Gemäß Art. 28 DSGVO
zwischen dem Kunden gemäß Kundenkonto (nachfolgend „Verantwortlicher“) und LeadFlow FP UG (haftungsbeschränkt), vertreten durch Fabian Müller und Paul Schäfer (nachfolgend „Auftragsverarbeiter“ oder „LeadFlow“) — gemeinsam die „Parteien“.
Entwurfsstand: September 2026 — finalisiert nach Abstimmung mit der Datenschutzbeauftragten. Technische Detailangaben wurden bewusst in Anlage 2 (TOM) ausgelagert, um den Vertragstext bei technischen Änderungen nicht bei jedem Kunden einzeln anpassen zu müssen.
1.1 Gegenstand dieses Vertrags ist die Verarbeitung personenbezogener Daten durch den Auftragsverarbeiter im Auftrag des Verantwortlichen im Rahmen der Nutzung der LeadFlow-Plattform (Hauptvertrag/AGB).
1.2 Die Dauer dieses Vertrags entspricht der Laufzeit des Hauptvertrags. Er endet automatisch mit dessen Beendigung, vorbehaltlich der Nachwirkungen aus Ziffer 9 (Löschung/Rückgabe).
2.1 Zweck: Erfassung, Qualifizierung, Verwaltung und Beantwortung von Immobilien-Interessentenanfragen sowie Verwaltung von Objekt-, Termin-, Warteliste- und Bestandskundendaten im Auftrag des Verantwortlichen.
2.2 Art der Verarbeitung: Erheben, Speichern, Organisieren, Verändern, Auslesen, Verwenden, Übermitteln (an in Ziffer 5 genannte Unterauftragsverarbeiter zur Leistungserbringung) sowie Löschen.
2.3 Kategorien betroffener Personen: Immobilien-Interessenten und Leads, Bestandskunden des Verantwortlichen, Wartelisten-Einträge.
2.4 Kategorien personenbezogener Daten: Name, E-Mail-Adresse, Telefonnummer, Objekt-/Suchpräferenzen (Budget, Zimmerzahl, Stadt, Objekttyp), Kommunikationsverlauf (E-Mail-Texte, Termine, Statushistorie), sowie ggf. vom Verantwortlichen freiwillig hinterlegte Notizen zu Bestandskunden.
2.5 Abgrenzung — Nutzungs- und Betriebsdaten: Nicht Gegenstand dieses Vertrags sind Nutzungs- und Betriebsdaten über die Nutzung der Plattform durch die Nutzer des Verantwortlichen (aufgerufene Bereiche und technische Fehler — nur mit Einwilligung des jeweiligen Nutzers —, Umfang und Kosten der KI-Funktionen). Diese verarbeitet der Auftragsverarbeiter als eigener Verantwortlicher ausschließlich zum Betrieb, zur Fehlerbehebung, zur Verbesserung der Plattform und zur Abrechnung bzw. Kostenkontrolle; Einzelheiten regelt die Datenschutzerklärung. Inhalte der im Auftrag verarbeiteten Daten (Anfragen, Leads, Bestandskunden, E-Mail-Texte) fließen in diese Protokolle nicht ein und werden zu keinem anderen als dem in Ziffer 2.1 genannten Zweck verwendet; Ziffer 2.6 bleibt unberührt. Die Protokolle werden nach 90 Tagen (Nutzungsereignisse) bzw. 12 Monaten (KI-Verbrauch) automatisch gelöscht.
2.6 Qualitätskennzahlen der Antwortentwürfe: Hat der Nutzer in der Plattform in das Nutzungsprotokoll eingewilligt (Einstellungen → Nutzungsprotokoll), weist der Verantwortliche den Auftragsverarbeiter an, aus der Nutzung der Entwurfsfunktion folgende Kennzahlen ohne Inhalte zu bilden: Zeitpunkt der Erstellung und des Versands, Änderungsgrad des gesendeten gegenüber dem vorgeschlagenen Entwurf in Prozent, ob eine Antwort des Interessenten bzw. eine Besichtigung erfasst wurde, verwendetes KI-Modell und Kennung der Textvorlage. Der Auftragsverarbeiter darf diese Kennzahlen ausschließlich zusammengefasst zur Qualitätssicherung und Verbesserung der Entwurfsfunktion verwenden. Texte und Kontaktdaten der Interessenten werden dafür nicht gespeichert; ein Training von KI-Modellen mit Auftragsdaten findet nicht statt. Die Kennzahlen werden beim Widerruf der Einwilligung sofort, im Übrigen spätestens nach 12 Monaten gelöscht.
3.1 Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen, einschließlich in Bezug auf Übermittlungen an ein Drittland, es sei denn, er ist nach dem Recht der Union oder der Mitgliedstaaten, dem der Auftragsverarbeiter unterliegt, hierzu verpflichtet.
3.2 Die Nutzung der Plattform gemäß ihrer bestimmungsgemäßen Funktionen (wie in der Leistungsbeschreibung des Hauptvertrags dargestellt) gilt als generelle Weisung des Verantwortlichen.
4.1 Der Auftragsverarbeiter gewährleistet, dass die zur Verarbeitung befugten Personen zur Vertraulichkeit verpflichtet wurden.
4.2 Der Auftragsverarbeiter trifft alle nach Art. 32 DSGVO erforderlichen technischen und organisatorischen Maßnahmen (TOM). Die vollständige, aktuell gültige Übersicht der TOM ist als Anlage 2 beigefügt und wird bei technischen Änderungen dort fortlaufend aktualisiert, ohne dass dieser Vertragstext selbst geändert werden muss.
4.3 Der Auftragsverarbeiter unterstützt den Verantwortlichen im Rahmen des Möglichen mit geeigneten technischen und organisatorischen Maßnahmen bei der Erfüllung von dessen Pflicht zur Beantwortung von Anträgen betroffener Personen (Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit).
4.4 Der Auftragsverarbeiter meldet dem Verantwortlichen eine Verletzung des Schutzes personenbezogener Daten unverzüglich, spätestens innerhalb von 48 Stunden nach Kenntniserlangung.
4.5 Der Auftragsverarbeiter stellt dem Verantwortlichen alle erforderlichen Informationen zum Nachweis der Einhaltung der in Art. 28 DSGVO niedergelegten Pflichten zur Verfügung und ermöglicht Überprüfungen – einschließlich Inspektionen – durch den Verantwortlichen oder einen von ihm beauftragten Prüfer.
5.1 Der Verantwortliche erteilt hiermit eine allgemeine Genehmigung zur Beauftragung folgender Unterauftragsverarbeiter:
| Unterauftragsverarbeiter | Zweck |
|---|---|
| Sendinblue SAS (Brevo) (Paris/EU) | Versand von System-E-Mails an den Verantwortlichen (z. B. Bestätigungscodes, Terminbestätigungen), interne Betriebsbenachrichtigungen sowie – falls der Verantwortliche diese Funktion nutzt – Empfang und Aufbereitung von Anfragen an seine LeadFlow-Adresse und Versand der von ihm freigegebenen Antworten an die Anfragenden über diese Adresse |
| OpenAI (USA) | Lead-Qualifizierung/Scoring, Antwortentwurf-Erstellung, Transkription von Sprachnachrichten, Feld-Extraktion, Auslesen von Terminwünschen aus Antworten von Interessenten |
| Anthropic PBC (USA) | Unterlagen-Anforderungen per E-Mail, Exposé-Datenextraktion, Dokumenten-Checklisten-Vorschläge |
| Contabo GmbH (Straßburg/EU) | Hosting der Anwendungsserver sowie Speicherung verschlüsselter Datenbank-Backups |
| Google LLC (Firebase Cloud Messaging), Apple Inc. (APNs), Mozilla Foundation (USA) | Zustellung von Web-Push-Benachrichtigungen — nur aktiv, wenn vom Verantwortlichen aktiviert. Details zur Ende-zu-Ende-Verschlüsselung des Benachrichtigungsinhalts siehe Anlage 2 |
E-Mails an Leads versendet LeadFlow über das vom Verantwortlichen angebundene eigene Postfach; dafür wird kein weiterer Unterauftragsverarbeiter eingesetzt.
Mit jedem genannten Unterauftragsverarbeiter bestehen separate Auftragsverarbeitungsvereinbarungen, die diesem die gleichen Datenschutzpflichten auferlegen wie der vorliegende Vertrag.
5.2 Der Auftragsverarbeiter informiert den Verantwortlichen über die Hinzuziehung oder Ersetzung weiterer Unterauftragsverarbeiter. Der Verantwortliche kann der Änderung innerhalb von 30 Tagen nach Information aus wichtigem Grund widersprechen.
5.3 Der Auftragsverarbeiter schließt mit jedem Unterauftragsverarbeiter eine Vereinbarung, die diesem die gleichen Datenschutzpflichten auferlegt, wie sie in diesem Vertrag festgelegt sind.
Der Verantwortliche hat das Recht, sich vor Beginn der Verarbeitung und danach regelmäßig von der Einhaltung der in diesem Vertrag getroffenen Maßnahmen zu überzeugen, z.B. durch Einholung von Auskünften oder Einsichtnahme in vorhandene Nachweise (z.B. Zertifizierungen).
Der Auftragsverarbeiter unterstützt den Verantwortlichen bei der Erfüllung von dessen Pflichten gemäß Art. 33 und 34 DSGVO (Meldung an Aufsichtsbehörde bzw. Benachrichtigung betroffener Personen) unter Berücksichtigung der Art der Verarbeitung und der dem Auftragsverarbeiter zur Verfügung stehenden Informationen.
Weisungen können durch den im Kundenkonto hinterlegten Ansprechpartner des Verantwortlichen in Textform (E-Mail genügt) erteilt werden. Der Auftragsverarbeiter benennt als Ansprechpartner: kontakt@leadflow-immobilien.de
9.1 Nach Beendigung der Erbringung der Verarbeitungsleistungen löscht der Auftragsverarbeiter sämtliche personenbezogenen Daten, die im Auftrag des Verantwortlichen verarbeitet wurden, sofern nicht eine gesetzliche Pflicht zur weiteren Speicherung besteht.
9.2 Auf Anfrage des Verantwortlichen stellt der Auftragsverarbeiter die Daten vor Löschung in einem gängigen, maschinenlesbaren Format zur Verfügung (Export-Funktion).
9.3 Bereits bestehende Backups werden nach Ablauf der regulären Aufbewahrungsfrist (siehe TOM, Anlage 2) automatisiert gelöscht.
Für die Haftung gelten die gesetzlichen Bestimmungen, insbesondere Art. 82 DSGVO. Die Haftungsbeschränkungen aus § 7 der AGB finden auf Ansprüche aus diesem Vertrag nur insoweit Anwendung, als zwingendes Datenschutzrecht dem nicht entgegensteht.
11.1 Es gilt das Recht der Bundesrepublik Deutschland. 11.2 Sollten einzelne Bestimmungen dieses Vertrags unwirksam sein, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt. 11.3 Im Widerspruchsfall gehen die Regelungen dieses AVV den Regelungen des Hauptvertrags in Bezug auf die Verarbeitung personenbezogener Daten vor.
Anlage 1: Liste der Unterauftragsverarbeiter (siehe Ziffer 5) — Anlage 2: Technische und organisatorische Maßnahmen (TOM), siehe unten.
Stand: Oktober 2026