Vertrag über die Auftragsverarbeitung personenbezogener Daten (AVV) - Qualu

Version 1.0 - Stand und Wirksamkeit: 14.09.2026

Auftragnehmer: Mohamed Achach, handelnd unter MAC Digital Ventures, Cosimastraße 121, 81925 München, Deutschland
Kontakt: contact@qualu.ai

Auftraggeber: Der jeweilige Geschäftskunde von Qualu, dessen Rechtsträger, Anschrift und vertretungsberechtigte bzw. zum Vertragsschluss autorisierte Person im Qualu-Konto und im elektronischen Annahmenachweis dokumentiert sind. Der Annahmenachweis ist Bestandteil dieses AVV.

Dieser AVV gilt ausschließlich im B2B-Verhältnis und wird Bestandteil des jeweiligen Qualu-SaaS-Vertrags, sobald er durch einen hierzu autorisierten Nutzer des Auftraggebers elektronisch angenommen wird.

1. Geltungsbereich und Form

1.1. Dieser Vertrag regelt die Verarbeitung personenbezogener Daten im Auftrag gemäß Art. 28 DSGVO im Zusammenhang mit der Bereitstellung und Nutzung von Qualu.

1.2. Er gilt für alle Verarbeitungstätigkeiten, bei denen der Auftragnehmer oder von ihm eingesetzte Unterauftragsverarbeiter personenbezogene Daten des Auftraggebers zur Erbringung der Qualu-Leistungen verarbeiten.

1.3. Begriffe werden entsprechend der DSGVO verwendet. Weisungen, Genehmigungen, Mitteilungen und Vertragsänderungen können in Textform oder in sonstiger elektronischer Form erfolgen, sofern Inhalt, Erklärender, Zeitpunkt und Bezug zum jeweiligen Vertragsstand angemessen nachweisbar sind. Zwingende gesetzliche Formvorschriften bleiben unberührt.

1.4. Dieser AVV kann elektronisch geschlossen werden. Qualu dokumentiert bei elektronischer Annahme insbesondere den Auftraggeber, den handelnden Nutzer, dessen bestätigte Vertretungsbefugnis, den UTC-Zeitpunkt, die AVV-Version und den Bezug zur jeweiligen Subscription bzw. Bestellung.

2. Gegenstand und Dauer der Verarbeitung

2.1. Gegenstand ist die Bereitstellung und der Betrieb der B2B-SaaS Qualu für den dem Auftraggeber zugeordneten Workspace. Qualu unterstützt Immobilienunternehmen bei Erfassung, Strukturierung und Qualifizierung von Immobilienanfragen sowie bei der Ableitung nächster menschlich kontrollierter Schritte.

2.2. Grundlage der Verarbeitung sind der jeweilige Qualu-SaaS-Vertrag, die anwendbaren B2B-AGB und die dokumentierten Weisungen des Auftraggebers.

2.3. Die Verarbeitung beginnt mit Wirksamwerden des Hauptvertrags bzw. dieses AVV und dauert grundsätzlich für die Laufzeit des Hauptvertrags. Rückgabe-, Lösch- und gesetzliche Aufbewahrungspflichten nach Vertragsende bleiben unberührt.

3. Art, Zweck, Datenarten und betroffene Personen

3.1. Qualu verarbeitet im Auftrag insbesondere Immobilienanfragen und dazugehörige Lead-, Intake-, Listing-, Qualifizierungs- und Workflowdaten. Die Verarbeitung kann über öffentliche Intake-Formulare und optional über KI-gestützte Intake- oder Qualifizierungsfunktionen ausgelöst werden.

3.2. Die Verarbeitung umfasst insbesondere Erheben, Erfassen, Validieren, Ordnen, Strukturieren, Speichern, Anzeigen, Durchsuchen, Auswerten, Qualifizieren, Zusammenfassen, Übermitteln an genehmigte Unterauftragsverarbeiter, Exportieren, Einschränken und Löschen.

3.3. Zweck ist die Bearbeitung und Qualifizierung von Immobilienanfragen, einschließlich der Bewertung von Vollständigkeit und Kontext, Budget- und Finanzierungsbereitschaft, Qualifikationsergebnissen, Begründungen, Zusammenfassungen, Prioritäts- oder Dringlichkeitshinweisen und empfohlenen nächsten Schritten. Weitere Zwecke sind Workspace- und Benutzerverwaltung, Export, Löschung, transaktionale Kommunikation, Sicherheit und Missbrauchsprävention. Entscheidungen über die weitere Bearbeitung verbleiben beim Auftraggeber und seinen berechtigten Nutzern.

3.4. Verarbeitete Datenarten sind insbesondere Namen, E-Mail-Adressen, Telefonnummern, Anfrage- und Kontaktdaten, Immobilien- und Suchkriterien, kundenindividuelle Intake-Antworten, Freitextinhalte, Budget- und Finanzierungsbereitschaft, Quellen- und Kampagnenzuordnung, Einwilligungs- und Sicherheitsmetadaten, Workflow- und Auditdaten, KI-generierte Qualifikationsergebnisse, Zusammenfassungen, Begründungen und Handlungsempfehlungen sowie - soweit einschlägig - Kennungen, Rollen und Aktivitätsdaten berechtigter Workspace-Nutzer, technische Request-Metadaten und vom Auftraggeber bereitgestellte Immobilienbilder. Karten- und Bankzahlungsdaten gehören nicht zu den regulären, im Auftrag verarbeiteten Lead-Daten.

3.5. Betroffene Personen sind insbesondere Personen, die Immobilienanfragen über einen Workspace des Auftraggebers übermitteln, Interessenten bzw. potenzielle Käufer, Personen, deren Daten der Auftraggeber in Anfrage- oder Lead-Datensätze einträgt, sowie berechtigte Workspace-Nutzer und eingeladene Mitglieder des Auftraggebers, soweit deren Daten verarbeitet werden.

3.6. Qualu ist nicht dafür vorgesehen, besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO oder Daten nach Art. 10 DSGVO gezielt zu erheben. Der Auftraggeber darf deren gezielte Erhebung oder Übermittlung nicht konfigurieren oder veranlassen, sofern dies nicht zuvor ausdrücklich vereinbart und rechtlich zulässig ist. Eine unerwartete Eingabe solcher Daten in Freitextfeldern kann technisch nicht vollständig ausgeschlossen werden und ist nach dokumentierter Weisung des Auftraggebers sowie den anwendbaren Datenschutzanforderungen zu behandeln.

4. Pflichten des Auftragnehmers

4.1. Der Auftragnehmer verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Auftraggebers und zur Erbringung der vereinbarten Leistungen, es sei denn, eine gesetzliche Verpflichtung erfordert eine andere Verarbeitung. Soweit gesetzlich zulässig, informiert der Auftragnehmer den Auftraggeber vor einer solchen abweichenden Verarbeitung.

4.2. Der Auftragnehmer wahrt die Vertraulichkeit und stellt sicher, dass Personen mit Zugriff auf im Auftrag verarbeitete Daten angemessen zur Vertraulichkeit verpflichtet sind.

4.3. Der Auftragnehmer unterstützt den Auftraggeber unter Berücksichtigung der Art der Verarbeitung und der ihm zur Verfügung stehenden Informationen angemessen bei Betroffenenrechten, Datenschutz-Folgenabschätzungen sowie den Pflichten nach Art. 32 bis 36 DSGVO.

4.4. Direkt an den Auftragnehmer gerichtete Betroffenenanfragen, die Daten des Auftraggebers betreffen, werden dem Auftraggeber unverzüglich zugeleitet. Eine inhaltliche Beantwortung erfolgt grundsätzlich nur auf Weisung oder mit Zustimmung des Auftraggebers, soweit keine eigene gesetzliche Verpflichtung des Auftragnehmers besteht.

4.5. Derzeit ist kein Datenschutzbeauftragter benannt. Die gesetzliche Benennungspflicht wird bei wesentlichen Änderungen von Umfang, Art oder Zweck der Verarbeitung oder sonstigen relevanten Voraussetzungen erneut geprüft.

4.6. Verarbeitungen außerhalb der EU/des EWR oder eines Staates mit Angemessenheitsbeschluss erfolgen nur, soweit die Voraussetzungen des Kapitels V DSGVO erfüllt sind.

5. Technische und organisatorische Maßnahmen

5.1. Die in Anlage 1 beschriebenen technischen und organisatorischen Maßnahmen bilden den vereinbarten Mindeststandard. Sie dürfen an technische Entwicklungen angepasst werden, sofern das Schutzniveau insgesamt nicht abgesenkt wird.

5.2. Kundendaten werden in der mandantenfähigen SaaS logisch von Daten anderer Kunden getrennt. Der Zugriff wird über Authentifizierung, workspacebezogene Rollen und Berechtigungen sowie serverseitige Zugriffskontrollen beschränkt.

5.3. Unnötige lokale Kopien von Kundendatenbanken werden nicht erstellt. Technisch erforderliche Kopien oder Replikate können insbesondere im Rahmen von Provider-Backups, Replikation, Betriebs- und Sicherheitslogs, temporärer Verarbeitung, E-Mail-Versand sowie vom Auftraggeber angeforderten Exporten entstehen. Solche Kopien unterliegen den jeweils anwendbaren Sicherheits- und Löschregeln. Vom Auftraggeber heruntergeladene Exporte liegen außerhalb der Kontrolle des Auftragnehmers.

5.4. Die Administration kann aus einem abgesicherten Homeoffice erfolgen. Dabei werden ausschließlich geschäftlich genutzte, zugriffsgeschützte und verschlüsselte Endgeräte sowie gesicherte Netzwerkverbindungen eingesetzt. Kundendatenbank-Exporte werden im Regelbetrieb nicht lokal gespeichert; Kundendaten werden nicht auf Wechselmedien kopiert und nicht ausgedruckt.

5.5. Dedizierte physische Datenträger des Auftraggebers werden im Regelbetrieb nicht eingesetzt.

5.6. Der Auftraggeber kann die Einhaltung dieses AVV in angemessenem Umfang überprüfen. Prüfungen erfolgen grundsätzlich evidenzbasiert durch aktuelle TOM-Dokumentation, relevante Nachweise, Prüfberichte, Zertifizierungen, schriftliche Auskünfte oder Remote-Prüfungen. Soweit dies im Einzelfall nicht ausreicht und eine weitergehende Prüfung nach Art. 28 Abs. 3 lit. h DSGVO erforderlich ist, ermöglicht bzw. unterstützt der Auftragnehmer eine angemessene Prüfung. Dabei sind Vertraulichkeit, Sicherheit, Rechte anderer Kunden, Schutz von Zugangsdaten und Geschäftsgeheimnissen sowie ein störungsarmer Betrieb zu berücksichtigen. Unkontrollierte Zugriffe auf Produktivsysteme, Zugangsdaten oder Daten anderer Kunden sowie Penetrationstests ohne vorherige ausdrückliche Freigabe sind ausgeschlossen.

6. Berichtigung, Löschung und Einschränkung

6.1. Im Auftrag verarbeitete Daten werden entsprechend diesem Vertrag und dokumentierten Weisungen des Auftraggebers berichtigt, gelöscht oder in ihrer Verarbeitung eingeschränkt.

6.2. Weisungen nach Vertragsende werden nur insoweit ausgeführt, wie die betreffenden Daten noch rechtmäßig und technisch im Einflussbereich des Auftragnehmers vorhanden sind und keine vorrangige gesetzliche Pflicht entgegensteht.

7. Unterauftragsverhältnisse

7.1. Der Auftraggeber erteilt dem Auftragnehmer eine allgemeine vorherige Genehmigung zum Einsatz der in Anlage 2 bzw. der jeweils versionierten öffentlichen Unterauftragsverarbeiterliste aufgeführten Unterauftragsverarbeiter. Der zum Zeitpunkt der elektronischen Annahme dokumentierte Stand ist Bestandteil dieses AVV.

7.2. Der Auftragnehmer verpflichtet Unterauftragsverarbeiter vertraglich zu Datenschutzpflichten, die hinsichtlich der Verarbeitung im Auftrag den Anforderungen des Art. 28 DSGVO entsprechen, und bleibt im gesetzlich vorgesehenen Umfang für deren Erfüllung verantwortlich.

7.3. Beabsichtigt der Auftragnehmer, einen Unterauftragsverarbeiter hinzuzufügen oder zu ersetzen, informiert er den Auftraggeber grundsätzlich mindestens 14 Kalendertage vor Beginn der betreffenden Verarbeitung per E-Mail an den dokumentierten Kunden- bzw. Weisungskontakt. Bei zwingenden Sicherheits-, Rechts- oder Verfügbarkeitsgründen kann die Frist angemessen verkürzt werden; die Information erfolgt dann so früh wie vernünftigerweise möglich.

7.4. Der Auftraggeber kann innerhalb der Mitteilungsfrist aus nachvollziehbaren datenschutzrechtlichen Gründen widersprechen. Die Parteien bemühen sich um eine zumutbare Lösung. Ist eine solche Lösung ohne den betreffenden Unterauftragsverarbeiter nicht möglich, kann der Auftragnehmer die betroffene Leistung einstellen oder der betroffene Leistungsteil bzw. der Hauptvertrag nach den anwendbaren Vertragsregeln beendet werden.

7.5. Soweit Verarbeitungen in Drittländern stattfinden, stellt der Auftragnehmer sicher, dass ein zulässiger Übermittlungsmechanismus nach Kapitel V DSGVO besteht.

8. Rechte und Pflichten des Auftraggebers

8.1. Der Auftraggeber ist für die Rechtmäßigkeit der beauftragten Verarbeitung, die Rechtsgrundlagen, Informationspflichten und die Wahrung der Betroffenenrechte verantwortlich.

8.2. Weisungen werden dokumentiert erteilt. Elektronische Weisungen über verifizierte Kontakt- oder Kontowege genügen. Mündliche Weisungen in dringenden Fällen sind unverzüglich nachträglich zu dokumentieren.

8.3. Der Auftraggeber informiert den Auftragnehmer unverzüglich über erkannte Fehler, Unregelmäßigkeiten, unzulässige Weisungen oder sonstige Umstände, die die Verarbeitung beeinflussen können.

8.4. Der Auftragnehmer stellt die nach Art. 28 Abs. 3 lit. h DSGVO erforderlichen Informationen bereit und ermöglicht bzw. unterstützt erforderliche Prüfungen nach dem in Ziffer 5.6 beschriebenen angemessenen und sicheren Verfahren.

9. Datenschutzverletzungen

9.1. Der Auftragnehmer informiert den Auftraggeber unverzüglich über Verletzungen des Schutzes personenbezogener Daten, die Daten des Auftraggebers betreffen. Eine erste Mitteilung erfolgt spätestens innerhalb von 24 Stunden ab dem Zeitpunkt, zu dem der Auftragnehmer Kenntnis von Tatsachen erlangt, die vernünftigerweise auf eine relevante Verletzung schließen lassen. Diese Frist ist eine vertragliche Prozessor-zu-Verantwortlichem-Frist und verändert nicht die gesetzlichen Meldefristen des Auftraggebers gegenüber Aufsichtsbehörden.

9.2. Die Erstmitteilung enthält die zu diesem Zeitpunkt verfügbaren Informationen zu Art und Umfang des Vorfalls, betroffenen Datenkategorien und Personengruppen, wahrscheinlichen Folgen, Kontaktstelle sowie getroffenen oder vorgeschlagenen Abhilfemaßnahmen. Noch nicht verfügbare Informationen werden nachgeliefert.

9.3. Primäre Kontaktstelle des Auftragnehmers für Datenschutzvorfälle ist contact@qualu.ai.

9.4. Der Auftragnehmer unterstützt den Auftraggeber im erforderlichen Umfang bei dessen Pflichten nach Art. 33 und 34 DSGVO.

10. Weisungen

10.1. Der Auftraggeber behält hinsichtlich der Verarbeitung im Auftrag das Weisungsrecht im Rahmen des Hauptvertrags, dieses AVV und des anwendbaren Rechts.

10.2. Weisungsberechtigte bzw. Weisungskontakte werden über den elektronischen Annahmenachweis oder das hierfür vorgesehene Qualu-Konto dokumentiert. Änderungen sind in nachweisbarer Form mitzuteilen.

10.3. Hält der Auftragnehmer eine Weisung für datenschutzrechtlich unzulässig, informiert er den Auftraggeber unverzüglich und kann die Ausführung aussetzen, bis die Weisung bestätigt, geändert oder anderweitig rechtlich geklärt wurde. Eine umfassende materiell-rechtliche Prüfungspflicht des Auftragnehmers wird dadurch nicht begründet.

11. Beendigung, Rückgabe und Löschung

11.1. Bei Beendigung der Leistungen entscheidet der Auftraggeber, ob die im Auftrag verarbeiteten Daten zurückgegeben oder gelöscht werden. Soweit technisch vorgesehen, kann der Auftraggeber vor Vertragsende einen Workspace-Export anfordern. Erfolgt bis zum Wirksamwerden der Beendigung keine abweichende dokumentierte Weisung zur Rückgabe, gilt die Löschung nach dieser Ziffer als vereinbart.

11.2. Aktive, von Qualu kontrollierte Auftragsdaten werden grundsätzlich innerhalb von 30 Kalendertagen nach wirksamer Vertragsbeendigung oder nach einer wirksamen Löschweisung gelöscht, soweit keine andere dokumentierte Weisung oder gesetzliche Pflicht gilt.

11.3. Providerseitige Backups, Replikate, Sicherheits- und Betriebslogs sowie vergleichbare technisch notwendige Kopien können bis zum Ablauf der jeweiligen providerseitigen Lösch- oder Überschreibzyklen fortbestehen. Der Auftragnehmer berücksichtigt deren Löschung im Rahmen seiner vertraglichen und technischen Möglichkeiten und macht keine Zusage einer sofortigen physischen Vernichtung sämtlicher Providerkopien.

11.4. Vom Auftraggeber heruntergeladene Exporte liegen außerhalb der Kontrolle des Auftragnehmers. Daten, die der Auftragnehmer für eigene gesetzliche oder vertragliche Zwecke als Verantwortlicher benötigt, insbesondere Vertrags-, Abrechnungs-, Steuer-, Sicherheits-, Rechtsnachweis- oder Compliance-Unterlagen, werden getrennt von den Auftragsdaten und nur für den jeweiligen eigenen Zweck und die dafür geltende Aufbewahrungsdauer verarbeitet.

11.5. Soweit keine physischen Datenträger verarbeitet werden, werden keine physischen Vernichtungsverfahren zugesagt. Der Auftragnehmer kann auf Anfrage einen angemessenen Nachweis über die durchgeführte Löschung der von ihm kontrollierten Auftragsdaten bereitstellen.

12. Vergütung

12.1. Die gewöhnliche Erfüllung der gesetzlichen und vertraglichen Pflichten dieses AVV ist mit der Vergütung des Hauptvertrags abgegolten.

12.2. Für außergewöhnliche, kundenspezifische Unterstützungsleistungen, die über den üblichen und gesetzlich geschuldeten Umfang hinausgehen, kann eine gesonderte angemessene Vergütung vereinbart werden. Gesetzlich zwingende Pflichten des Auftragnehmers werden dadurch nicht eingeschränkt. Soweit der Mehraufwand durch einen vom Auftragnehmer zu vertretenden Vertrags- oder Datenschutzverstoß verursacht wurde, wird hierfür keine zusätzliche Vergütung verlangt.

13. Haftung

13.1. Die Haftung der Parteien für Verstöße gegen die DSGVO richtet sich insbesondere nach Art. 82 DSGVO und dem sonst anwendbaren Recht.

13.2. Der Auftragnehmer haftet für durch eine Verarbeitung verursachte Schäden gegenüber betroffenen Personen im Rahmen des Art. 82 DSGVO, soweit er gegen speziell ihm als Auftragsverarbeiter auferlegte Pflichten verstoßen oder außerhalb bzw. entgegen rechtmäßigen Weisungen des Auftraggebers gehandelt hat.

13.3. Soweit Auftraggeber und Auftragnehmer gegenüber einer betroffenen Person nach Art. 82 DSGVO gemeinsam haften, bleiben gesetzliche Außenhaftung und vollständiger Schadensersatz unberührt. Im Innenverhältnis erfolgt ein Ausgleich entsprechend dem jeweiligen Verantwortungsanteil, soweit gesetzlich zulässig.

13.4. Weitergehende vertragliche Haftungsregelungen des Hauptvertrags bleiben unberührt, soweit sie mit zwingendem Datenschutzrecht vereinbar sind.

14. Sonderkündigungsrecht

14.1. Der Auftraggeber kann den Hauptvertrag und dieses AVV aus wichtigem Grund außerordentlich kündigen, wenn ein schwerwiegender Verstoß des Auftragnehmers gegen Datenschutzvorschriften oder dieses AVV vorliegt, eine rechtmäßige Weisung dauerhaft nicht ausgeführt werden kann oder Kontrollrechte vertragswidrig verweigert werden.

14.2. Bei behebbaren, nicht schwerwiegenden Verstößen ist grundsätzlich zunächst eine angemessene Frist zur Abhilfe zu setzen, soweit dies nach Art und Risiko des Verstoßes zumutbar ist.

14.3. Ein nach Ziffer 7.4 nicht lösbarer, begründeter Widerspruch gegen einen neuen Unterauftragsverarbeiter kann hinsichtlich des betroffenen Leistungsteils nach den dort beschriebenen Regeln zu einer Beendigung führen.

15. Sonstiges

15.1. Beide Parteien behandeln Geschäftsgeheimnisse, vertrauliche Informationen und nicht öffentliche Datensicherheitsmaßnahmen der jeweils anderen Partei auch über das Vertragsende hinaus vertraulich.

15.2. Nebenabreden, Änderungen und Ergänzungen dieses AVV können in Textform oder in einer sonstigen elektronischen Form vereinbart werden, die Inhalt, Erklärende, Zeitpunkt und Vertragsversion angemessen nachweisbar macht. Individuelle Vereinbarungen der Parteien bleiben unberührt.

15.3. Ein Zurückbehaltungsrecht an im Auftrag verarbeiteten personenbezogenen Daten wird ausgeschlossen, soweit dem zwingendes Recht nicht entgegensteht.

15.4. Sollten einzelne Bestimmungen dieses AVV unwirksam oder undurchführbar sein oder werden, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt. Zwingende gesetzliche Regelungen gehen vor.

15.5. Anlagen 1 bis 3 sind Bestandteil dieses AVV.

Anlage 1 - Technische und organisatorische Maßnahmen (TOMs)

Die nachfolgenden Maßnahmen beschreiben den für Qualu geltenden Mindeststandard. Technische Details können sich ändern, sofern das Schutzniveau insgesamt nicht abgesenkt wird.

1. Zugriff und Endgeräte: Administrative Zugriffe erfolgen nur über zugriffsgeschützte, geschäftlich genutzte und verschlüsselte Endgeräte mit automatischer Sperre und laufenden Sicherheitsupdates.
2. Authentifizierung und Autorisierung: Geschützte Funktionen erfordern authentifizierte Sitzungen. Workspace-Zugriffe und Verwaltungsfunktionen werden rollen- und berechtigungsbasiert beschränkt.
3. Mandantentrennung: Kundendaten werden logisch nach Workspace getrennt. Serverseitige Zugriffskontrollen und datenbankseitige Schutzmechanismen begrenzen mandantenfremde Zugriffe.
4. Transportverschlüsselung: Öffentliche Anwendungs- und Providerverbindungen verwenden verschlüsselte Transportwege (HTTPS/TLS).
5. Geheimnisse und privilegierte Zugänge: Privilegierte Zugangsdaten werden serverseitig verwaltet und nicht für öffentliche Client-Anwendungen vorgesehen.
6. Missbrauchsschutz: Qualu verwendet technische Schutzmaßnahmen wie Rate Limiting und Bot-/Abuse-Schutz für dafür vorgesehene Abläufe.
7. Protokollierung: Relevante Governance-, Sicherheits-, Export- und Löschvorgänge werden in angemessenem Umfang nachvollziehbar protokolliert.
8. KI-Verarbeitung: KI-Anbieter werden serverseitig aufgerufen. Daten werden je nach Funktion minimiert; KI-Ergebnisse unterstützen die Bearbeitung, ersetzen aber nicht die menschliche Kontrolle des Auftraggebers.
9. Datensicherung und Verfügbarkeit: Qualu nutzt verwaltete Hosting-, Datenbank-, Authentifizierungs- und Storage-Dienste. Providerseitige Backup- und Wiederherstellungsmechanismen richten sich nach den jeweils eingesetzten Diensten und Tarifen.
10. Export und Löschung: Berechtigte Nutzer können vorgesehene Export- und Löschfunktionen nutzen. Vertragsbeendigungen werden über einen kontrollierten, dokumentierten Löschprozess abgewickelt.
11. Incident Response: Für Datenschutzvorfälle besteht ein dokumentiertes Verfahren mit Eindämmung, Beweissicherung, Bewertung und Kundenkommunikation.
12. Sichere Entwicklung: Änderungen an Anwendung und Datenbankschema werden versioniert und durch automatisierte Prüfungen und Tests unterstützt.
13. Homeoffice und lokale Datenhaltung: Homeoffice-Administration ist zulässig, sofern die beschriebenen Zugriffsschutzmaßnahmen eingehalten werden. Kundendatenbank-Exporte werden im Regelbetrieb nicht lokal gespeichert; Wechselmedien und Ausdrucke werden für Kundendaten nicht verwendet.
14. Unterauftragsverarbeiter: Eingesetzte Unterauftragsverarbeiter werden dokumentiert, vertraglich eingebunden und nach Ziffer 7 dieses AVV verwaltet.

Anlage 2 - Aktuelle Unterauftragsverarbeiter

Stand: 14.09.2026

Die jeweils aktuelle, versionierte Unterauftragsverarbeiterliste wird unter /de/unterauftragnehmer veröffentlicht. Änderungen richten sich nach Ziffer 7 dieses AVV.

Anlage 3 - Weisungskontakte

Auftragnehmer: Mohamed Achach, MAC Digital Ventures, contact@qualu.ai.

Auftraggeber: Der beim elektronischen Abschluss bzw. im Qualu-Konto dokumentierte Rechtsträger sowie der dort hinterlegte autorisierte Weisungskontakt. Änderungen des Weisungskontakts sind vom Auftraggeber über den vorgesehenen Kontoweg oder in nachweisbarer Textform mitzuteilen.

---

Version: 1.0
Wirksam ab: 14.09.2026
Veröffentlichung: https://www.qualu.ai/de/avv
Unterauftragsverarbeiter: https://www.qualu.ai/de/unterauftragnehmer