DATENSCHUTZERKLÄRUNG INTERNETAUFTRITT

Die auf diesem Webangebot zur Verfügung gestellte Möglichkeit zur kostenpflichtigen Online-Bestellung von Energieausweisen bei https://www.energieausweis-online-erstellen.de wird über die  „Immoticket24.de GmbH“ (ansässig in Welling, Deutschland) bereitgestellt.

Diese Funktion ermöglicht den Nutzern die kostenpflichtige Bestellung von Verbrauchs- oder Bedarfsausweisen nach dem Gebäudeenergiegesetz 2020 (GEG 2020).

Wenn Sie Ihre Daten in das Formular zur Erstellung eines Online Energieausweises eintragen und im Schritt „Energieausweis-Basisdaten“ die Schaltfläche „Energieausweis-Erstellung beginnen“ anklicken, werden Ihre Daten zum Zweck der Erstellung des Online- Energieausweises an unseren Kooperationspartner Immoticket24.de GMBH weitergeleitet, die uns die entsprechende Software zur Verfügung stellt und von uns als Auftragsverarbeiter nach der Datenschutzgrundverordnung verpflichtet ist.

Ebenso erhalten möglicherweise die von uns zur Bereitstellung unseres Webangebots eingesetzten Dienstleister Zugriff auf Ihre personenbezogenen Daten

Die Darstellung der jeweiligen Formulare zur Erstellung des Energieausweises  findet bei Aufruf der betreffenden Seiten über die Server des Drittanbieters statt. Der Anbieter protokolliert diese Zugriffe gemäß seiner Datenschutzerklärung in Server-Logfiles und verarbeitet Ihre persönlichen Daten zur Vertragsabwicklung.

 

Version 2026-10-v0.9.4 · Gültig ab: 28. Oktober 2026

Trustlocal Leadgenerierungs-Chatbot

Version 0.9.4, 28. Oktober 2026

Bestandteil der Allgemeinen Geschäftsbedingungen der Advanza B.V. für Dienstleister auf Trustlocal.de

Parteien

1. Advanza B.V., eine Gesellschaft mit beschränkter Haftung (besloten vennootschap) niederländischen Rechts mit satzungsmäßigem Sitz in Amsterdam und Geschäftsanschrift Teleportboulevard 140, 1043 EJ Amsterdam, Niederlande, eingetragen im Handelsregister der niederländischen Handelskammer (KvK) unter Nr. 62910353, USt-IdNr. NL855009706B01, tätig unter dem Namen Trustlocal, nachfolgend "Trustlocal" oder "Auftragsverarbeiter" genannt;

und

2. Der Dienstleister, d. h. Conrad Immobilien, das ein Premium-Abonnement auf Trustlocal.de abgeschlossen hat und den Trustlocal Chatbot auf seiner eigenen Website aktiviert, identifiziert anhand der Unternehmensdaten in seinem Trustlocal-Konto (Firmenname, Handelsregisternummer bzw. Steuernummer, Anschrift und Ansprechpartner), nachfolgend "Dienstleister" oder "Verantwortlicher" genannt;

Trustlocal und der Dienstleister nachfolgend gemeinsam die "Parteien" und einzeln eine "Partei" genannt.

Vorbemerkungen

1. Trustlocal betreibt die Plattform Trustlocal.de, auf der Verbraucher Angebote bei lokalen Dienstleistern anfragen. Der Dienstleister hat mit Trustlocal einen Vertrag über ein Premium-Abonnement geschlossen (der "Hauptvertrag"), auf den die Allgemeinen Geschäftsbedingungen von Trustlocal Anwendung finden.
2. Trustlocal bietet Premium-Dienstleistern den Trustlocal Chatbot an: ein Chat-Widget, das der Dienstleister über ein HTML-Fragment oder das Trustlocal WordPress-Plugin auf seiner eigenen Website einbindet. Das Widget beantwortet Fragen von Websitebesuchern auf Grundlage der öffentlichen Inhalte der Website des Dienstleisters und ermöglicht es Besuchern, eine Angebotsanfrage oder einen Rückrufwunsch zu hinterlassen oder über WhatsApp Kontakt mit dem Dienstleister aufzunehmen (der "Dienst").
3. Bei der Erbringung des Dienstes verarbeitet Trustlocal personenbezogene Daten von Besuchern der Website des Dienstleisters. Diese Besucher haben sich an den Dienstleister gewandt, nicht an Trustlocal. Der Dienstleister entscheidet über die Zwecke und Mittel dieser Verarbeitung und ist hierfür Verantwortlicher im Sinne von Art. 4 Nr. 7 der Datenschutz-Grundverordnung ("DSGVO"). Trustlocal verarbeitet diese Daten im Auftrag des Dienstleisters und ist hierfür Auftragsverarbeiter im Sinne von Art. 4 Nr. 8 DSGVO.
4. Für eine begrenzte Zahl von Verarbeitungen, die in Artikel 3 und Anlage 4 beschrieben sind, entscheidet Trustlocal selbst über Zwecke und Mittel und ist eigenständiger Verantwortlicher. Diese Verarbeitungen fallen nicht unter das Auftragsverarbeitungsverhältnis, werden aber aus Gründen der Transparenz in diesem Vertrag benannt.
5. Die Parteien möchten mit diesem Auftragsverarbeitungsvertrag (der "Auftragsverarbeitungsvertrag") Art. 28 Abs. 3 DSGVO umsetzen und ihre Vereinbarungen über die Verarbeitung personenbezogener Daten festhalten.

Artikel 1. Begriffsbestimmungen

1.1 Begriffe der DSGVO, wie "personenbezogene Daten", "Verarbeitung", "Verantwortlicher", "Auftragsverarbeiter", "betroffene Person", "Verletzung des Schutzes personenbezogener Daten" und "Aufsichtsbehörde", haben in diesem Auftragsverarbeitungsvertrag die Bedeutung, die ihnen die DSGVO beimisst.

1.2 Darüber hinaus gelten die folgenden Begriffsbestimmungen:

Besucher: eine natürliche Person, die die Website des Dienstleisters besucht und mit dem Chatbot interagiert.

Chatbot oder Widget: das von Trustlocal entwickelte und betriebene Chat-Widget, einschließlich des zugehörigen Skripts, des Stylesheets, des WordPress-Plugins, des Chat-Proxys, der Retrieval-Komponente (der "Supply Agent") und der zugrunde liegenden Schnittstellen (APIs).

Dashboard: die gesicherte Online-Umgebung von Trustlocal, in der der Dienstleister sein Konto, seine Anfragen und seine Einstellungen verwaltet.

Lead: eine von einem Besucher über den Chatbot übermittelte Angebotsanfrage oder ein Rückrufwunsch, einschließlich der vom Besucher dabei angegebenen Kontaktdaten.

Personenbezogene Daten: alle personenbezogenen Daten, die Trustlocal im Rahmen des Dienstes im Auftrag des Dienstleisters verarbeitet, wie näher in Anlage 1 beschrieben.

Unterauftragsverarbeiter: ein von Trustlocal eingeschalteter Dritter, der im Rahmen des Dienstes personenbezogene Daten verarbeitet, wie in Anlage 2 aufgeführt.

Websiteinhalte: die öffentlich zugänglichen Inhalte der Website des Dienstleisters, die der Chatbot indexiert, um Fragen von Besuchern zu beantworten.

Artikel 2. Anwendbarkeit und Rangfolge

2.1 Dieser Auftragsverarbeitungsvertrag gilt für jede Verarbeitung personenbezogener Daten durch Trustlocal im Rahmen des Dienstes und ist integraler Bestandteil des Hauptvertrags.

2.2 Der Dienstleister nimmt diesen Auftragsverarbeitungsvertrag an, indem er den Chatbot im Dashboard aktiviert. Trustlocal hält den Zeitpunkt der Annahme, die Version des Auftragsverarbeitungsvertrags und die Kontodaten des annehmenden Nutzers fest.

2.3 Bei Widersprüchen zwischen diesem Auftragsverarbeitungsvertrag und dem Hauptvertrag oder den Allgemeinen Geschäftsbedingungen geht dieser Auftragsverarbeitungsvertrag vor, soweit es um die Verarbeitung personenbezogener Daten geht. Bei Widersprüchen zwischen den Bestimmungen dieses Auftragsverarbeitungsvertrags und den Anlagen gehen die Bestimmungen des Auftragsverarbeitungsvertrags vor.

2.4 Dieser Auftragsverarbeitungsvertrag ersetzt alle früheren Vereinbarungen zwischen den Parteien über die Verarbeitung personenbezogener Daten im Rahmen des Dienstes.

Artikel 3. Rollen der Parteien

3.1 Der Dienstleister ist Verantwortlicher und Trustlocal ist Auftragsverarbeiter für die folgenden Verarbeitungen (näher beschrieben in Anlage 1, Teil A):

1. die Beantwortung von Fragen von Besuchern durch den Chatbot, einschließlich des Abrufs relevanter Websiteinhalte und der Generierung der Antwort;
2. der Empfang, die Speicherung und die Bereitstellung von Leads für den Dienstleister über das Dashboard, Push-Benachrichtigungen und E-Mail;
3. die Verarbeitung von Rückmeldungen von Besuchern zu Antworten des Chatbots;
4. die Indexierung von Websiteinhalten für den Chatbot, soweit diese personenbezogene Daten enthalten (zum Beispiel Namen und Fotos von Mitarbeitern des Dienstleisters).

3.2 Trustlocal ist eigenständiger Verantwortlicher ausschließlich für die in Anlage 4 je Tätigkeit beschriebenen und begründeten Verarbeitungen, nämlich: (a) die Messung der Nutzung und Funktionsweise des Chatbots anhand pseudonymisierter Nutzungsereignisse, einschließlich deren Verknüpfung mit der Kennung eines Leads, zum Zweck der Produktverbesserung über alle Dienstleister hinweg und der aggregierten Berichterstattung; und (b) die Sicherheit ihrer eigenen, gemeinsam genutzten Infrastruktur mittels technischer Protokolldateien. Die Verwaltung der Installation des Widgets (Konfiguration und Heartbeat) betrifft Daten des Dienstleisters selbst und fällt unter Artikel 3.3. Alle Verarbeitungen, die ausschließlich zur Erbringung des Dienstes für den Dienstleister erforderlich sind, darunter die Sicherung der personenbezogenen Daten und die Anzeige von Leads und Lead-Statistiken für den Dienstleister im Dashboard, führt Trustlocal als Auftragsverarbeiter durch. Trustlocal verarbeitet für eigene Zwecke keine Chatinhalte und keine Kontaktdaten von Besuchern, verwendet die in Anlage 4 genannten Daten nicht für Profiling oder Entscheidungen über einzelne Besucher und nicht für andere als die dort genannten Zwecke. Die Rollenverteilung folgt aus der tatsächlichen Verarbeitung; die Parteien überprüfen sie erneut, wenn sich der Dienst wesentlich ändert.

3.3 Die Verarbeitung personenbezogener Daten des Dienstleisters selbst und seiner Mitarbeiter als Nutzer des Dashboards sowie die Verarbeitung personenbezogener Daten von Verbrauchern, die über die Plattform Trustlocal.de eine Anfrage stellen, fallen nicht unter diesen Auftragsverarbeitungsvertrag. Hierfür ist Trustlocal eigenständiger Verantwortlicher, wie in der Datenschutzerklärung von Trustlocal beschrieben.

3.4 Sobald der Dienstleister einen Lead erhalten hat, ist er für die weitere Verwendung (Kontaktaufnahme, Angebotserstellung, Kundenbeziehung) außerhalb der Systeme von Trustlocal eigenständiger Verantwortlicher. Ein Gespräch, das ein Besucher über die WhatsApp-Schaltfläche mit dem Dienstleister führt, läuft nicht über Trustlocal; Trustlocal erfasst ausschließlich, dass die Schaltfläche genutzt wurde.

Artikel 4. Gegenstand, Dauer, Art und Zweck der Verarbeitung

4.1 Trustlocal verarbeitet personenbezogene Daten ausschließlich zur Erbringung des Dienstes für den Dienstleister und für die in Anlage 1 beschriebenen Zwecke.

4.2 Art und Zweck der Verarbeitung, die Art der personenbezogenen Daten, die Kategorien betroffener Personen und die Speicherfristen sind in Anlage 1 festgelegt.

4.3 Die Verarbeitung erfolgt für die Dauer dieses Auftragsverarbeitungsvertrags gemäß Artikel 18.

4.4 Der Dienstleister sichert zu, dass der Chatbot nicht zur gezielten Erhebung besonderer Kategorien personenbezogener Daten (Art. 9 DSGVO) oder von Daten über strafrechtliche Verurteilungen und Straftaten (Art. 10 DSGVO) eingesetzt wird. Der Dienstleister gestaltet seine Websiteinhalte, die Angebotsfragen und seine Nutzung des Chatbots so, dass Besucher nicht dazu aufgefordert werden. Dienstleister in Branchen, in denen solche Daten der Anfrage inhärent sind (etwa Gesundheitswesen, Rechtsberatung oder Finanzberatung), setzen den Chatbot nicht ohne eine von Trustlocal schriftlich bestätigte, gesondert geprüfte Konfiguration und ergänzende vertragliche Vereinbarungen ein. Dienstleister, die einer Schweigepflicht nach § 203 StGB unterliegen (etwa Ärzte, Rechtsanwälte, Steuerberater), prüfen vor der Aktivierung eigenverantwortlich, ob und unter welchen Voraussetzungen die Einbindung von Trustlocal als mitwirkende Person im Sinne von § 203 Abs. 3 StGB zulässig ist; Trustlocal stellt hierzu auf Anfrage eine entsprechende Verpflichtungserklärung bereit [VERIFY: Vorlage einer Verpflichtung nach § 203 Abs. 4 StGB durch deutschen Rechtsberater erstellen lassen].

4.5 Nennt ein Besucher solche Daten dennoch aus eigenem Antrieb, gilt Folgendes: (a) der Chatbot fragt nicht nach solchen Daten und hält Besucher, soweit möglich, davon ab, sie mitzuteilen; (b) Trustlocal übernimmt solche Daten nicht in die interne Suchanfrage oder die abgeleiteten Lead-Angaben und beschränkt ihre Aufnahme in die gespeicherte Antwort auf das für die Beantwortung Unvermeidbare; (c) der Zugriff auf den betreffenden Lead oder die Antwort ist auf den Dienstleister und die dazu befugten Mitarbeiter von Trustlocal beschränkt; (d) Trustlocal verwendet die Daten zu keinem anderen Zweck und löscht oder isoliert sie auf erstes schriftliches Verlangen des Dienstleisters; und (e) der Dienstleister beurteilt als Verantwortlicher, ob er die Daten rechtmäßig aufbewahren darf, und weist Trustlocal erforderlichenfalls zur Löschung an. Die bloße Nennung von Daten durch einen Besucher gilt nicht als ausdrückliche Einwilligung im Sinne von Art. 9 Abs. 2 lit. a DSGVO; Trustlocal stellt eine solche Einwilligung weder fest noch dokumentiert sie diese.

Artikel 5. Weisungen

5.1 Trustlocal verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Dienstleisters, es sei denn, eine unionsrechtliche oder mitgliedstaatliche Bestimmung, der Trustlocal unterliegt, verpflichtet zur Verarbeitung. In diesem Fall teilt Trustlocal dem Dienstleister vor der Verarbeitung diese rechtliche Anforderung mit, sofern das betreffende Recht eine solche Mitteilung nicht wegen eines wichtigen öffentlichen Interesses verbietet.

5.2 Dieser Auftragsverarbeitungsvertrag, der Hauptvertrag, die Produktdokumentation des Chatbots und die Einstellungen, die der Dienstleister im Dashboard wählt (darunter die zu aktivierenden Funktionen: KI-Antworten, Angebotsformular, Rückrufwunsch und WhatsApp-Schaltfläche sowie die Wahl, ob sich das Chatfenster nach einer eingestellten Verzögerung automatisch öffnet oder ausschließlich auf Initiative des Besuchers), stellen die vollständigen Weisungen des Dienstleisters dar.

5.3 Ergänzende oder abweichende Weisungen können Trustlocal in Textform (auch per E-Mail) erteilt werden. Trustlocal prüft, ob eine Weisung im Rahmen des Dienstes umsetzbar ist, und informiert den Dienstleister über etwaige Kosten oder Folgen, bevor sie die Weisung ausführt.

5.4 Trustlocal informiert den Dienstleister unverzüglich, wenn sie der Auffassung ist, dass eine Weisung gegen die DSGVO oder andere anwendbare Datenschutzbestimmungen verstößt. Trustlocal ist berechtigt, die Ausführung einer solchen Weisung auszusetzen, bis der Dienstleister die Weisung bestätigt oder geändert hat. Eine Bestätigung durch den Dienstleister verpflichtet Trustlocal nicht zur Durchführung einer Verarbeitung, die nach vernünftiger Einschätzung von Trustlocal rechtswidrig bleibt; in diesem Fall darf Trustlocal die Ausführung verweigern und informiert den Dienstleister in Textform über die Gründe.

Artikel 6. Pflichten von Trustlocal

6.1 Trustlocal wird:

a. personenbezogene Daten nicht für eigene Zwecke verwenden und nicht verkaufen, vermieten oder anderweitig Dritten zur Verfügung stellen. Die Verarbeitungen für eigene Zwecke in Artikel 3.2 und Anlage 4 sind abschließend und betreffen keine Chatinhalte und keine Kontaktdaten von Besuchern. Unterauftragsverarbeiter werden ausschließlich gemäß Artikel 10 eingesetzt;

b. die Inhalte von Gesprächen der Besucher und die Kontaktdaten in Leads nicht zum Training, Finetuning oder zur sonstigen Verbesserung von Sprachmodellen oder anderen Algorithmen verwenden und vertraglich sicherstellen, dass ihre Unterauftragsverarbeiter dies ebenfalls nicht tun;

c. Leads ausschließlich dem Dienstleister zur Verfügung stellen, auf dessen Website der Lead übermittelt wurde, und nicht an andere Dienstleister auf der Plattform weiterleiten;

d. geeignete technische und organisatorische Maßnahmen gemäß Artikel 9 und Anlage 3 treffen;

e. den Dienstleister bei der Erfüllung seiner Pflichten aus den Art. 32 bis 36 DSGVO unterstützen, wie in den Artikeln 12 und 14 festgelegt;

f. den Dienstleister bei der Beantwortung von Anträgen betroffener Personen unterstützen, wie in Artikel 13 festgelegt;

g. personenbezogene Daten nach Abschluss des Dienstes löschen oder zurückgeben, wie in Artikel 16 festgelegt;

h. dem Dienstleister alle Informationen zur Verfügung stellen, die zum Nachweis der Einhaltung von Art. 28 DSGVO erforderlich sind, wie in Artikel 15 festgelegt.

6.2 Trustlocal führt ein Verzeichnis der Kategorien von Verarbeitungstätigkeiten, die sie im Auftrag des Dienstleisters durchführt, gemäß Art. 30 Abs. 2 DSGVO.

6.3 Trustlocal hat eine Anlaufstelle für Datenschutz benannt, erreichbar unter [Diese E-Mail-Adresse ist vor Spambots geschützt! Zur Anzeige muss JavaScript eingeschaltet sein.]. [VERIFY: Hat Advanza B.V. einen Datenschutzbeauftragten im Sinne von Art. 37 DSGVO benannt? Falls ja: hier und in der Datenschutzerklärung den Datenschutzbeauftragten und seine Kontaktdaten nennen. Falls nein: diese Formulierung beibehalten und den Begriff Datenschutzbeauftragter nirgends verwenden. Zudem durch deutschen Rechtsberater prüfen lassen, ob § 38 BDSG auf Advanza B.V. als niederländische Niederlassung ohne deutsche Niederlassung Anwendung findet.]

Artikel 7. Pflichten des Dienstleisters

7.1 Der Dienstleister steht dafür ein, dass die Verarbeitung personenbezogener Daten über den Chatbot rechtmäßig ist, dass er hierfür über eine gültige Rechtsgrundlage verfügt und dass er die betroffenen Personen gemäß den Art. 13 und 14 DSGVO informiert. Der Dienstleister stellt sicher, dass diese Informationen für den Besucher zum Zeitpunkt des Beginns der Erhebung zugänglich sind, mindestens über den Verweis auf die Datenschutzerklärung im Widget.

7.2 Der Dienstleister lässt die von Trustlocal im Widget angebrachten Transparenzelemente unverändert und uneingeschränkt sichtbar. Dies betrifft: den bei der ersten Interaktion deutlich sichtbaren Hinweis, dass der Besucher mit einem automatisierten KI-Assistenten und nicht mit einem Menschen spricht (Art. 50 der Verordnung (EU) 2024/1689, KI-Verordnung); den Verweis auf die Datenschutzerklärung des Dienstleisters; und den Hinweis "ermöglicht durch Trustlocal". Der Hinweis "ermöglicht durch Trustlocal" ersetzt den KI-Hinweis nicht.

7.3 Der Dienstleister ist für den Inhalt seiner Website und für die Einstellungen, die er im Dashboard wählt, verantwortlich. Der Dienstleister bindet das Widget ausschließlich auf Websites ein, deren Eigentümer oder Berechtigter er ist und deren Domainname in seinem Trustlocal-Konto angegeben ist.

7.4 Der Dienstleister geht sorgfältig mit Leads um, die er über das Dashboard, Push-Benachrichtigungen und E-Mail erhält, sichert seine eigenen Konten und Geräte angemessen und verwendet die Kontaktdaten von Besuchern ausschließlich für den Zweck, zu dem der Besucher sie hinterlassen hat: die Beantwortung der Frage und die Bearbeitung der Anfrage. Ein Lead stellt keine Einwilligung in Newsletter, nicht zusammenhängende Werbung oder sonstiges Marketing dar. Für eine solche Verwendung ist der Dienstleister selbst für eine gültige Rechtsgrundlage und für die Einhaltung der Vorschriften über Direktwerbung, insbesondere § 7 UWG, verantwortlich.

7.5 Der Dienstleister informiert Trustlocal unverzüglich, wenn er feststellt, dass der Chatbot fehlerhaft funktioniert, dass auf seiner Seite ein Sicherheitsvorfall vorliegt, der personenbezogene Daten betreffen kann, oder wenn er einen Antrag oder eine Beschwerde einer betroffenen Person oder einer Aufsichtsbehörde erhält, die sich auf den Dienst bezieht.

Artikel 8. Vertraulichkeit

8.1 Trustlocal behandelt die personenbezogenen Daten vertraulich und verarbeitet sie nicht anders als für den Dienst und gemäß diesem Auftragsverarbeitungsvertrag.

8.2 Trustlocal gewährleistet, dass sich die zur Verarbeitung personenbezogener Daten befugten Personen zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen und dass sie nur insoweit Zugang zu den personenbezogenen Daten haben, als dies zur Erfüllung ihrer Aufgaben erforderlich ist.

8.3 Eine Weitergabe personenbezogener Daten an Dritte ist ausschließlich zulässig (a) auf dokumentierte Weisung des Dienstleisters, (b) an gemäß Artikel 10 eingesetzte Unterauftragsverarbeiter oder (c) wenn eine Trustlocal treffende gesetzliche Verpflichtung oder eine gerichtliche oder behördliche Anordnung dies verlangt; in diesem Fall gelten Artikel 5.1 und, bei Empfängern außerhalb des EWR, Artikel 11. In allen Fällen bleibt der Empfänger an angemessene Vertraulichkeitspflichten gebunden, und die Vertraulichkeitspflicht von Trustlocal gilt im Übrigen uneingeschränkt fort.

8.4 Die Pflichten aus diesem Artikel bleiben nach Beendigung dieses Auftragsverarbeitungsvertrags bestehen.

Artikel 9. Sicherheit

9.1 Trustlocal trifft unter Berücksichtigung des Stands der Technik, der Implementierungskosten, der Art, des Umfangs, der Umstände und der Zwecke der Verarbeitung sowie der unterschiedlichen Eintrittswahrscheinlichkeit und Schwere der Risiken für die Rechte und Freiheiten natürlicher Personen geeignete technische und organisatorische Maßnahmen, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten. Die Maßnahmen, die Trustlocal zum Zeitpunkt dieses Auftragsverarbeitungsvertrags getroffen hat, sind in Anlage 3 beschrieben.

9.2 Trustlocal darf die Maßnahmen in Anlage 3 an technologische Entwicklungen anpassen, sofern das Sicherheitsniveau insgesamt nicht sinkt. Trustlocal informiert den Dienstleister über wesentliche Änderungen über das Dashboard oder per E-Mail.

9.3 Trustlocal wendet bei der Gestaltung des Chatbots Datenminimierung an. Insbesondere gilt: Die von einem Besucher eingegebene Frage wird als solche nicht gespeichert, wobei die gespeicherte Antwort, die interne Suchanfrage und die abgeleiteten Lead-Angaben Informationen aus der Frage enthalten können (Anlage 1, Teile A1 und B); das Widget setzt keine Cookies und speichert keine Daten im Browser des Besuchers; für die Installationsverwaltung wird die vollständige URL der Seite, auf der das Widget läuft, auf den Hostnamen reduziert, und bei Nutzungsereignissen werden Query-Parameter vor der Speicherung entfernt; und Chatinhalte und Kontaktdaten aus Leads werden nicht in die Reporting-Umgebung von Trustlocal übernommen.

9.4 Der Dienstleister hat die Maßnahmen in Anlage 3 zur Kenntnis genommen und hält sie angesichts der Art der personenbezogenen Daten und der Risiken der Verarbeitung für angemessen. Wünscht der Dienstleister zusätzliche Maßnahmen, treten die Parteien hierüber in Abstimmung.

9.5 Zugriff auf Endeinrichtungen (§ 25 TDDDG). Das Widget speichert keine Informationen in der Endeinrichtung des Besuchers und greift auf keine dort gespeicherten Informationen zu, außer soweit dies unbedingt erforderlich ist, um die vom Besucher ausdrücklich gewünschte Chatfunktion bereitzustellen (§ 25 Abs. 2 Nr. 2 TDDDG): das Laden des Widget-Skripts und eine Sitzungskennung, die ausschließlich im Arbeitsspeicher der geöffneten Seite besteht. Beim bloßen Laden der Seite erhebt Trustlocal keine Daten über den Besucher außer den technischen Protokolldateien nach Anlage 4; die Erfassung von Nutzungsereignissen beginnt, sobald das Chatfenster geöffnet wird, entweder durch den Besucher oder automatisch nach einer vom Dienstleister im Dashboard eingestellten Verzögerung. Trustlocal hat die Nutzungsereignisse geprüft und auf Daten beschränkt, die ohne Speicherung in oder Auslesen aus der Endeinrichtung gewonnen werden. Trustlocal führt keine Analyse- oder Messfunktionen ein, die eine Speicherung in oder ein Auslesen aus der Endeinrichtung erfordern, ohne (a) den Dienstleister mindestens dreißig (30) Tage im Voraus zu informieren und (b) einen Mechanismus bereitzustellen, mit dem die Einwilligung des Besuchers vor diesem Zugriff eingeholt wird und jederzeit widerrufen werden kann. Der Dienstleister bleibt für das Einwilligungsmanagement der übrigen Bestandteile seiner Website verantwortlich.

Artikel 10. Unterauftragsverarbeiter

10.1 Der Dienstleister erteilt Trustlocal hiermit die allgemeine schriftliche Genehmigung, bei der Verarbeitung personenbezogener Daten Unterauftragsverarbeiter einzusetzen. Die zum Zeitpunkt dieses Auftragsverarbeitungsvertrags eingesetzten Unterauftragsverarbeiter sind in Anlage 2 aufgeführt.

10.2 Trustlocal informiert den Dienstleister mindestens dreißig (30) Tage vor der Hinzufügung oder Ersetzung eines Unterauftragsverarbeiters über das Dashboard oder per E-Mail an die im Konto hinterlegte E-Mail-Adresse. Der Dienstleister kann innerhalb dieser Frist aus angemessenen, datenschutzrechtlichen Gründen schriftlich Einspruch erheben.

10.3 Bei einem Einspruch treten die Parteien in Abstimmung über eine Lösung. Trustlocal setzt den beanstandeten Unterauftragsverarbeiter nicht für die Verarbeitung personenbezogener Daten des Dienstleisters ein, solange der Einspruch nicht beigelegt ist. Wird innerhalb von dreißig (30) Tagen nach dem Einspruch keine Lösung erzielt, kann Trustlocal den betreffenden Teil des Dienstes für den Dienstleister beenden oder kann der Dienstleister die Nutzung des Chatbots beenden, indem er das Widget im Dashboard deaktiviert; in beiden Fällen findet Artikel 16 Anwendung. Der Hauptvertrag bleibt hiervon unberührt.

10.4 Trustlocal erlegt jedem Unterauftragsverarbeiter vertraglich dieselben Datenschutzpflichten auf, die in diesem Auftragsverarbeitungsvertrag enthalten sind, insbesondere die Pflicht, hinreichende Garantien für geeignete technische und organisatorische Maßnahmen zu bieten. Kommt ein Unterauftragsverarbeiter seinen Pflichten nicht nach, haftet Trustlocal gegenüber dem Dienstleister weiterhin in vollem Umfang für die Erfüllung der Pflichten dieses Unterauftragsverarbeiters.

10.5 Trustlocal stellt sicher, dass der Anbieter des vom Chatbot verwendeten Sprachmodells die ihm übermittelten Daten nicht zum Training oder zur Verbesserung von Modellen verwendet und sie nach der Generierung der Antwort nicht speichert, mit Ausnahme der kurzzeitigen Speicherung zur automatisierten Missbrauchserkennung, wie in Anlage 2 beschrieben. Trustlocal darf das verwendete Modell durch ein anderes Modell desselben Anbieters beim selben Unterauftragsverarbeiter ersetzen, ohne dass dies als Änderung im Sinne von Artikel 10.2 gilt, sofern die Garantien dieses Artikels und der Anlage 2 uneingeschränkt fortgelten; Trustlocal prüft dies bei jedem Modellwechsel und hält die aktuelle Modellversion in der Übersicht der Unterauftragsverarbeiter unter [URL] fest. Ein Wechsel des Anbieters, des Unterauftragsverarbeiters oder der Garantien gilt als Änderung im Sinne von Artikel 10.2.

Artikel 11. Übermittlung außerhalb des Europäischen Wirtschaftsraums

11.1 Trustlocal verarbeitet personenbezogene Daten innerhalb des Europäischen Wirtschaftsraums ("EWR") und lässt sie dort verarbeiten. Das Hosting, die Speicherung, das Sprachmodell und die übrigen Bestandteile des Dienstes laufen in Rechenzentren im EWR, wie in Anlage 2 näher bestimmt. Trustlocal konfiguriert die von ihr genutzten Cloud-Dienste so, dass auch die Verarbeitung durch das Sprachmodell (Inferenz), die Content Delivery, Protokolldateien, Monitoring und Backups innerhalb des EWR erfolgen, und überprüft dies bei jeder Änderung des Dienstes. Ein Fernzugriff eines Anbieters aus einem Drittland zu Supportzwecken gilt als Übermittlung und erfolgt ausschließlich unter den Garantien des Artikels 11.2.

11.2 Eine Übermittlung personenbezogener Daten in ein Land außerhalb des EWR erfolgt ausschließlich, wenn dieses Land aufgrund eines Angemessenheitsbeschlusses der Europäischen Kommission ein angemessenes Schutzniveau bietet oder wenn geeignete Garantien im Sinne von Art. 46 DSGVO getroffen wurden, wie die von der Europäischen Kommission erlassenen Standardvertragsklauseln, ergänzt um die Maßnahmen, die zur Gewährleistung eines gleichwertigen Schutzniveaus erforderlich sind.

11.3 Soweit ein Unterauftragsverarbeiter ein Unternehmen mit einer Muttergesellschaft außerhalb des EWR ist, stellt Trustlocal sicher, dass die Verarbeitung personenbezogener Daten vertraglich auf den EWR beschränkt ist und dass sich der Unterauftragsverarbeiter verpflichtet hat, Ersuchen von Behörden aus Drittländern um Zugang zu personenbezogenen Daten zu prüfen, erforderlichenfalls anzufechten und Trustlocal hierüber zu informieren, soweit dies gesetzlich zulässig ist.

Artikel 12. Verletzungen des Schutzes personenbezogener Daten

12.1 Trustlocal informiert den Dienstleister unverzüglich, spätestens jedoch vierundzwanzig (24) Stunden, nachdem sie davon Kenntnis erlangt hat, über eine Verletzung des Schutzes personenbezogener Daten, erforderlichenfalls durch eine Erstmeldung auf Grundlage der dann verfügbaren Informationen, gefolgt von ergänzenden Meldungen gemäß Artikel 12.2. Die Meldung erfolgt per E-Mail an die im Konto des Dienstleisters hinterlegte E-Mail-Adresse und bei einer Verletzung mit hohem Risiko zusätzlich telefonisch an den hinterlegten Ansprechpartner.

12.2 Die Meldung enthält, soweit zu diesem Zeitpunkt bekannt, mindestens: die Art der Verletzung; die Kategorien und die ungefähre Zahl der betroffenen Personen und der betroffenen Datensätze; den Namen und die Kontaktdaten der Anlaufstelle bei Trustlocal; die voraussichtlichen Folgen der Verletzung; und die Maßnahmen, die Trustlocal ergriffen hat oder vorschlägt, um die Verletzung zu beheben und ihre Folgen abzumildern. Informationen, die noch nicht verfügbar sind, übermittelt Trustlocal unverzüglich in ergänzenden Meldungen.

12.3 Trustlocal dokumentiert jede Verletzung, einschließlich der Fakten, der Folgen und der ergriffenen Abhilfemaßnahmen, und stellt diese Dokumentation dem Dienstleister auf Verlangen zur Verfügung.

12.4 Die Beurteilung, ob eine Verletzung der Aufsichtsbehörde oder den betroffenen Personen zu melden ist, und die Vornahme dieser Meldung liegen in der Verantwortung des Dienstleisters. Trustlocal leistet hierbei die vernünftigerweise zu erwartende Unterstützung. Trustlocal nimmt keine Meldung an die Aufsichtsbehörde oder die betroffenen Personen im Namen des Dienstleisters vor, es sei denn, der Dienstleister verlangt dies schriftlich oder eine gesetzliche Verpflichtung zwingt Trustlocal dazu.

12.5 Betrifft eine Verletzung mehrere Dienstleister, darf Trustlocal die in Artikel 12.1 genannte Meldung durch eine standardisierte Mitteilung an alle betroffenen Dienstleister vornehmen, gefolgt von individuellen Informationen zu den für den Dienstleister relevanten personenbezogenen Daten.

Artikel 13. Rechte betroffener Personen

13.1 Erhält Trustlocal unmittelbar einen Antrag einer betroffenen Person, der sich auf personenbezogene Daten bezieht, die sie im Auftrag des Dienstleisters verarbeitet (wie ein Antrag auf Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit oder Widerspruch), bearbeitet Trustlocal den Antrag nicht inhaltlich selbst, sondern verweist die betroffene Person an den Dienstleister und leitet den Antrag innerhalb von fünf (5) Werktagen an den Dienstleister weiter. Dies gilt für alle personenbezogenen Daten, die Trustlocal im Auftrag des Dienstleisters verarbeitet: Leads, gespeicherte Antworten, Rückmeldungen, interne Suchanfragen und die damit verknüpfte Sitzungskennung. Anträge, die sich auf Verarbeitungen beziehen, für die Trustlocal selbst Verantwortlicher ist (Anlage 4), bearbeitet Trustlocal selbst und informiert den Dienstleister, soweit relevant.

13.2 Trustlocal unterstützt den Dienstleister unter Berücksichtigung der Art der Verarbeitung bei der Erfüllung seiner Pflicht, Anträge betroffener Personen zu beantworten. Hierzu ermöglicht Trustlocal dem Dienstleister, Leads im Dashboard einzusehen, und stellt auf schriftliches Verlangen des Dienstleisters innerhalb von zehn (10) Werktagen einen Auszug, eine Berichtigung oder die Löschung aller personenbezogenen Daten eines bestimmten Besuchers bereit (Leads, Antworten, Rückmeldungen, Suchanfragen und verknüpfte Kennungen). Gibt der Dienstleister an, dass dies zur Einhaltung der gesetzlichen Frist gegenüber der betroffenen Person erforderlich ist, liefert Trustlocal innerhalb von fünf (5) Werktagen.

13.3 Unterstützung, die das in Artikel 13.2 genannte Maß wesentlich übersteigt, leistet Trustlocal gegen Erstattung der angemessenen Kosten, über die die Parteien sich vorab abstimmen.

Artikel 14. Datenschutz-Folgenabschätzung und vorherige Konsultation

14.1 Trustlocal unterstützt den Dienstleister unter Berücksichtigung der Art der Verarbeitung und der ihr zur Verfügung stehenden Informationen in angemessenem Umfang bei der Durchführung einer Datenschutz-Folgenabschätzung (Art. 35 DSGVO) und bei einer etwaigen vorherigen Konsultation der Aufsichtsbehörde (Art. 36 DSGVO), soweit diese sich auf den Dienst beziehen.

14.2 Trustlocal stellt hierzu die Informationen in Anlage 1, Anlage 2 und Anlage 3 zur Verfügung sowie eine Beschreibung der Funktionsweise des Chatbots und der Art und Weise, wie das Sprachmodell eingesetzt wird. Trustlocal hat für den Dienst selbst eine Risikobewertung durchgeführt und stellt dem Dienstleister deren Ergebnisse auf Verlangen zur Verfügung.

Artikel 15. Kontrolle und Audit

15.1 Trustlocal stellt dem Dienstleister alle Informationen zur Verfügung, die vernünftigerweise erforderlich sind, um die Einhaltung der Pflichten aus Art. 28 DSGVO und aus diesem Auftragsverarbeitungsvertrag nachzuweisen. Trustlocal tut dies vorrangig durch: diesen Auftragsverarbeitungsvertrag und seine Anlagen; die Dokumentation ihrer Sicherheitsrichtlinie; verfügbare Zertifizierungen und Auditberichte ihrer Unterauftragsverarbeiter; und die Beantwortung angemessener schriftlicher Fragen des Dienstleisters.

15.2 Bieten die in Artikel 15.1 genannten Informationen dem Dienstleister vernünftigerweise keine ausreichende Sicherheit, hat der Dienstleister das Recht, ein Audit einschließlich Inspektionen selbst oder durch einen von ihm beauftragten, zur Verschwiegenheit verpflichteten Prüfer durchführen zu lassen. Ein reguläres Audit findet grundsätzlich nicht häufiger als einmal pro zwölf (12) Monate statt und wird mindestens dreißig (30) Tage im Voraus schriftlich unter Angabe des Umfangs angekündigt. Ein zusätzliches Audit mit kürzerer Ankündigungsfrist ist zulässig nach einer Verletzung des Schutzes personenbezogener Daten, bei konkreten und begründeten Anhaltspunkten dafür, dass Trustlocal diesen Auftragsverarbeitungsvertrag nicht einhält, nach einer wesentlichen Änderung des Dienstes oder auf Verlangen einer Aufsichtsbehörde. Die Parteien legen in Abstimmung den Termin und die Art der Durchführung fest, und zwar so, dass der Geschäftsbetrieb von Trustlocal und die Vertraulichkeit der Daten anderer Kunden nicht unnötig beeinträchtigt werden. Trustlocal darf hierfür angemessene Bedingungen stellen, ein Audit aber nicht verweigern oder unangemessen verzögern.

15.3 Die Kosten eines Audits trägt der Dienstleister, es sei denn, aus dem Audit ergibt sich, dass Trustlocal bei der Erfüllung dieses Auftragsverarbeitungsvertrags wesentlich versagt; in diesem Fall trägt Trustlocal die angemessenen Kosten des Audits.

15.4 Die Parteien beraten so bald wie möglich über die Feststellungen eines Audits. Trustlocal setzt die angemessenen Empfehlungen aus dem Auditbericht innerhalb einer angemessenen Frist um.

15.5 In Bezug auf Unterauftragsverarbeiter stellt Trustlocal die verfügbaren Auditberichte und Zertifizierungen zur Verfügung. Bieten diese dem Dienstleister vernünftigerweise keine ausreichende Sicherheit, übt Trustlocal auf Verlangen des Dienstleisters die ihr gegenüber dem Unterauftragsverarbeiter zustehenden Kontrollrechte aus und teilt dem Dienstleister die Ergebnisse mit. Trustlocal stellt in ihren Verträgen mit Unterauftragsverarbeitern sicher, dass sie über ausreichende Kontrollrechte verfügt, um die Einhaltung von Artikel 10.4 überprüfen zu können.

Artikel 16. Speicherfristen, Rückgabe und Löschung

16.1 Trustlocal speichert personenbezogene Daten nicht länger als für den Dienst erforderlich und gemäß den Speicherfristen in Anlage 1.

16.2 Bei Deaktivierung des Chatbots durch den Dienstleister endet die Verarbeitung neuer personenbezogener Daten unverzüglich. Bereits eingegangene Leads und die übrigen personenbezogenen Daten bleiben für den Dienstleister für die Dauer der Speicherfrist in Anlage 1 im Dashboard verfügbar, damit der Dienstleister seine eigenen Pflichten gegenüber Besuchern erfüllen kann, es sei denn, der Dienstleister verlangt zuvor Rückgabe oder Löschung gemäß Artikel 16.3. Die Deaktivierung des Chatbots beendet den Hauptvertrag nicht.

16.3 Bei Beendigung des Dienstes oder des Hauptvertrags, oder auf schriftliches Verlangen des Dienstleisters früher, entscheidet der Dienstleister, ob Trustlocal alle personenbezogenen Daten an ihn zurückgibt oder löscht. Bei Rückgabe ermöglicht Trustlocal dem Dienstleister für dreißig (30) Tage, die Leads und die übrigen personenbezogenen Daten in einem gängigen, maschinenlesbaren Format aus dem Dashboard zu exportieren. Nach Ablauf dieser Frist, oder so viel früher, wie der Dienstleister schriftlich angibt, löscht Trustlocal alle personenbezogenen Daten einschließlich der Kopien bei Unterauftragsverarbeitern innerhalb von dreißig (30) Tagen, es sei denn, eine unionsrechtliche oder mitgliedstaatliche Aufbewahrungspflicht steht dem entgegen; in diesem Fall informiert Trustlocal den Dienstleister hierüber und beschränkt die Verarbeitung auf diese Aufbewahrung. Trifft der Dienstleister keine Wahl, löscht Trustlocal die personenbezogenen Daten nach Ablauf der Frist.

16.4 Daten in Backups werden nach dem regulären Backup-Zyklus von Trustlocal überschrieben, spätestens [neunzig (90)] Tage nach der Löschung aus den Produktivsystemen. Trustlocal stellt gelöschte personenbezogene Daten nicht aus Backups wieder her, außer soweit dies zur Behebung einer Störung erforderlich ist; in diesem Fall werden die Daten unmittelbar nach der Wiederherstellung erneut gelöscht.

16.5 Auf Verlangen des Dienstleisters bestätigt Trustlocal schriftlich, dass die Löschung stattgefunden hat.

Artikel 17. Haftung

17.1 Die Parteien haften jeweils für den Schaden, der aus ihrer eigenen Nichterfüllung dieses Auftragsverarbeitungsvertrags oder der DSGVO entsteht, gemäß Art. 82 DSGVO.

17.2 Auf die Haftung von Trustlocal gegenüber dem Dienstleister aus diesem Auftragsverarbeitungsvertrag finden die Haftungsbeschränkungen und Haftungsausschlüsse der Allgemeinen Geschäftsbedingungen von Trustlocal Anwendung. Diese Beschränkungen gelten nicht für Schäden, die auf Vorsatz oder grober Fahrlässigkeit von Trustlocal, ihrer gesetzlichen Vertreter oder Erfüllungsgehilfen beruhen, nicht für Schäden aus der Verletzung des Lebens, des Körpers oder der Gesundheit und nicht für die Verletzung wesentlicher Vertragspflichten (Kardinalpflichten), wobei die Haftung im letztgenannten Fall bei einfacher Fahrlässigkeit auf den vertragstypischen, vorhersehbaren Schaden begrenzt ist. Sie lassen die Rechte betroffener Personen gegenüber jeder der Parteien unberührt. [VERIFY: Abstimmung mit den AGB und Prüfung durch deutschen Rechtsberater nach §§ 307, 309 Nr. 7 BGB; der niederländische Begriff der bewussten Leichtfertigkeit wurde bewusst nicht übernommen.]

17.3 Wird dem Dienstleister von einer Aufsichtsbehörde ein Bußgeld auferlegt oder wird der Dienstleister einer betroffenen Person zum Schadensersatz verpflichtet, und zwar als unmittelbare Folge eines Trustlocal zurechenbaren Verstoßes gegen diesen Auftragsverarbeitungsvertrag, stellt Trustlocal den Dienstleister hiervon im Rahmen der Grenzen des Artikels 17.2 frei. Der Dienstleister informiert Trustlocal unverzüglich über ein solches Verfahren und gibt Trustlocal die Möglichkeit, sich zu verteidigen. [VERIFY: Zulässigkeit und Reichweite der Bußgeldfreistellung nach deutschem Recht durch Rechtsberater prüfen lassen.]

17.4 Der Dienstleister stellt Trustlocal von Ansprüchen Dritter, darunter betroffener Personen und Aufsichtsbehörden, frei, soweit diese auf eine dem Dienstleister zurechenbare Pflichtverletzung zurückzuführen sind, etwa das Fehlen einer gültigen Rechtsgrundlage für die Verarbeitung, eine mangelhafte Information der Besucher oder eine rechtswidrige Verwendung von Leads durch den Dienstleister. Trustlocal informiert den Dienstleister unverzüglich über einen solchen Anspruch und gibt dem Dienstleister die Möglichkeit, sich zu verteidigen.

Artikel 18. Dauer und Beendigung

18.1 Dieser Auftragsverarbeitungsvertrag tritt im Zeitpunkt der Annahme gemäß Artikel 2.2 in Kraft und gilt fort, solange Trustlocal personenbezogene Daten im Auftrag des Dienstleisters verarbeitet.

18.2 Der Dienstleister kann die Nutzung des Chatbots jederzeit beenden, indem er das Widget im Dashboard deaktiviert und das Skript oder das Plugin von seiner Website entfernt. Trustlocal kann den Dienst gemäß dem Hauptvertrag beenden.

18.3 Dieser Auftragsverarbeitungsvertrag endet kraft Gesetzes, sobald Trustlocal alle personenbezogenen Daten gemäß Artikel 16 gelöscht oder zurückgegeben hat.

18.4 Bestimmungen, die ihrer Natur nach dazu bestimmt sind, fortzugelten, darunter die Artikel 8, 15, 16 und 17, bleiben nach Beendigung in Kraft.

Artikel 19. Schlussbestimmungen

19.1 Trustlocal darf diesen Auftragsverarbeitungsvertrag ändern, wenn Änderungen von Gesetzen und Vorschriften, Leitlinien von Aufsichtsbehörden oder Änderungen des Dienstes dazu Anlass geben. Trustlocal kündigt Änderungen mindestens dreißig (30) Tage im Voraus über das Dashboard und per E-Mail an, mit einer klaren Beschreibung der Änderung und einem ausdrücklichen Hinweis auf das Widerspruchsrecht und die Bedeutung des Schweigens. Der Dienstleister kann der Änderung bis zum Wirksamkeitsdatum in Textform widersprechen; in diesem Fall kann jede Partei die Nutzung des Chatbots beenden, und Artikel 16 findet Anwendung. Widerspricht der Dienstleister nicht fristgerecht und nutzt er den Chatbot nach dem Wirksamkeitsdatum weiter, gilt die Änderung als angenommen (§ 308 Nr. 5 BGB). Änderungen, die zur Umsetzung zwingenden Rechts erforderlich sind, treten mit der Ankündigung in Kraft.

19.2 Erweist sich eine Bestimmung dieses Auftragsverarbeitungsvertrags als nichtig oder anfechtbar, bleiben die übrigen Bestimmungen unverändert in Kraft. Die Parteien ersetzen die unwirksame Bestimmung durch eine wirksame Bestimmung, die dem Sinn und Zweck der ursprünglichen Bestimmung so nahe wie möglich kommt.

19.3 Mitteilungen aufgrund dieses Auftragsverarbeitungsvertrags erfolgen in Textform. Für Trustlocal: [Diese E-Mail-Adresse ist vor Spambots geschützt! Zur Anzeige muss JavaScript eingeschaltet sein.]. Für den Dienstleister: die E-Mail-Adresse des Hauptnutzers, wie im Dashboard hinterlegt. Die Parteien halten diese Angaben aktuell.

19.4 Auf diesen Auftragsverarbeitungsvertrag findet niederländisches Recht Anwendung. Streitigkeiten werden ausschließlich dem zuständigen Gericht in Amsterdam vorgelegt, unbeschadet des Rechts betroffener Personen und von Aufsichtsbehörden, aufgrund der DSGVO anderswo ein Verfahren anhängig zu machen. Zwingende Vorschriften des deutschen Rechts, die auf den Dienstleister Anwendung finden, insbesondere das TDDDG, das BDSG, § 7 UWG und § 203 StGB, bleiben unberührt. [VERIFY: Rechtswahl und Gerichtsstand im Verhältnis zu den AGB sowie Wirksamkeit gegenüber deutschen Kleinunternehmern nach §§ 307, 310 BGB durch deutschen Rechtsberater prüfen lassen.]

19.5 Dies ist die deutschsprachige Fassung dieses Auftragsverarbeitungsvertrags für Trustlocal.de. Für Trustoo.nl, Trustlocal.be und Trustlocal.es bestehen eigene Fassungen. Bei Auslegungsunterschieden zwischen Sprachfassungen ist die Fassung maßgeblich, die der Dienstleister in seinem Dashboard angenommen hat.

Annahme

Dieser Auftragsverarbeitungsvertrag wird elektronisch im Dashboard bei der Aktivierung des Trustlocal Chatbots angenommen. Trustlocal erfasst dabei:

Angabe: Dienstleister

Erfassung: Firmenname, Handelsregisternummer bzw. Steuernummer und Anschrift gemäß Trustlocal-Konto

Angabe: Angenommen durch

Erfassung: Name und E-Mail-Adresse des angemeldeten Nutzers

Angabe: Datum und Uhrzeit

Erfassung: Zeitpunkt der Aktivierung (UTC)

Angabe: Version

Erfassung: Auftragsverarbeitungsvertrag Trustlocal Chatbot, Version 0.9.4 (28. Oktober 2026)

Angabe: Im Namen von Trustlocal

Erfassung: Advanza B.V., vertreten durch ihre Geschäftsleitung

Anlage 1. Beschreibung der Verarbeitung

Teil A. Verarbeitungen, für die der Dienstleister Verantwortlicher und Trustlocal Auftragsverarbeiter ist

A1. KI-Antworten

Der Besucher stellt eine Frage; der Chatbot ruft relevante Websiteinhalte ab und lässt das Sprachmodell eine Antwort formulieren.

Personenbezogene Daten: Die Frage des Besuchers (ausschließlich während der Verarbeitung, nicht gespeichert). Gespeichert werden: die Antwort des Chatbots, die interne Suchanfrage, mit der Websiteinhalte abgerufen wurden, und gegebenenfalls aus dem Gespräch abgeleitete Angaben für einen Lead (wie Art der Dienstleistung, Ort, gewünschtes Datum). Eine Antwort kann Angaben wiederholen, die der Besucher genannt hat, wie eine Adresse oder einen Ortsnamen.

Betroffene Personen: Besucher

Zweck: Beantwortung von Fragen zu den Leistungen des Dienstleisters; Vorbereitung eines Leads.

Speicherfrist: [12] Monate nach dem Gespräch, danach Löschung oder unumkehrbare Anonymisierung.

A2. Leads

Der Besucher füllt das Angebots- oder Rückrufformular aus.

Personenbezogene Daten: Name, E-Mail-Adresse, Telefonnummer, Postleitzahl, Freitext (Beschreibung des Auftrags), Antworten auf Angebotsfragen, gewünschter Kontaktzeitpunkt, Zeitpunkt der Übermittlung, Sitzungskennung.

Betroffene Personen: Besucher

Zweck: Bereitstellung des Leads für den Dienstleister über Dashboard, Push-Benachrichtigung und E-Mail, damit der Dienstleister Kontakt aufnehmen kann.

Speicherfrist: Wie bei regulären Anfragen auf der Plattform: [24] Monate nach Übermittlung, danach Löschung oder Anonymisierung. Der Dienstleister kann eine frühere Löschung verlangen.

A3. Rückmeldungen

Der Besucher bewertet eine Antwort mit Daumen hoch oder runter.

Personenbezogene Daten: Bewertung, optionaler Freitext, die bewertete Antwort, Zeitpunkt, Sitzungskennung.

Betroffene Personen: Besucher

Zweck: Verbesserung der Antwortqualität des Chatbots für den Dienstleister.

Speicherfrist: [12] Monate, danach Löschung oder Anonymisierung des Freitexts.

A4. Indexierung von Websiteinhalten

Der Supply Agent liest die öffentlichen Seiten der Website des Dienstleisters und erstellt einen durchsuchbaren Index.

Personenbezogene Daten: Personenbezogene Daten, die auf der öffentlichen Website stehen, wie Namen, Funktionen, Fotos und Kontaktdaten von Mitarbeitern sowie Namen in Referenzen oder Bewertungen.

Betroffene Personen: Mitarbeiter des Dienstleisters; auf der Website genannte Personen

Zweck: Dem Chatbot ermöglichen, Fragen auf Grundlage der eigenen Informationen des Dienstleisters zu beantworten.

Speicherfrist: Solange die Seite online ist; bei jeder erneuten Indexierung werden entfernte Seiten aus dem Index gelöscht. Vollständige Löschung innerhalb von dreißig (30) Tagen nach Beendigung.

A5. WhatsApp-Schaltfläche

Der Besucher öffnet WhatsApp mit der Nummer des Dienstleisters.

Personenbezogene Daten: Keine personenbezogenen Daten des Besuchers; Trustlocal erfasst ausschließlich den Klick auf die Schaltfläche als Nutzungsereignis (siehe Anlage 4). Das Gespräch selbst läuft außerhalb der Systeme von Trustlocal.

Betroffene Personen: Besucher

Zweck: Direkten Kontakt zwischen Besucher und Dienstleister ermöglichen.

Speicherfrist: Nicht anwendbar.

Teil B. Was Trustlocal nicht verarbeitet oder nicht speichert

Zur Verdeutlichung der Datenminimierung in Artikel 9.3:

1. Die vom Besucher eingegebene Frage wird als solche nicht gespeichert; sie wird ausschließlich im Arbeitsspeicher verarbeitet, um eine Antwort zu generieren. Die gespeicherte Antwort, die interne Suchanfrage und die abgeleiteten Lead-Angaben können jedoch Informationen enthalten, die der Besucher in der Frage genannt hat (zum Beispiel einen Ortsnamen oder die Art des Auftrags).
2. Das Widget setzt keine Cookies und nutzt weder Local Storage noch vergleichbare Speicher im Browser des Besuchers und liest keine Informationen aus der Endeinrichtung aus, außer soweit dies zum Laden und Anzeigen des Widget-Skripts erforderlich ist (Artikel 9.5). Die Sitzungskennung besteht nur, solange die Seite geöffnet ist.
3. Für die Installationsverwaltung wird von der Seite, auf der das Widget läuft, nur der Hostname gespeichert; Pfad und Query-Parameter werden vor der Speicherung entfernt. Bei Nutzungsereignissen (Anlage 4) wird die Seiten-URL ohne Query-Parameter gespeichert.
4. Chatinhalte und Kontaktdaten aus Leads werden nicht in die Reporting-Umgebung (Data Warehouse und Dashboards) von Trustlocal übernommen.
5. Trustlocal sendet keine E-Mails oder sonstigen Nachrichten an Besucher. Jede Kommunikation mit dem Besucher nach der Übermittlung eines Leads läuft über den Dienstleister.
6. Die Erfassung von Nutzungsereignissen beginnt, sobald das Chatfenster geöffnet wird, durch den Besucher oder automatisch gemäß der Einstellung des Dienstleisters; beim bloßen Laden der Seite werden keine Nutzungsereignisse gesendet.

Teil C. Art der Verarbeitung

Erheben, Erfassen, Ordnen, Speichern, Abfragen, Verwenden, Weiterleiten an den Dienstleister, Einschränken und Löschen. Automatisierte Generierung von Antworten durch ein Sprachmodell; keine automatisierte Entscheidungsfindung mit Rechtswirkung oder ähnlich erheblicher Beeinträchtigung für den Besucher im Sinne von Art. 22 DSGVO.

Anlage 2. Unterauftragsverarbeiter

Stand: 6. Oktober 2026. Trustlocal informiert den Dienstleister über Änderungen gemäß Artikel 10.

Amazon Web Services EMEA SARL Luxemburg

Dienst: Hosting des Chatbots, der APIs und der Datenbanken; Content Delivery des Widget-Skripts (CloudFront); AWS Bedrock als verwaltete Umgebung für das Sprachmodell.

Ort der Verarbeitung: EU (Region Frankfurt, eu-central-1; CDN-Edge-Standorte innerhalb der EU [zu bestätigen])

Garantien: AWS GDPR Data Processing Addendum; ISO 27001, 27017, 27018; SOC 1/2/3. Verarbeitung vertraglich auf die gewählte EU-Region beschränkt.

Anthropic über Amazon Bedrock (ein Modell aus der Claude-Modellfamilie von Anthropic; die aktuelle Modellversion ist in der Übersicht der Unterauftragsverarbeiter unter [URL] angegeben). AWS ist hierfür der Unterauftragsverarbeiter; Anthropic ist Lizenzgeber des Modells und erhält keine Daten.

Dienst: Sprachmodell (Claude), das die Antworten des Chatbots auf Grundlage der Frage des Besuchers und der abgerufenen Websiteinhalte generiert.

Ort der Verarbeitung: EU (Bedrock-EU-Region, Inferenzprofil ausschließlich EU ohne Cross-Region- oder Global-Routing). Anthropic hat keinen Zugriff auf die Daten; das Modell läuft innerhalb der AWS-Umgebung von Trustlocal.

Garantien: Amazon Bedrock verwendet Prompts und Antworten nicht für das Modelltraining und gibt sie nicht an den Modellanbieter weiter. Bedrock kann Ein- und Ausgaben kurzzeitig zur automatisierten Missbrauchserkennung speichern; Trustlocal prüft die geltende Speicherfrist bei jedem Modellwechsel. Abdeckung durch den AWS DPA.

Cohere über Amazon Bedrock (Cohere Rerank)

Dienst: Neuordnung (Rerank) der abgerufenen Websiteinhalte nach Relevanz für die Frage des Besuchers.

Ort der Verarbeitung: EU (Frankfurt, eu-central-1) über Bedrock

Garantien: AWS DPA. Keine Speicherung und keine Übermittlung an Cohere.

Twilio SendGrid (Twilio Inc., Vereinigte Staaten)

Dienst: Versand der E-Mail-Benachrichtigung über einen neuen Lead an den Dienstleister. Die E-Mail enthält die Kontaktdaten und die Nachricht des Besuchers.

Ort der Verarbeitung: Vereinigte Staaten

Garantien: Twilio Data Protection Addendum (deckt SendGrid ab). Übermittlung in die USA auf Grundlage des EU-US Data Privacy Framework. Versandprotokolle (Email Activity: Empfänger, Betreff, Zustellstatus) werden 7 Tage in den USA aufbewahrt.

Kein Unterauftragsverarbeiter: Meta Platforms (WhatsApp). Der Besucher öffnet WhatsApp selbst und kommuniziert unmittelbar mit dem Dienstleister; Trustlocal sendet oder empfängt keine WhatsApp-Nachrichten. Google (Firebase Cloud Messaging) und Apple (APNs) stellen Push-Benachrichtigungen auf dem Gerät des Dienstleisters zu; die Benachrichtigung enthält keine Kontaktdaten und keine Nachrichteninhalte des Besuchers, sondern nur den Hinweis, dass eine neue Anfrage eingegangen ist.

Anlage 3. Technische und organisatorische Maßnahmen

1. Organisation und Richtlinien

Die in dieser Anlage beschriebenen Maßnahmen sind zum Zeitpunkt dieses Auftragsverarbeitungsvertrags umgesetzt.

Trustlocal verfügt über eine Informationssicherheitsrichtlinie, die jährlich überprüft und von der Geschäftsleitung festgelegt wird. Die Verantwortlichkeiten für Sicherheit und Datenschutz sind beim CTO und bei der Anlaufstelle für Datenschutz angesiedelt. Alle Mitarbeiter unterzeichnen eine Verschwiegenheitserklärung und absolvieren bei Eintritt und danach jährlich eine Schulung zu Sicherheitsbewusstsein und Datenschutz. Trustlocal hat eine interne Richtlinie für den Einsatz von KI-Systemen, in der festgelegt ist, welche Daten welchen Modellen zur Verfügung gestellt werden dürfen.

2. Zugriffskontrolle

Der Zugang zu Produktivsystemen und Datenbanken ist auf Mitarbeiter beschränkt, für die dies für ihre Funktion erforderlich ist, auf Grundlage von Rollen und des Prinzips der minimalen Rechte. Der Zugang erfordert eine Multi-Faktor-Authentifizierung. Zugriffsrechte werden bei Funktionswechsel oder Ausscheiden am selben Tag entzogen und regelmäßig, mindestens vierteljährlich, überprüft. Der administrative Zugang zur Cloud-Umgebung erfolgt über personengebundene Konten mit Protokollierung aller Handlungen.

3. Verschlüsselung

Der gesamte Verkehr zwischen dem Browser des Besuchers, dem Widget, den APIs von Trustlocal und den Unterauftragsverarbeitern ist mit TLS 1.2 oder höher verschlüsselt. Gespeicherte Daten, einschließlich Datenbanken, Backups und des Index der Websiteinhalte, sind im Ruhezustand mit AES-256 verschlüsselt. Das Token, mit dem sich das Widget gegenüber der API identifiziert, ist verschlüsselt und an das Konto des Dienstleisters und den hinterlegten Domainnamen gebunden.

4. Datenminimierung und Pseudonymisierung

Die Maßnahmen aus Anlage 1, Teil B, sind in der Software verankert: Fragen von Besuchern werden nicht gespeichert; Seiten-URLs werden auf den Hostnamen reduziert; das Widget nutzt keinen Browserspeicher; und Nutzungsereignisse werden mit einer zufälligen Sitzungskennung verknüpft, die ohne den zugehörigen Lead nicht auf eine Person zurückführbar ist. Chatinhalte und Kontaktdaten werden nicht in die Reporting-Umgebung übernommen.

5. Trennung von Daten

Daten verschiedener Dienstleister werden logisch getrennt, und zwar durch eine zwingende Zuordnung zum Konto des Dienstleisters in jeder Datenbanktabelle und jedem API-Aufruf. Der Chatbot kann ausschließlich Websiteinhalte von der Website des Dienstleisters abrufen, bei dem das Widget installiert ist. Test-, Abnahme- und Produktivumgebungen sind getrennt; in Test- und Abnahmeumgebungen werden keine Produktivdaten von Besuchern verwendet.

6. Sicherheit des Sprachmodells

Das Sprachmodell wird ausschließlich über einen von Trustlocal betriebenen Proxy aufgerufen, der die Systemanweisung, die abgerufenen Websiteinhalte und die Frage des Besuchers zusammenstellt. Die Systemanweisung beschränkt das Modell auf die Beantwortung von Fragen zu den Leistungen des Dienstleisters und weist das Modell an, keine personenbezogenen Daten abzufragen, die für einen Lead nicht erforderlich sind. Ein- und Ausgaben werden auf bekannte Missbrauchsmuster gefiltert. Das Modell hat keinen Zugriff auf Systeme, Datenbanken oder Leads von Trustlocal.

7. Protokollierung und Überwachung

Zugriffe auf Produktivsysteme, Konfigurationsänderungen und Fehler werden protokolliert. Protokolldateien enthalten keine Chatinhalte und keine Kontaktdaten von Besuchern. Protokolldateien werden [neunzig (90)] Tage aufbewahrt und sind ausschließlich für dazu befugte Mitarbeiter zugänglich. Trustlocal überwacht die Verfügbarkeit und die Fehlerrate des Chatbots und erhält bei Abweichungen automatische Warnungen.

8. Kontinuität und Backup

Datenbanken werden täglich automatisch gesichert, mit einer Aufbewahrungsfrist von [dreißig (30)] Tagen und Point-in-Time-Wiederherstellung. Backups werden verschlüsselt in derselben EU-Region gespeichert. Wiederherstellungsverfahren werden mindestens jährlich getestet. Der Dienst ist so konzipiert, dass ein Ausfall des Chatbots die Website des Dienstleisters nicht beeinträchtigt: Das Widget fällt lautlos aus.

9. Sichere Entwicklung

Änderungen an der Software durchlaufen ein Code-Review durch einen zweiten Entwickler, automatisierte Tests und eine kontrollierte Ausspielung. Abhängigkeiten werden automatisch auf bekannte Schwachstellen geprüft. Sicherheitsupdates mit hoher oder kritischer Einstufung werden innerhalb von [sieben (7)] Tagen eingespielt. Trustlocal lässt regelmäßig, mindestens jährlich, einen externen Penetrationstest an ihren öffentlich erreichbaren Systemen durchführen.

10. Incident-Management

Trustlocal wendet ein Verfahren zur Erkennung, Bewertung, Bearbeitung und Dokumentation von Sicherheitsvorfällen und Verletzungen des Schutzes personenbezogener Daten an, mit festgelegten Rollen, Eskalationswegen und den in Artikel 12 genannten Fristen. Das Verfahren wird jährlich geübt.

11. Unterauftragsverarbeiter

Unterauftragsverarbeiter werden vor ihrer Einschaltung hinsichtlich ihrer Sicherheitsmaßnahmen, Zertifizierungen und vertraglichen Garantien bewertet. Trustlocal prüft jährlich, ob die Bewertungen und Verträge aktuell sind.

Anlage 4. Verarbeitungen, für die Trustlocal eigenständiger Verantwortlicher ist

Zur Information des Dienstleisters. Diese Verarbeitungen fallen nicht unter das Auftragsverarbeitungsverhältnis. Trustlocal verantwortet sie in ihrer eigenen Datenschutzerklärung und in ihrem Verzeichnis von Verarbeitungstätigkeiten, hat für jede Verarbeitung auf Grundlage des berechtigten Interesses eine Interessenabwägung dokumentiert und stellt diese dem Dienstleister auf Verlangen zur Verfügung. Je Verarbeitung ist angegeben, warum Trustlocal hierfür Verantwortlicher ist. Die Sitzungskennung und die Verknüpfung mit der Kennung eines Leads sind pseudonymisierte personenbezogene Daten und werden von Trustlocal als solche geschützt. Anträge betroffener Personen zu diesen Verarbeitungen bearbeitet Trustlocal selbst (Artikel 13.1). Diese Daten werden nicht für Entscheidungen über oder Profiling von einzelnen Besuchern verwendet.

Nutzungsereignisse

Daten: Zufällige Sitzungskennung, Art des Ereignisses (etwa Öffnen, Schließen, Start eines Ablaufs, Auswahl einer Option, Übermitteln oder Klick auf die WhatsApp-Schaltfläche), gewählter Ablauf, Art des Öffnens und Zeitpunkt. Technischer Kontext: Sprachcode, die URL der Seite, auf der das Widget stand, ohne Query-Parameter, der User-Agent des Browsers und die Version des Widgets. Keine Chatinhalte und keine Kontaktdaten; E-Mail-Adresse und Telefonnummer des Besuchers werden nicht gespeichert. Bei einem Teil der Ereignisse wird ein vom Besucher genannter Ort gespeichert. Die Erfassung beginnt, sobald das Chatfenster geöffnet wird, durch den Besucher oder automatisch gemäß der Einstellung des Dienstleisters (Artikel 9.5).

Zweck und Rechtsgrundlage: Messung von Nutzung und Funktionsweise des Chatbots, Produktverbesserung über alle Dienstleister hinweg, aggregierte Berichterstattung an den Dienstleister. Berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO). Rolle: Trustlocal entscheidet selbst, welche Ereignisse gemessen und wie sie für die Produktverbesserung verwendet werden; deshalb ist sie hierfür Verantwortlicher. Die Anzeige der Statistiken des Dienstleisters im Dashboard ist Teil des Dienstes.

Speicherfrist: [25] Monate, danach aggregiert.

Installationsverwaltung

Daten: Verschlüsseltes Konto-Token, Hostname der Website, auf der das Widget läuft, Zeitpunkt der letzten Aktivität (Heartbeat).

Zweck und Rechtsgrundlage: Feststellung, ob und wo das Widget aktiv ist, Support für den Dienstleister. Betrifft Daten des Dienstleisters (Artikel 3.3), nicht von Besuchern. Rechtsgrundlage gegenüber dem Dienstleister: Erfüllung des Hauptvertrags (Art. 6 Abs. 1 lit. b DSGVO); soweit Daten von Mitarbeitern des Dienstleisters verarbeitet werden: berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO).

Speicherfrist: Dauer des Hauptvertrags.

Technische Protokolldateien

Daten: IP-Adresse und User-Agent des Besuchers beim Laden des Widget-Skripts über das CDN und bei API-Aufrufen; Fehlermeldungen.

Zweck und Rechtsgrundlage: Sicherheit, Missbrauchserkennung, Störungsanalyse. Berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO). Rolle: Trustlocal entscheidet selbst über die Sicherheit ihrer gemeinsam genutzten Infrastruktur und ist hierfür Verantwortlicher; Sicherheitsmaßnahmen in Bezug auf die personenbezogenen Daten selbst (Anlage 3) führt sie als Auftragsverarbeiter durch.

Speicherfrist: API-Aufrufe über den Load Balancer: 14 Tage. Anwendungsprotokolle: 30 Tage. Fehlermeldungen in den PHP-Fehlerprotokollen: 90 Tage.

Verknüpfung von Lead und Sitzung in der Reporting-Umgebung

Daten: Kennung der Anfrage und der zugehörigen Sitzungskennung, ohne Chatinhalte oder Kontaktdaten. Da die Verknüpfung über die Anfrage auf den Besucher zurückführbar ist, handelt es sich um pseudonymisierte personenbezogene Daten.

Zweck und Rechtsgrundlage: Messung der Konversion vom Gespräch zum Lead und Produktverbesserung. Berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO); Interessenabwägung dokumentiert. Zugriff auf dazu befugte Mitarbeiter beschränkt; keine Verwendung für Entscheidungen über einzelne Besucher.

Speicherfrist: Wie bei den Nutzungsereignissen.

Advanza B.V. | Teleportboulevard 140, 1043 EJ Amsterdam, Niederlande | KvK 62910353 | Auftragsverarbeitungsvertrag Trustlocal Chatbot, Version 0.9.4, 28. Oktober 2026

Dies sind Hinweise zur Datenverarbeitung der Firma Conrad Immobilien - Im Langen Tal 1A - 27243 Dünsen. Sie sind zwingender Bestandteil des Maklervertrags und mit diesem fest zu verbinden.

Verantwortlicher für die Datenverarbeitung in unserem Hause ist:

Herr Dayne Conrad - Im Langen Tal 1A - 27243 Dünsen - Mobil: 0172 1319179 - E-Mail: Diese E-Mail-Adresse ist vor Spambots geschützt! Zur Anzeige muss JavaScript eingeschaltet sein.. Erreichbar unter vorgenannter Anschrift bzw. E-Mail-Adresse.

Aufgrund unserer Betriebsgröße ist die Bestellung eines Datenschutzbeauftragten gesetzlich jedoch nicht erforderlich.

Datenerhebung und Speicherung personenbezogener Daten
Zur Durchführung des mit Ihnen abgeschlossenen Maklervertrags und damit wir Sie im laufenden
Vertragsverhältnis angemessen informieren können, benötigen wir bestimmte Daten von Ihnen.
Wir erheben insoweit folgende Informationen:

• Anrede, Vorname, Nachname
• eine gültige E-Mail-Adresse und Telefonnummer (Festnetz und/oder Mobilfunk)
• Anschrift
• Informationen, die für die Durchführung des mit Ihnen bestehenden Vertragsverhältnisses erforderlich sind.

Wir erheben diese Daten, um Sie als unseren Auftraggeber bzw. Vertragspartner identifizieren zu können und um unsere vertraglichen Pflichten angemessen erfüllen zu können. Des Weiteren benötigen wir diese Daten zur Korrespondenz mit Ihnen sowie zur Rechnungsstellung im Erfolgsfall oder für Aufwandsentschädigungen gem. Vertrag. Sind wir nach den Bestimmungen des Geldwäschegesetzes (GwG) verpflichtet, bestimmte Informationen zu erheben, so umfasst dies gemäß § 11 Abs. 4 GwG die folgenden Angaben:

1. bei einer natürlichen Person:
   • Vorname und Nachname,
   • Geburtsort,
   • Geburtsdatum,
   • Staatsangehörigkeit und
   • eine Wohnanschrift oder, sofern kein fester Wohnsitz mit rechtmäßigem Aufenthalt in
   der Europäischen Union besteht und die Überprüfung der Identität im Rahmen des
   Abschlusses eines Basiskontovertrags im Sinne von § 38 des Zahlungskontengesetzes
   erfolgt, die postalische Anschrift, unter der der Vertragspartner sowie die gegenüber
   dem Verpflichteten auftretende Person erreichbar ist;
   
   
2. bei einer juristischen Person oder bei einer Personengesellschaft:
   • Firma, Name oder Bezeichnung,
   • Rechtsform,
   • Registernummer (falls vorhanden),
   • Anschrift des Sitzes oder der Hauptniederlassung und
   • die Namen der Mitglieder des Vertretungsorgans oder die Namen der gesetzlichen
   
   Vertreter und, sofern ein Mitglied des Vertretungsorgans oder der gesetzliche Vertreter eine juristische Person ist, von dieser juristischen Person die Daten nach den ersten vier Punkten.
   Wir weisen ausdrücklich darauf hin, dass wir personenbezogene Daten, die wir auf Grundlage des Geldwäschegesetzes erheben, ausschließlich für die Verhinderung von Geldwäsche und von Terrorismusfinanzierung verarbeiten.
   
   
3. Art, Zweck und Verwendung der Daten
   
   Wir verarbeiten die Daten auf Ihre Anfrage. Die Verarbeitung der Daten ist gemäß Art. 6 Abs. 1 Satz 1b) DSGVO zu den genannten Zwecken für die angemessene Bearbeitung des Maklervertrags und für die beidseitige Erfüllung von Verpflichtungen aus dem Maklervertrag erforderlich. Die von uns erhobenen personenbezogenen Daten werden bis zum Ablauf der gesetzlichen Aufbewahrungspflicht für Makler gespeichert. Diese beträgt nach § 14 Abs. 1 MaBV und § 8 Abs. 4 GwG 5 Jahre nach Ablauf des Kalenderjahres, in dem das Vertragsverhältnis beendet wurde. Danach werden die Daten gelöscht, es sei denn, dass wir nach Art. 6 Abs. 1 Satz 1c) DSGVO aufgrund von steuer- und handelsrechtlichen Aufbewahrungs- und Dokumentationspflichten (aus HGB, StGB oder AO) zu einer längeren Speicherung verpflichtet sind oder Sie in eine darüberhinausgehende Speicherung nach Art. 6 Abs. 1 Satz 1a) DSGVO eingewilligt haben.
   
   
4. Weitergabe von Daten an Dritte
   
   Eine Weitergabe bzw. Übermittlung Ihrer persönlichen Daten an Dritte findet ausschließlich im Rahmen der Bestimmungen der DSGVO und des GwG statt. Eine Weitergabe Ihrer persönlichen bzw. personenbezogenen Daten erfolgt danach nur, wenn
   • Sie uns ausdrücklich Ihre Einwilligung gemäß Art. 6 Abs. 1 Satz 1a) DSGVO hierzu erteilt haben,
   • dies gemäß Art. 6 Abs. 1 Satz 1b) DSGVO für die Abwicklung bzw. zur Erfüllung unserer Pflichten aus dem Maklervertrag erforderlich ist,
   • wir nach der Bestimmung des Art. 6 Satz 1c) DSGVO oder den Bestimmungen des GwG hierzu gesetzlich verpflichtet sind,
   • die Weitergabe zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen erforderlich ist (Art. 6 Abs. 1 Satz 1f) DSGVO). Voraussetzung ist, dass kein Grund zur Annahme besteht, dass Sie ein überwiegendes schutzwürdiges Interesse an der Nichtweitergabe Ihrer Daten haben.
   
   
5. Ihre Rechte

1. Widerspruchsrecht
   
   Sie haben das Recht, aus Gründen, die sich aus ihrer besonderen Situation ergeben, jederzeit gegen die Verarbeitung Sie betreffender personenbezogener Daten, die wir aufgrund von Art. 6 Abs. 1 Satz 1f) DSGVO auf Grundlage von berechtigen Interessen verarbeiten, gemäß Art. 21 DSGVO Widerspruch einzulegen. Sollten Sie von diesem Widerspruchsrecht Gebrauch machen wollen, genügt eine E-Mail an: Diese E-Mail-Adresse ist vor Spambots geschützt! Zur Anzeige muss JavaScript eingeschaltet sein..
   
   
2. Widerrufsrecht
   
   Sie haben das Recht, nach Art. 7 Abs. 3 DSGVO Ihre einmal erteilte Einwilligung jederzeit gegenüber uns zu widerrufen. Wir dürfen dann die Verarbeitung der Daten, die auf dieser Einwilligung beruhen, für die Zukunft nicht mehr fortführen.
   
   
3. Auskunftsrecht
   
   Sie haben das Recht, gemäß Art. 15 DSGVO von uns Auskunft über Ihre von uns verarbeiteten personenbezogenen Daten zu verlangen. Sie haben weiter das Recht, Auskunft über die Zwecke der Verarbeitung zu verlangen. Sie können Auskunft darüber verlangen, wie ihre personenbezogenen Daten kategorisiert werden und welchen Kategorien von Empfängern ihre Daten offengelegt werden oder wurden. Sie haben weiter das Recht auf Auskunft auf folgende Informationen:
   
   • Die geplante Dauer, für die die personenbezogenen Daten gespeichert werden, oder, falls dies nicht möglich ist, die Kriterien für die Festlegung dieser Dauer;
   • das Bestehen eines Rechts auf Berichtigung oder Löschung der sie betreffenden personenbezogenen Daten oder auf Einschränkung der Verarbeitung durch den Verantwortlichen oder eines Widerspruchsrechts gegen diese Verarbeitung;
   • das Bestehen eines Beschwerderechts bei einer Aufsichtsbehörde;
   • wenn die personenbezogenen Daten nicht bei der betroffenen Person erhoben werden, alle verfügbaren Informationen über die Herkunft der Daten;
   • das Bestehen einer automatisierten Entscheidungsfindung einschließlich Profiling und in diesen Fällen aussagekräftige Informationen über die involvierte Logik sowie die Tragweite und die angestrebten Auswirkungen einer derartigen Verarbeitung für die betroffene Person.
   
   
4. Recht auf Berichtigung und Vervollständigung
   
   Nach der Bestimmung des Art. 16 DSGVO haben Sie das Recht, von uns die unverzügliche Berichtigung unrichtiger personenbezogener Daten zu verlangen. Unter Berücksichtigung der Zwecke der Verarbeitung, haben Sie das Recht, die Vervollständigung unvollständiger personenbezogener Daten – auch mittels einer ergänzenden Erklärung – zu verlangen.
   
   
5. Recht auf Löschung
   
   Nach der Bestimmung des Art. 17 DSGVO haben Sie das Recht, von uns zu verlangen, dass Sie betreffende personenbezogene Daten unverzüglich gelöscht werden. Dies gilt nicht, soweit die Verarbeitung erforderlich ist
   • zur Ausübung des Rechts auf freie Meinungsäußerung und Information;
   • zur Erfüllung einer rechtlichen Verpflichtung, die die Verarbeitung nach dem Recht der Union oder dem in Deutschland geltenden Recht erfordert oder zur Wahrnehmung einer Aufgabe, die im öffentlichen Interesse liegt oder in Ausübung öffentlicher Gewalt erfolgt, die uns übertragen wurde oder
   • zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen.
   
   
6. Einschränkung der Datenverarbeitung
   
   Nach der Bestimmung des Art. 18 DSGVO haben Sie das Recht, von uns die Einschränkung der Verarbeitung zu verlangen, wenn
   • Sie die Richtigkeit Ihrer personenbezogenen Daten bestreiten;
   • die Verarbeitung unrechtmäßig ist und Sie die Löschung Ihrer personenbezogenen Daten ablehnen und stattdessen die Einschränkung der Nutzung Ihrer personenbezogenen Daten verlangen;
   • wir Ihre personenbezogenen Daten für die Zwecke der Verarbeitung nicht länger benötigen, jedoch Sie persönlich diese zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen benötigten oder
   • Sie Widerspruch gegen die Verarbeitung gemäß Artikel 21 Absatz 1 eingelegt haben.
   
   
7. Recht auf Datenübertragbarkeit
   
   Nach der Bestimmung des § 20 DSGVO haben Sie das Recht, Ihre personenbezogenen Daten, die sie uns bereitgestellt haben, in einem strukturierten, gängigen und maschinenlesbaren Format zu erhalten. Weiter haben Sie das Recht, die Übermittlung dieser Daten an einen anderen Verantwortlichen ohne Behinderung durch uns zu verlangen.
   
   
8. Beschwerderecht
   
   Nach der Bestimmung des Art. 77 DSGVO haben sie das Recht auf Beschwerde bei einer Aufsichtsbehörde ihres gewöhnlichen Aufenthaltsorts oder ihres Arbeitsplatzes oder unseres Firmensitzes.