Auftragsverarbeitungsvertrag Immobilien CRM: Rollen klären

Auftragsverarbeitungsvertrag Immobilien CRM: Was entscheidet?

Entscheidend ist, wer den Zweck und die Mittel der konkreten Verarbeitung bestimmt. Verarbeitet der Anbieter personenbezogene CRM-Daten im Auftrag, greift Art. 28 Abs. 3 DSGVO. Bestimmen Bauträger und Vertrieb diese gemeinsam, ist Art. 26 Abs. 1 DSGVO maßgeblich. Ein gemeinsamer Systemzugang entscheidet die Rollenfrage nicht; Vertragsüberschrift, Lizenzzahlung und technischer Administratorzugang ersetzen die Prüfung der tatsächlichen Aufgaben im jeweiligen Verarbeitungsvorgang ebenfalls nicht.

Beginnen Sie mit einer Beschreibung ohne juristische Etiketten. Notieren Sie, wo die Anfrage entsteht, welche Angaben übernommen werden, wer die Bearbeitung festlegt und welche weiteren Nutzungen vorgesehen sind. Trennen Sie dabei etwa Projektberatung, Reservierungsbearbeitung und spätere projektübergreifende Ansprache. Für die Einordnung nach Art. 4 Nr. 7 und Nr. 8 DSGVO ist entscheidend, welche Entscheidungen die Beteiligten in diesen Abläufen tatsächlich treffen. Eine gemeinsame Kontaktkarte kann unterschiedliche Verarbeitungsvorgänge enthalten und sollte daher nicht pauschal bewertet werden.

Suchen Sie nach einem AV-Vertrag Vertriebssoftware Immobilien, vergleichen Sie dessen Leistungsbeschreibung mit diesem Ablaufbild. Eine Anlage mit der bloßen Angabe Kundenverwaltung erklärt kaum, welche Daten und Tätigkeiten erfaßt sein sollen. Art. 28 Abs. 3 Satz 1 DSGVO verlangt insbesondere Angaben zu Gegenstand, Dauer, Art und Zweck sowie Datenarten und betroffenen Personengruppen. Als Arbeitsunterlage empfiehlt sich eine Zuordnung von Prozessbeschreibung, Vertragsstelle und technischer Umsetzung, damit Abweichungen vor der Freigabe gezielt geklärt werden können.

• Zweck prüfen: Welches konkrete Ziel verfolgt die Verarbeitung?
• Entscheidung prüfen: Wer legt Datenumfang, Empfänger und weitere Nutzung fest?
• Ausführung prüfen: Wer handelt nach wessen dokumentierter Vorgabe?
• Nachweis prüfen: Welche Vertragsanlage beschreibt den tatsächlichen Ablauf?

Wann ist der Softwareanbieter Auftragsverarbeiter?

Der Softwareanbieter ist Auftragsverarbeiter, soweit er personenbezogene Daten für den Verantwortlichen verarbeitet und dabei dessen dokumentierten Weisungen folgt. Grundlage sind Art. 4 Nr. 8 und Art. 28 Abs. 3 Satz 2 Buchst. a DSGVO. Entscheidet er bei einer Verarbeitung selbst über Zwecke und Mittel, ist diese Tätigkeit gesondert nach Art. 4 Nr. 7 DSGVO zu bewerten, unabhängig von der allgemeinen Anbieterbezeichnung.

Beschreiben Sie im Prüftermin die vorgesehenen Betriebsleistungen: Speicherung, Datensicherung, Fehleranalyse, Supportzugriff und Datenexport. Fragen Sie anschließend, welche Tätigkeiten eine Freigabe auslösen, welche bereits durch die vereinbarte Leistung beschrieben sind und wo der Anbieter eigene Entscheidungen über die Verwendung der Inhalte trifft. Die Auswahl technischer Betriebsdetails ist von Entscheidungen über den Verarbeitungszweck zu unterscheiden. Für eine belastbare Bewertung nach Art. 4 Nr. 7 und Nr. 8 DSGVO sollten Sie die tatsächlichen Entscheidungsspielräume dokumentieren, einschließlich der Grenzen des Supports.

Prüfen Sie zusätzliche Nutzungen getrennt vom eigentlichen CRM-Betrieb. Möchte der Anbieter Kontaktinhalte für eigene Produktanalysen oder zum Training eines Modells verwenden, sollten Zweck, Datenumfang und Rollenbegründung ausdrücklich erläutert werden. Art. 28 Abs. 10 DSGVO ordnet einem Auftragsverarbeiter die Verantwortlichkeit für eine Verarbeitung zu, wenn er unter Verstoß gegen die Verordnung deren Zwecke und Mittel bestimmt. Die allgemeine Bezeichnung als Auftragsverarbeiter trägt daher keine unbegrenzte eigene Datennutzung; die betreffende Funktion benötigt eine eigenständige Prüfung.

In der Software

Jeder Vorgang steht an seiner Stufe

Board, Tabelle und Zeitstrahl zeigen dieselben Deals — wer wo hängt, sieht man ohne Rückfrage.

Deal-Pipeline

Wann sind Bauträger und Vertrieb gemeinsam verantwortlich?

Gemeinsame Verantwortlichkeit liegt vor, wenn Bauträger und Vertrieb gemeinsam Zwecke und Mittel einer Verarbeitung festlegen, gemäß Art. 26 Abs. 1 Satz 1 DSGVO. Die bloße Zusammenarbeit oder gemeinsame Software reicht dafür nicht. Prüfen Sie insbesondere, wer über die Erhebung, Zuordnung und weitere Nutzung von Interessentendaten entscheidet und ob diese Entscheidungen für den betreffenden Ablauf tatsächlich gemeinsam von den Beteiligten getroffen werden.

Als Prüfszenario empfiehlt sich eine gemeinsam geplante Projektkampagne. Bauträger und Vertrieb vereinbaren das Anfrageformular, bestimmen die erforderlichen Angaben, definieren die Kontaktverteilung und legen die Nutzung der Rückmeldungen fest. Diese tatsächlichen Entscheidungen sind anhand von Art. 26 Abs. 1 Satz 1 DSGVO zu bewerten. Ein gemeinsames wirtschaftliches Interesse allein ersetzt diese Prüfung nicht. Halten Sie fest, welche Entscheidungen gemeinsam fallen und welche Tätigkeiten lediglich anschließend ausgeführt werden. So bleibt die Bewertung auf den untersuchten Ablauf begrenzt.

Der Suchbegriff gemeinsame Verantwortung Bauträger Vertriebspartner beschreibt daher keine pauschale Eigenschaft einer Kooperation. Die gemeinsame Steuerung einer Kampagne kann anders zu bewerten sein als die eigenständige Pflege einer bestehenden Maklerkundenbeziehung. Art. 26 Abs. 2 Satz 1 DSGVO verlangt eine Vereinbarung, welche die tatsächlichen Funktionen und Beziehungen widerspiegelt. Dokumentieren Sie deshalb den Beginn und das Ende des gemeinsam bestimmten Vorgangs sowie die anschließenden Datenwege. Diese Abgrenzung hilft auch bei der Gestaltung verständlicher Informationen für Interessenten.

• Wer entscheidet gemeinsam über die Angaben im Anfrageformular?
• Wer legt die Verteilung und weitere Nutzung der Kontakte fest?
• Welche Entscheidungen trifft eine Partei eigenständig?
• Wo endet der gemeinsam gesteuerte Ablauf?

Kann ein externer Makler eigenständig verantwortlich bleiben?

Ja. Entscheidet der Makler eigenständig über Zwecke und Mittel seiner Kundenbetreuung, ist er für diese Verarbeitung Verantwortlicher nach Art. 4 Nr. 7 DSGVO. Eine spätere Datenübermittlung an den Bauträger macht ihn nicht automatisch zum Auftragsverarbeiter. Für die Übermittlung und weitere Verarbeitung ist jeweils die Rechtsgrundlage nach Art. 6 Abs. 1 DSGVO zu prüfen; außerdem bleibt eine mögliche gemeinsame Zweckbestimmung gesondert abzuklären.

Untersuchen Sie dazu die Herkunft der Kundenbeziehung. Hat der Makler den Kontakt unabhängig gewonnen und entscheidet er selbst, welche Projekte er empfiehlt, deutet dies auf eigene Zweckentscheidungen hin. Erhält er dagegen einen eng beschriebenen Bearbeitungsauftrag ohne eigene Verwendungsentscheidung, empfiehlt sich eine Prüfung auf Auftragsverarbeitung nach Art. 4 Nr. 8 DSGVO. Entscheidend bleibt das tatsächliche Modell. Eine Provisionsvereinbarung, ein gemeinsames Logo oder die Bezeichnung Vertriebspartner beantwortet diese Frage nicht anhand der Kriterien des Art. 4 Nr. 7 DSGVO.

Vermeiden Sie deshalb einen pauschalen AV-Vertrag für sämtliche externen Partner. Prüfen Sie zunächst, ob eigenständige, gemeinsame oder weisungsgebundene Tätigkeiten vorliegen. Die nachfolgende Tabelle dient als Orientierung anhand von Art. 4 Nr. 7 und Nr. 8, Art. 26 Abs. 1 sowie Art. 28 Abs. 3 DSGVO. Halten Sie daneben die Tatsachen fest, auf denen Ihre Zuordnung beruht. Ändert sich später das Betreuungsmodell, können Sie gezielt erkennen, welche Annahme der bisherigen Vertragsprüfung nicht mehr trägt.

Vertragsanlagen mit dem CRM-Betrieb abgleichen

Die Suche Art 28 DSGVO Makler Software führt zur konkreten Frage, ob der angebotene Vertrag Ihre Nutzung ausreichend beschreibt. Prüfen Sie die Angaben nach Art. 28 Abs. 3 Satz 1 DSGVO gegen Ihre Datenfelder und Tätigkeiten. Enthält das System nur Kontaktdaten oder auch Beratungsnotizen, Finanzierungsunterlagen und Kommunikationsverläufe? Werden Daten importiert, exportiert oder an angebundene Dienste übergeben? Die Vertragsanlage sollte den vereinbarten Umfang erkennen lassen, ohne unnötige personenbezogene Beispieldaten aufzunehmen. Verwenden Sie dafür Feldnamen und künstliche Muster.

Vergleichen Sie anschließend die zugesagten Pflichten mit den Betriebsnachweisen. Art. 28 Abs. 3 Satz 2 Buchst. b und c DSGVO betrifft Vertraulichkeit und Sicherheitsmaßnahmen; Buchst. e und f betrifft Unterstützungspflichten. Fragen Sie nach dem praktischen Ablauf, wenn Sie eine Auskunft vorbereiten, eine Löschung anweisen oder einen Sicherheitsvorfall untersuchen. Ein Verweis auf allgemeine Unterstützung erklärt noch nicht, wie Sie die zuständige Stelle erreichen und welche Angaben für die Bearbeitung benötigt werden. Diese Details empfehlen sich als betriebliche Ergänzung.

Prüfen Sie schließlich die Nachweis- und Kontrollmöglichkeiten nach Art. 28 Abs. 3 Satz 2 Buchst. h DSGVO. Ordnen Sie vorgelegnete Dokumente ihrem Geltungsbereich zu: Welche Leistung, welche Organisation und welche Betriebsumgebung betreffen sie? Eine allgemeine Sicherheitsbeschreibung sollte nicht mit einem Nachweis über Ihren konkreten Ablauf verwechselt werden. Halten Sie Rückfragen schriftlich fest und bitten Sie um eindeutige Verweise auf die geltende Vertragsfassung. So vermeiden Sie eine Freigabe auf Grundlage veralteter Anlagen oder unverbindlicher Aussagen aus dem Verkaufsgespräch.

1. 1Leistungsbeschreibung mit den tatsächlich genutzten CRM-Funktionen abgleichen.
2. 2Datenarten und betroffene Personengruppen nach Art. 28 Abs. 3 Satz 1 DSGVO prüfen.
3. 3Unterstützungswege anhand konkreter Bearbeitungsfälle durchgehen.
4. 4Nachweise und Kontrollregelung nach Art. 28 Abs. 3 Satz 2 Buchst. h DSGVO zuordnen.

Gemeinsame Verantwortung in bearbeitbare Aufgaben übersetzen

Bei gemeinsamer Verantwortlichkeit legt die Vereinbarung nach Art. 26 Abs. 1 Satz 2 DSGVO transparent fest, wer welche Verpflichtung erfüllt, insbesondere hinsichtlich Betroffenenrechten und Informationspflichten. Übersetzen Sie dies in konkrete Bearbeitungswege. Wer erstellt die Informationen zum Anfrageformular? Wer prüft Änderungen an Empfängern oder Verwendungszwecken? Wer koordiniert die Suche nach Kontaktdaten? Eine bloße Aussage zur gegenseitigen Unterstützung läßt diese Arbeitsfragen offen. Als Ergänzung empfiehlt sich eine Aufgabenübersicht mit zuständiger Funktion, Vertretung, Eingangskanal und erforderlichem Bearbeitungsnachweis.

Die Vereinbarung hat nach Art. 26 Abs. 2 Satz 1 DSGVO die tatsächlichen Funktionen und Beziehungen widerzuspiegeln; ihr Wesentliches ist nach Art. 26 Abs. 2 Satz 2 DSGVO betroffenen Personen bereitzustellen. Schreiben Sie die Erläuterung deshalb aus Sicht eines Interessenten. Er sollte erkennen können, wie Bauträger und Vertrieb bei der betreffenden Verarbeitung zusammenwirken. Interne Abkürzungen, technische Mandantennamen und eine nicht erläuterte Verteilung von Arbeitspaketen helfen dabei wenig. Stimmen Sie die Darstellung mit dem wirklichen Kontaktweg ab.

Eine benannte Anlaufstelle ist nach Art. 26 Abs. 1 Satz 3 DSGVO möglich. Sie beseitigt jedoch nicht das Recht betroffener Personen, ihre Rechte gegenüber jedem gemeinsam Verantwortlichen geltend zu machen, gemäß Art. 26 Abs. 3 DSGVO. Planen Sie deshalb auch den Eingang beim vermeintlich falschen Ansprechpartner ein. Empfohlen ist ein interner Weiterleitungsweg mit nachvollziehbarer Übergabe und Vertretung. Der Eingang einer Anfrage sollte im vereinbarten Ablauf weiterbearbeitet werden können, ohne von persönlichen Absprachen zwischen einzelnen Beschäftigten abzuhängen.

Weisungen und Vertragsbeziehungen im Dreieck ordnen

Zeichnen Sie die Vertragsbeziehungen getrennt von den technischen Zugängen auf. Wer bestellt den Dienst, wer wird durch den Vertrag gebunden und für wessen Verarbeitung arbeitet der Anbieter? Art. 28 Abs. 3 Satz 1 DSGVO verlangt eine den Auftragsverarbeiter gegenüber dem Verantwortlichen bindende Grundlage. Ein vom Bauträger geschlossener Vertrag sollte deshalb nicht ungeprüft als Abdeckung eigenständiger Verarbeitungen externer Vertriebe behandelt werden. Prüfen Sie Vertragsparteien, Vertretungsregelungen, Geltungsbereich und Anlagen anhand der zuvor bestimmten Rollen für den jeweiligen Vorgang.

Ordnen Sie anschließend den Weisungsweg zu. Nach Art. 28 Abs. 3 Satz 2 Buchst. a DSGVO verarbeitet der Auftragsverarbeiter grundsätzlich auf dokumentierte Weisung. Als Gestaltung empfiehlt sich eine benannte Funktion, die fachliche Entscheidungen in ausführbare Aufträge überführt. Ein technischer Administratorzugang sollte dabei nicht stillschweigend als Befugnis zur Entscheidung über fremde Kundenbestände behandelt werden. Klären Sie, wer Export, Datenkorrektur und Löschung anfordern kann und wie der Anbieter widersprüchliche Anforderungen erkennt, zurückstellt und an die zuständigen Beteiligten zurückgibt.

Betrachten Sie auch die kaufmännische Vertragsänderung getrennt von der datenschutzrechtlichen Rollenprüfung. § 311 Abs. 1 BGB regelt die vertragliche Begründung und Änderung rechtsgeschäftlicher Schuldverhältnisse, soweit das Gesetz nichts anderes vorschreibt. Die Rollenbestimmung folgt dagegen Art. 4 Nr. 7 und Nr. 8 DSGVO. Für Ihre Ablage empfiehlt sich eine eindeutige Verbindung zwischen Hauptvertrag, Datenschutzvereinbarung und gültigen Anlagen. Dokumentieren Sie, welche Fassung den freigegebenen Betrieb beschreibt und welche Änderungen noch geprüft werden. Die gesetzliche Grundlage finden Sie im [Bürgerlichen Gesetzbuch](https://www.gesetze-im-internet.de/bgb/).

Unterauftragnehmer und zusätzliche Datenwege prüfen

Erweitern Sie die Prüfung über die sichtbare CRM-Oberfläche hinaus. Fragen Sie nach Hosting, Datensicherung, Support und angebundenen Diensten, soweit diese an der Verarbeitung beteiligt sind. Art. 28 Abs. 2 DSGVO regelt die vorherige gesonderte oder allgemeine schriftliche Genehmigung weiterer Auftragsverarbeiter und bei allgemeiner Genehmigung die Information über beabsichtigte Änderungen. Für Ihre Vertragsprüfung empfiehlt sich eine Liste mit juristischer Person, Aufgabe und betroffenem Verarbeitungsschritt. Ein bloßer Markenname erklärt weder die Funktion noch die konkrete Vertragsbeziehung ausreichend.

Art. 28 Abs. 4 Satz 1 DSGVO verlangt die Weitergabe derselben Datenschutzpflichten an weitere Auftragsverarbeiter im dort beschriebenen Umfang. Fragen Sie deshalb, wie der Anbieter die nachgelagerte Leistung einbindet und Änderungen kommuniziert. Prüfen Sie auch den Zugang zum vorgesehenen Informationskanal: Wer erhält Mitteilungen, wer bewertet sie fachlich und wo wird die Entscheidung dokumentiert? Eine veröffentlichte Liste hilft im Arbeitsalltag nur, wenn Veränderungen den zuständigen Personen tatsächlich zur Prüfung vorgelegt werden. Empfohlen ist eine festgelegte Vertretung.

Bei Datenwegen in Drittländer tritt die Prüfung nach Art. 44 DSGVO hinzu; der AV-Vertrag allein ersetzt diese nicht. Fragen Sie nach tatsächlichen Verarbeitungsorten und möglichen Zugriffen aus dem Ausland, einschließlich Support. Die Angabe eines europäischen Speicherorts beschreibt nicht zwangsläufig sämtliche Zugriffswege. Dokumentieren Sie die Antworten getrennt nach Leistung und Zugriffsszenario und lassen Sie die einschlägige Übermittlungsgrundlage prüfen. Vermeiden Sie eine pauschale Bewertung anhand des Anbieterhauptsitzes oder einer allgemeinen Aussage zur Cloud, wenn der konkrete Betriebsweg ungeklärt bleibt.

Den Prüfaufwand anhand eines nachvollziehbaren Beispiels planen

Annahme: Für die Vertragsprüfung werden 4 Verarbeitungsvorgänge betrachtet: Anfrageaufnahme, Beratungsdokumentation, Reservierungsbearbeitung und spätere Projektansprache. Annahme: An jedem Vorgang könnten 3 Organisationen beteiligt sein, nämlich Bauträger, Vertrieb und Anbieter. Daraus entstehen 4 × 3 = 12 Prüffelder für die Beteiligungsmatrix. Diese Rechenannahme beschreibt den Umfang Ihrer Arbeitsunterlage, keine gesetzliche Vorgabe und keine Anzahl erforderlicher Verträge. Inhalt jedes Feldes sind tatsächliche Tätigkeit, Entscheidungsspielraum und Beleg; ein Feld kann ausdrücklich auch keine Beteiligung ausweisen.

Annahme: Von den 12 Prüffeldern sind 9 mit einem dokumentierten Ergebnis versehen, während 3 noch Rückfragen enthalten. Daraus ergibt sich für dieses Beispiel ein Bearbeitungsstand von 9 ÷ 12 × 100 = 75 Prozent. Dieser Wert beschreibt ausschließlich den Fortschritt der Dokumentation. Er bestätigt weder die rechtliche Richtigkeit der Zuordnung noch die Qualität der technischen Umsetzung. Halten Sie deshalb neben dem Bearbeitungsstand fest, worin die ungeklärte Entscheidung besteht und wer die benötigte Sachverhaltsauskunft liefern kann.

Bewerten Sie die offenen Punkte anschließend nach ihrer Bedeutung für den vorgesehenen Betrieb. Eine ungeklärte Entscheidung über die spätere Nutzung von Kontakten ist inhaltlich anders zu behandeln als eine fehlende Fundstelle in einer bereits vorliegenden Anlage. Empfohlen ist eine Freigabeliste, die Sachverhalt, Rechtsprüfung und Umsetzung unterscheidet. Die Rollenbewertung bleibt an Art. 4 Nr. 7 und Nr. 8 sowie Art. 26 Abs. 1 DSGVO gebunden; eine rechnerisch weitgehend bearbeitete Matrix ersetzt diese Prüfung nicht.

Vertragsprüfung mit Freigabe und Änderungsanlässen verbinden

Führen Sie die Ergebnisse in einer prüfbaren Freigabeunterlage zusammen. Empfohlen sind ein Ablaufbild, die begründete Rollenzuordnung, die zugehörigen Vertragsfassungen und ein Nachweis der vorgesehenen Bearbeitungswege. Lassen Sie die fachlich zuständigen Personen bestätigen, ob die Beschreibung ihrem geplanten Vorgehen entspricht. Die rechtliche Bewertung kann anschließend gezielt auf diesen Sachverhalt aufsetzen. So wird vermieden, eine abstrakte Mustervereinbarung freizugeben, während der Vertrieb bereits einen abweichenden Ablauf plant oder zusätzliche Funktionen ohne dokumentierte Prüfung vorbereitet.

Beziehen Sie das Ende der Zusammenarbeit ein. Art. 28 Abs. 3 Satz 2 Buchst. g DSGVO regelt nach Beendigung der Verarbeitungsleistungen grundsätzlich Löschung oder Rückgabe nach Wahl des Verantwortlichen sowie die Löschung vorhandener Kopien, vorbehaltlich gesetzlicher Speicherpflichten. Fragen Sie nach Exportformat, Weisung, Datensicherung und Bestätigung der Bearbeitung. Die Entfernung eines Benutzerzugangs beschreibt lediglich einen technischen Teil des Austritts. Für den Vertragsabgleich empfiehlt sich eine gesonderte Darstellung, wie der Anbieter mit verbleibenden Datenbeständen und Kopien umgeht.

Legen Sie schließlich konkrete Anlässe für eine erneute Prüfung fest. Dazu empfehlen sich neue Partnerrollen, geänderte Kampagnen, zusätzliche Schnittstellen, eigene Anbieternutzungen und ein verändertes Betreuungsmodell. Eine solche Änderung kann die Tatsachengrundlage der Einordnung nach Art. 4 Nr. 7 und Nr. 8 oder Art. 26 Abs. 1 DSGVO betreffen. Prüfen Sie dann gezielt den veränderten Verarbeitungsvorgang und seine Vertragsbezüge. Halten Sie die Begründung aktuell, damit spätere Verantwortliche erkennen können, warum eine bestimmte Rolle und Vertragsgestaltung gewählt wurde.

• Freigabe an eine konkret bezeichnete Vertragsfassung binden.
• Geänderte Datenverwendungen vor ihrer Einführung bewerten.
• Partneraustritt einschließlich verbleibender Datenbestände beschreiben.
• Rollenentscheidung mit Sachverhalt und Begründung nachvollziehbar ablegen.