Vertrag zur Auftragsverarbeitung (AVV)

Dieser Vertrag kommt durch beidseitige Annahme zustande: Mit der Registrierung stimmst du ihm zu, immosy nimmt ihn mit der Bereitstellung des Kontos an. Eine gesonderte Unterschrift ist nicht erforderlich.

Parteien:Verantwortlicher ist der Nutzer (im Folgenden „Verantwortlicher“). Auftragsverarbeiter ist Dominique d'Avis, Vor den Höfen 23, 40668 Meerbusch (im Folgenden „immosy“ oder „Auftragsverarbeiter“).

1. Gegenstand und Dauer

Gegenstand ist die Verarbeitung personenbezogener Daten durch immosy im Auftrag des Verantwortlichen im Rahmen der Nutzung der Software zur Erstellung von Nebenkostenabrechnungen. Die Dauer entspricht der Laufzeit des Nutzungsvertrags. Der Vertrag endet automatisch mit Beendigung des Nutzungsvertrags.

2. Art, Umfang und Zweck der Verarbeitung

immosy verarbeitet die vom Verantwortlichen eingegebenen Daten ausschließlich zur Bereitstellung der vertraglich vereinbarten Leistungen – insbesondere Speicherung, Berechnung und Erstellung von Abrechnungen sowie deren Bereitstellung und optionaler Versand.

3. Art der Daten und Kategorien betroffener Personen

• Datenarten: Stammdaten (Name, Anschrift der Immobilie), Kontaktdaten (E-Mail), Vertrags- und Abrechnungsdaten, Zahlungs-/Verbrauchsdaten.
• Betroffene Personen: Mieterinnen und Mieter des Verantwortlichen.

4. Ort der Verarbeitung

Die Verarbeitung findet innerhalb der Europäischen Union statt; Betrieb, Datenbank und E-Mail-Versand laufen in Rechenzentren in Irland. Eine Verarbeitung in Drittländern erfolgt nur durch die in Ziffer 8 genannten Unterauftragsverarbeiter und nur unter den dort genannten Voraussetzungen.

5. Weisungsrecht des Verantwortlichen

immosy verarbeitet die Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen. Die Nutzung der Software durch den Verantwortlichen gilt als solche Weisung; darüber hinausgehende Weisungen erfolgen in Textform. Ist immosy der Auffassung, dass eine Weisung gegen die DSGVO oder andere Datenschutzbestimmungen verstößt, informiert immosy den Verantwortlichen unverzüglich (Art. 28 Abs. 3 Satz 3 DSGVO).

6. Pflichten des Auftragsverarbeiters

• Verarbeitung ausschließlich auf dokumentierte Weisung des Verantwortlichen.
• Verpflichtung der zur Verarbeitung befugten Personen auf Vertraulichkeit.
• Umsetzung geeigneter technischer und organisatorischer Maßnahmen nach Art. 32 DSGVO (siehe Anlage 1).
• Unterstützung des Verantwortlichen bei der Beantwortung von Anträgen betroffener Personen (Art. 12–23 DSGVO) mit geeigneten technischen und organisatorischen Maßnahmen.
• Unterstützung des Verantwortlichen bei der Einhaltung der Pflichten aus Art. 32–36 DSGVO (Sicherheit, Meldung von Verletzungen, Datenschutz-Folgenabschätzung).
• Löschung oder Rückgabe der Daten nach Abschluss der Verarbeitung nach Wahl des Verantwortlichen (siehe Ziffer 11).
• Bereitstellung aller erforderlichen Informationen zum Nachweis der Einhaltung der Pflichten (siehe Ziffer 9).

7. Meldung von Verletzungen des Schutzes personenbezogener Daten

immosy meldet dem Verantwortlichen jede Verletzung des Schutzes personenbezogener Daten unverzüglich nach Bekanntwerden. Die Meldung enthält, soweit möglich, eine Beschreibung der Art der Verletzung, die betroffenen Datenkategorien und -mengen, die wahrscheinlichen Folgen sowie die ergriffenen oder vorgeschlagenen Gegenmaßnahmen, damit der Verantwortliche seinen Pflichten nach Art. 33 und 34 DSGVO nachkommen kann.

8. Unterauftragsverarbeiter

Der Verantwortliche erteilt die allgemeine Genehmigung zum Einsatz folgender Unterauftragsverarbeiter:

• Vercel Inc., USA – Betrieb der Anwendung, Ausführung in der Region Dublin (Irland).
• Turso, USA – Betrieb der Datenbank in der Region Irland (AWS eu-west-1).
• Plus Five Five, Inc. (Resend), USA – Versand der System-E-Mails über Server in Irland.
• Anthropic PBC, USA – KI-gestützte Erkennung von Positionen aus hochgeladenen Belegen (nur bei Nutzung der Belegerkennung).
• Stripe (Stripe Payments Europe, Ltd. / Stripe, Inc., USA) – Abwicklung von Zahlungen (nur bei kostenpflichtigen Tarifen).

immosy verpflichtet jeden Unterauftragsverarbeiter auf im Wesentlichen gleiche Datenschutzpflichten, wie sie in diesem Vertrag festgelegt sind (Art. 28 Abs. 4 DSGVO), und bleibt gegenüber dem Verantwortlichen für deren Einhaltung verantwortlich. Über beabsichtigte Änderungen bei Unterauftragsverarbeitern informiert immosy den Verantwortlichen vorab und räumt ein Widerspruchsrecht ein.

9. Nachweise und Kontrollrechte

immosy stellt dem Verantwortlichen alle erforderlichen Informationen zum Nachweis der Einhaltung der Pflichten aus Art. 28 DSGVO zur Verfügung und ermöglicht Überprüfungen – einschließlich Inspektionen –, die vom Verantwortlichen oder einem von diesem beauftragten Prüfer durchgeführt werden. Nachweise können auch durch aktuelle Bestätigungen, Berichte oder Zertifikate erbracht werden. Prüfungen werden mit angemessener Vorlaufzeit und unter Wahrung der Betriebsabläufe durchgeführt.

10. Technische und organisatorische Maßnahmen (TOM)

immosy setzt die in Anlage 1 beschriebenen technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO um und hält diese während der Vertragslaufzeit auf einem dem Stand der Technik entsprechenden Niveau. Eine ergänzende Übersicht findest du auf der Sicherheitsseite.

11. Rückgabe und Löschung

Nach Beendigung der Verarbeitung löscht immosy nach Wahl des Verantwortlichen sämtliche personenbezogenen Daten oder gibt sie zurück, sofern nicht nach Unionsrecht oder dem Recht der Mitgliedstaaten eine Verpflichtung zur Speicherung besteht. Die Daten stehen dem Verantwortlichen nach Vertragsende für einen angemessenen Zeitraum zum Export bereit. Auf Verlangen weist immosy die Löschung nach.

12. Haftung

Für die Haftung gegenüber betroffenen Personen und im Verhältnis der Parteien gilt Art. 82 DSGVO. Im Innenverhältnis trägt jede Partei die Verantwortung für die ihr obliegenden Pflichten.

13. Verzeichnis der Verarbeitungstätigkeiten

immosy führt ein Verzeichnis aller Kategorien von im Auftrag des Verantwortlichen durchgeführten Verarbeitungstätigkeiten nach Art. 30 Abs. 2 DSGVO.

14. Schlussbestimmungen und Abschluss

Änderungen und Ergänzungen dieses Vertrags bedürfen der Textform. Im Falle von Widersprüchen gehen die Regelungen dieses AVV den Regelungen des Nutzungsvertrags in Bezug auf den Datenschutz vor. Dieser Vertrag kann in Textform oder elektronisch geschlossen werden (Art. 28 Abs. 9 DSGVO); er wird mit Datum und Version dokumentiert.

Anlage 1 – Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

Vertraulichkeit

• Zutrittskontrolle: Serverbetrieb ausschließlich in zertifizierten Rechenzentren innerhalb der EU (Irland) mit physischen Zutrittsbeschränkungen; eigene Hardware wird nicht betrieben.
• Zugangskontrolle: Zugang zur Anwendung nur nach Anmeldung; Passwörter werden ausschließlich als bcrypt-Hash gespeichert.
• Zugriffskontrolle: Datentrennung auf Kontoebene; jeder Nutzer sieht ausschließlich die Daten seines eigenen Kontos.
• Zugriff des Auftragsverarbeiters: Ein Zugriff auf Kontoinhalte findet nur statt, soweit er zur Störungsbeseitigung oder zur Bearbeitung einer Support-Anfrage erforderlich ist. Dieser Zugang ist mit einem eigenen Passwort und, wo vom Anbieter unterstützt, mit Zwei-Faktor-Authentifizierung gesichert und wird nicht geteilt.
• Verschlüsselung: Übertragung ausschließlich per TLS; sensible Zugangsdaten (z. B. SMTP-Passwörter) werden mit AES-256-GCM verschlüsselt gespeichert.

Integrität

• Weitergabekontrolle: Datenübermittlung an Dritte nur an die genannten Unterauftragsverarbeiter und nur im erforderlichen Umfang.
• Eingabekontrolle: Nachvollziehbarkeit wesentlicher Änderungen; eine Rückgängig-Funktion für den jeweils letzten Bearbeitungsschritt.

Verfügbarkeit und Belastbarkeit

• Verfügbarkeitskontrolle: Betrieb auf Infrastruktur mit regelmäßigen Sicherungen; Schutz gegen typische Ausfallrisiken.
• Wiederherstellbarkeit: Verfahren zur Wiederherstellung der Verfügbarkeit der Daten nach einem Zwischenfall.

Verfahren zur regelmäßigen Überprüfung, Bewertung und Evaluierung

• Datenschutz durch Technikgestaltung und datenschutzfreundliche Voreinstellungen (Art. 25 DSGVO); Datensparsamkeit; kein Einsatz von Tracking/Analyse-Diensten.
• Auftragskontrolle: Einsatz von Unterauftragsverarbeitern nur mit entsprechender vertraglicher Verpflichtung.

Anlage 2 – Drittlandübermittlung

Betrieb, Datenbank und E-Mail-Versand finden innerhalb der EU statt (Irland). Die beteiligten Unternehmen Vercel, Turso und Resend haben ihren Sitz jedoch in den USA, sodass ein Zugriff aus einem Drittland nicht ausgeschlossen ist. Grundlage sind insoweit die EU-Standardvertragsklauseln (Art. 46 DSGVO).

Die KI-Belegerkennung wird über Anthropic PBC in den USA verarbeitet; dies erfolgt auf Grundlage der EU-Standardvertragsklauseln (Art. 46 DSGVO) nebst erforderlicher ergänzender Schutzmaßnahmen und nur bei aktiver Nutzung der Belegerkennung.

Soweit im Rahmen der Zahlungsabwicklung durch Stripe Daten außerhalb der EU/des EWR (USA) verarbeitet werden, erfolgt dies auf Grundlage geeigneter Garantien – insbesondere eines Angemessenheitsbeschlusses (EU-US Data Privacy Framework, soweit der Anbieter zertifiziert ist) und/oder der EU-Standardvertragsklauseln nebst erforderlicher ergänzender Schutzmaßnahmen.

AVV abschließen

Du benötigst einen unterzeichneten AVV? Schreib uns über die Kontaktseite – wir stellen dir das aktuelle Dokument bereit.