Vertrag zur Auftragsverarbeitung (AVV)

ENTWURF zur rechtlichen Prüfung. Dieser Text ist noch nicht von einer Anwältin oder einem Anwalt geprüft. Er darf erst nach dieser Prüfung als verbindlicher Vertrag verwendet werden. Stand: 22.10.2026, Version 0.1.

nach Art. 28 Datenschutz-Grundverordnung (DSGVO)

1. Vertragsparteien

Auftraggeber (Verantwortlicher): der Betrieb, der sich bei Vorab-Check registriert hat, mit den bei der Einrichtung angegebenen Daten.

Auftragnehmer (Auftragsverarbeiter): Adrian Berisha, Vorab-Check, Alleenstraße 29, 74321 Bietigheim-Bissingen, E-Mail: [E-Mail]

Der Vertrag wird elektronisch geschlossen, indem der Auftraggeber ihn bei der Einrichtung bestätigt. Zeitpunkt und bestätigendes Konto werden gespeichert.

2. Gegenstand und Dauer

Der Auftragnehmer betreibt für den Auftraggeber einen Assistenten im WhatsApp-Kanal des Auftraggebers (Vorab-Check). Der Assistent beantwortet Anfragen von Endkunden zu Wärmepumpen und anderen Leistungen, stellt Fragen, nimmt Fotos entgegen, berechnet eine unverbindliche Preisspanne mit Förderung, ordnet die Anfrage ein und schlägt Termine vor. Antworten gehen je nach Einstellung erst nach Freigabe durch den Auftraggeber an den Endkunden.

Der Vertrag gilt, solange der Auftraggeber Vorab-Check nutzt. Er endet mit dem Ende des Nutzungsvertrags. Die Pflichten aus Nr. 11 gelten darüber hinaus.

3. Art und Zweck der Verarbeitung

Empfangen, Speichern und Anzeigen von WhatsApp-Nachrichten und Fotos der Endkunden
Auswertung von Texten und Fotos mit einem KI-Dienst, um Antworten zu verstehen und Typenschilder zu lesen
Berechnung von Heizlast, Preisspanne und Förderung nach den Vorgaben des Auftraggebers
Benachrichtigung des Auftraggebers per WhatsApp und Anzeige in der Büro-Oberfläche
Zählen der Anfragen für die Abrechnung

Zweck ist allein die Vorbereitung von Angeboten und Terminen des Auftraggebers. Der Auftragnehmer nutzt die Daten nicht für eigene Zwecke, insbesondere nicht für Werbung und nicht zum Training von KI-Modellen.

4. Art der Daten und betroffene Personen

Betroffene Personen: Endkunden und Interessenten des Auftraggebers, die über WhatsApp schreiben; Mitarbeiter des Auftraggebers, die Vorab-Check nutzen.

Datenarten:

Name, WhatsApp-Nummer, Anschrift, Postleitzahl
Inhalt der Nachrichten (Sprachnachrichten werden derzeit nicht ausgewertet)
Angaben zum Gebäude und zur Heizung (Wohnfläche, Baujahr, Verbrauch, Heizkörper)
Fotos (Heizungsraum, Typenschild, Aufstellort, Hausansicht)
freiwillige Angabe zur Einkommensgrenze für den Einkommensbonus der Förderung
Terminwünsche
bei Mitarbeitern: Name, E-Mail, WhatsApp-Nummer, Anmeldezeiten

Besondere Kategorien nach Art. 9 DSGVO werden nicht gezielt verarbeitet. Schreibt ein Endkunde sie von sich aus (z. B. Gesundheitsangaben), werden sie wie die übrigen Nachrichten behandelt.

5. Weisungen

Der Auftragnehmer verarbeitet die Daten nur auf dokumentierte Weisung des Auftraggebers. Weisungen sind dieser Vertrag und die Einstellungen, die der Auftraggeber in Vorab-Check vornimmt (z. B. Freigabe-Modus, Preisliste, Einsatzgebiet). Weitere Weisungen erteilt der Auftraggeber in Textform. Hält der Auftragnehmer eine Weisung für rechtswidrig, sagt er das dem Auftraggeber unverzüglich.

6. Pflichten des Auftragnehmers

Personen, die Zugriff auf die Daten haben, sind zur Vertraulichkeit verpflichtet.
Der Auftragnehmer trifft die technischen und organisatorischen Maßnahmen aus Anlage 1.
Er unterstützt den Auftraggeber bei Anfragen betroffener Personen (Auskunft, Löschung, Berichtigung) und bei Meldungen nach Art. 33 und 34 DSGVO.
Er meldet Verletzungen des Schutzes personenbezogener Daten unverzüglich, möglichst innerhalb von 24 Stunden nach Kenntnis.
Er stellt dem Auftraggeber die Informationen bereit, die zum Nachweis dieser Pflichten nötig sind.

7. Unterauftragsverarbeiter

Der Auftraggeber genehmigt die folgenden Unterauftragsverarbeiter:

Supabase Inc., USA: Datenbank, Anmeldung und Speicher für Fotos. Serverstandort Frankfurt am Main (EU).
Vercel Inc., USA: Betrieb der Web-Anwendung. Verarbeitung in der EU angestrebt, Zugriffe aus den USA möglich.
Anthropic PBC, USA: KI-Dienst zum Verstehen von Texten und Lesen von Fotos. Daten aus der Schnittstelle werden laut Anbieter nicht zum Training genutzt.
Meta Platforms Ireland Ltd., Irland: WhatsApp Business Plattform (Cloud API), soweit die WhatsApp-Nummer über das Konto des Auftragnehmers läuft. Läuft sie über ein eigenes WhatsApp-Business-Konto des Auftraggebers, ist Meta direkt dessen Dienstleister.

Zur Prüfung: Für Übermittlungen in die USA ist je Anbieter festzuhalten, ob er nach dem EU-US Data Privacy Framework zertifiziert ist oder ob EU-Standardvertragsklauseln gelten. Außerdem ist die Rolle von Meta (Unterauftragsverarbeiter oder eigener Dienstleister des Betriebs) zu klären.

Neue oder geänderte Unterauftragsverarbeiter kündigt der Auftragnehmer mindestens 4 Wochen vorher in Textform an. Der Auftraggeber kann aus wichtigem datenschutzrechtlichem Grund widersprechen. Kommt keine Einigung zustande, kann er den Vertrag zum Wechsel kündigen.

Stripe (Zahlungsabwicklung) verarbeitet nur die Abrechnungsdaten des Auftraggebers selbst. Dafür ist der Auftragnehmer eigener Verantwortlicher, Stripe ist daher kein Unterauftragsverarbeiter nach diesem Vertrag.

8. Rechte des Auftraggebers

Der Auftraggeber kann die Einhaltung dieses Vertrags prüfen, in der Regel durch Auskünfte und Nachweise in Textform. Vor-Ort-Prüfungen sind nach rechtzeitiger Ankündigung zu den üblichen Geschäftszeiten möglich.

9. Pflichten des Auftraggebers

Der Auftraggeber ist für die Rechtmäßigkeit der Verarbeitung verantwortlich. Er informiert seine Endkunden über die Verarbeitung, z. B. in seiner Datenschutzerklärung und in der ersten Nachricht des Assistenten. Er gibt im Assistenten keine Daten an, die er nicht verarbeiten darf.

10. Haftung

Es gilt Art. 82 DSGVO. Weitere Regelungen enthält der Nutzungsvertrag.

11. Löschung und Rückgabe

Nach Ende des Vertrags löscht der Auftragnehmer alle Daten des Auftraggebers innerhalb von 30 Tagen, sofern keine gesetzliche Pflicht zur Aufbewahrung besteht. Auf Wunsch erhält der Auftraggeber vorher eine Kopie seiner Anfragen in einem gängigen Format.

Während der Laufzeit werden Chats und Fotos 12 Monate nach der letzten Nachricht einer Anfrage gelöscht, wenn der Auftraggeber keine andere Frist einstellt.

Zur Prüfung: Die Löschfrist von 12 Monaten ist ein Vorschlag. Die automatische Löschung ist technisch noch nicht umgesetzt.

12. Schlussbestimmungen

Änderungen bedürfen der Textform. Ist eine Bestimmung unwirksam, bleibt der Rest wirksam. Es gilt deutsches Recht.

Anlage 1: Technische und organisatorische Maßnahmen

Vertraulichkeit

Zugang zur Büro-Oberfläche nur mit persönlichem Konto (Anmeldung per E-Mail-Link)
Jeder Betrieb sieht nur seine eigenen Daten, technisch durchgesetzt in der Datenbank (Row Level Security)
Fotos liegen in einem privaten Speicher, nur angemeldete Mitglieder des Betriebs können sie abrufen
Schlüssel und Passwörter liegen nicht im Quellcode

Integrität

Nachrichten von WhatsApp und Stripe werden nur mit gültiger Signatur angenommen
Übertragung nur verschlüsselt (HTTPS/TLS)
Änderungen an Anfragen und Freigaben werden mit Zeitpunkt gespeichert

Verfügbarkeit

Hosting bei etablierten Anbietern mit automatischen Sicherungen der Datenbank
Fehler werden protokolliert, ohne Inhalte von Kundennachrichten in die Protokolle zu schreiben

Überprüfung

Die Maßnahmen werden mindestens einmal im Jahr und bei größeren Änderungen geprüft