Datenschutz gem. Art. 28 DSGVO

Vertrag zur Auftragsverarbeitung (AVV)

Standardisierte Vereinbarung über die Verarbeitung personenbezogener Daten im Auftrag für Vermittler.

Präambel, Gegenstand & Anwendungsbereich

Dieser Vertrag konkretisiert die datenschutzrechtlichen Verpflichtungen der Parteien gemäß Art. 28 DSGVO und dem spanischen Datenschutzgesetz (LOPDGDD). Auftraggeber ist der Kunde bzw. Vermittler als „Verantwortlicher“, Auftragnehmer ist die Intuitive Trust SL (Spanien) als „Auftragsverarbeiter“.

Wichtige Bereichsabgrenzung (Geltungsbereich):

Diese Vereinbarung findet ausschließlich Anwendung auf die Verarbeitung personenbezogener Daten von Endkunden, die über eingebundene Software-Widgets und Rechner (z. B. BaufiVox) auf den Websites des Vermittlers erfasst und weisungsgebunden verarbeitet werden.

Sie findet ausdrücklich keine Anwendung auf das Berater-Register auf servicehypo.de: Hinsichtlich der Speicherung und Veröffentlichung der geschäftlichen Vermittler-Stammdaten agieren der Vermittler und die Intuitive Trust SL als jeweils eigenständige datenschutzrechtliche Verantwortliche im Sinne des Art. 4 Nr. 7 DSGVO.

§ 1 Datenkategorien & Betroffene (im Rahmen der Softwarenutzung)

Betroffene Personen: Interessenten und Endkunden der Webseiten des Vermittlers.
Kontaktdaten: Name, E-Mail-Adresse, Telefonnummer, Postleitzahl/Region.
Finanzierungsdaten: Kaufpreis, Objektart, Eigenkapital, Finanzierungsbedarf, Tilgungswunsch.
Audiodaten (nur bei BaufiVox Sprachdialogen): Temporäre Audiofragmente zur Echtzeit-Transkription (keine Speicherung der Rohdaten).
Metadaten: Gekürzte IP-Adresse, User-Agent, Zeitstempel.

§ 2 Pflichten des Auftragsverarbeiters

(1) Daten werden ausschließlich auf dokumentierte Weisung des Verantwortlichen verarbeitet.

(2) Verbot von KI-Modelltraining: Der Auftragsverarbeiter sichert zu, dass die im Auftrag verarbeiteten Daten nicht zum Training öffentlich zugänglicher KI-Basismodelle oder für eigene kommerzielle Profilbildungen genutzt werden.

(3) Alle mit der Datenverarbeitung betrauten Personen sind schriftlich zur Vertraulichkeit verpflichtet worden.

§ 3 Genehmigte Unterauftragsverarbeiter

Dienstleister	Zweck	Standort
STRATO AG	Hosting, API-Betrieb & verschlüsselte Datenbanken	Deutschland (EU)
OpenAI Ireland Ltd.	Sprachverarbeitung & Transkription (API Zero-Data-Retention)	Irland (EU)
Stripe Payments Europe Ltd.	Zahlungsabwicklung für SaaS-Lizenzen	Irland (EU)

§ 4 Betroffenenrechte, Löschung & Beendigung

Der Auftragsverarbeiter unterstützt den Verantwortlichen bei Auskunfts-, Berichtigungs- und Löschanfragen betroffener Endkunden. Nach Beendigung des Hauptvertrages werden sämtliche im Auftrag verarbeitete Daten aus den aktiven Systemen unwiderruflich gelöscht, sofern keine gesetzlichen Aufbewahrungspflichten entgegenstehen.

Anlage 1: Technische und organisatorische Maßnahmen (TOMs)

Zutritts- & Zugangskontrolle: ISO-27001 zertifizierte Hochsicherheits-Rechenzentren der STRATO AG in Deutschland.
Übertragungssicherheit: End-to-End-Verschlüsselung sämtlicher Datenströme via TLS 1.3 / HTTPS.
Trennungskontrolle: Strikte logische Mandantentrennung auf Datenbankebene (client_id).
Passwortsicherheit: Kryptografisches Hashing von Zugangsdaten mittels Bcrypt und Salt.