Vertrag zur Auftragsverarbeitung

Dieser Vertrag gilt für die Pakete Office und Enterprise/API. Er wird beim Kauf dieser Pakete geschlossen und ergänzt die AGB. Für Verbraucherprodukte (Einzelreport, Report-Paket, Voll Solo) gilt er nicht. Dort verarbeiten wir Daten für eigene Zwecke und sind selbst verantwortlich. Das steht in der Datenschutzerklärung. Fassung: 3.28

§ 1 Vertragsparteien

Auftragsverarbeiter ist Adrian Joswowitz-Niemierski, Trillerweg 4, 66117 Saarbrücken. Verantwortlicher ist das Unternehmen, das beim Kauf als Auftraggeber angegeben wurde. Die Angaben aus dem Bestellvorgang (Firma, USt-IdNr., Konto-E-Mail) sind Bestandteil dieses Vertrags. Zeitpunkt und Fassung der Zustimmung werden zu Ihrem Konto gespeichert. Verarbeitet der Verantwortliche die Adressen seinerseits im Auftrag eines Dritten, sind wir dessen weiterer Auftragsverarbeiter. Der Verantwortliche sichert dann zu, dass ihm der Dritte unsere Beauftragung nach Art. 28 Abs. 2 und 4 DSGVO erlaubt hat. Weisungen, Anfragen betroffener Personen, Meldungen und Kontrollen laufen in diesem Fall über ihn.

§ 2 Gegenstand und Dauer

Gegenstand ist die Erstellung indikatorbasierter Standortanalysen zu Adressen, die über das Konto des Verantwortlichen übermittelt werden. Der Vertrag gilt, solange wir Daten des Verantwortlichen verarbeiten. Das ist während der Laufzeit des Pakets der Fall und danach, solange Reports im Konto gespeichert sind. Er endet, wenn die Daten nach § 5 zurückgegeben oder gelöscht sind.

§ 3 Art, Zweck und Umfang der Verarbeitung

Es gibt zwei Profile. Welches gilt, ergibt sich aus dem gekauften Paket und daraus, wie Sie es nutzen.

a) Office

Der Verantwortliche unterhält ein Konto für sein Unternehmen, das mehrere seiner Beschäftigten gemeinsam nutzen. Wir verarbeiten für ihn die geprüften Adressen und die daraus erstellten Vollreports, gespeichert im Archiv dieses Kontos.

Betroffene Personen sind damit Personen, die den geprüften Adressen zugeordnet werden können. Wir führen keine Konten einzelner Beschäftigter und halten keine Angabe darüber vor, wer einen Report erstellt hat.

b) Enterprise und API

Der Verantwortliche übermittelt Adressen aus seinem eigenen Bestand über die Schnittstelle. Verarbeitet wird die Anschrift (Straße, Hausnummer, Postleitzahl, Ort). Ein Archiv wird auf diesem Weg nicht angelegt. Der Verantwortliche darf über die Schnittstelle keine Namen, Kundennummern oder sonstige Zusatzdaten übermitteln, auch nicht im Adressfeld und nicht in der Kopfzeile X-Request-ID. Diese Beschränkung ist Teil der Leistungsbeschreibung und der Grund, warum der Datenumfang klein bleibt.

c) Für alle Profile

Besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO sind nicht Gegenstand der Verarbeitung. Ihre Übermittlung an uns ist vertraglich untersagt. Erhalten wir sie dennoch, etwa in einem Adressfeld, verwenden wir sie nicht weiter und löschen sie.

§ 4 Weisungsbindung

Wir verarbeiten die übermittelten Daten ausschließlich auf dokumentierte Weisung, auch was eine Übermittlung in ein Drittland betrifft. Das gilt nicht, soweit uns das Recht der Union oder eines Mitgliedstaats zu einer Verarbeitung verpflichtet. Dann teilen wir dem Verantwortlichen diese Pflicht vor der Verarbeitung mit, sofern das Recht eine solche Mitteilung nicht verbietet (Art. 28 Abs. 3 lit. a DSGVO). Die Prüfung einer Adresse gilt als Weisung, für diese Adresse eine Analyse zu erstellen. Weitergehende Weisungen bedürfen der Textform. Halten wir eine Weisung für rechtswidrig, teilen wir das unverzüglich mit und dürfen die Ausführung aussetzen (Art. 28 Abs. 3 Satz 3 DSGVO).

§ 4a Eigene Verantwortlichkeit von WohnData

Nicht alles, was wir im Zusammenhang mit Ihrem Paket verarbeiten, geschieht in Ihrem Auftrag. Für die folgenden Zwecke sind wir selbst Verantwortlicher und nicht an Ihre Weisungen gebunden. Wir nennen sie hier, weil ein Vertrag, der ausnahmslose Weisungsbindung verspricht, etwas zusagen würde, das wir nicht einhalten können.

• Abrechnung und Buchhaltung. Rechnungen, Zahlungsvorgänge und die zugehörigen Belege. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b und lit. c DSGVO.
• Gesetzliche Aufbewahrung. Rechnungen und Buchungsbelege bewahren wir acht Jahre auf (§ 147 Abs. 3 AO, § 14b Abs. 1 Satz 1 UStG). Die Frist beginnt mit dem Ende des Kalenderjahres, in dem die Rechnung ausgestellt wurde. Für Jahresabschlüsse und Inventare gelten zehn Jahre (§ 147 Abs. 1 AO, § 257 Abs. 1 HGB). Die Frist verlängert sich, solange die Festsetzungsfrist für die betroffenen Steuern noch läuft oder eine Außenprüfung anhängig ist. Eine Löschung auf Weisung ist für diese Unterlagen deshalb nicht möglich, solange die Frist läuft. Das betrifft Abrechnungsunterlagen, nicht die Inhalte der Reports.
• Missbrauchsabwehr und faire Nutzung. Zahl der geprüften Rasterzellen je Konto und Zeitraum, Ratenbegrenzung, Begrenzung gleichzeitiger Verarbeitung. Ohne diese Zählung ließe sich ein Paketpreis nicht durchsetzen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b und lit. f DSGVO.
• Sicherheitsprotokolle. Serverprotokolle mit IP-Adressen zur Abwehr von Angriffen und zur Stabilität des Dienstes. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO.
• Aggregierte Statistik zum Betrieb. Auswertungen ohne Personenbezug und ohne Adressen, etwa Antwortzeiten und Fehlerquoten.

Diese Verarbeitungen bleiben auf das beschränkte Maß begrenzt, das der jeweilige Zweck erfordert. Die Inhalte Ihrer Reports und die geprüften Adressen nutzen wir nicht für eigene Zwecke, insbesondere nicht für Werbung, nicht für Profilbildung und nicht zum Training von KI-Modellen.

§ 5 Speicherung und Löschung

Dieser Abschnitt beschreibt, was tatsächlich passiert, und nicht, was üblich wäre.

a) Office

• Vollreports gehören dem Konto des Unternehmens. Sie bleiben dort gespeichert, bis der Verantwortliche sie löscht.
• Der Verantwortliche kann jeden Report seines Kontos jederzeit selbst löschen, ebenso das gesamte Konto (Art. 17 DSGVO). Mit dem Konto werden auch alle darin gespeicherten Reports gelöscht.
• Kostenlose Adress-Checks speichern wir grundsätzlich nicht. Sie sind deshalb weder für den Verantwortlichen noch für uns einsehbar.
• Nach Vertragsende werden verbleibende Nutzungsdaten innerhalb von 35 Tagen gelöscht. Die gekauften Reports bleiben im Konto abrufbar, bis der Verantwortliche sie oder das Konto löscht. Zur Rückgabe siehe Buchstabe d.

b) Enterprise und API

• Die übermittelte Adresse wird zur Auflösung in eine 100-Meter-Rasterzelle verwendet und danach nicht dauerhaft gespeichert. Der API-Pfad legt kein Archiv an.
• Zur Missbrauchsabwehr und Abrechnung speichern wir je Abruf Zeitpunkt, Konto und Kennung der Rasterzelle. Nicht die Adresse. Diese Einträge werden nach spätestens 35 Tagen gelöscht. Einen vom Verantwortlichen gesetzten Wiederholungsschlüssel (Idempotency-Key) speichern wir mit dem Konto, einem Prüfwert der Anfrage, ihrem Ergebnis und der Zahl der berechneten Credits. Er wird spätestens am übernächsten Tag gelöscht.
• Zusätzlich führen wir je Konto einen Aufrufverlauf, den der Verantwortliche selbst einsehen kann: Zeitpunkt, Endpunkt, Status, Fehlercode, Dauer, verwendeter Schlüssel und die Request-ID. Keine Adresse und keine Rasterzelle. Aufbewahrung 30 Tage, danach automatische Löschung.
• Die Request-ID setzt der Verantwortliche selbst. Er darf darin keine personenbezogenen Daten übermitteln. Eine Datensatznummer aus seinem System ist der vorgesehene Gebrauch.

c) Für alle Profile

Serverprotokolle mit IP-Adressen werden spätestens nach sieben Tagen automatisch gelöscht. Von der Löschung ausgenommen bleiben die Abrechnungsunterlagen nach § 4a, solange die gesetzliche Aufbewahrungsfrist läuft.

d) Rückgabe oder Löschung nach Vertragsende

Nach Abschluss der Verarbeitung hat der Verantwortliche die Wahl zwischen Rückgabe und Löschung der überlassenen Daten (Art. 28 Abs. 3 lit. g DSGVO). Die gekauften Reports bleiben auch nach dem Ende eines Abonnements im Konto abrufbar. Der Verantwortliche kann sie dort jederzeit selbst als PDF herunterladen, und das ist der vorgesehene Weg der Rückgabe. Auf Anfrage in Textform stellen wir zusätzlich eine Ausleitung aller zum Konto gespeicherten Reports als Datei bereit. Entscheidet sich der Verantwortliche für die Löschung, kann er die Reports im Konto selbst löschen oder das Konto löschen. Auf Wunsch übernehmen wir das und bestätigen es in Textform.

Nicht Gegenstand von Rückgabe oder Löschung ist unsere eigene Datenbank. Sie besteht aus öffentlichen Quellen, beschreibt Rasterzellen und keine Personen, und sie entsteht unabhängig davon, ob eine Adresse geprüft wurde. Sie enthält keine Daten des Verantwortlichen.

§ 6 Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

• Transportverschlüsselung (TLS) für alle Aufrufe.
• Authentifizierung über Konto oder API-Schlüssel. Von API-Schlüsseln wird ausschließlich ein SHA-256-Hash gespeichert. Ein Datenabfluss aus der Datenbank gibt keinen nutzbaren Schlüssel preis.
• Passwörter werden mit scrypt gespeichert und sind aus dem gespeicherten Wert nicht rückrechenbar.
• Schlüssel sind jederzeit durch den Verantwortlichen widerrufbar. Ein Abruf wird nur ausgeführt, solange das Konto Zugang zur Schnittstelle und ausreichend Guthaben hat.
• Zugriffsbegrenzung durch Ratenbegrenzung je Konto, Tageskontingent und Begrenzung gleichzeitiger Verarbeitung.
• Trennungsgebot: Die Verarbeitung erfolgt je Konto getrennt. Ein Schlüssel oder Zugang gibt keinen Zugriff auf Daten eines anderen Kontos. Ein gespeicherter Report des Kontos öffnet sich nur mit der Anmeldung an diesem Konto. Für das Erstellen des PDF und das Laden von Kartenbild und Logo ohne Anmeldung verwenden wir kurzlebige, signierte Zugangswerte, die nur für diesen einen Report gelten und nach höchstens einer Stunde ablaufen.
• Protokollierung sicherheitsrelevanter Ereignisse ohne Inhaltsdaten.
• Hosting im Rechenzentrum Nürnberg der netcup GmbH. Der Betreiber ist nach ISO 27001 für Informationssicherheit und nach ISO 27701 für Datenschutz zertifiziert. Die Maßnahmen zum Zutritt, zur Stromversorgung und zum Brandschutz ergeben sich aus dem mit netcup geschlossenen Vertrag zur Auftragsverarbeitung.
• Sicherung der Datenbanken jede Nacht, jeweils mit anschließender Integritätsprüfung. Eine Sicherung, die diese Prüfung nicht besteht, wird verworfen und gemeldet. Eine Kopie bleibt auf dem Server und wird nach 30 Tagen gelöscht. Eine zweite Kopie liegt bei einem anderen Anbieter. Sie wird auf unserem Server verschlüsselt, bevor sie übertragen wird, und spätestens nach zwölf Monaten gelöscht. Einmal in der Woche wird eine Sicherung testweise zurückgespielt und geprüft. Beim Hoster vorhandene Sicherungen werden nach spätestens 14 Tagen gelöscht.
• Verschlüsselung: die Übertragung erfolgt ausschließlich über TLS. Passwörter werden nur als Hash mit individuellem Salt gespeichert, Sitzungs- und Zugangsschlüssel ausschließlich als Hash. Eine Verschlüsselung des gesamten Datenträgers besteht derzeit nicht.

§ 7 Unterauftragsverarbeiter

Der Verantwortliche stimmt dem Einsatz der folgenden Unterauftragsverarbeiter zu:

• netcup GmbH, Emmy-Noether-Straße 10, 76131 Karlsruhe, für den Serverbetrieb. Serverstandort ist Nürnberg. Ein Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO wurde am 26. August 2026 geschlossen. netcup setzt Unternehmen der Anexia-Gruppe in Klagenfurt in Österreich und in Karlsruhe für Infrastruktur- und Unterstützungsleistungen ein. Alle Standorte liegen in der Europäischen Union.
• Hetzner Online GmbH, Industriestraße 25, 91710 Gunzenhausen, für die verschlüsselte Datensicherung. Speicherort ist Falkenstein in Deutschland. Ein Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO wurde am 1. September 2026 geschlossen. Die Sicherungen werden auf unserem Server verschlüsselt, bevor sie übertragen werden. Hetzner kann die Inhalte nicht lesen.
• Brevo GmbH, Köpenicker Straße 126, 10179 Berlin, für den Versand von Bestätigungen, Erinnerungen und Passwort-Zurücksetzungen. Brevo nutzt dafür die Systeme der französischen Muttergesellschaft Sendinblue SAS. Die Server stehen in Frankreich und Belgien. Der Vertrag zur Auftragsverarbeitung ist Anlage 3 der Nutzungsbedingungen von Brevo und bedarf keiner gesonderten Unterzeichnung.
• Google Cloud (Vertex AI) für die Erstellung der KI-Texte. Verarbeitungsregion ist europe-west3 in Frankfurt am Main. Vertragspartner ist die Google Cloud EMEA Limited, 70 Sir John Rogerson's Quay, Dublin 2, Irland. Für die Auftragsverarbeitung gilt das Cloud Data Processing Addendum von Google. Es ist Bestandteil der Google-Cloud-Bedingungen und bedarf keiner gesonderten Unterzeichnung. Übermittelt werden statistische Werte der Rasterzelle sowie Postleitzahl und Ort. Straße und Hausnummer werden nicht übermittelt. Der erzeugte Berichtstext nennt die Straßenadresse ebenfalls nicht.

Änderungen teilen wir mindestens vier Wochen vorher in Textform mit. Der Verantwortliche kann widersprechen. In diesem Fall besteht ein Sonderkündigungsrecht.

§ 8 Unterstützungspflichten

Wir unterstützen den Verantwortlichen bei Betroffenenanfragen (Art. 12 bis 23 DSGVO), bei der Sicherheit der Verarbeitung (Art. 32 DSGVO), bei Datenschutz-Folgenabschätzungen und vorherigen Konsultationen (Art. 35 und 36 DSGVO) und bei Meldepflichten (Art. 33 und 34 DSGVO). Eine Verletzung des Schutzes personenbezogener Daten melden wir dem Verantwortlichen unverzüglich, spätestens innerhalb von 24 Stunden nach Kenntnis.

Im API-Betrieb speichern wir Adressen nicht dauerhaft. Eine Auskunft oder Löschung zu einer einzelnen Adresse ist dort technisch regelmäßig gegenstandslos. Wir bestätigen das auf Anfrage in Textform. Im Office-Paket ist das anders, weil dort ein Archiv besteht. Auskunft und Löschung erfolgen dann über das Konto des Verantwortlichen.

§ 9 Vertraulichkeit, Nachweise, Kontrollrechte

Zugang zu den Daten hat derzeit ausschließlich der Anbieter selbst. Jede Person, die künftig Zugang erhält, verpflichten wir vorher schriftlich zur Vertraulichkeit. Der Verantwortliche kann Nachweise über die Einhaltung dieses Vertrags verlangen und Kontrollen einschließlich Inspektionen durchführen oder durch einen von ihm beauftragten Prüfer durchführen lassen, nach angemessener Vorankündigung (Art. 28 Abs. 3 lit. h DSGVO). Die Server stehen in den Rechenzentren der Unterauftragsverarbeiter. Für sie dienen deren Zertifikate und Prüfberichte als Nachweis.

§ 10 Haftung und Schlussbestimmungen

Es gilt Art. 82 DSGVO. Im Übrigen gelten die AGB des Anbieters. Änderungen bedürfen der Textform. Bei Widerspruch geht dieser Vertrag den AGB vor, soweit er die Verarbeitung im Auftrag betrifft. Sollte eine Bestimmung unwirksam sein, bleibt der übrige Vertrag wirksam.