Auftragsverarbeitungsvertrag (AV-Vertrag)

Zwischen der auftraggebenden Organisation (Verantwortlicher, im Folgenden: „Auftraggeber”) und

Loistava Holding UG (haftungsbeschränkt)
Asternring 9
15732 Schulzendorf, Deutschland
Handelsregister: Amtsgericht Charlottenburg (Berlin), HRB 157120 B
Vertretung: Antti Savolainen
Kontakt: info@uebernahmeradar.de

(im Folgenden: „Auftragsverarbeiter”) — nachstehend gemeinsam die „Parteien” — wird der folgende Vertrag zur Auftragsverarbeitung gemäß Artikel 28 der Verordnung (EU) 2016/679 („DSGVO”) geschlossen. Er ergänzt die Nutzungsbedingungen (AGB) von Übernahme-Radar um die datenschutzrechtlichen Pflichten der Parteien und ist Bestandteil dieser.

(1) Gegenstand des Vertrages ist die Verarbeitung personenbezogener Daten durch den Auftragsverarbeiter im Rahmen der Erbringung der Vertragsleistungen „Übernahme-Radar” (SaaS- Plattform für die Recherche und das Alerting distressed-M&A- Chancen im DACH-Raum) im Auftrag des Auftraggebers.

(2) Der Vertrag beginnt mit Freischaltung des Accounts durch den Auftraggeber und läuft auf unbestimmte Zeit. Er endet automatisch mit Beendigung der zugrundeliegenden Nutzungsbeziehung (Kündigung des Abonnements, Löschung des Accounts).

(3) Nach Beendigung der Verarbeitung werden alle personenbezogenen Daten gemäß § 12 gelöscht oder zurückgegeben, soweit keine gesetzliche Aufbewahrungspflicht entgegensteht.

(1) Der Auftragsverarbeiter verarbeitet für den Auftraggeber personenbezogene Daten ausschließlich zum Zweck der Bereitstellung, des Betriebs und der Weiterentwicklung der Plattform Übernahme-Radar. Dazu gehören insbesondere:

• Authentifizierung und Verwaltung der Nutzerkonten,
• Aggregation, Anreicherung und Bewertung öffentlich publizierter Insolvenz- und M&A-Bekanntmachungen,
• Erstellung von Deal-Playbooks, Watchlists, Alerts und KI-basierten Zusammenfassungen,
• Versand von transaktionalen und Lifecycle-E-Mails,
• Abrechnung, Support und Fehleranalyse.

(2) Betroffene Personengruppen sind: Nutzer des Auftraggebers (Mitarbeiter, Kollaborateure) sowie natürliche Personen, die in öffentlich zugänglichen Registern (u. a. Insolvenzbekanntmachungen, Handelsregister, Bundesanzeiger) als Schuldner, Verwalter, Geschäftsführer oder Gesellschafter veröffentlicht sind.

(3) Kategorien der Daten sind: Kontaktdaten (Name, E-Mail), Nutzungsdaten (Login-Zeitpunkte, angesehene Fälle, Notizen), Abrechnungsdaten (nur beim Zahlungsdienstleister) sowie die in den öffentlichen Quellen enthaltenen Angaben zu Insolvenzfällen und deren Beteiligten.

(1) Der Auftragsverarbeiter verarbeitet die personenbezogenen Daten ausschließlich auf dokumentierte Weisung des Auftraggebers (Art. 28 Abs. 3 lit. a DSGVO). Als Weisung gilt insbesondere dieser Vertrag samt Anlagen sowie die vertraglich vereinbarten Leistungsbeschreibungen.

(2) Änderungen oder Ergänzungen bedürfen der Textform (E-Mail an info@uebernahmeradar.de genügt).

(3) Der Auftragsverarbeiter informiert den Auftraggeber unverzüglich, wenn er der Auffassung ist, dass eine Weisung gegen die DSGVO oder andere Datenschutzvorschriften verstößt. Er ist berechtigt, die Ausführung der entsprechenden Weisung auszusetzen, bis eine Klärung erfolgt ist.

Der Auftragsverarbeiter verpflichtet sich, insbesondere:

1. die Daten strikt zweckgebunden zur Vertragserfüllung zu verarbeiten,
2. die Vertraulichkeit sämtlicher mit der Verarbeitung befasster Personen sicherzustellen (Art. 28 Abs. 3 lit. b DSGVO),
3. geeignete technische und organisatorische Maßnahmen nach Art. 32 DSGVO zu treffen und aufrechtzuerhalten (siehe Anlage 2),
4. den Auftraggeber bei der Erfüllung seiner Pflichten aus den Betroffenenrechten sowie bei DSFAs und Meldungen an Behörden angemessen zu unterstützen,
5. den Auftraggeber unverzüglich über jede ihm bekannt werdende Datenschutzverletzung zu informieren (siehe § 6),
6. nach Beendigung der Verarbeitung sämtliche Daten gemäß § 12 zu löschen oder zurückzugeben.

(1) Der Auftraggeber erteilt hiermit eine allgemeine schriftliche Genehmigung zum Einsatz der in Anlage 1 aufgeführten Sub-Auftragsverarbeiter (Art. 28 Abs. 2 DSGVO).

(2) Der Auftragsverarbeiter informiert den Auftraggeber mindestens 30 Tage vor jeder beabsichtigten Änderung (Aufnahme oder Ersetzung eines Sub-Auftragsverarbeiters) über die Änderung. Der Auftraggeber kann binnen 30 Tagen aus wichtigem datenschutzrechtlichem Grund Einspruch erheben. Bei einem Einspruch steht dem Auftragsverarbeiter ein Sonderkündigungsrecht mit einer Frist von 30 Tagen zu.

(3) Der Auftragsverarbeiter verpflichtet jeden Sub-Auftragsverarbeiter vertraglich zu Datenschutzpflichten, die denen dieses Vertrages entsprechen (Art. 28 Abs. 4 DSGVO). Drittlandtransfers (insbesondere in die USA) erfolgen ausschließlich auf Grundlage von Angemessenheitsbeschlüssen, EU-Standard­ vertragsklauseln (SCC 2021/914) oder anderer geeigneter Garantien nach Art. 46 DSGVO.

(1) Der Auftragsverarbeiter meldet dem Auftraggeber jede ihm bekannt gewordene Verletzung des Schutzes personenbezogener Daten (Art. 33 DSGVO) unverzüglich, spätestens jedoch innerhalb von 48 Stunden nach Kenntniserlangung.

(2) Die Meldung enthält, soweit verfügbar: Art der Verletzung, betroffene Datenkategorien und Personen, wahrscheinliche Folgen sowie ergriffene bzw. vorgeschlagene Maßnahmen zur Eindämmung.

(3) Meldeadresse des Auftraggebers ist die im Account hinterlegte E-Mail-Adresse; abweichende Kontaktdaten teilt der Auftraggeber schriftlich mit.

(1) Der Auftragsverarbeiter unterstützt den Auftraggeber angemessen bei der Erfüllung der Betroffenenrechte (Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbar­ keit, Widerspruch — Art. 15 ff. DSGVO), soweit dies im Rahmen der technischen Möglichkeiten der Plattform zumutbar ist.

(2) Wenden sich betroffene Personen unmittelbar an den Auftragsverarbeiter, leitet dieser die Anfrage unverzüglich an den Auftraggeber weiter.

(1) Der Auftraggeber hat das Recht, sich vor Beginn und während der Vertragsdauer von der Einhaltung der technisch-organisatorischen Maßnahmen zu überzeugen (Art. 28 Abs. 3 lit. h DSGVO). Der Auftragsverarbeiter stellt hierfür alle zur Beurteilung erforderlichen Informationen bereit.

(2) Der Nachweis kann durch aktuelle Zertifikate, Prüfberichte anerkannter Prüfstellen (z. B. ISO 27001, SOC 2 der Sub-Auftragsverarbeiter) sowie das Sicherheitsdatenblatt (Anlage 2) erbracht werden.

(3) Vor-Ort-Kontrollen sind mit angemessener Vorankündigung (mind. 14 Tage), zu Bürozeiten und ohne störende Beeinträchtigung des Geschäftsbetriebs zulässig. Anfallende Kosten (Personalaufwand des Auftragsverarbeiters) trägt der Auftraggeber, sofern die Kontrolle nicht durch eine schuldhafte Vertragsverletzung veranlasst wurde.

(1) Nach Beendigung der Verarbeitung löscht der Auftragsverarbeiter alle personenbezogenen Daten spätestens innerhalb von 30 Tagen, sofern der Auftraggeber nicht zuvor die Rückgabe verlangt hat.

(2) Bereits erfolgte Backups werden im nächsten Backup-Zyklus (üblicherweise binnen 30 weiterer Tage) überschrieben.

(3) Gesetzliche Aufbewahrungspflichten (z. B. § 147 AO) bleiben unberührt; entsprechende Datensätze werden bis zum Ablauf der Frist eingeschränkt verarbeitet und danach gelöscht.

(1) Änderungen und Ergänzungen dieses Vertrages bedürfen der Textform. Das gilt auch für die Aufhebung dieses Formerfordernisses.

(2) Sollten einzelne Bestimmungen dieses Vertrages unwirksam sein, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt.

(3) Für diesen Vertrag gilt deutsches Recht. Gerichtsstand ist — soweit gesetzlich zulässig — Berlin.

Stand: 7.7.2026. Die aktuelle Liste ist jederzeit unter /datenschutz#empfaenger einsehbar.

Die folgenden Maßnahmen sind zum Stand 7.7.2026 implementiert:

Beide Parteien bestätigen die Kenntnis und Einhaltung der vorstehenden Bestimmungen. Die Wirksamkeit tritt mit Freischaltung des Accounts oder mit Rückversand des unterzeichneten Dokuments per E-Mail an info@uebernahmeradar.de ein.