Auftragsverarbeitungsvertrag

Hinweis: Dieser Text ist aus der Software heraus erstellt und beschreibt, was sie tatsächlich tut. Eine anwaltliche Prüfung steht noch aus.

Fassung 2026-09-22

Dieser Vertrag regelt die Verarbeitung personenbezogener Daten nach Art. 28 DSGVO zwischen dem Maklerbüro als Verantwortlichem und der SAYKI Solutions UG (haftungsbeschränkt), Karl-Mathy-Str. 8, 68167 Mannheim, als Auftragsverarbeiter.

Er wird beim Abschluss in den Einstellungen elektronisch angenommen. Datum, Person und Fassung werden dabei gespeichert.

1. Gegenstand und Dauer

Gegenstand ist der Betrieb der Maklersoftware SAYKI IMMO als Dienst über das Internet. Die Verarbeitung dauert so lange, wie das Büro die Software nutzt. Sie endet mit der Beendigung des Vertragsverhältnisses.

2. Art, Zweck und Umfang

Verarbeitet wird, was das Büro in die Software eingibt oder hochlädt, zum Zweck der Objektverwaltung, Interessentenverwaltung, Terminverwaltung, Exposé-Erstellung und Übertragung an Immobilienportale.

3. Art der Daten und betroffene Personen

Betroffen sind:

Beschäftigte des Büros: Name, E-Mail-Adresse, Rolle, Passwort-Hash.
Interessenten und Kunden des Büros: Name, E-Mail-Adresse, Telefonnummer, Budget, Notizen, Terminverlauf.
Eigentümer und Dritte: soweit das Büro sie in Objektnotizen erfasst.
Fotos: hochgeladene Objektbilder, auf denen Personen erkennbar sein können.

4. Weisungsbindung

Der Auftragsverarbeiter verarbeitet die Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen. Die Nutzung der Software gilt als Weisung. Hält er eine Weisung für rechtswidrig, teilt er das mit und darf sie aussetzen.

5. Vertraulichkeit

Alle Personen, die Zugang zu den Daten haben, sind zur Vertraulichkeit verpflichtet. Die Verpflichtung besteht über das Ende ihrer Tätigkeit hinaus fort.

6. Technische und organisatorische Maßnahmen

Nach Art. 32 DSGVO werden folgende Maßnahmen umgesetzt. Die Aufstellung beschreibt den tatsächlichen Stand der Software:

Trennung der Mandanten: Jeder Datensatz trägt die Kennung des Büros, dem er gehört. Jede Abfrage wird serverseitig darauf eingeschränkt; die Kennung stammt aus der Sitzung, nie aus der Anfrage des Browsers.
Passwörter: Werden nur als bcrypt-Hash gespeichert, nie im Klartext. Auch der Betreiber kann sie nicht auslesen.
Sitzungen: Signierte Cookies (JWT) mit HttpOnly und SameSite. Der Signaturschlüssel liegt in der Serverkonfiguration, nicht im Quelltext.
Zugangsdaten zu Portalen: Passwörter und OAuth-Token der Büros werden mit AES-256-GCM verschlüsselt gespeichert. Fehlermeldungen der Übertragung werden vor der Anzeige um Zugangsdaten bereinigt.
Hochgeladene Dateien: Fotos und Logos liegen außerhalb des öffentlich ausgelieferten Verzeichnisses. Der Abruf setzt eine gültige Sitzung voraus und prüft, ob die Datei zum eigenen Büro gehört; Pfadangaben, die aus dem Verzeichnis herausführen, werden abgewiesen.
Übertragung: Im Betrieb ausschließlich über HTTPS. Die Datenbank ist von außen nicht erreichbar.
Löschung: Wird ein Büro gelöscht, entfernt die Datenbank alle zugehörigen Objekte, Kontakte, Termine, Exposés und Bilder mit (Fremdschlüssel mit Kaskade).

7. Unterauftragsverarbeiter

Der Verantwortliche stimmt dem Einsatz der folgenden Unterauftragsverarbeiter zu. Kommt einer hinzu, wird der Vertrag in neuer Fassung vorgelegt und muss erneut angenommen werden.

Dienst	Zweck	Daten	Ort
Anthropic PBC	Exposé-Texte, Umgebungsrecherche, Erkennung der Bildmotive, Preiseinschätzung sowie der Assistent des Maklers: Anfragen lesen, Antwortentwürfe, Gesprächsnotizen, Einschätzung von Interessenten, Auslesen von Unterlagen, Fragen an die eigenen Daten	Objektdaten samt Adresse, Notizen des Maklers zum Objekt, die hochgeladenen Fotos und Unterlagen. Beim Assistenten zusätzlich Name, Kontaktdaten, Suchwunsch und Notizen des jeweiligen Interessenten. Keine Verwendung zum Training, Löschung nach der Verarbeitung.	USA
OpenAInur bei Nutzung	Erzeugung sanierter und möblierter Bildvarianten	Die hochgeladenen Objektfotos.	USA
Stripenur bei Nutzung	Abwicklung des Abonnements	Name, E-Mail-Adresse und Zahlungsdaten des Büros. Keine Daten von Interessenten.	USA / Irland
OpenStreetMap Foundation	Ermitteln der Koordinaten und der Einrichtungen im Umkreis	Die Adresse des Objekts. Keine Personendaten.	Europäische Union
Mapboxnur bei Nutzung	Kartenausschnitt mit Markierung des Objekts im Exposé	Die Koordinaten des Objekts. Keine Personendaten.	USA
Resend	Versand der E-Mails aus der Software	Empfängeradresse und Mailinhalt — etwa Name, Objekt und Termin bei einer Terminbestätigung an einen Interessenten.	USA
Immobilienportalenur bei Nutzung	Veröffentlichung der Objekte	Objektdaten, Fotos und die Kontaktangaben des Büros — also die Daten, die das Büro selbst veröffentlichen will.	nach Portal verschieden

Bei Diensten außerhalb der EU ist die Grundlage der Übermittlung vor dem produktiven Einsatz zu prüfen (Angemessenheitsbeschluss oder Standardvertragsklauseln).

8. Unterstützung des Verantwortlichen

Der Auftragsverarbeiter unterstützt bei Anfragen betroffener Personen (Auskunft, Berichtigung, Löschung, Einschränkung, Übertragbarkeit) sowie bei Datenschutz- Folgenabschätzungen und der Meldung von Verletzungen. Wird eine Verletzung des Schutzes personenbezogener Daten bekannt, meldet er sie unverzüglich.

9. Löschung und Rückgabe

Nach Ende des Vertrages werden die Daten auf Wunsch des Verantwortlichen herausgegeben oder gelöscht. Die Software kann die Objektdaten jederzeit als OpenImmo-Paket ausgeben.

10. Nachweise

Der Auftragsverarbeiter weist die Einhaltung auf Anfrage nach und ermöglicht Überprüfungen durch den Verantwortlichen oder einen von ihm beauftragten Prüfer.

Offene Punkte für die rechtliche Prüfung: Angaben zum Verantwortlichen und zum Auftragsverarbeiter, Grundlage der Drittlandsübermittlung, Haftung, Kündigungsfristen, Aufbewahrungsfristen und die Frage, ob eine Datenschutzbeauftragte zu bestellen ist.