Allgemeine Geschäftsbedingungen

Anbieter: iunto Finanzen GmbH, Niederberger Höhe 14b, 56077 Koblenz (nachfolgend „Anbieter“). Der Auftragsverarbeitungsvertrag (Anlage 1) und die technisch-organisatorischen Maßnahmen (Anlage 2) sind Bestandteil dieser AGB.

§ 1 Geltungsbereich

Diese AGB gelten für die Nutzung der SaaS-Plattform „miovea“ durch Versicherungsmakler und andere Unternehmer im Sinne des § 14 BGB (nachfolgend „Kunde“). Ein Angebot an Verbraucher besteht nicht. Abweichende Bedingungen des Kunden gelten nur bei ausdrücklicher schriftlicher Zustimmung des Anbieters.

§ 2 Leistungsgegenstand

Der Anbieter stellt eine webbasierte Plattform zur Vorbereitung von Risikovoranfragen bereit, insbesondere: Verwaltung von Endkundenprofilen, KI-gestützte Auswertung hochgeladener Gesundheitsdokumente, digitale Fragebögen über passwortgeschützte Kundenlinks sowie Versand und Auswertung von Voranfragen an Versicherer. Die KI-Auswertung ist eine Assistenzfunktion; sie ersetzt nicht die fachliche Prüfung durch den Kunden. Der Anbieter erbringt keine Versicherungsvermittlung, Rechts- oder Steuerberatung.

§ 3 Registrierung und Konto

Die Nutzung setzt eine Registrierung voraus. Der Kunde sichert zu, Unternehmer zu sein, und hält seine Zugangsdaten geheim. Handlungen über sein Konto werden ihm zugerechnet.

§ 4 Preise und Zahlung

Es gelten die bei Vertragsschluss ausgewiesenen Pläne und Add-ons (Preise netto zzgl. USt). Die Abrechnung erfolgt monatlich im Voraus über den Zahlungsdienstleister Stripe. Bei Zahlungsverzug kann der Anbieter den Zugang nach Ankündigung sperren.

§ 5 Pflichten des Kunden

• Der Kunde ist datenschutzrechtlich Verantwortlicher für die von ihm verarbeiteten Endkundendaten. Er holt vor der Verarbeitung von Gesundheitsdaten die ausdrückliche Einwilligung und Schweigepflichtentbindung der betroffenen Endkunden ein (Art. 9 Abs. 2 lit. a DSGVO, § 22 BDSG) und weist dies auf Verlangen nach.
• Der Kunde lädt nur Inhalte hoch, zu deren Verarbeitung er berechtigt ist, und verwendet die Plattform nicht für rechtswidrige Zwecke.
• Der Kunde prüft KI-gestützt erzeugte Ergebnisse (z. B. extrahierte Befunde, Entwürfe von Voranfragen) vor deren Verwendung.
• Der Kunde gibt Kundenlinks und zugehörige Passwörter nur an die betroffenen Endkunden weiter.

§ 6 Verfügbarkeit und Änderungen

Der Anbieter erbringt die Leistung mit branchenüblicher Sorgfalt und einer angestrebten Verfügbarkeit von 99 % im Monatsmittel, ausgenommen Wartungsfenster und Störungen außerhalb des Einflussbereichs. Der Anbieter darf die Plattform weiterentwickeln, sofern der Vertragszweck gewahrt bleibt.

§ 7 Haftung

Der Anbieter haftet unbeschränkt für Vorsatz, grobe Fahrlässigkeit sowie für Schäden an Leben, Körper und Gesundheit. Bei einfacher Fahrlässigkeit haftet der Anbieter nur für die Verletzung wesentlicher Vertragspflichten (Kardinalpflichten), begrenzt auf den vertragstypisch vorhersehbaren Schaden. Die Haftung nach dem Produkthaftungsgesetz bleibt unberührt.

§ 8 Laufzeit und Kündigung

Der Vertrag läuft auf unbestimmte Zeit und ist von beiden Seiten monatlich zum Ende des Abrechnungszeitraums kündbar. Das Recht zur außerordentlichen Kündigung bleibt unberührt. Nach Vertragsende werden die Daten des Kunden nach Maßgabe der Anlage 1 gelöscht; der Kunde kann seine Daten zuvor exportieren.

§ 9 Schlussbestimmungen

Es gilt deutsches Recht unter Ausschluss des UN-Kaufrechts. Gerichtsstand ist Koblenz. Sollten einzelne Bestimmungen unwirksam sein, bleibt der Vertrag im Übrigen wirksam.

Anlage 1: Auftragsverarbeitungsvertrag (Art. 28 DSGVO)

1. Gegenstand und Dauer

Der Anbieter verarbeitet personenbezogene Daten im Auftrag des Kunden zum Betrieb der Plattform gemäß § 2 der AGB. Die Dauer entspricht der Laufzeit des Hauptvertrags.

2. Art und Zweck der Verarbeitung, Datenkategorien, Betroffene

• Zweck: Vorbereitung von Risikovoranfragen, Dokumentenauswertung, Fragebögen, Kommunikation mit Versicherern.
• Datenkategorien: Stammdaten der Endkunden (Name, Geburtsdatum, Kontaktdaten, Beruf), Vertrags- und Vorgangsdaten sowie ausdrücklich Gesundheitsdaten (Art. 9 DSGVO): Diagnosen, Befunde, Behandlungs- und Abrechnungsdaten aus hochgeladenen Dokumenten und Fragebogenantworten.
• Betroffene: Endkunden und Interessenten des Kunden; mittelbar in Dokumenten genannte Dritte (z. B. Behandler).

3. Weisungsbindung

Der Anbieter verarbeitet die Daten ausschließlich auf dokumentierte Weisung des Kunden; die Nutzung der Plattform gilt als Weisung. Der Anbieter verwendet Auftragsdaten nicht für eigene Zwecke, insbesondere nicht für das Training von KI-Modellen, und informiert den Kunden, wenn er eine Weisung für rechtswidrig hält.

4. Vertraulichkeit

Mit der Verarbeitung befasste Personen sind zur Vertraulichkeit verpflichtet und nur im erforderlichen Umfang zugriffsberechtigt.

5. Technische und organisatorische Maßnahmen

Der Anbieter trifft die in Anlage 2 beschriebenen Maßnahmen nach Art. 32 DSGVO und § 22 Abs. 2 BDSG und entwickelt sie fort, ohne das Schutzniveau zu unterschreiten.

6. Unterauftragsverarbeiter

Der Kunde genehmigt die folgenden Unterauftragsverarbeiter. Über Änderungen informiert der Anbieter mindestens 30 Tage vorab in Textform; der Kunde kann aus wichtigem datenschutzrechtlichem Grund widersprechen. Mit allen Unterauftragsverarbeitern bestehen Verträge nach Art. 28 DSGVO; bei Drittlandbezug zusätzlich EU-Standardvertragsklauseln, ergänzend zum EU-U.S. Data Privacy Framework.

7. Unterstützung des Kunden

Der Anbieter unterstützt den Kunden bei der Beantwortung von Betroffenenanfragen (Auskunft, Berichtigung, Löschung, Datenübertragbarkeit) durch entsprechende Funktionen der Plattform (Export, vollständige Löschung von Endkunden einschließlich Dokumenten) sowie bei Datenschutz-Folgenabschätzungen und Konsultationen der Aufsichtsbehörde mit den erforderlichen Informationen.

8. Meldung von Datenschutzverletzungen

Der Anbieter meldet dem Kunden Verletzungen des Schutzes personenbezogener Daten unverzüglich nach Bekanntwerden mit den nach Art. 33 Abs. 3 DSGVO erforderlichen Informationen, damit der Kunde seine Meldepflicht (72 Stunden) erfüllen kann.

9. Löschung und Rückgabe

Nach Vertragsende löscht der Anbieter alle Auftragsdaten einschließlich gespeicherter Dokumente innerhalb von 30 Tagen, sofern keine gesetzliche Aufbewahrungspflicht besteht. Zuvor ermöglicht der Anbieter den Export. Sicherungskopien werden im regulären Turnus überschrieben.

10. Nachweise und Kontrollen

Der Anbieter weist die Einhaltung dieses Vertrags durch geeignete Dokumentation nach. Der Kunde kann darüber hinaus Kontrollen nach vorheriger Ankündigung während der Geschäftszeiten durchführen oder durch beauftragte Dritte durchführen lassen.

Anlage 2: Technische und organisatorische Maßnahmen

• Zugangskontrolle: Authentifizierung über einen spezialisierten Identity-Provider, rollenbasierte Zugriffe, keine geteilten Konten.
• Mandantentrennung: Jede Datenbankabfrage ist auf den Mandanten (Makler) beschränkt; serverseitige Berechtigungsprüfung in jedem Endpunkt.
• Transportverschlüsselung: TLS für alle Verbindungen (Client, Datenbank, Dienstleister).
• Speicherung: Dokumente in privatem Blob-Speicher ohne öffentliche URLs, Auslieferung nur über authentifizierte Serverfunktionen; Zugriffstoken für Kundenlinks werden verschlüsselt bzw. gehasht gespeichert.
• Kundenlinks: kryptographisch zufällige Token, Passwortschutz, Ablaufdaten, Ratenbegrenzung gegen Brute-Force-Versuche.
• Pseudonymisierung: Entfernung bekannter Endkunden-Identifikatoren vor der KI-Extraktion/-Interpretation und vor dem Versand an Versicherer.
• Protokollierung: Audit-Trail sicherheits- und datenschutzrelevanter Ereignisse (z. B. Uploads, Downloads, Löschungen).
• Löschkonzept: vollständige Löschung von Endkunden auf Weisung inkl. Dokumenten; automatisierte Bereinigung abgelaufener Kundenlinks und zugehöriger Daten.
• Organisation: Vertraulichkeitsverpflichtungen, Datenschutzbeauftragter (Felix Crombach), Incident-Response-Prozess mit unverzüglicher Kundeninformation.