Auftragsverarbeitungsvertrag

1. Gegenstand der Vereinbarung

Gegenstand dieses Auftrages ist die Durchführung folgender Aufgaben: Automatisierte Verarbeitung von eingehenden Immobilien-Leads via E-Mail — einschließlich Parsing, KI-gestützter Analyse, automatischer Beantwortung, Qualifizierung und Erfassung im CRM-System des Auftraggebers. Diese Vereinbarung ist als Ergänzung zum individuell vereinbarten Dienstleistungsvertrag zu verstehen.

Verarbeitete Datenkategorien

Datenkategorie	Beispiele
Kontaktdaten	Name, E-Mail-Adresse, Telefonnummer von Interessenten
Anfrageinhalte	Objektinteresse, Budget, Zeitraum, Nachrichten der Interessenten
Kommunikationsverlauf	Eingehende und ausgehende E-Mails im Rahmen der Lead-Bearbeitung
CRM-Daten	Lead-Status, Qualifizierungsergebnis, Terminbuchungen

Betroffene Personen

Immobilieninteressenten (potenzielle Käufer, Mieter) die über ImmoScout24, Willhaben, die eigene Website oder andere Kanäle des Auftraggebers Anfragen stellen.

2. Dauer der Vereinbarung

Die Vereinbarung ist auf unbestimmte Zeit geschlossen und kann von beiden Parteien mit einer Frist von 30 Tagen zum Monatsende gekündigt werden. Die Möglichkeit zur außerordentlichen Kündigung aus wichtigem Grund bleibt unberührt. Die Vereinbarung endet automatisch mit dem Ende des Hauptvertrages.

3. Pflichten des Auftragnehmers (Curevo)

Der Auftragnehmer verpflichtet sich:

• Daten ausschließlich im Rahmen der schriftlichen Aufträge des Auftraggebers zu verarbeiten.
• Alle mit der Datenverarbeitung beauftragten Personen zur Vertraulichkeit zu verpflichten — auch nach Beendigung ihrer Tätigkeit.
• Alle erforderlichen technischen und organisatorischen Maßnahmen zur Gewährleistung der Datensicherheit gemäß Art. 32 DSGVO zu ergreifen (siehe Anlage).
• Den Auftraggeber bei der Erfüllung der Betroffenenrechte (Auskunft, Berichtigung, Löschung, Datenübertragbarkeit) zu unterstützen.
• Den Auftraggeber unverzüglich zu informieren falls eine Weisung gegen Datenschutzbestimmungen verstößt.
• Nach Beendigung der Vereinbarung alle Daten zu löschen oder dem Auftraggeber als CSV-Export zu übergeben — innerhalb von 30 Tagen.
• Ein Verarbeitungsverzeichnis nach Art. 30 DSGVO zu führen.

4. Ort der Datenverarbeitung

Die primäre Datenverarbeitung erfolgt auf Hetzner-Servern in Deutschland (EU). Für die KI-gestützte Variablen-Extraktion wird OpenAI (USA) eingesetzt — OpenAI ist aktiver Teilnehmer des EU-US Data Privacy Frameworks. Das CRM (Airtable) wird auf US-Servern betrieben — Airtable ist ebenfalls Teilnehmer des EU-US Data Privacy Frameworks.

5. Sub-Auftragsverarbeiter

Der Auftragnehmer ist befugt, folgende Sub-Auftragsverarbeiter heranzuziehen:

Anbieter	Sitz	Tätigkeit
Hetzner Online GmbH	Deutschland (EU)	Server-Hosting, Workflow-Engine
OpenAI, Inc.	USA (EU-US DPF)	KI-gestützte Variablen-Extraktion
Airtable, Inc.	USA (EU-US DPF)	CRM / Lead-Management
Formspree, Inc.	USA	Kontaktformular-Verarbeitung (Website)

Beabsichtigte Änderungen der Sub-Auftragsverarbeiter werden dem Auftraggeber rechtzeitig schriftlich bekannt gegeben. Der Auftragnehmer stellt sicher dass Sub-Auftragsverarbeiter dieselben Datenschutzverpflichtungen eingehen.

6. Rechte des Auftraggebers

Dem Auftraggeber wird das Recht jederzeitiger Einsichtnahme und Kontrolle der Datenverarbeitungseinrichtungen eingeräumt. Der Auftragnehmer stellt alle notwendigen Informationen zur Verfügung um die Einhaltung dieser Vereinbarung zu kontrollieren.

7. Datenlöschung bei Vertragsende

Nach Beendigung dieser Vereinbarung werden alle Kundendaten und Verarbeitungsergebnisse innerhalb von 30 Tagen unwiderruflich gelöscht. Der Auftraggeber erhält auf Wunsch vorab einen vollständigen CSV-Export aller Lead-Daten aus dem CRM.

8. Anwendbares Recht

Es gilt österreichisches Recht. Gerichtsstand ist Salzburg, Österreich.

Anlage — Technisch-organisatorische Maßnahmen (TOM)

gemäß Art. 32 DSGVO

A. Vertraulichkeit

B. Datenintegrität

C. Verfügbarkeit und Belastbarkeit

D. Regelmäßige Überprüfung

Unterzeichnung

Diese Vereinbarung wird beim Onboarding von beiden Parteien unterzeichnet.