Auftragsverarbeitungsvertrag

Version 2.0

Dieser Auftragsverarbeitungsvertrag („AVV") wird geschlossen zwischen:

dem Kunden (nachfolgend „Verantwortlicher") — der natürlichen oder juristischen Person, die sich für die Plattform Eigentum² registriert hat und diese nutzt, und

Ilya Baskakov (handelnd unter: Eigentum²) Von-Müller-Straße 15a 82467 Garmisch-Partenkirchen, Deutschland E-Mail: support@dein-eigentum.de

(nachfolgend „Auftragsverarbeiter")

Dieser AVV ergänzt die Allgemeinen Geschäftsbedingungen und regelt die Verarbeitung personenbezogener Daten durch den Auftragsverarbeiter im Auftrag des Verantwortlichen im Zusammenhang mit der Nutzung der Plattform Eigentum², gemäß Art. 28 der Datenschutz-Grundverordnung (EU) 2016/679 („DSGVO").

Soweit der Auftragsverarbeiter personenbezogene Daten zu eigenen Zwecken verarbeitet — etwa die Konto- und Abrechnungsdaten des Verantwortlichen, den Betrieb seiner Website und seine eigene Werbung —, handelt er als Verantwortlicher; diese Verarbeitung richtet sich nach der Datenschutzerklärung und nicht nach diesem AVV.

§ 1 Gegenstand und Dauer

1. Der Auftragsverarbeiter verarbeitet personenbezogene Daten im Auftrag des Verantwortlichen im Zusammenhang mit der Bereitstellung der Immobilienverwaltungsplattform Eigentum², wie in den Allgemeinen Geschäftsbedingungen beschrieben.

2. Die Laufzeit dieses AVV entspricht der Laufzeit des zugrunde liegenden Dienstleistungsvertrags (Allgemeine Geschäftsbedingungen). Dieser AVV endet automatisch mit Beendigung des Dienstleistungsvertrags, vorbehaltlich der Löschungs- und Rückgabepflichten nach § 13.

§ 2 Art und Zweck der Verarbeitung

Der Auftragsverarbeiter verarbeitet personenbezogene Daten zu folgenden Zwecken:

• Speicherung und Verwaltung der vom Verantwortlichen eingegebenen Mieter- und Kontaktdaten
• Verarbeitung von Mietzahlungen, Kautionen und Finanztransaktionsdaten
• Verwaltung von Mietverträgen und zugehörigen Unterlagen
• Verwaltung von Darlehen und Finanzierungen einschließlich des KI-gestützten Auslesens der vom Verantwortlichen hierfür ausgewählten Darlehensunterlagen (§ 9)
• Speicherung und Organisation immobilienbezogener Dokumente, Bilder und Dateien
• Erstellung KI-gestützter Immobilienbewertungen aus Objektdaten (§ 9)
• Ermöglichung der Weitergabe von Immobilieninformationen an vom Verantwortlichen bestimmte Dritte
• Ermöglichung von Eigentumsübertragungsvorgängen einschließlich der Einladung und Beteiligung vom Verantwortlichen bestimmter Dritter
• Erzeugung von In-App-Benachrichtigungen und Erinnerungen, die aus den eigenen Daten des Verantwortlichen abgeleitet sind
• Versand von Transaktions- und Servicenachrichten per E-Mail im Auftrag des Verantwortlichen (etwa Benachrichtigungen, Einladungen und automatische Erinnerungen, die aus den eigenen Daten des Verantwortlichen abgeleitet sind)
• Führung der in Anlage 1 beschriebenen Änderungshistorien und Nachweise

Der Auftragsverarbeiter verarbeitet personenbezogene Daten nicht zu eigenen Zwecken, verkauft sie nicht, nutzt sie nicht zu Werbezwecken und verwendet sie nicht zum Training, zur Feinjustierung oder zur Verbesserung eines Modells des maschinellen Lernens.

§ 3 Arten personenbezogener Daten

Verarbeitet werden folgende Arten personenbezogener Daten:

• Identifikationsdaten: Vorname, Nachname, Anrede, Geburtsdatum, Staatsangehörigkeit
• Kontaktdaten: E-Mail-Adresse, Telefonnummer, Mobilnummer, Faxnummer, Postanschrift
• Finanzdaten: IBAN, BIC, Bankname, Zahlungsbeträge, Mietbeträge, Kautionsbeträge, Transaktionsdaten
• Vertragsdaten: Mietvertragsdetails (Beginn und Ende, Mietmodell, Kündigungsfrist, Sondervereinbarungen), Vertragsnummern
• Darlehens- und Finanzierungsdaten: Angaben zu Darlehensgebern und Darlehensnehmern, Bürgen, Konto- und Referenznummern, Darlehenssummen, Restschulden, Zinssätze, Zinsbindungen, Tilgungspläne
• Immobilienbezogene Daten: Objektanschriften, Koordinaten, Einheitendaten, Flächenangaben, Merkmale sowie Register- und Rechtsmerkmale
• Kommunikationsdaten: Notizen, Korrespondenzaufzeichnungen, Freigabenachrichten
• Dokumentendaten: hochgeladene Dokumente, Bilder und Dateien einschließlich ihrer Dateinamen, Metadaten und — notwendigerweise — desjenigen Inhalts, den der Verantwortliche hochlädt
• Notfallkontaktdaten: Name, Beziehung, Telefonnummer benannter Notfallkontakte
• Identitätsprüfungsdaten: Prüfungsstatus und Zeitstempel
• Berufsbezogene Angaben: Organisationsname und berufsrechtliche Registernummern von Personen, die in einer Eigentumsübertragung berufsmäßig handeln

Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO). Die Plattform ist nicht auf besondere Kategorien personenbezogener Daten ausgelegt und fragt solche nicht ab. Der Auftragsverarbeiter benötigt und wertet sie nicht aus. Sie können gleichwohl über Inhalte in die Plattform gelangen, die der Verantwortliche hochlädt oder eingibt — etwa eine Sterbeurkunde oder ein Nachlassbeschluss in einer Eigentumsübertragung, eine Gesundheitserklärung in einer Restschuldversicherung innerhalb einer Darlehensakte oder eine Freitextnotiz. Geschieht dies, bleibt der Verantwortliche dafür verantwortlich, dass ein Tatbestand des Art. 9 Abs. 2 DSGVO vorliegt; der Auftragsverarbeiter verarbeitet solche Daten ausschließlich als Teil des Inhalts, den er im Auftrag des Verantwortlichen speichert. Dem Verantwortlichen wird empfohlen, Dokumente zu schwärzen, die für den verfolgten Zweck nicht erforderliche besondere Kategorien personenbezogener Daten enthalten.

§ 4 Kategorien betroffener Personen

Die verarbeiteten personenbezogenen Daten betreffen folgende Kategorien betroffener Personen:

• Mieter — aktuelle Mieter der vom Verantwortlichen verwalteten Immobilien
• Mietinteressenten — Personen, die für ein Mietverhältnis in Betracht gezogen werden
• Bürgen — Personen, die für Mieter Sicherheiten stellen
• Mitmieter und Bewohner — weitere im Mietvertrag aufgeführte Personen
• Notfallkontakte — als Notfallkontakt benannte Personen
• Darlehensnehmer, Mitdarlehensnehmer und Darlehensbürgen — in Darlehens- und Finanzierungsdaten sowie in den zugehörigen Unterlagen genannte Personen
• Hausverwaltungen und Dienstleister — Kontakte Dritter, die Immobilien verwalten oder betreuen
• Beteiligte an Eigentumsübertragungen — die vom Verantwortlichen zu einer Übertragung eingeladenen Personen sowie die in den hierzu hochgeladenen Dokumenten genannten Personen; dazu können Käufer, Verkäufer, Notare, Makler, Ehegatten, Erben und Verstorbene gehören
• Empfänger einer freigegebenen Immobilie — Personen, denen der Verantwortliche Zugriff auf eine Immobilie gewährt
• Die eigenen Nutzer des Verantwortlichen — die Mitglieder seiner Organisation, hinsichtlich der von ihm über sie erfassten Daten

§ 5 Weisungen des Verantwortlichen

1. Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen, auch hinsichtlich der Übermittlung personenbezogener Daten an ein Drittland, sofern er nicht durch das Recht der Union oder eines Mitgliedstaats, dem er unterliegt, hierzu verpflichtet ist. In einem solchen Fall teilt der Auftragsverarbeiter dem Verantwortlichen diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht eine solche Mitteilung nicht wegen eines wichtigen öffentlichen Interesses verbietet.

2. Die Weisungen des Verantwortlichen ergeben sich zunächst aus diesem AVV, den Allgemeinen Geschäftsbedingungen und dem Funktionsumfang der Plattform Eigentum². Jede Nutzung einer Funktion der Plattform stellt eine Weisung dar, die von dieser Funktion ausgeführte Verarbeitung vorzunehmen. Der Verantwortliche kann zusätzliche Weisungen in Textform (§ 126b BGB) per E-Mail an support@dein-eigentum.de erteilen.

3. Der Auftragsverarbeiter informiert den Verantwortlichen unverzüglich, wenn er der Auffassung ist, dass eine Weisung gegen die DSGVO oder andere Datenschutzbestimmungen der Union oder der Mitgliedstaaten verstößt. Er kann die Ausführung einer solchen Weisung aussetzen, bis sie bestätigt oder zurückgenommen wird.

§ 6 Eigene Verantwortung des Verantwortlichen

1. Der Verantwortliche ist für die Rechtmäßigkeit der von ihm angewiesenen Verarbeitung verantwortlich, insbesondere für das Vorliegen einer Rechtsgrundlage nach Art. 6 DSGVO und gegebenenfalls eines Tatbestands nach Art. 9 Abs. 2 DSGVO für die Eingabe personenbezogener Daten Dritter in die Plattform.

2. Der Verantwortliche ist für die Information der eigenen betroffenen Personen nach Art. 13 und 14 DSGVO verantwortlich, einschließlich der Information über die Einschaltung des Auftragsverarbeiters und seiner Unterauftragsverarbeiter.

3. Der Verantwortliche bestimmt, was er hochlädt, wen er zu einer Eigentumsübertragung einlädt, wem er eine Immobilie freigibt und welche Dokumente er zum KI-gestützten Auslesen auswählt. Der Auftragsverarbeiter führt diese Vorgänge weisungsgemäß aus und beurteilt nicht, ob sie angemessen sind.

4. Der Verantwortliche ist für die Verwaltung seiner eigenen Organisation innerhalb der Plattform verantwortlich: für die von ihm angelegten Konten, die von ihm vergebenen Rollen und Berechtigungen sowie den Entzug des Zugangs bei Personen, die ihn nicht mehr haben sollen.

§ 7 Pflichten des Auftragsverarbeiters

Der Auftragsverarbeiter verpflichtet sich:

1. Personenbezogene Daten innerhalb des Europäischen Wirtschaftsraums (EWR) zu verarbeiten, es sei denn, ein nach § 9 genehmigter Unterauftragsverarbeiter verarbeitet Daten außerhalb des EWR; in diesem Fall gelten die Garantien nach § 9 Abs. 7.

2. Sicherzustellen, dass die Verarbeitung im Einklang mit der DSGVO, dem BDSG und allen sonstigen anwendbaren Datenschutzgesetzen erfolgt.

3. Die in Anlage 1 dargestellten technischen und organisatorischen Maßnahmen umzusetzen, aufrechtzuerhalten und fortlaufend zu überprüfen. Der Auftragsverarbeiter darf einzelne Maßnahmen ändern, sofern das Schutzniveau dadurch nicht verringert wird.

4. Einen Datenschutzbeauftragten zu benennen, sofern gesetzlich erforderlich. Zum Zeitpunkt dieses AVV sind die Voraussetzungen des § 38 BDSG nicht erfüllt (weniger als 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt).

5. Die personenbezogenen Daten zu keinem anderen Zweck als zur Erbringung der in diesem AVV und den Allgemeinen Geschäftsbedingungen beschriebenen Leistungen zu verwenden.

§ 8 Vertraulichkeit

1. Der Auftragsverarbeiter stellt sicher, dass sich alle zur Verarbeitung personenbezogener Daten befugten Personen zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen und dass sie vor der Gewährung des Zugangs im Datenschutz unterwiesen werden.

2. Diese Vertraulichkeitspflicht besteht über die Beendigung dieses AVV hinaus fort.

§ 9 Unterauftragsverarbeiter

1. Der Verantwortliche erteilt dem Auftragsverarbeiter eine allgemeine schriftliche Genehmigung zur Einschaltung von Unterauftragsverarbeitern nach Maßgabe dieses Paragraphen.

2. Die aktuelle Liste der genehmigten Unterauftragsverarbeiter ist in Anlage 2 dieses AVV aufgeführt und zusätzlich unter https://dein-eigentum.de/legal/subprocessors abrufbar.

3. Der Auftragsverarbeiter informiert den Verantwortlichen mindestens 30 Tage vor Wirksamwerden über jede beabsichtigte Hinzuziehung oder Ersetzung von Unterauftragsverarbeitern und gibt ihm damit Gelegenheit zum Widerspruch.

4. Widerspricht der Verantwortliche einem neuen Unterauftragsverarbeiter aus nachvollziehbaren Datenschutzgründen, erörtern die Parteien den Widerspruch nach Treu und Glauben. Kann er nicht ausgeräumt werden, kann der Verantwortliche den Dienstleistungsvertrag ohne Nachteil zu dem Zeitpunkt kündigen, zu dem die Änderung wirksam werden sollte.

5. Der Auftragsverarbeiter erlegt jedem Unterauftragsverarbeiter vertraglich dieselben Datenschutzpflichten auf, wie sie in diesem AVV festgelegt sind, insbesondere hinreichende Garantien für geeignete technische und organisatorische Maßnahmen.

6. Kommt ein Unterauftragsverarbeiter seinen Datenschutzpflichten nicht nach, haftet der Auftragsverarbeiter gegenüber dem Verantwortlichen weiterhin uneingeschränkt für dessen Pflichterfüllung.

7. Für Unterauftragsverarbeiter außerhalb des EWR stellt der Auftragsverarbeiter geeignete Garantien nach Kapitel V DSGVO sicher (Angemessenheitsbeschluss, Standardvertragsklauseln oder Zertifizierung nach dem EU-US-Datenschutzrahmen). Anlage 2 benennt für jeden dieser Unterauftragsverarbeiter die herangezogene Garantie.

8. KI-Unterauftragsverarbeiter — ausdrücklicher Hinweis. Zwei Unterauftragsverarbeiter werden ausschließlich für die KI-gestützten Funktionen der Plattform eingeschaltet und ausschließlich dann, wenn der Verantwortliche sie startet. Der Verantwortliche nimmt Folgendes zur Kenntnis und weist es an:

   a. Fordert der Verantwortliche eine Immobilienbewertung an, wird der im KI-Transparenzhinweis bezeichnete Objektdatensatz an OpenAI übermittelt. Dieser Datensatz enthält die vollständige Anschrift und die Koordinaten der Immobilie sowie die Freitexteingaben des Verantwortlichen zum Objekt. Er enthält keine Mieter-, Kontakt-, Bürgen-, Darlehens- oder Kontodaten und identifiziert den Verantwortlichen nicht.

   b. Wählt der Verantwortliche Darlehensunterlagen aus und startet den Auslesevorgang, werden diese Unterlagen vollständig und unverändert nebst ihren Dateinamen übermittelt. Der Auftragsverarbeiter extrahiert, schwärzt, beschneidet oder filtert sie vorher nicht. Damit wird alles übermittelt, was in einer ausgewählten Unterlage abgedruckt ist, einschließlich personenbezogener Daten Dritter und etwaiger darin enthaltener besonderer Kategorien personenbezogener Daten. Die Auswahl trifft der Verantwortliche; sie stellt seine Weisung zur Übermittlung dieser Unterlagen dar.

   c. Keiner der beiden Anbieter verwendet die Daten zum Training, zur Feinjustierung oder zur Verbesserung seiner Modelle. Anfragen an OpenAI erfolgen mit abgeschalteter anbieterseitiger Speicherung der Antwort; OpenAI kann bis zu 30 Tage eine Kopie zur Missbrauchserkennung vorhalten. Google protokolliert Anfragen und Antworten zum selben Zweck für einen begrenzten Zeitraum.

   d. An keinen der beiden Anbieter wird etwas übermittelt, wenn der Verantwortliche die betreffende Funktion nicht startet. Nutzt ein Verantwortlicher diese Funktionen nicht, findet bei diesen Unterauftragsverarbeitern keine Verarbeitung statt.

§ 10 Rechte betroffener Personen

1. Der Auftragsverarbeiter unterstützt den Verantwortlichen mit geeigneten technischen und organisatorischen Maßnahmen und unter Berücksichtigung der Art der Verarbeitung bei der Erfüllung seiner Pflicht zur Beantwortung von Anträgen auf Wahrnehmung der in Kapitel III DSGVO genannten Rechte betroffener Personen (Art. 15 bis 22), einschließlich:

   • Auskunftsrecht (Art. 15)
   • Recht auf Berichtigung (Art. 16)
   • Recht auf Löschung (Art. 17)
   • Recht auf Einschränkung der Verarbeitung (Art. 18)
   • Recht auf Datenübertragbarkeit (Art. 20)
   • Widerspruchsrecht (Art. 21)

2. Die Plattform selbst versetzt den Verantwortlichen in die Lage, die meisten dieser Anträge unmittelbar zu erfüllen: Datensätze können in ihr eingesehen, berichtigt, exportiert und gelöscht werden, und eine Freigabe oder eine Einladung zu einer Übertragung kann jederzeit widerrufen werden.

3. Wendet sich eine betroffene Person mit einem Antrag unmittelbar an den Auftragsverarbeiter, leitet dieser den Antrag unverzüglich an den Verantwortlichen weiter und antwortet der betroffenen Person nicht selbst, sofern der Verantwortliche dies nicht anweist.

§ 11 Meldung von Datenschutzverletzungen

1. Der Auftragsverarbeiter meldet dem Verantwortlichen unverzüglich, in jedem Fall innerhalb von 48 Stunden, nachdem ihm eine Verletzung des Schutzes personenbezogener Daten bekannt geworden ist, die Daten des Verantwortlichen betrifft.

2. Die Meldung enthält, soweit möglich:

   • eine Beschreibung der Art der Verletzung einschließlich der Kategorien und der ungefähren Zahl der betroffenen Personen und der betroffenen Datensätze
   • Name und Kontaktdaten der Anlaufstelle des Auftragsverarbeiters für weitere Informationen
   • eine Beschreibung der wahrscheinlichen Folgen der Verletzung
   • eine Beschreibung der ergriffenen oder vorgeschlagenen Maßnahmen zur Behebung der Verletzung einschließlich Maßnahmen zur Abmilderung möglicher nachteiliger Auswirkungen

3. Können die Informationen nicht auf einmal vollständig bereitgestellt werden, werden sie ohne unangemessene weitere Verzögerung schrittweise nachgereicht.

4. Der Auftragsverarbeiter unterstützt den Verantwortlichen bei der Erfüllung seiner Pflichten nach Art. 33 und 34 DSGVO (Meldung an die Aufsichtsbehörde und Benachrichtigung betroffener Personen). Die Meldepflicht gegenüber der Aufsichtsbehörde verbleibt beim Verantwortlichen.

§ 12 Kontrollrechte

1. Der Auftragsverarbeiter stellt dem Verantwortlichen alle Informationen zur Verfügung, die zum Nachweis der Einhaltung der in Art. 28 DSGVO niedergelegten Pflichten erforderlich sind.

2. Der Auftragsverarbeiter ermöglicht und trägt zu Überprüfungen einschließlich Inspektionen bei, die vom Verantwortlichen oder einem von diesem beauftragten Prüfer durchgeführt werden. Der Verantwortliche kündigt eine Überprüfung mindestens 14 Tage im Voraus in Textform an.

3. Überprüfungen sind auf eine Überprüfung je Kalenderjahr beschränkt, sofern nicht eine Datenschutzverletzung oder ein sonstiger konkreter Anlass weitere Überprüfungen erfordert. Sie sind in der Regel auf einen Arbeitstag beschränkt und finden während der üblichen Geschäftszeiten statt. Ein vom Verantwortlichen beauftragter Prüfer darf kein Wettbewerber des Auftragsverarbeiters sein und muss zur Vertraulichkeit verpflichtet sein.

4. Eine Überprüfung darf sich nicht auf Daten oder Systeme anderer Kunden des Auftragsverarbeiters erstrecken und die Sicherheit der Plattform nicht beeinträchtigen.

5. Die Kosten einer von ihm veranlassten Überprüfung trägt der Verantwortliche, es sei denn, die Überprüfung deckt einen wesentlichen Verstoß des Auftragsverarbeiters gegen diesen AVV auf; in diesem Fall trägt der Auftragsverarbeiter die Kosten.

6. Der Auftragsverarbeiter kann die Einhaltung zunächst durch diesen AVV und Anlage 1, durch die aktuellen Zertifizierungen seiner Infrastrukturanbieter (etwa SOC-2-Type-II-Berichte oder ISO-27001-Zertifikate) sowie durch Ergebnisse unabhängiger Prüfungen Dritter nachweisen, sofern diese aktuell und aussagekräftig sind.

§ 13 Löschung und Rückgabe von Daten

1. Nach Beendigung des Dienstleistungsvertrags wird der Auftragsverarbeiter nach Wahl des Verantwortlichen:

   • alle personenbezogenen Daten in einem strukturierten, gängigen und maschinenlesbaren Format an den Verantwortlichen herausgeben oder
   • alle personenbezogenen Daten und sämtliche vorhandenen Kopien löschen

2. Mehrere Teile der Daten kann der Verantwortliche unmittelbar aus der Plattform heraus exportieren. Für einen vollständigen Export kann er diesen in Textform anfordern; der Auftragsverarbeiter stellt ihn binnen 30 Tagen nach der Anforderung bereit.

3. Wird ein Datensatz in der Plattform gelöscht — einschließlich des Kontos und der Organisation des Verantwortlichen —, wird er sofort der Nutzung entzogen und als gelöscht markiert; 90 Tage später wird er zusammen mit allem, was von ihm abhängt, unwiederbringlich gelöscht. Dateien werden im selben Vorgang aus dem Objektspeicher entfernt. Die 90 Tage bestehen, damit eine versehentliche Löschung rückgängig gemacht werden kann und damit einer gesetzlichen Aufbewahrungspflicht unterliegende Datensätze vor ihrer Vernichtung erkannt werden.

4. Daten, die gesetzlichen Aufbewahrungspflichten unterliegen (etwa Finanzunterlagen nach § 147 AO, Handelsbriefe nach § 257 HGB), werden für die gesetzlich vorgeschriebene Dauer aufbewahrt und anschließend gelöscht. Während dieses Zeitraums wird die Verarbeitung eingeschränkt; die Daten werden ausschließlich zur Erfüllung der Aufbewahrungspflicht verwendet.

5. Der Auftragsverarbeiter bestätigt den Abschluss der Löschung auf Verlangen des Verantwortlichen.

6. Sicherungskopien werden im regulären Sicherungszyklus überschrieben. Ein nach Absatz 3 gelöschter Datensatz kann bis zum Abschluss dieses Zyklus in einer Sicherungskopie fortbestehen; er wird nicht in das produktive System zurückgespielt und im Übrigen nicht verarbeitet.

§ 14 Unterstützung bei Compliance-Pflichten

Der Auftragsverarbeiter unterstützt den Verantwortlichen unter Berücksichtigung der Art der Verarbeitung und der ihm zur Verfügung stehenden Informationen bei der Einhaltung folgender Pflichten:

• Sicherheit der Verarbeitung (Art. 32 DSGVO)
• Meldung von Verletzungen des Schutzes personenbezogener Daten an die Aufsichtsbehörde (Art. 33 DSGVO)
• Benachrichtigung betroffener Personen (Art. 34 DSGVO)
• Datenschutz-Folgenabschätzungen (Art. 35 DSGVO)
• Vorherige Konsultation der Aufsichtsbehörde (Art. 36 DSGVO)

Geht diese Unterstützung wesentlich über die Bereitstellung bereits vorhandener Informationen hinaus, kann der Auftragsverarbeiter seine angemessenen Kosten in Rechnung stellen, nachdem er den Verantwortlichen zuvor darauf hingewiesen hat.

§ 15 Haftung

Die Haftung der Parteien nach diesem AVV richtet sich nach Art. 82 DSGVO und den Haftungsbestimmungen der Allgemeinen Geschäftsbedingungen. Jede Partei haftet für Schäden, die durch eine gegen die DSGVO verstoßende Verarbeitung verursacht wurden, entsprechend ihrer jeweiligen Rolle als Verantwortlicher oder Auftragsverarbeiter. Rechte betroffener Personen nach Art. 82 DSGVO bleiben von diesem AVV unberührt.

§ 16 Schlussbestimmungen

1. Dieser AVV unterliegt dem Recht der Bundesrepublik Deutschland unter Ausschluss des UN-Kaufrechts (CISG).

2. Bei Widersprüchen zwischen diesem AVV und den Allgemeinen Geschäftsbedingungen geht dieser AVV in Datenschutzfragen vor.

3. Änderungen und Ergänzungen dieses AVV bedürfen der Textform (§ 126b BGB).

4. Sollte eine Bestimmung dieses AVV unwirksam sein oder werden, bleiben die übrigen Bestimmungen wirksam. Die unwirksame Bestimmung ist durch eine wirksame Bestimmung zu ersetzen, die dem ursprünglichen Regelungszweck am nächsten kommt.

Anlage 1: Technische und organisatorische Maßnahmen

Der Auftragsverarbeiter setzt folgende Maßnahmen gemäß Art. 32 DSGVO um. Sie beschreiben die Plattform so, wie sie tatsächlich gebaut ist; wird eine Maßnahme von einem Infrastrukturanbieter und nicht durch eigenen Code erbracht, ist dies angegeben.

I. Vertraulichkeit

Zutrittskontrolle:

• Der Auftragsverarbeiter betreibt kein eigenes Rechenzentrum. Die gesamte Verarbeitung findet auf der Infrastruktur der in Anlage 2 genannten Anbieter statt, deren physische Sicherheit durch deren SOC-2-Type-II- und ISO-27001-Zertifizierungen abgedeckt ist.

Zugangskontrolle:

• Authentifizierung mit E-Mail-Adresse und Passwort, wobei das Passwort ausschließlich als scrypt-Hashwert mit einem Salt je Passwort gespeichert wird. Passwörter werden niemals im Klartext und niemals in wiederherstellbarer Form gespeichert.
• Optionale Anmeldung mit Google (OAuth 2.0), bei der kein Passwort zum Auftragsverarbeiter gelangt.
• Vor der Nutzung eines Kontos ist die Bestätigung der E-Mail-Adresse erforderlich.
• Optionale Zwei-Faktor-Authentifizierung mit zeitbasiertem Einmalcode und einmal verwendbaren Wiederherstellungscodes. Das gemeinsame Geheimnis und die Wiederherstellungscodes werden mit einem Schlüssel der Anwendung verschlüsselt gespeichert.
• Sitzungen werden in Cookies mit den Kennzeichen HttpOnly, Secure und SameSite=Lax geführt, laufen spätestens nach sieben Tagen automatisch ab und können widerrufen werden; da die zwischengespeicherte Kopie einer Sitzung 30 Sekunden lebt, wirkt ein Widerruf binnen weniger Sekunden.
• Begrenzung der Anfragerate an den Authentifizierungs-Endpunkten und an den Endpunkten, die ohne Anmeldung aufgerufen werden können.

Zugriffskontrolle:

• Rollenbasierte Zugriffskontrolle (RBAC) mit feingranularen Berechtigungen, die bei jedem Vorgang serverseitig und nicht nur in der Oberfläche durchgesetzt wird.
• Jede Abfrage ist auf die Organisation des anfragenden Nutzers eingegrenzt, sodass Daten einer Organisation aus einer anderen nicht erreichbar sind.
• Grundsatz der geringstmöglichen Berechtigung für alle Rollen.
• Der Zugriff des Personals des Auftragsverarbeiters auf Produktivdaten ist auf diejenigen Personen beschränkt, die ihn zum Betrieb der Plattform benötigen; jede dieser Personen ist zur Vertraulichkeit verpflichtet und wird zuvor im Datenschutz unterwiesen.

Trennbarkeit:

• Logische Trennung der Daten jeder Organisation, durchgesetzt in der Datenzugriffsschicht der Anwendung.
• Trennung von Produktiv-, Staging- und Entwicklungsumgebungen. Nicht-Produktivumgebungen sind nicht mit der Produktivdatenbank verbunden; die Staging-Umgebung ist durch eine Zugangssperre der Öffentlichkeit entzogen.

II. Integrität

Übertragungskontrolle:

• Sämtliche Daten werden bei der Übertragung mit TLS 1.2 oder höher verschlüsselt.
• HTTP-Sicherheitsheader einschließlich einer Content Security Policy, die die Hosts einschränkt, von denen Inhalte geladen werden dürfen.
• Authentifizierte API-Endpunkte. Dokumente — die Kategorie, die Verträge, Kontoauszüge und Ausweispapiere enthält — werden ausschließlich über kurzlebige signierte Links ausgeliefert, die erst nach serverseitiger Prüfung der Berechtigung ausgestellt werden, ablaufen und nicht wiederverwendbar sind. Objektfotos werden ausschließlich über unsere eigene Anwendung ausgeliefert, und zwar über eine Adresse mit einem signierten, ablaufenden Zugriffstoken; jeder einzelne Abruf wird vor der Auslieferung von Bilddaten gesondert gegen die aktuelle Berechtigung geprüft, und die gespeicherten Objekte selbst sind nicht öffentlich lesbar.

Eingabekontrolle:

• Eine Änderungshistorie für Darlehen mit dem betroffenen Darlehen, dem Nutzer, dem Zeitpunkt, der Art der Änderung, dem betroffenen Feld sowie dem Wert davor und danach.
• Eine Ereignishistorie für Eigentumsübertragungen mit dem Ereignis, der auslösenden Person und ihrer Rolle sowie dem Zustand davor und danach.
• Aufzeichnungen über die Annahme von Rechtsdokumenten, über Cookie-Entscheidungen, über Einwilligungen im Abrechnungsprozess und über Änderungen der Steuer- bzw. Umsatzsteuer-Identifikationsnummer, jeweils mit Zeitpunkt sowie — ausschließlich in diesen vier Fällen — mit IP-Adresse und Browser-User-Agent im Zeitpunkt der Entscheidung.
• Serverseitige Prüfung aller Eingaben gegen deklarierte Schemata, sodass nicht konforme Daten vor der Speicherung zurückgewiesen werden.

III. Verfügbarkeit und Belastbarkeit

Verfügbarkeitskontrolle:

• Anwendungs-Hosting bei Vercel in der Region EU (Frankfurt), auf nach SOC 2 Type II und ISO 27001 zertifizierter Infrastruktur.
• Datenbank-Hosting bei Neon in der Region EU (Frankfurt): verwaltetes PostgreSQL mit automatischen Sicherungen und Point-in-Time-Recovery.
• Datei- und Dokumentenspeicherung bei Google Cloud Storage, im Ruhezustand verschlüsselt.

Wiederherstellbarkeit:

• Automatische Datenbanksicherungen mit Point-in-Time-Recovery durch den Datenbankanbieter.
• Infrastruktur und Konfiguration als Code, sodass eine Umgebung neu aufgebaut werden kann.
• Gelöschte Datensätze sind vor der unwiederbringlichen Löschung 90 Tage lang wiederherstellbar (§ 13 Abs. 3).

IV. Regelmäßige Überprüfung

Auftragskontrolle:

• Verarbeitung auf Grundlage dieses AVV und schriftlicher Vereinbarungen mit jedem Unterauftragsverarbeiter.
• Überprüfung der Compliance der Unterauftragsverarbeiter und der Garantien für Übermittlungen außerhalb des EWR bei Beauftragung und in der Folge in regelmäßigen Abständen.
• Dokumentiertes Verfahren zur Reaktion auf Verletzungen des Schutzes personenbezogener Daten.
• Die Maßnahmen dieser Anlage werden bei wesentlichen Änderungen der Plattform und mindestens jährlich überprüft.

Anlage 2: Genehmigte Unterauftragsverarbeiter

Keine Unterauftragsverarbeiter. Die folgenden Stellen erhalten im Zusammenhang mit der Plattform Daten, verarbeiten personenbezogene Daten aber nicht im Auftrag des Auftragsverarbeiters. Sie werden der Vollständigkeit halber benannt:

• Google Ireland Ltd. / Google LLC (Google Maps Platform) ist nach den Maps-Platform-Bedingungen von Google eigenständig und unabhängig Verantwortlicher. Der Dienst wird für die serverseitige Adresssuche während der Eingabe einer Adresse sowie für den Kartenrahmen genutzt, der einem Empfänger einer freigegebenen Immobilie angezeigt wird. Abschnitt 6.2 der Datenschutzerklärung beschreibt beides.
• Meta Platforms Ireland Ltd. ist mit dem Auftragsverarbeiter nach Art. 26 DSGVO gemeinsam Verantwortliche für die Messung der eigenen Werbung des Auftragsverarbeiters auf dessen öffentlichen Marketingseiten, und dies ausschließlich mit Einwilligung der besuchenden Person. Meta erhält keinerlei Daten des Verantwortlichen und keinerlei Kundeninhalte.

Änderungen der Liste der Unterauftragsverarbeiter werden dem Verantwortlichen mindestens 30 Tage vor Wirksamwerden mitgeteilt. Die aktuelle Fassung ist unter https://dein-eigentum.de/legal/subprocessors abrufbar.

Das Gültigkeitsdatum dieser Version wird oberhalb dieses Dokuments angezeigt.