Vertrag über die Auftragsverarbeitung nach Art. 28 DSGVO

§ 1 Gegenstand und Dauer

(1) Gegenstand dieses Vertrages ist die Verarbeitung personenbezogener Daten durch den Auftragsverarbeiter im Rahmen der Bereitstellung der Softwareplattform Imovara nach dem zwischen den Parteien bestehenden Nutzungsvertrag einschließlich der AGB (nachfolgend „Hauptvertrag“).

(2) Dieser Vertrag gilt für die Dauer des Hauptvertrages und darüber hinaus, solange der Auftragsverarbeiter personenbezogene Daten des Verantwortlichen verarbeitet.

(3) Für die Konten von Mieter-Nutzern (Registrierung, Anmeldung, Sicherheit, Support) sowie für Daten, die der Auftragsverarbeiter zur Abwicklung des Hauptvertrages, zur Abrechnung und zur Gewährleistung der Sicherheit seiner Systeme verarbeitet, ist der Auftragsverarbeiter eigener Verantwortlicher; insoweit gilt dieser Vertrag nicht.

§ 2 Art, Zweck und Umfang der Verarbeitung

(1) Art der Verarbeitung: Erheben, Erfassen, Speichern, Ordnen, Anzeigen, Bearbeiten, Übermitteln an vom Verantwortlichen berechtigte Nutzer, Sichern, Wiederherstellen, Exportieren und Löschen von Daten.

(2) Zweck der Verarbeitung: Bereitstellung der Plattform zur digitalen Immobilien- und Mietverwaltung, einschließlich Kommunikation mit Mieter-Nutzern, Dokumentenablage, Benachrichtigungen, Support und Fehlerbehebung.

(3) Kategorien betroffener Personen: Mieter und Mietinteressenten, Eigentümer, Mitarbeiter und Beauftragte des Verantwortlichen, Dienstleister und Handwerker, sonstige Ansprechpartner und Beteiligte eines Miet- oder Verwaltungsverhältnisses.

(4) Kategorien personenbezogener Daten: Stamm- und Kontaktdaten, Vertrags- und Mietverhältnisdaten, Objektdaten, Zahlungs- und Bankdaten, Kommunikationsinhalte, Dokumente, Fotos und Videos, sowie – soweit vom Verantwortlichen eingestellt – Ausweisdaten und Bonitätsunterlagen.

(5) Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO) sind für die Nutzung nicht erforderlich. Stellt der Verantwortliche solche Daten ein, ist er allein für die Rechtmäßigkeit verantwortlich.

(6) Die Verarbeitung erfolgt in der Europäischen Union. Eine Verarbeitung in Drittländern erfolgt nur durch die in Anlage 2 genannten Unterauftragsverarbeiter und nur unter den Voraussetzungen der Art. 44 ff. DSGVO.

§ 3 Weisungen

(1) Der Auftragsverarbeiter verarbeitet die Daten nur auf dokumentierte Weisung des Verantwortlichen, es sei denn, er ist durch Unionsrecht oder deutsches Recht hierzu verpflichtet; in diesem Fall teilt er dem Verantwortlichen diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht dies nicht verbietet.

(2) Die Weisungen sind abschließend durch den Hauptvertrag, diesen Vertrag und die Einstellungen und Funktionen der Plattform festgelegt, die der Verantwortliche nutzt. Weitere Weisungen erteilt der Verantwortliche in Textform.

(3) Der Auftragsverarbeiter informiert den Verantwortlichen unverzüglich, wenn er der Auffassung ist, dass eine Weisung gegen Datenschutzvorschriften verstößt. Er darf die Ausführung der Weisung aussetzen, bis sie bestätigt oder geändert wird.

§ 4 Vertraulichkeit

Der Auftragsverarbeiter gewährleistet, dass sich alle zur Verarbeitung befugten Personen zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen. Zugriff auf Daten des Verantwortlichen erfolgt nur, soweit dies zur Erbringung der Leistungen, für den Support auf Anforderung des Verantwortlichen oder zur Behebung von Störungen erforderlich ist.

§ 5 Technische und organisatorische Maßnahmen

(1) Der Auftragsverarbeiter trifft die in Anlage 1 beschriebenen Maßnahmen nach Art. 32 DSGVO.

(2) Die Maßnahmen unterliegen dem technischen Fortschritt. Der Auftragsverarbeiter darf sie durch gleichwertige oder bessere Maßnahmen ersetzen; das Schutzniveau darf nicht unterschritten werden. Wesentliche Änderungen werden dokumentiert und in Anlage 1 veröffentlicht.

§ 6 Unterauftragsverarbeiter

(1) Der Verantwortliche erteilt die allgemeine Genehmigung zum Einsatz von Unterauftragsverarbeitern. Die bei Vertragsschluss eingesetzten Unterauftragsverarbeiter ergeben sich aus Anlage 2 und gelten als genehmigt.

(2) Der Auftragsverarbeiter informiert den Verantwortlichen mindestens 30 Tage vor dem Einsatz eines neuen oder dem Austausch eines bestehenden Unterauftragsverarbeiters per E-Mail und durch Aktualisierung von Anlage 2. Der Verantwortliche kann der Änderung innerhalb dieser Frist aus wichtigem datenschutzrechtlichem Grund in Textform widersprechen. Können sich die Parteien nicht einigen, kann der Verantwortliche den Hauptvertrag zum Zeitpunkt des Einsatzes des neuen Unterauftragsverarbeiters außerordentlich kündigen; für den nicht mehr genutzten Zeitraum bereits gezahlte Entgelte werden anteilig erstattet.

(3) In dringenden Fällen, insbesondere bei Ausfall oder Sicherheitsvorfällen bei einem Unterauftragsverarbeiter, kann die Frist verkürzt werden; der Verantwortliche wird unverzüglich informiert.

(4) Der Auftragsverarbeiter erlegt jedem Unterauftragsverarbeiter vertraglich Datenschutzpflichten auf, die den in diesem Vertrag festgelegten im Wesentlichen entsprechen. Er haftet gegenüber dem Verantwortlichen für die Einhaltung dieser Pflichten durch den Unterauftragsverarbeiter.

(5) Nicht als Unterauftragsverhältnisse gelten Nebenleistungen wie Telekommunikationsdienste oder Post- und Transportdienste, die keinen Zugriff auf die Daten beinhalten.

§ 7 Unterstützung des Verantwortlichen

(1) Der Auftragsverarbeiter unterstützt den Verantwortlichen mit geeigneten technischen und organisatorischen Maßnahmen bei der Beantwortung von Anträgen betroffener Personen (Art. 12 bis 22 DSGVO), insbesondere durch Funktionen zur Auskunft, Berichtigung, Löschung und zum Export. Wendet sich eine betroffene Person unmittelbar an den Auftragsverarbeiter, leitet er das Anliegen unverzüglich an den Verantwortlichen weiter und antwortet nicht selbst in der Sache, soweit nicht anders vereinbart.

(2) Der Auftragsverarbeiter unterstützt den Verantwortlichen unter Berücksichtigung der Art der Verarbeitung und der ihm verfügbaren Informationen bei der Einhaltung der Pflichten aus Art. 32 bis 36 DSGVO (Sicherheit, Meldung von Verletzungen, Datenschutz-Folgenabschätzung, vorherige Konsultation).

§ 8 Verletzungen des Schutzes personenbezogener Daten

Der Auftragsverarbeiter meldet dem Verantwortlichen eine Verletzung des Schutzes personenbezogener Daten unverzüglich, möglichst innerhalb von 24 Stunden nach Bekanntwerden, per E-Mail an die im Konto hinterlegte Adresse. Die Meldung enthält, soweit bekannt, die Informationen nach Art. 33 Abs. 3 DSGVO; fehlende Informationen werden unverzüglich nachgereicht. Der Auftragsverarbeiter ergreift unverzüglich Maßnahmen zur Eindämmung und Behebung.

§ 9 Löschung und Rückgabe

(1) Der Verantwortliche kann seine Daten während der Vertragslaufzeit jederzeit über die Exportfunktion abrufen.

(2) Nach Ende des Hauptvertrages hat der Verantwortliche 30 Tage lang lesenden Zugriff zum Export. Danach löscht der Auftragsverarbeiter alle personenbezogenen Daten des Verantwortlichen, sofern nicht nach Unionsrecht oder deutschem Recht eine Verpflichtung zur Speicherung besteht. Aus Datensicherungen werden die Daten turnusmäßig, spätestens nach 30 Tagen, entfernt. Auf Verlangen bestätigt der Auftragsverarbeiter die Löschung in Textform.

§ 10 Nachweise und Kontrollen

(1) Der Auftragsverarbeiter stellt dem Verantwortlichen alle erforderlichen Informationen zum Nachweis der Einhaltung der Pflichten aus Art. 28 DSGVO zur Verfügung, insbesondere diesen Vertrag, Anlage 1 und Anlage 2 sowie auf Anfrage weitere Dokumentationen und Selbstauskünfte.

(2) Reichen diese Nachweise im Einzelfall nicht aus, ermöglicht der Auftragsverarbeiter Überprüfungen einschließlich Inspektionen durch den Verantwortlichen oder einen von diesem beauftragten, zur Verschwiegenheit verpflichteten Prüfer, der kein Wettbewerber des Auftragsverarbeiters ist. Inspektionen sind mit einer Frist von mindestens 14 Tagen anzukündigen, während der üblichen Geschäftszeiten durchzuführen und dürfen den Betrieb nicht unverhältnismäßig stören. Rechenzentren der Unterauftragsverarbeiter werden über deren Zertifizierungen und Prüfberichte nachgewiesen.

(3) Der Auftragsverarbeiter kann für Inspektionen, die über eine pro Kalenderjahr hinausgehen und nicht durch einen konkreten Verstoß veranlasst sind, eine angemessene Vergütung seines Aufwands verlangen.

§ 11 Haftung

Für die Haftung gilt Art. 82 DSGVO. Im Übrigen gelten die Haftungsregelungen des Hauptvertrages.

§ 12 Schlussbestimmungen

(1) Dieser Vertrag wird elektronisch geschlossen (Art. 28 Abs. 9 DSGVO). Änderungen bedürfen der Textform.

(2) Bei Widersprüchen geht dieser Vertrag den Regelungen des Hauptvertrages vor, soweit es um den Schutz personenbezogener Daten geht.

(3) Sind einzelne Bestimmungen unwirksam, bleibt der Vertrag im Übrigen wirksam.

(4) Es gilt deutsches Recht. Gerichtsstand ist, soweit zulässig, Syke.