Auftragsverarbeitungsvertrag

Bei Abweichungen zwischen dieser Übersetzung und der englischen Fassung hat die englische Fassung Vorrang.

Dieser Auftragsverarbeitungsvertrag („AVV“) wird zwischen Propelos Technology S.L., einer spanischen Gesellschaft mit beschränkter Haftung mit Sitz in The Pool Marbella, El Corte Inglés El Capricho, 1 planta Avda. Bulevar Príncipe Alfonso de Hohenlohe 2, Marbella, 29602, Spanien („Propelos“, „wir“), und dem Unternehmen geschlossen, das unsere Allgemeinen Geschäftsbedingungen angenommen oder mit Propelos einen Vertrag über die Dienste unterzeichnet hat (der „Kunde“).

Er gilt immer dann, wenn Propelos bei der Bereitstellung der KI-Immobiliensuche und der damit verbundenen Leistungen (die „Dienste“) personenbezogene Daten im Auftrag des Kunden verarbeitet: die Chat- und Such-Widgets auf der Website des Kunden, die gehostete Suchseite sowie die Erfassung von Anfragen und deren Zustellung an den Kunden. Er ist Bestandteil der Allgemeinen Geschäftsbedingungen und legt die nach Artikel 28 DSGVO und Artikel 33 LOPDGDD erforderlichen Bedingungen fest. Hat der Kunde einen gesonderten Auftragsverarbeitungsvertrag mit Propelos unterzeichnet, hat dieser Vorrang.

„DSGVO“ bezeichnet die Verordnung (EU) 2016/679. „LOPDGDD“ bezeichnet das spanische Organgesetz 3/2018 vom 5. Dezember zum Schutz personenbezogener Daten und zur Gewährleistung digitaler Rechte. „Verantwortlicher“, „Auftragsverarbeiter“, „personenbezogene Daten“, „Verarbeitung“, „betroffene Person“ und „Verletzung des Schutzes personenbezogener Daten“ haben die in der DSGVO festgelegte Bedeutung. Ein „Käufer“ ist eine Person, die die Immobiliensuche auf der Website des Kunden oder auf dessen gehosteter Suchseite nutzt.

Für die in diesem AVV beschriebenen personenbezogenen Daten ist der Kunde der Verantwortliche und Propelos der Auftragsverarbeiter. Propelos ist nur für die Kontodaten des Kunden, etwa die Anmeldedaten seiner Mitarbeiter und Abrechnungsinformationen, eigenständig Verantwortlicher; diese werden von unserer Datenschutzerklärung erfasst.

Gegenstand ist die Verarbeitung personenbezogener Daten der Käufer, damit Propelos dem Kunden die Dienste bereitstellen kann. Die Verarbeitung dauert so lange, wie der Kunde die Dienste nutzt, zuzüglich des in Abschnitt 15 beschriebenen Zeitraums nach Beendigung der Dienste, bis die Daten gelöscht werden.

Propelos verarbeitet die personenbezogenen Daten ausschließlich, um:

• mithilfe von KI-Modellen zu verstehen, wonach Käufer suchen, und ihnen mit Objekten aus dem Portfolio des Kunden zu antworten;
• die Spracheingabe eines Käufers zu transkribieren, wenn der Kunde die Sprachsuche aktiviert hat;
• Anfragen über das Anfrageformular der Immobiliensuche zusammen mit etwaigen Einwilligungen des Käufers zu erfassen;
• Anfragen per E-Mail und, sofern vom Kunden eingerichtet, an dessen CRM, Webhooks oder API zu übermitteln;
• Anfragen und Gespräche für den Kunden aufzubewahren und Nutzungsstatistiken für ihn zu erstellen;
• die Dienste sicher zu halten, Missbrauch zu verhindern und Fehler zu beheben.

Betroffene Personen: Käufer (Kauf- und Mietinteressenten, die die Immobiliensuche nutzen), Personen, die darüber eine Anfrage senden, sowie Mitarbeiter des Kunden, deren Daten der Kunde in die Dienste eingibt (zum Beispiel der Makler, der Anfragen erhält).

Personenbezogene Daten:

• Identitäts- und Kontaktdaten: Name, E-Mail-Adresse und Telefonnummer;
• Nachrichten: was Käufer der Immobiliensuche schreiben oder sagen sowie die einer Anfrage beigefügte Gesprächszusammenfassung;
• Suchverhalten: Suchanfragen, angesehene und angeklickte Immobilien, Budget, bevorzugte Gebiete und andere Präferenzen;
• Einwilligungsnachweise: ob der Käufer dem Marketing und der Datenschutzerklärung des Kunden zugestimmt hat sowie die Adresse der angezeigten Erklärung;
• technische Daten: eine Sitzungskennung, das aus der IP-Adresse abgeleitete Land, Geräte- und Browsertyp, die verweisende Seite, die Einstiegsseite und Kampagnenparameter.

Die Dienste sind nicht für die Erhebung besonderer Kategorien personenbezogener Daten ausgelegt. Ein Käufer kann solche Daten dennoch freiwillig in einer Nachricht angeben; Propelos verarbeitet sie dann nur als Bestandteil dieser Nachricht.

• Der Kunde ist dafür verantwortlich, eine Rechtsgrundlage für die Verarbeitung zu haben und Käufer darüber zu informieren, insbesondere in seiner eigenen Datenschutzerklärung. Die Immobiliensuche kann auf die Datenschutzerklärung des Kunden verlinken und in ihrem Anfrageformular eine Einwilligung abfragen; die Einrichtung liegt in der Verantwortung des Kunden.
• Die Weisungen des Kunden müssen dem Datenschutzrecht entsprechen.
• Der Kunde ist für die Systeme verantwortlich, an die Propelos auf seine Anweisung hin Anfragen übermittelt, etwa sein CRM, E-Mail-Adressen und Webhook-Endpunkte.

Propelos verarbeitet die personenbezogenen Daten ausschließlich auf dokumentierte Weisung des Kunden. Die Allgemeinen Geschäftsbedingungen, dieser AVV und die Einstellungen des Kunden in den Diensten bilden diese Weisungen. Ist Propelos nach Unionsrecht oder dem Recht eines Mitgliedstaats zu einer anderen Verarbeitung verpflichtet, informiert Propelos den Kunden vorab, sofern das betreffende Recht dies nicht untersagt. Propelos informiert den Kunden, wenn eine Weisung nach seiner Auffassung gegen Datenschutzrecht verstößt.

Propelos stellt sicher, dass alle zur Verarbeitung personenbezogener Daten befugten Personen vertraglich oder gesetzlich zur Vertraulichkeit verpflichtet sind und nur auf die für ihre Arbeit erforderlichen Daten zugreifen können.

Propelos setzt angemessene technische und organisatorische Maßnahmen nach Artikel 32 DSGVO um, darunter:

• Verschlüsselung bei der Übertragung: Die Dienste werden über HTTPS bereitgestellt, und Verbindungen zu unserer Datenbank sind mit TLS verschlüsselt;
• CRM-Zugangsdaten und geheime Schlüssel zur Webhook-Signierung werden im Ruhezustand mit AES-256-GCM verschlüsselt; der Schlüssel wird getrennt von der Datenbank aufbewahrt;
• Passwörter werden ausschließlich als bcrypt-Hashes und Anmeldesitzungen ausschließlich als Hashes des Sitzungstokens gespeichert; Sitzungen verfallen nach 24 Stunden;
• Zugriffskontrolle: Die Nutzer eines Kunden können nur auf dessen Daten zugreifen, da das Konto auf unserem Server aus der Anmeldesitzung und niemals aus der Anfrage ermittelt wird; administrativer Zugriff ist auf autorisierte Mitarbeiter von Propelos beschränkt;
• die Zugriffstoken des Widgets sind signiert, an die Website-Adresse des Kunden gebunden und verfallen nach 24 Stunden;
• Begrenzung von Anfragen an öffentlichen Endpunkten und bei der Anmeldung;
• Fehlerberichte werden gefiltert, um Kontaktdaten und Nachrichteninhalte zu entfernen, bevor sie unsere Server verlassen.

Propelos kann diese Maßnahmen aktualisieren, solange das Gesamtsicherheitsniveau nicht sinkt.

Der Kunde erteilt Propelos die allgemeine Genehmigung zum Einsatz von Unterauftragsverarbeitern. Propelos setzt für die Dienste folgende Unterauftragsverarbeiter ein:

• Replit (Vereinigte Staaten): hostet die Anwendung auf Google Cloud und leitet unsere Anfragen an OpenAI und OpenRouter weiter
• Neon (Vereinigte Staaten): betreibt unsere Datenbank, bereitgestellt über Replit auf Amazon Web Services (us-east-1)
• OpenAI (Vereinigte Staaten): KI-Modelle, die Suchanfragen verstehen, Antworten und Anfragezusammenfassungen verfassen, Spracheingaben transkribieren und von Käufern genannte Orte nachschlagen; auch für Berichte zur KI-Sichtbarkeit eingesetzt
• OpenRouter (Vereinigte Staaten): leitet einige KI-Anfragen an die Gemini-Modelle von Google und an das Jev-Modell von TypeSafe AI weiter
• Google (Vereinigte Staaten): Gemini-KI-Modelle, auf die über OpenRouter (und für Berichte zur KI-Sichtbarkeit direkt) zugegriffen wird, sowie Google Maps Platform, die nur den Namen eines vom Käufer genannten Ortes erhält
• TypeSafe AI (Vereinigte Staaten): das über OpenRouter erreichbare KI-Modell Jev, das Suchergebnisse ordnet und klassifiziert
• Resend (Vereinigte Staaten): versendet unsere E-Mails, einschließlich Konto-E-Mails und Benachrichtigungen über Anfragen an Immobilienbüros
• Sentry (Deutschland, EU): Fehlerüberwachung; Kontaktdaten und Nachrichteninhalte werden vor dem Versand eines Fehlerberichts herausgefiltert

Propelos informiert den Kunden mindestens 30 Tage vor der Hinzunahme oder dem Austausch eines Unterauftragsverarbeiters per E-Mail. Der Kunde kann innerhalb dieser Frist aus berechtigten Datenschutzgründen widersprechen; können wir den Widerspruch nicht ausräumen, kann der Kunde sein Abonnement vor Inkrafttreten der Änderung kündigen. Propelos verpflichtet jeden Unterauftragsverarbeiter durch schriftlichen Vertrag zu denselben Datenschutzpflichten wie in diesem AVV und bleibt dem Kunden gegenüber für deren Erfüllung verantwortlich.

Einige Unterauftragsverarbeiter verarbeiten personenbezogene Daten außerhalb des Europäischen Wirtschaftsraums, hauptsächlich in den Vereinigten Staaten. Propelos führt diese Übermittlungen nur mit einer von der DSGVO anerkannten Garantie durch: den von der Europäischen Kommission angenommenen Standardvertragsklauseln (Beschluss (EU) 2021/914) oder, sofern der Empfänger zertifiziert ist, dem EU-US Data Privacy Framework. Der Kunde genehmigt diese Übermittlungen.

• Unter Berücksichtigung der Art der Verarbeitung unterstützt Propelos den Kunden bei der Beantwortung von Anfragen der Käufer zur Ausübung ihrer Rechte (Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit und Widerspruch). Wendet sich ein Käufer direkt an Propelos, leiten wir die Anfrage unverzüglich an den Kunden weiter und beantworten sie nicht selbst, es sei denn, der Kunde fordert uns dazu auf.
• Propelos unterstützt den Kunden bei der Erfüllung seiner Pflichten hinsichtlich Sicherheit, Meldung von Datenschutzverletzungen, Datenschutz-Folgenabschätzungen und vorheriger Konsultation der Aufsichtsbehörde unter Berücksichtigung der Propelos zur Verfügung stehenden Informationen.

Propelos benachrichtigt den Kunden unverzüglich, nachdem eine Verletzung des Schutzes personenbezogener Daten bekannt wird, die Daten des Kunden betrifft, und strebt eine Benachrichtigung innerhalb von 72 Stunden an. Die Mitteilung beschreibt, soweit zu diesem Zeitpunkt bekannt: die Art der Verletzung, die Kategorien und die ungefähre Zahl der betroffenen Personen und Datensätze, die wahrscheinlichen Folgen, die ergriffenen oder vorgeschlagenen Maßnahmen sowie eine Kontaktstelle. Propelos ergänzt Informationen, sobald sie verfügbar werden.

Nach Ende des Abonnements des Kunden bewahrt Propelos die personenbezogenen Daten 90 Tage auf, damit der Kunde die Dienste wieder aufnehmen oder eine Kopie anfordern kann, und löscht sie anschließend, sofern Unionsrecht oder spanisches Recht keine Aufbewahrung durch Propelos vorschreibt. Während dieser 90 Tage kann der Kunde verlangen, dass wir seine Anfragen in einem gängigen Format (CSV) zurückgeben oder die Daten früher löschen. Kopien in den Sicherungssystemen unserer Anbieter werden mit Ablauf der jeweiligen Sicherungen gelöscht.

Propelos stellt dem Kunden die zum Nachweis der Einhaltung von Artikel 28 DSGVO erforderlichen Informationen zur Verfügung und ermöglicht Prüfungen einschließlich Inspektionen durch den Kunden oder einen von ihm beauftragten Prüfer. Der Kunde kündigt eine Prüfung mindestens 30 Tage vorher schriftlich an. Prüfungen finden während der Geschäftszeiten höchstens einmal jährlich statt (es sei denn, eine Aufsichtsbehörde verlangt sie oder es ist zu einer Verletzung des Schutzes personenbezogener Daten gekommen), unter Wahrung der Vertraulichkeit und auf Kosten des Kunden. Propelos kann zunächst durch die Bereitstellung von Unterlagen antworten, sofern dies zum Nachweis der Einhaltung ausreicht.

Die Haftung jeder Partei nach diesem AVV unterliegt den Beschränkungen der Allgemeinen Geschäftsbedingungen, soweit das Gesetz eine Haftungsbeschränkung zulässt. Bei Widersprüchen zwischen diesem AVV und den Allgemeinen Geschäftsbedingungen hinsichtlich der Verarbeitung personenbezogener Daten hat dieser AVV Vorrang.

Dieser AVV unterliegt dem Recht Spaniens. Für alle Streitigkeiten aus oder im Zusammenhang mit ihm sind ausschließlich die Gerichte von Málaga, Spanien, zuständig.

Bei Fragen zu diesem AVV oder zur Ausübung der Rechte des Kunden aus diesem Vertrag: privacy@propelos.com

Adresse: Propelos Technology S.L., The Pool Marbella, El Corte Inglés El Capricho, 1 planta Avda. Bulevar Príncipe Alfonso de Hohenlohe 2, Marbella, 29602, Spanien

Steuernummer (NIF): B27624980

Eingetragen im Handelsregister von Málaga, Blatt MA-197845 (elektronischer Band und elektronisches Folio), IRUS 1000471597682