Auftragsverarbeitungsvertrag (AVV)

Parteien des Vertrages

Dieser Auftragsverarbeitungsvertrag (nachfolgend „AVV“ oder „Vertrag“) wird geschlossen zwischen dem Kunden, der die Software-as-a-Service-Plattform PropGate nutzt (nachfolgend der „Verantwortliche“), und

PropGate
Inhaber: Matthias Deusch
In den Grüben 139
84489 Burghausen
Deutschland
Telefon: +49 162 4298832
E-Mail: datenschutz@propgate.de

(nachfolgend der „Auftragsverarbeiter“)

– Verantwortlicher und Auftragsverarbeiter nachfolgend auch einzeln „Partei“ und gemeinsam „Parteien“ –

Präambel

Der Verantwortliche nutzt auf Grundlage eines separaten Hauptvertrages (Nutzungsvertrag über das Kundenkonto nach den AGB von PropGate einschließlich gebuchter Abonnements, nachfolgend „Hauptvertrag“) die Software-as-a-Service-Plattform PropGate des Auftragsverarbeiters zum Zwecke der digitalen Immobilienverwaltung. Im Rahmen dieser Nutzung verarbeitet der Auftragsverarbeiter personenbezogene Daten im Auftrag und nach Weisung des Verantwortlichen. Dieser AVV regelt die Rechte und Pflichten der Parteien in Bezug auf diese Auftragsverarbeitung gemäß Art. 28 DSGVO.

Bei Widersprüchen zwischen diesem AVV und dem Hauptvertrag gehen die Regelungen dieses AVV in Bezug auf die Verarbeitung personenbezogener Daten vor.

§ 1 Gegenstand und Dauer der Verarbeitung

(1) Gegenstand der Auftragsverarbeitung ist die Bereitstellung und der Betrieb der Cloud-basierten Software PropGate zur Verwaltung von Immobilien, Mietverhältnissen, Zahlungen, Mahnwesen, Nebenkostenabrechnungen, Tickets, Dienstleistern, Dokumenten und zugehörigen Geschäftsvorfällen.

(2) Die Dauer der Auftragsverarbeitung entspricht der Laufzeit des Nutzungsvertrags über das Kundenkonto (Hauptvertrag) einschließlich der Testphase und der Zeiten, in denen der Zugang nach dem Hauptvertrag gesperrt ist; sie endet mit der Löschung der Daten nach § 12. Während einer Sperre setzt der Auftragsverarbeiter die vom Verantwortlichen eingerichteten automatischen Abläufe der Bestandsverwaltung fort; Versand an Dritte, automatische Mahnungen und öffentliche Formulare ruhen. Pflichten, die ihrer Natur nach über die Vertragsdauer hinauswirken (insbesondere Vertraulichkeit), bleiben unberührt.

§ 2 Art und Zweck der Verarbeitung

(1) Art der Verarbeitung: Speicherung, Strukturierung, Auslesen, Abfrage, Veränderung, Berichtigung, Löschung, Vervielfältigung (Backups), Übermittlung sowie Bereitstellung zum Abruf über das Internet.

(2) Zweck der Verarbeitung: Erbringung der vertraglich geschuldeten SaaS-Leistungen gemäß Hauptvertrag, insbesondere:

• Verwaltung von Objekten, Einheiten, Mietverträgen und Mietern
• Verwaltung von Mietinteressenten und Bewerbungen einschließlich Selbstauskünften, hochgeladener Unterlagen und Besichtigungsterminen
• Erstellung und Verwaltung von Sollstellungen, Zahlungen und Mahnungen
• Bankimport und automatisierter Zahlungsabgleich
• Nebenkostenabrechnungen, Heizkostenabrechnungen und Warmmieten-Berechnungen
• Ticket- und Schadensmanagement inkl. Dienstleister-Zuordnung
• Dokumentenverwaltung und Generierung von PDF-/DOCX-Dokumenten (Mahnungen, Mietverträge u. a.)
• Kredit- und Tilgungsplanverwaltung
• Zähler- und Ablesewertverwaltung, Wartungspläne, Zeiterfassung
• Versand transaktionaler E-Mails an Mieter und sonstige Vertragspartner des Verantwortlichen im Auftrag des Verantwortlichen
• Druck und Postversand von Briefen (z. B. Einschreiben), die der Verantwortliche auslöst
• Benutzer- und Rechteverwaltung innerhalb des Mandanten
• Bearbeitung von Support-Anfragen des Verantwortlichen; eine KI-gestützte Auswertung einer Anfrage (Anlage 2: Anthropic, GitHub) nur, wenn der Verantwortliche sie bei dieser Anfrage ausdrücklich auswählt, und an Anthropic nur über die Programmierschnittstelle (API)

(3) Eine Verarbeitung zu anderen als den in diesem Vertrag genannten Zwecken findet nicht statt. Der Auftragsverarbeiter verarbeitet die personenbezogenen Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen.

§ 3 Art der personenbezogenen Daten

Gegenstand der Verarbeitung sind insbesondere folgende Datenkategorien:

• Stammdaten: Vor- und Nachname, Anrede, Geburtsdatum, Firma
• Kontaktdaten: Anschrift, Telefonnummer, E-Mail-Adresse
• Vertragsdaten: Mietverhältnisse, Laufzeiten, Miethöhe, Kautions- und Bankverbindungsdaten (IBAN, BIC, Kontoinhaber)
• Zahlungsdaten: Sollstellungen, Eingangszahlungen, Mahn- und Säumniszustände, Bankauszugspositionen
• Kommunikationsdaten: Schriftverkehr, Mahnschreiben, Ticketinhalte
• Bewerbungs- und Selbstauskunftsdaten: Haushalt, Beruf und Einkommen, Bonitätsnachweise, Nachweise zur Identität, hochgeladene Unterlagen
• Technische Nutzungsdaten: Login-Zeitstempel, IP-Adressen (gekürzt zum Zweck der Sicherheit/Missbrauchsprävention), Gerätekennungen für Zwei-Faktor-Authentifizierung
• Dokumenteninhalte: Vom Verantwortlichen hochgeladene Dokumente (z. B. Mietverträge, Rechnungen, Belege)
• Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO): Der Auftragsverarbeiter verarbeitet diese nicht gezielt. Sollten solche Daten unbeabsichtigt in Freitextfeldern oder Dokumenten enthalten sein, werden sie mit dem gleichen Schutzniveau wie übrige Daten behandelt. Der Verantwortliche stellt sicher, dass die Verarbeitung solcher Daten nur im Rahmen der gesetzlichen Vorgaben erfolgt.

§ 4 Kategorien betroffener Personen

Von der Verarbeitung sind insbesondere folgende Personengruppen betroffen:

• Mieter (Wohn- und Gewerbemieter) sowie ehemalige Mieter
• Mietinteressenten und Bewerber, Bürgen, Nutzer des Mieterportals, Melder von Schäden
• Eigentümer und Verwalter von Immobilien
• Mitarbeiter und Sachbearbeiter des Verantwortlichen (Benutzer des Systems)
• Dienstleister und deren Ansprechpartner (Handwerker, Ablesedienste u. a.)
• Weitere vom Verantwortlichen eingetragene Geschäftspartner

§ 5 Pflichten des Auftragsverarbeiters

Der Auftragsverarbeiter verpflichtet sich,

1. personenbezogene Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen – auch in Bezug auf die Übermittlung personenbezogener Daten an ein Drittland oder eine internationale Organisation – zu verarbeiten, es sei denn, er ist aufgrund des Rechts der Europäischen Union oder eines Mitgliedstaats hierzu verpflichtet; in einem solchen Fall teilt der Auftragsverarbeiter dem Verantwortlichen diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht eine solche Mitteilung nicht wegen eines wichtigen öffentlichen Interesses verbietet (Art. 28 Abs. 3 lit. a DSGVO);
2. sicherzustellen, dass sich alle zur Verarbeitung befugten Personen zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen (Art. 28 Abs. 3 lit. b i. V. m. Art. 29, 32 Abs. 4 DSGVO);
3. alle gemäß Art. 32 DSGVO erforderlichen technischen und organisatorischen Maßnahmen (TOM) zu treffen, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten (siehe Anlage 1);
4. den Verantwortlichen unverzüglich zu informieren, falls eine vom Verantwortlichen erteilte Weisung nach Auffassung des Auftragsverarbeiters gegen datenschutzrechtliche Vorschriften verstößt;
5. den Verantwortlichen unter Berücksichtigung der Art der Verarbeitung und der ihm zur Verfügung stehenden Informationen bei der Einhaltung seiner gemäß Art. 32 bis 36 DSGVO bestehenden Pflichten angemessen zu unterstützen (Art. 28 Abs. 3 lit. f DSGVO);
6. dem Verantwortlichen alle erforderlichen Informationen zum Nachweis der Einhaltung der in Art. 28 DSGVO niedergelegten Pflichten zur Verfügung zu stellen und Überprüfungen – einschließlich Inspektionen –, die vom Verantwortlichen oder einem anderen von diesem beauftragten Prüfer durchgeführt werden, zu ermöglichen und dazu beizutragen (Art. 28 Abs. 3 lit. h DSGVO).

§ 6 Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

(1) Der Auftragsverarbeiter trifft die in Anlage 1 dieses AVV beschriebenen technischen und organisatorischen Maßnahmen zur Gewährleistung der Sicherheit der Verarbeitung.

(2) Die TOM unterliegen dem technischen Fortschritt und der Weiterentwicklung. Der Auftragsverarbeiter ist berechtigt, alternative, gleichwertige oder höherwertige Maßnahmen umzusetzen. Das Sicherheitsniveau darf dadurch jedoch nicht unterschritten werden. Wesentliche Änderungen sind zu dokumentieren und dem Verantwortlichen auf Anfrage mitzuteilen.

§ 7 Unterauftragsverarbeiter (Subprozessoren)

(1) Der Verantwortliche erteilt hiermit eine allgemeine schriftliche Genehmigung zum Einsatz der in Anlage 2 aufgeführten Unterauftragsverarbeiter (Art. 28 Abs. 2 Satz 2 DSGVO).

(2) Der Auftragsverarbeiter informiert den Verantwortlichen mindestens 30 Tage vor jeder beabsichtigten Änderung in Bezug auf die Hinzuziehung oder Ersetzung von Unterauftragsverarbeitern. Der Verantwortliche hat das Recht, gegen solche Änderungen unter Nennung sachlicher Gründe Einspruch zu erheben. Kann keine Einigung erzielt werden, steht dem Verantwortlichen ein außerordentliches Kündigungsrecht für den Hauptvertrag in Bezug auf die betroffene Leistung zu.

(3) Der Auftragsverarbeiter verpflichtet den Unterauftragsverarbeiter vertraglich auf die gleichen Datenschutzpflichten, wie sie in diesem AVV festgelegt sind, einschließlich hinreichender Garantien für die Umsetzung geeigneter technischer und organisatorischer Maßnahmen (Art. 28 Abs. 4 DSGVO).

(4) Erfolgt eine Übermittlung personenbezogener Daten an einen Unterauftragsverarbeiter in einem Drittland außerhalb des EWR, stellt der Auftragsverarbeiter sicher, dass die Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind (insbesondere durch Angemessenheitsbeschluss oder EU-Standardvertragsklauseln zzgl. ergänzender Maßnahmen).

(5) Als Unterauftragsverarbeitung im Sinne dieses Vertrages gelten nicht Nebenleistungen, die der Auftragsverarbeiter bei Dritten in Anspruch nimmt, wie z. B. Telekommunikationsleistungen, Reinigung, Wartung von Endgeräten oder die Entsorgung von Datenträgern. Der Auftragsverarbeiter ist jedoch verpflichtet, auch in solchen Fällen angemessene vertragliche und tatsächliche Vorkehrungen zur Wahrung des Datenschutzes und der Datensicherheit zu treffen.

§ 8 Rechte der Betroffenen

(1) Der Auftragsverarbeiter unterstützt den Verantwortlichen, soweit wie möglich und unter Berücksichtigung der Art der Verarbeitung, mit geeigneten technischen und organisatorischen Maßnahmen bei der Erfüllung seiner Pflicht zur Beantwortung von Anträgen betroffener Personen auf Wahrnehmung ihrer Rechte gemäß Art. 12 bis 23 DSGVO (Art. 28 Abs. 3 lit. e DSGVO).

(2) Wendet sich ein Betroffener unmittelbar an den Auftragsverarbeiter zur Geltendmachung seiner Rechte, leitet der Auftragsverarbeiter dieses Ersuchen unverzüglich an den Verantwortlichen weiter. Der Auftragsverarbeiter gibt von sich aus keine Auskunft gegenüber Betroffenen.

(3) Der Verantwortliche verfügt innerhalb der Anwendung über die notwendigen Funktionen, um Auskunfts-, Berichtigungs-, Lösch- und Exportanfragen selbständig zu bearbeiten, darunter einen Export sämtlicher Daten seines Kontos als ZIP-Archiv (eine JSON-Datei je Tabelle sowie alle hochgeladenen und von PropGate erzeugten Dokumente). Für Zeiten eines gesperrten Zugangs gilt Abs. 4.

(4) Ist der Zugang des Verantwortlichen nach dem Hauptvertrag gesperrt, stehen ihm in der Anwendung der Datenexport und die Kündigung des Kontos zur Verfügung; eine sofortige vollständige Löschung nimmt der Auftragsverarbeiter auf Weisung nach § 12 Abs. 2 vor. Berichtigungen, Löschungen oder Einschränkungen einzelner Datensätze führt der Auftragsverarbeiter in dieser Zeit auf Weisung in Textform (datenschutz@propgate.de) unentgeltlich und unverzüglich aus.

§ 9 Mitteilung von Datenschutzverletzungen (Art. 33 DSGVO)

(1) Der Auftragsverarbeiter meldet dem Verantwortlichen jede ihm bekannt gewordene Verletzung des Schutzes personenbezogener Daten, die durch ihn oder einen von ihm eingesetzten Unterauftragsverarbeiter entstanden ist, unverzüglich, möglichst innerhalb von 48 Stunden nach Kenntniserlangung.

(2) Die Meldung erfolgt in Textform (E-Mail genügt) an die vom Verantwortlichen hinterlegte Datenschutz-Kontaktadresse und enthält mindestens:

• eine Beschreibung der Art der Verletzung
• die Kategorien und ungefähre Zahl der betroffenen Personen und Datensätze
• den Namen und die Kontaktdaten einer Anlaufstelle für weitere Informationen
• eine Beschreibung der wahrscheinlichen Folgen der Verletzung
• eine Beschreibung der ergriffenen oder geplanten Maßnahmen zur Behebung

(3) Der Auftragsverarbeiter unterstützt den Verantwortlichen bei der Erfüllung etwaiger Melde- und Benachrichtigungspflichten gemäß Art. 33 und 34 DSGVO.

§ 10 Kontrollrechte des Verantwortlichen (Audit)

(1) Der Verantwortliche hat das Recht, die Einhaltung der datenschutzrechtlichen Vorschriften und der vertraglichen Vereinbarungen beim Auftragsverarbeiter nach vorheriger Anmeldung mit angemessener Frist (in der Regel vier Wochen) während der üblichen Geschäftszeiten zu kontrollieren.

(2) Der Auftragsverarbeiter kann seinen Nachweispflichten durch die Vorlage geeigneter Nachweise erbringen, insbesondere durch:

• eine aktuelle Dokumentation der technischen und organisatorischen Maßnahmen
• ein aktuelles Testat, einen Bericht oder einen Ausschnitt eines Berichts eines unabhängigen Prüfers (z. B. SOC 2, ISO 27001), soweit verfügbar
• eine geeignete Zertifizierung nach genehmigtem Zertifizierungsverfahren (Art. 42 DSGVO)

(3) Sofern der Verantwortliche ein physisches Vor-Ort-Audit durchführen möchte, ist der Auftragsverarbeiter berechtigt, einen angemessenen Aufwandsersatz zu verlangen. Das Audit darf den Geschäftsbetrieb nicht unverhältnismäßig beeinträchtigen. Betriebsgeheimnisse und personenbezogene Daten anderer Kunden sind angemessen zu schützen.

§ 11 Vertraulichkeit

(1) Der Auftragsverarbeiter verpflichtet seine mit der Verarbeitung betrauten Mitarbeiter schriftlich auf die Vertraulichkeit und das Datengeheimnis nach Art. 28 Abs. 3 lit. b, Art. 29 und Art. 32 Abs. 4 DSGVO. Diese Verpflichtung besteht auch nach Beendigung des Beschäftigungsverhältnisses fort.

(2) Der Auftragsverarbeiter stellt sicher, dass Mitarbeiter und eingebundene Dritte vor Aufnahme ihrer Tätigkeit über die für sie relevanten Bestimmungen des Datenschutzes informiert und regelmäßig geschult werden.

§ 12 Beendigung – Rückgabe und Löschung der Daten

(1) Der Verantwortliche kann seine Daten jederzeit, auch während einer Sperre und nach Beendigung des Hauptvertrags bis zur Löschung nach Abs. 2, über den Datenexport der Anwendung als ZIP-Archiv herunterladen (eine JSON-Datei je Tabelle sowie alle hochgeladenen und von PropGate erzeugten Dokumente). Dies ist die Rückgabe der Daten im Sinne von Art. 28 Abs. 3 Satz 2 lit. g DSGVO. Auf Weisung in Textform stellt der Auftragsverarbeiter den Export bereit.

(2) Kündigt der Verantwortliche sein Konto, bleiben die Daten 180 Tage gespeichert; läuft zu diesem Zeitpunkt noch ein bezahltes Abonnement, beginnt die Frist mit dessen Ende. Dasselbe gilt, wenn der Auftragsverarbeiter das Konto nach dem Hauptvertrag kündigt, weil 180 Tage nach dem Ende der Testphase oder eines Abonnements kein Plan gebucht ist; diese Kündigung erklärt er mit einer Frist von 30 Tagen und erinnert 30, 7 und 1 Tag vor ihrem Wirksamwerden per E-Mail. Innerhalb der 180 Tage kann der Verantwortliche die Kündigung zurücknehmen. Danach löscht der Auftragsverarbeiter sämtliche personenbezogenen Daten des Verantwortlichen einschließlich der Dokumente vollständig und dauerhaft; er weist 30, 7 und 1 Tag vorher per E-Mail darauf hin. Wünscht der Verantwortliche eine frühere Löschung, weist er sie in Textform an (datenschutz@propgate.de); der Auftragsverarbeiter löscht dann sämtliche Daten des Kontos einschließlich aller Dateien unverzüglich, spätestens binnen 30 Tagen, und bestätigt die Löschung in Textform.

(3) Gesetzliche Aufbewahrungspflichten des Verantwortlichen (etwa nach § 14b UStG oder § 147 AO) erfüllt der Verantwortliche selbst, insbesondere durch den Export vor der Löschung. Der Auftragsverarbeiter bewahrt keine Daten im Auftrag über die Löschung hinaus auf; nicht erfasst sind seine eigenen Vertrags- und Rechnungsdaten über das PropGate-Abonnement.

(4) Datensicherungen bei Unterauftragsverarbeitern werden im Rahmen ihrer Rotation spätestens 90 Tage nach der Löschung überschrieben. Die Löschung bestätigt der Auftragsverarbeiter auf Anforderung in Textform.

§ 13 Haftung

(1) Für die Haftung gelten die Regelungen des Art. 82 DSGVO.

(2) Die Haftung zwischen den Parteien richtet sich im Übrigen nach den Regelungen des Hauptvertrages.

§ 14 Schlussbestimmungen

(1) Sollte eine Bestimmung dieses Vertrages unwirksam sein oder werden, so bleibt die Wirksamkeit der übrigen Bestimmungen unberührt. An die Stelle der unwirksamen Bestimmung tritt eine wirksame Bestimmung, die dem wirtschaftlichen Zweck der unwirksamen Bestimmung am nächsten kommt.

(2) Änderungen und Ergänzungen dieses AVV bedürfen der Textform. Dies gilt auch für den Verzicht auf das Textformerfordernis.

(3) Es gilt ausschließlich das Recht der Bundesrepublik Deutschland unter Ausschluss des UN-Kaufrechts. Gerichtsstand ist, soweit gesetzlich zulässig, der Sitz des Auftragsverarbeiters.