Vereinbarung zur Auftragsverarbeitung

§ 1 Parteien und Geltung

(1) Diese Vereinbarung gilt zwischen dem Kunden als Verantwortlichem (nachfolgend „Auftraggeber") und der immoflow GmbH, Große Straße 62, 49377 Vechta, als Auftragsverarbeiter (nachfolgend „Auftragnehmer").

(2) Sie ist Bestandteil des Nutzungsvertrags über die Software immoflow und wird mit dessen Abschluss auf Grundlage der AGB vereinbart. Sie liegt in elektronischer Form vor (Art. 28 Abs. 9 DSGVO). Auf Wunsch stellt der Auftragnehmer eine gegengezeichnete Fassung zur Verfügung.

(3) Bei Widersprüchen geht diese Vereinbarung in Fragen des Datenschutzes den AGB vor.

§ 2 Gegenstand, Dauer, Art und Zweck der Verarbeitung

(1) Der Auftragnehmer verarbeitet personenbezogene Daten im Auftrag des Auftraggebers ausschließlich, um ihm die Software immoflow zur Immobilienverwaltung bereitzustellen, einschließlich Speicherung, Anzeige, Auswertung, Versand von E-Mails und SMS, KI-gestütztem Auslesen von Dokumenten, Datensicherung, Support und Fehlerbehebung. Außerdem anonymisiert der Auftragnehmer die Daten nach Maßgabe von § 3a.

(2) Die Vereinbarung gilt für die Dauer des Nutzungsvertrags und darüber hinaus, solange der Auftragnehmer Daten des Auftraggebers verarbeitet.

(3) Betroffen sind insbesondere folgende Daten, soweit der Auftraggeber sie in der Software erfasst:

• Stamm- und Kontaktdaten (Name, Anschrift, E-Mail, Telefon),
• Vertragsdaten (Mietverträge, Mieten, Kautionen, Laufzeiten, Einheiten),
• Zahlungs- und Bankdaten (Kontoverbindungen, Zahlungseingänge, importierte Kontoumsätze),
• Abrechnungsdaten (Verbrauchswerte, Nebenkostenabrechnungen),
• Kommunikationsinhalte und Dokumente einschließlich der darin enthaltenen Angaben,
• Nutzungs- und Protokolldaten der Benutzer des Auftraggebers.

(4) Betroffene Personen sind insbesondere Mieter und Mietinteressenten, Eigentümer, Dienstleister und Handwerker, sonstige Kontakte sowie Mitarbeiter und Benutzer des Auftraggebers.

(5) Die Verarbeitung besonderer Kategorien personenbezogener Daten (Art. 9 DSGVO) ist nicht vorgesehen. Der Auftraggeber stellt sicher, dass er solche Daten nur erfasst, wenn dies rechtlich zulässig ist.

§ 3 Weisungen

(1) Der Auftragnehmer verarbeitet die Daten nur auf dokumentierte Weisung des Auftraggebers, es sei denn, er ist nach Unionsrecht oder dem Recht eines Mitgliedstaats zur Verarbeitung verpflichtet; in diesem Fall teilt er dem Auftraggeber diese Verpflichtung vor der Verarbeitung mit, sofern das betreffende Recht dies nicht verbietet.

(2) Die Weisungen sind abschließend in dieser Vereinbarung, im Nutzungsvertrag und in der Nutzung der Funktionen der Software durch den Auftraggeber festgelegt. Weitere Weisungen erteilt der Auftraggeber in Textform an info@immoflow.io.

(3) Ist der Auftragnehmer der Ansicht, dass eine Weisung gegen Datenschutzvorschriften verstößt, weist er den Auftraggeber unverzüglich darauf hin und kann die Ausführung bis zur Bestätigung oder Änderung aussetzen.

(4) Der Auftragnehmer nutzt die personenbezogenen Daten nicht für eigene Zwecke und nicht zum Training von KI-Modellen. Ausgenommen ist allein die Anonymisierung nach § 3a.

§ 3a Anonymisierung und Nutzung anonymisierter Daten

(1) Der Auftraggeber weist den Auftragnehmer an und erlaubt ihm, die im Auftrag verarbeiteten personenbezogenen Daten zu anonymisieren und die anonymisierten Daten für eigene Zwecke zu nutzen. Diese Weisung ist eine dokumentierte Weisung im Sinne von Art. 28 Abs. 3 lit. a DSGVO. Eigene Zwecke sind:

• Statistiken und Marktauswertungen, zum Beispiel durchschnittliche Mieten oder Nebenkosten je Region,
• Vergleichswerte (Benchmarks), die Kunden angezeigt werden,
• die Verbesserung und Weiterentwicklung der Software.

(2) Der Auftragnehmer anonymisiert so, dass betroffene Personen, der Auftraggeber und einzelne Objekte nicht mehr identifiziert werden können, auch nicht durch Verknüpfung mit anderen Informationen und unter Berücksichtigung aller Mittel, die nach allgemeinem Ermessen wahrscheinlich genutzt würden (Erwägungsgrund 26 DSGVO). Dafür gilt mindestens:

• Namen, Anschriften (Straße und Hausnummer), E-Mail-Adressen, Telefonnummern, Bankverbindungen, Kunden-, Vertrags- und Objektnummern sowie technische Kennungen werden entfernt,
• Freitexte, Notizen, Dokumente, Dateien und Kommunikationsinhalte werden nicht verwendet,
• Ortsangaben werden höchstens auf die ersten drei Ziffern der Postleitzahl oder eine größere Region gekürzt, Zeitangaben höchstens auf den Monat,
• ausgewiesen werden nur zusammengefasste Werte (z. B. Anzahl, Durchschnitt, Median, Spanne), keine Einzeldatensätze,
• jeder ausgewiesene Wert beruht auf Daten von mindestens zehn verschiedenen Kunden und mindestens zehn verschiedenen Objekten; wird diese Mindestgröße nicht erreicht, wird der Wert nicht ausgewiesen oder mit anderen Gruppen zusammengefasst,
• die Anonymisierung findet unter den technischen und organisatorischen Maßnahmen nach § 5 statt; Zwischenergebnisse, die noch einen Personenbezug haben, werden danach gelöscht,
• der Auftragnehmer unternimmt keine Versuche, anonymisierte Daten wieder einer Person, einem Kunden oder einem Objekt zuzuordnen, und überprüft das Verfahren regelmäßig und dokumentiert es.

(3) Anonymisierte Daten sind keine personenbezogenen Daten. Diese Vereinbarung gilt für sie nicht mehr; der Auftragnehmer darf sie auch nach Ende des Vertrags nutzen. Er darf zusammengefasste Statistiken veröffentlichen, an Dritte weitergeben und an Dritte verkaufen, also gegen Entgelt überlassen. Einzeldatensätze gibt er nicht weiter und verkauft sie nicht, auch nicht in pseudonymisierter Form. Anonymisierte Daten werden nicht zum Training von KI-Modellen genutzt.

(4) Der Auftragnehmer beschreibt das Verfahren in seiner Datenschutzerklärung (Abschnitt 17). Der Auftraggeber kann bei der Information seiner betroffenen Personen, etwa seiner Mieter, darauf verweisen.

§ 3b Einsicht durch den Support

(1) Der Auftragnehmer darf im Support auch personenbezogene Daten einsehen, die der Auftraggeber in der Software erfasst hat, einschließlich der Daten von Mietern. Das ist Teil der Auftragsverarbeitung. Der Zugriff erfolgt nur auf Anfrage des Auftraggebers oder eines Benutzers seines Kontos oder zu einem Ticket und nur, soweit er für die Bearbeitung erforderlich ist. Die Anfrage ist eine dokumentierte Weisung im Sinne von § 3.

(2) Der Zugriff ist nur lesend möglich und auf 30 Minuten begrenzt. Er setzt eine Zwei-Faktor-Anmeldung voraus sowie die Angabe von Grund und Bezug. Zugriff erhalten nur vom Auftragnehmer bestimmte Personen, die nach § 4 zur Vertraulichkeit verpflichtet sind.

(3) Nicht angezeigt werden Bankverbindungen, Telefonnummern und E-Mail-Adressen von Mietern, Inhalte von Dateien und Brieftexte.

(4) Jeder Zugriff wird protokolliert. Der Auftraggeber kann die Zugriffe in der Software einsehen (Einstellungen › Datenschutz › Support-Zugriffe). Für das Protokoll gilt eine Aufbewahrungsfrist von zwei Jahren; gelöscht wird gesammelt, nicht taggenau.

§ 4 Vertraulichkeit

Der Auftragnehmer setzt nur Personen ein, die zur Vertraulichkeit verpflichtet sind oder einer gesetzlichen Verschwiegenheitspflicht unterliegen, und gewährt Zugriff nur, soweit dies für die Erbringung der Leistungen erforderlich ist.

§ 5 Technische und organisatorische Maßnahmen

(1) Der Auftragnehmer trifft geeignete technische und organisatorische Maßnahmen nach Art. 32 DSGVO. Dazu gehören insbesondere:

• verschlüsselte Übertragung (TLS) und Verschlüsselung der gespeicherten Daten bei den Hosting-Dienstleistern,
• Trennung der Daten verschiedener Kunden durch Zugriffsregeln auf Datenbankebene (Row Level Security),
• passwortgeschützte Benutzerkonten mit optionaler Zwei-Faktor-Authentifizierung und Rollen innerhalb eines Kontos,
• Beschränkung administrativer Zugriffe auf erforderliche Personen sowie Protokollierung sicherheitsrelevanter Vorgänge,
• regelmäßige Datensicherungen beim Hosting-Dienstleister,
• Einsatz von Unterauftragsverarbeitern nur mit eigener Vereinbarung nach Art. 28 DSGVO,
• regelmäßige Überprüfung und Aktualisierung der Maßnahmen, einschließlich automatisierter Tests und Sicherheitsaktualisierungen.

(2) Der Auftragnehmer darf die Maßnahmen an den technischen Fortschritt anpassen, sofern das Schutzniveau nicht unterschritten wird.

§ 6 Unterauftragsverarbeiter

(1) Der Auftraggeber genehmigt allgemein den Einsatz von Unterauftragsverarbeitern. Bei Vertragsschluss sind dies:

• Supabase, Inc.

  Leistung:

  Datenbank, Anmeldung, Dateispeicher und Serverfunktionen der Software

  Ort:

  Rechenzentrum in der EU

• Lovable (Plattform) mit Cloudflare, Inc.

  Leistung:

  Bereitstellung und Auslieferung der Anwendung

  Ort:

  EU und USA (Data Privacy Framework bzw. Standardvertragsklauseln)

• ALL-INKL.COM – Neue Medien Münnich

  Leistung:

  Versand von System-E-Mails, Benachrichtigungen und Dokumenten per E-Mail

  Ort:

  Deutschland

• Resend, Inc.

  Leistung:

  Empfang von E-Mails an die persönliche Eingangsadresse und Versand einzelner Benachrichtigungen

  Ort:

  USA (Data Privacy Framework bzw. Standardvertragsklauseln)

• Lovable AI Gateway mit Google (Gemini)

  Leistung:

  Auslesen von Dokumenten im KI-Import, nur bei aktiver Nutzung der Funktion

  Ort:

  EU und USA (Data Privacy Framework bzw. Standardvertragsklauseln)

• Twilio Inc.

  Leistung:

  Versand von SMS-Erinnerungen, nur wenn der Kunde SMS aktiviert

  Ort:

  USA (Data Privacy Framework bzw. Standardvertragsklauseln)

• Stripe Payments Europe, Limited

  Leistung:

  Bestellung, Zahlung und Rechnungen, nur soweit der Kunde den Tarif Professional in der Software bucht

  Ort:

  Irland (EU), Übermittlung in die USA möglich (Data Privacy Framework bzw. Standardvertragsklauseln)

(1a) Stripe erhält nur Abrechnungsdaten des Auftraggebers: den Namen der Organisation, E-Mail-Adresse, Rechnungsangaben, Zahlungsdaten und die Zahl der aktiven Einheiten. Daten, die der Auftraggeber in der Software zu Mietern oder anderen Personen erfasst, erhält Stripe nicht. Bei der Zahlungsabwicklung handelt Stripe in eigener Verantwortung.

(2) Der Auftragnehmer informiert den Auftraggeber mindestens vier Wochen vorher in Textform über jede beabsichtigte Hinzuziehung oder Ersetzung eines Unterauftragsverarbeiters. Der Auftraggeber kann innerhalb dieser Frist aus wichtigem datenschutzrechtlichem Grund widersprechen. Können sich die Parteien nicht einigen, kann der Auftraggeber den Vertrag zum Zeitpunkt der Änderung kündigen.

(3) Der Auftragnehmer verpflichtet jeden Unterauftragsverarbeiter vertraglich auf ein Schutzniveau, das dieser Vereinbarung entspricht.

(4) Eine Übermittlung in Drittländer erfolgt nur, wenn die Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind, insbesondere auf Grundlage eines Angemessenheitsbeschlusses oder von Standardvertragsklauseln.

§ 7 Unterstützung des Auftraggebers

(1) Der Auftragnehmer unterstützt den Auftraggeber mit geeigneten Maßnahmen bei der Erfüllung der Rechte betroffener Personen (Art. 12 bis 22 DSGVO). Viele Anfragen kann der Auftraggeber über die Funktionen der Software selbst erfüllen (Auskunft, Berichtigung, Löschung, Export). Richtet sich eine betroffene Person direkt an den Auftragnehmer, leitet dieser die Anfrage unverzüglich an den Auftraggeber weiter.

(2) Der Auftragnehmer unterstützt den Auftraggeber bei der Einhaltung der Pflichten aus Art. 32 bis 36 DSGVO, insbesondere bei Datenschutz-Folgenabschätzungen, soweit ihm Informationen dazu vorliegen.

(3) Der Auftragnehmer meldet dem Auftraggeber Verletzungen des Schutzes personenbezogener Daten unverzüglich, nachdem sie ihm bekannt geworden sind, mit den Angaben nach Art. 33 Abs. 3 DSGVO, soweit verfügbar.

§ 8 Löschung und Rückgabe

(1) Der Auftraggeber kann seine Daten während der Vertragslaufzeit jederzeit über die Exportfunktionen der Software abrufen und löschen. Der Export ist die Rückgabe der Daten im Sinne von Art. 28 Abs. 3 lit. g DSGVO.

(2) Nach Vertragsende löscht der Auftragnehmer die Daten des Auftraggebers, sofern keine Pflicht zur Speicherung nach Unionsrecht oder dem Recht eines Mitgliedstaats besteht. Bis zur Löschung kann der Auftraggeber seine Daten exportieren. Daten in Datensicherungen bleiben dort, bis sie im Rahmen der regulären Rotationszyklen gelöscht werden.

(2a) Der Auftragnehmer bewahrt nach der Löschung keine Daten für den Auftraggeber auf. Für seine gesetzlichen Aufbewahrungspflichten, etwa nach § 147 AO oder § 257 HGB, bleibt der Auftraggeber selbst verantwortlich; er exportiert die Daten rechtzeitig vor der Löschung.

(2b) Veranlasst der Auftragnehmer die Löschung eines Kontos, zu dem Daten gehören, sperrt er es zunächst für 30 Tage und kann es in dieser Zeit wiederherstellen. Danach werden die Daten endgültig gelöscht. Löscht der Auftraggeber sein Konto selbst, wirkt das sofort.

(2c) Bei Organisationen mit mehreren Mitgliedern bleiben die Daten für die übrigen Mitglieder bestehen. Ist die Inhaberin oder der Inhaber nicht erreichbar, kann der Auftragnehmer die Inhaberschaft auf ein Mitglied übertragen. Der Vorgang wird mit Grund protokolliert.

(3) Anonymisierte Daten nach § 3a sind keine Daten des Auftraggebers im Sinne dieses Paragraphen und werden nicht gelöscht.

§ 9 Nachweise und Überprüfungen

(1) Der Auftragnehmer stellt dem Auftraggeber auf Anfrage die Informationen zur Verfügung, die zum Nachweis der Einhaltung dieser Vereinbarung erforderlich sind.

(2) Der Auftraggeber oder ein von ihm beauftragter, zur Verschwiegenheit verpflichteter Prüfer kann Überprüfungen einschließlich Inspektionen nach rechtzeitiger Anmeldung (in der Regel mindestens 30 Tage) während der üblichen Geschäftszeiten durchführen. Die Überprüfung darf den Geschäftsbetrieb nicht unverhältnismäßig stören und die Daten anderer Kunden nicht gefährden. Für Unterauftragsverarbeiter genügen in der Regel deren Zertifizierungen und Prüfberichte.

§ 10 Haftung und Schlussbestimmungen

(1) Für die Haftung gilt Art. 82 DSGVO. Im Übrigen gelten die Haftungsregeln der AGB.

(2) Änderungen dieser Vereinbarung bedürfen der Textform. Änderungen, die aufgrund geänderter Rechtsvorschriften oder zur Anpassung der Liste der Unterauftragsverarbeiter nach § 6 erforderlich sind, teilt der Auftragnehmer in Textform mit.

(3) Es gilt deutsches Recht. Sollten einzelne Bestimmungen unwirksam sein, bleibt die Wirksamkeit der übrigen unberührt.