Unterauftragsverarbeiter

Diese Liste ist Anlage 3 unseres Auftragsverarbeitungsvertrags (AVV). Sie nennt die Dienstleister, die personenbezogene Daten im Auftrag unserer Kunden verarbeiten, mit Leistung, Zweck, Ort der Verarbeitung und Grundlage für Übermittlungen außerhalb der EU.

Einige Dienste werden nur tätig, wenn ein Büro sie selbst einrichtet (z. B. Telefonie oder Messenger). Dienste, die ein Büro über eigene Verträge anbindet (z. B. sein eigenes Microsoft-365- oder Google-Postfach, CRM-Systeme, Immobilienportale), sind keine Unterauftragsverarbeiter von ImmoVision; sie sind in Abschnitt 3 genannt.

1. Allgemeine Hinweise

Wir setzen Unterauftragsverarbeiter nur ein, soweit dies für Hosting, KI-Funktionen, Medienverarbeitung, Telefonie, Kommunikation oder Zahlungsabwicklung erforderlich ist.

Jeder Unterauftragsverarbeiter ist durch einen Vertrag nach Art. 28 Abs. 4 DSGVO gebunden, der ihm im Wesentlichen dieselben Datenschutzpflichten auferlegt wie unser AVV. KI-Anbieter dürfen Kundendaten nach ihren Vertragsbedingungen nicht zum Training ihrer Modelle verwenden.

Nicht jeder Drittanbieter ist Unterauftragsverarbeiter. Zahlungsdienstleister und Plattformbetreiber wie Meta verarbeiten Daten teilweise in eigener Verantwortung; das ist bei dem jeweiligen Anbieter angegeben.

2. Unterauftragsverarbeiter

Hetzner Online GmbH

Leistung:

Hosting: Server, Datenbank, Dateispeicher, Sicherungen

Zweck:

Betrieb von Website, Plattform, Exposés, Microsites und Handy-App; Speicherung aller Kundendaten und Medien

Ort der Verarbeitung:

Deutschland (Industriestr. 25, 91710 Gunzenhausen; Rechenzentren in Deutschland)

Rolle:

Unterauftragsverarbeiter

Drittland / Grundlage:

Keine Übermittlung in Drittländer.

Google Cloud EMEA Limited (Google Cloud / Vertex AI)

Leistung:

KI-Modelle (Gemini, Gemini Live, Gemini-Bildmodell, Veo), Sprachverarbeitung

Zweck:

Texte und Übersetzungen, Bildbearbeitung und virtuelles Staging, Videoclips, Diktat, Sprachbefehle, Transkription und Zusammenfassung, KI-Assistenten (Chat und Sprache), Marktanalysen

Ort der Verarbeitung:

Europäische Union: EU-Region sowie Regionen Frankfurt (Deutschland) und Niederlande; Vertragspartner Google Cloud EMEA Limited, Irland

Rolle:

Unterauftragsverarbeiter

Drittland / Grundlage:

Verarbeitung in der EU. Für Zugriffe durch Konzernunternehmen in Drittländern (z. B. Support) gelten der Angemessenheitsbeschluss zum EU-U.S. Data Privacy Framework und die EU-Standardvertragsklauseln im Cloud Data Processing Addendum von Google.

Anmerkung: Kundendaten werden nach den Google-Cloud-Bedingungen nicht zum Training von Modellen verwendet.

Microsoft Ireland Operations Limited (Azure OpenAI)

Leistung:

KI-Textmodelle und Echtzeit-Sprache in einer EU-Region

Zweck:

Alternative zu Google für Textfunktionen und Assistenten, soweit vom Plattformbetreiber aktiviert

Ort der Verarbeitung:

Europäische Union (Azure-Region in der EU, z. B. Schweden)

Rolle:

Unterauftragsverarbeiter, soweit eingesetzt

Drittland / Grundlage:

Verarbeitung in der EU (EU Data Boundary). Für Zugriffe aus Drittländern gelten das EU-U.S. Data Privacy Framework und die EU-Standardvertragsklauseln der Microsoft-Produktbedingungen.

Anmerkung: Eingaben werden nach den Microsoft-Bedingungen nicht zum Training von Modellen verwendet.

Shotstack Pty Ltd

Leistung:

Video-Rendering

Zweck:

Zusammensetzen von Objekt- und Social-Media-Videos aus den dafür ausgewählten Bildern, Clips und Texten

Ort der Verarbeitung:

Australien

Rolle:

Unterauftragsverarbeiter

Drittland / Grundlage:

Drittland ohne Angemessenheitsbeschluss; Übermittlung auf Grundlage der EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO).

Anmerkung: Übermittelt werden Objektmedien und Videotexte, in der Regel keine Daten von Interessenten.

Twilio Ireland Limited

Leistung:

Telefonie, Gesprächsaufzeichnung, Versand von WhatsApp-Nachrichten

Zweck:

Telefonate und Aufzeichnung nach Zustimmung des Gesprächspartners; Übertragung von WhatsApp-Nachrichten — nur wenn das Büro Twilio einrichtet

Ort der Verarbeitung:

USA (Verarbeitung über api.twilio.com); Vertragspartner Twilio Ireland Limited

Rolle:

Unterauftragsverarbeiter, soweit vom Büro eingerichtet

Drittland / Grundlage:

USA: EU-U.S. Data Privacy Framework und verbindliche interne Datenschutzvorschriften (BCR) von Twilio.

Voximplant

Leistung:

Telefonie und Gesprächsaufzeichnung

Zweck:

Telefonate und Aufzeichnung nach Zustimmung des Gesprächspartners — nur wenn das Büro Voximplant statt Twilio einrichtet

Ort der Verarbeitung:

gemäß Auftragsverarbeitungsvertrag mit Voximplant

Rolle:

Unterauftragsverarbeiter, soweit vom Büro eingerichtet

Drittland / Grundlage:

Übermittlungen in Drittländer nur auf Grundlage der EU-Standardvertragsklauseln.

Meta Platforms Ireland Limited

Leistung:

WhatsApp Business Platform, Instagram, Messenger, Lead-Formulare

Zweck:

Empfang und Versand von Nachrichten und Anfragen der Kunden eines Büros — nur wenn das Büro diese Kanäle einrichtet

Ort der Verarbeitung:

Irland; Konzernunternehmen in den USA

Rolle:

Für die Nachrichtenübertragung Auftragsverarbeiter; für eigene Zwecke von Meta (z. B. Sicherheit, Plattformbetrieb) eigener Verantwortlicher

Drittland / Grundlage:

USA: EU-U.S. Data Privacy Framework und EU-Standardvertragsklauseln.

3. Dienste mit eigener Verantwortlichkeit und Dienste des Büros

3.1 Stripe Payments Europe Limited

Leistung:

Zahlungsabwicklung für Abonnements und Guthaben, Betrugsprävention

Rolle:

Für die Zahlungsabwicklung teils Auftragsverarbeiter, für Betrugsprävention, Sicherheit und regulatorische Pflichten eigener Verantwortlicher

Anmerkung: Stripe verarbeitet Zahlungsdaten unserer Kunden (Büros), nicht die Daten ihrer Interessenten. Übermittlungen in die USA erfolgen auf Grundlage des EU-U.S. Data Privacy Framework und von Standardvertragsklauseln.

3.2 Dienste, die ein Büro über eigene Verträge anbindet

Folgende Dienste werden nur tätig, wenn ein Büro sie selbst verbindet; die Verarbeitung dort richtet sich nach dem Vertrag zwischen Büro und Dienst:

eigenes Postfach und eigener Kalender (Microsoft 365, Google Workspace/Gmail),
CRM- und Maklerprogramme (z. B. HubSpot, Propstack, onOffice),
Immobilienportale (z. B. über OpenImmo),
Register für kommerzielle Mitteilungen in der Türkei (İYS), Anbieter für elektronische Rechnungen und Zahlungen in der Türkei,
Webhooks und Automatisierungsdienste, die das Büro einrichtet,
extern eingebettete 360°-Rundgänge.

Ohne Personenbezug genutzt werden: öffentliche Kartendaten (OpenStreetMap/Overpass, nur Objektkoordinaten), Wechselkurse der Türkischen Zentralbank. Push-Benachrichtigungen werden über die Push-Dienste der Browserhersteller zugestellt (Ende-zu-Ende-verschlüsselter Inhalt).

4. Kategorien der Verarbeitung durch Unterauftragsverarbeiter

Je nach gebuchter und aktivierter Funktion können Unterauftragsverarbeiter insbesondere folgende Datenkategorien im Auftrag verarbeiten:

Stammdaten
Kontaktdaten
Kommunikationsdaten
Objekt- und Vorgangsdaten
Nutzerkontodaten
Rollen- und Berechtigungsdaten
Termin- und Statusdaten
Inhalte aus Formularen, Exposés, Microsites oder CRM-Einträgen
hochgeladene Medien und zugehörige Metadaten
Audioinhalte, Transkripte und daraus abgeleitete strukturierte Informationen, soweit entsprechende Funktionen aktiviert sind
technische Nutzungs- und Protokolldaten, soweit diese der auftragsbezogenen Bereitstellung dienen
Gesprächsinhalte mit KI-Assistenten, soweit die Besucher eingewilligt haben

5. Änderung der Unterauftragsverarbeiter

Wir behalten uns vor, Unterauftragsverarbeiter zu ergänzen, zu ersetzen oder technisch neu zu strukturieren, soweit dies für die Leistungserbringung, Sicherheit, Skalierung oder Weiterentwicklung von ImmoVision erforderlich ist.

Über beabsichtigte Änderungen informieren wir unsere Kunden vorab in Textform (z. B. per E-Mail an die Büroleitung und durch Aktualisierung dieser Seite). Kunden können innerhalb von 14 Tagen aus wichtigem datenschutzrechtlichem Grund widersprechen (Ziffer 9 AVV).

6. Verweis auf aktuelle externe Dokumentationen

Soweit Anbieter eigene, laufend aktualisierte Unterlagen zu Datenschutz, Subprocessors, Sicherheitsmaßnahmen oder Cloud-Regionen veröffentlichen, sind diese ergänzend maßgeblich.

Dies gilt insbesondere für:

Google Cloud: Cloud Data Processing Addendum und Liste der Google-Cloud-Unterauftragsverarbeiter,
Microsoft: Produktbedingungen und Data Protection Addendum,
Stripe, Meta, Twilio: jeweilige Datenschutz- und Auftragsverarbeitungsbedingungen.

7. Zusammenfassende Liste

Unterauftragsverarbeiter

Leistung:	Ort der Verarbeitung:
Hetzner Online GmbH Hosting	Deutschland
Google Cloud EMEA Limited KI (Vertex AI: Gemini, Veo)	EU-Regionen
Microsoft Ireland Operations Limited KI (Azure OpenAI), soweit eingesetzt	EU-Region
Shotstack Pty Ltd Video-Rendering	Australien (Standardvertragsklauseln)
Twilio Ireland Limited Telefonie, Aufzeichnung, WhatsApp-Übertragung (wenn vom Büro eingerichtet)	USA (DPF, BCR)
Voximplant Telefonie, Aufzeichnung (wenn vom Büro eingerichtet)	gemäß AVV (Standardvertragsklauseln)
Meta Platforms Ireland Limited WhatsApp, Instagram, Messenger, Lead-Formulare (wenn vom Büro eingerichtet)	Irland/USA (DPF, SCC)

Mit eigener Verantwortlichkeit

Leistung:	Ort der Verarbeitung:
Stripe Payments Europe Limited Zahlungsabwicklung, Betrugsprävention	Irland/USA (DPF, SCC)