Auftragsverarbeitungsvertrag (AVV)

zwischen

dem jeweiligen Nutzer von ImmoCrab als Verantwortlichem – nachfolgend „Kunde“ –

und

Immocrab – Inhaber: Cihan Ildizli Rohrstücke 18 24568 Kattendorf Deutschland E-Mail: info@immocrab.de

– nachfolgend „Auftragsverarbeiter“ oder „ImmoCrab“ –

1. Gegenstand und Dauer der Verarbeitung

1.1 Dieser Auftragsverarbeitungsvertrag regelt die Verarbeitung personenbezogener Daten durch ImmoCrab im Auftrag des Kunden im Rahmen der Nutzung der Webanwendung ImmoCrab.

1.2 Gegenstand der Verarbeitung ist die technische Bereitstellung einer SaaS-Webanwendung zur Unterstützung bei der Immobilienverwaltung.

1.3 Die Dauer der Verarbeitung richtet sich nach der Dauer des Nutzungsvertrags zwischen Kunde und ImmoCrab. Nach Vertragsende gilt die vereinbarte Reaktivierungs- und Exportfrist. Danach werden produktive Daten gelöscht, soweit keine gesetzlichen Aufbewahrungspflichten oder berechtigten Interessen entgegenstehen.

1.4 Die Annahme dieses AVV soll zusammen mit der Annahme der AGB und der Kenntnisnahme der Datenschutzerklärung bei der Registrierung dokumentiert werden.

2. Art und Zweck der Verarbeitung

2.1 Die Verarbeitung erfolgt zur Bereitstellung, Pflege, Sicherung und Unterstützung der Nutzung von ImmoCrab.

2.2 Zwecke der Verarbeitung sind insbesondere:

• Objektverwaltung
• Verwaltung von Mietern, Eigentümern, Verwaltern und Kontakten
• Mietvertragsverwaltung
• Betriebskostenabrechnung
• Rechnungs- und Dokumentenverwaltung
• Zählerstandsverwaltung
• Zahlungsverwaltung und Zahlungszuordnung
• optionale Online-Banking-Funktionen
• optionale KI-Funktionen
• Datenexport
• Kontolöschung
• technische Sicherheit
• Fehleranalyse und Missbrauchsprävention

3. Kategorien betroffener Personen

Die Verarbeitung kann insbesondere folgende Kategorien betroffener Personen betreffen:

• Mieter
• ehemalige Mieter
• Mietinteressenten, soweit vom Kunden erfasst
• Eigentümer
• Vermieter
• Verwalter
• Mitarbeiter oder Beauftragte des Kunden
• Dienstleister
• Lieferanten
• Handwerker
• sonstige Kontakte des Kunden

4. Kategorien personenbezogener Daten

Die Verarbeitung kann insbesondere folgende Datenkategorien umfassen:

• Namen
• Anreden
• Kontaktdaten
• Adressen
• E-Mail-Adressen
• Telefonnummern
• Geburtsdaten
• Personenzahl
• Mietvertragsdaten
• Objekt- und Wohnungsdaten
• Wohnflächen
• Zimmeranzahl
• Zählernummern
• Zählerstände
• Ausstattungsmerkmale
• Eigentums- und Verwaltungsdaten
• Mietbeginn und Mietende
• Miethöhe
• Nebenkosten
• Kaution
• Laufzeiten
• Zusatzvereinbarungen
• Vertragsänderungen
• Zahlungsdaten
• IBAN und BIC
• Bankdaten
• gegebenenfalls Steuer-ID
• Kautionskonto
• Rechnungsdaten
• Lieferantendaten
• Betriebskostenpositionen
• Umlageschlüssel
• Guthaben und Nachzahlungen
• Aufgaben, Meldungen, Notizen und Statusinformationen
• technische Protokolldaten

5. Verantwortlichkeit des Kunden

5.1 Der Kunde ist Verantwortlicher im Sinne der DSGVO für die Verarbeitung der Kundendaten.

5.2 Der Kunde ist verantwortlich für:

• die Rechtmäßigkeit der Datenverarbeitung
• die Auswahl der in ImmoCrab verarbeiteten Daten
• die Information betroffener Personen
• die Wahrung von Betroffenenrechten
• die Einhaltung gesetzlicher Aufbewahrungs- und Löschpflichten
• die datenschutzkonforme Nutzung von KI- und Banking-Funktionen
• die Berechtigungsverwaltung seiner Nutzer und Unterkonten

5.3 Der Kunde darf ImmoCrab nur im Rahmen geltenden Datenschutzrechts nutzen.

6. Pflichten von ImmoCrab als Auftragsverarbeiter

6.1 ImmoCrab verarbeitet personenbezogene Daten nur auf dokumentierte Weisung des Kunden, soweit keine gesetzliche Verpflichtung zu einer abweichenden Verarbeitung besteht.

6.2 Die Weisungen ergeben sich aus diesem AVV, den AGB, der Nutzung der Anwendung durch den Kunden und den vom Kunden vorgenommenen Eingaben, Einstellungen und Funktionsaufrufen.

6.3 ImmoCrab stellt sicher, dass Personen, die Zugang zu personenbezogenen Daten haben, zur Vertraulichkeit verpflichtet sind oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen.

6.4 ImmoCrab trifft geeignete technische und organisatorische Maßnahmen zum Schutz personenbezogener Daten.

6.5 ImmoCrab unterstützt den Kunden im gesetzlich erforderlichen und zumutbaren Umfang bei der Erfüllung von Betroffenenrechten, Datenschutz-Folgenabschätzungen und Meldungen von Datenschutzverletzungen.

7. Technische und organisatorische Maßnahmen

Nach aktuellem Projektstand umfassen die technischen und organisatorischen Maßnahmen insbesondere:

• HTTPS-Verschlüsselung
• Passwort-Hashing
• Mandantentrennung
• Rollen- und Berechtigungskonzept
• Audit-Logs
• Zugriffsbeschränkungen
• Export- und Löschfunktionen
• verschlüsselte Speicherung sensibler Zugangsdaten, soweit vorgesehen

Die Maßnahmen können weiterentwickelt werden, soweit das Sicherheitsniveau nicht unangemessen abgesenkt wird.

8. Unterauftragsverarbeiter

8.1 ImmoCrab darf Unterauftragsverarbeiter einsetzen, soweit dies zur Bereitstellung der Leistungen erforderlich ist.

8.2 Nach aktuellem Projektstand kommen insbesondere folgende Unterauftragsverarbeiter oder Dienstleister in Betracht:

• Vercel Inc., USA – Hosting, Serverless-Funktionen, CDN
• Vercel Postgres – Datenbankhosting
• Resend – Transaktions-E-Mails
• OpenAI – optionale KI-Funktionen
• INWX – Domain und E-Mail-Infrastruktur
• comdirect – optionale/interne Banking-Funktion, soweit technisch erforderlich
• Banken – bei Zahlung per Überweisung oder Rechnung

8.3 PayPal und Stripe sind derzeit nur als geplante Zahlungsanbieter vorgesehen und werden erst bei tatsächlicher Aktivierung als aktive Empfänger beziehungsweise Dienstleister aufgenommen.

8.4 ImmoCrab schließt mit Unterauftragsverarbeitern, soweit erforderlich, Verträge nach Art. 28 DSGVO oder stellt geeignete Datenschutzgarantien sicher. Dies ist vor öffentlicher kommerzieller Nutzung insbesondere für Vercel, Resend, OpenAI und INWX zu prüfen beziehungsweise zu aktivieren.

8.5 Der Kunde erteilt eine allgemeine Genehmigung zum Einsatz weiterer oder anderer Unterauftragsverarbeiter. ImmoCrab informiert den Kunden über wesentliche Änderungen, soweit dies erforderlich ist. Der Kunde kann aus wichtigem datenschutzrechtlichem Grund widersprechen.

9. Drittlandübermittlungen

9.1 Soweit Unterauftragsverarbeiter außerhalb der EU oder des EWR eingesetzt werden, stellt ImmoCrab sicher, dass die Voraussetzungen der Art. 44 ff. DSGVO eingehalten werden.

9.2 Dies kann insbesondere durch Angemessenheitsbeschluss, EU-Standardvertragsklauseln, Data Processing Addendum oder eine geeignete Zertifizierung, etwa nach dem EU-U.S. Data Privacy Framework, erfolgen, soweit einschlägig.

9.3 Die konkrete Vertragslage mit US-Anbietern, insbesondere Vercel, Resend und OpenAI, ist vor öffentlicher kommerzieller Nutzung final zu prüfen und zu dokumentieren.

10. Unterstützung bei Betroffenenrechten

10.1 Geht bei ImmoCrab eine Anfrage einer betroffenen Person ein, die Kundendaten betrifft, wird ImmoCrab die Anfrage grundsätzlich an den Kunden weiterleiten, soweit eine Zuordnung möglich ist.

10.2 ImmoCrab beantwortet solche Anfragen nicht eigenständig, soweit der Kunde Verantwortlicher ist, es sei denn, der Kunde weist ImmoCrab hierzu an oder eine gesetzliche Pflicht besteht.

10.3 ImmoCrab unterstützt den Kunden im zumutbaren und gesetzlich erforderlichen Umfang bei Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit und Widerspruch.

11. Sicherheitsvorfälle

11.1 ImmoCrab informiert den Kunden unverzüglich, wenn ImmoCrab eine Verletzung des Schutzes personenbezogener Daten feststellt, die Kundendaten betrifft.

11.2 Die Meldung enthält, soweit verfügbar, Angaben zu Art des Vorfalls, betroffenen Daten, möglichen Folgen und ergriffenen oder vorgeschlagenen Maßnahmen.

11.3 Der Kunde bleibt verantwortlich für gesetzliche Melde- und Benachrichtigungspflichten gegenüber Aufsichtsbehörden und betroffenen Personen, soweit er Verantwortlicher ist.

12. Löschung und Rückgabe nach Vertragsende

12.1 Nach Vertragsende kann der Kunde seine Daten während einer 30-tägigen Reaktivierungs- und Exportfrist exportieren.

12.2 Nach Ablauf dieser Frist löscht ImmoCrab produktive Kundendaten, soweit keine gesetzlichen Aufbewahrungspflichten oder berechtigten Interessen entgegenstehen.

12.3 Daten können in Backups noch bis zur automatischen Überschreibung enthalten sein. Die Backup-Aufbewahrung wird mit maximal 30 Tagen angesetzt, soweit dies technisch mit Vercel Postgres beziehungsweise dem gewählten Tarif vereinbar und steuerbar ist.

13. Kontrollrechte und Nachweise

13.1 ImmoCrab stellt dem Kunden auf Anfrage die zur Erfüllung von Art. 28 DSGVO erforderlichen Informationen zur Verfügung.

13.2 Prüfungen oder Audits sind mit angemessener Frist anzukündigen und dürfen den Betrieb von ImmoCrab nicht unverhältnismäßig beeinträchtigen.

13.3 Soweit geeignete Nachweise, Zertifizierungen, Dokumentationen oder Berichte verfügbar sind, können diese anstelle einer Vor-Ort-Prüfung bereitgestellt werden.

14. Schlussbestimmungen

14.1 Dieser AVV ist Bestandteil der AGB und des Nutzungsvertrags, soweit der Kunde personenbezogene Daten Dritter in ImmoCrab verarbeitet.

14.2 Bei Widersprüchen zwischen diesem AVV und den AGB gehen die Regelungen dieses AVV hinsichtlich der Auftragsverarbeitung vor.

14.3 Änderungen dieses AVV bedürfen einer dokumentierten Form, etwa durch aktualisierte Online-Fassung und wirksame Einbeziehung in den Nutzungsvertrag.