Auftragsverarbeitungsvertrag

Auftraggeber (Verantwortlicher) ist das Unternehmen, das Immeva nutzt und dafür ein Büro angelegt hat.

Auftragnehmer (Auftragsverarbeiter) ist:

(1) Der Auftragnehmer stellt dem Auftraggeber die Maklersoftware Immeva als Dienst über das Internet bereit und verarbeitet dabei personenbezogene Daten im Auftrag des Auftraggebers. Dieser Vertrag regelt die Pflichten der Parteien nach Art. 28 DSGVO.

(2) Der Vertrag gilt, solange der Auftragnehmer Daten für den Auftraggeber verarbeitet, also bis zur Löschung nach § 9.

(1) Art und Zweck: Speichern, Anzeigen, Suchen und Auswerten der Daten des Büros; Versand von Mails, Newslettern, Exposés und Objektvorschlägen; Abgleich mit Postfächern und Kalendern, die der Auftraggeber verbindet; Übertragung von Objekten an Immobilienportale; Empfang von Anfragen aus Portalen, Website-Widget und Kundenportal; Erzeugen von PDFs, Bildern und Videos; Bestimmen von Koordinaten zu Adressen; Textvorschläge, wenn der Auftraggeber sie einschaltet; Datensicherung; Löschung nach den eingestellten oder gesetzlichen Fristen; Support nach § 3 Abs. 4. Die Suche nach Bedeutung läuft auf den Servern des Auftragnehmers.

(2) Arten von Daten:

• Kontaktdaten: Name, Anschrift, E-Mail, Telefon, Firma, Rolle, Notizen, Kommunikationsverlauf, Einwilligungen und Widersprüche, Suchprofile, Interessen;
• Objektdaten: Adressen, Beschreibungen, Fotos, Grundrisse, Dokumente wie Grundbuchauszüge, Energieausweise und Verträge, Eigentümer und Beteiligte;
• Mails, Termine, Aufgaben, Anfragen, Besichtigungen und Rückmeldungen;
• Verträge, Unterschriften, Rechnungen, Provisionen und Bankverbindungen;
• Unterlagen nach dem Geldwäschegesetz: Angaben und Ausweiskopien zur Identifizierung, wirtschaftlich Berechtigte, Angaben zu politisch exponierten Personen, Risikobewertungen und Verdachtsfälle;
• Konten im Kundenportal, Empfänger von Newslettern und deren Einwilligungen;
• Daten der Nutzer des Auftraggebers in Immeva und das Protokoll ihrer Aktionen.

Besondere Kategorien nach Art. 9 DSGVO sind nicht vorgesehen. Der Auftragnehmer verarbeitet sie nur, wenn der Auftraggeber sie in Immeva ablegt.

(3) Betroffene: Interessenten, Kunden, Eigentümer, Verkäufer, Käufer, Mieter, Vermieter, Tippgeber, Geschäftspartner und deren Ansprechpartner, Newsletter-Empfänger, Besucher des Website-Widgets und des Kundenportals sowie Beschäftigte und andere Nutzer des Auftraggebers.

(4) Ort: Die Verarbeitung findet in der EU statt, Server und Speicher stehen in Deutschland. Für Unterauftragnehmer mit Sitz oder Muttergesellschaft außerhalb der EU gelten die in der Liste genannten Garantien nach Art. 44 ff. DSGVO.

(1) Der Auftragnehmer verarbeitet die Daten nur auf dokumentierte Weisung des Auftraggebers, es sei denn, das Recht der EU oder Deutschlands verpflichtet ihn dazu. Dann teilt er dem Auftraggeber das vorher mit, soweit das Recht es nicht verbietet.

(2) Weisungen sind dieser Vertrag, die AGB sowie die Einstellungen und Aktionen der Nutzer des Auftraggebers in Immeva, etwa Rollen und Rechte, Freigaben, Löschungen, Versand, verbundene Dienste, die Einstellungen zu Textvorschlägen und automatischen Antworten sowie die vorgesehenen Löschfristen, etwa für Unterlagen nach § 8 Abs. 4 GwG. Weitere Weisungen erteilt der Auftraggeber in Textform.

(3) Verbindet der Auftraggeber einen Dienst, etwa einen Google- oder Microsoft-Kalender, ein Postfach per IMAP und SMTP, ein Immobilienportal, einen Webhook oder ein Programm über einen Schnittstellen-Schlüssel, weist er den Auftragnehmer an, Daten mit diesem Dienst auszutauschen. Der Anbieter des Dienstes ist dann kein Unterauftragnehmer des Auftragnehmers, sondern Empfänger, den der Auftraggeber selbst wählt.

(4) Erteilen Inhaber oder Admins des Auftraggebers dem Support des Auftragnehmers eine Freigabe für eine Stunde, 24 Stunden oder sieben Tage, ist das die Weisung, für diese Zeit in das Büro zu schauen, um eine Anfrage zu klären. Der Support liest dann nur. Postfächer, Exporte, Datenschutzauskünfte, Schnittstellen-Schlüssel und Webhooks bleiben gesperrt. Die Freigabe endet mit Ablauf der Zeit oder wenn der Auftraggeber sie beendet. Jede Freigabe und jede Einsicht steht mit Person und Zeit im Protokoll des Büros.

(5) Hält der Auftragnehmer eine Weisung für rechtswidrig, teilt er das dem Auftraggeber unverzüglich mit und darf sie bis zur Klärung aussetzen.

(1) Der Auftragnehmer setzt nur Personen ein, die auf Vertraulichkeit verpflichtet und mit dem Datenschutz vertraut sind.

(2) Mitarbeiter des Auftragnehmers sehen Inhalte des Büros nur mit einer Freigabe nach § 3 Abs. 4. Ohne Freigabe greifen sie nur auf Daten zu, soweit es für Betrieb, Sicherung, Wiederherstellung oder die Abwehr von Störungen und Angriffen zwingend nötig ist, und nur im nötigen Umfang.

(1) Der Auftragnehmer trifft die Maßnahmen nach Art. 32 DSGVO, die in der Anlage beschrieben sind.

(2) Er darf sie dem technischen Fortschritt anpassen, solange das Schutzniveau nicht sinkt. Wesentliche Änderungen dokumentiert er.

(1) Der Auftraggeber erteilt die allgemeine Genehmigung, Unterauftragnehmer einzusetzen. Er stimmt den Unterauftragnehmern zu, die unter Unterauftragnehmer aufgeführt sind.

(2) Bevor der Auftragnehmer einen Unterauftragnehmer hinzunimmt oder ersetzt, informiert er die Inhaber des Büros mindestens 30 Tage vorher per Mail. Der Auftraggeber kann innerhalb dieser Frist aus wichtigem datenschutzrechtlichem Grund widersprechen. Finden die Parteien keine Lösung, kann der Auftraggeber den Vertrag zum Zeitpunkt des Wechsels kündigen.

(3) Der Auftragnehmer legt jedem Unterauftragnehmer vertraglich Pflichten auf, die diesem Vertrag entsprechen, und bleibt für ihn verantwortlich.

(1) Für Anfragen Betroffener nach Art. 12 bis 22 DSGVO bietet Immeva Werkzeuge für Auskunft, Berichtigung, Löschung und Export. Darüber hinaus unterstützt der Auftragnehmer den Auftraggeber im angemessenen Umfang. Wendet sich ein Betroffener direkt an den Auftragnehmer, leitet dieser die Anfrage unverzüglich weiter.

(2) Er unterstützt den Auftraggeber außerdem bei den Pflichten nach Art. 32 bis 36 DSGVO, insbesondere mit Informationen für eine Datenschutz-Folgenabschätzung.

Der Auftragnehmer meldet dem Auftraggeber eine Verletzung des Schutzes personenbezogener Daten unverzüglich, möglichst innerhalb von 24 Stunden, nachdem sie ihm bekannt geworden ist. Die Meldung enthält die Angaben nach Art. 33 Abs. 3 DSGVO, soweit sie vorliegen, weitere reicht er nach. Er ergreift sofort Maßnahmen, um die Folgen zu begrenzen.

(1) Während der Laufzeit kann der Auftraggeber seine Daten jederzeit exportieren, wie in § 13 der AGB beschrieben.

(2) Nach dem Vertragsende bleibt das Büro 90 Tage lesbar und exportierbar. Danach löscht der Auftragnehmer alle Daten des Büros innerhalb von 30 Tagen. In den Sicherungen laufen sie spätestens zwölf Monate später aus. Auf Wunsch bestätigt der Auftragnehmer die Löschung in Textform.

(3) Aufbewahrungspflichten des Auftraggebers, etwa nach § 8 Abs. 4 GwG, § 147 AO oder § 257 HGB, bleiben bei ihm. Er exportiert die betroffenen Daten rechtzeitig.

Der Auftragnehmer stellt dem Auftraggeber die Informationen bereit, die zum Nachweis der Pflichten aus diesem Vertrag nötig sind. Er ermöglicht Überprüfungen durch den Auftraggeber oder einen von ihm beauftragten, zur Verschwiegenheit verpflichteten Prüfer nach Anmeldung mit angemessener Frist während der üblichen Geschäftszeiten. Eine Prüfung darf keinen Zugriff auf Daten anderer Kunden geben. Für den Betrieb durch Unterauftragnehmer genügen deren Zertifikate und Prüfberichte.

(1) Für die Haftung gilt Art. 82 DSGVO, im Übrigen § 15 der AGB.

(2) Bei Widersprüchen geht dieser Vertrag den AGB vor, soweit es um den Schutz personenbezogener Daten geht.

(3) Änderungen bedürfen der Textform. Ist eine Bestimmung unwirksam, bleibt der Vertrag im Übrigen wirksam.

(4) Es gilt deutsches Recht. Gerichtsstand ist der Sitz des Auftragnehmers in Ettlingen, soweit der Auftraggeber Kaufmann ist.

Vertraulichkeit

• Zutritt: Betrieb in Rechenzentren der Hetzner Online GmbH in Deutschland, zertifiziert nach ISO/IEC 27001, mit Zutrittskontrolle, Videoüberwachung und Sicherheitspersonal.
• Zugang: Passwörter nur als Hash, Mindestlänge zehn Zeichen, Anmeldung auch per Passkey oder einmaligem Link. Begrenzung wiederholter Versuche. Server nur per SSH-Schlüssel, Firewall nur für SSH, HTTP und HTTPS offen.
• Zugriff: Rollen und Zusatzrechte je Person, Sichtbarkeit je Standort. Die Datenbank prüft die Rechte selbst über Row-Level Security, die Anwendung arbeitet dafür mit einer Rolle ohne Eigentümerrechte. Exporte und Löschen nur mit eigenem Recht.
• Trennung: Jede Tabelle mit Kundendaten trägt die Kennung des Büros und ist per Datenbankrichtlinie von anderen Büros getrennt. Entwicklung und Tests laufen getrennt vom Betrieb.
• Verschlüsselung: Übertragung nur per TLS mit HSTS. Zugangsdaten für Portale und Postfächer sowie Schlüssel verbundener Kalender liegen verschlüsselt in der Datenbank. Sicherungen sind verschlüsselt (age), der private Schlüssel liegt nicht auf dem Server. Dateien im Object Storage sind nicht öffentlich und nur über zeitlich begrenzte, signierte Links abrufbar.
• Betreiber: Der Verwaltungsbereich des Auftragnehmers ist nur per Passkey erreichbar, Sitzungen dort enden nach zwölf Stunden. Einsicht in ein Büro nur mit Freigabe nach § 3 Abs. 4.
• Datensparsamkeit: Vor Textvorschlägen werden E-Mail-Adressen, Telefonnummern und Namen bekannter Kontakte durch Platzhalter ersetzt. Der Textdienst speichert nichts nach der Antwort und trainiert nicht mit den Daten. Die Nutzungsstatistik ist pseudonym und enthält keine Inhalte.

Integrität

• Eingabekontrolle: Änderungen, Exporte, Freigaben und Eingriffe des Supports stehen mit Person und Zeit im Protokoll des Büros.
• Weitergabe: Daten verlassen Immeva nur an die Unterauftragnehmer und an Dienste, die der Auftraggeber selbst verbindet. Signierte Webhooks, Schlüssel für die Schnittstelle mit begrenzten Rechten.

Verfügbarkeit und Belastbarkeit

• Tägliche verschlüsselte Sicherung der Datenbank im Object Storage, 14 Tage zurück, dazu Monatssicherungen für zwölf Monate. Dokumentiertes Verfahren zum Zurückspielen.
• Zustandsprüfung aller Dienste, Übersicht fehlgeschlagener Hintergrundaufgaben, Meldung ausbleibender Sicherungen. Aktualisierungen mit Prüfung des Zustands und automatischer Rückkehr zum vorigen Stand bei Fehlern.

Überprüfung und Voreinstellungen

• Automatisierte Tests der Rechte und der Trennung der Büros.
• Überprüfung dieser Maßnahmen mindestens einmal im Jahr.
• Datenschutzfreundliche Voreinstellungen: Textvorschläge, automatische Antworten, Öffnungsmessung im Newsletter und die Einsicht des Supports sind aus, bis der Auftraggeber sie einschaltet.