Allgemeine Geschäftsbedingungen

Anbieter: iunto Finanzen GmbH, Niederberger Höhe 14b, 56077 Koblenz (nachfolgend „Anbieter“). Der Auftragsverarbeitungsvertrag (Anlage 1) und die technisch-organisatorischen Maßnahmen (Anlage 2) sind Bestandteil dieser AGB.

§ 1 Geltungsbereich

Diese AGB gelten für die Nutzung der SaaS-Plattform „miovea“ durch Versicherungsmakler und andere Unternehmer im Sinne des § 14 BGB (nachfolgend „Kunde“). Ein Angebot an Verbraucher besteht nicht. Abweichende Bedingungen des Kunden gelten nur bei ausdrücklicher schriftlicher Zustimmung des Anbieters.

§ 2 Leistungsgegenstand

Der Anbieter stellt eine webbasierte Plattform zur Vorbereitung von Risikovoranfragen bereit, insbesondere: Verwaltung von Endkundenprofilen, KI-gestützte Auswertung hochgeladener Gesundheitsdokumente, digitale Fragebögen über passwortgeschützte Kundenlinks sowie Versand und Auswertung von Voranfragen an Versicherer. Die KI-Auswertung ist eine Assistenzfunktion; sie ersetzt nicht die fachliche Prüfung durch den Kunden. Der Anbieter erbringt keine Versicherungsvermittlung, Rechts- oder Steuerberatung.

§ 3 Registrierung und Konto

Die Nutzung setzt eine Registrierung voraus. Der Kunde sichert zu, Unternehmer zu sein, und hält seine Zugangsdaten geheim. Handlungen über sein Konto werden ihm zugerechnet.

Ein Administrator der Organisation schließt diese AGB einschließlich des Auftragsverarbeitungsvertrags in der Plattform ab. Version, Zeitpunkt und bestätigende Person werden gespeichert; der Vertrag kann in den Einstellungen jederzeit als PDF abgerufen werden. Neue Fassungen werden auf dieselbe Weise bestätigt.

§ 4 Preise und Zahlung

Es gelten die bei Vertragsschluss ausgewiesenen Pläne und Add-ons (Preise netto zzgl. USt). Die Abrechnung erfolgt monatlich im Voraus über den Zahlungsdienstleister Stripe. Bei Zahlungsverzug kann der Anbieter den Zugang nach Ankündigung sperren.

§ 5 Pflichten des Kunden

• Der Kunde ist datenschutzrechtlich Verantwortlicher für die von ihm verarbeiteten Endkundendaten. Er holt vor der Verarbeitung von Gesundheitsdaten die ausdrückliche Einwilligung und Schweigepflichtentbindung der betroffenen Endkunden ein (Art. 9 Abs. 2 lit. a DSGVO, § 22 BDSG) und weist dies auf Verlangen nach.
• Der Kunde lädt nur Inhalte hoch, zu deren Verarbeitung er berechtigt ist, und verwendet die Plattform nicht für rechtswidrige Zwecke.
• Der Kunde prüft KI-gestützt erzeugte Ergebnisse (z. B. extrahierte Befunde, Entwürfe von Voranfragen) vor deren Verwendung.
• Der Kunde gibt Kundenlinks und zugehörige Passwörter nur an die betroffenen Endkunden weiter.

§ 6 Verfügbarkeit und Änderungen

Der Anbieter erbringt die Leistung mit branchenüblicher Sorgfalt und einer angestrebten Verfügbarkeit von 99 % im Monatsmittel, ausgenommen Wartungsfenster und Störungen außerhalb des Einflussbereichs. Der Anbieter darf die Plattform weiterentwickeln, sofern der Vertragszweck gewahrt bleibt.

§ 7 Haftung

Der Anbieter haftet unbeschränkt für Vorsatz, grobe Fahrlässigkeit sowie für Schäden an Leben, Körper und Gesundheit. Bei einfacher Fahrlässigkeit haftet der Anbieter nur für die Verletzung wesentlicher Vertragspflichten (Kardinalpflichten), begrenzt auf den vertragstypisch vorhersehbaren Schaden. Die Haftung nach dem Produkthaftungsgesetz bleibt unberührt.

§ 8 Laufzeit und Kündigung

Der Vertrag läuft auf unbestimmte Zeit und ist von beiden Seiten monatlich zum Ende des Abrechnungszeitraums kündbar. Das Recht zur außerordentlichen Kündigung bleibt unberührt. Nach einer Kündigung kann der Kunde die Plattform im Umfang des kostenlosen Plans weiter nutzen. Die Daten des Kunden werden nach Maßgabe von Ziffer 10 der Anlage 1 gelöscht; der Kunde kann sie zuvor exportieren.

§ 9 Schlussbestimmungen

Es gilt deutsches Recht unter Ausschluss des UN-Kaufrechts. Gerichtsstand ist Koblenz. Sollten einzelne Bestimmungen unwirksam sein, bleibt der Vertrag im Übrigen wirksam.

Anlage 1: Auftragsverarbeitungsvertrag (Art. 28 DSGVO)

1. Parteien, Gegenstand und Dauer

Dieser Vertrag gilt zwischen dem Kunden als Verantwortlichem und der iunto Finanzen GmbH, Niederberger Höhe 14b, 56077 Koblenz, als Auftragsverarbeiter (nachfolgend „Anbieter“). Er regelt die Verarbeitung personenbezogener Daten, die der Anbieter beim Betrieb der Plattform miovea gemäß § 2 der AGB im Auftrag des Kunden verarbeitet (Auftragsdaten).

Die Dauer entspricht der Laufzeit des Hauptvertrags; Pflichten zur Löschung und Rückgabe nach Ziffer 10 gelten darüber hinaus. Bei Widersprüchen geht dieser Vertrag den übrigen Bestimmungen der AGB vor.

2. Art und Zweck der Verarbeitung, Datenkategorien, Betroffene

• Zweck: Vorbereitung, Versand und Auswertung von Risikovoranfragen, Verwaltung von Endkunden und Vorgängen, Auswertung von Gesundheitsdokumenten, digitale Fragebögen über Kundenlinks, Selbstauskunft von Interessenten über öffentliche Selbstauskunft-Links des Kunden, Kommunikation mit Versicherern und Endkunden.
• Art der Verarbeitung: Erheben über Upload, Kundenlinks, Selbstauskunft-Links (auch eingebettet auf Websites des Kunden), Schnittstellen und verbundene Postfächer; Speichern; Texterkennung; KI-gestützte Auswertung und Pseudonymisierung; Versand per E-Mail; Bereitstellung über App, REST-API und MCP-Schnittstelle; Export; Löschung.
• Datenkategorien: Stammdaten der Endkunden (Name, Geburtsdatum, Geschlecht, Kontaktdaten, Beruf), Vertrags- und Vorgangsdaten, Fragebogenantworten, Inhalte hochgeladener Dokumente, E-Mails und Anhänge aus der Korrespondenz mit Versicherern und Endkunden einschließlich der Inhalte verbundener Postfächer, Kontaktdaten von Ansprechpartnern bei Versicherern sowie Konto- und Nutzungsdaten der Mitarbeiter des Kunden.
• Besondere Kategorien: ausdrücklich Gesundheitsdaten (Art. 9 DSGVO): Diagnosen, Befunde, Behandlungs- und Abrechnungsdaten aus Dokumenten und Fragebogenantworten.
• Betroffene: Endkunden und Interessenten des Kunden, in Dokumenten genannte Dritte (z. B. Behandler, mitversicherte Personen), Ansprechpartner bei Versicherern, Absender von E-Mails an verbundene Postfächer sowie Mitarbeiter des Kunden.

3. Weisungen

Der Anbieter verarbeitet Auftragsdaten ausschließlich auf dokumentierte Weisung des Kunden, auch in Bezug auf die Übermittlung in Drittländer. Weisungen sind die Nutzung der Plattform, die Einstellungen des Kunden sowie Aufrufe über REST-API, MCP-Schnittstelle oder angebundene KI-Agenten. Einzelweisungen erteilen Administratoren des Kunden in Textform. Eine Übermittlung in Drittländer erfolgt nur im Rahmen der in Ziffer 6 genehmigten Unterauftragsverarbeiter.

Ist der Anbieter durch das Recht der Union oder eines Mitgliedstaats zu einer weitergehenden Verarbeitung verpflichtet, teilt er dem Kunden diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht eine solche Mitteilung nicht wegen eines wichtigen öffentlichen Interesses verbietet.

Der Anbieter verwendet Auftragsdaten nicht für eigene Zwecke, insbesondere nicht für das Training von KI-Modellen. Hält er eine Weisung für rechtswidrig, informiert er den Kunden unverzüglich und darf die Ausführung bis zur Bestätigung oder Änderung aussetzen.

4. Vertraulichkeit

Mit der Verarbeitung befasste Personen sind zur Vertraulichkeit verpflichtet und nur im erforderlichen Umfang zugriffsberechtigt. Zugriffe des Anbieters auf Auftragsdaten erfolgen nur, soweit sie für Betrieb, Fehlerbehebung oder vom Kunden angefragten Support erforderlich sind, und werden protokolliert.

5. Technische und organisatorische Maßnahmen

Der Anbieter trifft die in Anlage 2 beschriebenen Maßnahmen nach Art. 32 DSGVO und § 22 Abs. 2 BDSG. Er darf sie fortentwickeln, sofern das Schutzniveau nicht unterschritten wird; wesentliche Änderungen dokumentiert er.

6. Unterauftragsverarbeiter

Der Kunde genehmigt die folgenden Unterauftragsverarbeiter. Der Anbieter erlegt ihnen vertraglich Datenschutzpflichten auf, die den Pflichten dieses Vertrags gleichwertig sind, und haftet gegenüber dem Kunden für deren Einhaltung wie für eigenes Handeln.

Über die beabsichtigte Hinzuziehung oder Ersetzung eines Unterauftragsverarbeiters informiert der Anbieter mindestens 30 Tage vorab in Textform per E-Mail an die Administratoren des Kunden und durch einen Hinweis in der Plattform. Der Kunde kann der Änderung innerhalb dieser Frist widersprechen. Kann der Anbieter die Leistung ohne den betroffenen Dienstleister nicht zumutbar erbringen, ist der Kunde berechtigt, den Vertrag zum Wirksamwerden der Änderung außerordentlich zu kündigen.

7. Weitergabe auf Weisung des Kunden

Empfänger, an die der Anbieter Daten auf Weisung des Kunden übermittelt, sind keine Unterauftragsverarbeiter des Anbieters. Dazu gehören Versicherer und Endkunden beim Versand, vom Kunden verbundene eigene Postfächer und deren Mailserver, vom Kunden eingerichtete Webhook-Empfänger sowie KI-Agenten und Anwendungen, die der Kunde über REST-API oder MCP-Schnittstelle anbindet, einschließlich deren Modellanbieter. Für diese Empfänger ist der Kunde verantwortlich.

8. Unterstützung des Kunden

Der Anbieter unterstützt den Kunden mit geeigneten technischen und organisatorischen Maßnahmen bei der Beantwortung von Anträgen Betroffener (Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit), insbesondere durch Export und vollständige Löschung von Endkunden einschließlich Dokumenten, sowie bei der Einhaltung der Pflichten nach Art. 32 bis 36 DSGVO, einschließlich Datenschutz-Folgenabschätzungen und Konsultationen der Aufsichtsbehörde. Anträge Betroffener, die beim Anbieter eingehen, leitet er unverzüglich an den Kunden weiter.

9. Meldung von Verletzungen des Schutzes personenbezogener Daten

Der Anbieter meldet dem Kunden Verletzungen des Schutzes von Auftragsdaten unverzüglich, spätestens 48 Stunden nach Bekanntwerden, mit den Informationen nach Art. 33 Abs. 3 DSGVO, soweit sie vorliegen; fehlende Informationen reicht er unverzüglich nach. Er ergreift die erforderlichen Maßnahmen zur Eindämmung und unterstützt den Kunden bei Meldungen an Aufsichtsbehörde und Betroffene.

10. Löschung und Rückgabe

• Der Kunde kann Auftragsdaten jederzeit exportieren und einzelne Endkunden einschließlich Dokumenten vollständig löschen.
• Nach Vertragsende entscheidet der Kunde über Rückgabe (Export) oder Löschung. Löscht der Kunde seine Organisation, werden alle Auftragsdaten einschließlich gespeicherter Dokumente 30 Tage danach endgültig gelöscht.
• Hat eine Organisation kein Abonnement und wird sie 90 Tage lang nicht genutzt, kündigt der Anbieter den Administratoren die Löschung per E-Mail an. Wird die Organisation innerhalb von 30 Tagen nicht genutzt oder der Erhalt der Daten bestätigt, wird sie gelöscht; die endgültige Löschung folgt nach weiteren 30 Tagen.
• E-Mails aus verbundenen Postfächern, die keinem Vorgang zugeordnet wurden, werden einschließlich Anhängen 90 Tage nach Eingang gelöscht.
• Datensicherungen werden im regulären Turnus überschrieben, spätestens nach drei Monaten. Gesetzliche Aufbewahrungspflichten des Anbieters bleiben unberührt.

11. Nachweise und Kontrollen

Der Anbieter stellt dem Kunden alle erforderlichen Informationen zum Nachweis der Einhaltung dieses Vertrags zur Verfügung, insbesondere diese Anlagen, das Verzeichnis nach Art. 30 Abs. 2 DSGVO und Nachweise der Unterauftragsverarbeiter. Darüber hinaus kann der Kunde Überprüfungen einschließlich Inspektionen nach Ankündigung mit einer Frist von 14 Tagen während der Geschäftszeiten selbst oder durch einen zur Vertraulichkeit verpflichteten Prüfer durchführen, ohne den Betrieb unverhältnismäßig zu stören. Jede Partei trägt ihre eigenen Kosten; mehr als eine Prüfung pro Kalenderjahr kann der Anbieter zu angemessenen Sätzen berechnen, außer die weitere Prüfung ist durch eine Verletzung des Schutzes personenbezogener Daten veranlasst.

12. Rechte und Pflichten des Kunden

Der Kunde ist für die Rechtmäßigkeit der Verarbeitung verantwortlich, insbesondere für die Einwilligungen und Schweigepflichtentbindungen der Endkunden (§ 5 der AGB) und die Information der Betroffenen. Er hat das Recht, Weisungen zu erteilen und Kontrollen nach Ziffer 11 durchzuführen. Stellt er Fehler oder Unregelmäßigkeiten bei der Verarbeitung fest, informiert er den Anbieter unverzüglich.

13. Haftung

Für Schäden, die Betroffenen entstehen, gilt Art. 82 DSGVO. Im Verhältnis der Parteien zueinander gilt § 7 der AGB.

Anlage 2: Technische und organisatorische Maßnahmen

• Zugangs- und Zugriffskontrolle: Anmeldung über einen spezialisierten Identity-Provider, Rollen und Berechtigungen je Organisation, keine geteilten Konten. Zwei-Faktor-Anmeldung für alle Betreiberzugänge zu Infrastruktur und Dienstleistern.
• Mandantentrennung: Jede Datenbankabfrage ist auf die Organisation des Kunden beschränkt; die Berechtigung wird in jedem Endpunkt serverseitig geprüft.
• Verschlüsselung: TLS für alle Verbindungen über öffentliche Netze; Verbindungen innerhalb der Hosting-Umgebung über das verschlüsselte private Netz des Anbieters. Verschlüsselung gespeicherter Daten durch die Hosting- und Speicheranbieter. Zusätzlich AES-256-GCM für Cache-Inhalte, Zugangsdaten verbundener Postfächer, Webhook-Secrets und Zugriffstoken von Kundenlinks; API-Schlüssel werden nur als Hash gespeichert.
• Speicherung von Dokumenten: Privater Objektspeicher ohne öffentliche URLs; Auslieferung nur über zeitlich befristete, signierte Links nach serverseitiger Berechtigungsprüfung.
• Kundenlinks: Kryptographisch zufällige Token, Passwortschutz, Ablaufdaten und Ratenbegrenzung gegen Brute-Force-Versuche.
• Selbstauskunft-Links: Kryptographisch zufällige Token; Bestätigung der E-Mail-Adresse per Einmalcode mit Ablauf und begrenzten Fehlversuchen, bevor Dokumente hochgeladen werden können; selbst betriebene Bot-Abwehr ohne Drittanbieter; Ratenbegrenzung und Tageslimits; Prüfung des Dateityps anhand des Inhalts und Virenscan in der eigenen Hosting-Umgebung vor jeder Anzeige; Einbettung nur auf vom Kunden freigegebenen Websites. Eingereichte Daten werden erst nach Annahme durch den Kunden einem Endkunden zugeordnet und erst dann ausgewertet.
• Pseudonymisierung vor KI-Auswertung: Vor der inhaltlichen KI-Auswertung werden Name, Geburtsdatum, E-Mail-Adresse und Telefonnummer des Endkunden sowie erkennbare E-Mail-Adressen, IBAN, Versicherten- und Telefonnummern durch Platzhalter ersetzt. Ausnahmen, bei denen der Klartext für die Aufgabe erforderlich ist: Erkennung der Identität aus einem hochgeladenen Dokument, Import von Kundenlisten, Import von Board-Screenshots sowie Absender und Betreff bei der Vorsortierung eingehender E-Mails. Die Texterkennung erhält das Originaldokument.
• Versand an Versicherer: Namen des Endkunden werden aus Mailtext, Fragebogen-PDF und Dateinamen entfernt. Geburtsdatum, Geschlecht und Beruf werden übermittelt, soweit die Risikoprüfung sie erfordert. Beigefügte Dokumente werden nur geschwärzt, wenn der Kunde Schwärzungen gesetzt hat.
• Protokollierung: Alle schreibenden Vorgänge und Exporte werden mit Akteur, Kanal und Zeitpunkt in einer manipulationsgeschützten Hash-Kette je Organisation protokolliert. Lesende Zugriffe des Anbieters auf Daten einer Organisation werden gesondert protokolliert und zwölf Monate aufbewahrt.
• Verfügbarkeit und Wiederherstellung: Betrieb in Rechenzentren mit redundanter Infrastruktur, regelmäßige Datensicherungen der Datenbank, getrennte Produktions- und Entwicklungsumgebung. In der Entwicklungsumgebung werden Endkundendaten nur pseudonymisiert und ohne Dokumentdateien verwendet.
• Löschfristen: Endkunden auf Weisung sofort einschließlich Dokumenten; Organisationen 30 Tage nach Löschung; nicht zugeordnete E-Mails 90 Tage nach Eingang; abgelaufene Kundenlinks und Übermittlungen 90 Tage nach Ablauf; Selbstauskünfte ohne bestätigte E-Mail-Adresse nach 24 Stunden, nicht abgeschickte nach 14 Tagen, nicht entschiedene 30 Tage nach Eingang, abgelehnte 7 Tage nach Ablehnung; Exportdateien nach 24 Stunden; Datensicherungen spätestens nach drei Monaten.
• Organisation: Verpflichtung aller Beschäftigten auf Vertraulichkeit, Datenschutzbeauftragter Felix Crombach (datenschutz@iunto-finanzen.de), Incident-Response-Prozess mit Meldung an betroffene Kunden nach Ziffer 9 der Anlage 1, Überprüfung und Bewertung dieser Maßnahmen mindestens jährlich und bei wesentlichen Änderungen.