Vertrag zur Auftragsverarbeitung (Art. 28 DSGVO)

Stand: 8. August 2026 — Entwurf, anwaltlich zu prüfen

Zwischen den Parteien

Verantwortlicher (im Folgenden „Auftraggeber“): die Vermittlerin oder der Vermittler, die oder der einen BaufiDesk-Zugang nutzt, mit den bei Vertragsschluss angegebenen Daten.

Auftragsverarbeiter (im Folgenden „Auftragnehmer“): Coding Brothers UG (haftungsbeschränkt), Ottstr. 9, 76744 Wörth am Rhein, info@codingbrothers.de.

§ 1 Gegenstand und Dauer

Gegenstand ist die Verarbeitung personenbezogener Daten durch den Auftragnehmer im Auftrag des Auftraggebers bei der Erbringung der in den AGB beschriebenen Leistungen. Die Laufzeit entspricht der des Hauptvertrags; der Vertrag endet mit diesem.

§ 2 Art, Zweck und Umfang der Verarbeitung

Zweck: Einsammeln, Speichern, Ordnen, automatisiertes Auslesen und Aufbereiten von Unterlagen zur Vorbereitung einer Immobilienfinanzierung sowie Bereitstellung der Ergebnisse an den Auftraggeber.

Art der Daten: Stammdaten (Name, Anschrift, Geburtsdatum, Kontaktdaten, Familienstand), Beschäftigungs- und Einkommensdaten, Vermögens- und Verbindlichkeitsdaten, Bankverbindungen, Ausweisdaten, Objekt- und Grundbuchdaten sowie die hochgeladenen Dokumente selbst und die daraus gewonnenen Inhalte.

Kategorien betroffener Personen: Kundinnen und Kunden des Auftraggebers (Antragstellende und Mitantragstellende), gegebenenfalls weitere in den Unterlagen genannte Personen.

Besondere Kategorien nach Art. 9 DSGVO sind nicht Gegenstand des Auftrags. Der Auftraggeber stellt sicher, dass er keine solchen Daten einstellt, soweit sie nicht unvermeidbar Bestandteil eines angeforderten Nachweises sind.

§ 3 Weisungsbindung

Der Auftragnehmer verarbeitet die Daten ausschließlich auf dokumentierte Weisung des Auftraggebers. Die Nutzung der Plattform durch den Auftraggeber und seine Einstellungen darin gelten als Weisung. Weitergehende Weisungen bedürfen der Textform.

Hält der Auftragnehmer eine Weisung für rechtswidrig, teilt er dies unverzüglich mit und darf ihre Ausführung bis zur Klärung aussetzen.

Der Auftragnehmer verwendet die Daten nicht für eigene Zwecke, insbesondere nicht zur Produktverbesserung, zur Erstellung von Statistiken über Inhalte oder zum Training von Modellen künstlicher Intelligenz.

§ 4 Vertraulichkeit

Der Auftragnehmer setzt zur Verarbeitung nur Personen ein, die zur Vertraulichkeit verpflichtet und mit den einschlägigen Datenschutzvorschriften vertraut sind. Die Verpflichtung wirkt über das Ende der Tätigkeit hinaus.

§ 5 Technische und organisatorische Maßnahmen

Der Auftragnehmer trifft die in Anlage 2 beschriebenen Maßnahmen nach Art. 32 DSGVO. Er darf sie fortentwickeln, solange das Schutzniveau nicht unterschritten wird.

§ 6 Unterauftragsverarbeiter

Der Auftraggeber stimmt dem Einsatz der in Anlage 1 genannten Unterauftragsverarbeiter zu. Der Auftragnehmer schließt mit ihnen Verträge, die den Anforderungen des Art. 28 DSGVO genügen.

Wechsel oder Ergänzungen teilt der Auftragnehmer mindestens 30 Tage vorher in Textform mit. Der Auftraggeber kann innerhalb dieser Frist aus wichtigem, datenschutzbezogenem Grund widersprechen; kommt keine Einigung zustande, kann er den Hauptvertrag zum Zeitpunkt der Umstellung außerordentlich kündigen.

§ 7 Unterstützung des Auftraggebers

Der Auftragnehmer unterstützt den Auftraggeber im Rahmen des Möglichen bei der Erfüllung der Rechte betroffener Personen (Art. 12 bis 23 DSGVO). Wendet sich eine betroffene Person direkt an den Auftragnehmer, leitet er die Anfrage unverzüglich weiter und beantwortet sie nicht selbst.

Er unterstützt den Auftraggeber ferner bei den Pflichten aus Art. 32 bis 36 DSGVO, insbesondere bei Meldungen von Verletzungen des Schutzes personenbezogener Daten und bei Datenschutz-Folgenabschätzungen.

§ 8 Meldung von Schutzverletzungen

Der Auftragnehmer meldet dem Auftraggeber jede ihm bekannt gewordene Verletzung des Schutzes personenbezogener Daten unverzüglich, spätestens binnen 24 Stunden nach Kenntnis, in Textform. Die Meldung enthält, soweit bekannt, Art des Vorfalls, betroffene Datenkategorien, ungefähre Zahl der Betroffenen, wahrscheinliche Folgen und ergriffene Maßnahmen.

§ 9 Nachweise und Kontrollen

Der Auftragnehmer weist die Einhaltung der Pflichten auf Anforderung nach, vorrangig durch Auskunft und Vorlage der Dokumentation. Der Auftraggeber kann nach rechtzeitiger Ankündigung und zu üblichen Geschäftszeiten Kontrollen durchführen oder durch einen zur Verschwiegenheit verpflichteten Dritten durchführen lassen, der kein Wettbewerber des Auftragnehmers sein darf.

§ 10 Löschung und Rückgabe

Nach Ende des Hauptvertrags stellt der Auftragnehmer die Daten für 30 Tage zum Export in einem gängigen, maschinenlesbaren Format bereit und löscht sie anschließend einschließlich vorhandener Kopien, soweit keine gesetzliche Aufbewahrungspflicht entgegensteht. Sicherungskopien werden im Rahmen der üblichen Rotationszyklen überschrieben.

Auf Weisung des Auftraggebers löscht der Auftragnehmer einzelne Daten auch während der Vertragslaufzeit.

§ 11 Drittlandübermittlung

Eine Verarbeitung außerhalb der EU beziehungsweise des EWR findet nur bei den in Anlage 1 als solche gekennzeichneten Unterauftragsverarbeitern statt und ist über die EU-Standardvertragsklauseln nebst ergänzenden Maßnahmen abgesichert.

§ 12 Haftung und Schlussbestimmungen

Es gilt Art. 82 DSGVO. Im Übrigen gelten die Haftungsregelungen des Hauptvertrags. Änderungen bedürfen der Textform. Bei Widersprüchen zwischen diesem Vertrag und dem Hauptvertrag geht dieser Vertrag in Datenschutzfragen vor. Es gilt deutsches Recht.

Anlage 1 — Unterauftragsverarbeiter

Der Virenscan läuft auf einer vom Auftragnehmer selbst betriebenen Instanz; Dateien werden dafür nicht an Dritte übermittelt.

Anlage 2 — Technische und organisatorische Maßnahmen

Vertraulichkeit

• Zutritt: Die Verarbeitung findet ausschließlich in Rechenzentren der in Anlage 1 genannten Dienstleister statt; deren Zutrittssicherung wird über die jeweiligen Verträge sichergestellt. Eigene Serverräume bestehen nicht.
• Zugang: Zugriff nur über persönliche Konten mit E-Mail-Adresse und Passwort. Passwörter werden ausschließlich als scrypt-Hash gespeichert, nie im Klartext. Mindestlänge zwölf Zeichen, Sperrliste naheliegender Passwörter. Anmeldeversuche sind ratenbegrenzt. Sitzungen laufen über ein signiertes, nur serverseitig lesbares Cookie mit begrenzter Gültigkeit.
• Zugriff: Strikte Mandantentrennung — jeder Datensatz ist einer Organisation zugeordnet, und jede Abfrage prüft die Zugehörigkeit serverseitig. Rollen (Organisations-Admin, Vermittler, Teammitglied) begrenzen die Rechte innerhalb einer Organisation. Rolle und Aktivstatus werden bei jedem Aufruf aus der Datenbank gelesen, damit ein Entzug sofort wirkt.
• Trennung: Produktiv- und Entwicklungsumgebung sind getrennt; in der Entwicklung werden keine echten Kundendaten verwendet.
• Externe Zugänge: Links für Kundenuploads und Selbstauskunft enthalten ein zufälliges Geheimnis mit Ablaufdatum und geben nur Zugriff auf den jeweiligen Vorgang. In der Datenbank liegt ausschließlich ein Hash des Geheimnisses; ein einmal eingelöster Link ist entwertet.

Integrität

• Übertragung: Ausschließlich TLS-verschlüsselt. Strenge Content-Security-Policy, keine Einbindung fremder Skripte, Schriften oder Bilder.
• Speicherung: Verschlüsselung ruhender Daten durch die eingesetzten Dienstleister (Datenbank und Dateiablage).
• Eingabekontrolle: Ein Audit-Log hält fest, wer wann welche Änderung, Freigabe, Auswertung oder welchen Export vorgenommen hat. Sensible Inhalte werden dabei nicht mitgeschrieben.
• Prüfung hochgeladener Dateien: Dateityp wird anhand der tatsächlichen Dateisignatur geprüft, nicht anhand der Endung; Größenbegrenzung; Virenscan vor jeder Weiterverarbeitung. Schlägt der Scan an oder ist er nicht durchführbar, wird die Datei nicht weiterverarbeitet, sondern abgewiesen beziehungsweise in Quarantäne gehalten.
  Hinweis zum Entwurfsstand: Der Virenscan ist in der Anwendung vollständig umgesetzt und greift fail-closed, die Scan-Instanz wird derzeit jedoch noch in Betrieb genommen. Bis dahin ist diese Maßnahme nicht wirksam. Der Vertrag darf erst geschlossen werden, wenn sie es ist.

Verfügbarkeit und Belastbarkeit

• Tägliche automatische Sicherungen der Datenbank durch den Dienstleister.
• Fehler-Monitoring ohne Personenbezug, mit Benachrichtigung bei Störungen.
• Getrennte Ablage von Datenbank und Dateien.

Verfahren zur Überprüfung und Bewertung

• Automatisierte Tests laufen bei jeder Änderung; sicherheitsrelevante Eigenschaften (Mandantentrennung, Token-Einmaligkeit, Passwort-Hashing, Zugriffsschutz) sind durch eigene Tests abgedeckt.
• Änderungen werden vor der Übernahme begutachtet.
• Datensparsamkeit: In Protokollen und Fehlermeldungen werden weder Passwörter noch Dokumenteninhalte noch Klartext-Adressen festgehalten.
• Löschkonzept nach § 10 dieses Vertrags.

Stand der Maßnahmen: 8. August 2026. Die Beschreibung gibt den tatsächlichen Stand der Umsetzung wieder.