VIORA CRM | VEREINBARUNG ZUR AUFTRAGSVERARBEITUNG GEMÄSS ART. 28 DSGVO

Patros Group Ltd | Entwurf | Fassung 2026-10-24



Vereinbarung zur Auftragsverarbeitung (AVV) gemäß Art. 28 DSGVO zwischen einer beauftragenden Hausverwaltung bzw. einem Geschäftskunden und Patros Group Ltd als Anbieterin von Viora CRM.



1. Vertragsparteien und Geltungsbereich

Verantwortlicher (Kunde): [Vollständige Firma, Rechtsform, Anschrift, vertretungsberechtigte Person und Datenschutzkontakt vor Unterzeichnung eintragen].

Auftragsverarbeiter: Patros Group Ltd, Katalymmaton 8, 5330 Agia Napa, Zypern, E-Mail: info@vioracrm.com (im Folgenden „Patros“).

Diese AVV ergänzt den individuell geschlossenen Vertrag über Viora CRM. Sie gilt, soweit Patros im Rahmen der Bereitstellung der Software personenbezogene Daten im Auftrag des Kunden verarbeitet. Bei der eigenen Vertragsverwaltung, Abrechnung und gesetzlich erforderlichen Verarbeitung kann Patros selbst Verantwortlicher sein; diese Bereiche fallen nicht unter diese Auftragsverarbeitung.

Die AVV tritt erst mit ausdrücklicher rechtswirksamer Vereinbarung durch beide Parteien in Kraft. Das Aufrufen, Herunterladen oder Lesen dieser Website stellt keinen Vertragsschluss dar.



2. Gegenstand, Dauer, Art und Zweck

Patros stellt Viora CRM als webbasierte Arbeitsplattform bereit. Art, Zwecke, betroffene Personengruppen und Datenkategorien werden in Anlage 1 konkretisiert. Aktivierte Funktionen können je nach Vertrag Kontakte, Eigentümer- und Mieterdaten, Objekte und Einheiten, Dokumente, Aufgaben, Kommunikation, Formulare, Finanzdaten sowie optionale KI- oder Bankfunktionen betreffen.

Die Auftragsverarbeitung dauert grundsätzlich vom vereinbarten Beginn des SaaS-Vertrags bis zur vertraglich und gesetzlich vorgesehenen vollständigen Rückgabe oder Löschung der betreffenden Auftragsdaten. Nicht freigeschaltete optionale Funktionen gehören nicht zum jeweiligen Auftragsumfang.

Der Kunde bestimmt im Rahmen der geltenden Gesetze die Zwecke und Rechtsgrundlagen der Verarbeitung seiner Inhalte, stellt erforderliche Datenschutzhinweise bereit und sorgt für angemessene Weisungen und Berechtigungskonzepte.



3. Dokumentierte Weisungen

Patros verarbeitet Auftragsdaten ausschließlich auf dokumentierte Weisung des Kunden, einschließlich Weisungen für Übermittlungen an Empfänger in Drittländern. Der Vertrag, die gewählte Produktkonfiguration und berechtigte Bedienhandlungen innerhalb von Viora sind dokumentierte Weisungen, soweit sie den vereinbarten Umfang nicht überschreiten. Einzelweisungen erfolgen in Textform an info@vioracrm.com und werden nachvollziehbar dokumentiert.

Eine Verarbeitung ohne Weisung erfolgt nur, soweit Patros durch Unionsrecht oder das Recht eines Mitgliedstaates dazu verpflichtet ist. Patros informiert den Kunden vorab über eine solche Pflicht, sofern das betreffende Recht die Information nicht aus wichtigen Gründen des öffentlichen Interesses untersagt.

Hält Patros eine Weisung für datenschutzrechtswidrig, informiert Patros den Kunden unverzüglich. Die Parteien stimmen das weitere Vorgehen ab; eine offensichtlich rechtswidrige Weisung wird nicht ungeprüft umgesetzt.



4. Vertraulichkeit und berechtigte Personen

Patros stellt sicher, dass Personen mit Zugriff auf Auftragsdaten zur Vertraulichkeit verpflichtet sind oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen. Der Zugriff erfolgt nur nach dem Erforderlichkeitsprinzip und entsprechend einer zugewiesenen Rolle. Mitarbeitende und sonstige berechtigte Personen werden über einschlägige Datenschutzpflichten unterrichtet.

Zugriffe durch Support oder Wartung dürfen nur in dem zur Aufgabenerfüllung erforderlichen Umfang erfolgen. Der Kunde bleibt für die Vergabe und Entziehung von Zugriffsrechten innerhalb seines Arbeitsbereichs verantwortlich, soweit diese durch ihn administriert werden.



5. Technische und organisatorische Maßnahmen

Patros trifft geeignete technische und organisatorische Maßnahmen gemäß Art. 32 DSGVO. Der vereinbarte Sicherheitsstandard, die nachweisbaren bestehenden Kontrollen und die noch betrieblich zu verifizierenden Maßnahmen sind in Anlage 2 beschrieben. Eine konkrete Zertifizierung, ein bestimmtes Wiederherstellungsziel oder eine ausschließliche Speicherung im Europäischen Wirtschaftsraum wird nicht zugesichert, solange dies nicht gesondert nachgewiesen und vereinbart ist.

Patros überprüft die Maßnahmen risikoorientiert und passt sie bei Bedarf an, ohne das vereinbarte Schutzniveau zu unterschreiten. Wesentliche Änderungen, die die Sicherheit der Verarbeitung betreffen, werden dem Kunden in geeigneter Form mitgeteilt.



6. Weitere Auftragsverarbeiter

Der Kunde erteilt Patros mit Abschluss dieser AVV die allgemeine schriftliche Genehmigung, die in Anlage 3 benannten weiteren Auftragsverarbeiter nur für die dort beschriebenen und tatsächlich eingesetzten Leistungen zu nutzen. Für neue oder ersetzte weitere Auftragsverarbeiter informiert Patros den Kunden grundsätzlich mindestens zehn Kalendertage vor deren Einsatz in Textform und eröffnet die Möglichkeit, aus begründeten Datenschutzgründen zu widersprechen.

Kann ein berechtigter Widerspruch nicht durch eine geeignete Alternative ausgeräumt werden, vereinbaren die Parteien eine datenschutzgerechte Lösung einschließlich einer möglichen Beendigung des betroffenen Dienstes. Patros stellt sicher, dass weitere Auftragsverarbeiter durch geeignete Verträge Pflichten übernehmen, die den Anforderungen von Art. 28 Abs. 4 DSGVO entsprechen. Gegenüber dem Kunden bleibt Patros für die Erfüllung dieser Pflichten verantwortlich.

Von einem Kunden selbst und außerhalb der Viora-Leistung eigenständig beauftragte Dienste sind anhand der konkreten Rollenverteilung gesondert zu beurteilen. Anlage 3 ist vor jeder verbindlichen Unterzeichnung anhand der aktiven Integrationen und Vertragspartner zu bestätigen.



7. Übermittlungen außerhalb des EWR

Die Verarbeitung kann technische Dienstleister und deren Unterauftragnehmer außerhalb des Europäischen Wirtschaftsraums betreffen. Insbesondere wurde für die bestehende Turso-Installation im Oktober 2026 eine US-Ost-Region dokumentiert. Der aktuelle Standort sowie weitere Datenflüsse sind vor vertraglicher Freigabe erneut zu verifizieren. Eine EU-Datenbankregion allein gewährleistet keine ausschließliche Verarbeitung innerhalb des EWR.

Patros nimmt Übermittlungen in Drittländer nur vor, soweit die Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind. Soweit erforderlich werden ein einschlägiger Angemessenheitsbeschluss, EU-Standardvertragsklauseln in der passenden Rollenverteilung, eine Transferprüfung und geeignete zusätzliche Schutzmaßnahmen dokumentiert. Bei Turso enthält das am 20.10.2026 unterzeichnete DPA Regelungen zum EU-US Data Privacy Framework und hilfsweise zu Standardvertragsklauseln; die Vertragsparteien- und Produktionskonto-Zuordnung ist noch schriftlich zu bestätigen.

Die Parteien berücksichtigen auch Zugriffe, Supportleistungen, Protokolle und Sicherungen. Der Kunde kann Informationen über die konkret einschlägigen Übermittlungsgarantien unter info@vioracrm.com anfordern.



8. Betroffenenrechte und Zusammenarbeit

Patros unterstützt den Kunden unter Berücksichtigung der Art der Verarbeitung und der verfügbaren Informationen durch geeignete technische und organisatorische Maßnahmen bei Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit und Widerspruch sowie bei sonstigen einschlägigen Betroffenenrechten.

Erhält Patros eine Anfrage zu Kundendaten unmittelbar von einer betroffenen Person, verweist Patros grundsätzlich an den verantwortlichen Kunden und informiert diesen, soweit zulässig. Patros beantwortet die Anfrage inhaltlich nicht eigenmächtig, es sei denn, eine gesetzliche Pflicht verlangt dies.

Patros unterstützt den Kunden im erforderlichen Umfang bei Datensicherheitsanforderungen, der Meldung von Datenschutzverletzungen, Datenschutz-Folgenabschätzungen und Konsultationen mit Aufsichtsbehörden gemäß Art. 32 bis 36 DSGVO.



9. Datenschutzverletzungen

Patros unterrichtet den Kunden ohne unangemessene Verzögerung nach Bekanntwerden einer Verletzung des Schutzes personenbezogener Auftragsdaten über info@vioracrm.com beziehungsweise den vereinbarten Incident-Kontakt. Die Erstmeldung enthält, soweit verfügbar, Art des Vorfalls, betroffene Datenkategorien, bekannte Auswirkungen und ergriffene oder vorgeschlagene Maßnahmen. Fehlende Informationen werden schrittweise nachgeliefert.

Patros unterstützt den Kunden bei der Untersuchung, Eindämmung und erforderlichen Meldung. Die Entscheidung über eine Meldung an Aufsichtsbehörden oder betroffene Personen trifft der jeweils nach DSGVO Verantwortliche. Sicherheitsvorfälle werden entsprechend dem dokumentierten Incident-Verfahren behandelt.



10. Nachweise und Kontrollen

Patros stellt dem Kunden die zur Überprüfung der Einhaltung von Art. 28 DSGVO erforderlichen Informationen bereit und ermöglicht nach angemessener Vorankündigung Audits einschließlich Inspektionen durch den Kunden oder einen von diesem beauftragten unabhängigen Prüfer. Dabei werden berechtigte Sicherheits-, Vertraulichkeits- und Datenschutzinteressen anderer Kunden gewahrt.

Aussagekräftige Prüfberichte, technische Nachweise und Zertifikate können, soweit geeignet, zunächst zur Verfügung gestellt werden. Bei konkreten Sicherheitsvorfällen oder hinreichenden Anhaltspunkten für erhebliche Pflichtverletzungen ist eine abweichend kurzfristige Prüfung abzustimmen. Gesetzliche Prüfrechte bleiben unberührt.



11. Rückgabe, Löschung und Vertragsende

Nach Beendigung der beauftragten Verarbeitung gibt Patros die Auftragsdaten nach Wahl des Kunden in einem vereinbarten, nutzbaren Format zurück oder löscht sie, einschließlich vorhandener Kopien, soweit nicht Unionsrecht oder mitgliedstaatliches Recht eine weitere Speicherung verlangt. Der Kunde übermittelt seine Weisung rechtzeitig in Textform. Patros bestätigt die Durchführung in angemessener Weise.

Bestehende Sicherungen und technische Aufbewahrungen werden nach einem dokumentierten Lösch- und Wiederherstellungskonzept berücksichtigt und bis zur Löschung geschützt und nicht für andere Zwecke verwendet. Ein sofortiger Löschvorgang in sämtlichen Backups wird nicht ohne gesonderten Nachweis zugesagt.

Vereinbarte Export- und Wechselrechte aus dem SaaS-Vertrag sowie gesetzliche Pflichten bleiben unberührt.



12. Weitere Regelungen und Inkrafttreten

Änderungen dieser AVV einschließlich ihrer Anlagen bedürfen einer wirksamen Vereinbarung in Textform, soweit nicht zwingendes Recht eine strengere Form verlangt. Eine bloße Änderung der öffentlichen Website ändert bestehende Kundenverträge nicht automatisch.

Bei Widersprüchen haben zwingende Datenschutzvorschriften und einschlägige Standardvertragsklauseln Vorrang. Für sonstige Vertragsfragen gelten die wirksam vereinbarten Bedingungen des SaaS-Vertrags, soweit sie den Schutz nach Art. 28 DSGVO nicht unterschreiten.

Vor verbindlichem Einsatz sind die Kundendaten in der Vertragsparteien-Anlage zu ergänzen, die konkret genutzten Unterauftragnehmer, deren Verarbeitungsorte und die TOM-Nachweise zu bestätigen und beide Parteien zur ausdrücklichen Annahme aufzufordern.



Anlage 1. Beschreibung der Auftragsverarbeitung

Gegenstand: Bereitstellung, Betrieb, Hosting, Wartung, Datensicherung und Support einer webbasierten CRM- und Hausverwaltungsplattform für den Kunden.

Verarbeitungsdauer: Während des wirksam vereinbarten Nutzungsvertrags und der anschließenden vertraglich und gesetzlich erforderlichen Rückgabe-, Lösch- und Sicherungsphase.

Art der Verarbeitung: Erfassen, Strukturieren, Speichern, Verändern, Abrufen, Anzeigen, Bereitstellen, Übermitteln auf Weisung, Sichern, Exportieren und Löschen von Daten. Optionale automatische Verarbeitung nur nach Aktivierung entsprechender Funktionen.

Zwecke: Kontakt-, Vorgangs-, Objekt-, Einheiten-, Aufgaben-, Termin-, Dokumenten-, Kommunikations- und Finanzverwaltung; Bereitstellung von Formularen und Portalen; nach gesonderter Aktivierung KI-Unterstützung, Kontodatenabruf oder E-Mail-Integration.

• Betroffene Personen: Beschäftigte und Nutzer des Kunden, Eigentümer, Mieter, Interessenten, Dienstleister, Vertragspartner, Handwerker und sonstige durch den Kunden erfasste Kontaktpersonen.

• Datenarten: Stammdaten, Kontaktdaten, Objekt- und Nutzungsinformationen, Vertrags- und Abrechnungsdaten, Zahlungen und Kontoinformationen, Nachrichten, Dateien, Vorgänge, Protokolle, Rollen, technische Nutzungsdaten.

• Besondere Kategorien nach Art. 9 DSGVO, Strafdaten nach Art. 10 und vergleichbar hochsensible Inhalte sind nicht als Regelfall der vereinbarten Verarbeitung vorgesehen. Vor einer gezielten Verarbeitung sind Eignung, Rechtsgrundlage und zusätzliche Schutzmaßnahmen ausdrücklich abzustimmen.

• Betroffenengruppen, optionale Funktionen und konkrete Datenkategorien sind bei Bedarf im Kundenvertrag enger festzulegen. Der Kunde ist für die Rechtmäßigkeit seiner Eingaben verantwortlich.



Anlage 2. Technische und organisatorische Maßnahmen (TOM)

Im überprüften Quellcode sind folgende technische Kontrollen erkennbar: Supabase Auth mit serverseitiger Benutzerprüfung, E-Mail-Bestätigung und Registrierungsfreigaben; HTTP-only-Anmeldecookies mit SameSite=Lax und Secure im Produktivbetrieb; serverseitige Arbeitsbereichs- und Modulberechtigungen; Beschränkung zustandsverändernder Anfragen auf denselben Origin; private Dokumenten-Buckets, Mandantenprüfung des Speicherpfads, signierte zeitlich begrenzte Datei-Links und HMAC-gesicherte Upload-Tickets. Die Implementierung im Code ist keine Garantie dafür, dass sämtliche Einstellungen im laufenden Betrieb korrekt oder gegen Angriffe hinreichend getestet sind.

Vor der verbindlichen Vereinbarung sind die tatsächliche Wirksamkeit und Konfiguration unter anderem für Mandantentrennung, TLS und Verschlüsselung im Ruhezustand, Passwortsicherheit/MFA, Administratorzugriffe, Vercel- und Datenbankregionen, Berechtigungsentzug, Schlüsselrotation, Protokolle, Incident-Verfahren, Aufbewahrungszeiten, vollständige Backups und nachgewiesene Restore-Tests zu prüfen und zu dokumentieren. Der Supabase-Sicherheitscheck vom 24.10.2026 meldete, dass die Prüfung auf bereits kompromittierte Passwörter derzeit deaktiviert ist; dieser Punkt ist noch zu beheben.

Der Quellcode enthält Backup- und Wiederherstellungsfunktionen mit Verschlüsselung und Cloud-Zielsystemen; die tatsächliche Aktivierung, Durchführung, Vollständigkeit und regelmäßige erfolgreiche Wiederherstellung sind noch nicht produktiv bestätigt. Konkrete Wiederherstellungsziele, automatische Backupintervalle, feste Löschfristen oder eigene Zertifizierungen von Patros werden nicht behauptet. Für Kunden mit besonderen Risiken sind zusätzliche Maßnahmen vor Verarbeitung zu vereinbaren.

• Zutritt und Zugriff: Individuelle Konten, abgestufte Berechtigungen, serverseitige Berechtigungsprüfungen und Beschränkung administrativer Zugriffe.

• Vertraulichkeit und Übertragung: Transportverschlüsselung und private Dateibereiche; Zugriff auf Dateidownloads über zeitlich begrenzte signierte Links, soweit die Funktion dies unterstützt.

• Integrität: Nachvollziehbare Änderungs- und Sicherheitskontrollen für relevante Vorgänge, sichere Bereitstellung und Wartung.

• Verfügbarkeit: Dokumentierte Datensicherung, Wiederherstellungsfähigkeit und regelmäßige Prüfung sind vor Einsatz mit produktiven Kundendaten zu bestätigen.

• Kontrollverfahren: Regelmäßige Prüfungen der Berechtigungssysteme, Abhängigkeiten und Infrastruktur sowie Nachbearbeitung von Sicherheitsmängeln.



Anlage 3. Weitere Auftragsverarbeiter und Übermittlungen

Diese Liste trennt Kerninfrastruktur von optionalen beziehungsweise konfigurationsabhängigen Diensten. Sie basiert auf dem Viora-Code und den bekannten Projektmetadaten vom 24.10.2026; sie ist nicht als nachweislich vollständiges Unterauftragnehmerverzeichnis oder bestätigte Liste sämtlicher Verarbeitungsorte zu behandeln. Vor Abschluss sind Vertragspartner, Produkte, aktive Funktionen, Subprozessorlisten und Länderdetails pro Kunde zu dokumentieren.

Kerninfrastruktur, Vercel Inc.: Webhosting, Serverfunktionen und technische Infrastruktur. Für die produktive Anwendungsfunktion wurde Frankfurt (fra1) als Region bestätigt; Bereitstellung, Logs und Support sind nicht zwingend ausschließlich auf Frankfurt begrenzt. DPA und TOMs: https://vercel.com/legal/dpa ; Anbieter-Subprozessoren: https://security.vercel.com .

Kerninfrastruktur, Turso Inc.: Speicherung strukturierter CRM-Daten. Für das verknüpfte Vercel-Marketplace-Team wurde am 15.10.2026 US-Ost dokumentiert, die aktuelle Region ist erneut zu bestätigen. Das am 20.10.2026 elektronisch abgeschlossene Turso-DPA enthält EU-Standardvertragsklauseln und eine EU-US-Transferregelung; die Zuordnung zu Patros Group Ltd und zur produktiven Marketplace-Organisation steht noch aus. Anbieter-Subprozessoren und TOMs: https://trust.turso.tech .

Kerninfrastruktur, Supabase: Benutzer-Authentifizierung, Freigaberegister und private Dateiablage. Die ausgewählte Projektregion lautet Irland (eu-west-1); Support- und Verwaltungsvorgänge können weitere Regionen einbeziehen. Anbieter-DPA: https://supabase.com/legal/customer-resources/data-processing-addendum ; Subprozessorliste: https://supabase.com/legal/customer-resources/subprocessor-list .

Optionale Verarbeitung: Vercel AI Gateway mit jeweils ausführenden KI-Anbietern (im Viora-Code OpenAI für Text; Google für Sprachausgabe und Perplexity für Websuche), wenn entsprechende Funktionen genutzt werden. Der KI-Dienst erhält dabei je nach Aufruf Prompts und freigegebene CRM-Kontexte. Zusätzliche mögliche Dienste: Resend für tatsächlichen E-Mail-Versand und Enable Banking für ausdrücklich verbundene Bankkonten. Vertragspartner, Rollen, Zwecke, aktive Funktionen und Verarbeitungsorte sind jeweils gesondert zu erfassen; nicht jede Installation aktiviert diese Dienste.

Weitere konfigurationsabhängige Infrastruktur wie Vercel Blob für verschlüsselte Sicherungen, Google Drive/OneDrive für Sicherungskopien oder kundenseitig angebundene E-Mail- und Bankdienste ist nur nach Prüfung des tatsächlich genutzten Datenflusses und der jeweiligen Vertragsrollen in das endgültige Register aufzunehmen. Anbieter-Subprozessoren sind nicht mit direkten Viora-Unterauftragnehmern gleichzusetzen.



Anlage 4. Kundendaten, Ansprechpartner und Annahme

Verantwortlicher: [Firmenname / Rechtsform / vollständige Anschrift / vertretungsberechtigte Person]

Datenschutzkontakt Kunde: [E-Mail] | Ansprechpartner Patros: info@vioracrm.com

Betroffener Viora-Arbeitsbereich und vereinbarte Funktionen: [Name/ID und Leistungsumfang eintragen]

Beginn der Verarbeitung und Fassung der Anlagen: [Datum / genehmigter Stand / falls erforderlich eigene Zusatzanlagen]

Annahme durch den Verantwortlichen: [Ort / Datum / Name / Funktion / Unterschrift oder geeignete elektronische Zustimmung]

Annahme durch Patros Group Ltd: [Ort / Datum / Name / Funktion / Unterschrift oder geeignete elektronische Zustimmung]



Dieses Muster wird erst durch ausdrückliche Vereinbarung der Beteiligten verbindlich.

Kontakt: info@vioracrm.com