Auftragsverarbeitungsvertrag (AVV)

Vertragsparteien

§ 1 Gegenstand und Dauer

Gegenstand ist die Verarbeitung personenbezogener Daten durch den Auftragsverarbeiter im Rahmen des Betriebs der Software „Imoctrl“ für die Verwaltung von Immobilien/Mietverhältnissen des Verantwortlichen. Die Dauer entspricht der Laufzeit des zugrunde liegenden Nutzungsvertrags bzw. der Nutzung dieses Verwaltungsprojekts.

§ 2 Art und Zweck der Verarbeitung

Verwaltung von Objekten, Einheiten, Mietverhältnissen, Zahlungen, Instandhaltungsvorgängen, interner Kommunikation (Board) und zugehörigen Dokumenten/Fotos.

§ 3 Art der personenbezogenen Daten

Stammdaten, Kontaktdaten, Vertrags-/Mietdaten, Finanzdaten (u. a. IBAN/BIC), Kommunikationsinhalte, Dokumente/Fotos, ggf. freiwillige Zusatzangaben.

§ 4 Kategorien betroffener Personen

Mieter:innen, Eigentümer:innen, Mitarbeitende, Hausmeister:innen, externe Dienstleister/Kontakte des Verantwortlichen.

§ 5 Pflichten des Auftragsverarbeiters

• Verarbeitung ausschließlich auf dokumentierte Weisung des Verantwortlichen (Art. 28 Abs. 3 lit. a).
• Gewährleistung, dass zur Verarbeitung befugte Personen zur Vertraulichkeit verpflichtet sind (lit. b).
• Umsetzung angemessener technischer und organisatorischer Maßnahmen (lit. c).
• Einhaltung der Bedingungen für die Hinzuziehung weiterer Auftragsverarbeiter gemäß § 6 (lit. d).
• Unterstützung des Verantwortlichen bei der Erfüllung der Betroffenenrechte, soweit mit angemessenem Aufwand möglich (lit. e).
• Unterstützung bei der Einhaltung der Pflichten aus Art. 32 bis 36 DSGVO, insbesondere bei Datenschutzvorfällen (lit. f).
• Löschung oder Rückgabe aller personenbezogenen Daten nach Beendigung der Verarbeitungsleistungen, nach Wahl des Verantwortlichen (lit. g).
• Bereitstellung aller erforderlichen Informationen zum Nachweis der Einhaltung dieser Pflichten sowie Ermöglichung von Kontrollen/Audits (lit. h).

§ 6 Unterauftragsverarbeiter

Der Verantwortliche erteilt hiermit eine allgemeine Genehmigung zur Beauftragung folgender Unterauftragsverarbeiter:

• Supabase Inc.: Datenbank, Authentifizierung, Dateispeicher. Supabase stellt ein Data Processing Addendum bereit, das die Standardvertragsklauseln der Europäischen Kommission einbezieht. Verarbeitungsort ist die Region des angelegten Projekts: [Region des Supabase-Projekts eintragen, abzulesen im Supabase-Dashboard unter Project Settings, General]
• Vercel Inc.: Hosting der Anwendung, Auslieferung und Zugriffsprotokolle. Vercel stellt ein Data Processing Addendum bereit und stützt Übermittlungen außerhalb des Europäischen Wirtschaftsraums auf die Standardvertragsklauseln der Europäischen Kommission in der Fassung des Beschlusses 2021/914. Verarbeitungsort ist die Region der Funktionsausführung: [Region der Vercel-Funktionen eintragen, abzulesen im Vercel-Dashboard unter Project Settings, Functions]

Der Auftragsverarbeiter informiert den Verantwortlichen über jede beabsichtigte Änderung in Bezug auf die Hinzuziehung oder Ersetzung von Unterauftragsverarbeitern, wodurch der Verantwortliche Gelegenheit erhält, Einspruch zu erheben (Art. 28 Abs. 2).

§ 7 Kontrollrechte des Verantwortlichen

Der Verantwortliche hat das Recht, sich von der Einhaltung der in diesem Vertrag vereinbarten Pflichten des Auftragsverarbeiters zu überzeugen (Art. 28 Abs. 3 Buchstabe h DSGVO).

1. Der Nachweis erfolgt in erster Linie durch Auskunft in Textform sowie durch Vorlage vorhandener Nachweise, insbesondere der Dokumentation der technischen und organisatorischen Maßnahmen, aktueller Prüfberichte oder Zertifikate, auch solcher der eingesetzten Unterauftragsverarbeiter. Der Auftragsverarbeiter erteilt die Auskunft innerhalb von zwei Wochen nach Zugang der Anfrage.
2. Genügen diese Nachweise im Einzelfall nicht, kann der Verantwortliche eine Überprüfung vor Ort verlangen. Sie ist mit einer Frist von zwei Wochen anzukündigen, findet während der üblichen Geschäftszeiten statt und darf den Betriebsablauf nicht mehr als notwendig beeinträchtigen. Sie erfolgt höchstens einmal je Kalenderjahr, es sei denn, es besteht ein konkreter Anlass, etwa eine Datenschutzverletzung oder eine Anordnung der Aufsichtsbehörde.
3. Der Verantwortliche kann die Überprüfung durch eine sachverständige, zur Verschwiegenheit verpflichtete Person durchführen lassen. Diese darf nicht in Wettbewerb zum Auftragsverarbeiter stehen. Beide Seiten behandeln die dabei erlangten Erkenntnisse vertraulich.
4. Der Aufwand des Auftragsverarbeiters für Überprüfungen vor Ort, die über die gesetzlichen Mitwirkungspflichten hinausgehen, kann nach tatsächlichem Aufwand berechnet werden. Der Auftragsverarbeiter weist auf eine solche Berechnung vor Beginn hin.

§ 8 Meldung von Datenschutzverletzungen

Der Auftragsverarbeiter meldet dem Verantwortlichen jede Verletzung des Schutzes personenbezogener Daten unverzüglich, spätestens jedoch so rechtzeitig, dass der Verantwortliche seine eigene Meldepflicht binnen 72 Stunden erfüllen kann.

§ 9 Weisungsbefugnis

Der Verantwortliche erteilt Weisungen zunächst durch diesen Vertrag, danach in Textform oder durch Nutzung der in der Software vorgesehenen Funktionen.

Weisungsberechtigt auf Seiten des Verantwortlichen sind die Personen, die in seinem Verwaltungsprojekt die Rolle Admin innehaben. Der Verantwortliche hält diesen Kreis aktuell. Weisungsempfänger auf Seiten des Auftragsverarbeiters ist [Kontakt-E-Mail des Betreibers einsetzen].

Mündliche Weisungen bestätigt der Verantwortliche unverzüglich in Textform. Der Auftragsverarbeiter informiert den Verantwortlichen unverzüglich, wenn er der Auffassung ist, dass eine Weisung gegen das Datenschutzrecht verstößt. Er darf die Ausführung dieser Weisung bis zu ihrer Bestätigung oder Änderung aussetzen (Art. 28 Abs. 3 Satz 3 DSGVO).

§ 10 Haftung und Vergütung

Für die Haftung gelten die gesetzlichen Bestimmungen, insbesondere Art. 82 DSGVO. Im Verhältnis der Parteien zueinander trägt jede Seite die Folgen der von ihr zu vertretenden Verstöße.

Die Leistungen nach diesem Vertrag sind mit dem Entgelt für die Nutzung der Software abgegolten. Solange die Nutzung unentgeltlich ist, entsteht auch für diese Leistungen keine gesonderte Vergütung. Aufwand, der über die gesetzlichen Mitwirkungspflichten hinausgeht, insbesondere nach § 7 Nummer 4, kann gesondert berechnet werden.

Im Übrigen gelten die Regelungen des Nutzungsvertrags über die Software. Widersprechen sich beide Verträge in Fragen des Datenschutzes, geht dieser Vertrag vor.