Vertrag zur Auftragsverarbeitung (AVV)

1. Gegenstand und Dauer

Dieser Vertrag regelt die Verarbeitung personenbezogener Daten durch den Anbieter (siehe Impressum, nachfolgend „Auftragsverarbeiter") im Auftrag des Kunden (nachfolgend „Verantwortlicher") im Rahmen der Nutzung des Dienstes „Immo Mogul". Er gilt für die Dauer des Nutzungsvertrags und wird mit der Registrierung Vertragsbestandteil.

2. Art und Zweck der Verarbeitung

Speicherung, Organisation und Auswertung von Daten zur Verwaltung von Mietobjekten, insbesondere zur Erstellung von Betriebs- und Heizkostenabrechnungen, Verwaltung von Mietverhältnissen, Zählerständen, Dokumenten, zur Erstellung von Schreiben an Mieter sowie zum Versand von Abrechnungen und Dokumenten per E-Mail an Mieter und Eigentümer im Auftrag des Verantwortlichen. Die Verarbeitung erfolgt ausschließlich auf Grundlage dieses Vertrags und dokumentierter Weisungen des Verantwortlichen; die Nutzung des Dienstes (Eingaben, Konfiguration, Exporte) gilt als Weisung.

3. Kategorien betroffener Personen und Datenarten

Betroffene: Mieter und Mietinteressenten des Verantwortlichen, Eigentümer verwalteter Objekte, Mitarbeiter/Beauftragte des Verantwortlichen, ggf. Dienstleister (z. B. Handwerker in Buchungstexten).

Datenarten: Stammdaten (Name, Anschrift), Kontaktdaten (E-Mail, Telefon), Vertragsdaten (Mietbeginn/-ende, Miete, Vorauszahlungen, Kaution, Personenzahl), Abrechnungs- und Verbrauchsdaten (Zählerstände, Kostenanteile), Zahlungsdaten (Bankverbindung, Umsätze aus Kontoabgleich), Dokumente (Verträge, Schreiben, Abrechnungen, Belege), Fotos der Mietsache und Übergabeprotokolle, digitale Unterschriften (Vermieter/Mieter), Versand- und Zustelldaten von E-Mails an Mieter, Notizen und Aufgaben des Verantwortlichen.

4. Pflichten des Auftragsverarbeiters

Der Auftragsverarbeiter verarbeitet Daten nur auf dokumentierte Weisung, stellt sicher, dass zur Verarbeitung befugte Personen zur Vertraulichkeit verpflichtet sind, trifft die technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO (Anlage 1), unterstützt den Verantwortlichen bei der Erfüllung von Betroffenenrechten (Art. 12–23 DSGVO) sowie bei den Pflichten aus Art. 32–36 DSGVO und informiert ihn unverzüglich, wenn er der Auffassung ist, dass eine Weisung gegen Datenschutzrecht verstößt.

5. Meldung von Datenschutzverletzungen

Verletzungen des Schutzes personenbezogener Daten meldet der Auftragsverarbeiter dem Verantwortlichen unverzüglich, spätestens innerhalb von 48 Stunden nach Kenntnis, mit den Informationen nach Art. 33 Abs. 3 DSGVO.

6. Unterauftragsverarbeiter

Der Verantwortliche genehmigt allgemein den Einsatz der in Anlage 2 genannten Unterauftragsverarbeiter. Über beabsichtigte Änderungen informiert der Auftragsverarbeiter in Textform; der Verantwortliche kann innerhalb von 30 Tagen aus wichtigem Grund widersprechen. Mit jedem Unterauftragsverarbeiter werden Verträge geschlossen, die den Anforderungen des Art. 28 DSGVO entsprechen; bei Verarbeitung außerhalb der EU/des EWR werden geeignete Garantien (Art. 44 ff. DSGVO, insbesondere EU-Standardvertragsklauseln) vereinbart.

7. Löschung und Rückgabe

Nach Ende des Nutzungsvertrags hält der Auftragsverarbeiter die Daten 30 Tage zum Export bereit und löscht sie anschließend vollständig, soweit keine gesetzliche Aufbewahrungspflicht besteht. Backups werden turnusmäßig überschrieben.

8. Nachweise und Kontrollen

Der Auftragsverarbeiter stellt dem Verantwortlichen alle erforderlichen Informationen zum Nachweis der Einhaltung dieses Vertrags zur Verfügung und ermöglicht – nach Ankündigung mit angemessener Frist, in der Regel durch Bereitstellung geeigneter Dokumentation – Überprüfungen nach Art. 28 Abs. 3 lit. h DSGVO.

Anlage 1: Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

• Transportverschlüsselung: ausschließlich TLS/HTTPS für alle Verbindungen.
• Zugangskontrolle: Passwort-Hashing (bcrypt), rollenbasierte Zugriffe (Owner/Mitglied), API-Zugänge mit widerrufbaren Schlüsseln.
• Mandantentrennung: logische Trennung aller Kundendaten auf Datenbankebene; jede Abfrage ist mandantengebunden.
• Zugriffskontrolle Infrastruktur: Zugriff auf Produktionssysteme nur durch den Anbieter mit Zwei-Faktor-gesicherten Konten.
• Verfügbarkeitskontrolle: automatische Backups der Datenbank, Wiederherstellungsprozesse, Hosting in ISO-27001-zertifizierten Rechenzentren (Region EU).
• Datenminimierung: Web-Analytics der Landing-Page ohne Cookies und ohne personenbezogene Profile.
• Wirksamkeitsprüfung: regelmäßige Überprüfung und Aktualisierung der Maßnahmen.

Anlage 2: Unterauftragsverarbeiter