzungen

Der Auftragsverarbeiter meldet dem Verantwortlichen jede Verletzung des Schutzes personenbezogener Daten unverzüglich, spätestens innerhalb von 24 Stunden nach Kenntnis, mit den Angaben nach Art. 33 Abs. 3 DSGVO, damit der Verantwortliche seine Meldepflicht (72 Stunden) gegenüber der Aufsichtsbehörde einhalten kann. Er unterstützt bei der Aufklärung, Eindämmung und Benachrichtigung Betroffener.

§ 9 Kontrollrechte

(1) Der Verantwortliche kann sich vor Beginn und regelmäßig während der Verarbeitung von der Einhaltung der TOM überzeugen. Der Auftragsverarbeiter stellt dazu Nachweise bereit: Beschreibung der TOM, aktuelle Zertifikate/Testate (z. B. ISO 27001 des Hosters), Ergebnisse von Sicherheitsprüfungen, Selbstauskünfte.

(2) Vor-Ort-Kontrollen erfolgen nach Ankündigung mit angemessener Frist während der Geschäftszeiten, ohne Störung des Betriebs und höchstens einmal jährlich, sofern kein konkreter Anlass besteht. Der Auftragsverarbeiter kann für Kontrollen, die über die Bereitstellung von Nachweisen hinausgehen, einen angemessenen Aufwandsersatz verlangen.

§ 10 Löschung und Rückgabe

(1) Nach Beendigung des Vertrags gibt der Auftragsverarbeiter die Daten des Verantwortlichen nach dessen Wahl heraus (Export in gängigem Format: CSV/JSON, Dokumente als PDF/ZIP) und löscht anschließend alle Kopien, sofern keine gesetzliche Aufbewahrungspflicht besteht. Bei Wechsel eines Standorts vom Partner zur Zentrale oder umgekehrt (Standortübergabe) bleibt der Datenbestand im System und geht in die Verantwortung des übernehmenden Betreibers über; die Betroffenen werden informiert.

(2) Daten, die gesetzlichen Aufbewahrungspflichten unterliegen (Rechnungen, Provisionsabrechnungen, GwG-Dokumentation), werden bis zum Ablauf der Fristen gesperrt aufbewahrt und danach gelöscht. Die Löschung wird auf Anfrage protokolliert bestätigt.

§ 11 Haftung, Schlussbestimmungen

(1) Die Haftung richtet sich nach Art. 82 DSGVO; im Innenverhältnis haftet jede Partei für die von ihr zu vertretenden Verstöße. Die Haftungsregelungen des Hauptvertrags gelten ergänzend.

(2) Änderungen und Ergänzungen bedürfen der Textform. Bei Widersprüchen gehen die Regelungen dieser Vereinbarung den Regelungen des Hauptvertrags vor, soweit es um den Datenschutz geht.

(3) Es gilt deutsches Recht. Gerichtsstand ist der Sitz des Auftragsverarbeiters, soweit die Parteien Kaufleute sind.

Anlage 1 – Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

Vertraulichkeit

• Zutrittskontrolle: Betrieb in zertifizierten Rechenzentren des Hosters (Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen (Serverstandort Deutschland)) mit Zutrittsregelung, Videoüberwachung und Besucherprotokoll; kein Serverbetrieb in eigenen Räumen.
• Zugangskontrolle: Persönliche Benutzerkonten, Passwortrichtlinie, Sperrung nach Fehlversuchen (Rate-Limiting), Magic-Link mit Ablaufzeit für Kunden, Session-Timeout, TLS-Verschlüsselung aller Verbindungen.
• Zugriffskontrolle: Rollen- und Rechtekonzept (Franchisegeber / Standortinhaber / Mitarbeiter / Redakteur), Mandantentrennung nach Standort, gesonderte Freischaltungen für Abrechnung und Website-Inhalte, Protokollierung von Zugriffen auf Dokumente.
• Trennungskontrolle: Logische Trennung der Standorte im CRM, getrennte Nummernkreise, Test-/Produktivsysteme getrennt.
• Pseudonymisierung: Übermittlung an KI-Dienste nur ohne Namen, Kontaktdaten und Hausnummern (automatische Platzhalter); kein Website-Tracking; Foto-Metadaten (GPS) werden beim Hochladen entfernt; öffentlich und in Portalen nie Straße/Hausnummer.

Integrität

• Weitergabekontrolle: TLS für Web und E-Mail, verschlüsselte Portal-Schnittstellen (SFTP bzw. FTPS, sofern das Portal TLS anbietet), signierte Download-Links mit Ablauf, kein Versand sensibler Dokumente als unverschlüsselter Mail-Anhang, Datenraum statt Mail.
• Eingabekontrolle: Aktivitätsprotokoll je Kontakt und Objekt (wer hat wann was geändert), Signaturprotokolle mit Zeitstempel/IP, lückenlose Rechnungsnummern mit Storno statt Löschung.

Verfügbarkeit und Belastbarkeit

• Tägliche Backups mit Aufbewahrung von mindestens 30 Tagen, regelmäßige Wiederherstellungstests, georedundante Speicherung beim Hoster
• Firewall, DDoS-Schutz des Hosters, automatische Sicherheitsupdates, Monitoring und Alarmierung
• Notfallkonzept mit definierten Wiederanlaufzeiten

Verfahren zur regelmäßigen Überprüfung

• Datenschutz-Management nach ISO-9001-orientiertem Prozesssystem, jährliche Überprüfung der TOM, Schulung der Mitarbeiter, Incident-Response-Prozess, Auftragskontrolle durch schriftliche Weisungen und Verträge mit Unterauftragsverarbeitern

Anlage 2 – Genehmigte Unterauftragsverarbeiter

Unternehmen	Leistung	Ort der Verarbeitung / Garantie
Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen (Serverstandort Deutschland)	Hosting von Website, CRM, Suite, Datenbank und Dokumentenspeicher; Backups	Deutschland / EU
IONOS SE, Elgendorfer Str. 57, 56410 Montabaur	E-Mail-Postfächer und -Versand (@vanholt-immobilien.de)	Deutschland
Anthropic PBC, 548 Market St, San Francisco, CA 94104, USA	KI-Funktionen: Marktdatenrecherche für Bewertungen, Exposé- und Antwortentwürfe, Einschätzung von Anfragen — nur pseudonymisiert (Namen, Kontaktdaten, Straße/Hausnr. werden vorher durch Platzhalter ersetzt)	USA – EU-US Data Privacy Framework, ergänzend Standardvertragsklauseln
Immobilienportale (Immobilien Scout GmbH, Berlin – ImmoScout24; Immowelt GmbH, Nürnberg; Kleinanzeigen GmbH, Berlin; Impleco GmbH – Wohnglück; Immoportal) – je nach Vertrag des Verantwortlichen	Veröffentlichung von Objektdaten (ohne Kontaktdaten der Eigentümer, ohne Straße/Hausnummer); Übermittlung von Interessenten-Anfragen	Deutschland
Meta Platforms Ireland Ltd. (WhatsApp Business)	Kundenkommunikation, nur bei Nutzung durch den Verantwortlichen	Irland / USA – DPF

Stand der Anlage: 29. September 2026. Die aktuelle Liste ist jederzeit unter vanholt-immobilien.de/avv abrufbar.

Hinweis: Dieser Text ist ein von Vanholt vorbereiteter Entwurf und wird vor Verwendung als Vertragsbestandteil anwaltlich geprüft. Für Franchise-Partner wird die AVV im Onboarding gesondert in Textform geschlossen.