Vertrag zur Auftragsverarbeitung

Präambel

Dieser Vertrag konkretisiert die datenschutzrechtlichen Pflichten der Parteien, die sich aus der Nutzung von immobreeze ergeben. Er gilt für alle Verarbeitungen personenbezogener Daten, die der Anbieter im Auftrag des Kunden durchführt.

Verantwortlicher (Auftraggeber): der Kunde, der immobreeze nutzt und darin personenbezogene Daten Dritter verarbeitet.
Auftragsverarbeiter (Auftragnehmer): Marcus Goertz, immobreeze, Im Kirchfeld 9, 82433 Bad Kohlgrub, Deutschland.

Dieser Vertrag wird mit Abschluss des Nutzungsvertrags Bestandteil der vertraglichen Vereinbarung. Auf Wunsch stellt der Anbieter ihn zusätzlich als unterzeichnetes Dokument in Textform zur Verfügung.

1. Gegenstand und Dauer

Gegenstand der Verarbeitung ist die Bereitstellung und der Betrieb der Anwendung immobreeze zur Verwaltung von Immobilien, Mietverhältnissen, Zahlungen und Dokumenten.

Die Dauer dieses Vertrags entspricht der Laufzeit des Nutzungsvertrags. Er endet automatisch mit dessen Beendigung, wobei die Pflichten aus Ziffer 10 fortbestehen.

2. Art und Zweck der Verarbeitung

Die Verarbeitung umfasst das Erheben, Speichern, Ordnen, Auslesen, Verändern, Verwenden, Übermitteln, Einschränken und Löschen personenbezogener Daten, soweit dies zur Bereitstellung der vertraglich vereinbarten Leistungen erforderlich ist.

Zweck ist ausschließlich die Erbringung der im Nutzungsvertrag beschriebenen Leistungen. Eine Verarbeitung zu eigenen Zwecken des Auftragnehmers – insbesondere zu Werbe-, Analyse- oder Trainingszwecken – findet nicht statt.

3. Art der Daten und Kategorien betroffener Personen

Kategorien betroffener Personen: Mieter und Mietinteressenten des Auftraggebers, Ansprechpartner von Dienstleistern und Handwerkern, Mitarbeiter des Auftraggebers mit eigenem Zugang.

Arten personenbezogener Daten: Stammdaten (Name, Anschrift, Geburtsdatum), Kontaktdaten (E-Mail, Telefon), Vertragsdaten (Mietverhältnis, Laufzeit, Miethöhe, Kaution), Zahlungs- und Abrechnungsdaten, Dokumente (Mietverträge, Übergabeprotokolle, Abrechnungen, Korrespondenz) sowie Nutzungs- und Protokolldaten der Anwendung.

Die Verarbeitung besonderer Kategorien personenbezogener Daten nach Art. 9 DSGVO ist nicht vorgesehen. Stellt der Auftraggeber solche Daten dennoch ein, ist er allein für die Zulässigkeit verantwortlich.

4. Weisungsrecht

Der Auftragnehmer verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Auftraggebers. Die Nutzung der Anwendung durch den Auftraggeber gilt als Weisung im Rahmen des vertraglich vereinbarten Funktionsumfangs. Weitergehende Weisungen bedürfen der Textform.

Der Auftragnehmer informiert den Auftraggeber unverzüglich, wenn er der Auffassung ist, dass eine Weisung gegen datenschutzrechtliche Vorschriften verstößt. Er ist berechtigt, die Ausführung einer solchen Weisung auszusetzen, bis sie bestätigt oder geändert wird.

Eine Übermittlung in ein Drittland erfolgt nur auf Weisung des Auftraggebers oder wenn der Auftragnehmer hierzu rechtlich verpflichtet ist; in diesem Fall unterrichtet er den Auftraggeber vorab, sofern das Recht dies nicht verbietet.

5. Pflichten des Auftragnehmers

Der Auftragnehmer verpflichtet die zur Verarbeitung befugten Personen zur Vertraulichkeit, soweit diese nicht bereits einer gesetzlichen Verschwiegenheitspflicht unterliegen.

Er unterstützt den Auftraggeber im erforderlichen Umfang bei der Erfüllung von Betroffenenrechten nach Art. 12 bis 23 DSGVO sowie bei Datenschutz-Folgenabschätzungen und vorherigen Konsultationen nach Art. 35 und 36 DSGVO.

Wendet sich eine betroffene Person unmittelbar an den Auftragnehmer, leitet dieser die Anfrage unverzüglich an den Auftraggeber weiter und beantwortet sie nicht selbst.

Der Auftragnehmer stellt dem Auftraggeber alle Informationen zur Verfügung, die zum Nachweis der Einhaltung der Pflichten aus Art. 28 DSGVO erforderlich sind. Er führt ein Verzeichnis aller Verarbeitungstätigkeiten nach Art. 30 Abs. 2 DSGVO.

6. Technische und organisatorische Maßnahmen

Der Auftragnehmer trifft die nach Art. 32 DSGVO erforderlichen technischen und organisatorischen Maßnahmen, insbesondere:

Vertraulichkeit: Zugangskontrolle zum Rechenzentrum durch den Hosting-Dienstleister; Zugriff auf die Anwendung ausschließlich über persönliche Benutzerkonten mit Passwort; rollenbasierte Rechtevergabe; Trennung der Daten verschiedener Auftraggeber (Mandantentrennung).

Integrität: verschlüsselte Übertragung sämtlicher Daten per TLS; Protokollierung sicherheitsrelevanter Ereignisse; Schutz vor unbefugter Veränderung durch Rechteprüfung auf Anwendungsebene.

Verfügbarkeit und Belastbarkeit: regelmäßige automatisierte Datensicherung; Wiederherstellungsverfahren; Betrieb in einem Rechenzentrum in Deutschland mit unterbrechungsfreier Stromversorgung und Brandschutz.

Überprüfung und Bewertung: regelmäßige Aktualisierung der eingesetzten Software; Überprüfung der Maßnahmen bei wesentlichen Änderungen, mindestens jedoch jährlich.

Der Auftragnehmer darf die Maßnahmen fortentwickeln, solange das vereinbarte Schutzniveau nicht unterschritten wird. Wesentliche Änderungen sind zu dokumentieren.

7. Unterauftragsverarbeiter

Der Auftraggeber erteilt dem Auftragnehmer die allgemeine Genehmigung, weitere Auftragsverarbeiter hinzuzuziehen. Der Auftragnehmer wählt diese sorgfältig aus und verpflichtet sie vertraglich auf ein Schutzniveau, das diesem Vertrag entspricht.

Derzeit eingesetzte Unterauftragsverarbeiter:

Hosting-Dienstleister:

ALL-INKL.COM - Neue Medien Münnich

Inhaber: René Münnich | Hauptstraße 68 | D-02742 Friedersdorf

Beabsichtigte Änderungen in Bezug auf die Hinzuziehung oder Ersetzung von Unterauftragsverarbeitern teilt der Auftragnehmer dem Auftraggeber mindestens vier Wochen vorher in Textform mit. Der Auftraggeber kann der Änderung innerhalb von zwei Wochen aus wichtigem datenschutzrechtlichem Grund widersprechen. Im Fall eines berechtigten Widerspruchs kann jede Partei den Vertrag kündigen.

Leistungen, die der Auftragnehmer als reine Nebenleistung in Anspruch nimmt – etwa Telekommunikations-, Reinigungs- oder Wartungsleistungen ohne Bezug zu den verarbeiteten Daten –, gelten nicht als Unterauftragsverarbeitung.

8. Kontrollrechte des Auftraggebers

Der Auftraggeber hat das Recht, die Einhaltung dieses Vertrags zu überprüfen. Der Auftragnehmer ermöglicht Überprüfungen und trägt zu ihnen bei.

Der Nachweis kann durch aktuelle Testate, Zertifikate oder Berichte einer unabhängigen Stelle oder durch eine Selbstauskunft des Auftragnehmers erbracht werden. Reicht dies im Einzelfall nicht aus, kann der Auftraggeber nach rechtzeitiger Ankündigung während der üblichen Geschäftszeiten eine Vor-Ort-Kontrolle durchführen; Betriebsabläufe dürfen dadurch nicht unverhältnismäßig gestört werden.

9. Meldung von Verletzungen des Schutzes personenbezogener Daten

Der Auftragnehmer meldet dem Auftraggeber jede Verletzung des Schutzes personenbezogener Daten unverzüglich nach Bekanntwerden, in der Regel innerhalb von 24 Stunden. Die Meldung enthält, soweit verfügbar, eine Beschreibung der Art der Verletzung, die Kategorien und die ungefähre Zahl der betroffenen Personen und Datensätze, die wahrscheinlichen Folgen sowie die ergriffenen oder vorgeschlagenen Gegenmaßnahmen.

Der Auftragnehmer unterstützt den Auftraggeber bei dessen Melde- und Benachrichtigungspflichten nach Art. 33 und 34 DSGVO.

10. Löschung und Rückgabe nach Vertragsende

Nach Beendigung des Nutzungsvertrags stellt der Auftragnehmer dem Auftraggeber die verarbeiteten Daten für 30 Tage in einem gängigen, maschinenlesbaren Format zum Export bereit.

Nach Ablauf dieser Frist löscht der Auftragnehmer die Daten einschließlich vorhandener Kopien, sofern nicht nach dem Unionsrecht oder dem Recht der Mitgliedstaaten eine Verpflichtung zur Speicherung besteht. Sicherungskopien werden im Rahmen des regulären Sicherungszyklus gelöscht.

Die Löschung wird auf Verlangen des Auftraggebers in Textform bestätigt.

11. Schlussbestimmungen

Bei Widersprüchen zwischen diesem Vertrag und dem Nutzungsvertrag gehen die Regelungen dieses Vertrags vor, soweit es um die Verarbeitung personenbezogener Daten geht.

Änderungen und Ergänzungen bedürfen der Textform. Sollte eine Bestimmung unwirksam sein oder werden, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt.

Es gilt deutsches Recht.