Auftragsbearbeitungsvertrag ImmoBuddy (AVV)

Stand: 12.10.2026

zwischen dem Kunden gemäss Bestellung (nachfolgend «Verantwortlicher») und der Makler Service AG, Baarerstrasse 133, 6300 Zug, Schweiz (nachfolgend «Auftragsbearbeiterin»).

Dieser Vertrag wird mit Abschluss des Nutzungsvertrags über ImmoBuddy Vertragsbestandteil und bedarf keiner gesonderten Unterzeichnung. Er regelt die Auftragsbearbeitung nach Art. 9 DSG und, soweit anwendbar, Art. 28 DSGVO.

1. Gegenstand und Dauer

1.1 Die Auftragsbearbeiterin stellt dem Verantwortlichen die SaaS-Plattform ImmoBuddy bereit. Dabei bearbeitet sie Personendaten, die der Verantwortliche oder dessen Nutzer in die Plattform einbringen (nachfolgend «Kundendaten»), im Auftrag des Verantwortlichen.

1.2 Die Dauer entspricht der Laufzeit des Nutzungsvertrags. Eine ordentliche Kündigung dieses AVV allein ist ausgeschlossen; er endet mit dem Nutzungsvertrag. Die Pflichten zu Löschung und Rückgabe gelten darüber hinaus bis zu ihrer Erfüllung.

2. Art und Zweck der Bearbeitung, Datenkategorien, betroffene Personen

Die Einzelheiten sind in Anhang 1 beschrieben.

3. Weisungen

3.1 Die Auftragsbearbeiterin bearbeitet Kundendaten ausschliesslich nach dokumentierten Weisungen des Verantwortlichen. Als Weisungen gelten der Nutzungsvertrag, dieser AVV samt Anhängen, die Paketbeschreibung (einschliesslich der paketabhängigen automatischen Löschung von Chats nach 7 beziehungsweise 90 Tagen) sowie die Konfiguration der Plattform durch den Verantwortlichen (Uploads, Konnektoren, Freigaben, Löschungen, Nutzerverwaltung). Weitere Weisungen sind in Textform an [email protected] zu richten; mündlich erteilte Weisungen bestätigt der Verantwortliche unverzüglich in Textform. Die Auftragsbearbeiterin dokumentiert alle Weisungen manipulationssicher und leitet sie, soweit erforderlich, an ihre Unterauftragsbearbeiter weiter.

3.2 Eine Bearbeitung zu eigenen Zwecken, insbesondere für Werbung, Profilbildung oder das Training von KI-Modellen, ist ausgeschlossen. Davon unberührt bleiben Bearbeitungen, zu denen die Auftragsbearbeiterin gesetzlich verpflichtet ist; sie informiert den Verantwortlichen darüber vorab, soweit zulässig.

3.3 Hält die Auftragsbearbeiterin eine Weisung für rechtswidrig, teilt sie dies dem Verantwortlichen unverzüglich mit und kann die Ausführung bis zur Bestätigung aussetzen.

3.4 Zusätzliche Weisungen sind im Rahmen des Standardprodukts zulässig. Erfordert eine Weisung individuelle technische oder organisatorische Massnahmen, kann die Auftragsbearbeiterin die Ausführung von der Übernahme der dadurch entstehenden Kosten durch den Verantwortlichen abhängig machen und ihn vorab darüber informieren. Weisungen, die Sicherheit, Integrität oder Betrieb der Plattform für andere Kunden beeinträchtigen würden, kann sie ablehnen.

4. Pflichten des Verantwortlichen

4.1 Der Verantwortliche ist für die Rechtmässigkeit der Kundendaten, die Information der betroffenen Personen und die Beantwortung von Betroffenenanfragen verantwortlich.

4.2 Er bringt keine Daten in die Plattform ein, deren Bearbeitung unzulässig ist, und beschränkt besonders schützenswerte Personendaten auf das für den Geschäftszweck Erforderliche.

4.3 Er verwaltet die Nutzer seines Team-Kontos eigenverantwortlich und entfernt ausgeschiedene Nutzer unverzüglich.

4.4 Der Verantwortliche ist allein verantwortlich für die Einhaltung der ihn treffenden gesetzlichen Aufbewahrungs- und Löschpflichten (etwa nach Geldwäscherecht oder Handelsrecht). Die Auftragsbearbeiterin erbringt hierzu keine Beratung und löscht Kundendaten nur nach Massgabe von Ziffer 12.

4.5 Stellt der Verantwortliche Fehler oder Unregelmässigkeiten bei der Bearbeitung von Kundendaten fest, informiert er die Auftragsbearbeiterin unverzüglich und vollständig.

5. Vertraulichkeit

Die Auftragsbearbeiterin verpflichtet alle Personen, die Zugang zu Kundendaten haben, zur Vertraulichkeit. Der Zugriff ist auf Personen beschränkt, die ihn zur Vertragserfüllung benötigen, und wird protokolliert.

6. Technische und organisatorische Massnahmen

6.1 Die Auftragsbearbeiterin trifft die in Anhang 2 beschriebenen Massnahmen. Sie kann diese weiterentwickeln, sofern das Schutzniveau nicht unterschritten wird.

6.2 Auf Anfrage stellt sie dem Verantwortlichen die aktuelle Beschreibung der Massnahmen zur Verfügung.

7. Unterauftragsbearbeiter

7.1 Der Verantwortliche genehmigt den Einsatz der in Anhang 3 genannten Unterauftragsbearbeiter.

7.2 Die Auftragsbearbeiterin informiert den Verantwortlichen mindestens 30 Tage vor dem Einsatz eines neuen oder dem Austausch eines bestehenden Unterauftragsbearbeiters per E-Mail. Der Verantwortliche kann innerhalb dieser Frist aus wichtigem datenschutzrechtlichem Grund widersprechen. Kommt keine Einigung zustande, kann jede Partei den Nutzungsvertrag zum Zeitpunkt des Wirksamwerdens der Änderung kündigen.

7.3 Die Auftragsbearbeiterin schliesst mit jedem Unterauftragsbearbeiter einen Vertrag, der diesem die gleichen Datenschutzpflichten auferlegt, und bleibt für dessen Leistung verantwortlich.

7.4 Keine Unterauftragsbearbeitung sind Hilfsleistungen Dritter, bei denen eine Offenlegung von Kundendaten nicht zu erwarten ist, insbesondere Telekommunikations-, Zahlungs- und Postdienste. Die Auftragsbearbeiterin trifft auch für solche Leistungen angemessene vertragliche Vereinbarungen zum Schutz der Daten.

8. Bekanntgabe ins Ausland

8.1 Kerndaten der Plattform (Chats, Uploads, Wissensbasen, Embeddings) werden in Deutschland gespeichert. KI-Verarbeitung erfolgt über EU-Endpunkte von Google Vertex AI. Die Standorte der eingesetzten Rechenzentren ergeben sich aus Anhang 3; Änderungen teilt die Auftragsbearbeiterin dem Verantwortlichen mit.

8.2 Soweit Unterauftragsbearbeiter Daten ausserhalb der Schweiz und des EWR bearbeiten oder von dort darauf zugreifen können, erfolgt dies auf Grundlage der EU-Standardvertragsklauseln mit Schweizer Ergänzung oder einer Zertifizierung nach dem EU-US beziehungsweise Schweiz-US Data Privacy Framework (Anhang 3).

9. Unterstützung des Verantwortlichen

9.1 Die Auftragsbearbeiterin unterstützt den Verantwortlichen bei der Beantwortung von Betroffenenanfragen durch die Export-, Berichtigungs- und Löschfunktionen der Plattform. Betroffenenanfragen, die bei der Auftragsbearbeiterin eingehen, leitet sie unverzüglich an den Verantwortlichen weiter.

9.2 Sie unterstützt den Verantwortlichen bei Datenschutz-Folgenabschätzungen und Konsultationen von Aufsichtsbehörden, soweit die Bearbeitung in der Plattform betroffen ist. Aufwand, der über die Bereitstellung vorhandener Dokumentation hinausgeht, kann nach Aufwand verrechnet werden.

10. Verletzungen der Datensicherheit

10.1 Die Auftragsbearbeiterin meldet dem Verantwortlichen eine Verletzung der Datensicherheit, die Kundendaten betrifft, unverzüglich nach Kenntnis, spätestens innerhalb von 48 Stunden, an die hinterlegte Administrator-E-Mail-Adresse.

10.2 Die Meldung enthält, soweit bekannt: Art der Verletzung, betroffene Datenkategorien und ungefähre Anzahl betroffener Personen, wahrscheinliche Folgen, ergriffene und vorgeschlagene Massnahmen. Informationen, die noch nicht vorliegen, werden nachgereicht.

10.3 Die Meldepflicht gilt auch bei Beschlagnahme oder Pfändung von Systemen, bei behördlichen oder gerichtlichen Herausgabeverlangen, soweit eine Mitteilung zulässig ist, bei unbefugten Zugriffen Dritter sowie bei schwerwiegenden Betriebsstörungen, die Kundendaten betreffen. Die Auftragsbearbeiterin wirkt angemessen an der Aufklärung mit, trifft in Abstimmung mit dem Verantwortlichen Massnahmen zur Sicherung der Daten und weist Dritte darauf hin, dass die Verantwortlichkeit für die Kundendaten beim Verantwortlichen liegt.

11. Nachweise und Kontrollen

11.1 Die Auftragsbearbeiterin stellt dem Verantwortlichen auf Anfrage die zur Erfüllung seiner Nachweispflichten erforderlichen Informationen zur Verfügung, insbesondere die Beschreibung der Massnahmen nach Anhang 2 und die Liste nach Anhang 3.

11.2 Der Verantwortliche kann einmal jährlich, oder bei konkretem Verdacht auf einen Verstoss, eine Überprüfung verlangen. Die Überprüfung erfolgt vorrangig durch schriftliche Auskunft, Vorlage von Dokumentation oder Berichte eines unabhängigen Prüfers. Vor-Ort-Prüfungen sind mit einer Ankündigungsfrist von 30 Tagen während der Geschäftszeiten möglich und dürfen den Betrieb und Daten anderer Kunden nicht beeinträchtigen.

12. Löschung und Rückgabe

12.1 Die Auftragsbearbeiterin stellt dem Verantwortlichen in der Plattform Funktionen bereit, mit denen er Kundendaten jederzeit einzeln oder vollständig löschen und exportieren kann. Solange keine Löschung durch den Verantwortlichen oder seine Nutzer erfolgt und keine paketabhängige Löschfrist greift, speichert die Auftragsbearbeiterin die Kundendaten für die Dauer des Nutzungsvertrags.

12.2 Nach Vertragsende löscht die Auftragsbearbeiterin sämtliche Kundendaten einschliesslich Suchindizes, Embeddings und Quellenhinweisen innerhalb von 30 Tagen. Innerhalb dieser Frist kann der Verantwortliche seine Daten exportieren.

12.3 Vom Nutzer gelöschte Chats werden für 90 Tage mit eingeschränktem Zugriff zur Missbrauchsabwehr aufbewahrt und danach gelöscht. Protokolldaten werden nach 180 Tagen gelöscht. Backup-Kopien werden spätestens nach 3 Jahren überschrieben und bis dahin nicht aktiv verwendet.

12.4 Gesetzliche Aufbewahrungspflichten bleiben vorbehalten; die betroffenen Daten werden bis zum Ablauf der Pflicht gesperrt. Die Auftragsbearbeiterin darf Dokumentation, die ausschliesslich dem Nachweis der ordnungsgemässen Auftragsbearbeitung dient (insbesondere Weisungen, Lösch- und Zugriffsprotokolle), über das Vertragsende hinaus aufbewahren und nur zu diesem Zweck verwenden.

13. Haftung und Schlussbestimmungen

13.1 Für die Haftung der Auftragsbearbeiterin gelten die Haftungsregelungen des Nutzungsvertrags entsprechend. Jede Partei haftet im Aussenverhältnis nach den gesetzlichen Vorschriften; im Innenverhältnis haftet sie für Verstösse gegen Datenschutzrecht, die sie zu vertreten hat. Nimmt eine betroffene Person oder eine Behörde die Auftragsbearbeiterin wegen eines Verstosses in Anspruch, den der Verantwortliche zu vertreten hat, insbesondere wegen unrechtmässig eingebrachter Kundendaten, fehlender Information der betroffenen Personen oder einer verspäteten oder unvollständigen Meldung nach Ziffer 4.5, stellt der Verantwortliche die Auftragsbearbeiterin von diesen Ansprüchen einschliesslich Bussgeldern und angemessener Rechtsverteidigungskosten frei. Bei gemeinsam verursachten Verstössen tragen die Parteien den Schaden im Innenverhältnis anteilig nach ihrem Verursachungsbeitrag.

13.2 Es gilt Schweizer Recht; Gerichtsstand ist Zug. Soweit die DSGVO zwingend anwendbar ist, gehen deren Bestimmungen vor.

13.3 Änderungen dieses AVV bedürfen der Textform. Bei Widersprüchen zwischen AVV und Nutzungsvertrag geht in Datenschutzfragen der AVV vor.

Anhang 1: Beschreibung der Bearbeitung

Gegenstand ist die Bereitstellung der KI-gestützten SaaS-Plattform ImmoBuddy für den Geschäftsbetrieb des Verantwortlichen; die Dauer entspricht der Laufzeit des Nutzungsvertrags plus 30 Tage für Export und Löschung. Besonders schützenswerte Personendaten sind nicht vorgesehen, können aber in Uploads enthalten sein, sofern der Verantwortliche dies zulässt. Die einzelnen Verarbeitungstätigkeiten:

Anhang 2: Technische und organisatorische Massnahmen

Anhang 3: Genehmigte Unterauftragsbearbeiter

Stripe, Aircall, Calendly, Zoom, GetResponse und Google Workspace (ausser Drive-Backup) bearbeiten keine Kundendaten im Sinne dieses AVV und sind deshalb nicht als Unterauftragsbearbeiter aufgeführt.