Auftragsverarbeitungsvertrag

Muster gemäß Art. 28 DSGVO — Stand: Juli 2026

Vertragsparteien

Auftragsverarbeiter:

— nachfolgend „Auftragsverarbeiter" —, Betreiberin der Software „EV Cockpit"

Auftraggeber: das jeweilige Engel & Völkers Büro, das einen EV-Cockpit-Zugang gebucht hat (im individuellen Vertrag namentlich benannt) — nachfolgend „Auftraggeber" oder „Verantwortlicher" —

1. Gegenstand und Dauer der Verarbeitung

Der Auftragsverarbeiter stellt dem Auftraggeber die Software „EV Cockpit" als gehostete Anwendung (SaaS) zur internen Büroorganisation zur Verfügung und verarbeitet dabei in dessen Auftrag personenbezogene Daten gemäß Art. 28 DSGVO. Dieser Vertrag gilt für die Dauer der Hauptvereinbarung (Nutzung von EV Cockpit) und endet automatisch mit deren Beendigung.

2. Art und Zweck der Verarbeitung

Die Verarbeitung umfasst je nach den vom Auftraggeber gebuchten und genutzten Modulen insbesondere:

• Zeiterfassung, Abwesenheits- und Urlaubsverwaltung (Modul EV HR)
• Personalstammdaten und Nutzerverwaltung (Login per Google-SSO, Modul-Berechtigungen)
• Provisions- und Reisekostenabrechnung
• Rechnungswesen inkl. KI-gestützter Belegerkennung (Modul EVFiBu)
• Objekt-, Akquise- und Kontaktdaten (Objektliste, Farming)
• sonstige im Rahmen der internen Büroorganisation anfallende Daten (z. B. ToDo-Listen, Linksammlung)

Zweck der Verarbeitung ist ausschließlich die Erbringung der vom Auftraggeber gebuchten Funktionen von EV Cockpit. Eine Verarbeitung zu eigenen Zwecken des Auftragsverarbeiters findet nicht statt.

3. Kategorien betroffener Personen

• Mitarbeitende des Auftraggebers
• Kund:innen und Interessent:innen des Auftraggebers (soweit im Rahmen der Objekt-/Akquiseverwaltung erfasst)
• sonstige Kontakte, die der Auftraggeber selbst in EV Cockpit erfasst (z. B. Rechnungssteller)

4. Kategorien personenbezogener Daten

• Stammdaten (Name, E-Mail, Telefon)
• Beschäftigungsdaten (Arbeitszeiten, Abwesenheiten, Gehaltsrelevante Provisions-/Reisekostendaten)
• Rechnungs- und Zahlungsdaten Dritter (im Rahmen von EVFiBu)
• Nutzungsdaten der Anwendung (Login-Zeitpunkte, Modul-Zugriffe)

Eine Verarbeitung besonderer Kategorien personenbezogener Daten nach Art. 9 DSGVO ist nicht vorgesehen; sollten krankheitsbedingte Abwesenheiten erfasst werden, beschränkt sich dies auf den Zeitraum der Abwesenheit ohne Diagnoseangaben.

5. Pflichten des Auftragsverarbeiters

Der Auftragsverarbeiter verpflichtet sich,

• personenbezogene Daten ausschließlich auf dokumentierte Weisung des Auftraggebers zu verarbeiten, es sei denn, er ist gesetzlich zu einer anderweitigen Verarbeitung verpflichtet;
• die zur Verarbeitung befugten Personen zur Vertraulichkeit zu verpflichten;
• alle nach Art. 32 DSGVO erforderlichen technischen und organisatorischen Maßnahmen zu treffen (siehe Anlage 1);
• den Auftraggeber bei der Erfüllung von dessen Pflichten nach Art. 32–36 DSGVO angemessen zu unterstützen, insbesondere bei Auskunftsersuchen und Meldungen von Datenschutzverletzungen;
• den Auftraggeber unverzüglich zu informieren, sollte er eine Verletzung des Schutzes personenbezogener Daten feststellen;
• dem Auftraggeber alle zum Nachweis der Einhaltung dieses Vertrags erforderlichen Informationen zur Verfügung zu stellen und Kontrollen zu ermöglichen;
• nach Beendigung der Nutzung sämtliche personenbezogenen Daten nach Wahl des Auftraggebers zu löschen oder zurückzugeben, soweit keine gesetzliche Aufbewahrungspflicht entgegensteht (siehe Ziffer 8).

6. Unterauftragsverarbeiter

Der Auftraggeber erteilt hiermit eine allgemeine Genehmigung zum Einsatz der folgenden Unterauftragsverarbeiter. Der Auftragsverarbeiter informiert den Auftraggeber vorab über beabsichtigte Änderungen; der Auftraggeber kann der Änderung innerhalb angemessener Frist widersprechen.

Eine Übermittlung von Daten außerhalb des in dieser Tabelle genannten Rahmens erfolgt nicht.

7. Technische und organisatorische Maßnahmen

Die aktuell umgesetzten Maßnahmen sind in Anlage 1 aufgeführt. Der Auftragsverarbeiter ist berechtigt, einzelne Maßnahmen im Zuge des technischen Fortschritts zu ändern, sofern das ursprüngliche Schutzniveau nicht unterschritten wird.

8. Löschung und Rückgabe

Nach Beendigung der Vertragsbeziehung stellt der Auftragsverarbeiter dem Auftraggeber auf Anfrage einen vollständigen Export der gespeicherten Daten in einem gängigen, maschinenlesbaren Format zur Verfügung. Spätestens 30 Tage nach Vertragsende werden alle verbleibenden personenbezogenen Daten des Auftraggebers unwiderruflich gelöscht, einschließlich der zugehörigen Datenbank, Dateiablagen und Zugangsdaten, soweit keine gesetzliche Aufbewahrungspflicht (z. B. handels- oder steuerrechtliche Fristen für Rechnungsdaten) entgegensteht.

9. Haftung

Es gelten die gesetzlichen Haftungsregelungen der Art. 82, 28 DSGVO sowie die Haftungsregelungen der Hauptvereinbarung.

10. Schlussbestimmungen

Änderungen und Ergänzungen dieses Vertrags bedürfen der Textform. Sollte eine Bestimmung dieses Vertrags unwirksam sein, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt. Es gilt deutsches Recht.

Anlage 1 — Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

• Mandantentrennung: jedes Büro erhält eine physisch getrennte Datenbank sowie ein eigenes Verzeichnis auf dem Server — keine gemeinsame Datenhaltung zwischen Kunden.
• Verschlüsselung ruhender Daten: Zugangsdaten und API-Schlüssel werden verschlüsselt gespeichert (libsodium/secretbox), der Master-Schlüssel liegt getrennt von der Datenbank.
• Verschlüsselung bei Übertragung: jede Verbindung ist ausschließlich per TLS (Let's Encrypt-Zertifikate) erreichbar.
• Zutritts- und Zugriffskontrolle: Serverzugriff ausschließlich per SSH-Schlüssel für autorisiertes Personal, keine Passwort-Logins; administrativer Zugriff auf die Kundendaten ist auf das zur Fehlerbehebung und zum Support erforderliche Maß beschränkt (Need-to-know-Prinzip).
• Verfügbarkeit und Belastbarkeit: regelmäßige Backups, Firewall (UFW) und automatisierte Einbruchserkennung (fail2ban), automatische Sicherheitsupdates.
• Trennbarkeit: pro Mandant getrennte Datenbankzugänge mit jeweils eigenem, zufällig generiertem Passwort.
• Auftragskontrolle: Unterauftragsverarbeiter gemäß Ziffer 6 sind vertraglich zur Einhaltung eines vergleichbaren Schutzniveaus verpflichtet.