Vereinbarung zur Auftragsverarbeitung

§ 1 Parteien und Geltung

(1) Diese Vereinbarung gilt zwischen dem Kunden als Verantwortlichem (nachfolgend „Auftraggeber") und der immoflow GmbH, Große Straße 62, 49377 Vechta, als Auftragsverarbeiter (nachfolgend „Auftragnehmer").

(2) Sie ist Bestandteil des Nutzungsvertrags über die Software immoflow und wird mit dessen Abschluss auf Grundlage der AGB vereinbart. Sie liegt in elektronischer Form vor (Art. 28 Abs. 9 DSGVO). Auf Wunsch stellt der Auftragnehmer eine gegengezeichnete Fassung zur Verfügung.

(3) Bei Widersprüchen geht diese Vereinbarung in Fragen des Datenschutzes den AGB vor.

§ 2 Gegenstand, Dauer, Art und Zweck der Verarbeitung

(1) Der Auftragnehmer verarbeitet personenbezogene Daten im Auftrag des Auftraggebers ausschließlich, um ihm die Software immoflow zur Immobilienverwaltung bereitzustellen, einschließlich Speicherung, Anzeige, Auswertung, Versand von E-Mails und SMS, KI-gestütztem Auslesen von Dokumenten, Datensicherung, Support und Fehlerbehebung.

(2) Die Vereinbarung gilt für die Dauer des Nutzungsvertrags und darüber hinaus, solange der Auftragnehmer Daten des Auftraggebers verarbeitet.

(3) Betroffen sind insbesondere folgende Daten, soweit der Auftraggeber sie in der Software erfasst:

• Stamm- und Kontaktdaten (Name, Anschrift, E-Mail, Telefon),
• Vertragsdaten (Mietverträge, Mieten, Kautionen, Laufzeiten, Einheiten),
• Zahlungs- und Bankdaten (Kontoverbindungen, Zahlungseingänge, importierte Kontoumsätze),
• Abrechnungsdaten (Verbrauchswerte, Nebenkostenabrechnungen),
• Kommunikationsinhalte und Dokumente einschließlich der darin enthaltenen Angaben,
• Nutzungs- und Protokolldaten der Benutzer des Auftraggebers.

(4) Betroffene Personen sind insbesondere Mieter und Mietinteressenten, Eigentümer, Dienstleister und Handwerker, sonstige Kontakte sowie Mitarbeiter und Benutzer des Auftraggebers.

(5) Die Verarbeitung besonderer Kategorien personenbezogener Daten (Art. 9 DSGVO) ist nicht vorgesehen. Der Auftraggeber stellt sicher, dass er solche Daten nur erfasst, wenn dies rechtlich zulässig ist.

§ 3 Weisungen

(1) Der Auftragnehmer verarbeitet die Daten nur auf dokumentierte Weisung des Auftraggebers, es sei denn, er ist nach Unionsrecht oder dem Recht eines Mitgliedstaats zur Verarbeitung verpflichtet; in diesem Fall teilt er dem Auftraggeber diese Verpflichtung vor der Verarbeitung mit, sofern das betreffende Recht dies nicht verbietet.

(2) Die Weisungen sind abschließend in dieser Vereinbarung, im Nutzungsvertrag und in der Nutzung der Funktionen der Software durch den Auftraggeber festgelegt. Weitere Weisungen erteilt der Auftraggeber in Textform an info@immoflow.io.

(3) Ist der Auftragnehmer der Ansicht, dass eine Weisung gegen Datenschutzvorschriften verstößt, weist er den Auftraggeber unverzüglich darauf hin und kann die Ausführung bis zur Bestätigung oder Änderung aussetzen.

(4) Der Auftragnehmer nutzt die Daten nicht für eigene Zwecke und nicht zum Training von KI-Modellen.

§ 4 Vertraulichkeit

Der Auftragnehmer setzt nur Personen ein, die zur Vertraulichkeit verpflichtet sind oder einer gesetzlichen Verschwiegenheitspflicht unterliegen, und gewährt Zugriff nur, soweit dies für die Erbringung der Leistungen erforderlich ist.

§ 5 Technische und organisatorische Maßnahmen

(1) Der Auftragnehmer trifft geeignete technische und organisatorische Maßnahmen nach Art. 32 DSGVO. Dazu gehören insbesondere:

• verschlüsselte Übertragung (TLS) und Verschlüsselung der gespeicherten Daten bei den Hosting-Dienstleistern,
• Trennung der Daten verschiedener Kunden durch Zugriffsregeln auf Datenbankebene (Row Level Security),
• passwortgeschützte Benutzerkonten mit optionaler Zwei-Faktor-Authentifizierung und Rollen innerhalb eines Kontos,
• Beschränkung administrativer Zugriffe auf erforderliche Personen sowie Protokollierung sicherheitsrelevanter Vorgänge,
• regelmäßige Datensicherungen beim Hosting-Dienstleister,
• Einsatz von Unterauftragsverarbeitern nur mit eigener Vereinbarung nach Art. 28 DSGVO,
• regelmäßige Überprüfung und Aktualisierung der Maßnahmen, einschließlich automatisierter Tests und Sicherheitsaktualisierungen.

(2) Der Auftragnehmer darf die Maßnahmen an den technischen Fortschritt anpassen, sofern das Schutzniveau nicht unterschritten wird.

§ 6 Unterauftragsverarbeiter

(1) Der Auftraggeber genehmigt allgemein den Einsatz von Unterauftragsverarbeitern. Bei Vertragsschluss sind dies:

(2) Der Auftragnehmer informiert den Auftraggeber mindestens vier Wochen vorher in Textform über jede beabsichtigte Hinzuziehung oder Ersetzung eines Unterauftragsverarbeiters. Der Auftraggeber kann innerhalb dieser Frist aus wichtigem datenschutzrechtlichem Grund widersprechen. Können sich die Parteien nicht einigen, kann der Auftraggeber den Vertrag zum Zeitpunkt der Änderung kündigen.

(3) Der Auftragnehmer verpflichtet jeden Unterauftragsverarbeiter vertraglich auf ein Schutzniveau, das dieser Vereinbarung entspricht.

(4) Eine Übermittlung in Drittländer erfolgt nur, wenn die Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind, insbesondere auf Grundlage eines Angemessenheitsbeschlusses oder von Standardvertragsklauseln.

§ 7 Unterstützung des Auftraggebers

(1) Der Auftragnehmer unterstützt den Auftraggeber mit geeigneten Maßnahmen bei der Erfüllung der Rechte betroffener Personen (Art. 12 bis 22 DSGVO). Viele Anfragen kann der Auftraggeber über die Funktionen der Software selbst erfüllen (Auskunft, Berichtigung, Löschung, Export). Richtet sich eine betroffene Person direkt an den Auftragnehmer, leitet dieser die Anfrage unverzüglich an den Auftraggeber weiter.

(2) Der Auftragnehmer unterstützt den Auftraggeber bei der Einhaltung der Pflichten aus Art. 32 bis 36 DSGVO, insbesondere bei Datenschutz-Folgenabschätzungen, soweit ihm Informationen dazu vorliegen.

(3) Der Auftragnehmer meldet dem Auftraggeber Verletzungen des Schutzes personenbezogener Daten unverzüglich, nachdem sie ihm bekannt geworden sind, mit den Angaben nach Art. 33 Abs. 3 DSGVO, soweit verfügbar.

§ 8 Löschung und Rückgabe

(1) Der Auftraggeber kann seine Daten während der Vertragslaufzeit jederzeit über die Exportfunktionen der Software abrufen und löschen.

(2) Nach Vertragsende löscht der Auftragnehmer die Daten des Auftraggebers, sofern keine Pflicht zur Speicherung nach Unionsrecht oder dem Recht eines Mitgliedstaats besteht. Daten in Datensicherungen werden im Rahmen der regulären Rotationszyklen gelöscht.

§ 9 Nachweise und Überprüfungen

(1) Der Auftragnehmer stellt dem Auftraggeber auf Anfrage die Informationen zur Verfügung, die zum Nachweis der Einhaltung dieser Vereinbarung erforderlich sind.

(2) Der Auftraggeber oder ein von ihm beauftragter, zur Verschwiegenheit verpflichteter Prüfer kann Überprüfungen einschließlich Inspektionen nach rechtzeitiger Anmeldung (in der Regel mindestens 30 Tage) während der üblichen Geschäftszeiten durchführen. Die Überprüfung darf den Geschäftsbetrieb nicht unverhältnismäßig stören und die Daten anderer Kunden nicht gefährden. Für Unterauftragsverarbeiter genügen in der Regel deren Zertifizierungen und Prüfberichte.

§ 10 Haftung und Schlussbestimmungen

(1) Für die Haftung gilt Art. 82 DSGVO. Im Übrigen gelten die Haftungsregeln der AGB.

(2) Änderungen dieser Vereinbarung bedürfen der Textform. Änderungen, die aufgrund geänderter Rechtsvorschriften oder zur Anpassung der Liste der Unterauftragsverarbeiter nach § 6 erforderlich sind, teilt der Auftragnehmer in Textform mit.

(3) Es gilt deutsches Recht. Sollten einzelne Bestimmungen unwirksam sein, bleibt die Wirksamkeit der übrigen unberührt.