Vertrag zur Auftragsverarbeitung

§ 1 Gegenstand und Dauer

1. Dieser Vertrag gilt zwischen dem Kunden („Auftraggeber“) und Arnold Digital Solutions UG (haftungsbeschränkt), Reichenbucherstraße 31, 74862 Binau („Auftragnehmer“). Er regelt die Verarbeitung personenbezogener Daten im Auftrag nach Art. 28 DSGVO bei der Nutzung von ImmoDesk nach den Allgemeinen Geschäftsbedingungen („Hauptvertrag“).
2. Der Vertrag gilt, solange der Auftragnehmer für den Auftraggeber personenbezogene Daten verarbeitet – einschließlich der Testphase und bis zur Löschung oder Rückgabe der Daten nach § 9.

§ 2 Art und Zweck der Verarbeitung, Daten und Betroffene

1. Zweck ist die Bereitstellung von ImmoDesk zur Verwaltung vermieteter Immobilien: Speichern, Anzeigen, Auswerten und Übermitteln von Daten, soweit der Auftraggeber die Funktionen der Software nutzt.
2. Arten von Daten: Stamm- und Kontaktdaten (Name, Anschrift, Telefon, E-Mail), Vertragsdaten (Mietverträge, Mieten, Kautionen, sonstige Verträge), Zahlungsdaten (IBAN, Kontobewegungen), Verbrauchsdaten (Zählerstände), Kommunikationsinhalte (Meldungen, Nachrichten, Fotos), Angaben aus Selbstauskünften von Mietinteressenten (z. B. Haushaltsgröße, Beruf, Einkommen, Nachweise), Dokumente (z. B. Verträge, Belege, Grundbuchauszüge), Inhalte ausgewerteter E-Mails bei eingerichteter Mail-Überwachung sowie Zugangsdaten der Benutzer.
3. Betroffene: Mieter und Mitbewohner, Mietinteressenten, Eigentümer, Handwerker und Dienstleister, sonstige Ansprechpartner sowie die Benutzer des Auftraggebers.
4. Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO) sind nicht Gegenstand der Verarbeitung; der Auftraggeber speichert solche Daten nicht gezielt.

§ 3 Weisungen

1. Der Auftragnehmer verarbeitet die Daten nur auf dokumentierte Weisung des Auftraggebers. Weisungen sind dieser Vertrag, der Hauptvertrag und die Nutzung der Funktionen der Software durch den Auftraggeber; weitere Weisungen erteilt der Auftraggeber in Textform.
2. Ist der Auftragnehmer der Ansicht, dass eine Weisung gegen Datenschutzvorschriften verstößt, weist er den Auftraggeber unverzüglich darauf hin.
3. Eine Verarbeitung für eigene Zwecke des Auftragnehmers findet nicht statt, es sei denn, er ist gesetzlich dazu verpflichtet; dann teilt er dem Auftraggeber dies vorher mit, soweit das Gesetz es nicht verbietet.

§ 4 Vertraulichkeit

Der Auftragnehmer setzt nur Personen ein, die zur Vertraulichkeit verpflichtet sind oder einer gesetzlichen Verschwiegenheitspflicht unterliegen.

§ 5 Sicherheit der Verarbeitung

Der Auftragnehmer trifft die technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO, die in Anlage 1 beschrieben sind. Er darf sie dem Stand der Technik anpassen, sofern das Schutzniveau nicht sinkt.

§ 6 Unterauftragsverarbeiter

1. Der Auftraggeber genehmigt den Einsatz der in Anlage 2 genannten Unterauftragsverarbeiter.
2. Über beabsichtigte Änderungen informiert der Auftragnehmer mindestens vier Wochen vorher in Textform. Der Auftraggeber kann aus wichtigem datenschutzrechtlichem Grund widersprechen; kommt keine Einigung zustande, kann er den Hauptvertrag zum Zeitpunkt der Änderung kündigen.
3. Der Auftragnehmer verpflichtet Unterauftragsverarbeiter vertraglich auf dieselben Datenschutzpflichten. Eine Verarbeitung außerhalb der EU oder des EWR erfolgt nur, wenn die Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind.

§ 7 Unterstützung des Auftraggebers

1. Der Auftragnehmer unterstützt den Auftraggeber mit geeigneten Maßnahmen bei der Erfüllung der Rechte betroffener Personen (Art. 12 bis 23 DSGVO). Auskunft, Berichtigung und Löschung kann der Auftraggeber weitgehend selbst in der Software vornehmen. Wendet sich eine betroffene Person direkt an den Auftragnehmer, leitet er die Anfrage an den Auftraggeber weiter.
2. Er unterstützt den Auftraggeber zudem bei den Pflichten nach Art. 32 bis 36 DSGVO unter Berücksichtigung der ihm vorliegenden Informationen.

§ 8 Meldung von Verletzungen

Der Auftragnehmer meldet dem Auftraggeber Verletzungen des Schutzes personenbezogener Daten unverzüglich, möglichst innerhalb von 24 Stunden nach Bekanntwerden, mit den Angaben nach Art. 33 Abs. 3 DSGVO, soweit sie ihm vorliegen.

§ 9 Löschung und Rückgabe

Der Auftraggeber kann seine Daten jederzeit selbst vollständig exportieren – alle Tabellen als CSV und JSON samt aller Dateien, auch aus dem Objektspeicher. Nach Ende des Hauptvertrags löscht der Auftragnehmer die Daten 30 Tage nach Vertragsende nach vorheriger Ankündigung in Textform, soweit keine gesetzliche Pflicht zur Speicherung besteht; auf Wunsch unterstützt er den Auftraggeber zuvor bei der Rückgabe. Datensicherungen werden im regulären Ablauf nach spätestens 30 Tagen überschrieben. Auf Verlangen bestätigt der Auftragnehmer die Löschung in Textform.

§ 10 Nachweise und Überprüfungen

Der Auftragnehmer stellt dem Auftraggeber alle erforderlichen Informationen zum Nachweis der Einhaltung dieses Vertrags zur Verfügung und ermöglicht Überprüfungen, einschließlich Inspektionen, durch den Auftraggeber oder einen von ihm beauftragten Prüfer. Inspektionen sind mit angemessener Frist anzukündigen und finden während der üblichen Geschäftszeiten ohne vermeidbare Störung des Betriebs statt.

§ 11 Haftung und Schlussbestimmungen

1. Für die Haftung gilt Art. 82 DSGVO; im Übrigen gelten die Haftungsregeln des Hauptvertrags.
2. Bei Widersprüchen zwischen diesem Vertrag und dem Hauptvertrag geht dieser Vertrag in Fragen des Datenschutzes vor.
3. Der Vertrag wird in elektronischer Form geschlossen (Art. 28 Abs. 9 DSGVO). Ist eine Bestimmung unwirksam, bleibt der Vertrag im Übrigen wirksam.

Anlage 1 – Technische und organisatorische Maßnahmen

Siehe die folgenden Abschnitte.

Anlage 1: Vertraulichkeit

• Der Server steht im Rechenzentrum der STRATO AG in Deutschland; den physischen Zutritt sichert der Rechenzentrumsbetreiber.
• Die Administration des Servers erfolgt nur durch den Anbieter über SSH mit kryptografischem Schlüssel.
• Anmeldung in ImmoDesk mit persönlichem Passwort; Passwörter werden nur als bcrypt-Prüfwert gespeichert, Sitzungen als signierte Cookies geführt.
• Rollenkonzept mit Inhaber, Verwalter und Nur-Lesen-Zugang; weitere Benutzer lädt nur der Inhaber ein.
• Die Trennung der Kunden erzwingt die Datenbank selbst (Row-Level-Security). Die Anwendung arbeitet mit einer Datenbankrolle, für die diese Trennung verbindlich gilt; kundenübergreifende Zugriffe sind auf wenige fest definierte Funktionen beschränkt, etwa die Anmeldung.
• Dateien liegen je Kunde unter einem eigenen Pfad.
• Zugangsdaten zu Postfächern und Speichern werden mit AES-256-GCM verschlüsselt gespeichert.
• Die Plattform-Verwaltung des Anbieters zeigt keine Inhalte der Kunden.

Anlage 1: Integrität

• Alle Verbindungen sind durchgehend verschlüsselt (TLS); Push-Benachrichtigungen werden verschlüsselt übertragen.
• Alle Eingaben werden auf dem Server geprüft; Nachrichten und Meldungen tragen Zeitstempel und Verfasser.

Anlage 1: Verfügbarkeit und Belastbarkeit

• Tägliche vollständige Datenbanksicherung, 30 Tage aufbewahrt; zusätzlich außer Haus im Objektspeicher, sobald eingerichtet. Vor jeder Aktualisierung wird die Datenbank gesichert.
• Die Dienste werden laufend auf ihre Funktion geprüft und starten nach Störungen automatisch neu.

Anlage 1: Überprüfung und Weiterentwicklung

• Vor jeder Auslieferung laufen automatisierte Tests, darunter Tests der Mandantentrennung.
• Sicherheitsaktualisierungen der eingesetzten Software werden zeitnah eingespielt.

Anlage 2 – Unterauftragsverarbeiter

• STRATO AG, Otto-Ostrowski-Straße 7, 10249 Berlin – Betrieb des Servers, auf dem ImmoDesk und die Datenbank laufen (Rechenzentrum in Deutschland).
• Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen – Speicherung von Dokumenten, Fotos und Datensicherungen in einem Objektspeicher (Rechenzentrum in der EU), sofern eingerichtet.
• Push-Dienste der Browser- und Gerätehersteller (Google, Apple, Mozilla, Microsoft) – Zustellung von Benachrichtigungen an Mieter, die diese in der Mieter-App selbst einschalten. Der Dienst erhält eine Gerätekennung und die verschlüsselte Benachrichtigung; eine Übermittlung in die USA ist möglich, Google, Apple und Microsoft sind nach dem EU-US Data Privacy Framework zertifiziert.