Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO
Vorlage. Dieser Text ist ein Muster. Er wird wirksam, wenn beide Seiten ihn in Textform bestätigen, zum Beispiel per E-Mail an info@umzugsscan.app.
Parteien
Verantwortlicher (Auftraggeber): das Umzugsunternehmen, das Umzugsscan nutzt
(Name und Anschrift wie im Firmenprofil hinterlegt).
Auftragsverarbeiter (Auftragnehmer): Ercan Ayyildiz, Umzugsscan, Am Hüttenhof 7, 50170 Kerpen.
§ 1 Gegenstand und Dauer
Der Auftragnehmer stellt dem Auftraggeber die Software Umzugsscan bereit. Damit nehmen Kunden des Auftraggebers ihren Haushalt per Foto auf; der Auftragnehmer speichert die Daten und wertet sie mit KI aus. Der Vertrag gilt, solange der Auftraggeber Umzugsscan nutzt.
Hat ein Kunde seinen Haushalt selbst und ohne Einladung mit Umzugsscan aufgenommen (kostenlose Kunden-Version, dafür ist der Auftragnehmer selbst verantwortlich), kann der Auftraggeber die Aufnahme mit dem Aufnahme-Code anfragen. Erst wenn der Kunde per E-Mail zustimmt, legt der Auftragnehmer im Konto des Auftraggebers eine Kopie an. Für diese Kopie gilt ab dann dieser Vertrag wie für jede andere Aufnahme des Auftraggebers.
§ 2 Art, Zweck und Umfang
| Zweck | Vorbereitung von Umzugsangeboten ohne Besichtigung: Erfassung, KI-Auswertung (Möbel, Volumen, Gewicht, Kartons), Streckenberechnung, Bericht und PDF |
|---|---|
| Betroffene | Kunden und Interessenten des Auftraggebers; zufällig auf Fotos erkennbare Personen |
| Daten | Name, Telefon, E-Mail, Umzugstermin, Auszugs- und Einzugsadresse (Etage, Aufzug, Laufweg), Raumangaben, Fotos der Wohnung, Markierungen und Notizen, gewünschte Leistungen, Ergebnis der KI-Auswertung, Korrekturen des Auftraggebers |
| Besondere Kategorien | Nicht vorgesehen. Kunden werden gebeten, keine Personen, Ausweise oder Dokumente zu fotografieren. Zufällig sichtbare sensible Inhalte auf Fotos sind nicht ausgeschlossen. |
§ 3 Weisungen
Der Auftragnehmer verarbeitet die Daten nur nach Weisung des Auftraggebers. Die Weisungen ergeben sich aus diesem Vertrag und aus den Einstellungen im Business-Bereich (z. B. Aufbewahrungsfrist der Fotos). Hält der Auftragnehmer eine Weisung für rechtswidrig, sagt er das dem Auftraggeber unverzüglich.
§ 4 Eigene Zwecke: Trainingsfotos
Willigt ein Kunde gesondert ein („Fotos dürfen zur Verbesserung der Erkennung gespeichert werden“), behält der Auftragnehmer beim Löschen Kopien der Fotos mit Raumtyp und erkannten Möbeln, aber ohne Bezug zur Aufnahme, ohne Kontaktdaten und ohne Zeitpunkt, höchstens 24 Monate lang. Für diese Kopien ist der Auftragnehmer selbst Verantwortlicher; sie fallen nicht unter diesen Vertrag. Ohne Einwilligung gibt es keine Kopien.
§ 5 Vertraulichkeit
Alle Personen, die beim Auftragnehmer Zugriff auf die Daten haben, sind zur Vertraulichkeit verpflichtet.
§ 6 Technische und organisatorische Maßnahmen (Art. 32 DSGVO)
- Server in der EU (Hetzner, Helsinki); Zugang zum Server nur per SSH-Schlüssel, Anmeldung mit Passwort abgeschaltet
- Alle Verbindungen verschlüsselt (HTTPS/TLS)
- Zugriff auf Aufnahmen nur nach Anmeldung und nur auf die eigene Firma (Mandantentrennung)
- Passwörter nur als gesalzener scrypt-Prüfwert gespeichert; Anmeldungen laufen ab
- Kunden-Links mit zufälligen, nicht erratbaren Kennungen
- Metadaten (EXIF, z. B. GPS-Position) werden beim Hochladen aus den Fotos entfernt
- Fotos werden nach der eingestellten Frist automatisch gelöscht (Prüfung jede Nacht)
- Aufnahmen werden vollständig gelöscht, wenn sie für die eingestellte Frist (3 bis 24 Monate, Standard 12) nicht geändert wurden; der Auftraggeber kann jede Aufnahme jederzeit sofort löschen
- Nächtliche Datensicherung mit restic, vor dem Hochladen verschlüsselt (AES-256), auf einen Speicher der Hetzner Online GmbH in der EU; Aufbewahrung höchstens 3 Monate (7 tägliche, 4 wöchentliche, 3 monatliche Stände); Wiederherstellung wird geprüft; Fehlschläge werden automatisch gemeldet
- Programm und Datenbank lauschen nur intern; nach außen nur über den Webserver
- Zugriffsprotokolle höchstens 7 Tage
§ 7 Unterauftragsverarbeiter
Der Auftraggeber ist mit diesen Unterauftragsverarbeitern einverstanden:
| Unternehmen | Leistung | Ort | Grundlage für Drittland |
|---|---|---|---|
| Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen | Server (Hosting) für Programm, Datenbank und Fotos; verschlüsselte Datensicherung (Storage Box); E-Mail-Postfach | Helsinki, Finnland (EU); Sicherung und E-Mail in Rechenzentren in der EU | nicht nötig |
| Anthropic, PBC, 548 Market Street, San Francisco, CA 94104, USA | KI-Auswertung der Fotos (ohne Namen und Kontaktdaten) | USA | EU-Standardvertragsklauseln im Data Processing Addendum (Art. 46 Abs. 2 lit. c DSGVO) |
| HeiGIT gGmbH (openrouteservice), Schloss-Wolfsbrunnenweg 33, 69118 Heidelberg | Entfernung und Fahrzeit (nur Straße ohne Hausnummer, PLZ, Ort) | Anbieter mit Sitz in Deutschland | nicht nötig |
Neue oder geänderte Unterauftragsverarbeiter kündigt der Auftragnehmer mindestens 4 Wochen vorher in Textform an. Der Auftraggeber kann aus wichtigem Grund widersprechen und den Vertrag dann kündigen.
§ 8 Unterstützung
Der Auftragnehmer unterstützt den Auftraggeber bei Anfragen von Betroffenen (Auskunft, Berichtigung, Löschung) und bei seinen Pflichten nach Art. 32 bis 36 DSGVO. Anfragen, die direkt beim Auftragnehmer eingehen, leitet er unverzüglich weiter.
§ 9 Datenschutzverletzungen
Der Auftragnehmer meldet dem Auftraggeber eine Verletzung des Schutzes personenbezogener Daten unverzüglich, möglichst innerhalb von 24 Stunden nach Bekanntwerden, mit allen ihm bekannten Angaben nach Art. 33 Abs. 3 DSGVO.
§ 10 Löschung und Rückgabe
Nach Ende des Vertrags löscht der Auftragnehmer alle Daten des Auftraggebers innerhalb von 30 Tagen automatisch, soweit keine gesetzliche Pflicht zur Aufbewahrung besteht. Auf Wunsch gibt er die Berichte vorher als PDF heraus. In den verschlüsselten Datensicherungen sind die Daten danach noch höchstens 3 Monate enthalten und werden dann mit dem Ablauf der Sicherungsstände gelöscht.
§ 11 Nachweise und Kontrollen
Der Auftragnehmer stellt dem Auftraggeber die Informationen zur Verfügung, die zum Nachweis der Pflichten aus Art. 28 DSGVO nötig sind, und ermöglicht Überprüfungen nach vorheriger Absprache.
§ 12 Schluss
Bei Widersprüchen geht dieser Vertrag anderen Vereinbarungen zum Datenschutz vor. Es gilt deutsches Recht. Sollte eine Bestimmung unwirksam sein, bleibt der übrige Vertrag wirksam.
Vorlage, Stand: Oktober 2026