Vereinbarung zur Auftragsverarbeitung

nach Art. 28 DSGVO zwischen dem Kunden (Verantwortlicher, „Auftraggeber“) und der PropHunt Development UG (haftungsbeschränkt), Unter den Linden 24, 10117 Berlin („Auftragnehmer“). Diese Vereinbarung ist Bestandteil der AGB und gilt mit deren Annahme.

1. Gegenstand und Dauer

Der Auftragnehmer verarbeitet personenbezogene Daten im Auftrag des Auftraggebers, um ihm die Software PropHunter bereitzustellen. Die Vereinbarung gilt für die Dauer des Nutzungsvertrags.

2. Art, Zweck, Daten, Betroffene

• Zweck: Ausführung der Suchaufträge des Auftraggebers (Abruf, Zwischenspeicherung und Anzeige öffentlich zugänglicher Inserate als Suchergebnis), Bereitstellung, Betrieb und Support von PropHunter (Kontaktverwaltung, Wiedervorlagen, Team-Funktionen, Export und Übertragung an Systeme des Auftraggebers).
• Datenarten: Inseratsdaten in den Suchergebnissen (Objektdaten, Ort, Inseratstext, ggf. Name und Telefonnummer des Inserenten), vom Auftraggeber angelegte oder bearbeitete Kontaktdaten und Notizen zu Eigentümern, Status und Verlauf der Kontaktaufnahme, Nutzerdaten der Mitarbeiter des Auftraggebers (Name, E-Mail, Telefon, Rolle, Aktivitäten), Zugangsdaten für CRM-Anbindungen.
• Betroffene: Mitarbeiter des Auftraggebers, Eigentümer und Inserenten, mit denen der Auftraggeber Kontakt aufnimmt.

Der Auftraggeber legt mit seinen Suchaufträgen fest, welche Inserate abgerufen und angezeigt werden. Treffer, die für mehrere Auftraggeber dieselben sind, werden technisch nur einmal abgerufen und gespeichert. Widersprüche von Inserenten setzt der Auftragnehmer für alle Auftraggeber um (Sperrliste).

3. Weisungen

Der Auftragnehmer verarbeitet die Daten nur auf dokumentierte Weisung des Auftraggebers. Die Weisungen ergeben sich aus dem Vertrag und der Nutzung der Funktionen von PropHunter; weitere Weisungen erteilt der Auftraggeber in Textform. Hält der Auftragnehmer eine Weisung für rechtswidrig, informiert er den Auftraggeber unverzüglich.

4. Pflichten des Auftragnehmers

• Verpflichtung aller mit der Verarbeitung befassten Personen auf Vertraulichkeit
• technische und organisatorische Maßnahmen nach Art. 32 DSGVO (Anlage)
• Unterstützung des Auftraggebers bei Anfragen Betroffener sowie bei den Pflichten nach Art. 32 bis 36 DSGVO
• Meldung von Verletzungen des Schutzes personenbezogener Daten unverzüglich, möglichst innerhalb von 24 Stunden nach Kenntnis
• Nachweis der Einhaltung dieser Pflichten und Ermöglichung von Überprüfungen nach angemessener Vorankündigung

5. Unterauftragsverarbeiter

Der Auftraggeber genehmigt den Einsatz folgender Unterauftragsverarbeiter: Netlify, Inc. (Hosting, USA), Supabase, Inc. (Datenbank, Frankfurt am Main), Apify Technologies s.r.o. (Abruf der Suchergebnisse, Tschechien), Stripe Payments Europe Ltd. (Zahlung, Irland), Resend / Plus Five Five, Inc. (E-Mail, USA), Anthropic, PBC (Textvorschläge, USA). Über beabsichtigte Änderungen informiert der Auftragnehmer mindestens 30 Tage vorher in Textform; der Auftraggeber kann aus wichtigem datenschutzrechtlichem Grund widersprechen und den Vertrag in diesem Fall kündigen. Für Drittlandübermittlungen bestehen geeignete Garantien (EU-U.S. Data Privacy Framework bzw. Standardvertragsklauseln).

6. Löschung und Rückgabe

Nach Vertragsende kann der Auftraggeber seine Daten 30 Tage lang exportieren. Danach löscht der Auftragnehmer sie, soweit keine gesetzliche Pflicht zur Aufbewahrung besteht.

7. Haftung

Für die Haftung gelten Art. 82 DSGVO und ergänzend die Haftungsregelungen der AGB.

Anlage: Technische und organisatorische Maßnahmen

• Vertraulichkeit: Rechenzentren der Unterauftragsverarbeiter mit Zutrittskontrolle; Zugang zur App nur mit persönlichem Konto, Passwörter als scrypt-Hash; Sperre nach wiederholten Fehlversuchen; Rollen (Inhaber, Admin, Makler); Datenbankzugriff ausschließlich serverseitig mit geheimem Schlüssel, öffentliche Schnittstellen gesperrt; strikte Trennung der Daten je Kunde.
• Integrität: Verschlüsselte Übertragung (TLS, HSTS); Protokollierung von Statusänderungen und Lead-Zuordnungen im Verlauf.
• Verfügbarkeit: Hosting bei etablierten Cloud-Anbietern; tägliche Datensicherung der Datenbank durch Supabase; Export der Kontakte durch den Auftraggeber jederzeit möglich.
• Überprüfung: Regelmäßige Prüfung der Maßnahmen und der eingesetzten Dienstleister.

Stand: 06.10.2026