Vertrag zur Auftragsverarbeitung (AVV)

Wichtig: Dies ist eine Vorlage. Sie muss vor der Verwendung an die tatsächlichen Verhältnisse angepasst und anwaltlich geprüft werden. Ein wirksamer AVV kommt erst durch beidseitige Annahme zustande.

Parteien:Verantwortlicher ist der Nutzer (im Folgenden „Verantwortlicher“). Auftragsverarbeiter ist Dominique d'Avis, Vor den Höfen 23, 40668 Meerbusch (im Folgenden „Immosy“ oder „Auftragsverarbeiter“).

1. Gegenstand und Dauer

Gegenstand ist die Verarbeitung personenbezogener Daten durch Immosy im Auftrag des Verantwortlichen im Rahmen der Nutzung der Software zur Erstellung von Nebenkostenabrechnungen. Die Dauer entspricht der Laufzeit des Nutzungsvertrags. Der Vertrag endet automatisch mit Beendigung des Nutzungsvertrags.

2. Art, Umfang und Zweck der Verarbeitung

Immosy verarbeitet die vom Verantwortlichen eingegebenen Daten ausschließlich zur Bereitstellung der vertraglich vereinbarten Leistungen – insbesondere Speicherung, Berechnung und Erstellung von Abrechnungen sowie deren Bereitstellung und optionaler Versand.

3. Art der Daten und Kategorien betroffener Personen

• Datenarten: Stammdaten (Name, Anschrift der Immobilie), Kontaktdaten (E-Mail), Vertrags- und Abrechnungsdaten, Zahlungs-/Verbrauchsdaten.
• Betroffene Personen: Mieterinnen und Mieter des Verantwortlichen.

4. Ort der Verarbeitung

Die Verarbeitung findet innerhalb der Bundesrepublik Deutschland statt (Serverstandort Deutschland). Eine Verarbeitung in Drittländern erfolgt nur durch die in Ziffer 8 genannten Unterauftragsverarbeiter und nur unter den dort genannten Voraussetzungen.

5. Weisungsrecht des Verantwortlichen

Immosy verarbeitet die Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen. Die Nutzung der Software durch den Verantwortlichen gilt als solche Weisung; darüber hinausgehende Weisungen erfolgen in Textform. Ist Immosy der Auffassung, dass eine Weisung gegen die DSGVO oder andere Datenschutzbestimmungen verstößt, informiert Immosy den Verantwortlichen unverzüglich (Art. 28 Abs. 3 Satz 3 DSGVO).

6. Pflichten des Auftragsverarbeiters

• Verarbeitung ausschließlich auf dokumentierte Weisung des Verantwortlichen.
• Verpflichtung der zur Verarbeitung befugten Personen auf Vertraulichkeit.
• Umsetzung geeigneter technischer und organisatorischer Maßnahmen nach Art. 32 DSGVO (siehe Anlage 1).
• Unterstützung des Verantwortlichen bei der Beantwortung von Anträgen betroffener Personen (Art. 12–23 DSGVO) mit geeigneten technischen und organisatorischen Maßnahmen.
• Unterstützung des Verantwortlichen bei der Einhaltung der Pflichten aus Art. 32–36 DSGVO (Sicherheit, Meldung von Verletzungen, Datenschutz-Folgenabschätzung).
• Löschung oder Rückgabe der Daten nach Abschluss der Verarbeitung nach Wahl des Verantwortlichen (siehe Ziffer 11).
• Bereitstellung aller erforderlichen Informationen zum Nachweis der Einhaltung der Pflichten (siehe Ziffer 9).

7. Meldung von Verletzungen des Schutzes personenbezogener Daten

Immosy meldet dem Verantwortlichen jede Verletzung des Schutzes personenbezogener Daten unverzüglich nach Bekanntwerden. Die Meldung enthält, soweit möglich, eine Beschreibung der Art der Verletzung, die betroffenen Datenkategorien und -mengen, die wahrscheinlichen Folgen sowie die ergriffenen oder vorgeschlagenen Gegenmaßnahmen, damit der Verantwortliche seinen Pflichten nach Art. 33 und 34 DSGVO nachkommen kann.

8. Unterauftragsverarbeiter

Der Verantwortliche erteilt die allgemeine Genehmigung zum Einsatz folgender Unterauftragsverarbeiter:

• Hetzner Online GmbH, Deutschland – Bereitstellung der Server-Infrastruktur (Serverstandort Deutschland).
• Amazon Web Services EMEA SARL, Region Frankfurt (EU) – KI-gestützte Erkennung von Positionen aus hochgeladenen Belegen über Amazon Bedrock (nur bei Nutzung der Belegerkennung; Verarbeitung innerhalb der EU).
• Stripe (Stripe Payments Europe, Ltd. / Stripe, Inc., USA) – Abwicklung von Zahlungen (nur bei kostenpflichtigen Tarifen).

Immosy verpflichtet jeden Unterauftragsverarbeiter auf im Wesentlichen gleiche Datenschutzpflichten, wie sie in diesem Vertrag festgelegt sind (Art. 28 Abs. 4 DSGVO), und bleibt gegenüber dem Verantwortlichen für deren Einhaltung verantwortlich. Über beabsichtigte Änderungen bei Unterauftragsverarbeitern informiert Immosy den Verantwortlichen vorab und räumt ein Widerspruchsrecht ein.

9. Nachweise und Kontrollrechte

Immosy stellt dem Verantwortlichen alle erforderlichen Informationen zum Nachweis der Einhaltung der Pflichten aus Art. 28 DSGVO zur Verfügung und ermöglicht Überprüfungen – einschließlich Inspektionen –, die vom Verantwortlichen oder einem von diesem beauftragten Prüfer durchgeführt werden. Nachweise können auch durch aktuelle Bestätigungen, Berichte oder Zertifikate erbracht werden. Prüfungen werden mit angemessener Vorlaufzeit und unter Wahrung der Betriebsabläufe durchgeführt.

10. Technische und organisatorische Maßnahmen (TOM)

Immosy setzt die in Anlage 1 beschriebenen technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO um und hält diese während der Vertragslaufzeit auf einem dem Stand der Technik entsprechenden Niveau. Eine ergänzende Übersicht findest du auf der Sicherheitsseite.

11. Rückgabe und Löschung

Nach Beendigung der Verarbeitung löscht Immosy nach Wahl des Verantwortlichen sämtliche personenbezogenen Daten oder gibt sie zurück, sofern nicht nach Unionsrecht oder dem Recht der Mitgliedstaaten eine Verpflichtung zur Speicherung besteht. Die Daten stehen dem Verantwortlichen nach Vertragsende für einen angemessenen Zeitraum zum Export bereit. Auf Verlangen weist Immosy die Löschung nach.

12. Haftung

Für die Haftung gegenüber betroffenen Personen und im Verhältnis der Parteien gilt Art. 82 DSGVO. Im Innenverhältnis trägt jede Partei die Verantwortung für die ihr obliegenden Pflichten.

13. Verzeichnis der Verarbeitungstätigkeiten

Immosy führt ein Verzeichnis aller Kategorien von im Auftrag des Verantwortlichen durchgeführten Verarbeitungstätigkeiten nach Art. 30 Abs. 2 DSGVO.

14. Schlussbestimmungen und Abschluss

Änderungen und Ergänzungen dieses Vertrags bedürfen der Textform. Im Falle von Widersprüchen gehen die Regelungen dieses AVV den Regelungen des Nutzungsvertrags in Bezug auf den Datenschutz vor. Dieser Vertrag kann in Textform oder elektronisch geschlossen werden (Art. 28 Abs. 9 DSGVO); er wird mit Datum und Version dokumentiert.

Anlage 1 – Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

Vertraulichkeit

• Zutrittskontrolle: Serverbetrieb in einem zertifizierten Rechenzentrum in Deutschland (Hetzner) mit physischen Zutrittsbeschränkungen.
• Zugangskontrolle: Zugang zur Anwendung nur nach Anmeldung; Passwörter werden ausschließlich als bcrypt-Hash gespeichert.
• Zugriffskontrolle: Datentrennung auf Kontoebene; jeder Nutzer sieht ausschließlich die Daten seines eigenen Kontos.
• Verschlüsselung: Übertragung ausschließlich per TLS; sensible Zugangsdaten (z. B. SMTP-Passwörter) werden mit AES-256-GCM verschlüsselt gespeichert.

Integrität

• Weitergabekontrolle: Datenübermittlung an Dritte nur an die genannten Unterauftragsverarbeiter und nur im erforderlichen Umfang.
• Eingabekontrolle: Nachvollziehbarkeit wesentlicher Änderungen; eine Rückgängig-Funktion für den jeweils letzten Bearbeitungsschritt.

Verfügbarkeit und Belastbarkeit

• Verfügbarkeitskontrolle: Betrieb auf Infrastruktur mit regelmäßigen Sicherungen; Schutz gegen typische Ausfallrisiken.
• Wiederherstellbarkeit: Verfahren zur Wiederherstellung der Verfügbarkeit der Daten nach einem Zwischenfall.

Verfahren zur regelmäßigen Überprüfung, Bewertung und Evaluierung

• Datenschutz durch Technikgestaltung und datenschutzfreundliche Voreinstellungen (Art. 25 DSGVO); Datensparsamkeit; kein Einsatz von Tracking/Analyse-Diensten.
• Auftragskontrolle: Einsatz von Unterauftragsverarbeitern nur mit entsprechender vertraglicher Verpflichtung.

Anlage 2 – Drittlandübermittlung

Die Bereitstellung (Hetzner) und die KI-Belegerkennung (Amazon Bedrock, Region Frankfurt) erfolgen innerhalb der EU; insoweit findet keine Drittlandübermittlung statt.

Soweit im Rahmen der Zahlungsabwicklung durch Stripe Daten außerhalb der EU/des EWR (USA) verarbeitet werden, erfolgt dies auf Grundlage geeigneter Garantien – insbesondere eines Angemessenheitsbeschlusses (EU-US Data Privacy Framework, soweit der Anbieter zertifiziert ist) und/oder der EU-Standardvertragsklauseln nebst erforderlicher ergänzender Schutzmaßnahmen.

AVV abschließen

Du benötigst einen unterzeichneten AVV? Schreib uns über die Kontaktseite – wir stellen dir das aktuelle Dokument bereit.