Auftragsverarbeitungsvertrag (AVV)

Präambel und Anwendungsbereich

Dieser Auftragsverarbeitungsvertrag (nachfolgend „AVV“) regelt die datenschutzrechtlichen Pflichten der Parteien bei der Nutzung der Software Dein Immo Tresor. Er gilt zwischen dem Kunden (nachfolgend „Verantwortlicher“) und Dein Immo Tresor GmbH, vertreten durch den Geschäftsführer Marvin Marcel Michael Himmelsbach, Q7 24, 68161 Mannheim, Telefon +49 621 49084770, E-Mail info@deinimmotresor.de (nachfolgend „Auftragsverarbeiter“), soweit der Verantwortliche über die Software personenbezogene Daten Dritter verarbeitet, insbesondere von Mieterinnen und Mietern, Interessenten, Hausverwaltungen, Handwerkern und sonstigen Kontakten.

Der AVV wird mit dem Abschluss des Nutzungsvertrags (§ 8 der AGB) Bestandteil des Vertrags. Er bedarf keiner Unterschrift (Art. 28 Abs. 9 DSGVO). Eine unterschriebene Fassung stellt der Auftragsverarbeiter dem Verantwortlichen auf Anfrage an datenschutz@deinimmotresor.de als PDF bereit.

Nutzt der Verantwortliche die Software ausschließlich für eigene Daten ohne Bezug zu anderen Personen, kommt dieser AVV nicht zur Anwendung; für die Daten des Kunden selbst gilt die Datenschutzerklärung.

1. Gegenstand und Dauer

Gegenstand des Auftrags ist die Verarbeitung personenbezogener Daten durch den Auftragsverarbeiter im Rahmen der Bereitstellung der Software als Software-as-a-Service. Die Dauer dieses AVV entspricht der Laufzeit des Nutzungsvertrags einschließlich der Zeit, in der das Konto nach dem Ende eines Abonnements fortbesteht. Er endet mit der Löschung des Kontos.

2. Art, Zweck und Ort der Verarbeitung

Die Verarbeitung dient der Verwaltung, Analyse und Auswertung von Immobilien, Mietverhältnissen und Finanzierungen durch den Verantwortlichen. Sie umfasst das Speichern, Ordnen, Auslesen, Verändern, Übermitteln an vom Verantwortlichen bestimmte Empfänger (Freigaben, Team, Anfragen) und Löschen der eingegebenen Daten sowie das Erstellen von Auswertungen, Berichten und Schreiben daraus.

Die Daten werden in Rechenzentren in der Europäischen Union gespeichert und verarbeitet (Frankfurt am Main). Unterauftragsverarbeiter mit Sitz außerhalb der Europäischen Union erhalten Zugriff nur, soweit Abschnitt 7 sie nennt, und nur mit den dort genannten Garantien nach Art. 44 ff. DSGVO.

3. Art der personenbezogenen Daten

• Stammdaten (Name, Anschrift, Kontaktdaten der Mietpartei und sonstiger Kontakte)
• Vertrags- und Objektdaten (Miethöhe, Mietbeginn, Einheit, Kaution, Zählerstände, Nebenkostenabrechnungen)
• Zahlungs- und Buchungsvermerke (Mieteingänge, Rückstände, Mahnschreiben)
• Dokumente und Dateien, die der Verantwortliche hochlädt (Verträge, Belege, Bilder)
• Nachrichten und Angaben von Personen, die über den Marktplatz Kontakt aufnehmen

4. Kategorien betroffener Personen

• Mieterinnen und Mieter sowie Mietinteressenten des Verantwortlichen
• Hausverwaltungen, Handwerker, Banken und sonstige Kontakte des Verantwortlichen
• Personen, die in hochgeladenen Dokumenten genannt sind
• Personen, die auf ein Inserat des Verantwortlichen anfragen

5. Pflichten des Auftragsverarbeiters

Der Auftragsverarbeiter verarbeitet die Daten ausschließlich im Rahmen dieses AVV und nach dokumentierter Weisung des Verantwortlichen. Weisungen erteilt der Verantwortliche in erster Linie durch die Nutzung der Funktionen der Software (Eingeben, Freigeben, Exportieren, Löschen); weitergehende Weisungen bedürfen der Textform. Der Auftragsverarbeiter verpflichtet sich insbesondere:

• Daten nur auf Weisung des Verantwortlichen zu verarbeiten (Art. 28 Abs. 3 lit. a);
• den Verantwortlichen unverzüglich zu informieren, wenn er eine Weisung für rechtswidrig hält;
• sicherzustellen, dass die zur Verarbeitung befugten Personen zur Vertraulichkeit verpflichtet sind (lit. b);
• die technischen und organisatorischen Maßnahmen nach Abschnitt 6 umzusetzen und aufrechtzuerhalten (lit. c);
• Unterauftragsverarbeiter nur nach Abschnitt 7 einzusetzen und ihnen dieselben Datenschutzpflichten aufzuerlegen (lit. d);
• den Verantwortlichen bei der Beantwortung von Anträgen betroffener Personen zu unterstützen (lit. e, Abschnitt 8);
• den Verantwortlichen bei der Einhaltung der Pflichten aus Art. 32 bis 36 DSGVO zu unterstützen (lit. f), insbesondere Verletzungen des Schutzes personenbezogener Daten nach Abschnitt 9 zu melden;
• nach Abschluss der Verarbeitungsleistungen die Daten nach Abschnitt 10 zu löschen oder zurückzugeben (lit. g);
• alle Informationen zum Nachweis der Einhaltung dieser Pflichten zur Verfügung zu stellen und Überprüfungen nach Abschnitt 11 zu ermöglichen (lit. h);
• keinen Zugriff auf die Inhalte des Verantwortlichen zu nehmen, außer soweit das zur Fehlerbehebung oder auf Bitte des Verantwortlichen erforderlich ist; der Zugriff wird protokolliert.

6. Technische und organisatorische Maßnahmen

Der Auftragsverarbeiter setzt angemessene technische und organisatorische Maßnahmen nach Art. 32 DSGVO um. Dazu zählen insbesondere: Verschlüsselung der Daten bei der Übertragung (TLS) und im Ruhezustand (AES-256), Trennung der Konten auf Datenbankebene (Row-Level Security) mit Prüfung der Berechtigung bei jeder Anfrage, Zugang nur über persönliche Zugangsdaten mit optionalem zweitem Faktor, Begrenzung von Anfragen gegen automatisierte Zugriffe, tägliche Sicherungskopien der Datenbank, Protokollierung sicherheitsrelevanter Ereignisse sowie ein Betriebshandbuch mit festen Abläufen für Störungen, Wiederherstellung und Datenpannen. Eine Beschreibung der Maßnahmen ist auf der Sicherheitsseite abrufbar und Bestandteil dieses AVV. Der Auftragsverarbeiter darf die Maßnahmen weiterentwickeln, solange das Schutzniveau nicht unterschritten wird.

7. Unterauftragsverarbeiter

Der Verantwortliche genehmigt den Einsatz der folgenden Unterauftragsverarbeiter. Mit jedem von ihnen besteht ein Vertrag nach Art. 28 Abs. 4 DSGVO; Übermittlungen in Drittländer sind durch die EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO) und, wo angegeben, zusätzlich durch das EU-US Data Privacy Framework abgesichert.

• Vercel Inc., 440 N Barranca Ave #4133, Covina, CA 91723, USA: Betrieb der Anwendung und der Server-Funktionen in der EU-Region Frankfurt; Standardvertragsklauseln und Data Privacy Framework.
• Supabase Inc., 970 Toa Payoh North #07-04, Singapur: Datenbank, Anmeldung und Dateispeicher in der EU-Region Frankfurt; Standardvertragsklauseln.
• Resend, Inc., 2261 Market Street #5039, San Francisco, CA 94114, USA: Versand der E-Mails aus der Anwendung, zum Beispiel Hinweise an den Verantwortlichen und Nachrichten, die er aus der Anwendung heraus versendet; Standardvertragsklauseln.
• Functional Software, Inc. (Sentry), 45 Fremont Street, San Francisco, CA 94105, USA: Fehlerberichte der Anwendung, Verarbeitung in der EU-Region; Standardvertragsklauseln.

Über den beabsichtigten Einsatz eines weiteren oder den Austausch eines Unterauftragsverarbeiters informiert der Auftragsverarbeiter den Verantwortlichen mindestens vier Wochen vorher per E-Mail. Der Verantwortliche kann aus wichtigem datenschutzrechtlichem Grund widersprechen; kommt keine einvernehmliche Lösung zustande, kann er den Nutzungsvertrag zum Zeitpunkt der Änderung außerordentlich kündigen. Dienstleister, die keine Daten des Verantwortlichen erhalten (zum Beispiel Zahlungsabwicklung, Newsletter, Reichweitenmessung), sind keine Unterauftragsverarbeiter; sie nennt die Datenschutzerklärung.

8. Unterstützung bei Betroffenenrechten

Die Software stellt dem Verantwortlichen Funktionen bereit, mit denen er Anträge betroffener Personen selbst erfüllen kann: Auskunft und Datenübertragbarkeit durch den Export, Berichtigung durch die Bearbeitung, Löschung durch das Entfernen von Mietern, Kontakten und Dateien. Wendet sich eine betroffene Person unmittelbar an den Auftragsverarbeiter, leitet er den Antrag unverzüglich an den Verantwortlichen weiter und beantwortet ihn nicht selbst, soweit er dazu nicht gesetzlich verpflichtet ist.

9. Meldung von Verletzungen des Schutzes personenbezogener Daten

Der Auftragsverarbeiter meldet dem Verantwortlichen eine Verletzung des Schutzes personenbezogener Daten, die dessen Daten betrifft, unverzüglich nach Kenntnis, in der Regel innerhalb von 48 Stunden, an die E-Mail-Adresse des Kontos. Die Meldung enthält die Angaben nach Art. 33 Abs. 3 DSGVO, soweit sie bekannt sind; fehlende Angaben werden nachgereicht. Der Auftragsverarbeiter unterstützt den Verantwortlichen bei seinen Melde- und Benachrichtigungspflichten nach Art. 33 und 34 DSGVO.

10. Löschung und Rückgabe nach Beendigung

Der Verantwortliche kann seine Daten jederzeit selbst exportieren und löschen. Mit der Löschung des Kontos löscht der Auftragsverarbeiter alle Daten des Verantwortlichen einschließlich der hochgeladenen Dateien; Sicherungskopien werden innerhalb der in der Datenschutzerklärung genannten Fristen überschrieben. Daten, für die eine gesetzliche Aufbewahrungspflicht des Auftragsverarbeiters besteht (zum Beispiel Rechnungsdaten), bleiben davon unberührt. Ein Konto ohne Abonnement löscht der Auftragsverarbeiter zwölf Monate nach dem Ende des Abonnements nach vorheriger Ankündigung per E-Mail.

11. Nachweise und Kontrollen

Der Auftragsverarbeiter stellt dem Verantwortlichen auf Anfrage die Informationen zur Verfügung, die zum Nachweis der Einhaltung der Pflichten aus Art. 28 DSGVO erforderlich sind, insbesondere die Beschreibung der Maßnahmen nach Abschnitt 6 und die Nachweise seiner Unterauftragsverarbeiter. Weitergehende Überprüfungen stimmen die Parteien vorher ab; sie erfolgen in der Regel durch schriftliche Auskunft und, soweit erforderlich, durch eine Prüfung nach angemessener Ankündigung.

12. Haftung und Schlussbestimmungen

Für die Haftung gilt Art. 82 DSGVO; im Übrigen gilt § 7 der AGB. Bei Widersprüchen zwischen diesem AVV und dem Nutzungsvertrag geht dieser AVV in Fragen des Datenschutzes vor. Änderungen dieses AVV erfolgen nach § 13 der AGB. Es gilt das Recht der Bundesrepublik Deutschland.