Vereinbarung zur Auftragsverarbeitung (AVV)

zwischen dem Kunden laut Vertrag über das Excel- und Word-Add-in (nachfolgend „Verantwortlicher“)

und der Youvalue IT GmbH, Kolonnenstraße 8, 10827 Berlin (nachfolgend „Auftragsverarbeiter“).

Diese Vereinbarung ist Bestandteil des Vertrags über das Excel- und Word-Add-in (nachfolgend „Hauptvertrag“). Sie gilt mit Abschluss des Hauptvertrags, ohne dass es einer gesonderten Unterschrift bedarf. Auf Wunsch stellt der Auftragsverarbeiter eine unterschriebene Fassung bereit.

§ 1 Gegenstand und Dauer

(1) Der Auftragsverarbeiter verarbeitet personenbezogene Daten im Auftrag des Verantwortlichen, soweit dieser bei der Nutzung der Software Daten Dritter eingibt, hochlädt oder überträgt. Gegenstand, Art und Zweck der Verarbeitung, Datenarten und betroffene Personen ergeben sich aus Anlage 1.

(2) Die Vereinbarung gilt für die Dauer des Hauptvertrags und darüber hinaus, solange der Auftragsverarbeiter Daten des Verantwortlichen verarbeitet.

(3) Für Daten, die der Auftragsverarbeiter als eigener Verantwortlicher verarbeitet (insbesondere Konto-, Abrechnungs- und Nutzungsdaten des Kunden), gilt diese Vereinbarung nicht.

(4) Für die Beurteilung der Zulässigkeit der Verarbeitung sowie für die Wahrung der Rechte der betroffenen Personen ist allein der Verantwortliche verantwortlich.

§ 2 Weisungen

(1) Der Auftragsverarbeiter verarbeitet die Daten nur auf dokumentierte Weisung des Verantwortlichen. Die erste Weisung ist der Hauptvertrag mit Leistungsbeschreibung. Weitere Weisungen erteilt der Verantwortliche durch die Bedienung der Software (etwa Speichern, Übertragen, Löschen) oder in Textform an info@youvalue.de.

(2) Eine Verarbeitung ohne Weisung ist nur zulässig, soweit der Auftragsverarbeiter nach Unions- oder deutschem Recht dazu verpflichtet ist. In diesem Fall teilt er dem Verantwortlichen die rechtliche Anforderung vorher mit, soweit das Recht dies nicht verbietet.

(3) Hält der Auftragsverarbeiter eine Weisung für rechtswidrig, weist er den Verantwortlichen unverzüglich darauf hin. Er darf die Ausführung aussetzen, bis der Verantwortliche sie bestätigt oder ändert.

§ 3 Vertraulichkeit

Der Auftragsverarbeiter setzt nur Personen ein, die auf Vertraulichkeit verpflichtet sind oder einer gesetzlichen Verschwiegenheitspflicht unterliegen. Sie verarbeiten die Daten nur auf Weisung.

§ 4 Sicherheit der Verarbeitung

(1) Der Auftragsverarbeiter trifft die technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO, die in Anlage 2 beschrieben sind.

(2) Er darf die Maßnahmen an den Stand der Technik anpassen, solange das Schutzniveau nicht sinkt. Wesentliche Änderungen dokumentiert er.

§ 5 Unterauftragsverarbeiter

(1) Der Verantwortliche genehmigt die in Anlage 3 genannten Unterauftragsverarbeiter.

(2) Der Verantwortliche erteilt eine allgemeine Genehmigung für weitere oder andere Unterauftragsverarbeiter. Der Auftragsverarbeiter informiert ihn mindestens 14 Tage vorher in Textform über jede beabsichtigte Änderung. Der Verantwortliche kann innerhalb dieser Frist aus wichtigem datenschutzrechtlichem Grund widersprechen. Können sich die Parteien nicht einigen, kann der Verantwortliche den Hauptvertrag zum Zeitpunkt der Änderung kündigen.

(3) Der Auftragsverarbeiter verpflichtet jeden Unterauftragsverarbeiter vertraglich auf ein gleichwertiges Schutzniveau. Er haftet gegenüber dem Verantwortlichen für dessen Pflichterfüllung.

(4) Eine Übermittlung in Drittländer erfolgt nur, wenn die Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind, insbesondere bei einem Angemessenheitsbeschluss oder auf Grundlage von EU-Standardvertragsklauseln.

§ 6 Unterstützung des Verantwortlichen

(1) Der Auftragsverarbeiter unterstützt den Verantwortlichen bei der Beantwortung von Anträgen betroffener Personen. Wendet sich eine betroffene Person an ihn, leitet er die Anfrage unverzüglich an den Verantwortlichen weiter und beantwortet sie nicht selbst.

(2) Er unterstützt den Verantwortlichen bei den Pflichten aus Art. 32 bis 36 DSGVO, insbesondere bei Datenschutz-Folgenabschätzungen, soweit ihm die erforderlichen Informationen vorliegen.

§ 7 Meldung von Verletzungen

Der Auftragsverarbeiter meldet dem Verantwortlichen eine Verletzung des Schutzes personenbezogener Daten unverzüglich, möglichst innerhalb von 24 Stunden nach Kenntnis, per E-Mail an die im Konto hinterlegte Adresse. Die Meldung enthält, soweit bekannt, die Angaben nach Art. 33 Abs. 3 DSGVO. Er ergreift unverzüglich Maßnahmen, um die Folgen zu begrenzen.

§ 8 Löschung und Rückgabe

(1) Inhalte, die zwischen Excel und Word übertragen werden, löscht der Auftragsverarbeiter automatisch spätestens nach 48 Stunden.

(2) Nach Ende des Hauptvertrags gibt der Auftragsverarbeiter dem Verantwortlichen auf Verlangen innerhalb von 30 Tagen die gespeicherten Daten in einem gängigen, maschinenlesbaren Format heraus. Spätestens 30 Tage nach Vertragsende löscht er alle Daten des Verantwortlichen, soweit keine gesetzliche Pflicht zur Speicherung besteht. Daten in Datensicherungen werden mit dem regulären Ablauf der Sicherungen überschrieben.

(3) Auf Verlangen bestätigt der Auftragsverarbeiter die Löschung in Textform.

§ 9 Nachweise und Kontrollen

(1) Der Auftragsverarbeiter stellt dem Verantwortlichen alle Informationen zur Verfügung, die zum Nachweis der Einhaltung dieser Vereinbarung erforderlich sind.

(2) Der Verantwortliche kann Überprüfungen durchführen oder durch einen zur Verschwiegenheit verpflichteten Prüfer durchführen lassen. Überprüfungen vor Ort kündigt er mindestens 14 Tage vorher an, führt sie während der Geschäftszeiten durch und stört den Betrieb nicht mehr als nötig. Zum Nachweis genügen in der Regel aktuelle Selbstauskünfte, Prüfberichte und die Zertifikate der Unterauftragsverarbeiter, etwa nach ISO 27001.

(3) Der Auftragsverarbeiter kann für Kontrollen vor Ort, die über eine pro Kalenderjahr hinausgehen, eine angemessene Vergütung verlangen.

§ 10 Vergütung, Haftung, Schlussbestimmungen

(1) Die Vergütung des Auftragsverarbeiters ist abschließend im Hauptvertrag geregelt. Eine gesonderte Vergütung oder Kostenerstattung für Leistungen nach dieser Vereinbarung erfolgt nicht, soweit § 9 Abs. 3 nichts anderes bestimmt.

(2) Für die Haftung gilt Art. 82 DSGVO. Im Übrigen gelten die Haftungsregeln des Hauptvertrags.

(3) Bei Widersprüchen geht diese Vereinbarung dem Hauptvertrag vor, soweit es um den Schutz personenbezogener Daten geht.

(4) Es gilt deutsches Recht. Gerichtsstand ist Berlin.

Anlage 1: Gegenstand der Verarbeitung

Art und Zweck: Speichern, Anzeigen, Übertragen, Auswerten und Löschen von Daten im Rahmen der Erstellung von Immobilienwertgutachten. Dazu gehören die Übertragung zwischen Excel und Word, die Speicherung von Objekten, Bewertungen, Dokumenten, Vorlagen und Textbausteinen, die KI-gestützte Texterstellung und Bildauswertung sowie Lage- und Geodatenabfragen zur Objektadresse.

Kategorien betroffener Personen:

Eigentümer, Erbbauberechtigte und sonstige Berechtigte der Bewertungsobjekte
Auftraggeber des Gutachtens
Mieter und Nutzer der Bewertungsobjekte
Personen, die auf hochgeladenen Fotos oder in Dokumenten erkennbar oder genannt sind
Mitarbeiter und Team-Mitglieder des Verantwortlichen, soweit sie in Gutachten genannt sind

Datenarten:

Namen und Kontaktdaten (etwa von Eigentümern und Auftraggebern)
Objektadressen und Grundbuch- bzw. Katasterangaben (Gemarkung, Flur, Flurstück)
Angaben zu Rechten und Belastungen (etwa Nießbrauch, Wohnungsrecht, Erbbaurecht)
Miet- und Ertragsdaten
Fotos der Bewertungsobjekte
Inhalte hochgeladener Dokumente (etwa Grundbuchauszüge, Baupläne, Mietverträge)
Freitexte und Notizen des Verantwortlichen

Besondere Kategorien nach Art. 9 DSGVO sind nicht Gegenstand der Verarbeitung. Der Verantwortliche lädt solche Daten nicht hoch.

Anlage 2: Technische und organisatorische Maßnahmen

Vertraulichkeit

Hosting in Rechenzentren von Microsoft Azure in Frankfurt am Main mit Zutrittskontrolle nach ISO 27001
Zugriff auf Server und Datenbank nur für namentlich benannte Administratoren
Anmeldung der Nutzer mit Passwort (gehasht), optional Zwei-Faktor-Anmeldung und Passkeys, alternativ Microsoft-Anmeldung
Rollen- und Berechtigungskonzept: Daten eines Kunden sind nur für ihn und die von ihm freigegebenen Team-Mitglieder sichtbar
Ratenbegrenzung und Schutz gegen automatisierte Anmeldeversuche

Integrität

Verschlüsselte Übertragung (TLS) zwischen Add-in, Kundenportal und Servern
Prüfung und Bereinigung von Eingaben, Filter gegen manipulierte KI-Eingaben
Protokollierung sicherheitsrelevanter Vorgänge (Audit-Log, 24 Monate)

Verfügbarkeit und Belastbarkeit

Regelmäßige Datensicherungen in der EU
Technisches Monitoring mit Alarmierung bei Serverfehlern

Datenminimierung und Löschung

Automatische Löschung übertragener Inhalte nach spätestens 48 Stunden
Automatische Löschung von Support-Chats nach 7 Tagen
Entfernen von Inhalten, Adressen und Bildern aus Monitoring-Daten vor der Übertragung

Organisation

Verpflichtung aller Beschäftigten auf Vertraulichkeit
Verträge nach Art. 28 DSGVO mit allen Unterauftragsverarbeitern
Regelmäßige Überprüfung der Maßnahmen, zuletzt Sicherheitsaudit im September 2026

Anlage 3: Unterauftragsverarbeiter

Unterauftragsverarbeiter	Leistung	Ort der Verarbeitung	Garantie bei Drittlandbezug
Microsoft Ireland Operations Ltd., Dublin (Azure)	Hosting, Datenbank, Datensicherung, Monitoring	Deutschland	EU-Standardvertragsklauseln, EU Data Boundary
Microsoft Ireland Operations Ltd., Dublin (Azure OpenAI)	KI-Funktionen	EU (EU Data Zone)	EU-Standardvertragsklauseln, EU Data Boundary
Google Ireland Ltd., Dublin (Google Maps Platform)	Geokodierung, Umgebung, Entfernungen zur Objektadresse	EU, USA	EU-US Data Privacy Framework, Standardvertragsklauseln
Mapbox Inc., Washington D.C.	Geokodierung, Kartenausschnitte zur Objektadresse	USA	EU-US Data Privacy Framework bzw. Standardvertragsklauseln

An öffentliche Geodienste (BORIS-D und Landesportale, Umweltbundesamt, Breitbandatlas) und an OpenStreetMap Nominatim übermittelt der Auftragsverarbeiter nur Adressen oder Koordinaten ohne Personenbezug zum Verantwortlichen. Sie sind keine Unterauftragsverarbeiter.

Stand: 05.11.2026