Vertrag zur Auftragsverarbeitung (AVV)
Entwurf – noch nicht rechtsverbindlich geprüft. Diese Fassung dient der Vorbereitung und ersetzt keine anwaltliche Prüfung.
Dieser Vertrag konkretisiert die datenschutzrechtlichen Pflichten gemäß Art. 28 DSGVO für die Verarbeitung personenbezogener Daten im Auftrag. Verantwortlicher ist die Hausverwaltung (Kunde); Auftragsverarbeiterist die B&W Immobilien Management UG (haftungsbeschränkt) als Betreiber der Software.
1. Gegenstand und Dauer
Gegenstand ist die Verarbeitung personenbezogener Daten durch den Auftragsverarbeiter im Rahmen der Bereitstellung der Software. Die Dauer entspricht der Laufzeit des Hauptvertrags (Nutzung der Software).
2. Art, Zweck, Datenarten, betroffene Personen
Zweck: Verwaltung von Immobilien, Vorgängen, Dokumenten und Kommunikation. Art der Daten: Stammdaten (Name, Anschrift, Kontaktdaten), Vertrags-/Objektdaten, Vorgangs- und Kommunikationsinhalte, hochgeladene Dokumente und Fotos, ggf. Unterschriften. Betroffene Personen: Mieter, Eigentümer, Dienstleister/Handwerker, Beschäftigte des Kunden.
3. Pflichten des Auftragsverarbeiters
Der Auftragsverarbeiter verpflichtet sich insbesondere:
- Daten nur auf dokumentierte Weisung des Verantwortlichen zu verarbeiten;
- die zur Verarbeitung befugten Personen zur Vertraulichkeit zu verpflichten;
- geeignete technische und organisatorische Maßnahmen nach Art. 32 DSGVO zu treffen (siehe Ziffer 5);
- den Verantwortlichen bei Betroffenenrechten, Datenschutz-Folgenabschätzungen und Meldepflichten angemessen zu unterstützen;
- Daten nach Beendigung nach Wahl des Verantwortlichen zu löschen oder zurückzugeben;
- dem Verantwortlichen die erforderlichen Informationen zum Nachweis der Einhaltung bereitzustellen und Überprüfungen zu ermöglichen.
4. Unterauftragsverhältnisse (Subprozessoren)
Der Verantwortliche stimmt der Einbindung folgender Subprozessoren zu:
- Hosting / Anwendungsbetrieb: Vercel Inc. (USA), Server-Region EU;
- Datenbank: Neon (PostgreSQL), EU-Region;
- Datei-/Objektspeicher für Uploads: Vercel Blob;
- E-Mail-Versand: Google (Gmail / Google Workspace);
- Optionaler Dokumenten-Import: Google Drive;
- Optionale KI-gestützte Vorqualifizierung von Vorgängen: Google (Gemini API) – nur bei Aktivierung durch die Verwaltung;
- Push-Benachrichtigungen: geräteabhängige Push-Dienste von Google, Apple bzw. Mozilla.
Für jeden Subprozessor sind Sitz, Verarbeitungsort und – bei Drittlandbezug – geeignete Garantien (z. B. EU-Standardvertragsklauseln) sicherzustellen. Der EU-Hosting-Nachweis wird gesondert dokumentiert.
5. Technisch-organisatorische Maßnahmen (TOM)
Zugangs-, Zugriffs- und Übertragungskontrolle (verschlüsselte Verbindungen, rollenbasierte Berechtigungen, Mandantentrennung je Organisation), Protokollierung sicherheitsrelevanter Vorgänge, regelmäßige Datensicherung sowie Maßnahmen zur Wiederherstellbarkeit. Die ausführliche TOM-Beschreibung ist Anlage zu diesem Vertrag.
6. Meldepflichten
Der Auftragsverarbeiter informiert den Verantwortlichen unverzüglich über Verletzungen des Schutzes personenbezogener Daten, die in seinem Verantwortungsbereich auftreten, und unterstützt bei den erforderlichen Meldungen nach Art. 33/34 DSGVO.
7. Haftung und Schlussbestimmungen
Es gelten die Haftungsregelungen der DSGVO. Im Übrigen gelten die Bestimmungen des Hauptvertrags entsprechend. Bei Widersprüchen zwischen AVV und Hauptvertrag in Bezug auf den Datenschutz geht dieser AVV vor.