Datenverarbeitungsvereinbarung (DPA)
Datenschutzkonforme Datenverarbeitungsbedingungen
DPA im Überblick
- 1Sie (der Kunde) sind der Datenverantwortliche – Sie bestimmen Zwecke und Mittel der Verarbeitung
- 2Wir sind der Datenverarbeiter – wir verarbeiten Daten nur auf Ihrer Anweisung
- 3Keine Dokumentenaufbewahrung – Dokumente werden unmittelbar nach der Verarbeitung gelöscht
- 4Kundenspezifische Verschlüsselung schützt IHR Daten mit IHREN einzigartigen Schlüsseln
- 5SOC 2 zertifizierte Drittanbieter-AI-Services unter vertraglichen Datenschutzverpflichtungen
- 6Wir unterstützen bei allen betroffenen Personenrechten nach der DSGVO (Zugriff, Löschung, Portabilität usw.)
- 7Standardvertragsklauseln (SCCs) für EU-zu-USA-Datenübertragungen
Vertragszweck
Dieses Datenverarbeitungsvereinbarung (DPA) ist Bestandteil der Nutzungsbedingungen und regelt die Verarbeitung personenbezogener Daten in Übereinstimmung mit der DSGVO und anderen geltenden Datenschutzgesetzen.
Rollen & Verantwortlichkeiten
Sie (der Kunde) = Datenverantwortlicher
Sie bestimmen Zwecke und Mittel der Verarbeitung
Wir (LoanIntelligence.ai) = Datenverarbeiter
Wir verarbeiten Daten nur auf Ihre Anweisungen
Verarbeitungsumfang
Zweck der Verarbeitung
Extrahiere strukturierte Daten aus Kreditunterlagen zur Genauigkeit und Qualitätsanalyse der Daten, führe Finanzberechnungen (DSCR, LTV, P&I, NOI) durch, sorge für Datenqualität durch proprietäre Algorithmen und Signalsysteme und synchronisiere die Ergebnisse mit deinem Google Sheets (falls autorisiert).
Arten von personenbezogenen Daten
Namen der Kreditnehmer, Adressen, Sozialversicherungsnummern (SSN), Steuernummern (TIN), finanzielle Daten (Einkommen, Vermögen, Verbindlichkeiten), Beschäftigungsinformationen, Immobiliendaten und Details zu Kredittransaktionen. WICHTIG: Wir behalten personenbezogene Daten nicht über die vorübergehende Verarbeitung hinaus (während jedes Verarbeitungslaufs). Alle persistierenden Daten werden verschlüsselt gespeichert und in deinem Google Drive AppData abgelegt.
Betroffene Personen
Kreditbewerber, Mitkreditnehmer, Mitunterzeichner, Eigentümer von Immobilien, Bürgschaftsgeber und Geschäftsinhaber (für gewerbliche Kredite).
Verarbeitungshinweise
Zulässige Tätigkeiten
Verbotene Tätigkeiten
Unterauftragnehmer
Dritte, die wir zur Erbringung der Dienstleistung nutzen
Drittanbieter-KI-Dienste
Zweck: Dokumentenverarbeitung (OCR, Klassifizierung, Extraktion)
Standort: USA
Sicherheitsmaßnahmen: SOC 2 Typ I und Typ II zertifiziert, DPAs vorhanden, Daten im Transit verschlüsselt, vertraglich verboten, Ihre Daten für das Training zu nutzen
Google LLC
Zweck: OAuth Authentifizierung, Drive API, Sheets API
Standort: USA (nach Wahl)
Sicherheitsmaßnahmen: SOC 2 Typ II, ISO 27001, Standardvertragsklauseln (SCCs)
Stripe Inc.
Zweck: Zahlungsabwicklung (E-Mail, nur Kundennummer – keine Kreditkarten)
Standort: USA
Sicherheitsmaßnahmen: PCI-DSS Level 1 zertifiziert, GDPR-konform
Cloud-Infrastruktur-Anbieter
Zweck: Hosting und Rechenleistung
Standort: USA
Sicherheitsmaßnahmen: SOC 2 Typ II zertifizierte Rechenzentren
Wir nutzen proprietäre Algorithmen und Signalsysteme in Kombination mit SOC 2 zertifizierten Drittanbieter‑KI‑Dienstleistungen. Alle Unterverarbeiter arbeiten unter vertraglichen Datenschutzverpflichtungen.
Änderungen an Unterverarbeitern
Wir werden Sie 30 Tage im Voraus über Änderungen bei Unterverarbeitern informieren. Sie haben die Möglichkeit, innerhalb von 14 Tagen mit berechtigten Datenschutzgründen Einwände zu erheben.
Unterstützung bei Betroffenenrechten
Wie wir Ihnen helfen, die GDPR-Verpflichtungen zu erfüllen
Auskunftsrecht (Artikel 15)
Wir stellen einen Datenexport im JSON‑Format innerhalb von 30 Tagen nach Ihrer Anfrage bereit.
Recht auf Berichtigung (Artikel 16)
Wir aktualisieren ungenaue Daten auf Ihre Anfrage hin.
Recht auf Löschung / Recht auf Vergessen (Artikel 17)
Wir löschen alle personenbezogenen Daten innerhalb von 24 Stunden nach Ihrer Anfrage.
Recht auf Einschränkung der Verarbeitung (Artikel 18)
Wir stellen die Verarbeitung bei Ihrem Wunsch aus.
Recht auf Datenübertragbarkeit (Artikel 20)
Wir stellen Daten im strukturierten, maschinenlesbaren JSON-Format bereit.
Recht auf Widerspruch (Artikel 21)
Wir erlauben das Opt-Out aus nicht wesentlicher Verarbeitung.
Rechte im Zusammenhang mit automatisierten Entscheidungen (Artikel 22)
Wir stellen Transparenz über die KI-Verarbeitungslogik bereit und gewährleisten die Datenqualität.
Anforderungsprozess
Wenn wir eine Anfrage einer betroffenen Person erhalten, leiten wir diese innerhalb von 2 Werktagen an Sie weiter. Sie sind dafür verantwortlich, der betroffenen Person zu antworten (innerhalb von 30 Tagen gemäß DSGVO). Wir unterstützen Sie, indem wir notwendige Datenexporte, Löschungen oder Korrekturen innerhalb von 7 Werktagen nach Ihrer Anfrage bereitstellen.
Vorteile der Nullaufbewahrung
Aufgrund unserer Zero-Retention-Architektur: (1) Personenbezogene Daten in Kreditanträgen werden NICHT aufbewahrt (temporäre Verarbeitung), (2) Extrahierte Daten werden ausschließlich in Ihrem Google Drive AppData (verschlüsselt) gespeichert, (3) Datensubjektanfragen können durch Löschen Ihres Kontos erfüllt werden (alle Systeme werden innerhalb von 24 Stunden bereinigt) oder durch manuelles Löschen von Daten aus Ihrem eigenen Google Drive.
Sicherheitsmaßnahmen
Wie wir Ihre Daten schützen
Verschlüsselung
Zugriffskontrollen
Zero-Retention-Architektur
Benachrichtigung über Datenpanne
Sofortige Reaktion (innerhalb von 1 Stunde)
Die Panne eindämmen, Umfang und Auswirkung beurteilen, Untersuchung einleiten.
Benachrichtigung des Verantwortlichen (innerhalb von 72 Stunden)
Informieren Sie Sie per E‑Mail mit vorläufigen Angaben (Art der Panne, betroffene Daten, geschätzte Auswirkungen).
Vollständiger Bericht (innerhalb von 7 Tagen)
Detaillierter Vorfallbericht einschließlich Beschreibung, betroffenen Personen/Daten, Folgen, Abhilfemaßnahmen und Empfehlungen.
Wir unterstützen Sie bei
Status der Panne
Stand November 14, 2025: Keine Verstöße gegen personenbezogene Daten, keine unbefugten Zugriffsfälle, keine Kompromittierung von Verschlüsselungsschlüsseln. Unsere Zero‑Retention-Architektur minimiert die Exposition (Dokumente existieren nur während der Verarbeitungssitzung), kundenspezifische Verschlüsselung isoliert Kunden (Verletzung eines Kunden betrifft NICHT andere).
Internationale Datenübertragungen (EU nach USA)
Standardvertragsklauseln (SCCs)
Wir stützen uns auf von der Europäischen Kommission genehmigte Standardvertragsklauseln (Entscheidung (EU) 2021/914, Modul Zwei: Übertragungen von Verantwortlichen zu Auftragsverarbeitern)
Zusätzliche technische Maßnahmen
Anfragen der US-Regierung nach Zugriff
Wir unterliegen US-Überwachungsgesetzen (FISA, CLOUD Act). Unsere Zero-Knowledge-Architektur stellt jedoch sicher, dass wir selbst bei Zwang zur Datenweitergabe keine Daten entschlüsseln können, ohne die Schlüssel (gespeichert in YOUR Google Drive). Durch Null-Dokumentenaufbewahrung ist nur minimaler Datenbestand verfügbar. Wir benachrichtigen Sie über Regierungsanfragen (sofern nicht gesetzlich verboten) und prüfen übermäßige oder rechtswidrige Anfragen. Bisher: Keine Regierungsdatenanfragen erhalten (Stand 14. November 2025).
Löschung von Daten bei Beendigung
Innerhalb von 24 Stunden
Innerhalb von 30 Tagen
Alle personenbezogenen Daten aus verschlüsselten Backups löschen und gelöschte Daten überschreiben (sichere Löschung).
Löschbescheinigung
Auf Anfrage stellen wir eine Löschbescheinigung bereit, die das Löschdatum, die gelöschten Datenkategorien und die verwendeten sicheren Löschmethoden bestätigt.
Auditrechte
Ihre Auditrechte
Sie können die Einhaltung dieser DPA einmal im Jahr auditieren (es ist eine Vorankündigung von 30 Tagen erforderlich). Audits müssen nicht störend sein, während der Geschäftszeiten durchgeführt werden und unterliegen einer Vertraulichkeitsvereinbarung. Alle Auditkosten trägt der Kunde.
Drittanbieter-Auditberichte
Anstelle eines direkten Audits können Sie unseren SOC 2 Type II-Bericht (sofern verfügbar), Drittanbieter-Sicherheits-Auditberichte einsehen oder schriftliche Antworten auf standardisierte Fragebögen anfordern.
Haftungsbeschränkung
Nach Artikel 82 der DSGVO sind wir für Schäden verantwortlich, die durch eine Verarbeitung entstehen, die die DSGVO-Verpflichtungen für Auftragsverarbeiter verletzt, oder wenn wir außerhalb oder entgegen Ihrer rechtmäßigen Anweisungen handeln. Unsere Gesamthaftung ist auf die in den Nutzungsbedingungen festgelegten Beträge beschränkt, mit Ausnahme von grober Fahrlässigkeit, vorsätzlichem Fehlverhalten oder Haftung, die gesetzlich nicht beschränkt werden kann.
Hilfe benötigt?
Brauchen Sie Hilfe mit dieser DPA?
Für Fragen zu DSGVO, SCC oder DPA kontaktieren Sie unser Rechtsteam unter [email protected].
Wir antworten innerhalb eines Arbeitstages.