Vertrag über die Auftragsverarbeitung (AVV)

(1) Der Auftragnehmer stellt dem Auftraggeber die Software-as-a-Service-Lösung imwoco bereit. Gegenstand dieses Vertrags ist die damit verbundene Verarbeitung personenbezogener Daten, die der Auftraggeber in der Software speichert oder über deren öffentliche Formulare (z. B. Selbstauskünfte, Besichtigungsbuchungen) erhebt.

(2) Die Dauer der Verarbeitung entspricht der Laufzeit des Nutzungsvertrags.

Hosting, Speicherung, Bereitstellung, Anzeige, Übermittlung (z. B. E-Mail-Versand im Auftrag), Sicherung und Löschung personenbezogener Daten zum Zweck der Immobilienverwaltung und -vermarktung durch den Auftraggeber, einschließlich Dokumentenerzeugung (Exposés, Verträge, Protokolle) und Terminverwaltung.

• Eigentümer, Mieter und ehemalige Mieter
• Miet- und Kaufinteressenten, Bewerber, Suchkunden
• Bürgen und weitere Vertragsbeteiligte
• Mitarbeitende und Ansprechpartner des Auftraggebers
• Sonstige Kontakte des Auftraggebers (z. B. Notare, Handwerker, Behörden)

• Stamm- und Kontaktdaten (Name, Anschrift, E-Mail, Telefon)
• Vertrags- und Vorgangsdaten (Miet-/Kaufverhältnisse, Termine, Dokumente)
• Angaben aus Selbstauskünften (Haushalts-, Berufs- und Einkommensangaben, Bonitätsangaben, hochgeladene Nachweise)
• Zahlungs- und Abrechnungsdaten (z. B. Bankverbindung, Zählerstände)
• Kommunikationsdaten (E-Mails, Nachrichten) und digitale Unterschriften
• Foto-/Bilddaten (Objekt- und Schadensfotos)
• Technische Nutzungsdaten (IP-Adressen, Logdaten)

(1) Der Auftragnehmer verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Auftraggebers — sofern er nicht durch das Recht der Union oder der Mitgliedstaaten zur Verarbeitung verpflichtet ist; in einem solchen Fall teilt der Auftragnehmer dem Auftraggeber diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht eine solche Mitteilung nicht wegen eines wichtigen öffentlichen Interesses verbietet.

(2) Die Nutzung der Funktionen der Software durch den Auftraggeber gilt als Weisung. Weitergehende Weisungen bedürfen der Textform.

(3) Der Auftragnehmer informiert den Auftraggeber unverzüglich, wenn er der Auffassung ist, dass eine Weisung gegen die DSGVO oder andere Datenschutzbestimmungen verstößt. Er ist berechtigt, die Ausführung der betreffenden Weisung bis zu ihrer Bestätigung auszusetzen.

Der Auftragnehmer setzt für die Verarbeitung nur Personen ein, die zur Vertraulichkeit verpflichtet wurden oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen (Art. 28 Abs. 3 lit. b DSGVO).

(1) Der Auftragnehmer trifft die in der Anlage 1 (unten) beschriebenen technischen und organisatorischen Maßnahmen und entwickelt sie entsprechend dem Stand der Technik fort. Ein Absenken unter das vereinbarte Schutzniveau ist unzulässig.

(2) Wesentliche Änderungen dokumentiert der Auftragnehmer und stellt sie dem Auftraggeber auf Anfrage zur Verfügung.

(1) Der Auftraggeber erteilt die allgemeine Genehmigung (Art. 28 Abs. 2 DSGVO) zum Einsatz der in der Anlage 2 (unten) aufgeführten Unterauftragsverarbeiter.

(2) Der Auftragnehmer informiert den Auftraggeber in Textform über beabsichtigte Änderungen (Hinzuziehung oder Ersetzung). Der Auftraggeber kann innerhalb von 30 Tagen aus wichtigem datenschutzrechtlichen Grund Einspruch erheben; führt der Einspruch zu keiner einvernehmlichen Lösung, steht beiden Parteien ein Sonderkündigungsrecht zu.

(3) Der Auftragnehmer verpflichtet Unterauftragsverarbeiter durch Vertrag mindestens auf das Datenschutzniveau dieses Vertrags. Bei Übermittlungen in Drittländer stellt er geeignete Garantien nach Kapitel V DSGVO sicher (EU-US Data Privacy Framework, EU-Standardvertragsklauseln).

(1) Der Auftragnehmer unterstützt den Auftraggeber mit geeigneten technischen und organisatorischen Maßnahmen bei der Erfüllung der Betroffenenrechte (Art. 12–23 DSGVO), insbesondere durch die in der Software vorhandenen Auskunfts-, Export-, Berichtigungs- und Löschfunktionen.

(2) Er unterstützt den Auftraggeber ferner — unter Berücksichtigung der Art der Verarbeitung und der ihm zur Verfügung stehenden Informationen — bei der Einhaltung der Pflichten aus Art. 32–36 DSGVO (Sicherheit der Verarbeitung, Meldung von Verletzungen, Datenschutz-Folgenabschätzung, vorherige Konsultation).

Der Auftragnehmer meldet dem Auftraggeber Verletzungen des Schutzes personenbezogener Daten, die die Daten des Auftraggebers betreffen, unverzüglich nach Bekanntwerden (Art. 33 Abs. 2 DSGVO). Die Meldung enthält — soweit verfügbar — die Angaben nach Art. 33 Abs. 3 DSGVO.

(1) Der Auftragnehmer stellt dem Auftraggeber alle erforderlichen Informationen zum Nachweis der Einhaltung der Pflichten aus Art. 28 DSGVO zur Verfügung — etwa durch Selbstauskünfte, Dokumentation der Maßnahmen nach Anlage 1 oder Prüfberichte/Zertifizierungen der Unterauftragsverarbeiter.

(2) Der Auftraggeber ist berechtigt, Überprüfungen — einschließlich Inspektionen — durchzuführen oder durch einen zur Verschwiegenheit verpflichteten Prüfer durchführen zu lassen. Kontrollen vor Ort erfolgen nach vorheriger Ankündigung mit angemessener Frist, zu üblichen Geschäftszeiten, ohne den Betrieb wesentlich zu stören.

(1) Nach Beendigung des Nutzungsvertrags stellt der Auftragnehmer dem Auftraggeber auf Anforderung innerhalb von 30 Tagen einen Export der gespeicherten Daten in einem gängigen, maschinenlesbaren Format bereit.

(2) Anschließend — spätestens 90 Tage nach Vertragsende — löscht der Auftragnehmer sämtliche personenbezogenen Daten des Auftraggebers einschließlich der Datenbank und der gespeicherten Dateien, sofern nicht gesetzliche Aufbewahrungspflichten eine weitere Speicherung erfordern. Backups rotieren automatisch aus und werden spätestens nach weiteren 30 Tagen überschrieben bzw. gelöscht.

(1) Für die Haftung gilt Art. 82 DSGVO; im Innenverhältnis gelten die Haftungsregelungen des Nutzungsvertrags (AGB § 10).

(2) Es gilt deutsches Recht. Bei Widersprüchen zwischen diesem AVV und dem Nutzungsvertrag gehen hinsichtlich des Datenschutzes die Regelungen dieses AVV vor.

(3) Sollten einzelne Bestimmungen unwirksam sein, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt.